W dobie cyfryzacji i rosnącej wartości danych osobowych, handel bazami danych konsumenckich stał się zjawiskiem powszechnym, lecz nierzadko kontrowersyjnym i budzącym poważne wątpliwości prawne. Dla podmiotów zajmujących się windykacją, marketingiem bezpośrednim, a także pośrednio – oddłużaniem konsumentów, dostęp do danych dłużników może być postrzegany jako potencjalnie użyteczne narzędzie. Jednak obrót bazami danych osobowych, zwłaszcza zawierających informacje wrażliwe, wiąże się z daleko idącymi obowiązkami prawnymi i ryzykiem sankcji administracyjnych oraz karnych.
Rozdział ten stanowi kompleksową analizę problematyki handlu bazami danych osób zadłużonych – z uwzględnieniem regulacji RODO, ustawy o ochronie danych osobowych, przepisów karnych oraz przepisów szczególnych dotyczących Biur Informacji Gospodarczej (BIG), rejestrów dłużników, a także skutków naruszeń dla procesów upadłości konsumenckiej, oddłużania nieruchomości, czy działań zmierzających do pozbycia się komornika.
I. Pojęcie „handlu bazami danych konsumenckich”
Przez „handel bazami danych” należy rozumieć odpłatne lub nieodpłatne przekazywanie, udostępnianie, sprzedaż lub zamianę zbiorów danych osobowych – zwykle w celach marketingowych, windykacyjnych lub brokerskich.
W przypadku danych dotyczących osób zadłużonych, mówimy często o bazach zawierających:
-
imię, nazwisko, PESEL, adres;
-
historię zadłużenia (np. zaległości czynszowe, raty kredytowe);
-
wpisy do BIG, BIK lub KRD;
-
informacje o zajęciach komorniczych, licytacjach nieruchomości;
-
dane kontaktowe (numer telefonu, e-mail).
Tego typu dane podlegają szczególnej ochronie i nie mogą być przekazywane osobom trzecim bez podstawy prawnej, zgody lub spełnienia warunków określonych w RODO.
II. Podstawy prawne ochrony danych osobowych
1. RODO – Rozporządzenie 2016/679 (UE)
Zgodnie z art. 6 ust. 1 RODO, przetwarzanie danych osobowych jest legalne tylko wtedy, gdy:
-
osoba wyraziła na to zgodę,
-
przetwarzanie jest niezbędne do wykonania umowy,
-
wynika z obowiązku prawnego,
-
jest konieczne dla ochrony żywotnych interesów,
-
odbywa się w ramach interesu publicznego,
-
jest niezbędne do realizacji prawnie uzasadnionego interesu administratora, o ile nie przeważają interesy osoby, której dane dotyczą.
Zbycie bazy danych osobowych, zwłaszcza z informacjami o zadłużeniu, nie mieści się zazwyczaj w żadnej z powyższych przesłanek, chyba że mamy do czynienia z przekazaniem danych do podmiotu przetwarzającego na podstawie umowy powierzenia (art. 28 RODO).
2. Ustawa o ochronie danych osobowych (t.j. Dz.U. z 2019 r. poz. 1781)
Uzupełnia RODO w zakresie przetwarzania danych w sektorze publicznym, nadzoru nad przetwarzaniem oraz odpowiedzialności karnej i cywilnej. Szczególnie istotny jest art. 107, który przewiduje grzywnę, karę ograniczenia wolności albo pozbawienia wolności do lat dwóch za nieuprawnione udostępnienie danych.
III. Zakaz obrotu danymi dłużników bez podstawy prawnej
1. Brak zgody = zakaz obrotu
Podmioty zajmujące się np. sprzedażą usług oddłużanie nieruchomości czy konsolidacja zadłużeń, nie mogą nabywać ani przekazywać baz zawierających dane osób fizycznych zadłużonych bez ich zgody. Nawet jeśli dane pochodzą z jawnych źródeł (np. internet, ogłoszenia o licytacjach komorniczych), ich agregacja w zbiór i eksploatacja marketingowa stanowi formę przetwarzania wymagającą podstawy prawnej.
2. Dane wrażliwe a dane zwykłe
Informacja o zaległościach w płatnościach, umorzeniu długów, przeszłej upadłości konsumenckiej, historia kontaktu z komornikiem – mogą zostać uznane za dane wrażliwe w rozumieniu art. 9 RODO, gdy wskazują na sytuację majątkową, zdrowotną, socjalną itp. Przetwarzanie takich danych w ramach handlu bazami jest zabronione bez wyraźnej zgody.
