OPINIA RZECZNIKA GENERALNEGO
MANUELA CAMPOSA SÁNCHEZA-BORDONY
przedstawiona w dniu 20 marca 2025 r.(1)
Sprawa C‑655/23
IP
przeciwko
Quirin Privatbank AG
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy)]
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 5 ust. 1 lit. a) – Artykuł 6 ust. 1 – Artykuł 17 – Artykuł 18 – Artykuł 79 ust. 1 – Artykuł 82 ust. 1 – Roszczenie o zaniechanie ponownego niezgodnego z prawem przetwarzania – Prawo do odszkodowania – Szkoda niemajątkowa – Ocena
1.        Spór leżący u podstaw niniejszego odesłania prejudycjalnego dotyczy zasadniczo kwestii, czy danej osobie przysługuje roszczenie o zaniechanie w przyszłości przez administratora jej danych osobowych ponownego zachowania sprzecznego z przepisami rozporządzenia (UE) 2016/679(2). Ta sama osoba wnosi również o nakazanie administratorowi naprawienia poniesionych przez nią szkód niemajątkowych wynikających z już popełnionego naruszenia RODO.
2.        Trybunał orzekał w przedmiocie wykładni RODO w odniesieniu do odszkodowania(3), a także w odniesieniu do powództw o zaniechanie w przypadku niezgodnego z prawem przetwarzania danych osobowych(4). Jednakże Trybunał nie rozpatrywał jeszcze żadnej ze szczególnych kwestii podniesionych w niniejszym odesłaniu prejudycjalnym.
I.      Ramy prawne
A.      Prawo Unii. RODO
3.        Artykuł 4 („Definicje”) stanowi:
„Na użytek niniejszego rozporządzenia:
[…]
2)      »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak […] ograniczanie, usuwanie lub niszczenie;
3)      »ograniczenie przetwarzania« oznacza oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania;
[…]”.
4.        Artykuł 5 („Zasady dotyczące przetwarzania danych osobowych”) stanowi:
„1.      Dane osobowe muszą być:
a)      przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);
[…]
2.      Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”.
5.        W art. 6 („Zgodność przetwarzania z prawem”) ust. 1 wskazano:
„Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a)      osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
[…]”.
6.        Zgodnie z art. 17 [„Prawo do usunięcia danych (»prawo do bycia zapomnianym«)”]:
„1.      Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:
[…]
d)      dane osobowe były przetwarzane niezgodnie z prawem;
[…]”.
7.        Artykuł 18 („Prawo do ograniczenia przetwarzania”) stanowi:
„1.      Osoba, której dane dotyczą, ma prawo żądania od administratora ograniczenia przetwarzania w następujących przypadkach:
[…]
b)      przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;
[…]”.
8.        Na podstawie art. 79 („Prawo do skutecznego środka ochrony prawnej przed sądem przeciwko administratorowi lub podmiotowi przetwarzającemu”) ust. 1:
„Bez uszczerbku dla dostępnych administracyjnych lub pozasądowych środków ochrony prawnej, w tym prawa do wniesienia skargi do organu nadzorczego zgodnie z art. 77, każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli uzna ona, że prawa przysługujące jej na mocy niniejszego rozporządzenia zostały naruszone w wyniku przetwarzania jego [jej] danych osobowych z naruszeniem niniejszego rozporządzenia”.
9.        Artykuł 82 („Prawo do odszkodowania i odpowiedzialność”) ust. 1 stanowi:
„Każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę”.
10.      Artykuł 84 („Sankcje”) ust. 1 ma następujące brzmienie:
„Państwa członkowskie przyjmują przepisy określające inne sankcje za naruszenia niniejszego rozporządzenia, w szczególności za naruszenia niepodlegające administracyjnym karom pieniężnym na mocy art. 83, oraz podejmują wszelkie środki niezbędne do ich wykonania. Sankcje te muszą być skuteczne, proporcjonalne i odstraszające”.
B.      Prawo niemieckie. Bürgerliches Gesetzbuch(5)
11.      Paragraf 823 („Obowiązek naprawienia szkody”) stanowi:
„1)      Kto z winy umyślnej albo nieumyślnej bezprawnie narusza prawo do życia, nietykalność cielesną, zdrowie, wolność, własność lub jakiekolwiek inne prawo drugiej osoby, zobowiązany jest do naprawienia wynikłej z tego szkody.
2)      Ten sam obowiązek dotyczy tego, kto narusza ustawę mającą na celu ochronę drugiej osoby. Jeżeli zgodnie z treścią ustawy jej naruszenie jest możliwe również bez winy, obowiązek naprawienia szkody występuje tylko w przypadku winy”.
12.      Paragraf 1004 („Powództwo negatoryjne”) ust. 1 stanowi:
„Jeśli własność zostaje zakłócona inaczej niż przez wywłaszczenie lub zatrzymanie posiadania rzeczy, właściciel może żądać od zakłócającego przywrócenia stanu poprzedniego. Jeżeli należy obawiać się, że wystąpią dalsze zakłócenia, właściciel może żądać zaniechania dalszych naruszeń”(6).
II.    Okoliczności faktyczne, postępowanie główne i pytania prejudycjalne
13.      Okoliczności faktyczne przedstawione w postanowieniu odsyłającym są następujące:
–        IP brał udział w procesie rekrutacji pracowników banku Quirin Privatbank AG (zwanego dalej „bankiem Quirin”), prowadzonym za pośrednictwem portalu internetowego Xing;
–        w dniu 23 października 2018 r., w ramach tego procesu rekrutacji, pracownica banku Quirin wysłała poprzez dostępny na portalu Xing komunikator wiadomość przeznaczoną wyłącznie dla IP do osoby trzeciej, nieuczestniczącej w tym procesie, o następującej treści: „Szanowny Panie [IP]! Mam nadzieję, że dobrze się Pan miewa. Nasz kierownik – Pan R […] – uważa, że Pana profil handlowca jest bardzo interesujący. Nie możemy jednak sprostać Pana oczekiwaniom płacowym. Kierownik może zaoferować 80 000 + wynagrodzenie zmienne. Czy wobec powyższego byłoby to dla Pana nadal interesujące? Cieszę się na wiadomość od Pana […]. Z poważaniem […]”;
–        osoba trzecia, która otrzymała wiadomość, przekazała ją IP, którego znała, ponieważ pracowali oni wcześniej w tej samej grupie spółek. Zwróciła się do niego z pytaniem, czy nie jest to wiadomość skierowana do niego (do IP) i czy szuka on pracy.
14.      IP wniósł pozew do Landgericht (sądu krajowego, Niemcy), wnosząc o zobowiązanie banku Quirin do zaniechania w przyszłości przetwarzania względnie zlecania przetwarzania dotyczących go danych osobowych związanych z procesem rekrutacji, „jeżeli przetwarzanie to odbywa się tak, jak miało to miejsce w przypadku wiadomości wysłanej poprzez portal Xing […] w dniu 23 października 2018 r.”. Wniósł on również o zasądzenie na jego rzecz odszkodowania za szkody niemajątkowe w wysokości co najmniej 2500 EUR(7).
15.      Landgericht (sąd krajowy) uwzględnił częściowo powództwo, zobowiązując bank Quirin do zaniechania zgodnie z żądaniem IP i do zapłaty na rzecz IP odszkodowania w wysokości 1000 EUR wraz z odsetkami.
16.      Bank Quirin wniósł apelację od wyroku wydanego w pierwszej instancji do Oberlandesgericht (wyższego sądu krajowego, Niemcy), który uwzględnił apelację tylko w części, uchylając wyrok wydany w pierwszej instancji w zakresie dotyczącym odszkodowania i oddalając apelację w pozostałym zakresie.
17.      Zdaniem sądu apelacyjnego:
–        na podstawie art. 17 ust. 1 RODO IP ma prawo do tego, aby bank Quirin zaniechał przetwarzania jego danych osobowych w sposób, w jaki miało to miejsce w przypadku wiadomości z dnia 23 października 2018 r. Uznał on, że istnieje w tym względzie ryzyko ponowienia naruszenia;
–        IP nie przysługuje roszczenie odszkodowawcze na podstawie art. 82 RODO, ponieważ IP nie udowodnił, że poniósł szkodę.
