Sprawa C‑526/24
Brillen Rottler GmbH & Co. KG
przeciwko
TC
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Amtsgericht Arnsberg)
Wyrok Trybunału (czwarta izba) z dnia 19 marca 2026 r.
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 12 ust. 5 – Artykuł 15 ust. 1 – Prawo dostępu osoby, której dane dotyczą, do dotyczących jej danych – Prawo administratora do odrzucenia wniosku o udzielenie dostępu – Nadmierny charakter wniosku – Nadużycie prawa – Pierwszy wniosek o udzielenie dostępu – Prawo do odszkodowania i odpowiedzialność – Artykuł 82 ust. 1 – Powództwo oparte na naruszeniu prawa dostępu – Szkoda niemajątkowa – Utrata kontroli nad danymi osobowymi
1.        Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Prawo dostępu danej osoby do własnych danych podlegających przetwarzaniu – Prawo administratora do odrzucenia wniosku o udzielenie dostępu – Pojęcie nadmiernego charakteru wniosku – Pierwszy wniosek o udzielenie dostępu – Kryteria – Ocena obiektywnych i subiektywnych elementów praktyki stanowiącej nadużycie – Istnienie zamiaru nadużycia po stronie osoby, której dane dotyczą – Istotne elementy
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motywy 4, 10, 11, art. 12 ust. 5, art. 15 ust. 1, art. 57 ust. 4)
(zob. pkt 24–37, 39, 40, 42, 45; pkt 1 sentencji)
2.        Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Prawo do odszkodowania i odpowiedzialność – Prawo do odszkodowania za szkodę wynikającą z naruszenia prawa dostępu do danych osobowych – Ograniczenie odszkodowania wynikającego z przetwarzania danych osobowych – Brak
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motywy 11, 141, 146, art. 15 ust. 1, art. 82 ust. 1)
(zob. pkt 48–55; pkt 2 sentencji)
3.        Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Prawo do odszkodowania i odpowiedzialność – Prawo do odszkodowania za szkodę – Szkoda niemajątkowa – Pojęcie – Utrata kontroli nad danymi osobowymi lub niepewność co do ich przetwarzania – Zaliczenie – Obowiązek przedstawienia dowodu na istnienie szkody przez osobę, której dane dotyczą – Przerwanie związku przyczynowego między zarzucanym naruszeniem a podnoszoną szkodą wynikające z zachowania osoby, której dane dotyczą – Zachowanie stanowiące decydujący powód wystąpienia szkody – Brak prawa do odszkodowania
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 85, art. 82 ust. 1)
(zob. pkt 58–67; pkt 3 sentencji)
Streszczenie
Trybunał, do którego Amtsgericht Arnsberg (sąd rejonowy w Arnsbergu, Niemcy) zwrócił się z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym, doprecyzował ograniczenia w korzystaniu z prawa dostępu do danych osobowych na podstawie art. 15 ogólnego rozporządzenia o ochronie danych osobowych(1) w przypadku „nadużycia prawa” oraz przesłanki prawa do odszkodowania na podstawie art. 82 tego rozporządzenia.
W 2023 r. TC, osoba fizyczna zamieszkała w Austrii, zaprenumerowała biuletyn informacyjny Brillen Rottler, niemieckiego przedsiębiorstwa optycznego, podając swoje dane osobowe i wyrażając zgodę na ich przetwarzanie. Wkrótce potem osoba ta zwróciła się do tego przedsiębiorstwa o udzielenie dostępu do tych danych. Mimo że jej wniosek został odrzucony przez wspomniane przedsiębiorstwo, które uznało go za stanowiący nadużycie, TC ponownie skierował ten wniosek, dodając do niego żądanie zadośćuczynienia za szkodę niemajątkową, jakiej miał on doznać z tytułu odmowy przez to przedsiębiorstwo udzielenia mu dostępu do jego danych osobowych. Brillen Rottler zwrócił się wówczas do sądu odsyłającego o stwierdzenie braku prawa TC do odszkodowania, podnosząc, że zgodnie z publicznie dostępnymi informacjami TC systematycznie i w sposób stanowiący nadużycie składał do różnych administratorów wnioski o udzielenie dostępu wyłącznie w celu uzyskania odszkodowania.
Powziąwszy wątpliwości co do okoliczności istotnych dla zakwalifikowania wniosku o udzielenie dostępu jako „nadmiernego” w rozumieniu art. 12 ust. 5 RODO, który pozwala administratorowi w szczególności na nieuwzględnienie takiego wniosku, a także co do prawa do żądania na podstawie art. 82 ust. 1 tego rozporządzenia naprawienia szkody wynikającej z naruszenia prawa dostępu, sąd odsyłający zwrócił się do Trybunału.
