Stan faktyczny dotyczył sytuacji, w której były klient wypożyczalni samochodów (spółki D. sp.k.) – po zawarciu umowy najmu pojazdu i jej wykonaniu – zażądał od administratora usunięcia swoich danych osobowych. Uzasadnieniem żądania klienta była obawa, wynikająca z informacji, że skan jego dowodu osobistego i prawa jazdy znalazł się w posiadaniu podmiotów trzecich. W wyniku przeprowadzonego przez organ nadzorczy postępowania wyjaśniającego ustalono jednak, że spółka nie wykonała skanu dokumentów tożsamości klienta, ani nie przekazała ich osobom trzecim, natomiast nadal przechowywała dane osobowe w swoim systemie informatycznym.
W odpowiedzi na żądanie usunięcia danych, spółka wskazała, iż przetwarza dane osobowe w oparciu o art. 6 ust. 1 lit. f RODO, powołując się na potrzebę zabezpieczenia się przed potencjalnymi roszczeniami wynikającymi z zawartej wcześniej umowy najmu. Tymczasem Prezes UODO w decyzji z 13.3.2020 r., ZSPR.440.147.2019, a następnie Wojewódzki Sąd Administracyjny w Warszawie (wyrok z 11.3.2021 r., II SA/Wa 1340/20, Legalis), uznały, że takie powołanie się na interes prawny było niezasadne, ponieważ żadne roszczenia nie zostały zgłoszone, a hipotetyczna możliwość ich powstania nie uzasadnia dalszego przetwarzania danych.
W tym kontekście istotne jest podkreślenie, że Prezes UODO, analizując sprawę, przyjął restrykcyjne podejście do wykładni przesłanki prawnie uzasadnionego interesu. Organ wskazał, że dopuszczalność przetwarzania danych osobowych na tej podstawie wymaga nie tylko powołania się na możliwość powstania roszczeń, lecz także wykazania realnych, istniejących okoliczności uzasadniających takie obawy. Samo hipotetyczne ryzyko nie wystarcza. Prezes UODO podkreślił również, że zgodnie z zasadą ograniczonego celu oraz minimalizacji danych (art. 5 ust. 1 lit. b i c RODO), dane osobowe mogą być przechowywane jedynie tak długo, jak jest to rzeczywiście niezbędne.
Stanowisko Prezesa UODO zostało w pełni podzielone przez Wojewódzki Sąd Administracyjny w Warszawie. WSA zaakcentował, że dla skutecznego powołania się na art. 6 ust. 1 lit. f RODO konieczne jest istnienie konkretnego zagrożenia procesowego lub innej wyraźnej podstawy dalszego przetwarzania. Sąd zwrócił uwagę, że dopuszczenie przechowywania danych wyłącznie w oparciu o nieokreślone, potencjalne ryzyko sporu sądowego skutkowałoby obejściem podstawowych zasad ochrony danych osobowych. Takie działanie prowadziłoby do bezterminowego przechowywania danych, co jest sprzeczne z aksjologią RODO oraz fundamentalnym prawem jednostki do prywatności.
Sytuacja ta znakomicie obrazuje praktyczny problem wielu administratorów danych, którzy — często z ostrożności — kontynuują przetwarzanie danych po zakończeniu stosunków prawnych, nie zawsze analizując realność ryzyka oraz zasadność dalszego przechowywania danych.
Granice przesłanki prawnie uzasadnionego interesu
Naczelny Sąd Administracyjny w pełni podzielił ocenę organu nadzorczego i sądu pierwszej instancji, wskazując, że przetwarzanie danych osobowych po – co istotne – prawidłowym wykonaniu umowy może być legalne na podstawie art. 6 ust. 1 lit. f RODO tylko wtedy, gdy istnieje rzeczywista potrzeba ich zachowania, wynikająca z konkretnych, istniejących roszczeń lub poważnej, uzasadnionej groźby ich wytoczenia. NSA jednoznacznie stwierdził, że sama potencjalność roszczeń, niepoparta żadnym konkretnym zagrożeniem sporem sądowym, w szczególności gdy w momencie rozwiązania umowy nie wskazano żadnych zastrzeżeń, nie wypełnia przesłanki „niezbędności” przetwarzania danych.
Warto podkreślić, Naczelny Sąd Administracyjny przypomniał, że niezbędność w rozumieniu art. 6 ust. 1 lit. f RODO musi być oceniana w sposób ścisły i oparty na obiektywnych kryteriach. W tym kontekście istotne jest nie tylko istnienie celu, ale przede wszystkim wykazanie, że bez dalszego przetwarzania danych realizacja tego celu byłaby niemożliwa lub poważnie utrudniona. Tymczasem w analizowanej sprawie, brak zgłoszeń roszczeń oraz brak reklamacji po wykonaniu umowy eliminował potrzebę dalszego przechowywania danych.