18.      IP wniósł na ten wyrok skargę rewizyjną („Revision”), w której podtrzymuje wszystkie swoje żądania. Ze swej strony bank Quirin w swojej skardze rewizyjnej („Revision”) wnosi o oddalenie powództwa w całości.
19.      W tym kontekście Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy) zwrócił się do Trybunału z sześcioma pytaniami prejudycjalnymi, z których przytaczam pytania pierwsze, drugie, trzecie i szóste(8), sformułowane w następujący sposób:
„1)      a)      Czy wykładni art. 17 RODO należy dokonywać w ten sposób, że osobie, której dane osobowe zostały ujawnione przez administratora w sposób niezgodny z prawem poprzez ich przekazanie, przysługuje wobec administratora roszczenie o zaniechanie ponownego bezprawnego przekazania tych danych, jeżeli nie żąda ona od administratora usunięcia danych?
b)      Czy takie roszczenie o zaniechanie może wynikać (również) z art. 18 RODO lub z innego przepisu RODO?
2)      W wypadku udzielenia na pytania [pierwsze lit. a)] lub [pierwsze lit. b)] odpowiedzi twierdzącej:
a)      Czy roszczenie o zaniechanie w świetle prawa Unii przysługuje tylko wtedy, kiedy w przyszłości należy obawiać się kolejnych naruszeń wynikających z RODO praw osoby, której dane dotyczą (ryzyko ponowienia)?
b)      Czy istnieje ewentualnie domniemanie ryzyka ponowienia ze względu na występujące już naruszenie RODO?
3)      W wypadku udzielenia na pytania [pierwsze lit. a)] i [pierwsze lit. b)] odpowiedzi przeczącej:
Czy wykładni art. 84 w związku z art. 79 RODO należy dokonywać w ten sposób, że pozwalają one sądowi krajowemu przyznać osobie, której dane osobowe zostały ujawnione przez administratora w sposób niezgodny z prawem poprzez ich przekazanie – oprócz odszkodowania za szkodę majątkową lub niemajątkową zgodnie z art. 82 RODO oraz roszczeń wynikających z art. 17 i art. 18 RODO – również roszczenie wobec administratora o zaniechanie ponownego niezgodnego z prawem przekazania tych danych na podstawie prawa krajowego?
[…]
6)      W wypadku udzielenia na pytania [pierwsze lit. a)], [pierwsze lit. b)] lub trzecie odpowiedzi twierdzącej:
Czy wykładni art. 82 ust. 1 RODO należy dokonywać w ten sposób, że przy ustalaniu wysokości szkody niemajątkowej podlegającej naprawieniu jako kryterium ograniczające zakres roszczenia można uwzględnić to, że osobie, której dane dotyczą, oprócz roszczenia o odszkodowanie przysługuje także roszczenie o zaniechanie?”.
III. Postępowanie przed Trybunałem
20.      Wniosek o wydanie orzeczenia w trybie prejudycjalnym wpłynął do Trybunału w dniu 7 listopada 2023 r.
21.      Uwagi na piśmie zostały przedstawione przez IP, bank Quirin i Komisję Europejską. Nie uznano za konieczne przeprowadzenia rozprawy.
IV.    Analiza
22.      Na wniosek Trybunału niniejsza opinia dotyczy pytań prejudycjalnych pierwszego, drugiego, trzeciego i szóstego.
A.      W przedmiocie pierwszego pytania prejudycjalnego
23.      Sąd odsyłający zmierza do ustalenia, czy w przypadku gdy niezgodne z prawem w świetle RODO przetwarzanie danych osobowych już miało miejsce, osoba, której dane dotyczą, może, na podstawie art. 17 lub 18, lub innego przepisu samego RODO, żądać od administratora zaniechania (Anspruch auf Unterlassung) „ponownego niezgodnego z prawem przekazania tych danych, jeżeli nie żąda ona od administratora usunięcia danych”.
24.      Wątpliwości sądu odsyłającego wydają się wynikać z odmiennych w doktrynie niemieckiej i orzecznictwie niemieckim poglądów na temat (domniemanego) roszczenia, które można wnieść na drodze sądowej, o zaniechanie w przyszłości przez administratora określonego niezgodnego z prawem przetwarzania danych osobowych, podobnego do tego, które miało miejsce już wcześniej.
25.      U podstaw tej debaty leży brak wyraźnego uznania tego prawa w RODO. Ten brak oznacza zdaniem niektórych, że takie prawo nie istnieje w samym RODO, natomiast zdaniem innych można je wywnioskować z art. 17 lub 18(9).
26.      Ponadto wśród zwolenników pierwszego stanowiska istnieje dalszy podział. Zdaniem jednych RODO ustanawia zamknięty system, który uniemożliwia oparcie się na prawie krajowym w celu uzasadnienia roszczenia o zaniechanie. Inni, podobnie jak sąd pierwszej instancji w niniejszej sprawie, są przeciwnego zdania.
27.      Niewątpliwie RODO nie przewiduje wyraźnie w swoim tekście prawa osoby, której dane dotyczą, do tego, by administrator zaniechał ponownego niezgodnego z prawem przetwarzania. Jednakże wykładnia przepisu prawa Unii wymaga uwzględnienia nie tylko jego brzmienia, lecz także kontekstu, w jaki się on wpisuje, oraz celów aktu, którego ów przepis stanowi część, oraz ewentualnie genezy tego przepisu(10).
28.      W dalszej części przeprowadzę analizę pierwszego pytania prejudycjalnego w świetle tych kryteriów wykładni.
1.      Roszczenie o zaniechanie ponownego niezgodnego z prawem przetwarzania
29.      Podobnie jak Komisja(11) uważam, że roszczenie osoby, której dane dotyczą, o zaniechanie (przez administratora jej danych osobowych) ponownego niezgodnego z prawem przetwarzania, w przypadku gdy miało ono miejsce już wcześniej, można wywnioskować z samego RODO. W szczególności można je wywnioskować z art. 5 ust. 1 lit. a) i art. 6 ust. 1 w związku z art. 79 ust. 1 RODO.
30.      Rozumiem zastrzeżenia, jakie może wywołać ten pogląd, ponieważ art. 5 i 6 RODO są zawarte w rozdz. II („Zasady”) RODO, nie zaś w rozdz. III, dotyczącym konkretnie „[praw] osoby, której dane dotyczą”. Na wstępie można by uznać, że katalog praw osoby, której dane dotyczą, chronionych na mocy RODO wyczerpuje się w wykazie praw przewidzianych w rozdz. III.
31.      Wydaje mi się jednak, że można rozwiać te zastrzeżenia.
32.      Rozdział II RODO, zatytułowany „Zasady”, nie ogranicza się do założeń programowych lub po prostu przydatnych do dokonywania wykładni innych przepisów. Ustanawia on raczej obowiązki prawne dotyczące wszystkich podmiotów, do których zastosowanie ma RODO. Natomiast według wszelkiej logiki obowiązkom tym odpowiadają albo subiektywne interesy, które zasługują na ochronę, albo, w zależności od przypadku, rzeczywiste prawa osób, których dane dotyczą(12).
33.      Artykuł 5 ust. 1 RODO określa bezpośrednio wiążące zasady, których przestrzeganie jest obligatoryjne(13). Normatywny charakter tych zasad znajduje potwierdzenie w ust. 2 tego artykułu, w zakresie, w jakim przewiduje on, że „przestrzeganie przepisów ust. 1” jest obowiązkiem materialnym nałożonym w sposób szczególny na administratora(14). Ponadto naruszenie „podstawowych zasad przetwarzania” podlega karom pieniężnym(15).
34.      Na wyższym poziomie normatywnym art. 8 Karty praw podstawowych Unii Europejskiej, który ustanawia prawo do ochrony danych osobowych, wymaga w ust. 2, aby przetwarzanie takich danych podlegało pewnym warunkom („Dane te muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą”), które gwarantują jego zgodność z prawem.