Ocena Trybunału
Odnosząc się do możliwości zakwalifikowania pierwszego wniosku o udzielenie dostępu do danych osobowych złożonego przez osobę, której dane dotyczą, do administratora danych jako „nadmiernego” w rozumieniu art. 12 ust. 5 RODO, Trybunał zauważył, że przepis ten wspomina o ustawicznym charakterze wniosków o udzielenie dostępu jedynie tytułem przykładu, w związku z czym sama liczba wniosków złożonych przez tę samą osobę, której dane dotyczą, nie przesądza o tej kwalifikacji. Nadmierny charakter wniosku o udzielenie dostępu należy zatem oceniać pod względem jakościowym w celu ustalenia, czy mamy do czynienia z nadużyciem prawa.
Trybunał wyjaśnił, że takie nadużycie występuje, gdy pomimo formalnego spełnienia przesłanek wymaganych do wykonywania prawa dostępu do danych osobowych w rozumieniu art. 15 RODO zostanie wykazany zamiar nadużycia ze strony osoby, której dane dotyczą, w szczególności gdy osoba ta składa wniosek o udzielenie dostępu nie w celu dochodzenia swoich praw wynikających z tego rozporządzenia, lecz w innym celu, takim jak sztuczne stworzenie warunków wymaganych do uzyskania korzyści wynikającej ze wspomnianego rozporządzenia.
Jednakże w zakresie, w jakim art. 12 ust. 5 RODO ustanawia wyjątek od ciążącego na administratorach obowiązku ułatwienia osobom, których dane dotyczą, prawa dostępu do ich danych osobowych, należy go interpretować w sposób zawężający. Administrator może zatem powoływać się na nadmierny charakter wniosku o udzielenie dostępu jedynie w wyjątkowych przypadkach, jeżeli wykaże, w świetle wszystkich istotnych okoliczności każdego przypadku, że wniosek ten został złożony z zamiarem nadużycia. W tym względzie można również wziąć pod uwagę fakt, że osoba, której dane dotyczą, złożyła do różnych administratorów kilka wniosków o udzielenie dostępu, a następnie powództwa o odszkodowanie.
Jeżeli chodzi o wykładnię art. 82 ust. 1 RODO, Trybunał stwierdził, po pierwsze, że przepis ten przyznaje również osobie, której dane dotyczą, prawo do odszkodowania za szkodę wynikającą z samego tylko naruszenia prawa dostępu przewidzianego w art. 15 ust. 1 tego rozporządzenia. Zauważa on, że ów art. 82 ust. 1 nie zawiera żadnego odniesienia do „przetwarzania”, w związku z czym, aby nie naruszyć skuteczności (effet utile) tego prawa do odszkodowania, prawo to nie może być ograniczone do szkód wynikających z przetwarzania danych osobowych jako takiego. Takie ograniczenie wykluczałoby bowiem z zakresu stosowania tego ostatniego artykułu szkody spowodowane naruszeniem niektórych praw przewidzianych w tym rozporządzeniu, takich jak prawo dostępu, którego naruszenie co do zasady nie jest objęte zakresem skutecznego przetwarzania danych, lecz raczej odmową nadania dalszego biegu wnioskowi dotyczącemu wykonywania tych praw.
Po drugie, Trybunał wyjaśnił pojęcie „szkody niemajątkowej” poniesionej przez osobę, której dane dotyczą, w rozumieniu art. 82 ust. 1 RODO. Zauważył on w szczególności, że pojęcie to obejmuje utratę przez osobę, której dane dotyczą, kontroli nad jej danymi osobowymi lub jej niepewność co do istnienia ich przetwarzania, o ile zostanie wykazane w szczególności, że osoba ta rzeczywiście poniosła taką szkodę, a jej zachowanie nie stanowiło decydującej przyczyny tej szkody.
W tym kontekście Trybunał zauważył, przypominając, że związek przyczynowy między zarzucanym naruszeniem RODO a podnoszoną szkodą poniesioną przez osobę, której dane dotyczą, jest warunkiem sine qua non prawa do odszkodowania na podstawie art. 82 ust. 1 tego rozporządzenia, że taki związek zostaje przerwany z powodu zachowania tej osoby, jeżeli utrata kontroli nad jej danymi osobowymi lub niepewność co do istnienia ich przetwarzania zostały spowodowane jej decyzją o przekazaniu tych danych administratorowi w celu sztucznego stworzenia warunków wymaganych do celów stosowania tego przepisu.
1      Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwane dalej „RODO”).