Ważne postępowanie TSUE

28 maja br. niemiecki Federalny Trybunał Sprawiedliwości (BGH) zwrócił się do Trybunału Sprawiedliwości Unii Europejskiej (TSUE) o wydanie orzeczenia w trybie prejudycjalnym w związku z wątpliwościami dotyczącymi interpretacji przepisów RODO. Sprawa dotyczy tego, czy stowarzyszenia i organizacje zajmujące się ochroną praw konkurencji i konsumentów są uprawnione – stosownie do RODO – do wnoszenia powództw cywilnych przeciwko administratorom, w sytuacji gdy prawo państwa członkowskiego przewiduje taką możliwość.

Orzeczenie TSUE w tej sprawie może być bezprecedensowe. Może się bowiem okazać, że w przyszłości w razie podejrzenia naruszenia RODO, podmioty prowadzące działalność w UE będą musiały składać wyjaśnienia nie tylko do organu nadzorczego ds. ochrony danych osobowych, ale również do organu zajmującego się ochroną praw konkurencji i konsumentów. Taka interpretacja przepisów RODO może jednak budzić wątpliwości.

Przyczyna złożenia wniosku do TSUE

Niemiecki organ ds. ochrony praw konkurencji i konsumentów (Verbraucherzentrale Bundesverband) wniósł pozew przeciwko właścicielowi portalu społecznościowego w związku z podejrzeniem naruszenia przepisów RODO dotyczących pozyskiwania ważnych zgód na przetwarzanie danych osobowych użytkowników (w szczególności w odniesieniu do gier video oferowanych na tej platformie przez podmioty zewnętrzne).

Co do zasady, w świetle art. 80 RODO określone organizacje lub zrzeszenia mogą reprezentować osoby, których dane dotyczą, w postępowaniach przeciwko administratorom dotyczących naruszenia ich praw do ochrony danych osobowych oraz składać w ich imieniu skargi do właściwych organów nadzorczych. W toku przedmiotowego postępowania BGH nabrał jednak wątpliwości czy – w świetle art. 80 RODO – niemiecki organ był uprawniony do zainicjowania postępowania przed sądem krajowym (do wniesienia pozwu).

Wątpliwości BGH

Zdaniem BGH art. 80 RODO nie precyzuje, czy organizacje zajmujące się ochroną praw konkurencji i konsumentów mogą inicjować stosowne postępowania przed sądem krajowym we własnym imieniu, w przypadku gdy naruszenie przepisów o ochronie danych osobowych dotyczy konkretnej osoby, której dane dotyczą. Co więcej, nie wiadomo czy przepis ten zawiera zamknięty katalog uprawnień takich organizacji, czy też ustawodawca krajowy może go poszerzyć również o inne uprawnienia. Wątpliwości BGH budzi również kwestia wzajemnej relacji przepisów o ochronie danych osobowych oraz tych regulujących obszar ochrony praw konkurencji i konsumentów.

Dotychczasowe orzecznictwo TSUE

TSUE w swoim dotychczasowym orzecznictwie (orzeczenia sprzed 25 maja 2018 r.) utrzymywał w oparciu o analizę przepisów obowiązującej wówczas dyrektywy 95/46/WE, że organizacje zajmujące się ochroną konkurencji i konsumentów były uprawnione do wnoszenia powództw cywilnych przeciwko administratorom podejmującym działania niezgodne z przepisami o ochronie danych osobowych.

BGH zauważył, że w niniejszej sprawie nie można jednak wprost zastosować dotychczasowego orzecznictwa, jak również interpretacji opartej na wcześniej obowiązujących przepisach. RODO – jak podkreślił BGH – jest całkowicie nowym aktem prawnym, którego głównym celem jest harmonizacja przepisów w zakresie ochrony danych osobowych w całej UE.

A jak jest w Polsce

Zgodnie z treścią art. 61 ustawy z 10 maja 2018 r. o ochronie danych osobowych organizacja społeczna (jeżeli jest to uzasadnione celami statutowymi tej organizacji i gdy przemawia za tym interes społeczny), może również występować w postępowaniu za zgodą osoby, której dane dotyczą, w jej imieniu i na jej rzecz. Tutaj również, jak zauważa Paweł Fajgielski „przepis ten jest sformułowany nieprecyzyjnie i może być różnie interpretowany. Literalna wykładnia może prowadzić do wniosku, że użycie słowa „również” oznacza, iż organizacja społeczna może występować z żądaniami wynikającymi z art. 31 k.p.a. samodzielnie, także wstępować do postępowania za zgodą osoby, której dane dotyczą. Jednak taka interpretacja nie wydaje się prawidłowa, ponieważ prawodawca unijny w art. 81 ust. 1 rozporządzenia 2016/679 zdecydował, że osoba, której dane dotyczą, ma prawo umocować organizację społeczną do reprezentowania jej interesów, natomiast możliwość niezależnego od upoważnienia podmiotu danych występowania organizacji społecznych w sprawach powinna być – zgodnie z art. 81 ust. 2 rozporządzenia 2016/679 – wyraźnie przewidziana przepisami prawa” (Fajgielski Paweł, uwagi do art. 61. W: Komentarz do ustawy o ochronie danych osobowych, [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. Wolters Kluwer Polska, 2018).

Potencjalne daleko idące konsekwencje orzeczenia TSUE

W przypadku gdy TSUE uzna, że ustawodawca krajowy ma prawo rozszerzyć – określony w art. 80 RODO – katalog uprawnień dla podmiotów zajmujących się ochroną konkurencji i konsumentów, administratorzy we wszystkich państwach członkowskich mogą obawiać się otrzymywania dużo większej liczby pozwów związanych z przetwarzaniem danych osobowych konkretnych osób. Wydaje się, że aktualnie większość osób, których dane dotyczą, nie decyduje się na pozywanie administratorów, poprzestając ewentualnie na skardze do organu nadzorczego. Orzeczenie TSUE może spowodować, że inicjatywę w zakresie realizacji przepisów RODO dotyczących dochodzenia roszczeń przed sądem krajowym przejmą różne organizacje, w tym m.in. zajmujące się ochroną praw konkurencji i konsumentów. Warto przypomnieć, że zakres tych uprawnień musiałby jednak najpierw zostać określony w przepisach krajowych państwa członkowskiego.

Wyroku TSUE w tej sprawie możemy spodziewać się najwcześniej w przyszłym roku.