35.      Naruszenie przez administratora którejkolwiek z zasad określonych w art. 5 i 6 RODO powoduje, że takie przetwarzanie jest niezgodne z prawem. W tym samym stopniu niezgodne z prawem przetwarzanie danych osobowych narusza prawo do ochrony danych osobowych.
36.      Nie oznacza to, że każde naruszenie przepisów RODO automatycznie pociąga za sobą niezgodność z prawem przetwarzania danych osobowych(16). Jeżeli zaś naruszenie RODO przybierze taki rozmiar, że samo w sobie będzie sprzeczne z zasadami przewodnimi przetwarzania, pragnę powtórzyć, że niezgodność przetwarzania z prawem oznacza naruszenie samego prawa do ochrony danych osobowych.
37.      W odniesieniu do zasady zgodności przetwarzania z prawem Trybunał:
–        uznał, że ma ona obowiązkowy charakter, konsekwentnie przypominając, że każde przetwarzanie danych osobowych musi być zgodne z zasadą zgodności z prawem(17);
–        podkreślił „zakres obowiązków spoczywających na administratorze danych na mocy art. 5 ust. 1 lit. a) i art. 6 ust. 1 wspomnianego rozporządzenia”(18). Zakres ten został określony w art. 7–11 rozporządzenia: aby przetwarzanie danych osobowych było zgodne z prawem, musi ono być zgodne również z tymi przepisami(19).
38.      Jako bezpośredni odpowiednik obowiązku zawartego w art. 5 ust. 1 lit. a) i art. 6 ust. 1 RODO istnieje zatem prawo osoby, której dane dotyczą, do tego, by każde przetwarzanie jej danych osobowych było zgodne z prawem. Uważam, że jest to założenie, które należy przyjąć, nawet jeśli prawo to nie jest wyraźnie odzwierciedlone w rozdz. III RODO.
39.      O ile bowiem rozdz. II RODO, poświęcony prawom osoby, której dane dotyczą, jako taki nie zawiera uznania prawa do tego, by przetwarzanie danych osobowych takiej osoby było zgodne z prawem, o tyle wynika to z faktu, że takie wyraźne uznanie jest zbędne: brzmienie art. 5 i 6 RODO jest wystarczające, aby wywnioskować, że takie prawo jest domniemane.
40.      Pragnę powtórzyć, że uwypuklenie w RODO, ponad to, co zostało już przewidziane w art. 5 RODO, prawa do tego, by każde przetwarzanie danych osobowych opierało się na zgodnej z prawem podstawie, nie było niezbędne(20). W trosce o jednolitość i pewność prawa dla wszystkich zainteresowanych podmiotów wystarczyło określić i doprecyzować te podstawy w samym RODO.
41.      Ponadto nie jestem pewien, czy prawami osoby, której dane dotyczą, są jedynie prawa wyszczególnione w rozdz. III RODO. RODO obejmuje inne prawa, których wykonywanie powinien przede wszystkim ułatwić administrator(21). Tytułem przykładu prawo do wycofania zgody jest przewidziane w art. 7 ust. 3 RODO, który nie został ujęty jako taki w rozdz. III tego rozporządzenia.
42.      Moim zdaniem roszczenie osoby, której dane dotyczą, o zaniechanie przez administratora ponownego niezgodnego z prawem przetwarzania, analogicznego do tego, które miało miejsce wcześniej, może wynikać z prawa tej samej osoby, której dane dotyczą, do tego, by każde przetwarzanie jej danych osobowych było zgodne z prawem.
43.      Z prawem tym (ius) powiązany jest mechanizm reakcji sądowej (actio), który jest niezbędny do realizacji celu RODO i o którym mowa w art. 79 tego rozporządzenia. W przeciwnym razie ochrona prawna danych osobowych byłaby niedoskonała.
44.      Przyznanie osobie, której dane dotyczą, roszczenia (w stosownym przypadku podniesionego przed sądem) o zaniechanie niezgodnego z prawem przetwarzania jej danych odpowiada celowi określonemu w motywie 10 RODO, polegającemu na zapewnieniu wysokiego poziomu ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych w Unii. Ponadto w motywie 11 RODO wskazano, że skuteczna ochrona danych osobowych wymaga wzmocnienia praw osób, których dane dotyczą(22).
45.      Uprawnienia organu nadzorczego przewidziane w art. 58 ust. 2 lit. d) i f) RODO obejmują, odpowiednio, nakazanie dostosowania przetwarzania do RODO i wskazanie sposobu oraz wprowadzanie czasowych lub całkowitych ograniczeń przetwarzania danych, w tym zakazu przetwarzania. Skarga osoby, której dane dotyczą, na podstawie art. 77 ust. 1 RODO może spowodować podjęcie takich działań.
46.      Przyznanie tych uprawnień organowi nadzorczemu jest w pełni zgodne z tym, że osoba, której dane dotyczą, może, jeśli uzna to za stosowne, zwrócić się do sądu w celu uzyskania skutecznej ochrony jej naruszonych praw. W tym celu może ona wnieść środek ochrony prawnej do sądu przeciwko administratorowi na podstawie art. 79 ust. 1 RODO(23). Nic nie stoi na przeszkodzie temu, by żądania podniesione w ramach tego środka ochrony prawnej obejmowały żądanie nakazania administratorowi, aby zaniechał niezgodnego z prawem przetwarzania.
47.      W świetle powyższego uważam, że osobie, której dane dotyczą, przysługuje zarówno prawo (ius) do tego, by administrator zaniechał ponownego niezgodnego z prawem przetwarzania w rozumieniu RODO, jak i możliwość wniesienia środka ochrony prawnej do sądu (actio), aby ten nałożył na wspomnianego administratora ów obowiązek zaniechania ponownego przetwarzania.
48.      Takie roszczenie osoby, której dane dotyczą, odpowiada typowej treści art. 79 ust. 1 RODO, to znaczy można je zaliczyć do mechanizmów skutecznej ochrony sądowej przyznanej tej osobie przez to rozporządzenie(24). Należy wziąć pod uwagę, że odszkodowanie w celu naprawienia szkód już spowodowanych naruszeniem RODO jest szczegółowo uregulowane w art. 82 RODO oraz że jego funkcja jest „wyłącznie kompensacyjna”, nie zaś odstraszająca lub represyjna(25).
49.      Wbrew proponowanemu przeze mnie argumentowi bank Quirin podnosi(26), że w trakcie opracowywania RODO nie przyjęto ostatecznie wniosku Komisji, zgodnie z którym „[p]aństwa członkowskie dopilnują, by skargi przewidziane w prawie krajowym umożliwiały szybkie przyjęcie środków, łącznie ze środkami tymczasowymi mającymi na celu przerwanie każdego domniemanego naruszenia prawa oraz zapobieżenie wszelkim dalszym naruszeniom przedmiotowych interesów”(27).
50.      Nie wydaje mi się jednak, by usunięcie tego ustępu przez Radę wskazywało na zamiar prawodawcy, jakim jest „nieuwzględnienie w ostatecznej wersji RODO praw do przyjęcia pilnych środków w celu zapobieżenia dalszym szkodom”(28), ani na przeoczenie(29). Uważam raczej, że zmiany wprowadzone we wniosku Komisji w tej kwestii odpowiadają woli, aby pierwotny rozdz. VIII („Środki ochrony prawnej, odpowiedzialność i sankcje”) jako całość miał poprawniejszą systematykę.
51.      Artykuły 75 i 76 wniosku, zatytułowane, odpowiednio, „Prawo do sądowego środka ochrony prawnej przeciwko administratorowi lub podmiotowi przetwarzającemu” i „Wspólne zasady postępowań sądowych”, regulowały wiele przypadków pozbawionych spójności(30). W nowej systematyce rozdziału prawo do ochrony sądowej praw osoby, której dane dotyczą, zostało ujęte w art. 79 RODO, w którym można logicznie zakładać, że zostały uwzględnione, jako charakterystyczne przejawy skutecznej ochrony sądowej(31), środki prawne mające na celu zapobieżenie ponownemu niezgodnemu z prawem przetwarzaniu danych osobowych.
