Wyrok - II SA/Wa 151/25 - Wojewódzki Sąd Administracyjny w Warszawie - z dnia 27 czerwca 2025
Teza
Oddalono skargę. Ochrona danych osobowych, Sprawy związane z ochroną danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Mateusz Rogala, , Protokolant starszy specjalista Bogumiła Kobierska po rozpoznaniu na rozprawie w dniu 27 czerwca 2025 r. sprawy ze skargi T. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Pismem z [...] grudnia 2018 r. T. K.Oddalono skargę. Ochrona danych osobowych, Sprawy związane z ochroną danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Mateusz Rogala, , Protokolant starszy specjalista Bogumiła Kobierska po rozpoznaniu na rozprawie w dniu 27 czerwca 2025 r. sprawy ze skargi T. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Pismem z [...] grudnia 2018 r. T. K.
Najważniejsze informacje
W skrócie
Wynik
oddalono skargę
Przedmiot
skarga administracyjna / kontrola aktu administracyjnego
Typ sprawy
sprawa administracyjna / kontrola aktu administracyjnego
Etap
postępowanie administracyjne sądowe / skarga na decyzję lub akt
Tryb
rozprawa
Tematy
skarga administracyjna
kontrola administracyjna
Role w sprawie
obwiniony
pokrzywdzeni / osoby niepokojone
cedent
apelujący / skarżący
Data orzeczenia
27 czerwca 2025
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Przewodniczący
Ewa Radziszewska-Krupa
Podstawa prawna
Rozstrzygnięcie
Oddalono skargę
UZASADNIENIE
Pismem z [...] grudnia 2018 r. T. K. (dalej: "skarżący") wniósł do Generalnego Inspektora Ochrony Danych Osobowych (dalej: "GIODO") skargę na przetwarzanie danych osobowych przez [...] z siedzibą w [...] (obecnie: [...] z siedzibą w [...]; dalej: "Fundusz") - działający przez [...] Sp. z o.o. z siedzibą w [...] (obecnie: [...] Sp. z o.o. z siedzibą w [...]; dalej: "Spółka") - który to Fundusz na podstawie umowy cesji wierzytelności z [...] maja 2017 r. nabył zobowiązanie od [...] S.A. z siedzibą w [...] (dalej: "[...]"), wynikające z umowy zawartej w dniu [...] stycznia 2012 r. i na tej podstawie przetwarza dane osobowe skarżącego niezgodnie z ustawą o ochronie danych osobowych. Ponadto skarżący domagał się nakazania Funduszowi, działającemu przez pełnomocnika - Spółkę, przywrócenia stanu zgodnego z prawem w procesie przetwarzania danych osobowych przez usunięcie jego danych osobowych przetwarzanych bez podstawy prawnej.Decyzją z [...] czerwca 2019 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ" - następca prawny GIODO), w oparciu o art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 572 ze zm.; dalej: "k.p.a."), art. 18 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.; dalej: "u.o.d.o. z 1997 r.") w związku z art. 160 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o. z 2018 r.") oraz art. 6 ust. 1 lit. f i art. 28 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1 ze sprost.; dalej: "RODO"), odmówił uwzględnienia wniosku skarżącego.W uzasadnieniu ww. decyzji organ podał, że Spółka nabyła od Funduszu dane osobowe skarżącego na mocy umowy z [...] stycznia 2012 r. o zarządzanie wierzytelnościami. W ramach tej umowy, łączącej Fundusz i Spółkę, Fundusz przekazał Spółce dane osobowe skarżącego celem podejmowania czynności zmierzających do odzyskania wierzytelności. Natomiast wierzytelność, dotycząca zadłużenia skarżącego, została nabyta przez Fundusz od [...] na podstawie umowy sprzedaży wierzytelności z [...] maja 2017 r. Zatem Fundusz wstąpił w prawa wierzyciela w zakresie wierzytelności dotyczącej skarżącego, a cesja wierzytelności nastąpiła w oparciu o art. 509 i nast. ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 1061 ze zm.; dalej: "k.c.").Zakres pozyskanych przez Spółkę danych osobowych skarżącego obejmował: imię, nazwisko, datę urodzenia, płeć, nr ewidencyjny PESEL, adresy korespondencyjne, nr telefonu, adres poczty elektronicznej, informacje dotyczące podstawy roszczenia w rozbiciu na składniki finansowe, tj. należność główną i odsetki, nr rachunku bankowego dedykowanego do spłaty zadłużenia, datę zawarcia umowy oraz datę rozwiązania umowy.PUODO wyjaśnił, iż w momencie wejścia w życie przepisów u.o.d.o. z 2018 r., Biuro GIODO stało się Urzędem Ochrony Danych Osobowych, zaś z dniem [...] maja 2018 r., w stosunku do procesów przetwarzania danych osobowych, zaczęło obowiązywać w krajach członkowskich Unii Europejskiej RODO.W czasie, gdy skarga wpłynęła do GIODO, obowiązywała u.o.d.o. z 1997 r., dlatego ocenę pozyskania danych osobowych skarżącego przez Spółkę należy rozpatrywać w świetle ww. ustawy.Według u.o.d.o. z 1997 r., aby przetwarzanie danych osobowych było zgodne z prawem, administrator był obowiązany przetwarzać dane osobowe na podstawie przesłanek określonych w art. 23 ust. 1 pkt 1-5 (w przypadku tzw. danych zwykłych, jak np. imię, nazwisko czy adres) w związku z art. 23 ust. 4 pkt 2. Dodatkowo, stosownie do treści art. 31 u.o.d.o. z 1997 r., administrator danych mógł powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1). Podmiot, o którym mowa w ust. 1, mógł przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2).W obowiązującym od 25 maja 2018 r. RODO ustanowiono przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych (vide art. 1 ust. 1 RODO).Jak wskazał organ, Fundusz pozyskał