Zasada ograniczenia czasowego przechowywania danych (art. 5 ust. 1 lit. e RODO) stanowi jedną z podstawowych zasad przetwarzania danych osobowych. Zgodnie z tą zasadą dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Przechowywanie danych osobowych przez dłuższy okres jest dopuszczalne, jeśli ma ono służyć do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 RODO, z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy RODO w celu ochrony praw i wolności osób, których dane dotyczą.
Z zasadą tą ściśle powiązany jest obowiązek okresowego usuwania (retencji) danych osobowych
Czytaj także: Dlaczego należy zapewniać okresowe usuwanie danych
Przetwarzanie danych osobowych po zakończeniu umowy
Po zakończeniu umowy z osobą fizyczną niewątpliwie ustaje jeden z realizowanych celów przetwarzania danych. Dane osobowe nie są już bowiem potrzebne do realizacji umowy. Trudno w związku z tym opierać dalsze przetwarzanie tych danych o art. 6 ust. 1 lit. b RODO, zgodnie z którym dopuszczalne jest przetwarzanie danych osobowych, jeśli jest ono niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.
Niezależnie od tego, nadal mogą jednak być realizowane inne cele przetwarzania danych osobowych, chociażby związane z wypełnieniem obowiązków prawnych ciążących na administratorze danych (np. z uwagi na przepisy podatkowe, czy przepisy obligujące do przechowywania określonego rodzaju dokumentacji, takiej jak dokumentacja pracownicza). Nie zawsze jednak takie przepisy w konkretnym przypadku znajdą zastosowanie.
Zgodnie z powszechną na rynku praktyką, po zakończeniu danej relacji umownej, dane osobowe zazwyczaj przechowywane są także dla potrzeb obrony przed ewentualnymi roszczeniami lub dla celów dochodzenia roszczeń. Ma to miejsce z reguły przez czas powiązany z okresem przedawnienia takich roszczeń (przykładowo art. 118 kodeksu cywilnego przewiduje ogólny 6-letni termin przedawnienia roszczeń bądź termin 3-letni dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej). Jako podstawę prawną przetwarzania danych osobowych podaje się w takim przypadku art. 6 ust. 1 lit. f RODO. Informacja o przetwarzaniu danych osobowych w takim celu (po zakończeniu umowy) zamieszczana jest z reguły już w klauzuli informacyjnej przedstawianej osobie, której dane dotyczą na etapie pozyskiwania od niej danych (np. przy okazji zawierania z nią umowy).
Od pewnego czasu Prezes Urzędu Ochrony Danych Osobowych kwestionuje jednak powyższą praktykę, przez co sprawy z tym związane trafiają do sądów administracyjnych. Niestety brak jest w tym zakresie jednolitej linii orzeczniczej, ponieważ stanowiska sądów administracyjnych różnią się od siebie. W konsekwencji działań ze strony organu nadzorczego w ostatnim czasie pojawiły się przy tym dwa kontrowersyjne orzeczenia Naczelnego Sądu Administracyjnego. Jednym z nich jest wyrok NSA z dnia 8 stycznia 2025 r., sygn. III OSK 4868/21. W orzeczeniu tym, bez pogłębionej analizy problemu, zakwestionowana została możliwość przechowywania danych osobowych po zakończeniu umowy dla celów obrony przed ewentualnymi roszczeniami. Drugim z tych orzeczeń jest wyrok NSA z dnia 5 lutego 2025 r., sygn. III OSK 6553/21. Wskazano w nim, że w przypadku umowy najmu samochodu brak ujawnienia szkód w wynajmowanym aucie w krótkim okresie po wykonaniu umowy najmu oznacza, że umowa została wykonana prawidłowo. Tym samym przyjęto, że brak jest podstaw dla dalszego legalnego przetwarzania danych osobowych najemcy auta.
Przechowywanie danych z uwagi na obowiązek prawny
Po zakończeniu umowy dane osobowe mogą być przechowywane z uwagi na obowiązek prawny, który spoczywa na administratorze danych. Takie obowiązki wynikają z konkretnych przepisów prawa (np. przepisów kodeksu pracy, które obligują do przechowywania dokumentacji pracowniczej, czy przepisów podatkowych, które zobowiązują do przechowywania dokumentów księgowych). Kwestia ta nie podlegała ocenie w świetle przywołanego wyżej wyroku NSA. Nie wydaje się zatem, aby mogła ona budzić obecnie jakiekolwiek wątpliwości.