2.      Możliwość wywnioskowania z art. 17 lub 18 RODO roszczenia o zaniechanie ponownego niezgodnego z prawem przetwarzania
52.      Sąd odsyłający formułuje swoje pierwsze pytanie prejudycjalne, odnosząc się do art. 17 i 18 lub do „innego przepisu RODO” jako do potencjalnych podstaw roszczenia osoby, której dane dotyczą, o zaniechanie przez administratora ponownego niezgodnego z prawem przekazywania jej danych osobowych.
53.      Ze swej strony, jak już wskazałem, uważam, że podstawę tę stanowią art. 5 i 6 w związku z art. 79 RODO, co sprawia, że zbędne staje się analizowanie wpływu art. 17 i 18 RODO na tę kwestię.
54.      Jednakże dla dopełnienia wywodu przeanalizuję te dwa przepisy w dalszej części. Przedstawię powody, które moim zdaniem przemawiają przeciwko wywnioskowaniu wspomnianego prawa:
–        z art. 17 RODO, w przypadku gdy osoba, której dane dotyczą, nie żąda usunięcia danych przetwarzanych niezgodnie z prawem(32); lub
–        z art. 18 RODO, w szczególności z art. 18 ust. 1 lit. b)(33).
55.      Co do zasady(34) osobie, której dane dotyczą, przysługuje wobec administratora zarówno prawo do usunięcia danych osobowych przetwarzanych niezgodnie z prawem [art. 17 ust. 1 lit. d) RODO], jak i prawo do ograniczenia przetwarzania [art. 18 ust. 1 lit. b) RODO], jeżeli przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwiając się usunięciu danych, żąda w zamian takiego ograniczenia.
56.      Moim zdaniem żaden z tych dwóch przepisów nie jest sam w sobie wystarczający, aby uzasadnić prawo osoby, której dane dotyczą, do tego, by administrator zaniechał ponownego niezgodnego z prawem przetwarzania (podobnego do tego, które już miało miejsce):
–        uzyskanie na podstawie art. 17 ust. 1 lit. d) RODO usunięcia danych osobowych przetwarzanych niezgodnie z prawem zapobiegnie ponownemu takiemu przetwarzaniu, lecz także uniemożliwi jakiekolwiek inne przetwarzanie(35), co niekiedy odbywa się ze szkodą dla wszystkich zainteresowanych(36);
–        ograniczenie przetwarzania danych na podstawie art. 18 ust. 1 lit. b) RODO nie stanowi środka, który zapewniałby wystarczającą ochronę przed niezgodnym z prawem przetwarzaniem. Za pomocą takiego środka (podlegającego określonym warunkom) zawiesza się na wniosek osoby, której dane dotyczą, spoczywający na administratorze obowiązek usunięcia danych właśnie dlatego, że przetwarzanie jest niezgodne z prawem.
57.      Artykuł 17 RODO dosłownie przewiduje prawo do usunięcia danych osobowych i prawo do bycia zapomnianym. Artykuł 17 ust. 1 RODO ustanawia prawo osoby, której dane dotyczą, żądania usunięcia dotyczących jej danych osobowych oraz wskazuje okoliczności, w których można skorzystać z tego prawa(37). W przypadku gdy okoliczności te zachodzą, administrator musi usunąć dane „bez zbędnej zwłoki”.
58.      Dokonanie wykładni art. 17 w taki sposób, aby objąć tym przepisem żądanie osoby, której dane dotyczą, inne niż żądanie usunięcia przetwarzanych danych osobowych, jest sprzeczne z brzmieniem przepisu i jest niezgodne z jego celem.
59.      Wykładnia ta wiąże się również z trudnościami systemowymi: w rozdz. III RODO inne artykuły przewidują prawa do ograniczenia przetwarzania danych bez ich usunięcia(38). Uznanie, że art. 17 także realizuje ten cel, mogłoby pozbawić te inne artykuły ich skuteczności (effet utile).
60.      Ponieważ wykładnia ta została odrzucona, nie wydaje mi się logiczne wywnioskowanie z art. 17 RODO prawa do uzyskania zaniechania ponownego konkretnego przetwarzania danych osobowych przez tego samego administratora, w którego posiadaniu dane te się znajdowały. Z definicji, jeżeli administrator zastosuje się do nakazu usunięcia danych, nie będzie już posiadał tych danych i w rzeczywistości nie będzie mógł ich przetwarzać(39).
61.      Artykuł 18 RODO nie chroni także prawa osoby, której dane dotyczą, do tego, by administrator zaniechał ponownego niezgodnego z prawem przetwarzania jej danych osobowych, analogicznego do tego, które już miało miejsce.
62.      Artykuł 18 RODO, zatytułowany „Prawo do ograniczenia przetwarzania”, przyznaje osobie, której dane dotyczą, uprawnienia inne niż uprawnienie do żądania usunięcia jej danych osobowych. Uprawnienia, które zostały jej przyznane, są uprawnieniami o ściśle określonej treści, pod określonymi warunkami i na ograniczony czas. Artykuł 18 RODO umożliwia również osobie, której dane dotyczą, sprzeciwienie się usunięciu tych danych.
63.      Celem tego przepisu jest pogodzenie interesów osoby, której dane są przetwarzane, z interesami administratora w przypadku braku zgody między nimi co do tego, czy te dane osobowe powinny zostać sprostowane [ust. 1 lit. a)] lub usunięte [ust. 1 lit. b) i c)], lub co do tego, czyj interes jest nadrzędny w przypadku sprzeciwu osoby, której dane dotyczą, wobec przetwarzania na podstawie art. 21 ust. 1 RODO [ust. 1 lit. d)].
64.      Konsekwencją skorzystania z prawa do ograniczenia przetwarzania jest to, że „dane, do których dostęp jest ograniczony”, nie podlegają sprostowaniu ani nie są usuwane(40), lecz jedyne możliwe przetwarzanie ogranicza się do ich zatrzymania(41), to znaczy do ich przechowywania(42). Zatrzymanie to nie jest jednak w rzeczywistości ustępstwem na rzecz administratora, lecz spoczywającym na administratorze obowiązkiem(43), któremu towarzyszy obowiązek podjęcia odpowiednich środków w celu jego zapewnienia(44).
65.      Ograniczenie przetwarzania na podstawie art. 18 RODO ma charakter czasowy; czas jego trwania jest uzależniony od realizacji celu, w jakim osoba, której dane dotyczą, wykonuje prawo do ograniczenia przetwarzania. Czasowy charakter nie budzi wątpliwości w sytuacjach opisanych w art. 18 ust. 1 lit. a)(45), c)(46) i d)(47) RODO, ale moim zdaniem odpowiada również sytuacji, o której mowa w art. 18 ust. 1 lit. b).
66.      Artykuł 18 ust. 1 lit. b) RODO, którego znaczenie i zakres z pewnością są niejasne(48), należy bowiem interpretować w jego kontekście, to znaczy w sposób spójny z pozostałą częścią art. 18 ust. 1 tego rozporządzenia(49). W tych ramach przepis ten jest częścią dwuelementowej całości, którą uzupełnia lit. c), dotycząca zgodnego z prawem przetwarzania, które zostało zakończone. W tym ostatnim przypadku, podobnie jak w przypadku niezgodnego z prawem przetwarzania, nie jest uzasadnione, aby administrator przechowywał dane przez okres dłuższy, niż jest to konieczne(50). Zmuszenie go do tego na podstawie sprzeciwu osoby, której dane dotyczą, wobec usunięcia tych danych może być jedynie sytuacją tymczasową.
67.      Również ze względów systemowych brak w art. 18 ust. 1 lit. b) RODO jakiegokolwiek odniesienia do podstaw sprzeciwu osoby, której dane dotyczą, wobec usunięcia jej danych (i żądania w zamian ograniczenia ich wykorzystywania) nie powinien być odczytywany jako jednoznaczne dopuszczenie dowolnych podstaw, a tym bardziej jako dopuszczenie tego, że żadna podstawa nie jest konieczna. Prawo żądania ograniczenia przetwarzania na mocy art. 18 ust. 1 lit. b) musi raczej odpowiadać uzasadnionemu i zgodnemu z prawem celowi(51).