dane osobowe skarżącego w związku z zawarciem z [...] umowy sprzedaży wierzytelności z [...] maja 2017 r., co znajduje oparcie w art. 509 § 1 k.c. Zgodnie tym przepisem, wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Na mocy powyższej umowy, Fundusz nabył od [...] wierzytelność wobec skarżącego. Cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika umożliwiających podjęcie względem niego stosownych działań zmierzających do odzyskania należności. Powyższa dopuszczalność przelewu wierzytelności nie podlegała ograniczeniom umownym ani ustawowym. Nie była również wymagana zgoda skarżącego na przelew wierzytelności. Przekazanie danych osobowych dłużników firmom windykacyjnym może nastąpić bez ich zgody, nie naruszając przy tym ochrony danych osobowych, które należy uznać za aktualne w odniesieniu do przedmiotowej sprawy.Fundusz, na podstawie ww. umowy, stał się administratorem przekazanych danych, przetwarzając je w celu windykacji nabytych należności. Przesłanką legalizującą pozyskanie przez Fundusz danych osobowych skarżącego był art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r., który określał prawnie usprawiedliwiony cel przetwarzania. Zatem w przypadku przetwarzania danych przez Fundusz przed 25 maja 2018 r. podstawę prawną stanowił ww. przepis, a obecnie jest to art. 6 ust. 1 lit. f RODO.W myśl § 2 umowy z 10 stycznia 2012 r. o zarządzanie sekurytyzowanymi wierzytelnościami, Spółka zarządza wierzytelnościami sekurytyzowanymi należącymi do aktualnego wierzyciela, tj. Funduszu. Tym samym przesłanką legalizującą przetwarzanie danych osobowych skarżącego przez Spółkę jest również art. 28 RODO.U.o.d.o. z 1997 r. zezwalała administratorowi danych na powierzenie innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzania danych (art. 31 ust. 1), zastrzegając jedynie, że podmiot, któremu dane powierzono może je przetwarzać wyłącznie w zakresie i celu przewidzianym w umowie (art. 31 ust. 1 i 2). Obecnie Spółka przetwarza dane osobowe skarżącego na podstawie prawnej wynikającej z art. 28 RODO. W myśl art. 28 ust. 3 RODO, przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora.W sprawie zastosowanie znajduje art. 17 ust. 1 lit. a-f RODO stanowiący, iż osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe w sytuacji, gdy zachodzi jedna z okoliczności wskazanych w powyższym artykule. Jednak wedle art. 17 ust. 3 lit. e RODO, powyższy przepis nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Przeprowadzone postępowanie wykazało, że dane osobowe skarżącego są przetwarzane przez Spółkę w celu dochodzenia roszczeń.Organ stwierdził, iż przetwarzanie danych skarżącego przez Spółkę znajdowało uzasadnienie zarówno w przepisach u.o.d.o. z 1997 r., jak i w obecnie obowiązującym RODO. W ustalonym stanie faktycznym i prawnym sprawy, przetwarzanie danych osobowych skarżącego nie może być oceniane jako naruszające jego prawa i wolności. Skarżący jako dłużnik musi liczyć się z tym, że popadając w zwłokę w spełnieniu zobowiązania, jego prawo do prywatności może zostać ograniczone ze względu na dochodzenie przez wierzyciela należnych mu kwot. W przeciwnym przypadku mogłoby dojść do sytuacji, w której dłużnik, powołując się na prawo do ochrony danych osobowych (prawo do prywatności), skutecznie uchyliłby się od spoczywającego na nim obowiązku spełnienia świadczenia i w konsekwencji ograniczyłby (wyłączyłby) prawo wierzyciela do uzyskania należnej mu zapłaty. Powołanie się na prawo do ochrony danych osobowych musiałoby też ograniczać przewidziane szczególnymi przepisami prawo do zbycia wierzytelności i podejmowania dalszych działań w sprawie ich odzyskania.PUODO podkreślił, iż nie badał kwestii istnienia lub nieistnienia wierzytelności ani jej wysokości, gdyż są to sprawy cywilne w rozumieniu art. 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 1568 ze zm.; dalej: "k.p.c.") i powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. Także odnosząc się do przedstawionego w skardze argumentu przedawnienia roszczenia, organ wyjaśnił, że kwestia ta pozostaje poza zakresem kognicji PUODO, gdyż jest sprawą cywilną i może być rozpatrywana wyłącznie w postępowaniu prowadzonym przez sąd powszechny. PUODO nie jest właściwym organem do badania istnienia podstawy prawnej wierzytelności. W niniejszym postępowaniu ocenie podlegała wyłącznie legalność przetwarzania danych osobowych skarżącego przez Spółkę.Co do akcentowanego przez skarżącego natarczywego wykonywania telefonów do niego, organ wskazał, iż takie działanie może być rozpatrywane w kontekście praktyk stosowanych przez firmy windykacyjne. Według ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (obecnie tekst jednolity: Dz. U z 2024 r., poz. 1616 ze zm.), sprawy dotyczące praktyk naruszających zbiorowe interesy konsumentów, w tym m.in. stosowanie wobec konsumentów niedopuszczalnego nacisku celem przymuszenia ich do zapłaty długu poprzez wykorzystywanie w kontaktach z konsumentami w toku czynności windykacyjnych haseł i komunikatów, których treść może wywoływać u konsumentów poczucie zastraszania i lęku oraz służyć wywieraniu presji psychicznej ukierunkowanej na wymuszenie dokonania zapłaty płatności są sprawami, które należą do kompetencji Prezesa Urzędu Ochrony Konkurencji i Konsumentów.Powyższa decyzja stała się przedmiotem skargi skarżącego do Wojewódzkiego Sądu Administracyjnego w Warszawie (dalej też: "Sąd pierwszej instancji", "WSA", "tutejszy Sąd"), w której zarzucono organowi błąd w ustaleniach faktycznych, polegający na przyjęciu, że jest dłużnikiem, podczas gdy był jedynie klientem [...]