Usługi detektywistyczne a RODO – czy można publikować dane dłużnika?

Usługi detektywistyczne a przepisy o ochronie danych osobowych

Tak, działalność detektywistyczna może wiązać się z przetwarzaniem danych osobowych bez zgody osoby, której dane dotyczą. Nie oznacza to jednak, że biuro detektywistyczne może swobodnie publikować dane dłużników lub osób poszukiwanych na własnej stronie internetowej.

Podstawowym przepisem jest art. 8 ust. 1 ustawy z 6 lipca 2001 r. o usługach detektywistycznych. Zgodnie z tym przepisem detektyw jest uprawniony do przetwarzania danych osobowych zebranych w toku wykonywanych czynności, o których mowa w art. 2 ust. 1 tej ustawy, bez zgody osób, których dane dotyczą, ale wyłącznie w zakresie sprawy prowadzonej przez przedsiębiorcę posiadającego wpis do rejestru i wyłącznie w czasie prowadzenia tej sprawy.

To bardzo ważne ograniczenie. Przepis daje podstawę do przetwarzania danych na potrzeby konkretnej usługi detektywistycznej, ale nie tworzy ogólnego uprawnienia do ich publicznego rozpowszechniania.

Dodatkowo art. 8 ust. 2 ustawy o usługach detektywistycznych stanowi, że detektyw nie może powierzać przetwarzania danych osobowych innemu podmiotowi. Z kolei art. 8 ust. 3 i 5 tej ustawy reguluje obowiązek przekazania albo zniszczenia danych po zakończeniu sprawy oraz udokumentowania tych czynności.

Od strony ogólnych zasad ochrony danych zastosowanie ma obecnie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), a nie dawna ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych, na którą powoływał się stary tekst.

Czy RODO pozwala publikować dane dłużnika na stronie internetowej?

Co do zasady nie należy przyjmować, że samo dochodzenie należności albo poszukiwanie dłużnika uprawnia do publikowania jego danych na ogólnodostępnej stronie internetowej. Taka publikacja jest odrębną operacją przetwarzania danych i wymaga samodzielnej oceny podstawy prawnej oraz proporcjonalności.

Najczęściej rozważaną podstawą jest art. 6 ust. 1 lit. f RODO, czyli przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora lub strony trzeciej. Dochodzenie roszczeń może być takim interesem. Potwierdza to także motyw 47 RODO, który wskazuje, że przetwarzanie danych osobowych do celów zapobiegania oszustwom lub dochodzenia roszczeń może stanowić prawnie uzasadniony interes.

Problem polega jednak na tym, że przy publikacji danych w Internecie trzeba jeszcze wykazać:

• że publikacja jest niezbędna do osiągnięcia celu,
• że nie istnieją mniej ingerujące środki,
• że zakres danych jest ograniczony do minimum zgodnie z art. 5 ust. 1 lit. c RODO,
• że interes administratora nie jest nadrzędny wobec praw i wolności osoby, której dane dotyczą, zgodnie z art. 6 ust. 1 lit. f RODO.

W praktyce właśnie z wykazaniem tej niezbędności bywa największy problem. Publiczne umieszczenie danych na stronie internetowej oznacza udostępnienie ich nieograniczonemu kręgowi odbiorców, a więc jest środkiem daleko bardziej ingerującym niż przekazanie danych wierzycielowi, pełnomocnikowi, komornikowi lub sądowi.

Dlaczego dawne orzecznictwo trzeba dziś czytać ostrożnie?

W starszych materiałach często powoływano się na przepisy nieobowiązującej już ustawy o ochronie danych osobowych z 1997 r. oraz na orzeczenia wydane jeszcze przed pełnym wejściem w życie RODO. Takie orzecznictwo może mieć znaczenie pomocnicze, ale nie można mechanicznie przenosić dawnych tez na obecny stan prawny.

Dziś ocena musi być oparta przede wszystkim na:

• art. 5 RODO – zasady zgodności z prawem, minimalizacji, ograniczenia celu i integralności danych,
• art. 6 ust. 1 RODO – podstawa legalizująca przetwarzanie,
• art. 13 lub art. 14 RODO – obowiązek informacyjny, zależnie od źródła danych,
• art. 24 RODO – odpowiedzialność administratora za wdrożenie odpowiednich środków,
• art. 32 RODO – bezpieczeństwo przetwarzania.