68.      Przechowywanie danych osobowych stanowi obciążenie dla administratora, które nie jest wolne od ryzyka, a zatem powinno być od niego wymagane tylko przez pewien okres w okolicznościach, w których usunięcie tych danych naruszyłoby prawnie uzasadniony interes osoby, której dane dotyczą.
69.      Uważam zatem, że z art. 18 ust. 1 lit. b) RODO nie można wywnioskować również prawa osoby, której dane dotyczą, do tego, by administrator zaniechał ponownego niezgodnego z prawem przetwarzania jej danych osobowych. Celem tego przepisu jest uniknięcie, przez określony czas i w prawnie uzasadnionym celu dotyczącym osoby, której dane dotyczą, wykonania przez administratora obowiązku prawnego, który spoczywa na nim w związku z niezgodnością z prawem, poprzez niezwłoczne usunięcie przedmiotowych danych osobowych.
B.      W przedmiocie trzeciego pytania prejudycjalnego
70.      Trzecie pytanie prejudycjalne zostało przedłożone na wypadek udzielenia odpowiedzi przeczącej na pierwsze pytanie prejudycjalne. Ponieważ moim zdaniem art. 5, 6 i 79 RODO, interpretowane w sposób przedstawiony powyżej, stanowią wystarczającą podstawę uzasadnienia roszczenia osoby, której dane dotyczą, o zaniechanie przez administratora ponownego niezgodnego z prawem przekazywania jej danych osobowych, nie ma potrzeby analizowania, czy takie samo rozwiązanie można osiągnąć w oparciu o przepisy prawa krajowego.
C.      W przedmiocie drugiego pytania prejudycjalnego
71.      Drugie pytanie prejudycjalne opiera się na założeniu, że RODO przyznaje osobie, której dane dotyczą, prawo do tego, by administrator zaniechał niezgodnego z prawem przetwarzania danych osobowych, podobnego do tego, które miało miejsce już wcześniej.
72.      Wychodząc z tego założenia, sąd odsyłający zmierza do ustalenia, czy prawo to zależy od tego, czy istnieje ryzyko ponowienia, a jeśli tak, to czy „istnieje […] domniemanie [takiego] ryzyka […] ze względu na występujące już naruszenie RODO”.
73.      W zakresie, w jakim RODO nie reguluje systemu powództw o zaniechanie mających na celu zapobieganie ponownemu niezgodnemu z prawem przetwarzaniu danych osobowych, ustanowienie takiego systemu należy do każdego państwa członkowskiego zgodnie z zasadą autonomii proceduralnej.
74.      Zasady te nie mogą być mniej korzystne niż w przypadku podobnych postępowań w zakresie ochrony uprawnień wywodzonych z wewnętrznego porządku prawnego (zasada równoważności) i nie mogą powodować w praktyce, że korzystanie z uprawnień wynikających z prawa Unii stanie się niemożliwe lub nadmiernie utrudnione (zasada skuteczności)(52).
75.      Z informacji przedstawionych w postanowieniu odsyłającym nie wynika, że krajowe przepisy dotyczące dochodzenia roszczenia mającego na celu zapobieżenie ponownemu niezgodnemu z prawem przetwarzaniu danych osobowych naruszają te dwie zasady:
–        na pierwszy rzut oka przepisy te są takie same jak te przewidziane w odniesieniu do podobnych sytuacji w prawie krajowym. Tym samym ochrona praw przyznanych jednostkom w porządku prawnym Unii nie jest mniej korzystna niż ochrona przewidziana w odniesieniu do praw ustanowionych w przepisach krajowych;
–        nie wydaje się również, aby przepisy te nakładały nadmierne obciążenia na osobę, której dane dotyczą, a która występuje z powództwem. Niewątpliwie zgodnie ze zwykłym rozkładem ciężaru dowodu osoba, której dane dotyczą (powód), musi wykazać, że istnieje ryzyko ponownego naruszenia ze strony administratora. Jednakże nic nie stoi na przeszkodzie temu, aby powód oparł się na domniemaniu wzruszalnym, zgodnie z którym takie ryzyko istnieje ze względu już popełnione naruszenie. Zgodnie z tym domniemaniem, które dopuszcza dowód przeciwny, nakaz zaniechania ponownego niezgodnego z prawem przetwarzania jest uzasadniony, chyba że administrator wykaże, że w danym przypadku nie istnieje ryzyko ponownego naruszenia.
D.      W przedmiocie szóstego pytania prejudycjalnego
76.      Sąd odsyłający wnosi o dokonanie wykładni art. 82 ust. 1 RODO, zakładając raz jeszcze, że osobie, której dane dotyczą, przysługuje roszczenie, z którym można wystąpić na drodze sądowej, o zaniechanie niezgodnego z prawem przetwarzania jej danych osobowych, podobnego do tego, jakie miało miejsce już wcześniej.
77.      Sąd ten zmierza w szczególności do ustalenia, czy „przy ustalaniu wysokości szkody niemajątkowej podlegającej naprawieniu jako kryterium ograniczające zakres roszczenia można uwzględnić to, że osobie, której dane dotyczą, oprócz roszczenia o odszkodowanie przysługuje także roszczenie o zaniechanie”.
78.      Na podstawie przytoczonego w postanowieniu odsyłającym wyroku Bundesgerichtshof (federalnego trybunału sprawiedliwości)(53) wnioskuję, że w Niemczech z odszkodowaniem pieniężnym (Geldentschädigung) za szkodę niemajątkową wynikającą z naruszenia dóbr osobistych (allgemeine Persönlichkeitsrechte) wiążą się funkcje zadośćuczynienia poszkodowanemu, a także zapobiegania. W tym kontekście nakaz zaniechania wydany w celach zapobiegania może mieć wpływ na odszkodowanie, oddziałując na jego wysokość lub nawet je wykluczając, o ile taki nakaz zapewnia już niezbędną ochronę(54).
79.      Zdaniem sądu odsyłającego „pytanie o to, czy […] zasady te można zastosować […] do roszczenia o naprawienie szkody niemajątkowej w świetle art. 82 ust. 1 RODO, wydaje się budzić wątpliwości […]”.
80.      Odszkodowanie za szkody spowodowane niezgodnym z prawem przetwarzaniem danych, wymagane na podstawie art. 82 ust. 1 RODO, opiera się na koncepcji innej niż ta, która wynika z szóstego pytania prejudycjalnego. Dlatego też moim zdaniem odpowiedź na to pytanie powinna być przecząca.
81.      Odszkodowanie przewidziane w art. 82 ust. 1 RODO obejmuje wszystkie szkody majątkowe i niemajątkowe poniesione w wyniku naruszenia rozporządzenia. Pojęcie „szkody niemajątkowej” w rozumieniu tego przepisu powinno otrzymać autonomiczną i jednolitą definicję(55).
82.      Trybunał dokonał szerokiej wykładni pojęcia szkody niemajątkowej. Orzekł on w szczególności, że „obawa przed potencjalnym nadużywaniem jej danych osobowych przez stronę trzecią, jaką osoba, której dane dotyczą, odczuwa w następstwie naruszenia tego rozporządzenia, może sama w sobie stanowić »szkodę niemajątkową« w rozumieniu owego art. 82 ust. 1”(56).
83.      Zgodnie z tą wykładnią w art. 82 ust. 1 RODO nie dokonano rozróżnienia, czy do wykorzystania danych osobowych przez osoby trzecie w sposób stanowiący nadużycie doszło przed wystąpieniem z żądaniem odszkodowania, czy też szkoda niemajątkowa podnoszona przez osobę dochodzącą odszkodowania jest związana z żywioną przez tę osobę obawą, że takie wykorzystanie mogłoby nastąpić w przyszłości(57).
