Przetwarzanie danych dłużnika a RODO
Zgoda dłużnika nie jest jedyną podstawą prawną przetwarzania jego danych osobowych. Wierzyciel może przetwarzać dane niezbędne do ustalenia, dochodzenia, zabezpieczenia lub zbycia przysługującej mu wierzytelności na podstawie art. 6 ust. 1 lit. f RODO, czyli w celu realizacji prawnie uzasadnionego interesu administratora lub osoby trzeciej.
Prezes Urzędu Ochrony Danych Osobowych wskazuje, że wierzyciel nie musi posiadać wyroku sądu, aby legalnie przetwarzać dane dłużnika w celu dochodzenia zapłaty. Prawnie uzasadnionym interesem może być ochrona praw majątkowych wierzyciela oraz odzyskanie należnego świadczenia.
W orzecznictwie UODO podkreślono również, że osoba pozostająca w zwłoce musi liczyć się z tym, że jej prawo do prywatności może zostać ograniczone w zakresie koniecznym do dochodzenia należności przez wierzyciela.
Publikacja danych nie jest jednak nieograniczona
Każdorazowe zamieszczenie informacji o wierzytelności powinno zostać poprzedzone oceną, czy:
- wierzytelność rzeczywiście istnieje i jest wymagalna,
- dane są prawidłowe, aktualne i możliwe do udokumentowania,
- publikowany zakres danych jest niezbędny do realizacji celu,
- interes wierzyciela nie jest nadrzędnie ograniczony przez prawa i wolności osoby, której dane dotyczą,
- nie istnieje równie skuteczny, lecz mniej ingerujący sposób realizacji celu.
Europejska Rada Ochrony Danych wskazuje, że zastosowanie art. 6 ust. 1 lit. f RODO wymaga łącznie: istnienia prawnie uzasadnionego interesu, niezbędności przetwarzania oraz przeprowadzenia testu równowagi. Ocena powinna zostać wykonana i udokumentowana przed rozpoczęciem przetwarzania.
Publikowane dane powinny być ograniczone do zakresu adekwatnego i niezbędnego. Nie należy ujawniać danych wrażliwych, prywatnych danych kontaktowych ani informacji niezwiązanych bezpośrednio z wierzytelnością.
Prawa osoby, której dane dotyczą
Osoba, której dane są publikowane, ma prawo między innymi do:
- uzyskania informacji o administratorze i celu przetwarzania,
- dostępu do danych,
- sprostowania danych nieprawidłowych,
- ograniczenia przetwarzania,
- wniesienia sprzeciwu z przyczyn związanych z jej szczególną sytuacją.
Sprzeciw nie powoduje automatycznego usunięcia danych. Administrator może kontynuować przetwarzanie, jeżeli wykaże istnienie nadrzędnych prawnie uzasadnionych podstaw albo potrzebę ustalenia, dochodzenia lub obrony roszczeń.
Aktualizacja i usunięcie wpisu
Po całkowitej spłacie zobowiązania, wygaśnięciu podstawy prawnej albo stwierdzeniu, że dane są nieprawidłowe, wpis powinien zostać niezwłocznie zaktualizowany lub usunięty. Administrator powinien także posiadać procedurę rozpatrywania reklamacji i zgłoszeń dotyczących opublikowanych informacji.