. Podniósł też naruszenie art. 5 ust. 1 lit. c RODO poprzez brak nakazu usunięcia nr telefonu ze zbioru danych Spółki. Jak podał skarżący, posiadanie przez firmę windykacyjną jego nr telefonu służyło tylko jako forma nacisku, a jest to sprzeczne z zasadą minimalizmu określoną w RODO. W celu rzeczywistego dochodzenia "roszczeń" niezbędne są tylko dane w postaci imienia i nazwiska oraz danych adresowych.Wyrokiem z 6 listopada 2020 r., sygn. akt II SA/Wa 2104/19, Sąd pierwszej instancji oddalił skargę. W uzasadnieniu wyroku tutejszy Sąd podzielił stanowisko organu, iż przepisami uprawniającymi do przetwarzania danych osobowych skarżącego są aktualnie art. 6 ust. 1 lit. f oraz art. 28 ust. 3 RODO dopuszczające przetwarzanie danych na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii Europejskiej lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. WSA także uznał, iż sprzedaż wierzytelności jest dopuszczalna na podstawie art. 509 § 1 k.c. Cesja wierzytelności wiąże się z uprawnieniem do przekazania nabywcy danych osobowych dłużnika. Na mocy umowy o sprzedaż wierzytelności, Fundusz stał się administratorem przekazanych danych, przetwarzając je w celu windykacji nabytych wierzytelności. Przesłanką uprawniającą do przetwarzania przez Fundusz danych osobowych skarżącego do [...] maja 2018 r. był art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. Zdaniem Sądu pierwszej instancji, trafnie PUODO nie badał kwestii istnienia wierzytelności oraz jej wysokości, pozostawiając tę ocenę sądom powszechnym.Ustosunkowując się do kwestii minimalizacji danych, tutejszy Sąd zwrócił uwagę, że pierwotnie skarżący domagał się usunięcia jego danych osobowych przez Spółkę, przetwarzanych bez podstawy prawnej, a nie ich minimalizacji. Żądanie minimalizacji danych przez nakazanie firmie windykacyjnej usunięcia nr telefonu skarżącego zostało sformułowane dopiero na etapie skargi sądowoadministracyjnej, wobec czego organ zasadnie ograniczył się do żądania zawartego we wniosku skarżącego wszczynającego postępowanie administracyjne.Skarżący wywiódł skargę kasacyjną od ww. orzeczenia, zaskarżając je w całości. Wyrokiem z 13 stycznia 2022 r., sygn. akt III OSK 4763/21, Naczelny Sąd Administracyjny (dalej: "NSA", "Sąd kasacyjny", "Sąd drugiej instancji") uchylił zaskarżony wyrok i zaskarżoną decyzję oraz zasądził od organu na rzecz skarżącego zwrot kosztów postępowania przed Sądem pierwszej instancji.W uzasadnieniu orzeczenia Sąd kasacyjny jako słuszne ocenił stanowisko PUODO, zaakceptowane przez Sąd pierwszej instancji, że skoro Spółka wykazała istnienie wierzytelności, to organ nie jest uprawniony do rozstrzygnięcia sporu między nią a skarżącym w przedmiocie wygaśnięcia tej wierzytelności z powodu przedawnienia. NSA podzielił pogląd, iż spór odnośnie istnienia lub nieistnienia wierzytelności jest sprawą cywilną w rozumieniu art. 1 k.p.c., do którego rozstrzygnięcia jest właściwy sąd powszechny, m.in. w trybie art. 189 k.p.c. (tj. rozstrzygnięcia powództwa o ustalenie). W kontrolowanym postępowaniu administracyjnym ocenie podlegała wyłącznie legalność przetwarzania danych osobowych skarżącego przez Spółkę. Zarzut skarżącego polegający na tym, że organ - nie posiadając możliwości zbadania tej kwestii - powinien zawiesić postępowanie i zobowiązać go do uruchomienia procedury przed sądem cywilnym, nie został oparty na jakimkolwiek przepisie prawa, z którego wynikałby taki obowiązek PUODO. Związanie Sądu kasacyjnego podstawami skargi kasacyjnej nie pozwala na domniemywanie, z naruszeniem jakiego przepisu skarżący wiąże swój zarzut. To czyni bezskutecznymi twierdzenia skarżącego o obowiązku zawieszenia postępowania przez organ. Okoliczność, iż stanowisko WSA o braku możliwości badania przez organ istnienia lub nieistnienia wierzytelności jest niezgodne z oczekiwaniami skarżącego, nie stanowi naruszenia art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 935 ze zm.; dalej: "p.p.s.a.").Natomiast za trafny Sąd drugiej instancji uznał zarzut naruszenia art. 145 § 1 pkt 1 lit. a p.p.s.a. w związku z art. 5 ust. 1 lit. c RODO. Skarżący już w skardze zarzucił naruszenie zasady minimalizmu wynikającej z art. 5 ust. 1 lit. c RODO przez nienakazanie usunięcia jego nr telefonu ze zbioru danych, ponieważ przetwarzane dane osobowe w tym zakresie nie są niezbędne do celu w jakim są przetwarzane. Sąd pierwszej instancji stwierdził, że żądanie minimalizacji danych przez nakazanie firmie windykacyjnej usunięcia nr telefonu skarżącego zostało sformułowane dopiero na etapie skargi sądowoadministracyjnej, dlatego PUODO prawidłowo odniósł się do żądania zawartego w skierowanym do GIODO wniosku, odmawiając uwzględnienia tego wniosku. Zdaniem NSA, stanowisko Sądu pierwszej instancji w tym zakresie nie jest uzasadnione, gdyż już w toku postępowania administracyjnego skarżący podnosił, iż do egzekucji wierzytelności zbędny jest jego nr