84.      Jeżeli poszkodowany wykaże, że rzeczywiście poniósł szkodę, przysługuje mu odszkodowanie, które umożliwia pełną kompensację szkody(58), niezależnie od jej zakresu(59).
85.      Zgodnie z utrwalonym orzecznictwem Trybunału pełne odszkodowanie realizuje wyłącznie funkcję kompensacyjną. Przyznając, że prawo do żądania odszkodowania może również zniechęcać do powtarzania bezprawnych zachowań, Trybunał stwierdził, że cel odszkodowania na podstawie art. 82 RODO nie ma charakteru odstraszającego lub represyjnego(60).
86.      W świetle tego orzecznictwa można stwierdzić, że:
–        cel odszkodowania żądanego lub uzyskanego na podstawie art. 82 RODO nie pokrywa się z celem powództw o zaniechanie zmierzających do tego, by administrator zaniechał ponownego niezgodnego z prawem przetwarzania danych podobnego do tego, które już miało miejsce;
–        nakaz zaniechania, mający na celu zapobieżenie ponownemu podjęciu działań, które spowodowały szkody, tak aby nie doszło do dalszych szkód, nie naprawia szkód już poniesionych.
87.      Żądanie wydania nakazu zaniechania w celu zapobieżenia ponownemu przetwarzaniu danych, które jest sprzeczne z RODO, opiera się na założeniu, że istnieje pewne ryzyko, iż takie niezgodne z prawem przetwarzanie ponownie będzie miało miejsce w przyszłości. Jeżeli środek ten zostanie przyjęty, ryzyko to zostanie zażegnane i trudno będzie uzasadnić obawę opartą na możliwości ponownego niezgodnego z prawem przetwarzania w celu skutecznego dochodzenia odszkodowania. Natomiast nakaz zaniechania nie naprawia szkody niemajątkowej, która została poniesiona przed jego wydaniem i która wiązała się z tą obawą.
88.      Podsumowując, przy ustalaniu wysokości szkody niemajątkowej wynikającej z niezgodnego z prawem przetwarzania, która to szkoda podlega naprawieniu, ponieważ została już wyrządzona, okoliczność, że osobie, której dane dotyczą, oprócz roszczenia o odszkodowania przysługuje również roszczenie o zaniechanie ponownego niezgodnego z prawem przetwarzania podobnego do tego, które już miało miejsce, nie może zostać uznana za kryterium ograniczające zakres roszczenia.
V.      Wnioski
89.      W świetle powyższego na przedłożone przez Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy) pytania prejudycjalne pierwsze, drugie, trzecie i szóste proponuję odpowiedzieć w następujący sposób:
Artykuł 5 ust. 1 lit. a), art. 6 ust. 1, art. 79 ust. 1 i art. 82 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)
należy interpretować w ten sposób, że:
–        zgodnie z art. 5 ust. 1 lit. a) i art. 6 ust. 1 w związku z art. 79 ust. 1 rozporządzenia 2016/679 osoba, której dane osobowe zostały w sposób niezgodny z prawem ujawnione przez administratora, może wystąpić z roszczeniem mającym na celu zaniechanie przez administratora w przyszłości ponownego niezgodnego z prawem przekazywania danych podobnego do tego, które już miało miejsce;
–        do krajowego porządku prawnego należy, z poszanowaniem zasad równoważności i skuteczności, uregulowanie przesłanek wystąpienia z powództwem o zaniechanie skierowanym przeciwko administratorowi danych osobowych. Nic nie stoi na przeszkodzie temu, by w tym celu wymagać przedstawienia dowodu na istnienie ryzyka ponownego naruszenia lub, w stosownym przypadku, ustanowić domniemanie (wzruszalne) takiego ryzyka, wynikające z istnienia wcześniejszego naruszenia rozporządzenia 2016/679;
–        zgodnie z art. 82 ust. 1 rozporządzenia 2016/679 przy ustalaniu wysokości szkody niemajątkowej, która podlega naprawieniu, okoliczność, że osobie, której dane dotyczą, oprócz roszczenia o odszkodowania przysługuje również roszczenie o zaniechanie przez administratora w przyszłości ponownego niezgodnego z prawem przetwarzania podobnego do tego, które już miało miejsce, nie może zostać uznana za kryterium ograniczające zakres roszczenia.
1      Język oryginału: hiszpański.
2      Rozporządzenie Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; zwane dalej „RODO”).
3      W odniesieniu do art. 82 ust. 1 RODO zob. ostatnio wyroki: z dnia 20 czerwca 2024 r., Scalable Capital (C‑182/22 i C‑189/22, EU:C:2024:531); z dnia 4 października 2024 r.: Agentsia po vpisvaniyata (C‑200/23, zwany dalej „wyrokiem Agentsia po vpisvaniyata”, EU:C:2024:827); Patērētāju tiesību aizsardzības centrs (C‑507/23, zwany dalej „wyrokiem Patērētāju tiesību aizsardzības centrs”, EU:C:2024:854).
4      Wyroki: z dnia 28 kwietnia 2022 r., Meta Platforms Ireland (C‑319/20, zwany dalej „wyrokiem Meta Platforms Ireland”, EU:C:2022:322); z dnia 4 października 2024 r., Lindenapotheke (C‑21/23, EU:C:2024:846). W sprawach tych chodziło o zaniechanie praktyki uznanej za nieuczciwą, ponieważ nie spełniała ona przesłanek prawnych dotyczących uzyskania ważnej zgody osoby, której dane dotyczą, zgodnie z RODO. W obu przypadkach zmierzano do uzyskania ochrony danych osobowych w drodze powództw o zaniechanie na podstawie przepisów mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk handlowych: naruszenie RODO stanowiło przesłankę faktyczną tych przepisów. Pytania przedłożone Trybunałowi dotyczyły legitymacji procesowej powodów w poszczególnych sporach.
5      Kodeks cywilny (zwany dalej „BGB”).
6      W pkt 10 postanowienia odsyłającego wyjaśniono, że w niniejszej sprawie przepis ten ma zastosowanie przez analogię do naruszenia praw bezwzględnych w rozumieniu § 823 ust. 1 BGB lub do naruszenia jednego z przepisów tego rodzaju, o którym mowa w § 823 ust. 2 BGB.
7      Na poparcie swojego roszczenia odszkodowawczego IP podnosi, że poniesione przez niego szkody niemajątkowe nie polegają na abstrakcyjnej utracie kontroli nad ujawnionymi danymi, lecz na tym, że obecnie co najmniej jeszcze jedna osoba, która zna samego IP oraz jego potencjalnych i byłych pracodawców, posiada wiedzę o okolicznościach o charakterze poufnym. IP obawia się, że osoba ta, pracująca w tej samej branży, ujawniła dane zawarte w wiadomości lub też, wiedząc o nich, mogła zapewnić sobie przewagę jako konkurent ubiegający się o ewentualne miejsca pracy dostępne na rynku pracy. IP dodaje, że odbiera odrzucenie jego oczekiwań płacowych jako upokorzenie, o którym nie chciał, żeby dowiedziały się osoby trzecie, w szczególności potencjalni konkurenci.
8      Zobacz pkt 22 poniżej.
9      Zobacz odesłania przytoczone w pkt 21 i 29 postanowienia odsyłającego.
10      Wyrok z dnia 21 grudnia 2023 r., Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, pkt 37).
11      Uwagi na piśmie Komisji, pkt 11 i nast., choć bez wyraźnego odniesienia do art. 5 RODO.
12      Zgodnie z art. 1 ust. 2 RODO rozporządzenie to „chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych”. RODO może zatem ustanawiać obowiązki pozostające w bezpośrednim związku z tymi osobami fizycznymi, nie zaś tylko w interesie publicznym lub ogólnym.
13      Forma nakazowa została użyta co najmniej w następujących wersjach językowych: „los datos personales serán” („dane osobowe muszą być”) (wersja hiszpańska); „personal data shall be” (wersja angielska); „les données à caractère personnel doivent être” (wersja francuska); „Personenbezogene Daten müssen” (wersja niemiecka).
