Ważny wyrok NSA w kontekście danych osobowych

Ważny wyrok NSA w kontekście danych osobowych 

W dniu 5 lutego 2025 r. Naczelny Sąd Administracyjny (NSA) wydał wyrok (sygn. akt III OSK 6553/21), który stanowi istotny punkt odniesienia dla firm przechowujących dane osobowe swoich byłych klientów po zakończeniu umowy. Sąd, podtrzymując decyzję Prezesa Urzędu Ochrony Danych Osobowych (PUODO), stwierdził, że przetwarzanie danych osobowych może odbywać się jedynie wtedy, gdy jest to niezbędne do realizacji prawnie uzasadnionych interesów administratora danych, takich jak dochodzenie roszczeń. Zgodnie z wyrokiem, sama hipotetyczna możliwość przyszłych roszczeń nie może stanowić podstawy do długotrwałego przechowywania danych osobowych.

Konieczność uzasadnienia przechowywania danych

NSA zaznaczył, że administrator danych osobowych powinien wykazać rzeczywistą potrzebę przechowywania tych informacji, która może wynikać np. z toczących się postępowań sądowych lub zgłoszonych roszczeń w określonym czasie po zakończeniu umowy. Sąd wskazał, że przechowywanie danych na podstawie samego przypuszczenia o możliwych roszczeniach w przyszłości jest niezgodne z przepisami RODO. Administratorzy powinni określić konkretny okres przechowywania danych i wprowadzić mechanizmy kontrolne, które zapewnią, że dane nie będą przetwarzane przez czas nieokreślony.

Przypadek wynajmu samochodów

Sprawa dotyczyła klienta, który po zakończeniu umowy wynajmu samochodu dowiedział się, że firma nadal przechowuje jego dane osobowe, w tym imię, nazwisko, adres, numer telefonu oraz numery dowodu osobistego i prawa jazdy. Prezes UODO nakazał firmie usunięcie tych danych, uznając, że nie ma podstaw prawnych do ich dalszego przechowywania po zakończeniu umowy. UODO podkreślił, że zgodnie z zasadą minimalizacji danych, administrator danych powinien przechowywać je jedynie przez okres niezbędny do realizacji celów, dla których zostały zebrane. Powoływanie się na możliwość przyszłych roszczeń nie stanowi wystarczającego uzasadnienia dla ich przechowywania, ponieważ firma w takim przypadku przetwarza dane „na zapas”, co jest niedopuszczalne według RODO.

Odwołanie firmy

Firma odwołała się od decyzji UODO, argumentując, że przechowywanie danych jest niezbędne do dochodzenia lub obrony przed roszczeniami związanymi z wynajmem samochodów. Przedsiębiorca wskazał, że nie jest w stanie przewidzieć, kiedy mogą pojawić się ewentualne spory z byłymi klientami, a przechowywanie danych pozwala na skuteczną obronę w przypadku roszczeń. NSA jednak podtrzymał decyzję organu ochrony danych, stwierdzając, że przechowywanie danych na podstawie hipotetycznych roszczeń jest nieuzasadnione.

Co to oznacza dla firm?

Wydany wyrok stanowi ważne przypomnienie dla firm, które przetwarzają dane osobowe swoich klientów, że ich przechowywanie po zakończeniu umowy może mieć miejsce jedynie w ściśle określonych przypadkach. Administratorzy danych muszą jasno określić okresy przechowywania danych oraz uzasadnienie ich dalszego przetwarzania. Celem jest zapewnienie zgodności z przepisami RODO oraz minimalizacja ryzyka naruszenia prawa i ewentualnych sankcji.

Do powyższego wyroku nawiązuje sporo rekomendowanych działań, w tym:

• przeprowadzenie przeglądu danych byłych klientów i weryfikacja podstaw ich dalszego przetwarzania - to konieczność. Po zakończeniu umowy należy ocenić, czy istnieją realne podstawy dalszego przechowywania danych (np. roszczenia). Jeśli nie - dane trzeba usunąć;
• dokumentowanie przesłanek dalszego przetwarzania (zasada rozliczalności) - RODO wymaga, by administrator był w stanie udowodnić, że przetwarza dane zgodnie z prawem, a nie tylko to deklarował. Dokumentacja powodów przechowywania danych jest kluczowa;
• aktualizacja polityk prywatności i rejestrów czynności przetwarzania - jeśli zmienia się sposób, zakres lub czas przechowywania danych, należy zaktualizować odpowiednie dokumenty, aby były zgodne z rzeczywistością i wymaganiami RODO.

‍