Zgoda na przetwarzanie danych osobowych
Pomimo zakończenia relacji umownej osoba, której dane dotyczą, ma możliwość wyrażenia zgody na przetwarzanie jej danych osobowych w określonym w klauzuli zgody celu przetwarzania. Częstą praktyką rynkową jest m.in. odbieranie od klientów zgód na przetwarzanie danych osobowych do celów marketingowych po zakończeniu umowy z daną osobą. Działania takie mają na celu podtrzymanie relacji z klientami, także po zakończeniu korzystania przez taką osobę z określonych usług. Jest to jak najbardziej dopuszczalne, jeśli zgoda została prawidłowo wyrażona. Takie rozwiązanie nie zostało także w żaden sposób zakwestionowane w przywołanych wyżej wyrokach NSA. Należy przy tym pamiętać, że zgoda powinna spełniać wszystkie wymogi określone w przepisach RODO (w tym zapewniać dobrowolność, a także być konkretna, jednoznaczna i świadomie udzielona).
Dochodzenie roszczeń lub obrona przed roszczeniami, które są znane
W świetle przywołanych wyżej wyroków NSA nie budzi także większych wątpliwości możliwość przetwarzania danych osobowych do celów obrony przed roszczeniami lub do celów dochodzenia roszczeń, które są znane. W uzasadnieniu wyroku NSA z dnia 8 stycznia 2025 r. (sygn. III OSK 4868/21) wskazano, że „w stanie faktycznym niniejszej sprawy jako podstawę przetwarzania danych osobowych wnioskodawców strona skarżąca kasacyjnie wskazywała zabezpieczenie swoich interesów w przypadku dochodzenia przez wnioskodawców ewentualnych roszczeń, podczas gdy nie zostało wykazane, by wnioskodawcy wystąpili wobec strony skarżącej kasacyjnie z jakimkolwiek roszczeniem.” Tym samym, nawet jeśli nie ma już relacji umownej, to w przypadku zgłoszenia przez klienta konkretnych roszczeń, jego dane osobowe nadal mogą być przetwarzane dla potrzeb obrony przed takimi roszczeniami. W wyroku NSA z dnia 5 lutego 2025 r. (sygn. III OSK 6553/21) wskazano natomiast, że: „przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO powinno być niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów administratora, a te należy ustalać z uwzględnieniem charakter i kontekstu relacji łączącej administratora z osobą, której dane osobowe są przetwarzane. Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyłącznie z uwagi na potencjalność realizacji tego roszczenia. Jeśli zaś układ okoliczności faktycznych związanych z prawidłowym wykonaniem umowy najmu samochodu wskazuje na brak roszczeń stron względem siebie, to należy przyjąć, iż nie dojdzie do nawiązania “nowej relacji” między nimi (np. postępowania sądowego) i nie jest w takiej sytuacji dalsze przetwarzanie danych osobowych na tej podstawie, np. do upływu terminów przedawnienia.” Z tego orzeczenia wynika zatem, że administrator danych, który jest świadomy, że przysługuje mu konkretne roszczenie do czasu jego przedawnienia może przechowywać dane osobowe dotyczące osoby, wobec której mu ono przysługuje.
Dochodzenie roszczeń lub obrona przed roszczeniami, które nie są znane
Nie wszystkie roszczenia, których może dochodzić administrator danych, lub które mogą być dochodzone wobec niego po zakończeniu umowy, są znane w momencie zakończenia relacji umownej. Potrzeba dochodzenia określonych roszczeń może pojawić się później (np. wskutek pojawienia się określonych okoliczności). W przywołanych wyżej orzeczeniach niestety nie pochylono się wystarczająco wnikliwie nad tą problematyką.
Administrator danych nie wie także, czy (a jeśli tak to kiedy) podmiot danych wystąpi wobec niego z konkretnymi roszczeniami dotyczącymi danej umowy, a także – jakie potencjalnie mogą być to roszczenia. Możliwość skutecznej obrony przed ewentualnymi roszczeniami drugiej strony umowy (zwłaszcza w przypadku konsumenta) wymaga niewątpliwie posiadania przez administratora danych zarówno danych osobowych znajdujących się w samej umowie, jak również danych osobowych związanych z jej realizacją. Należy mieć przy tym, chociażby na uwadze, że w przypadku umów zawieranych z konsumentami przepisy odwracają czasami ciężar dowodu (np. zobowiązując sprzedawcę do udowodnienia zgodności towaru z umową). Trudno zatem w praktyce wyobrazić sobie skuteczną obronę przed potencjalnymi roszczeniami w sytuacji, w której administrator danych usunąłby dane osobowe dotyczące danej umowy.
Sam fakt, że dane roszczenie nie jest znane, bądź dana osoba z nim nie wystąpiła, nie oznacza automatycznie, że takie roszczenie się nie pojawi. Wydaje się zatem, że przetwarzanie danych osobowych (ograniczone w istocie do ich przechowywania) do celów obrony przed potencjalnymi roszczeniami (nawet jeśli nie są one w danym momencie znane) jest działaniem racjonalnym i zasadnym.
