62023TJ0070_RES
Sprawy połączone T‑70/23, T‑84/23 i T‑111/23
(publikacja fragmentów)
Data Protection Commission
przeciwko
Europejskiej Radzie Ochrony Danych
Wyrok Sądu z dnia 29 stycznia 2025 r.
Ochrona danych osobowych – Artykuł 65 ust. 1 lit. a) rozporządzenia (UE) 2016/679 – Wiążąca decyzja nakazująca wiodącemu organowi nadzorczemu rozszerzenie zakresu postępowania wyjaśniającego i opracowanie uzupełniającego projektu decyzji – Kompetencja Europejskiej Rady Ochrony Danych
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Kompetencja Europejskiej Rady Ochrony Danych (EROD) – Zakres – Wiążąca decyzja nakazująca wiodącemu organowi nadzorczemu rozszerzenie zakresu postępowania wyjaśniającego i opracowanie uzupełniającego projektu decyzji – Włączenie
[art. 39 TUE, art. 16 ust. 1, 2, art. 101, 102 TFUE; Karta praw podstawowych Unii Europejskiej, art. 8 ust. 1, 3; rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motywy 126, 136, 141, art. 4 pkt 24, art. 57 ust. 1 lit. a), f), art. 58 ust. 2, art. 60, art. 65 ust. 1 lit. a), art. 65 ust. 2, 3, 6, art. 66]
(zob. pkt 35, 36, 38–40, 43–45, 49–54, 56–59, 62, 63, 68–75, 77–82)
Streszczenie
Orzekając jako izba w składzie powiększonym, Sąd oddalił skargi Data Protection Commission, irlandzkiego organu nadzorczego w dziedzinie ochrony danych osobowych, mające na celu stwierdzenie częściowej nieważności wiążących decyzji Europejskiej Rady Ochrony Danych (EROD). W swoim wyroku po raz pierwszy wypowiedział się on w przedmiocie kompetencji EROD, aby nakazać krajowemu organowi nadzorczemu rozszerzenie oceny danego przypadku i, w stosownych przypadkach, postępowania wyjaśniającego.
Po wymianie korespondencji z innymi organami nadzorczymi, których sprawa dotyczy, Data Protection Commission, jako wiodący organ nadzorczy, stwierdziła, że nie osiągnięto konsensusu co do sprzeciwów zgłoszonych wobec jej projektów decyzji dotyczących transgranicznego przetwarzania danych związanego z używaniem sieci społecznościowej Facebook, sieci społecznościowej Instagram i komunikatora WhatsApp. W konsekwencji zwróciła się do EROD w ramach mechanizmu spójności (
1
).
Po zbadaniu tych trzech dokumentacji EROD, uznawszy większość sprzeciwów zgłoszonych wobec projektów decyzji za mające znaczenie dla sprawy i uzasadnione, postanowiła zająć stanowisko w przedmiocie podniesionych w nich kwestii.
I tak w dniu 5 grudnia 2022 r. wydała wiążące decyzje zobowiązujące Data Protection Commission do przeprowadzenie nowych postępowań wyjaśniających w sprawie przetwarzania danych związanego z używaniem trzech wyżej wymienionych aplikacji oraz do opracowania na tej podstawie uzupełniających projektów decyzji.
Data Protection Commission zakwestionowała wówczas kompetencję EROD do nakazania jej, w drodze wiążących decyzji, takich środków.
Ocena Sądu
W pierwszej kolejności Sąd wyjaśnił zakres kompetencji EROD (
2
), opierając się na analizie literalnej, kontekstowej i celowościowej RODO.
W tym kontekście przede wszystkim wskazał on, że zgodnie z literalną wykładnią stosownych przepisów RODO (
3
) EROD jest właściwa do przyjęcia przepisów, takich jak zaskarżone przepisy, nakazujących wiodącemu organowi nadzorczemu przeprowadzenie nowego postępowania wyjaśniającego w przedmiocie niektórych aspektów rozpatrywanych spraw, a następnie przyjęcie w tym względzie nowych projektów decyzji. Ponieważ wiążąca decyzja EROD powinna dotyczyć wszystkich kwestii będących przedmiotem mających znaczenie dla sprawy i uzasadnionych sprzeciwów, stosowne przepisy RODO nie stoją na przeszkodzie, aby – w przypadku gdy EROD przychyla się do mającego znaczenie dla sprawy i uzasadnionego sprzeciwu dotyczącego braku w projekcie decyzji oceny danej kwestii lub niewystarczającego charakteru tej oceny, uniemożliwiających stwierdzenie, czy doszło do naruszenia tego rozporządzenia – decyzja ta zawierała nakaz uzupełnienia przez wiodący organ nadzorczy tego braku oceny oraz, jeżeli okaże się to konieczne w świetle akt sprawy będących w posiadaniu EROD, pogłębienia lub rozszerzenia w tym celu przeprowadzonego do tej pory postępowania wyjaśniającego. Jeżeli okazuje się, że akta sprawy są niewystarczające do przeprowadzenia pełnej wymaganej oceny, musi to prowadzić do tego, że EROD może nakazać wiodącemu organowi nadzorczemu uzupełnienie postępowania wyjaśniającego.
Następnie Sąd stwierdził, w ramach wykładni kontekstowej stosownych przepisów RODO, że ogólny kontekst obowiązku współpracy między organami nadzorczymi, których sprawa dotyczy, ustanowionego w RODO, potwierdza kompetencję EROD do przyjęcia kwestionowanych środków.
