Naczelny Sąd Administracyjny w sprawie III OSK 875/23 oddalił skargę kasacyjną wniesioną przez BEST Towarzystwo Funduszy Inwestycyjnych S.A. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 17 listopada 2022 r. w sprawie skarg Best S.A. i BEST III NSFIZ reprezentowanych przez BEST Towarzystwo Funduszy Inwestycyjnych z siedzibą w Gdyni nakazującego usunięcie danych. Spółka, w celu dochodzenia roszczeń, używała danych potencjalnych spadkobierców dłużnika, przed zakończeniem postępowania dotyczącego nabycia spadku. NSA zgodził się z Prezesem UODO, że takie przetwarzanie odbywało się bez ważnej podstawy prawnej.
Orzecznictwo NSA, a podstawy przetwarzania
NSA już wielokrotnie wypowiadał się w kwestii stosowania przepisów dotyczących podstaw przetwarzania danych w konkretnych sytuacjach. To NSA określił, że dane kandydata do pracy można, na podstawie uzasadnionego interesu, przechowywać do wygaśnięcia roszczeń z tytułu dyskryminacji w zatrudnieniu. To orzecznictwo NSA narzuciło bankom rygory związane z przetwarzaniem danych ich potencjalnych klientów. W ostatnim czasie NSA rozstrzygnął kolejne zagadnienie związane z dopuszczalnością przetwarzania: tym razem chodzi o dane potencjalnych spadkobierców dłużnika.
Co się stało? – stan faktyczny sprawy
Sprawa rozpatrywana przez Prezesa UODO dotyczyła przetwarzania danych osobowych osoby, którą podmioty z grupy BEST uznały za spadkobiercę długów osoby zmarłej. W celu dochodzenia wierzytelności spółka oraz fundusz inwestycyjny pozyskały i wykorzystywały dane tej osoby, w celu prowadzenia windykacji. Skarżący zakwestionował legalność takiego przetwarzania, podnosząc, że spółka nie dysponowała odpowiednią podstawą prawną. W 2021 r. Prezes UODO przychylił się do skargi i nakazał usunięcie danych osobowych. Decyzja została zaskarżona do Wojewódzkiego Sądu Administracyjnego w Warszawie, który w 2022 r. wydał wyrok utrzymujący ją w mocy. Ostatecznie 8 kwietnia 2026 r. NSA oddalił skargę kasacyjną, tym samym ostatecznie potwierdzając słuszność stanowiska organu.
Zakład pogrzebowy ukarany za niefrasobliwe przetwarzanie danych
Spadkobierca dopiero po nabyciu spadku
Kością niezgody, była kwestia dopuszczalności przetwarzania danych osobowych potencjalnego spadkobiercy. Administratorzy powoływali się na swój uzasadniony interes w związku z dochodzeniem roszczeń, niemniej przetwarzanie danych następowało zanim doszło do formalnego stwierdzenia, że osoba, której dane dotyczą w ogóle jest zobowiązana do zaspokojenia tych roszczeń. Sąd wskazał, że wierzyciel nie może samodzielnie dokonać ustalenia kto jest spadkobiercą długu. Jest to zadanie sądu, realizującego je w ramach postępowania o stwierdzenie nabycia spadku. Do czasu jego zakończenia brak jest pewności co do podmiotów zobowiązanych. W konsekwencji uznano, że przetwarzanie danych „potencjalnych spadkobierców” jest bezprawne, zwłaszcza gdy roszczenia kierowane są także do osób, które spadek odrzuciły.