telefonu, który służy Spółce jako forma bezprawnego nacisku na niego, w celu zapłaty nieistniejącej wierzytelności. Skarżący akcentował wówczas, że przetwarzanie jego danych jest niezgodne z podstawową przesłanką adekwatności i celowości przetwarzana danych osobowych. W takiej sytuacji organ zobowiązany był wziąć pod uwagę wynikającą z art. 5 ust. 1 lit. c RODO zasadę minimalizacji danych oraz zbadać, czy konkretne przetwarzane przez Spółkę dane osobowe skarżącego są adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Skoro skarżący w szczególności wskazywał na nieprawidłowe przetwarzania jego nr telefonu, to PUODO niewłaściwie odesłał go w tym zakresie do postępowania przed Prezesem Urzędu Ochrony Konkurencji i Konsumentów. Skarżący nie żądał nakazania zaprzestania natarczywego wykonywania telefonów do niego, lecz usunięcia jego danych osobowych, w tym nr telefonu. Przy czym, jak zaznaczył Sąd kasacyjny, nie konwaliduje wskazanego uchybienia organu lakoniczne i gołosłowne twierdzenie, zawarte w odpowiedzi na skargę kasacyjną, iż pozbawienie możliwości przetwarzania nr telefonu skarżącego utrudniłoby Spółce realizację celu.Wbrew twierdzeniom PUODO, skarżący jasno sprecyzował swoje żądanie co do przetwarzania jego danych osobowych bez podstawy prawnej i ich usunięcia. Żądanie to spełnia wymóg precyzyjności wynikający z art. 63 § 2 k.p.a. Wskazanie podstawy prawnej nie wynika z treści art. 63 § 2 k.p.a. Skarżący nie był zobowiązany podawać podstawy prawnej swojego żądania, a organ nie był podaną podstawą prawną związany. Według NSA, oczywiste jest, że w sytuacji, gdy żądanie dotyczyło nieprawidłowego przetwarzania wszystkich danych osobowych skarżącego, a nieprawidłowość nie dotyczyła wszystkich danych, lecz tylko ich części, to organ zobowiązany był uwzględnić wniosek w części, zaś w pozostałej części go oddalić. W rezultacie nie można zgodzić się z twierdzeniem Sądu pierwszej instancji, iż wobec tego, że pierwotnie skarżący żądał usunięcia jego danych osobowych przez Spółkę przetwarzanych bez podstawy prawnej, a nie ich minimalizacji, natomiast żądanie minimalizacji danych przez nakazanie firmie windykacyjnej usunięcia nr telefonu skarżącego zostało sformułowane dopiero na etapie skargi sądowoadministracyjnej, to PUODO nie był obowiązany stosować zasady minimalizacji danych przy rozstrzygnięciu sprawy. WSA nieprawidłowo ocenił nierozpoznanie sprawy przez organ w zakresie zgodności przetwarzania danych osobowych skarżącego z zasadą minimalizacji danych wynikającą z art. 5 ust. 1 lit. c RODO, ponieważ błędnie uznał zarzut naruszenia tej zasady jako żądanie nieobjęte przedmiotową sprawą.NSA zalecił, aby PUODO - ponownie rozpoznając sprawę - stosownie do treści art. 153 p.p.s.a., rozpoznał ją w zakresie zgodności procesu przetwarzana przez Spółkę danych osobowych skarżącego z zasadą minimalizacji danych, w szczególności w odniesieniu do przetwarzania nr telefonu skarżącego.Po ponownym rozpatrzeniu sprawy, organ decyzją z [...] listopada 2024 r. nr [...], działając na podstawie art. 104 § 1 k.p.a., art. 160 ust. 1 i 2 u.o.d.o. z 2018 r. w związku z art. 18 ust. 1 u.o.d.o. 1997 r. oraz art. 6 ust. 1 lit. f RODO, odmówił uwzględnienia wniosku skarżącego.W uzasadnieniu ww. rozstrzygnięcia PUODO przypomniał, iż Fundusz - na mocy umowy cesji wierzytelności z [...] maja 2017 r. zawartej z [...] - nabył od wierzyciela pierwotnego, tj. [...], wierzytelność względem skarżącego, co znajduje oparcie w art. 509 § 1 k.c.Jak przyznała Spółka w toku postępowania administracyjnego, nr telefonu jest niezbędny do podjęcia prób polubownego ustalenia planu spłaty zadłużenia, zarówno poprzez nawiązanie połączenia telefonicznego, jak i wysyłanie wiadomości tekstowych. Podczas podejmowanych prób nawiązania połączenia telefonicznego ze skarżącym, udawało się z nim skontaktować, a kilkakrotnie z osobą trzecią będącą pracownikiem jego kancelarii. Skarżący też wykonywał połączenia telefoniczne do Spółki. Spółka zapewniła, że procesy przez nią realizowane, są projektowane z uwzględnieniem obowiązujących wymogów w zakresie poufności informacji i ochrony danych osobowych. Połączenia telefoniczne ze skarżącym odbywały się w dniach: [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] września 2017 r., [...] września 2017 r., [...] października 2017 r., [...] października 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] lipca 2018 r., [...] lipca 2018 r., [...] września 2018 r., [...] września 2018 r. i [...] września 2018 r. W trakcie rozmowy skarżący odmawiał dalszej weryfikacji, która pozwalałaby przekazać informacje odnośnie celu rozmowy oraz dawałaby szansę na podjęcie próby negocjacji warunków spłaty zadłużenia bądź rozłączał się. Z tych przyczyn rozmowy z nim były kończone. Z kolei rozmowy z osobą trzecią - pracownikiem kancelarii skarżącego miały miejsce w dniach: [...] sierpnia 2017 r., [...] lipca 2018 r. i [...] lipca 2018 r. Sprowadzały się one do pozostawienia nr telefonu z prośbą o kontakt skarżącego. Na nr telefonu skarżącego były także wysyłane wiadomości tekstowe, a mianowicie w dniach: [...] lipca 2017 r., [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] września 2017 r., [...] września 2017 r., [...] września 2017 r., [...] września 