Nawet jeżeli przyjąć, że celem jest dochodzenie roszczeń, to nadal trzeba odpowiedzieć, czy publiczne ogłoszenie danych dłużnika rzeczywiście jest konieczne i proporcjonalne. W wielu przypadkach odpowiedź będzie negatywna.

Publikacja danych „osób poszukiwanych” a publikacja danych dłużników

Trzeba odróżnić dwie sytuacje:

Jeżeli na stronie miałaby się pojawić informacja o osobach „poszukiwanych”, trzeba bardzo uważać nie tylko na RODO, ale również na zasady dotyczące udostępniania danych osobom trzecim. Publiczna publikacja to bowiem najszersza forma ujawnienia danych.

W przypadku przekazania danych dłużnika innemu podmiotowi uczestniczącemu w dochodzeniu należności trzeba dodatkowo ocenić zasady obrotu danymi osobowymi, ponieważ nie każde udostępnienie danych między przedsiębiorcami będzie zgodne z RODO.

Jakie dane są szczególnie problematyczne?

Nawet gdy istnieje podstawa do przetwarzania, nie oznacza to prawa do ujawniania wszystkich informacji. Szczególnie ryzykowna jest publikacja:

• dokładnego adresu zamieszkania,
• numeru PESEL, numeru dowodu, numeru rachunku,
• telefonu prywatnego lub adresu e-mail,
• zdjęcia, nagrania lub danych o rodzinie,
• informacji o zdrowiu, nałogach, wyrokach, postępowaniach karnych lub innych danych szczególnych kategorii.

W odniesieniu do danych szczególnych kategorii obowiązuje dodatkowo art. 9 ust. 1 RODO, który co do zasady zakazuje ich przetwarzania, chyba że zachodzi jedna z wyjątkowych podstaw z art. 9 ust. 2 RODO. W typowej sprawie windykacyjnej albo detektywistycznej publikacja takich danych publicznie będzie praktycznie nie do obrony.

Obowiązek informacyjny i dokumentacja

Jeżeli dane nie zostały pozyskane bezpośrednio od osoby, której dotyczą, trzeba ocenić obowiązek informacyjny z art. 14 RODO. Przepis ten wymaga co do zasady przekazania osobie m.in. informacji o administratorze, celu przetwarzania, podstawie prawnej i źródle danych.

Wyjątki od tego obowiązku są przewidziane w art. 14 ust. 5 RODO, ale należy je interpretować ostrożnie. Samo powołanie się na trudność kontaktu nie zawsze wystarcza. W sprawach detektywistycznych ocena zależy od konkretnego stanu faktycznego, charakteru zlecenia i tego, czy wykonanie obowiązku informacyjnego rzeczywiście uniemożliwiłoby lub poważnie utrudniło realizację celu.

Po stronie przedsiębiorcy detektywistycznego potrzebna jest także odpowiednia dokumentacja zgodności, w szczególności:

• ustalenie roli administratora danych,
• określenie celu i podstawy prawnej,
• test równowagi przy powołaniu się na art. 6 ust. 1 lit. f RODO,
• ocena zakresu ujawnianych danych pod kątem minimalizacji,
• procedura usuwania lub przekazywania danych po zakończeniu sprawy zgodnie z art. 8 ust. 3 ustawy o usługach detektywistycznych.

Czy wystarczy zgoda wierzyciela albo zapis w umowie?

Nie. Zgoda wierzyciela jako zleceniodawcy nie legalizuje automatycznie publikacji danych osoby trzeciej. Dane dotyczą przecież dłużnika lub osoby poszukiwanej, a nie zleceniodawcy. Umowa z klientem może porządkować relacje między biurem a wierzycielem, ale nie zastępuje podstawy prawnej wymaganej przez art. 6 ust. 1 RODO.

W praktyce warto natomiast uzyskać od zleceniodawcy dokumenty potwierdzające cel i zasadność działań, np. informacje o istniejącym roszczeniu, postępowaniu egzekucyjnym czy bezskuteczności doręczeń. Taka dokumentacja może pomóc wykazać legalność samego przetwarzania danych, ale nadal nie przesądza o dopuszczalności ich publicznej publikacji.

