TSEU: Pośrednie ujawnienie orientacji to przetwarzanie danych szczególnych

Wczoraj Trybunał Sprawiedliwości UE wydał wyrok w bardzo istotnej sprawie. Pytanie prejudycjalne zostało zadane przez okręgowy sąd administracyjny w Wilnie i dotyczyło wykładni przepisów RODO dotyczących podstaw prawnych przetwarzania danych osobowych tj. art. 6 ust. 1 RODO oraz art. 9 ust. 1 RODO.

Jedna litewskich ustaw – Lietuvos Respublikos viešųjų ir privačių interesų derinimo valstybinėje tarnyboje įstatymas Nr. VIII-371 (ustawy nr VIII-371 Republiki Litewskiej o godzeniu interesów publicznych i prywatnych w sektorze publicznym) z dnia 2 lipca 1997 r. (Žin, 1997, nr 67–1659) jest godzenie interesów prywatnych osób pracujących w sektorze publicznym z interesami publicznymi społeczeństwa, zapewnienie pierwszeństwa interesu publicznego przy podejmowaniu decyzji, zagwarantowanie bezstronności podejmowanych decyzji oraz zapobieganie powstawaniu i rozwojowi korupcji w sektorze publicznym.

Zgodnie z art. 2 ust. 1 tej ustawy pojęcie „osób pracujących w sektorze publicznym” obejmuje w szczególności osoby pracujące w stowarzyszeniach lub instytucjach publicznych finansowanych z budżetu państwa lub z funduszy państwowych, czy też funduszy jednostki samorządu terytorialnego, którym powierzono kompetencje administracyjne.

Zgodnie z art. 5 tej ustawy:

„1. Osoby zgłaszające ich prywatne interesy są zobowiązane złożyć oświadczenie drogą elektroniczną, zgodnie z zasadami określonymi przez [główną komisję], w terminie 30 dni od daty ich wyboru, zatrudnienia lub mianowania (z wyjątkiem przypadków, o których mowa w art. 4 ust. 2 niniejszej ustawy, jak również w ust. 2, 3 i 4 niniejszego artykułu).

Sąd odsyłający powziął wątpliwości co do zgodności reżimu przewidzianego w ustawie o godzeniu interesów z art. 6 ust. 1 akapit pierwszy lit. c) i e) i art. 6 ust. 3 RODO, a także z art. 9 ust. 1 tego aktu. Uważa on, że dane osobowe zawarte w oświadczeniu o interesach prywatnych mogą ujawnić informacje na temat życia prywatnego składającego oświadczenie i jego współmałżonka, konkubenta lub partnera oraz jego dzieci, w związku z czym ich ujawnienie może naruszyć prawo zainteresowanych osób do poszanowania ich życia prywatnego. Dane te mogą bowiem ujawnić informacje szczególnie chronione, takie jak fakt, że dana osoba żyje w konkubinacie lub z osobą tej samej płci, których ujawnienie mogłoby spowodować poważne niedogodności w życiu prywatnym tych osób. Dane dotyczące otrzymanych prezentów i transakcji dokonanych przez składającego oświadczenie i jego współmałżonka, konkubenta lub partnera ujawniają również niektóre szczegóły ich życia prywatnego. Dane dotyczące bliskich lub innych znanych składającemu oświadczenie osób, z którymi relacja mogłaby być źródłem konfliktu interesów, ujawniają ponadto informacje dotyczące rodziny składającego oświadczenie i jego relacji osobistych.

W tych okolicznościach Vilniaus apygardos administracinis teismas (okręgowy sąd administracyjny w Wilnie, Litwa) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

„1) Czy warunek określony w art. 6 ust. 1 [akapit pierwszy] lit. e) [RODO], w myśl którego przetwarzanie [danych osobowych] musi być niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, w związku z wymogami określonymi w art. 6 ust. 3 [RODO], w tym wymogiem, w myśl którego przepisy państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu, w kontekście art. 7 i 8 karty należy interpretować w ten sposób, że przepisy krajowe nie mogą przewidywać wymogu ujawnienia oświadczeń o prywatnych interesach i opublikowania ich na stronie internetowej administratora danych, jakim jest [główna komisja], wskutek czego dostęp do tych danych uzyskują wszystkie osoby mające dostęp do Internetu?

2) Czy zakaz przetwarzania szczególnych kategorii danych osobowych przewidziany w art. 9 ust. 1 [RODO], mając na uwadze warunki przewidziane w art. 9 ust. 2 [RODO], w tym warunek przewidziany w jego lit. g), w myśl którego przetwarzanie musi być niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą, należy interpretować, również w kontekście art. 7 i 8 karty, w ten sposób, że przepisy krajowe nie mogą przewidywać wymogu ujawnienia danych związanych z oświadczeniem o interesach prywatnych, w którym mogą zostać ujawnione dane osobowe, w tym dane umożliwiające ustalenie poglądów politycznych danej osoby, przynależności do związków zawodowych, orientacji seksualnej i innych danych osobowych, i opublikowania tych danych na stronie internetowej administratora danych, jakim jest [główna komisja], wskutek czego wszystkie te dane zostają udostępnione wszystkim osobom mającym dostęp do Internetu?”