W tej kwestii wskazał, że procedura współpracy między organami nadzorczymi, których dana sprawa dotyczy (
4
), mogąca obejmować uruchomienie mechanizmu spójności zapewnianego przez EROD, nie jest procedurą „jednokierunkową”, w ramach której etapy zawsze następują po sobie w kolejności przepisów je przewidujących, bez możliwości powrotu do poprzedniego etapu lub tymczasowego pozostania na tym samym etapie.
Ponadto zauważył, że ocena warunków, w jakich odbywa się przetwarzanie danych osobowych, i zgodności tego przetwarzania z tym rozporządzeniem, nie powinna ograniczać się do tego, co wskazał w skardze podmiot ją składający. W szczególności zapewnienie pełnej realizacji spoczywających na organach nadzorczych zadań przewidzianych w RODO, polegających na monitorowaniu i egzekwowaniu stosowania tego rozporządzenia oraz na rozpatrywaniu skarg w niezbędnym zakresie (
5
), wymaga przyjęcia odpowiedniego zakresu oceny akt w odniesieniu do skargi, która zapoczątkowała leżącą u ich podstaw sprawę, ale również w świetle innych elementów, które mogą ją uzupełniać. Tymczasem mający znaczenie dla sprawy i uzasadniony sprzeciw, zgodnie ze swoją definicją, dotyczy kwestii, których ocena wchodzi w zakres dwóch wyżej wymienionych zadań. W konsekwencji okoliczność, że istotny i uzasadniony sprzeciw dotyczy zakresu oceny i, w stosownych przypadkach, zakresu postępowania wyjaśniającego oraz że EROD na niego reaguje, w żaden sposób nie zagraża tym zadaniom.
Wreszcie, Sąd podkreślił, że analiza celów RODO również potwierdza literalną wykładnię stosownych przepisów RODO.
W tym względzie przypomniał on w szczególności, że mechanizm współpracy między organami nadzorczymi, których sprawa dotyczy, jest ograniczony, gdy organy te nie osiągną konsensusu. To właśnie w tej sytuacji sprawa, co do której nie ma zgody, powinna zostać przekazana przez wiodący organ nadzorczy w ramach mechanizmu spójności, który prowadzi do wydania wiążącej decyzji EROD. W przypadku wznowienia postępowania wyjaśniającego właściwy organ powinien przyjąć ostateczną decyzję w przedmiocie ocenionych i rozstrzygniętych kwestii merytorycznych po wiążącej decyzji EROD w terminie przewidzianym w RODO. Nie stoi to na przeszkodzie przeprowadzeniu dodatkowego postępowania wyjaśniającego i oceny tych kwestii dotyczących danego przypadku, które nie zostały jeszcze zbadane.
W drugiej kolejności Sąd uznał, że przesłanki przyznania kompetencji organowi Unii nie stoją na przeszkodzie przyjętej wykładni, zgodnie z którą EROD jest uprawniona nakazać wiodącemu organowi nadzorczemu rozszerzenie jego oceny i, w stosownym przypadku, postępowania wyjaśniającego. Wykonywanie tego uprawnienia jest bowiem uzależnione od spełnienia licznych przesłanek, które określają zakres jej działania. I tak, uprawnienie to, po pierwsze, jest wykonywane jedynie w przypadku wyraźnie zidentyfikowanego niewystarczającego charakteru oceny dokonanej przez wiodący organ nadzorczy przy rozpatrywaniu sprawy, mogącego mieć istotne konsekwencje, jak wynika z definicji mającego znaczenie dla sprawy i uzasadnionego sprzeciwu, a po drugie, wynika ze zbiorowej oceny dokonanej przez organy nadzorcze wchodzące w skład EROD.
Ponadto Sąd wyjaśnił, że wykonywanie wspomnianego uprawnienia podlega kontroli sądowej. Dokładniej rzecz ujmując, w granicach podniesionych przed nim zarzutów sąd Unii byłby w stanie zbadać materialną zgodność z prawem takich przepisów zależnie od okoliczności sprawy. W szczególności mógłby w pierwszej kolejności sprawdzić, czy przyjmując tego rodzaju przepisy, EROD rzeczywiście uwzględniła mający znaczenie dla sprawy i uzasadniony sprzeciw organu nadzorczego. W drugiej kolejności mógłby zweryfikować zgodność z prawem samej treści takich przepisów wydających zalecenia organom nadzorczym.
W tym kontekście Sąd dodał, że wiążąca decyzja EROD nakazująca wiodącemu organowi nadzorczemu rozszerzenie oceny i postępowania wyjaśniającego nie podważa jego zdolności do ustalenia priorytetów przy wykonywaniu przezeń poszczególnych zadań jako niezależny organ, co stanowi zadanie, którego kontrola należy wyłącznie do sądu krajowego. Nie podważa ona również, w sposób bardziej ogólny, jego niezależności (
6
).
(
1
)	Zgodnie z art. 60 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016 L 119, s. 1, zwanego dalej „RODO”).
(
2
)	Na podstawie art. 65 ust. 1 lit. a) RODO.
(
3
)	Artykuł 65 ust. 1 lit. a) RODO w związku z art. 4 pkt 24, art. 65 ust. 6 oraz motywami 126 i 136 tego rozporządzenia.
(
4
)	Przewidziana w art. 60 RODO.
(
5
)	Artykuł 57 ust. 1 lit. a) i f) RODO.
(
6
)	Zapisanej w art. 39 TUE, art. 16 ust. 2 TFUE i art. 8 ust. 3 Karty praw podstawowych Unii Europejskiej.