Jakie grożą konsekwencje za bezprawną publikację?

Jeżeli biuro detektywistyczne ujawni dane z naruszeniem RODO lub ponad zakres niezbędny do realizacji celu, trzeba liczyć się z kilkoma rodzajami odpowiedzialności:

• administracyjną – skarga do Prezesa Urzędu Ochrony Danych Osobowych i możliwość nałożenia środków z art. 58 ust. 2 RODO oraz administracyjnej kary pieniężnej na podstawie art. 83 RODO,
• cywilną – roszczenie o odszkodowanie na podstawie art. 82 RODO,
• cywilną z tytułu naruszenia dóbr osobistych – na podstawie art. 23 i art. 24 Kodeksu cywilnego, a w razie szkody majątkowej także art. 415 Kodeksu cywilnego,
• reputacyjną i kontraktową – wobec klienta, jeśli działania biura naraziły go na spór lub odpowiedzialność.

Jeżeli publikacja sugeruje nierzetelność, ukrywanie się, oszustwo albo inne naganne zachowanie, a brak jest mocnych podstaw faktycznych, rośnie również ryzyko sporu o naruszenie czci i dobrego imienia.

Praktyczny wniosek

Na dziś bezpieczniejszy i znacznie lepiej uzasadniony prawnie jest pogląd, że biuro detektywistyczne może przetwarzać dane dłużnika lub osoby ustalanej w toku sprawy w granicach zlecenia, ale nie powinno publicznie publikować tych danych na stronie internetowej, chyba że istnieje wyjątkowo mocna, konkretna i dobrze udokumentowana podstawa prawna.

Inaczej mówiąc: przetwarzanie danych na potrzeby ustalenia miejsca pobytu, kontaktu, weryfikacji majątku czy wsparcia dochodzenia roszczeń może być dopuszczalne, lecz upublicznienie danych w Internecie to już zupełnie inny poziom ingerencji i zwykle wymagałoby bardzo przekonującego uzasadnienia, którego w typowej sprawie po prostu brakuje.

FAQ

Czy detektyw może przetwarzać dane bez zgody osoby, której dotyczą?

Tak, ale tylko w granicach wynikających z art. 8 ust. 1 ustawy o usługach detektywistycznych i przy spełnieniu wymogów RODO. Brak zgody nie oznacza pełnej dowolności.

Czy można opublikować na stronie samo imię i nazwisko dłużnika?

Samo ograniczenie zakresu danych nie rozwiązuje problemu. Nadal trzeba wykazać podstawę z art. 6 ust. 1 RODO oraz niezbędność takiej publikacji. W praktyce nadal jest to ryzykowne.

Czy publikacja danych jest dopuszczalna, jeśli dług jest bezsporny?

Nie automatycznie. Nawet bezsporność roszczenia nie daje sama przez się prawa do publicznego ujawniania danych w Internecie. Trzeba oddzielnie ocenić proporcjonalność i legalność publikacji.

Czy biuro detektywistyczne może przekazać dane firmie windykacyjnej?

To zależy od modelu współpracy, celu przetwarzania i podstawy prawnej. Taka operacja wymaga osobnej analizy zgodności z RODO i zakresem uprawnień z art. 8 ustawy o usługach detektywistycznych.

Czy po zakończeniu sprawy dane można zachować bezterminowo?

Nie. Dane powinny być przechowywane tylko tak długo, jak jest to niezbędne do celu przetwarzania zgodnie z art. 5 ust. 1 lit. e RODO, a dodatkowo trzeba uwzględnić obowiązki z art. 8 ust. 3 ustawy o usługach detektywistycznych.

Źródła

• Ustawa z 6 lipca 2001 r. o usługach detektywistycznych, w szczególności art. 2 i art. 8.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), w szczególności art. 5, art. 6, art. 9, art. 13, art. 14, art. 24, art. 32, art. 58, art. 82 i art. 83 oraz motyw 47.
• Ustawa z 23 kwietnia 1964 r. – Kodeks cywilny, w szczególności art. 23, art. 24 i art. 415.
• Starsze orzecznictwo wydane na tle ustawy o ochronie danych osobowych z 1997 r. może mieć dziś znaczenie jedynie pomocnicze i wymaga ostrożnej oceny pod kątem aktualnego stanu prawnego.