IV. Szczególne rejestry – wyjątki od zakazu
1. Biura Informacji Gospodarczej (BIG)
Działają na podstawie ustawy z 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz.U. z 2023 r. poz. 1299). Podmioty takie jak KRD, BIG InfoMonitor, ERIF mają prawo do:
-
przetwarzania informacji o zadłużeniu,
-
udostępniania ich przedsiębiorcom po spełnieniu warunków,
-
działania za zgodą lub wiedzą dłużnika (np. po wysłaniu wezwania do zapłaty).
Jednak i tu dane nie mogą być zbywane ani używane poza dozwolonym celem – np. nie wolno sprzedawać ich agencjom marketingowym.
2. Rejestr BIK – Biuro Informacji Kredytowej
Działa na podstawie Prawa bankowego – dane są przetwarzane przez banki, SKOK-i, firmy pożyczkowe i przekazywane tylko uprawnionym podmiotom. Uzyskanie danych BIK przez nieuprawnioną firmę (np. kancelarię windykacyjną) stanowi naruszenie tajemnicy bankowej (art. 104 ust. 1 Prawa bankowego).
V. Sankcje za nielegalny handel bazami danych
1. Sankcje administracyjne (RODO)
Zgodnie z art. 83 RODO, Prezes UODO może nałożyć karę:
-
do 20 mln euro lub 4% rocznego obrotu firmy – za poważne naruszenia,
-
m.in. za nieuprawniony transfer danych, brak podstawy prawnej, przetwarzanie bez zgody.
Przykład: W 2021 r. Prezes UODO nałożył 1 mln zł kary na firmę handlującą bazami teleadresowymi konsumentów bez informowania ich o przetwarzaniu danych.
2. Odpowiedzialność karna
Jak wspomniano, art. 107 ustawy o ochronie danych osobowych przewiduje karę do 2 lat pozbawienia wolności za nieuprawnione udostępnienie danych, a jeśli dane dotyczą życia prywatnego, zdrowia, zadłużenia – kara może być surowsza (do 3 lat).
3. Odpowiedzialność cywilna
Osoba, której dane zostały nielegalnie przekazane, może dochodzić:
-
zadośćuczynienia za naruszenie dóbr osobistych (art. 23 i 24 k.c.),
-
odszkodowania za realną szkodę (np. nieuzasadnione wezwania do zapłaty, odmowa kredytu),
-
żądać usunięcia danych i zaprzestania przetwarzania (art. 17 RODO – prawo do bycia zapomnianym).
VI. Konsekwencje dla działań windykacyjnych i oddłużeniowych
Nielegalne pozyskiwanie danych dłużników może:
-
zdyskredytować firmę oddłużeniową lub kancelarię prawną,
-
doprowadzić do wszczęcia kontroli UODO, prokuratury lub KNF,
-
wykluczyć możliwość działania na rynku usług upadłościowych.
Co więcej, dłużnicy świadomi nielegalnego handlu ich danymi mogą powoływać się na to w toku postępowań sądowych, a nawet wnosić o wyłączenie dowodów uzyskanych bezprawnie.
W przypadku, gdy kancelaria oferuje usługi typu „jak pozbyć się komornika” lub „oddłużanie nieruchomości” i korzysta z baz danych zakupionych nielegalnie, naraża klientów na podważenie skuteczności takich działań i możliwość wniesienia roszczeń przeciwko nim.
VII. Przykład – Rynek wtórny danych z ogłoszeń o licytacjach
Coraz więcej firm pozyskuje dane osób z publicznych ogłoszeń o licytacjach nieruchomości, by oferować im pomoc w zakresie upadłości konsumenckiej, umorzenia długów czy zatrzymania egzekucji. Choć dane te są jawne, nie można ich przetwarzać masowo bez podstawy prawnej. Ich wykorzystanie do marketingu bez zgody stanowi przetwarzanie nielegalne.
Podsumowanie
Handel bazami konsumenckimi, w szczególności danymi osób zadłużonych, stanowi obszar ściśle uregulowany przez prawo krajowe i unijne. Każde przetwarzanie danych – w tym ich zbycie, udostępnienie, połączenie w zbiór – musi posiadać konkretną podstawę prawną, zgodę osoby lub wyraźny interes prawny.
Firmy działające na rynku usług takich jak oddłużanie, upadłość konsumencka, konsolidacja zadłużeń czy umorzenie długów powinny zachować najwyższą ostrożność w zakresie pozyskiwania danych klientów. W przeciwnym razie narażają się nie tylko na kary finansowe i odpowiedzialność karną, ale także utratę zaufania i skuteczności działań prawnych.
Źródła prawa:
-
RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
-
Ustawa z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781)
-
Ustawa z 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych (Dz.U. z 2023 r. poz. 1299)
-
Kodeks cywilny – art. 23, 24
-
Prawo bankowe – art. 104
-
Orzecznictwo UODO i sądów administracyjnych (m.in. sygn. DKN.5131.22.2020)