La Cour administrative suprême a confirmé une décision de l'autorité polonaise de protection des données (UODO) ordonnant la suppression de données à l'encontre de BEST Société de fonds d'investissement S.A. et BEST III Fonds d'investissement non public, pour des manquements en lien avec la collecte des données d'un héritier potentiel pour le recouvrement d'une créance. Cette affaire débute par une plainte déposée auprès de l'autorité, signalant que les deux entités traitaient les données du plaignant pour exiger le paiement d'une dette contractée par une personne décédée.

Suite à son enquête, l'UODO estimait :
* Obligation de licéité du traitement (article 6 du RGPD) : La société et le fonds ne disposaient d'aucune base juridique pour traiter les données du plaignant. L'autorité a estimé que le décès d'un débiteur ne rend pas automatiquement ses descendants responsables de la dette et n'autorise pas les créanciers à identifier eux-mêmes les héritiers potentiels. La Cour a confirmé cette interprétation: seul un tribunal compétent peut légalement établir la qualité d'héritier à l'issue d'une procédure de dévolution successorale, ce qui n'avait pas été fait en l'espèce.

En conséquence, il a été ordonné à la société et au fonds de supprimer les données personnelles du plaignant.