Udostępnienie listy dłużników – jak wdrożyć procedurę krok po kroku

Założenia procedury

Udostępnienie listy dłużników to proces przekazania lub ujawnienia informacji o zaległych zobowiązaniach, który musi być zgodny z RODO, ustawą o udostępnianiu informacji gospodarczych i zasadą minimalizacji danych; przy przekazaniu do Biura Informacji Gospodarczej typowy próg wynosi co najmniej 200 zł dla konsumenta albo 500 zł dla przedsiębiorcy, a zobowiązanie musi być wymagalne od co najmniej 30 dni (źródło: Dz.U. 2025 poz. 85). Treść ma charakter informacyjny i nie zastępuje konsultacji z prawnikiem, radcą prawnym, adwokatem ani inspektorem ochrony danych.

Po co firmie procedura listy dłużników?

Procedura listy dłużników ma ograniczyć ryzyko, że pracownik ujawni dane pod wpływem emocji, presji zarządu albo błędnej informacji z księgowości. W praktyce kancelaryjnej najczęściej problem nie zaczyna się od złej woli, lecz od braku jednej decyzji: kto sprawdza dług, kto zatwierdza eksport danych i kto odpowiada za usunięcie wpisu po spłacie.

• Cel przetwarzania – firma musi wskazać, czy chodzi o windykację wewnętrzną, przekazanie danych do Biura Informacji Gospodarczej, zabezpieczenie roszczeń czy ocenę ryzyka kontrahenta.
• Kanał udostępnienia – lista w systemie CRM, plik Excel, panel BIG, e-mail do kancelarii i publikacja na stronie internetowej mają różne poziomy ryzyka.
• Zakres odbiorców – inaczej ocenia się dostęp działu księgowości, a inaczej publiczny wpis widoczny w Google lub w mediach społecznościowych.
• Odpowiedzialność – procedura powinna wskazywać właściciela procesu, osobę zatwierdzającą oraz zastępcę na czas nieobecności.
• Retencja – dokument musi przewidywać aktualizację po spłacie, ugodzie, reklamacji, wyroku lub upływie okresu przechowywania.

Czym różni się lista wewnętrzna, BIG i publikacja publiczna?

Jedna checklista nie wystarczy, bo inny jest cel i skutek prawny każdego kanału. Wewnętrzna lista windykacyjna zwykle służy organizacji pracy, wpis do BIG jest regulowany ustawowo, a publiczna publikacja danych dłużnika może naruszać RODO oraz dobra osobiste z art. 23 i 24 Kodeksu cywilnego.

Kanał	Typowy cel	Główne ryzyko	Minimalny wymóg proceduralny
Lista wewnętrzna	Obsługa płatności i windykacji	Nadmierny dostęp pracowników	Role, logi, retencja i rejestr zmian
Biuro Informacji Gospodarczej	Przekazanie informacji gospodarczej	Niespełnienie progów ustawowych	Wezwanie do zapłaty, terminy, dowody doręczenia
Publikacja publiczna	Presja reputacyjna	RODO, dobra osobiste, nieproporcjonalność	Indywidualna analiza prawna przed działaniem

Kiedy potrzebna jest konsultacja z prawnikiem lub IOD?

Konsultacja jest potrzebna zwłaszcza wtedy, gdy lista ma wyjść poza firmę, obejmuje konsumentów, dotyczy długu spornego albo zawiera dane jednoosobowej działalności gospodarczej. Przy procesie powtarzalnym warto połączyć dokument z procedura RODO w firmie, aby nie tworzyć równoległych instrukcji sprzecznych z polityką bezpieczeństwa.

Weryfikacja długu przed udostępnieniem

Weryfikacja długu to etap dowodowy, charakteryzujący się sprawdzeniem źródła zobowiązania, wymagalności oraz ryzyka sporu. Bez tego udostępnianie danych dłużnika może opierać się na błędzie księgowym, nieaktualnej fakturze albo roszczeniu przedawnionym.

Co sprawdzić przed dodaniem dłużnika do listy?