14      Zgodnie z art. 5 ust. 2 RODO „[a]dministrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”. Aby to wykazać, administrator musi upewnić się, że przetwarzanie jest zgodne z prawem. Zobacz wyrok z dnia 4 maja 2023 r., Bundesrepublik Deutschland (Skrzynka doręczeń elektronicznych w sprawach sądowych) (C‑60/22, EU:C:2023:373, pkt 53, 54).
15      Artykuł 83 ust. 5 lit. a) RODO.
16      W odniesieniu do porównania obowiązków nałożonych w art. 26 i 30 RODO z obowiązkami wynikającymi z art. 5 i 6 RODO zob. wyrok z dnia 4 maja 2023 r., Bundesrepublik Deutschland (Skrzynka doręczeń elektronicznych w sprawach sądowych) (C‑60/22, EU:C:2023:373, pkt 59 i nast.).
17      Wyrok z dnia 4 maja 2023 r., Bundesrepublik Deutschland (Skrzynka doręczeń elektronicznych w sprawach sądowych) (C‑60/22, EU:C:2023:373, pkt 57): „każde przetwarzanie danych osobowych powinno być zgodne z zasadami określonymi w art. 5 ust. 1 tego rozporządzenia i powinno spełniać przesłanki zgodności z prawem wymienione w art. 6 wspomnianego rozporządzenia”. Zobacz także wyrok z dnia 1 października 2015 r., Bara i in. (C‑201/14, EU:C:2015:638), w odniesieniu do aktu prawnego poprzedzającego RODO, a mianowicie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31). Przetwarzanie w sposób zgodny z prawem zostało wymienione w art. 6 dyrektywy 95/46 wśród „zasad dotyczących jakości danych”, a podstawy zgodności z prawem – w art. 7 jako „kryteria legalności przetwarzania danych”.
18      Wyrok z dnia 21 grudnia 2023 r., Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, pkt 77 i przytoczone tam orzecznictwo).
19      Ibidem.
20      Pod rządami dyrektywy 95/46 sytuacja była odmienna w odniesieniu do innych aspektów – w postaci praw osoby, której dane dotyczą – zasad przetwarzania danych osobowych. Niektóre prawa związane z tymi zasadami były przewidziane już w dyrektywie 95/46, zaś w RODO zostały one doprecyzowane, jak wyjaśniono w motywie 9 RODO. Inne prawa nie zostały uwzględnione w tej dyrektywie, a ich włączenie do rozporządzenia spotkało się z oporem przede wszystkim ze względu na konieczność wyważenia ich z innymi prawami: dotyczy to w szczególności prawa do usunięcia danych osobowych w jego aspekcie „prawa do bycia zapomnianym”.
21      Artykuł 12 ust. 2 RODO.
22      Trybunał wywiódł z tych sformułowań inne konsekwencje nieprzewidziane dosłownie w RODO – zob. wyroki: Meta Platforms Ireland; z dnia 4 października 2024 r., Lindenapotheke (C‑21/23, EU:C:2024:846), w odniesieniu do legitymacji procesowej do występowania przed sądami cywilnymi na podstawie rozdz. VIII RODO.
23      W art. 79 ust. 1 RODO podkreślono, że prawo do środka ochrony prawnej przed sądem przysługuje „[b]ez uszczerbku dla dostępnych administracyjnych lub pozasądowych środków ochrony prawnej, w tym prawa do wniesienia skargi do organu nadzorczego […]”. Zobacz także wyroki: Meta Platforms Ireland, pkt 54; z dnia 12 stycznia 2023 r., Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, pkt 34, 35, 42).
24      Jako dodatkowy argument przypominam, że zgodnie z art. 80 ust. 2 RODO państwa członkowskie mogą przewidzieć, że określone podmioty mogą wykonywać prawa, o których mowa w art. 79 RODO, bez upoważnienia otrzymanego od osób, których dane dotyczą. Działania tych podmiotów często pełnią funkcję prewencyjną. Uznanie, że art. 79 ust. 1 nie obejmuje takiej ochrony, pozbawiłoby ten przepis (oraz wspomniany art. 80 ust. 2 RODO) znacznej części ich treści.
25      Wyroki: z dnia 20 czerwca 2024 r., Scalable Capital (C‑182/22 i C‑189/22, EU:C:2024:531, pkt 23); Agentsia po vpisvaniyata, pkt 153; Patērētāju tiesību aizsardzības centrs, pkt 40 i nast. Trybunał uznał, że prawo każdej osoby do żądania odszkodowania na podstawie art. 82 RODO „wzmacnia operacyjny charakter przepisów ochronnych przewidzianych w tym rozporządzeniu i może zniechęcać do powtarzania bezprawnych zachowań” – wyroki: z dnia 4 maja 2023 r., Österreichische Post (Szkoda niemajątkowa związana z przetwarzaniem danych osobowych) (C‑300/21, EU:C:2023:370, pkt 40); z dnia 11 kwietnia 2024 r., juris (C‑741/21, EU:C:2024:288, pkt 59); z dnia 20 czerwca 2024 r., Scalable Capital (C‑182/22 i C‑189/22, EU:C:2024:531, pkt 22). Trybunał wykluczył jednak, że samym celem tego przepisu jest zniechęcenie do ponownego niezgodnego z prawem przetwarzania.
26      Uwagi na piśmie banku Quirin, pkt 1 in fine.
27      Wyróżnienie moje. Chodziło o art. 76 ust. 5 wniosku dotyczącego rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych (ogólnego rozporządzenia o ochronie danych), COM(2012) 11 final, w którym to przepisie powtórzono art. 18 ust. 1 dyrektywy 2000/31/WE Parlamentu Europejskiego i Rady z dnia 8 czerwca 2000 r. w sprawie niektórych aspektów prawnych usług społeczeństwa informacyjnego, w szczególności handlu elektronicznego w ramach rynku wewnętrznego (dyrektywy o handlu elektronicznym) (Dz.U. 2000, L 178, s. 1). Parlament nie zaproponował poprawek w tej kwestii.
28      Uwagi na piśmie banku Quirin, pkt 1 in fine.
29      Inne wyjaśnienie zaproponowane – i odrzucone – przez bank Quirin, ibidem.
30      Artykuł 75 regulował legitymację procesową osoby, której dane dotyczą, jurysdykcję międzynarodową, zbieg postępowań sądowych i administracyjnych w ramach mechanizmu spójności oraz wykonywanie orzeczeń sądowych innych państw członkowskich. Z kolei w art. 76 przewidziano legitymację procesową podmiotów, których celem jest ochrona praw i interesów osób, których dane dotyczą, w odniesieniu do ochrony ich danych osobowych, a także legitymację procesową organów nadzorczych, wymianę informacji między sądami różnych państw członkowskich, zbieg postępowań w co najmniej dwóch państwach członkowskich oraz cel środków ochrony.
31      Natomiast termin ten nie pojawił się we wniosku, który odnosił się jedynie do szybkiego przyjęcia środków.
32      Wyjaśnienie to zostało zawarte w samym pytaniu sądu odsyłającego.
33      Wyjaśnienie to zostało zawarte w pkt 21 postanowienia odsyłającego.
34      W niektórych przypadkach skorzystanie z prawa do usunięcia danych lub prawa do ograniczenia przetwarzania będzie niemożliwe lub nie będzie możliwe w pełnym zakresie: zob. art. 17 ust. 3 (przetwarzanie niezbędne do określonych celów) i art. 23 RODO. Artykuł 18 ust. 2 RODO, który odnosi się do przetwarzania danych w interesie osób innych niż osoba, której dane dotyczą, lub w interesie publicznym, zmierza w tym samym kierunku. Oczywiście uzyskanie zakazu przetwarzania, które jest dozwolone przez te przepisy, lub nakazu zaniechania takiego przetwarzania jest niemożliwe.
35      Zatrzymanie przez administratora danych osobowych, które musi on usunąć, ma charakter wyjątkowy: zob. art. 17 ust. 3 i motyw 65 RODO. Co do zasady obowiązek usunięcia określonych danych prowadzi również do ich zniszczenia.
