Windykacja jest zgodna z RODO i nie wymaga zgody dłużnika. To pierwsze zdanie, które warto zapamiętać, bo obawa przed rozporządzeniem powstrzymuje wielu przedsiębiorców przed upomnieniem się o własne pieniądze. Wierzyciel przetwarza dane dłużnika na podstawie prawnie uzasadnionego interesu, a dochodzenie roszczeń jest właśnie takim interesem. Poniżej opisujemy, co z tego wynika w praktyce: na jakiej podstawie działasz, czego dłużnik może się domagać, komu wolno przekazać jego dane i jak długo je trzymać.
Materiał ma charakter informacyjny i nie stanowi porady prawnej.
Czy windykacja jest zgodna z RODO?
Tak. Odzyskiwanie własnych należności to zgodne z prawem przetwarzanie danych osobowych, o ile mieści się w granicach niezbędności. Wierzyciel nie potrzebuje zgody dłużnika na wysłanie przypomnienia, wezwania do zapłaty czy zadzwonienie w sprawie faktury. RODO nie chroni dłużnika przed kontaktem w sprawie wymagalnego długu, chroni go przed nadmiernym i bezcelowym przetwarzaniem jego danych.
Na jakiej podstawie prawnej wierzyciel przetwarza dane dłużnika?
Podstawą jest art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora. Prezes Urzędu Ochrony Danych Osobowych stwierdził wprost, że dochodzenie przez podmiot roszczeń finansowych stanowi prawnie uzasadniony interes (sprawa ZSPR.440.631.2018). Jeżeli dane pochodzą z zawartej umowy, dochodzi do tego art. 6 ust. 1 lit. b RODO, bo przetwarzanie jest niezbędne do wykonania umowy, której dłużnik jest stroną.
W praktyce oznacza to, że nie zbierasz zgód, nie wysyłasz formularzy i nie prosisz dłużnika o pozwolenie na kontakt. Robisz test równowagi: sprawdzasz, czy Twój interes (odzyskanie pieniędzy) nie jest przeważony przez prawa i wolności dłużnika. Przy wymagalnej fakturze i kontakcie ograniczonym do sprawy zapłaty ten test wypada na Twoją korzyść.
Czy dłużnik może żądać usunięcia swoich danych?
Nie, dopóki dług istnieje i możesz go dochodzić. Dłużnicy regularnie wysyłają żądania usunięcia danych albo sprzeciw wobec przetwarzania, licząc, że wierzyciel się przestraszy. Prawo do bycia zapomnianym nie działa, gdy dane są niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Sprzeciw z art. 21 RODO też nie wystarczy, bo wierzyciel wykazuje istnienie ważnych prawnie uzasadnionych podstaw nadrzędnych wobec interesów dłużnika.
Odpowiedz na takie pismo spokojnie i na piśmie: wskaż podstawę przetwarzania, cel (dochodzenie roszczenia z konkretnej faktury) i planowany okres przechowywania. Nie ignoruj go, bo obowiązek odpowiedzi masz nawet wtedy, gdy żądanie jest bezzasadne.
Czy trzeba informować dłużnika o przetwarzaniu jego danych?
Jeżeli dane dostałeś bezpośrednio od kontrahenta przy zawieraniu umowy, obowiązek informacyjny wykonujesz w momencie ich zbierania (art. 13 RODO), zwykle klauzulą w umowie albo w regulaminie. Jeżeli dane trafiły do Ciebie z innego źródła, na przykład wraz z nabytą wierzytelnością, informujesz osobę o przetwarzaniu w rozsądnym terminie po ich pozyskaniu (art. 14 RODO). Ten drugi przypadek bywa pomijany i to właśnie on kończy się skargami do UODO.
Czy można przekazać dane dłużnika firmie windykacyjnej?
Tak, i nie potrzebujesz do tego zgody dłużnika. Trzeba jednak wiedzieć, w jakiej roli występuje odbiorca danych, bo od tego zależy, jaką umowę podpisujesz.
| Kto | Rola w RODO | Jaka umowa |
|---|---|---|
| Ty, wierzyciel | Administrator danych | Brak, to Ty decydujesz o celach i sposobach |
| Firma windykacyjna działająca w Twoim imieniu | Podmiot przetwarzający | Umowa powierzenia (art. 28 RODO) |
| Firma, która kupiła od Ciebie dług (cesja) | Odrębny administrator | Umowa cesji, nowy administrator wykonuje obowiązek z art. 14 |
| Dostawca programu do windykacji (SaaS) | Podmiot przetwarzający | Umowa powierzenia, zwykle w regulaminie usługi |
| Podwykonawca dostawcy (hosting, bramka SMS) | Podprocesor | Zgoda administratora i dalsze powierzenie |
Różnica jest praktyczna. Firma windykacyjna prowadząca sprawę na Twoje zlecenie działa na Twoich danych i w Twoim imieniu, więc odpowiadasz za jej wybór. Firma, która kupiła wierzytelność, staje się samodzielnym administratorem i sama odpowiada za to, co robi z danymi.
Czy program do windykacji w chmurze jest zgodny z RODO?