Przed wpisem trzeba odtworzyć ścieżkę dokumentów. Przykład: faktura z 14-dniowym terminem płatności nie jest automatycznie wystarczająca, jeżeli odbiorca reklamował usługę, zwrócił towar albo otrzymał korektę faktury.

1. Źródło zobowiązania – należy wskazać umowę, fakturę, decyzję administracyjną, ugodę, wyrok, notę obciążeniową albo inny dokument kreujący obowiązek zapłaty.
2. Kwota długu – księgowość powinna potwierdzić saldo, odsetki, noty odsetkowe, wpłaty częściowe i korekty.
3. Wymagalność – termin płatności musi upłynąć, a w procedurze trzeba zapisać datę, od której liczy się opóźnienie.
4. Doręczenie – należy zachować potwierdzenie e-mail, potwierdzenie nadania listu poleconego, dowód doręczenia elektronicznego albo protokół odbioru.
5. Spór – trzeba odnotować reklamację, mediację, postępowanie sądowe, zarzut potrącenia albo zarzut przedawnienia.
6. Status osoby – konsument, przedsiębiorca jednoosobowy, spółka z o.o. i reprezentant spółki wymagają odmiennej kwalifikacji danych.

Czy dług sporny można publikować?

Dług sporny nie powinien trafiać do publicznej listy bez indywidualnej analizy. W przypadku BIG ustawa przewiduje mechanizm sprzeciwu dłużnika i obowiązek oznaczenia informacji, gdy wierzyciel nie uwzględnia sprzeciwu dotyczącego istnienia zobowiązania albo przedawnienia (źródło: ustawa o udostępnianiu informacji gospodarczych, art. 15a, 2025). Publiczna publikacja w social mediach jest znacznie bardziej ryzykowna, bo traci się kontrolę nad kopiowaniem danych.

Jak dokumentować wymagalność i wezwanie do zapłaty?

Dla przekazania danych do BIG procedura powinna odsyłać do osobnego wzoru wezwanie do zapłaty przed BIG. Dla konsumenta ustawa wymaga między innymi progu 200 zł, 30 dni wymagalności i upływu co najmniej miesiąca od wysłania lub doręczenia wezwania z ostrzeżeniem o zamiarze przekazania danych do biura; dla dłużnika niebędącego konsumentem próg wynosi 500 zł (źródło: Dz.U. 2025 poz. 85).

„Co najmniej 200 złotych oraz wymagalne od co najmniej 30 dni.”

Ustawa o udostępnianiu informacji gospodarczych, art. 14, tekst jednolity 2025

Podstawa prawna i obowiązki informacyjne

Podstawa prawna RODO to przypisanie konkretnej operacji do przesłanki z art. 6, charakteryzujące się wskazaniem celu, niezbędności i wpływu na osobę. Nie wystarczy zdanie, że firma działa „na podstawie RODO”, bo RODO wymaga rozliczalności i przejrzystości.

Jak wybrać podstawę prawną RODO?

W procedurze należy oddzielić kilka czynności: prowadzenie wewnętrznej ewidencji należności, przekazanie sprawy kancelarii, wpis do Biura Informacji Gospodarczej i odpowiedź na żądanie osoby. W praktyce często analizuje się art. 6 ust. 1 lit. b RODO przy obsłudze umowy, art. 6 ust. 1 lit. f RODO przy dochodzeniu roszczeń oraz art. 6 ust. 1 lit. c RODO przy obowiązkach aktualizacji lub usunięcia danych wynikających z przepisów.

• Umowa – dane mogą być potrzebne do rozliczenia wykonanej usługi, wystawienia faktury i obsługi płatności.
• Uzasadniony interes – wierzyciel może mieć interes w dochodzeniu roszczeń, ale musi przeprowadzić ocenę proporcjonalności.
• Obowiązek prawny – określone obowiązki aktualizacji i usunięcia informacji w BIG wynikają z ustawy.
• Zgoda – zwykle nie powinna zastępować realnej analizy, bo dłużnik rzadko ma swobodę jej udzielenia.
• Odrębny cel – przekazanie danych kancelarii, firmie windykacyjnej i BIG nie powinno być opisane jedną zbiorczą formułą.