Niemniej jednak w świetle powołanego wyżej wyroku NSA z dnia 8 stycznia 2025 r. (sygn. III OSK 4868/21), który oddalił skargę kasacyjną na wyrok WSA w Warszawie z dnia 13 stycznia 2021 r. (sygn. akt II SA/Wa 607/20) takie działania zostały uznane za niezgodne z prawem, jako naruszające zasadę ograniczenia czasowego przetwarzania danych osobowych oraz prawo do bycia zapomnianym. NSA uznał bowiem, że takie działanie stanowi przetwarzanie danych „na zapas”, nie wyjaśniając przy tym w żaden sposób przyjętego stanowiska.
NSA podtrzymał bowiem wcześniejszy wyrok WSA, w którym przyjęto, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Uznano zatem, że ewentualne roszczenia ze strony byłego klienta nie uzasadniają przetwarzania danych osobowych.
W wyroku NSA z dnia 5 lutego 2025 r. (sygn. III OSK 6553/21), który oddalił skargę kasacyjną na wyrok WSA w Warszawie z dnia 11 marca 2021 r. (sygn. akt II SA/Wa 1340/20) przyjęto natomiast, że administrator danych nie powinien zasadniczo przechowywać danych dla potrzeb własnych, nieskonkretyzowanych roszczeń. W uzasadnieniu tego wyroku wskazano bowiem, że „ewentualne stwierdzenie podstaw odpowiedzialności kontraktowej lub deliktowej uprawniałoby do dalszego przetwarzania danych na potrzeby dochodzenia roszczeń od skarżącego, co nie miało miejsca na gruncie rozpoznawanej sprawy.”
Przechowywanie danych po zakończeniu umowy – Podsumowanie
Po zakończeniu relacji umownej można nadal przetwarzać dane osobowe, o ile wykaże się stosowną podstawę prawną dla takich działań. Organ nadzorczy w ostatnim czasie coraz częściej kwestionuje jednak przechowywanie danych do celów obrony przed potencjalnymi roszczeniami po zakończeniu umowy, uznając, że takie działania stanowią przetwarzanie danych „na zapas”. Kierunek ten niestety bywa także aprobowany przez sądy administracyjne, co znalazło swoje odzwierciedlenie w Wyroku NSA z dnia 8 stycznia 2025 r. (sygn. III OSK 4868/21) oraz w wyroku NSA z dnia 5 lutego 2025 r. (sygn. III OSK 6553/21). Orzeczenia to należy jednak ocenić krytycznie. Zaprezentowane w tych wyrokach podejście ogranicza w istocie konstytuancie zagwarantowane prawo do obrony przed sądem. Zawierają one przy tym bardzo pobieżną ocenę problematyki przechowywania danych osobowych po zakończeniu relacji umownej. Wyroki te, na ten moment, na szczęście można uznać za jednostkowe. Nie stanowią one jeszcze utrwalonej linii orzeczniczej, niemniej jednak należy śledzić w najbliższym czasie orzecznictwo sądowo-administracyjne w podobnych sprawach. W razie podtrzymania przedstawionych w powyższych orzeczeniach stanowisk konieczna może okazać się rewizja stosowanej dotychczas powszechnie praktyki, która zakłada możliwość przechowywania danych osobowych dotyczących danej umowy po jej zakończeniu dla potrzeb obrony przed ewentualnymi roszczeniami oraz dochodzenia potencjalnych roszczeń (niezależnie od tego, czy w momencie zakończenia umowy są one znane).
Warto także zauważyć, że do zupełnie odmiennych wniosków Naczelny Sąd Administracyjny doszedł w wyroku z dnia 20 lutego 2024 r. (sygn. akt III OSK 2700/22). W sprawie tej NSA uznał za dopuszczalne na podstawie art. 6 ust. 1 lit. f RODO przetwarzanie danych osobowych uzyskanych w procesie rekrutacji w celu zabezpieczenia uzasadnionych prawnych interesów administratora na wypadek ewentualnego postępowania sądowego w przedmiocie dyskryminacji w procesie zatrudnienia.
W związku z kwestionowaniem przez organ nadzorczy praktyki przechowywania danych po zakończeniu umowy do celów obrony przed ewentualnymi roszczeniami zalecane jest jednak przeprowadzenie i udokumentowanie dla takich procesów testu równowagi w celu wyważenia prawnie uzasadnionych interesów administratora danych względem podstawowych praw lub wolności osób fizycznych.
Niezależnie od tego warto jednak pamiętać, że po zakończeniu umowy mogą istnieć inne przesłanki legalizujące dalsze przetwarzanie danych osobowych w określonych celach (w szczególności obowiązek takiego przetwarzania może wynikać z konkretnych przepisów prawa).
Jeśli jesteś zainteresowany wsparciem prawnym w obszarze ochrony danych osobowych lub masz wątpliwości dotyczące dopuszczalności przechowywania danych osobowych po zakończeniu umowy, zapraszamy do kontaktu. Zachęcamy także do zapoznania się z naszą ofertą bieżącego wsparcia w obszarze ochrony danych osobowych.