TSUE wskazał, że:

W niniejszym przypadku, zważywszy, że publikacja na stronie internetowej głównej komisji części danych osobowych zawartych w oświadczeniu o prywatnych interesach, które musi złożyć każdy dyrektor instytucji otrzymującej fundusze publiczne, wynika z przepisu ustawowego prawa państwa członkowskiego, któremu podlega ta komisja, a mianowicie z art. 10 ustawy o godzeniu interesów, przetwarzanie to jest konieczne do wypełnienia obowiązku prawnego ciążącego na tym organie jako administratorze danych, a w konsekwencji stanowi sytuację, o której mowa w art. 7 lit. c) dyrektywy 95/46 i w art. 6 ust. 1 akapit pierwszy lit. c) RODO. W tych okolicznościach nie ma potrzeby ustalania, czy przetwarzanie to wyczerpuje również znamiona sytuacji, o której mowa w art. 7 lit. e) tej dyrektywy i w art. 6 ust. 1 akapit pierwszy lit. e) tego rozporządzenia.

Jednakże, jak zostało wyjaśnione w pkt 69 niniejszego wyroku, konieczne jest jeszcze, by art. 10 ustawy o godzeniu interesów – jako podstawa prawna przetwarzania rozpatrywanego w postępowaniu głównym – spełniał pozostałe wymogi wynikające z art. 52 ust. 1 karty i art. 6 ust. 3 RODO, a w szczególności aby odpowiadał celowi leżącemu w interesie publicznym i był proporcjonalny do zamierzonego prawnie uzasadnionego celu.

należy przypomnieć, że przesłankę, aby przetwarzanie było konieczne, należy zbadać łącznie z zasadą tzw. minimalizacji danych, ustanowioną w art. 6 ust. 1 lit. c) dyrektywy 95/46 i w art. 5 ust. 1 lit. c) RODO, zgodnie z którą dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (zob. podobnie wyrok z dnia 11 grudnia 2019 r., Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, pkt 48).

W aspekcie odpowiedzi na pytanie pierwsze:

Artykuł 7 lit. c) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych oraz art. 6 ust. 1 akapit pierwszy lit. c) i art. 6 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), interpretowane w świetle art. 7, 8 i art. 52 ust. 1 Karty praw podstawowych Unii Europejskiej, należy rozumieć ten sposób, że stoją one na przeszkodzie przepisowi krajowemu przewidującemu zamieszczanie w sieci oświadczenia o interesach prywatnych, które każdy dyrektor instytucji otrzymującej środki publiczne jest zobowiązany złożyć, w zakresie w jakim takie zamieszczanie wiąże się z ujawnieniem imiennych danych jego współmałżonka, konkubenta lub partnera oraz osób mu bliskich lub innych znanych składającemu oświadczenie osób, z którymi relacja mogłaby być źródłem konfliktu interesów, czy też ujawnieniem wszystkich zawartych przez niego w ciągu ostatnich dwunastu miesięcy kalendarzowych transakcji o wartości przekraczającej 3000 EUR.

W przedmiocie drugiego pytania TSUE tak argumentował:

W niniejszej sprawie, mimo że dane osobowe, których publikacja jest obowiązkowa na podstawie art. 10 ust. 1 ustawy o godzeniu interesów, nie stanowią ze względu na swój charakter danych szczególnie chronionych w rozumieniu dyrektywy 95/46 i RODO, sąd odsyłający uważa, że z danych imiennych dotyczących współmałżonka, konkubenta lub partnera składającego oświadczenie można wywieść pewne informacje dotyczące życia lub orientacji seksualnej składającego oświadczenie i jego współmałżonka, konkubenta lub partnera.

W tym względzie zgodnie z utrwalonym orzecznictwem przy dokonywaniu wykładni przepisu prawa Unii należy uwzględniać nie tylko jego brzmienie, lecz także jego kontekst oraz cele regulacji, której część ten przepis stanowi (wyrok z dnia 21 grudnia 2021 r., Bank Melli Iran, C-124/20, EU:C:2021:1035, pkt 43 i przytoczone tam orzecznictwo).

Jak zauważył co do istoty rzecznik generalny w pkt 85 opinii, o ile użycie w tych przepisach imiesłowu przymiotnikowego „ujawniający” jest spójne z uwzględnieniem przetwarzania dotyczącego nie tylko danych ze swej istoty szczególnie chronionych, lecz również danych wskazujących pośrednio, w wyniku dokonania intelektualnej operacji dedukcji lub kontroli krzyżowej, informacje o tym charakterze, o tyle imiesłów przymiotnikowy „dotyczący” wydaje się, przeciwnie, wskazywać na istnienie bardziej bezpośredniego i natychmiastowego związku między przetwarzaniem a określonymi danymi, z uwzględnieniem ich immanentnego charakteru.

Mając na względzie całość powyższych rozważań na pytanie drugie należy odpowiedzieć, że art. 8 ust. 1 dyrektywy 95/46 i art. 9 ust. 1 RODO należy interpretować w ten sposób, że zamieszczanie, na stronie internetowej organu publicznego odpowiedzialnego za gromadzenie oświadczeń o interesach prywatnych i kontrolę ich treści, danych osobowych mogących pośrednio ujawnić orientację seksualną osoby fizycznej, stanowi przetwarzanie dotyczące szczególnych kategorii danych osobowych w rozumieniu tych przepisów.