Jak wykonać test uzasadnionego interesu?

Test proporcjonalności powinien mieć formę krótkiego dokumentu, a nie ustnej decyzji. Trzeba opisać interes wierzyciela, sprawdzić, czy przetwarzanie jest konieczne, oraz porównać ten interes z prawami dłużnika. Prezes UODO w swoich stanowiskach wskazuje, że przy art. 6 ust. 1 lit. f RODO administrator powinien ocenić legalność interesu, niezbędność oraz równowagę praw osoby (źródło: UODO, 2026).

„Dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne.”

Parlament Europejski i Rada UE, RODO art. 5 ust. 1 lit. c, 2016

Co musi zawierać klauzula informacyjna?

Klauzula informacyjna powinna wskazywać administratora, cele, podstawy prawne, odbiorców, okres retencji, prawa osoby oraz możliwość wniesienia sprzeciwu. Jeżeli dane pochodzą od dłużnika, stosuje się art. 13 RODO; jeżeli z innego źródła, trzeba rozważyć art. 14 RODO. Dobrą praktyką jest dołączenie klauzuli do wezwania, regulaminu sprzedaży i panelu klienta, ale sam regulamin nie zastępuje dowodu poinformowania.

Jak działa sprzeciw wobec przetwarzania?

Sprzeciw wobec przetwarzania danych wymaga realnego rozpoznania, zwłaszcza gdy podstawą jest art. 6 ust. 1 lit. f RODO. Odpowiedź na żądania z RODO co do zasady powinna nastąpić bez zbędnej zwłoki, najpóźniej w ciągu miesiąca, z możliwością przedłużenia w bardziej złożonych sprawach zgodnie z art. 12 RODO.

Zakres danych, bezpieczeństwo i retencja

Minimalizacja danych osobowych to zasada ograniczenia zakresu informacji do tego, co konieczne dla celu, charakteryzująca się selekcją pól, kontrolą dostępu i terminowym usuwaniem. Przy listach dłużników nadmiarowe dane zwykle zwiększają ryzyko bardziej niż skuteczność windykacji.

Jakie dane są nadmiarowe przy liście dłużników?

W wielu sprawach wystarczy identyfikator klienta, numer faktury, kwota, data wymagalności i status sprawy. Numer PESEL, adres prywatny, skan dowodu osobistego, informacje rodzinne, zdrowotne albo notatki o sytuacji życiowej dłużnika zwykle nie są potrzebne pracownikowi obsługującemu płatność.

• PESEL – powinien być używany tylko wtedy, gdy jest niezbędny do jednoznacznej identyfikacji lub wynika z konkretnego procesu prawnego.
• Adres prywatny – nie powinien być widoczny dla osób, które obsługują tylko status płatności w CRM.
• Skan dokumentu – nie nadaje się do zwykłej listy windykacyjnej, bo zawiera dane nadmiarowe i wysokiego ryzyka.
• Informacje rodzinne – nie powinny pojawiać się w komentarzach do długu, nawet jeśli pracownik zna sytuację klienta.
• Dane zdrowotne – nie powinny być przetwarzane w liście dłużników bez odrębnej, bardzo ostrożnej podstawy.
• Publiczne komentarze – wpis typu „unika kontaktu” lub „nieuczciwy klient” może naruszać dobra osobiste.

Jak zabezpieczyć listę dłużników?

Bezpieczeństwo danych wymaga konkretnych narzędzi, nie samej klauzuli w procedurze. Przykład: plik Excel z listą dłużników wysłany zwykłym e-mailem do pięciu handlowców jest gorszy niż widok w systemie z rolami, eksportem tylko dla księgowości i logiem pobrań. Należy połączyć procedurę z dokumentem minimalizacja danych osobowych.