36      W sytuacji „mieszanej”, w której na tych samych danych prowadzone są operacje przetwarzania zarówno zgodne, jak i niezgodne z prawem, utrzymanie tych pierwszych może działać na korzyść nie tylko administratora, lecz także osoby, której dane dotyczą. Na przykład w niniejszej sprawie uzasadnione jest założenie, że (zgodne z prawem) przetwarzanie danych osobowych IP leży w jego interesie, ponieważ bez tego przetwarzania nie mógłby on w rzeczywistości uczestniczyć w procesie rekrutacji pracowników banku Quirin.
37      Obejmują one niezgodne z prawem przetwarzanie danych osobowych: art. 17 ust. 1 lit. d) RODO.
38      Na przykład art. 18 (prawo do ograniczenia przetwarzania) lub art. 21 (prawo do sprzeciwu).
39      Przypis 35 powyżej. We wniosku Komisji w art. 17 ust. 1 przyznano osobie, której dane dotyczą, prawo „do uzyskania od administratora usunięcia danych osobowych odnoszących się do niej” i dodano „oraz zaprzestania dalszego rozpowszechniania tych danych […]”. Akapit ten został uznany za „meaningless” przez niektóre delegacje państw członkowskich, z którymi zgodziła się również prezydencja Rady, ponieważ po usunięciu danych ich rozpowszechnianie nie jest już możliwe: zob. nota prezydencji Rady do Grupy Roboczej ds. Ochrony Danych, dokument 16529/12 z dnia 4 grudnia 2012 r., przypis 245. Za zbędny uznano również art. 17 ust. 8, zgodnie z którym „[w] przypadku usunięcia danych administrator nie przetwarza w inny sposób tych danych osobowych”: ibidem, przypis 270.
40      Tymczasowo: zob. kolejne punkty niniejszej opinii.
41      Artykuł 18 ust. 2 RODO. Skoro przetwarzanie jest ograniczone zgodnie z art. 18 ust. 1 RODO, i to do czasu uchylenia ograniczenia, wszelkie przetwarzanie przedmiotowych danych osobowych inne niż ich zatrzymanie ma charakter wyjątkowy i zależy od istnienia jednej z podstaw przewidzianych w art. 18 ust. 2 RODO.
42      Odpowiednik terminu „przechowywanie” został użyty w niektórych wersjach językowych RODO, takich jak wersje angielska („storage”) i niemiecka („Speicherung”). Z kolei w art. 12 lit. b) dyrektywy 95/46 użyto terminu „zablokowanie”, podobnie jak w art. 15 ust. 1 lit. c) rozporządzenia (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. 2001, L 8, s. 1). Wszystkie te pojęcia odnoszą się do idei „zamrożenia” danych osobowych.
43      Jest to szczególnie wyraźne w okolicznościach przewidzianych w lit. b) i c).
44      Zatrzymanie oznacza nie tylko przechowywanie danych, lecz także operacje techniczne, takie jak ich oznaczenie (które zgodnie z art. 4 pkt 3 RODO stanowi definicję „ograniczenia przetwarzania”), lub te opisane w motywie 67 RODO, które umożliwiają rozpoznanie przedmiotowych danych, ich wyodrębnienie i ochronę przed jakimkolwiek przetwarzaniem.
45      „[…] na okres pozwalający administratorowi sprawdzić prawidłowość tych danych”.
46      Dopóki dane osoby, której one dotyczą, są jej potrzebne „do ustalenia, dochodzenia lub obrony roszczeń”.
47      „[…] do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą”.
48      Wątpliwości wyrażone w tym względzie doprowadziły do tego, że podczas negocjacji w Radzie ten punkt wniosku Komisji, którego Parlament nie kwestionował, został najpierw umieszczony w nawiasie (zob. nota prezydencji Rady do Grupy Roboczej ds. Ochrony Danych, dokument 16529/12 z dnia 4 grudnia 2012 r., przypis 275), a następnie po prostu zniknął. Jego ponowne pojawienie się w celu rozpatrzenia go przez delegacje można wytłumaczyć (moim zdaniem w sposób dyskusyjny) faktem, że przewidziana w nim możliwość zwiększa ochronę osoby, której dane dotyczą, „without entailing additional administrative burden on controllers”: nota prezydencji Rady do delegacji w ramach przygotowań do negocjacji trójstronnych, dokument 11696/15 z dnia 4 września 2015 r., s. 9, w której to nocie zwrócono się również do delegacji „to show flexibility on this point”.
49      Przepis podobny do art. 18 ust. 1 lit. b) RODO istniał w dyrektywie 95/46, a także w art. 15 ust. 1 lit. c) rozporządzenia nr 45/2001. Takie samo brzmienie ma art. 20 ust. 1 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. 2018, L 295, s. 39). Trybunał nie dokonał wykładni tych przepisów i moim zdaniem budzą one takie same wątpliwości jak RODO, w związku z czym nie są pomocne w zrozumieniu tego ostatniego.
50      Motyw 39 i art. 5 ust. 1 lit. e) RODO. Zobacz także wyrok z dnia 20 października 2022 r., Digi (C‑77/21, EU:C:2022:805, pkt 53): „zasada »ograniczenia przechowywania« wymaga od administratora, by był w stanie wykazać, zgodnie z zasadą rozliczalności […], iż dane osobowe są przechowywane wyłącznie przez okres niezbędny do osiągnięcia celów, w których je zebrano lub w których je dalej przetworzono”.
51      Moim zdaniem takim celem mogłoby być to, że prawo żądania ograniczenia służy wykazaniu niezgodnego z prawem przetwarzania: w art. 18 ust. 1 lit. b) i c) mają podobne cele, ale inny punkt wyjścia [niezgodność przetwarzania z prawem, o której mowa w lit. b), i zgodność przetwarzania z prawem, o której mowa w lit. c)].
52      Wyrok z dnia 12 stycznia 2023 r., Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, pkt 45 i nast.).
53      Punkt 43 postanowienia odsyłającego. Chodzi o wyrok z dnia 22 lutego 2022 r. (VI ZR 1175/20, ECLI:DE:BGH:2022:220222UVIZR1175.20.0).
54      Wyrok Bundesgerichtshof (federalnego trybunału sprawiedliwości) z dnia 22 lutego 2022 r. (VI ZR 1175/20, ECLI:DE:BGH:2022:220222UVIZR1175.20.0, pkt 44, 51).
55      Wyrok z dnia 20 czerwca 2024 r., PS (Błędny adres) (C‑590/22, EU:C:2024:536, pkt 31).
56      Wyroki: z dnia 20 czerwca 2024 r., PS (Błędny adres) (C‑590/22, EU:C:2024:536, pkt 32); Agentsia po vpisvaniyata, pkt 144.
57      Wyrok z dnia 14 grudnia 2023 r., Natsionalna agentsia za prihodite (C‑340/21, EU:C:2023:986, pkt 79, 80).
58      Wyrok Patērētāju tiesību aizsardzības centrs, pkt 36, 37.
59      Wyrok Agentsia po vpisvaniyata, pkt 150.
60      Przypis 25 powyżej. Wysokość odszkodowania pieniężnego musi odpowiadać szkodzie rzeczywiście poniesionej przez osobę, której dane dotyczą, nie przekraczając tej wysokości, a także nie pozostając w zakresie niższym – wyroki: z dnia 20 czerwca 2024 r., PS (Błędny adres) (C‑590/22, EU:C:2024:536, pkt 41); Patērētāju tiesību aizsardzības centrs, pkt 43, 44. Należy pominąć zarówno wagę naruszenia RODO i jego ewentualny umyślny charakter (wyrok Patērētāju tiesību aizsardzības centrs, pkt 42), jak i postawę oraz motywację administratora (ibidem, pkt 44) lub okoliczność, że dopuścił się on kilku naruszeń w odniesieniu do tej samej osoby, której dane dotyczą (wyrok z dnia 11 kwietnia 2024 r., juris, C‑741/21, EU:C:2024:288, pkt 64).