Dane osobowe dłużników a RODO

Przeczytaj także: RODO - kiedy należy stosować się do jego przepisów?

Jakimi zmianami w polskim porządku prawnym zaowocowało RODO? Przede wszystkim była to konieczność nowelizacji przepisów ustawy o ochronie danych osobowych z 1997 roku, która to ustąpiła miejsca ustawie z dnia 10 maja 2018 roku. Na mocy nowych regulacji kompetencje Generalnego Inspektora Danych Osobowych zyskał Urząd Ochrony Danych Osobowych (UODO), na czele którego stanął jego prezes (PUODO). Do przepisów RODO musiały dostosować się wszystkie działające w naszym kraju przedsiębiorstwa, w tym również firmy windykacyjne. Jak wygląda to w praktyce? Oto trzy najbardziej powszechne sytuacje, w których przepisy RODO zbiegają się z windykacją.

Przypadek 1:

Dane osobowe dłużnika w rejestrze długów

Często słyszy się, że osoby zadłużone nie wyraziły zgody na wpisanie ich do rejestru dłużników ze względu na ochronę danych osobowych i rozporządzenie RODO. Czy nowe przepisy „chronią” dłużników przed upublicznieniem ich danych w takich rejestrach?

- Gdyby faktycznie tak było, należałoby podważyć sens działania biur informacji gospodarczej. To podmioty, które - co do zasady - przetwarzają dane osób zadłużonych, by informować o niespłaconych zobowiązaniach. Ochrona danych osobowych nie będzie uznana za usprawiedliwienie dla unikania terminowego regulowania zobowiązań, mimo tego, iż RODO wprowadziło wiele zmian prawnych w dotychczasowych przepisach podnoszących poziom ochrony. Jedynie wywiązywanie się ze zobowiązań i płacenie swoich długów pozwoli uchronić dłużnika przed tym, by jego dane nie były upubliczniane w jednym z rejestrów – podkreśla Andrzej Roter, Prezes Zarządu Konferencji Przedsiębiorstw Finansowych, która wraz z firmami windykacyjnymi zrzeszonymi w jej strukturach prowadzi kampanię edukacyjną „Windykacja? Jasna Sprawa”.

Biura Informacji Gospodarczej (a jest ich w Polsce kilka) działają w oparciu o ustawę o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych. Na podstawie tych przepisów dłużnik ma prawo sprzeciwu dotyczącego przetwarzania jego danych. Między innymi wtedy, gdy są one niewłaściwe (np. jest błąd w nazwisku) lub podana kwota zadłużenia jest inna niż w rzeczywistości. Osoba zadłużona może wnioskować o usunięcie swoich danych z rejestru, ale musi to dobrze udokumentować (np. przedstawić dowody, że jej zadłużenie zostało uregulowane lub jej nie dotyczy). Czy Biura Informacji Gospodarczej, wzorem innych podmiotów przestrzegających rozporządzenia RODO, muszą informować wszystkich dłużników, że ich dane są przetwarzane i widnieją w bazach? Nie - same BIG-i nie mają takiego obowiązku, zwłaszcza, że niejednokrotnie posiadają wiele takich informacji. O zamiarze wpisu do rejestru musi jednak zawiadomić zadłużonego sam wierzyciel.

- Pamiętajmy, że wierzyciel musi poinformować zadłużoną osobę lub firmę o zamiarze wpisania jej do danego Biura Informacji Gospodarczej. Powinien wysłać mu listownie lub wręczyć osobiście wezwanie do zapłaty ze specjalnym zapisem o tym, że brak zapłaty może spowodować dopisanie informacji gospodarczej o zadłużeniu do rejestru prowadzonego przez konkretny BIG. Jeśli do kilku BIG-ów, to wtedy powinien wpisać w takiej klauzuli informacyjnej nazwy wszystkich, do których zostanie dopisana informacja o zadłużeniu. Dzięki temu zadłużony wie, że jego dane mogą, zgodnie z prawem, być przekazane do konkretnego BIG-u lub nawet do wszystkich działających BIG-ów – przypomina Andrzej Roter, Prezes Zarządu KPF.