• Role dostępu – księgowość widzi saldo i dokumenty, handlowiec widzi blokadę sprzedaży, a zarząd widzi raport zbiorczy.
• Logi operacji – system powinien zapisywać, kto dodał wpis, kto pobrał plik i kto usunął dane.
• Szyfrowanie – eksporty CSV i XLSX powinny być szyfrowane albo udostępniane przez kontrolowany system.
• Zatwierdzanie przez drugą osobę – publikacja lub przekazanie do BIG powinny wymagać kontroli czterech oczu.
• Przegląd uprawnień – raz na kwartał warto sprawdzić, czy byli pracownicy i osoby po zmianie stanowiska nadal mają dostęp.

Kiedy usunąć albo ograniczyć dane dłużnika?

Po spłacie, ugodzie, pozytywnym rozpatrzeniu reklamacji albo stwierdzeniu nieistnienia długu dane trzeba zaktualizować, ograniczyć albo usunąć. W BIG wierzyciel ma ustawowe terminy aktualizacji lub żądania usunięcia, w tym obowiązek działania niezwłocznie, nie później niż w 14 dni w określonych przypadkach (źródło: Dz.U. 2025 poz. 85). Wewnętrzna retencja może uwzględniać terminy przedawnienia roszczeń z Kodeksu cywilnego, ale nie oznacza to automatycznego prawa do szerokiej listy dostępnej dla całej firmy.

Obsługa sporów i kontrola procedury

Kontrola procedury to system decyzji, rejestrów i przeglądów, charakteryzujący się mierzalnymi terminami, przypisaniem odpowiedzialności i dokumentowaniem wyjątków. Bez tego firma nie wykaże rozliczalności, jeśli Prezes UODO, sąd cywilny albo dłużnik zapyta, kto i dlaczego ujawnił dane.

Jak reagować na sprzeciw, reklamację albo spłatę?

Reakcja powinna być szybka i odnotowana. Przykład z praktyki: jeżeli klient przesyła potwierdzenie przelewu w piątek o 16:00, procedura powinna wskazywać, czy blokada zostaje zdjęta od razu, czy po zaksięgowaniu płatności w najbliższym dniu roboczym.

1. Rejestracja zgłoszenia – każda reklamacja, sprzeciw RODO i informacja o spłacie powinny otrzymać numer sprawy.
2. Wstrzymanie eskalacji – dług sporny powinien zostać czasowo oznaczony, aby nie trafił automatycznie do eksportu.
3. Weryfikacja dokumentów – księgowość potwierdza saldo, a dział prawny ocenia zarzuty przedawnienia lub potrącenia.
4. Decyzja – osoba wskazana w procedurze zatwierdza utrzymanie, korektę, ograniczenie albo usunięcie wpisu.
5. Odpowiedź do osoby – dłużnik powinien otrzymać jasną informację o wyniku i dalszej ścieżce.
6. Aktualizacja odbiorców – jeśli dane wysłano do BIG, kancelarii albo firmy windykacyjnej, trzeba przekazać korektę właściwym kanałem.

Kto zatwierdza korektę danych?

Korekta danych nie powinna zależeć od osoby, która pierwotnie dopisała dłużnika. Najbezpieczniejszy model to podział ról: księgowość potwierdza liczby, właściciel procesu zatwierdza operację, IOD ocenia problem RODO, a prawnik analizuje ryzyko dóbr osobistych lub sporu sądowego.

Jak szkolić pracowników i kontrolować procedurę?

Szkolenie powinno zawierać zakazane przykłady: publikację screenów z należnościami na Facebooku, wysłanie listy dłużników do całego działu sprzedaży, dopisanie komentarza ocennego do klienta albo pozostawienie wpisu po spłacie. Raz w roku, a także po incydencie, należy przeprowadzić przegląd procedury, listy dostępów, wzorów wezwań i klauzul informacyjnych.

• Szkolenie startowe – nowy pracownik powinien poznać procedurę przed uzyskaniem dostępu do danych dłużników.
• Test przypadków – pracownik powinien umieć odróżnić dług bezsporny od reklamacji lub zarzutu przedawnienia.
• Kontrola eksportów – administrator systemu powinien cyklicznie sprawdzać pobrania plików i nietypowe operacje.
• Audyt roczny – właściciel procesu powinien porównać procedurę z praktyką księgowości, sprzedaży i windykacji.
• Przegląd po incydencie – po błędnym ujawnieniu danych trzeba ustalić przyczynę, skutki i działania naprawcze.