2017 r., [...] października 2017 r., [...] października 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r. (dwukrotnie), [...] stycznia 2018 r., [...] stycznia 2018 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] kwietnia 2018 r., [...] kwietnia 2018 r., [...] kwietnia 2018 r. (dwukrotnie), [...] kwietnia 2018 r., [...] kwietnia 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] czerwca 2018 r., [...] czerwca 2018 r., [...] czerwca 2018 r., [...] czerwca 2018 r., [...] lipca 2018 r., [...] lipca 2018 r., [...] lipca 2018 r., [...] sierpnia 2018 r., [...] sierpnia 2018 r., [...] sierpnia 2018 r., [...] września 2018 r., [...] września 2018 r., [...] października 2018 r., [...] października 2018 r., [...] października 2018 r. i [...] listopada 2018 r., przy czym skarżący w żaden sposób nie ustosunkował się do otrzymanych wiadomości tekstowych.Towarzystwo zarządzające Funduszem poinformowało organ w ramach wyjaśnień, iż zobowiązanie skarżącego nie zostało spłacone, a Fundusz nadal przetwarza jego dane (w tym nr telefonu) w celu dochodzenia roszczeń. Przetwarzanie danych skarżącego wynika również z toczącego się postępowania skargowego przed PUODO (o nr [...]) w celu wypełnienia obowiązku prawnego ciążącego na administratorze. Natomiast działania windykacyjne zostały zawieszone do czasu zakończenia ww. postępowania.Spółka przekazała PUODO, że - zgodnie z jej wiedzą - aktualnie nie toczy się postępowanie karne w związku z prowadzonymi wobec skarżącego działaniami windykacyjnymi (w tym windykacją drogą telefoniczną).Z kolei skarżący podniósł, iż na skutek działań Spółki było prowadzone postępowanie z wniosku organów ścigania o ukaranie dyrektora operacyjnego Spółki za wykroczenie z art. 107 ustawy z dnia 20 maja 1971 r. Kodeks wykroczeń (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 734; dalej: "k.w.") obwinionego o to, że będąc dyrektorem operacyjnym w Spółce odpowiedzialnym za dział zajmujący się windykacją, w okresie od [...] lipca 2018 r. do [...] lipca 2018 r., poprzez notoryczne wydzwanianie oraz wysyłanie wiadomości tekstowych SMS, żądał pilnego kontaktu ze Spółką, czym w sposób uporczywy złośliwie niepokoił skarżącego. Wyrokiem z [...] lipca 2019 r., sygn. akt [...] , Sąd Rejonowy w [...] uniewinnił obwinionego dyrektora od zarzucanego mu czynu. Według informacji przekazanych organowi przez Sąd Rejonowy w [...], [...] Wydział [...], ww. sprawa została zakończona prawomocnym wyrokiem, zaś akta z uwagi na upływ czasu przechowywania, zostały zarchiwizowane, tj. zniszczone.W ocenie organu, Towarzystwo zarządzające Funduszem w złożonych wyjaśnieniach udokumentowało nabycie wierzytelności względem skarżącego, które uprawniało Fundusz do podjęcia i prowadzenia czynności windykacyjnych. Przetwarzanie danych osobowych skarżącego przez Fundusz w celu dochodzenia roszczeń i prowadzenia działań windykacyjnych było i nadal jest procesem niezbędnym do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Obecnie następuje w ramach przesłanki legalizującej określonej w art. 6 ust. 1 lit. f RODO, natomiast przed rozpoczęciem obowiązywania przepisów RODO (tj. przed 25 maja 2018 r.) powyższy proces miał za podstawę przesłankę z art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r.PUODO zaznaczył, że przepisy dotyczące ochrony danych osobowych nie mogą być wykorzystywane do uchylania się przez dłużników od spełnienia zaległych zobowiązań. Znajduje to potwierdzenie w orzecznictwie sądowoadministracyjnym. I tak np. Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 30 listopada 2004 r., sygn. akt II SA/Wa 1057/04, stwierdził, iż "(...) zasadą powszechnie akceptowaną, wynikającą nie tylko z przepisów prawa cywilnego, lecz także z norm moralnych, zasad współżycia społecznego oraz dobrych obyczajów jest regulowanie zaciągniętych zobowiązań (zapłata długów). Zasada ta w pełni odnosi się do podmiotów prawa mających status konsumentów. (...) Dłużnik, który nie wywiązuje się ze swoich zobowiązań, musi liczyć się z konsekwencjami, wynikającymi z przepisów regulujących obrót gospodarczy. Gdyby generalnie uznać każdy wypadek przetwarzania danych osobowych dłużnika (będącego konsumentem) za godzący w jego prawa i wolności, doszłoby z jednej strony do niczym nieuzasadnionej ochrony osób niewywiązujących się ze swoich zobowiązań, z drugiej natomiast do naruszenia zasady swobody działalności gospodarczej, co z pewnością nie było zamiarem ustawodawcy przy uchwalaniu ustawy o ochronie danych osobowych" (orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl).W rozpoznawanej sprawie PUODO dokonał jedynie oceny legalności przetwarzania danych osobowych skarżącego. Nie badał kwestii istnienia lub nieistnienia wierzytelności ani słuszności i zakresu roszczeń cywilnoprawnych Funduszu względem skarżącego, bo zagadnienie to pozostaje poza kompetencjami organu, na co wskazał też Sąd kasacyjny w wiążącym PUODO wyroku z 13 stycznia 2022 r., sygn. akt III OSK 4763/21.Fundusz powierzył Spółce przetwarzanie danych skarżącego, na podstawie łączących te podmioty umów: umową o zarządzanie wierzytelnościami z [...] stycznia 2012 r., a następnie - w związku ze zmianą Towarzystwa inwestycyjnego zarządzającego Funduszem - umową o zarządzanie