Może być, jeśli dostawca występuje jako podmiot przetwarzający, ma podpisaną umowę powierzenia, przetwarza dane wyłącznie na Twoje udokumentowane polecenie i deklaruje, gdzie fizycznie leżą serwery. Zapytaj o listę podprocesorów, o okres przechowywania nagrań rozmów i o to, czy dane opuszczają Europejski Obszar Gospodarczy. Dobry dostawca odpowiada na te trzy pytania bez wykrętów. Więcej o tym, jak wygląda taki program do windykacji należności, piszemy osobno.
Czy można poinformować o długu rodzinę albo pracodawcę dłużnika?
Nie. Ujawnienie informacji o zadłużeniu osobom trzecim to przetwarzanie danych bez podstawy prawnej, a przy okazji skuteczny sposób na skargę do UODO i na zarzut nieuczciwej praktyki rynkowej. Kontaktuj się z dłużnikiem, nie z jego otoczeniem. Nie zostawiaj wiadomości o długu u współpracownika, nie pisz o sprawie na profilu społecznościowym firmy dłużnika i nie wysyłaj korespondencji tak, żeby jej treść była widoczna dla postronnych.
Osobno pilnuj intensywności kontaktu. Uporczywe nękanie, które wzbudza poczucie zagrożenia lub istotnie narusza prywatność, jest przestępstwem z art. 190a Kodeksu karnego. Telefon raz na kilka dni w godzinach pracy to windykacja. Dwadzieścia telefonów dziennie i wieczorne wiadomości to już nie jest windykacja. Zasady kontaktu z konsumentem opisujemy szczegółowo przy windykacji od osoby fizycznej.
Czy voicebot dzwoniący do dłużnika jest zgodny z RODO?
Tak, o ile spełnisz te same warunki, co przy rozmowie prowadzonej przez człowieka: kontakt dotyczy wymagalnej należności, odbywa się w rozsądnych godzinach, na numer podany przez kontrahenta, a treść nie ujawnia szczegółów sprawy osobom trzecim. Jeżeli rozmowa jest nagrywana, poinformuj o tym na początku i ustal, jak długo nagranie będzie przechowywane. Automatyzacja sama w sobie nie jest problemem, bo o skutkach prawnych nie decyduje tu algorytm, tylko Ty. Na czym polega taka windykacja telefoniczna z voicebotem AI, opisujemy na osobnej stronie.
Jak długo można przechowywać dane dłużnika?
Tak długo, jak potrzebujesz ich do dochodzenia lub obrony roszczeń, a potem przez okres wynikający z przepisów podatkowych i rachunkowych. W praktyce punktem odniesienia jest termin przedawnienia roszczenia, który dla faktury B2B wynosi zwykle 3 lata, a po prawomocnym wyroku 6 lat. Dokumenty księgowe trzymasz przez 5 lat, licząc od końca roku podatkowego. Po upływie tych okresów dane usuwasz albo anonimizujesz. Warto sprawdzić, kiedy dokładnie przedawnia się faktura, bo od tego zależy również, jak długo w ogóle wolno Ci trzymać akta sprawy.
Kiedy można wpisać dłużnika do rejestru BIG?
Wpis do biura informacji gospodarczej to jeden z niewielu momentów, w których RODO ustępuje miejsca przepisom szczególnym, ale warunki są sztywne. Dla dłużnika będącego przedsiębiorcą zobowiązanie musi wynosić co najmniej 500 zł i być wymagalne od co najmniej 30 dni. Wcześniej trzeba wysłać wezwanie do zapłaty listem poleconym albo doręczyć je osobiście, a w jego treści zawrzeć ostrzeżenie o zamiarze przekazania danych do BIG. Od doręczenia takiego wezwania do przekazania danych musi upłynąć co najmniej miesiąc.
Ten wymóg to kolejny powód, dla którego warto wysyłać porządne wezwanie do zapłaty, a nie kolejnego maila z prośbą o kontakt. Bez wezwania z ostrzeżeniem wpis do rejestru jest po prostu bezprawny, a nieprawidłowy wpis grozi wierzycielowi sankcją.
Praktyczne minimum, które warto wdrożyć
Jeżeli chcesz zamknąć temat jednym akapitem, zrób te pięć rzeczy. Dopisz do umów i regulaminu klauzulę informacyjną z art. 13 RODO. Podpisz umowę powierzenia z każdym dostawcą, który dotyka danych Twoich dłużników. Ogranicz kontakt do sprawy zapłaty, godzin pracy i samego dłużnika. Zapisuj historię kontaktu, bo to dowód i w sądzie, i przed UODO. Usuwaj dane, gdy miną terminy przedawnienia i obowiązki księgowe.
Cała reszta jest kwestią konsekwencji, a nie prawa. Uporządkowana, powtarzalna windykacja polubowna prowadzona przez system jest zwykle bardziej zgodna z RODO niż nerwowe telefony właściciela firmy po trzech miesiącach ciszy, bo system kontaktuje się w ustalonych godzinach, tylko z dłużnikiem, tylko w sprawie faktury i zapisuje każdą czynność.