Źródła i literatura

Poniższe źródła służą do weryfikacji przepisów i projektowania procedury. Przed wdrożeniem należy sprawdzić aktualne brzmienie aktów prawnych, ponieważ szczegóły dotyczące Biur Informacji Gospodarczej, doręczeń elektronicznych i obowiązków administratora mogą ulegać zmianom.

Jak korzystać ze źródeł przy wdrożeniu?

Źródła trzeba przełożyć na konkretne pola w procedurze: termin, próg kwotowy, odbiorcę danych, podstawę prawną, okres retencji i osobę odpowiedzialną. Samo wpisanie podstawy prawnej do polityki prywatności nie wystarcza, jeżeli pracownicy nie wiedzą, kiedy wstrzymać publikację albo usunąć wpis.

Które akty trzeba sprawdzić przed publikacją?

1. Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679, w szczególności art. 5, art. 6, art. 12, art. 13, art. 14, art. 21 i art. 32 RODO, EUR-Lex.
2. Ustawa z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, tekst jednolity Dz.U. 2025 poz. 85.
3. Kodeks cywilny, w szczególności art. 23, art. 24, art. 118 oraz przepisy o dochodzeniu roszczeń i przedawnieniu.
4. Materiały Ministerstwa Rozwoju dotyczące Biur Informacji Gospodarczej i zasad przekazywania informacji gospodarczych.
5. Stanowiska i decyzje Prezesa UODO dotyczące minimalizacji danych, rozliczalności, retencji oraz prawnie uzasadnionego interesu.

Najczęściej zadawane pytania

Czy procedura listy dłużników musi być osobnym dokumentem?

Nie zawsze, ale osobna procedura ułatwia wykazanie rozliczalności i ogranicza ryzyko przypadkowego ujawnienia danych. Przy małej firmie może być częścią procedury RODO lub instrukcji windykacyjnej, jeżeli jasno opisuje cel, role, terminy i sposób usuwania danych.

Czy można publikować dane dłużnika w social mediach?

To bardzo ryzykowne i zwykle trudne do obrony jako działanie proporcjonalne. Publiczny zasięg, kopiowanie treści i presja reputacyjna zwiększają ryzyko naruszenia RODO oraz dóbr osobistych. Przed takim działaniem konieczna jest indywidualna analiza prawna.

Czy wystarczy informacja w regulaminie?

Regulamin może być jednym z elementów obowiązku informacyjnego, ale nie zastępuje wyboru podstawy prawnej i testu proporcjonalności. Firma powinna umieć wykazać, że osoba mogła zapoznać się z informacją oraz że klauzula obejmowała konkretny cel i odbiorców danych.

Jak postąpić po spłacie długu?

Dane należy zaktualizować, ograniczyć albo usunąć zgodnie z celem i okresem retencji. Pozostawienie osoby na liście po spłacie może być osobnym naruszeniem, zwłaszcza gdy lista trafia do BIG, firmy windykacyjnej albo szerszego grona pracowników.

Kto powinien zatwierdzić procedurę?

Najlepiej właściciel procesu biznesowego, osoba odpowiedzialna za księgowość, dział prawny lub zewnętrzny prawnik, IOD oraz osoba odpowiedzialna za IT. Procedura musi być możliwa do wykonania operacyjnie, dlatego nie powinna być wyłącznie formalnym załącznikiem do polityki ochrony danych.

Czy dłużnik może wnieść sprzeciw wobec przekazania danych?

Tak, w zależności od podstawy prawnej i kanału udostępnienia może wnieść sprzeciw RODO albo sprzeciw przewidziany w procedurze BIG. Sprzeciw nie zawsze automatycznie blokuje dalsze działania, ale wymaga udokumentowanego rozpoznania i oceny, czy interes wierzyciela nadal przeważa.