wierzytelnościami z [...] listopada 2020 r. zawartą z Towarzystwem (zarządzającym Funduszem) oraz umową powierzenia przetwarzania danych z [...] listopada 2020 r. Tak więc przetwarzanie danych osobowych skarżącego przez Spółkę w imieniu administratora, tj. Funduszu, znajdowało oparcie w art. 31 ust. 1 u.o.d.o. z 1997 r., w myśl którego administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Po 25 maja 2018 r. jego podstawą jest art. 28 ust. 3 RODO. Spółka nie przetwarzała i nie przetwarza danych osobowych skarżącego bez podstawy prawnej, gdyż proces ten jest dokonywany imieniu administratora, tj. Funduszu, co nie wymagało uzyskania uprzedniej zgody skarżącego.Zdaniem organu, zakres danych przetwarzanych przez Fundusz w celu dochodzenia wierzytelności od skarżącego, w tym powierzony Spółce, tj. imię i nazwisko, nr ewidencyjny PESEL, data urodzenia, adres korespondencyjny, adres poczty elektronicznej, nr telefonu kontaktowego, nr klienta, data zawarcia i rozwiązania umowy, informacje dotyczące podstawy roszczenia w rozbiciu na składniki finansowe tj. należność główną i odsetki oraz nr rachunku bankowego dedykowanego do spłaty zadłużenia, jest zgodny z zasadą minimalizacji, wynikającą poprzednio z art. 26 ust. 1 pkt 3 u.o.d.o. z 1997 r., a obecnie z art. 5 ust. 1 lit. c RODO. Taki zakres danych należy bowiem uznać za niezbędny do realizacji celu, którym jest prowadzenie w sposób efektywny czynności windykacyjnych przez Fundusz i działającą w jego imieniu Spółkę. Powyższe dane identyfikują skarżącego jako dłużnika, wobec którego prowadzone są czynności windykacyjne, a także umożliwiają nawiązanie z nim kontaktu drogą poczty tradycyjnej lub elektronicznej oraz poprzez kontakt telefoniczny, co jest niezbędne do prowadzenia pozasądowych działań windykacyjnych, zmierzających do odzyskania przedmiotowej wierzytelności. Ponadto dane te określają podstawę dochodzonej wierzytelności oraz jej wysokość.Skarżący zarzucił, iż sposób przetwarzania jego danych osobowych przez Spółkę, tj. częste wykonywanie do niego połączeń telefonicznych w różnych porach dnia, jest niezgodne z przesłanką adekwatności i celowości. Jak wynika z zebranego w sprawie materiału dowodowego, Spółka podejmowała wielokrotnie czynności windykacyjne w stosunku do skarżącego, w tym również przy użyciu jego nr telefonu. Spółka wyjaśniła, że w ramach prowadzonych czynności windykacyjnych, drogą telefoniczną nie była w stanie dokonać jednoznacznej weryfikacji skarżącego, ponieważ rozłączał się albo odmawiał dalszej weryfikacji, która pozwalałaby na przekazanie informacji o celu rozmowy oraz dawałaby szansę na podjęcie próby negocjacji warunków spłaty zadłużenia. Natomiast rozmowy z osobą trzecią - pracownikiem kancelarii skarżącego kończyły się pozostawieniem nr telefonu z prośbą o kontakt skarżącego. Ponadto Spółka wielokrotnie wysyłała na nr telefonu skarżącego wiadomości tekstowe.Według PUODO, powyższe działanie Spółki nie stanowiło naruszenia przepisów o ochronie danych osobowych. Przetwarzanie danych osobowych dłużnika w celu dochodzenia od niego zaspokojenia roszczeń stanowi prawnie usprawiedliwiony cel oraz nie narusza jego praw i wolności. W pojęciu dochodzenia roszczeń mieszczą się zarówno sądowe, jak i pozasądowe działania zmierzające do zaspokojenia wierzytelności przez wierzyciela, mieszczące się w granicach obowiązujących przepisów (vide wyrok NSA z 10 listopada 2015 r., sygn. akt I OSK 1210/14). Obowiązujące przepisy prawa nie określają katalogu, który przewidywałby możliwe sposoby postępowań służące dochodzeniu roszczeń. Przetwarzanie nr telefonu osoby będącej dłużnikiem, tym bardziej w sytuacji, gdy unika on kontaktu z wierzycielem, przez co uniemożliwia podjęcie próby jakiejkolwiek negocjacji warunków spłaty zadłużenia, nie może być traktowane jako naruszające jego prawa i wolności. Przepisy o ochronie danych osobowych nie mogą być, w ocenie organu, wykorzystywane przez dłużnika w sposób zmierzający do uniknięcia odpowiedzialności za udokumentowany dług.PUODO przywołał też następujący fragment prawomocnego wyroku WSA z 27 kwietnia 2022 r., sygn. akt II SA/Wa 3469/21: "Jak zasadnie powołał organ, w myśl art. 4 pkt 1 RODO >>dane osobowe>osobie, której dane dotycząminimalizacja danychJak przyznała Spółka w toku postępowania administracyjnego, nr telefonu jest niezbędny do podjęcia prób polubownego ustalenia planu spłaty zadłużenia, zarówno poprzez nawiązanie połączenia telefonicznego, jak i wysyłanie wiadomości tekstowych. Podczas podejmowanych prób nawiązania połączenia telefonicznego ze skarżącym, udawało się z nim skontaktować, a kilkakrotnie z osobą trzecią będącą pracownikiem jego kancelarii. Skarżący też wykonywał połączenia telefoniczne do Spółki. Spółka zapewniła, że procesy przez nią realizowane, są projektowane z uwzględnieniem obowiązujących wymogów w zakresie poufności informacji i ochrony danych osobowych. Połączenia telefoniczne ze skarżącym odbywały się w dniach: [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] września 2017 r., [...] września 2017 r., [...] października 2017 r., [...] października 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] lipca 2018 r., [...] lipca 2018 r., [...] września 2018 r., [...] września 