Termin przedawnienia a prawo do ochrony danych osobowych
Szczególnego znaczenia nabiera także kwestia terminów przedawnienia roszczeń. NSA wyraźnie wskazał, że sama długość okresów przedawnienia, np. roczny termin wynikający z art. 677 KC, w sprawach związanych z najmem, nie może automatycznie uzasadniać przechowywania danych osobowych przez cały ten okres. Konieczna jest bowiem każdorazowa ocena, czy w konkretnych okolicznościach istnieje realne ryzyko sporu sądowego. Notabene termin przedawnienia wynajmującego względem najemcy, o którym mowa w art. 677 KC, minął już w chwili wydawania decyzji Prezesa UODO. Taki wniosek NSA jest istotny, gdyż przeciwdziała praktyce „bezrefleksyjnego” gromadzenia danych do upływu wszelkich możliwych terminów przedawnienia, niezależnie od faktycznego ryzyka procesowego.
Rozwinięcie zasady minimalizacji i ograniczenia celu
W odniesieniu do przedstawionego stanu faktycznego sąd wskazał, że po prawidłowym zakończeniu umowy najmu samochodu spółka miała obowiązek ocenić, czy istnieją podstawy do zachowania danych klienta. W sytuacji, gdy zwrot pojazdu nastąpił bez zastrzeżeń, a żadna ze stron nie zgłaszała reklamacji ani roszczeń związanych z wykonaniem umowy, brak było podstaw do dalszego przechowywania danych w celu zabezpieczenia się przed ewentualnymi roszczeniami. NSA zaakcentował, że nawet istnienie ustawowych terminów przedawnienia roszczeń nie uzasadnia automatycznego zatrzymania danych osobowych byłych klientów, jeśli brak jest realnych podstaw, by zakładać wszczęcie sporu sądowego. Takie działanie naruszałoby zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO) oraz zasadę ograniczenia celu (art. 5 ust. 1 lit. b RODO).
Prawo jednostki do usunięcia danych i rozsądne oczekiwania
Sąd trafnie odczytał treść motywu 47 RODO oraz art. 6 ust. 1 lit. f RODO, podkreślając, że prawnie uzasadniony interes administratora nie może być oparty na domniemaniach czy ogólnych obawach. Analizując charakter stosunku prawnego łączącego strony (umowa najmu samochodu) oraz jego kontekst (brak zastrzeżeń przy zwrocie pojazdu, brak roszczeń), NSA doszedł do wniosku, że osoba, której dane dotyczyły, miała pełne prawo oczekiwać, iż jej dane zostaną usunięte po realizacji celu przetwarzania. To rozumienie wpisuje się w zasadę ochrony autonomii informacyjnej jednostki oraz prawo do „bycia zapomnianym” w rozumieniu art. 17 RODO, które w analizowanym przypadku powinno znaleźć zastosowanie.
Praktyczne znaczenie wyroku dla administratorów danych
Z perspektywy praktyki wyrok ten powinien skłonić administratorów do dokonania starannej, indywidualnej oceny każdej sytuacji, w której zamierzają dalej przechowywać dane po zakończeniu stosunku prawnego, w szczególności, gdy miało ono miejsce bez żadnych zastrzeżeń, a okoliczności wskazują na jego prawidłową realizację. Administratorzy powinni każdorazowo i indywidualnie zweryfikować, czy istnieje rzeczywista potrzeba przetwarzania, czy też jest to działanie „na zapas”, motywowane wyłącznie potencjalnym ryzykiem. Powinni oni także dokumentować swoje decyzje w ramach obowiązku rozliczalności, aby w razie kontroli móc wykazać legalność takiego przetwarzania. W przeciwnym razie administratorzy ryzykują naruszeniem zasady legalności przetwarzania oraz zasad rozliczalności i minimalizacji danych, a w konsekwencji narażają się na potencjalne sankcje administracyjne ze strony organów nadzorczych. Niezależnie od wskazanego podejścia, należy zauważyć, że w niektórych sytuacjach przetwarzanie „na zapas” może mieć uzasadnienie — pod warunkiem, że administrator jest w stanie wykazać realną ocenę ryzyka i autentyczne uzasadnienie swoich działań. Praktyką dobrą i zgodną z duchem RODO powinno być jednak ograniczanie takich przypadków do sytuacji wyjątkowych.
Podsumowanie
Wyrok NSA z 5.2.2025 r., III OSK 6553/21, Legalis zdaje się być w pełni zasadny i merytorycznie przekonujący. Stanowi przykład prawidłowego, odpowiedzialnego podejścia do wykładni przepisów ochrony danych osobowych, uwzględniającego zarówno ochronę interesów administratorów, jak i podstawowych praw jednostek. Jego wpływ na ujednolicenie orzecznictwa oraz praktyki ochrony danych osobowych w Polsce będzie z pewnością znaczący i pozytywny, promując bardziej restrykcyjne, a przez to bardziej zgodne z duchem RODO podejście do przetwarzania danych osobowych na podstawie prawnie uzasadnionych interesów.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