Przypadek 2:

Dane osobowe dłużnika na giełdzie wierzytelności

Zadłużenie, zarówno osoby prywatnej jak i firmy, można wystawić na tzw. giełdzie wierzytelności, czyli platformie umożliwiającej odsprzedanie go innemu wierzycielowi. Firma, która wystawia dług na sprzedaż publikuje wtedy nie tylko kwotę zadłużenia, podstawę roszczenia i cenę, za jaką chce je odsprzedać, ale również dane osobowe dłużnika. W przypadku osób fizycznych – imię, nazwisko, miasto zamieszkania i kod pocztowy. Czy robi to zgodnie z prawem?

- Wyniki kontroli UODO, czyli Urzędu Ochrony Danych Osobowych potwierdzają, że giełdy wierzytelności działają zgodnie z unijnym rozporządzeniem, a publikowanie danych osobowych dłużników na stronach internetowych takich giełd jest zgodne z prawem – podkreśla Andrzej Roter, Prezes Zarządu KPF.

Warto też pamiętać, że za poprawność danych, które są publikowane w takim serwisie odpowiada przedsiębiorca, który je tam zamieszcza. Dłużnik może zakwestionować poprawność swoich danych. W takich przypadkach (aż do chwili wyjaśnienia sprawy) dane osobowe są ukrywane.

Przypadek 3:

Przetwarzanie danych osobowych w procesie windykacji

Warto pamiętać, że rozporządzenie RODO dotyczy również danych osobowych dłużników przetwarzanych w procesie windykacji przez wierzycieli (w tym firmy windykacyjne). Zgodnie z RODO, przesłanką do tego, by przetwarzać czyjeś dane osobowe są „prawnie uzasadnione interesy”. Jeżeli celem jest dochodzenie roszczenia (czyli odzyskanie długów) to wierzyciel może przetwarzać dane dłużnika - również wtedy, gdy nie uzyskał na to jego zgody. Gdy wierzyciel osiągnie swój cel (czyli odzyska dług) powinien zaprzestać przetwarzania danych osobowych i usunąć je. Powyższe zasady dotyczą również tych instytucji, które uzyskały prawo do danej wierzytelności w oparciu o umowę cesji.

- Firmy zarządzające wierzytelnościami powinny dokładać wszelkiej staranności w kwestii ochrony danych osobowych dłużników. To oczywiste i niezwykle ważne, by dane te nie były wykorzystywane do innych celów niż do tych, do których zostały one przekazane – mówi Andrzej Roter, Prezes Zarządu KPF.

Zasady Dobrych Praktyk Windykacyjnych

Profesjonalne firmy windykacyjne zrzeszone w Konferencji Przedsiębiorstw Finansowych są zobowiązane do przestrzegania w codziennej pracy Zasad Dobrych Praktyk. To obszerny dokument, który określa m.in. w jaki sposób powinna wyglądać komunikacja z osobą zadłużoną (w tym korespondencja, rozmowy telefoniczne, czy wizyty przedstawiciela terenowego), jakie są praktyki zakazane i niedozwolone, jak chronić dane osobowe. Kluczowe jest zachowanie tajemnicy i pełna ochrona danych osobowych oraz niewykorzystywanie ich do celów innych niż do tych, do których zostały udostępnione.

Jeżeli zatem firma windykacyjna kontaktuje się z osobą zadłużoną i chce negocjować uregulowanie należności, dłużnik ma prawo wiedzieć skąd pozyskała jego dane i w jaki sposób je przetwarza. Dane osobowe powinny być objęte tajemnicą, a to oznacza, że firmie windykacyjnej nie wolno informować rodziny, sąsiadów, czy współpracowników, że osoba ma zadłużenie.

Warto pamiętać, że ochrona danych osobowych nie może być pretekstem do unikania swoich zobowiązań, a mimo zmian w prawie jedna rzecz pozostała niezmienna – uniknięcie wpisu do rejestru dłużników jest możliwe tylko wtedy, gdy opłaci się faktury oraz rachunki w terminie. Dobrze jednak znać swoje prawa dotyczące danych osobowych, także wtedy, gdy są one przetwarzane przez wierzycieli.