2018 r. i [...] września 2018 r. W trakcie rozmowy skarżący odmawiał dalszej weryfikacji, która pozwalałaby przekazać informacje odnośnie celu rozmowy oraz dawałaby szansę na podjęcie próby negocjacji warunków spłaty zadłużenia bądź rozłączał się. Z tych przyczyn rozmowy z nim były kończone. Z kolei rozmowy z osobą trzecią - pracownikiem kancelarii skarżącego miały miejsce w dniach: [...] sierpnia 2017 r., [...] lipca 2018 r. i [...] lipca 2018 r. Sprowadzały się one do pozostawienia nr telefonu z prośbą o kontakt skarżącego. Na nr telefonu skarżącego były także wysyłane wiadomości tekstowe, a mianowicie w dniach: [...] lipca 2017 r., [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] sierpnia 2017 r., [...] września 2017 r., [...] września 2017 r., [...] września 2017 r., [...] września 2017 r., [...] października 2017 r., [...] października 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] listopada 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r., [...] grudnia 2017 r. (dwukrotnie), [...] stycznia 2018 r., [...] stycznia 2018 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] lutego 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] marca 2018 r., [...] kwietnia 2018 r., [...] kwietnia 2018 r., [...] kwietnia 2018 r. (dwukrotnie), [...] kwietnia 2018 r., [...] kwietnia 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] maja 2018 r., [...] czerwca 2018 r., [...] czerwca 2018 r., [...] czerwca 2018 r., [...] czerwca 2018 r., [...] lipca 2018 r., [...] lipca 2018 r., [...] lipca 2018 r., [...] sierpnia 2018 r., [...] sierpnia 2018 r., [...] sierpnia 2018 r., [...] września 2018 r., [...] września 2018 r., [...] października 2018 r., [...] października 2018 r., [...] października 2018 r. i [...] listopada 2018 r., przy czym skarżący w żaden sposób nie ustosunkował się do otrzymanych wiadomości tekstowych.Towarzystwo zarządzające Funduszem poinformowało organ w ramach wyjaśnień, iż zobowiązanie skarżącego nie zostało spłacone, a Fundusz nadal przetwarza jego dane (w tym nr telefonu) w celu dochodzenia roszczeń. Przetwarzanie danych skarżącego wynika również z toczącego się postępowania skargowego przed PUODO (o nr [...]) w celu wypełnienia obowiązku prawnego ciążącego na administratorze. Natomiast działania windykacyjne zostały zawieszone do czasu zakończenia ww. postępowania.Spółka przekazała PUODO, że - zgodnie z jej wiedzą - aktualnie nie toczy się postępowanie karne w związku z prowadzonymi wobec skarżącego działaniami windykacyjnymi (w tym windykacją drogą telefoniczną).Z kolei skarżący podniósł, iż na skutek działań Spółki było prowadzone postępowanie z wniosku organów ścigania o ukaranie dyrektora operacyjnego Spółki za wykroczenie z art. 107 ustawy z dnia 20 maja 1971 r. Kodeks wykroczeń (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 734; dalej: "k.w.") obwinionego o to, że będąc dyrektorem operacyjnym w Spółce odpowiedzialnym za dział zajmujący się windykacją, w okresie od [...] lipca 2018 r. do [...] lipca 2018 r., poprzez notoryczne wydzwanianie oraz wysyłanie wiadomości tekstowych SMS, żądał pilnego kontaktu ze Spółką, czym w sposób uporczywy złośliwie niepokoił skarżącego. Wyrokiem z [...] lipca 2019 r., sygn. akt [...] , Sąd Rejonowy w [...] uniewinnił obwinionego dyrektora od zarzucanego mu czynu. Według informacji przekazanych organowi przez Sąd Rejonowy w [...], [...] Wydział [...], ww. sprawa została zakończona prawomocnym wyrokiem, zaś akta z uwagi na upływ czasu przechowywania, zostały zarchiwizowane, tj. zniszczone.W ocenie organu, Towarzystwo zarządzające Funduszem w złożonych wyjaśnieniach udokumentowało nabycie wierzytelności względem skarżącego, które uprawniało Fundusz do podjęcia i prowadzenia czynności windykacyjnych. Przetwarzanie danych osobowych skarżącego przez Fundusz w celu dochodzenia roszczeń i prowadzenia działań windykacyjnych było i nadal jest procesem niezbędnym do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Obecnie następuje w ramach przesłanki legalizującej określonej w art. 6 ust. 1 lit. f RODO, natomiast przed rozpoczęciem obowiązywania przepisów RODO (tj. przed 25 maja 2018 r.) powyższy proces miał za podstawę przesłankę z art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r.PUODO zaznaczył, że przepisy dotyczące ochrony danych osobowych nie mogą być wykorzystywane do uchylania się przez dłużników od spełnienia zaległych zobowiązań. Znajduje to potwierdzenie w orzecznictwie sądowoadministracyjnym. I tak np. Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 30 listopada 2004 r., sygn. akt II SA/Wa 1057/04, stwierdził, iż "(...) zasadą powszechnie akceptowaną, wynikającą nie tylko z przepisów prawa cywilnego, lecz także z norm moralnych, zasad współżycia społecznego oraz dobrych obyczajów jest regulowanie zaciągniętych zobowiązań (zapłata długów). Zasada ta w pełni odnosi się do podmiotów prawa mających status konsumentów. (...) Dłużnik, który nie wywiązuje się ze swoich zobowiązań, musi liczyć się z konsekwencjami, wynikającymi z przepisów regulujących obrót gospodarczy. Gdyby generalnie uznać każdy wypadek przetwarzania danych osobowych dłużnika (będącego konsumentem) za godzący w jego prawa i wolności, doszłoby z jednej strony do niczym nieuzasadnionej ochrony osób niewywiązujących się ze swoich zobowiązań, z drugiej natomiast do naruszenia zasady swobody działalności gospodarczej, co z pewnością nie było zamiarem ustawodawcy przy uchwalaniu ustawy o ochronie danych osobowych" (orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl).W rozpoznawanej sprawie PUODO dokonał jedynie oceny legalności przetwarzania danych osobowych skarżącego. Nie badał kwestii istnienia lub nieistnienia wierzytelności ani słuszności i zakresu roszczeń cywilnoprawnych Funduszu względem skarżącego, bo zagadnienie to pozostaje poza kompetencjami organu, na co wskazał też Sąd kasacyjny w wiążącym PUODO wyroku z 13 stycznia 2022 r., sygn. akt III OSK 4763/21.Fundusz powierzył Spółce przetwarzanie danych skarżącego, na podstawie łączących te podmioty umów: umową o zarządzanie wierzytelnościami z [...] stycznia 2012 r., a następnie - w związku ze zmianą Towarzystwa inwestycyjnego zarządzającego Funduszem - umową o zarządzanie wierzytelnościami z [...] listopada 2020 r. zawartą z Towarzystwem (zarządzającym Funduszem) oraz umową powierzenia przetwarzania danych z [...] listopada 2020 r. Tak więc przetwarzanie danych osobowych skarżącego przez Spółkę w imieniu administratora, tj. Funduszu, znajdowało oparcie w art. 31 ust. 1 u.o.d.o. z 1997 r., w myśl którego administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Po 25 maja 2018 r. jego podstawą jest art. 28 ust. 3 RODO. Spółka nie przetwarzała i nie przetwarza danych osobowych skarżącego bez podstawy prawnej, gdyż proces ten jest dokonywany imieniu administratora, tj. Funduszu, co nie wymagało uzyskania uprzedniej zgody skarżącego.Zdaniem organu, zakres danych przetwarzanych przez Fundusz w celu dochodzenia wierzytelności od skarżącego, w tym powierzony Spółce, tj. imię i nazwisko, nr ewidencyjny PESEL, data urodzenia, adres korespondencyjny, adres poczty elektronicznej, nr telefonu kontaktowego, nr klienta, data zawarcia i rozwiązania umowy, informacje dotyczące podstawy roszczenia w rozbiciu na składniki finansowe tj. należność główną i odsetki oraz nr rachunku bankowego dedykowanego do spłaty zadłużenia, jest zgodny z zasadą minimalizacji, wynikającą poprzednio z art. 26 ust. 1 pkt 3 u.o.d.o. z 1997 r., a obecnie z art. 5 ust. 1 lit. c RODO. Taki zakres danych należy bowiem uznać za niezbędny do realizacji celu, którym jest prowadzenie w sposób efektywny czynności windykacyjnych przez Fundusz i działającą w jego imieniu Spółkę. Powyższe dane identyfikują skarżącego jako dłużnika, wobec którego prowadzone są czynności windykacyjne, a także umożliwiają nawiązanie z nim kontaktu drogą poczty tradycyjnej lub elektronicznej oraz poprzez kontakt telefoniczny, co jest niezbędne do prowadzenia pozasądowych działań windykacyjnych, zmierzających do odzyskania przedmiotowej wierzytelności. Ponadto dane te określają podstawę dochodzonej wierzytelności oraz jej wysokość.Skarżący zarzucił, iż sposób przetwarzania jego danych osobowych przez Spółkę, tj. częste wykonywanie do niego połączeń telefonicznych w różnych porach dnia, jest niezgodne z przesłanką adekwatności i celowości. Jak wynika z zebranego w sprawie materiału dowodowego, Spółka podejmowała wielokrotnie czynności windykacyjne w stosunku do skarżącego, w tym również przy użyciu jego nr telefonu. Spółka wyjaśniła, że w ramach prowadzonych czynności windykacyjnych, drogą telefoniczną nie była w stanie dokonać jednoznacznej weryfikacji skarżącego, ponieważ rozłączał się albo odmawiał dalszej weryfikacji, która pozwalałaby na przekazanie informacji o celu rozmowy oraz dawałaby szansę na podjęcie próby negocjacji warunków spłaty zadłużenia. Natomiast rozmowy z osobą trzecią - pracownikiem kancelarii skarżącego kończyły się pozostawieniem nr telefonu z prośbą o kontakt skarżącego. Ponadto Spółka wielokrotnie wysyłała na nr telefonu skarżącego wiadomości tekstowe.Według PUODO, powyższe działanie Spółki nie stanowiło naruszenia przepisów o ochronie danych osobowych. Przetwarzanie danych osobowych dłużnika w celu dochodzenia od niego zaspokojenia roszczeń stanowi prawnie usprawiedliwiony cel oraz nie narusza jego praw i wolności. W pojęciu dochodzenia roszczeń mieszczą się zarówno sądowe, jak i pozasądowe działania zmierzające do zaspokojenia wierzytelności przez wierzyciela, mieszczące się w granicach obowiązujących przepisów (vide wyrok NSA z 10 listopada 2015 r., sygn. akt I OSK 1210/14). Obowiązujące przepisy prawa nie określają katalogu, który przewidywałby możliwe sposoby postępowań służące dochodzeniu roszczeń. Przetwarzanie nr telefonu osoby będącej dłużnikiem, tym bardziej w sytuacji, gdy unika on kontaktu z wierzycielem, przez co uniemożliwia podjęcie próby jakiejkolwiek negocjacji warunków spłaty zadłużenia, nie może być traktowane jako naruszające jego prawa i wolności. Przepisy o ochronie danych osobowych nie mogą być, w ocenie organu, wykorzystywane przez dłużnika w sposób zmierzający do uniknięcia odpowiedzialności za udokumentowany dług.PUODO przywołał też następujący fragment prawomocnego wyroku WSA z 27 kwietnia 2022 r., sygn. akt II SA/Wa 3469/21: "Jak zasadnie powołał organ, w myśl art. 4 pkt 1 RODO >>dane osobowe>osobie, której dane dotycząminimalizacja danych