Usługi detektywistyczne a ochrona danych osobowych

Usługi detektywistyczne a przepisy w zakresie ochrony danych osobowych

Zacznę od podania i przytoczenia podstaw prawnych.

Ustawa z dnia 6 lipca 2001 r. o usługach detektywistycznych nakłada w zakresie ochrony danych osobowych następujące obowiązki na detektywa (biuro detektywistyczne):

„Art. 8. 1. Detektyw jest uprawniony do przetwarzania danych osobowych, zebranych w toku wykonywanych przez niego czynności, o których mowa w art. 2 ust. 1, bez zgody osób, których dane dotyczą, w zakresie sprawy prowadzonej przez przedsiębiorcę posiadającego wpis do rejestru, wyłącznie w czasie prowadzenia tej sprawy.

2. Detektyw nie może powierzać przetwarzania danych osobowych innemu podmiotowi.

3. Detektyw ma obowiązek przekazać zatrudniającemu przedsiębiorcy przetwarzane dane osobowe, zebrane w toku wykonywania czynności, o których mowa w art. 2 ust. 1, bezpośrednio po zaprzestaniu prowadzenia sprawy lub na jego polecenie:

1) przekazać zleceniodawcy albo innemu detektywowi, wyznaczonemu przez przedsiębiorcę do współdziałania albo do przejęcia czynności dla dalszej realizacji usługi, albo

2) zniszczyć te dane w przypadku rezygnacji zleceniodawcy z ich odbioru lub nieodebrania ich w wyznaczonym terminie.

4. Detektyw jest obowiązany przy przetwarzaniu danych osobowych stosować przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 i Nr 153, poz. 1271 oraz z 2004 r. Nr 25, poz. 219 i Nr 33, poz. 285) z wyłączeniem art. 25 ust. 1 i art. 32-35.

5. Wykonując polecenie, o którym mowa w ust. 3, detektyw sporządza notatkę, którą dołącza się do księgi realizacji umowy. Notatka powinna zawierać:

1) rodzaj wykonanej czynności i sposób jej wykonania,

2) datę jej wykonania,

3) podpis osoby, której przekazał dane osobowe, lub przedsiębiorcy, w obecności którego nastąpiło ich zniszczeni”.

Przetwarzanie danych osobowych

Natomiast ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych mówi o przypadkach dozwolonego przetwarzania danych także bez zgody osoby, której dotyczą:

„Art. 23. 1. Przetwarzanie danych jest dopuszczalne tylko wtedy, gdy:

1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,

2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,

3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,

4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

2. Zgoda, o której mowa w ust. 1 pkt 1, może obejmować również przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania.

3. Jeżeli przetwarzanie danych jest niezbędne dla ochrony żywotnych interesów osoby, której dane dotyczą, a spełnienie warunku określonego w ust. 1 pkt 1 jest niemożliwe, można przetwarzać dane bez zgody tej osoby, do czasu, gdy uzyskanie zgody będzie możliwe.

4. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności:

1) marketing bezpośredni własnych produktów lub usług administratora danych,

2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej”.

Orzecznictwo

Z powyższego wynika, że art. 23 ust. 1 pkt 5) oraz ust. 4 pkt 2) ustawy o ochronie danych osobowych przewiduje wskazane w pytaniu możliwość. Taki też pogląd i interpretacje odnajdujemy w nowszej (po roku 2005) linii orzeczniczej, potwierdza ją niżej cytowany wyrok WSA:

„Wyrok Sądu Apelacyjnego w Warszawie

z dnia 5 lutego 2008 r.

VI ACa 897/2007

OSA 2009/12 poz. 37 str. 19

Stosowanie przepisów art. 23 ustawy o ochronie danych osobowych wymaga nie tylko wykazania, że chodzi o realizowanie uprawnienia lub obowiązku wynikającego z przepisów prawa lub prawnie usprawiedliwionego celu, ale także dokonania oceny, czy dla realizacji tego konieczne jest (jest niezbędne) przekazanie danych, mimo że brak jest na to zgody osoby, której dane dotyczą. Ocena ta to wyważenie racji i interesów, z jednej strony osoby, której dane dotyczą, mającej objęty ochroną prawną interes, aby jej dane nie były przetwarzane bez jej zgody, a z drugiej strony administratora danych, który ma także objęty ochroną interes prawny, polegający na tym, że ma prawo realizować prawnie usprawiedliwione cele i uprawnienia, co w przypadku administratora danych będącego wierzycielem obejmuje jego prawo do uzyskania należnego świadczenia od dłużnika.

(…)

Zgodnie zaś z art. 23 ust. 4 pkt 2 ustawy o danych osobowych za prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5 uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.

Działając w zamiarze przelewu wierzytelności, przedsiębiorca może przekazać dane osobowe konsumenta nieograniczonej liczbie nieoznaczonych osób”.

Jak więc widzimy, tak precyzyjne dookreślenie przez WSA zakresu udostępnianej informacji pasuje do skutków publikacji na stronie internetowej. Jednakże muszę zwrócić uwagę na bardzo istne ograniczenia wypływające z cytowanych przepisów. Oto w praktyce GIODO wypowiadał się już co do zakresu danych dłużnika ujawnianych publicznie i każdorazowo podkreślano, aby administrator danych w ramach ich przetwarzania ograniczał się do publikacji niezbędnej ich ilości. Oznacza to w praktyce, że na stronie powinny znaleźć się imiona i nazwiska dłużników, ale nie np. ich dotychczasowe miejsca zamieszkania. W praktyce także spotkałam się z poglądem GIODO w sprawie, gdzie wierzyciel zlecił poszukiwanie dłużnika, iż do pełnego uzasadnienia zaistnienia przesłanek z art. 23 ust. 1 pkt 5) ustawy o ochronie danych osobowych konieczne jest otrzymanie odpowiedniego zaświadczenia od komornika o braku możliwości ustalenia miejsca pobytu dłużnika jako osoby poszukiwanej. Jednak w świetle cytowanego orzeczenia aktualnie można by uznać to za asekuranctwo i nadgorliwość.

Przekazanie danych osobowych dłużnika firmom windykacyjnym

Mimo wszystko zalecam, aby, przyjmując sprawę i zawierając umowę z wierzycielem (podmiotem gospodarczym zlecającym usługi detektywistyczne), zadbać o uzyskanie przynajmniej pisemnego oświadczenia wierzyciela, iż zachodzą przesłanki z art. 23 ust. 1 pkt 5) ustawy o ochronie danych osobowych. O ile to możliwe, oczywiście można także żądać od wierzyciela przedłożenia stosownej informacji (zaświadczenia) od komornika.

Dlatego uznać należy, że mimo istniejących kontrowersji w tym temacie powyższe podstawy prawne i zacytowane orzeczenie wskazuje na możliwość w świetle prawa publikacji danych poszukiwanego dłużnika w celu egzekucji należności na rzecz wierzyciela.

Samo przekazanie przez pozwanego danych osobowych powoda firmom windykacyjnym nie może więc być uznane za działanie bezprawne i nie narusza dóbr osobistych powoda. Natomiast działania podejmowane przez te firmy w celu wyegzekwowania należności, nawet jeśli mogłyby być uznane za bezprawne i naruszające dobra osobiste powoda, nie mogą uzasadniać roszczeń skierowanych wobec pozwanego, co stanowi o „prawnie usprawiedliwionym celu” działania.