Nabywając wierzytelność wobec osoby fizycznej lub przedsiębiorcy będącego osobą fizyczną nabywca - czy tego chce czy nie - staje się administratorem danych osobowych, na którym spoczywa szereg obowiązków wynikających z ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Jednym z takich obowiązków jest oczywiście obowiązek informacyjny względem dłużnika, który powinien zostać spełniony w dwóch przypadkach określonych w ustawie.

Pierwszy z tych przypadków (a właściwie grupa przypadków wskazana w art. 24 i art. 25 ustawy) ma związek z czynnościami pozyskiwania i utrwalania danych w celu ich późniejszego przetwarzania. Z punktu widzenia nabywcy wierzytelności istotniejsza wydaje się treść artykułu 25 ustawy, zgodnie z którym w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o:

1. adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku,
2. celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach
3. odbiorców danych,
4. źródle danych,
5. prawie dostępu do treści swoich danych oraz ich poprawiania,
6. uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8.

Nabywca wierzytelności niewątpliwie mieści się w grupie podmiotów zobowiązanych do spełnienia obowiązków wskazanych w powołanym przepisie. Chociaż ustawa nie wskazuje w jakiej formie powinien zostać spełniony obowiązek informacyjny, to dla celów dowodowych wskazana jest oczywiście forma pisemna. Najpowszechniejszą praktyką jest zamieszczanie wszystkich wymaganych informacji w pierwszym wezwaniu do zapłaty kierowanym do dłużnika po zawarciu umowy przelewu wierzytelności. Obowiązek informacyjny powinien zostać spełniony bezpośrednio po utrwaleniu zebranych danych w sposób umożliwiający ich dalsze przetwarzanie.

Art. 24 ustawy o ochronie danych osobowych nakłada z kolei na administratora danych obowiązki zbliżone do tych, które wynikają z art. 25. Obowiązek informacyjny musi zostać spełniony także w sytuacji, gdy dane są pozyskiwane od osoby, której dotyczą. Sytuacja taka może mieć miejsce również w praktyce funkcjonowania firm windykacyjnych, gdyż nierzadko zdarza się zawrzeć umowę z osobą trzecią, która zobowiązuje się spełnić świadczenie za dłużnika (przystąpienie do długu, przejęcie długu itp.). W takiej sytuacji dane zostają pozyskane bezpośrednio od tej osoby, co z kolei zobowiązuje ich administratora do uczynienia zadość obowiązkowi informacyjnemu.

Druga sytuacja, w której administrator danych zobowiązany jest wykonać obowiązek informacyjny ma związek z żądaniami kierowanymi do administratora danych przez osoby, których dane są przetwarzane. Zgodnie z art. 33 ust 1, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a, a w szczególności podać w formie zrozumiałej:

1. jakie dane osobowe zawiera zbiór,
2. w jaki sposób zebrano dane,
3. w jakim celu i zakresie dane są przetwarzane,
4. w jakim zakresie oraz komu dane zostały udostępnione.

Art. 33 ust 1. odsyła do art. 32 ust. 1 pkt 1-5a, zgodnie z którym każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do:

1. uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska,
2. uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze,
3. uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych,
4. uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie tajemnicy państwowej, służbowej lub zawodowej,
5. uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane,
6. uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2 ustawy.

Na wniosek osoby, której dane dotyczą, informacji udziela się na piśmie, przy czym z uwagi na możliwe sankcje wobec administratora danych wynikające z art. 54 ustawy (grzywna, kara ograniczenia wolności albo pozbawienia wolności do roku), w każdym wypadku warto dysponować dowodem udzielenia informacji (potwierdzenie nadania korespondencji itp.).

Autor: Przemysław Jamróz