Trybunał Sprawiedliwości Unii Europejskiej 11 lipca 2024 r. wydał wyrok, w którym wyjaśnił, w jakich przypadkach organizacja społeczna na podstawie art. 80 ust. 2 RODO może wnieść skargę do organu nadzorczego.
Kontekst sprawy
Sprawa dotyczyła usługi świadczonej przez Meta Platforms, w której użytkownikom serwisu Facebook oferowano bezpłatne gry dostarczane przez osoby trzecie. Podczas korzystania z tej przestrzeni użytkownik był informowany, że, użytkując niektóre z aplikacji, zgadza się na gromadzenie przez nie różnych danych osobowych i że zezwala na opublikowanie niektórych z tych danych w jego imieniu, takich jak uzyskany wynik oraz (w przypadku jednej z omawianych gier) jego statusu i wizerunku. Był on jednocześnie informowany, że użytkując te aplikacje, akceptuje ich ogólne warunki i politykę w zakresie ochrony danych.
Zdaniem niemieckiej organizacji społecznej zajmującej się ochroną praw konsumentów, taka praktyka była niedopuszczalna. Po pierwsze, udostępnienie danych wymaga wyraźnej zgody użytkowników, którzy nie otrzymywali odpowiednich informacji o ich przetwarzaniu. Po drugie, zdaniem organizacji założenie, że użytkownik zezwala na publikowanie przez aplikację w jego imieniu niektórych spośród jego danych osobowych, stanowiło nadmiernie niekorzystny dla użytkownika ogólny warunek handlowy.
Do sądu wpłynął pozew tejże organizacji o zakazanie nieuczciwych praktyk rynkowych, przy czym organizacja nie opierała swoich roszczeń na naruszeniu praw konkretnej osoby ani nie przedstawiła żadnego pełnomocnictwa. Sąd uwzględnił powództwo, lecz sprawa została przekazana do TSUE przez niemiecki federalny trybunał sprawiedliwości. TSUE w wyroku sprawie wyjaśnił, że brak konkretnego naruszenia danych osobowych wskazanej osoby nie wyklucza możliwości wniesienia powództwa przedstawicielskiego przez odpowiednie organizacje społeczne (wyrok TSUE z 28 kwietnia 2022 r. w sprawie Meta Platforms Ireland, C-319/20). W wyroku TSUE nie wyjaśniono wszystkich wątpliwości niemieckiego federalnego trybunału sprawiedliwości, więc po raz kolejny zadał on pytanie prejudycjalne, tym razem o to, czy organizacja społeczna może podejmować działania prawne w oparciu o swoje przekonania w przypadku naruszenia obowiązków informacyjnych.
Stanowisko TSUE
TSUE potwierdził swoje dotychczasowe stanowisko, że stowarzyszenie ochrony interesów konsumentów, takie jak związek organizacji konsumenckich, może złożyć skargę z powództwa przedstawicielskiego, ponieważ realizuje ono leżący w interesie publicznym cel polegający na zapewnieniu przestrzegania praw i wolności osób, których dane dotyczą, a które występują w charakterze konsumentów, jeżeli realizacja takiego celu może być związana z ochroną danych osobowych tych osób.
Ponadto TSUE wskazał, że w przypadku naruszenia przepisów RODO ochrona może być żądana zarówno przez osobę bezpośrednio zainteresowaną, jak i przez organizację społeczną zajmującą się ochroną danych osobowych, nawet jeśli organizacja ta nie posiada upoważnienia od osoby, której prawa zostały naruszone. Wniesienie powództwa przedstawicielskiego nie wymaga wykazania konkretnego naruszenia praw danej osoby, wystarczy, że organizacja udowodni, iż naruszenie może mieć negatywny wpływ na prawa osób, których dane są przetwarzane.
Powództwo przedstawicielskie można również wnieść w przypadku, gdy administrator danych nie udzielił prawidłowych informacji o przetwarzaniu danych, ponieważ naruszenie RODO obejmuje także brak przejrzystości w komunikacji dotyczącej celów przetwarzania i odbiorców danych osobowych. Istotą obowiązku informacyjnego jest zapewnienie przestrzegania zasad przejrzystości i rzetelności przetwarzania, a naruszenie tych obowiązków może uniemożliwić udzielenie świadomej zgody na przetwarzanie danych, dlatego należy je traktować jako naruszenie wynikające z samego przetwarzania danych osobowych.
Organizacje społeczne vs korporacje
Wyrok TSUE potwierdza rolę organizacji społecznych jako tych, które mogą proaktywnie walczyć z naruszeniami dokonywanymi przez duże korporacje. Powinien być dużym ułatwieniem dla tych z nich, które często spierają się z takimi gigantami jak Facebook czy google w obszarze ochrony danych osobowych.
Źródło: