Hiszpański Sąd Krajowy zawiesił ogólny nakaz naprawczy
Pełna treść postanowienia w bazie Judykatura pokazuje, dlaczego środek naprawczy nie może ograniczać się do ogólnego polecenia dostosowania przetwarzania do RODO. Hiszpański Sąd Krajowy uznał, że organ nadzorczy musi wskazać konkretny sposób wykonania nakazu, a nie tylko jego prawny cel.
Ten wpis udostępniamy w całości bezpłatnie. Zapisz się do newslettera — wyślemy w nim subskrybentom kod z 10% rabatem na pierwszy zakup dostępu.
⚖️ Najważniejsze tezy (kliknij, by rozwinąć)
Teza 1 — Wymóg skonkretyzowanych środków naprawczych
Uprawnienie organu nadzorczego z art. 58 ust. 2 lit. d RODO pozwala nakazać administratorowi dostosowanie operacji przetwarzania do RODO, ale nakaz musi określać zarówno konkretny sposób jego wykonania, jak i termin. Są to wymagania kumulatywne.
Teza 2 — Ogólny nakaz rodzi niepewność prawną
Nakaz naprawczy o charakterze ogólnym może prowadzić do działań strukturalnych wpływających bezpośrednio na funkcjonowanie przedsiębiorstwa. Brak precyzji może wywołać niepewność prawną, a nawet naruszać prawo do obrony, gdy zobowiązany nie wie, w jaki konkretnie sposób powinien skorygować swoją działalność.
Teza 3 — Zawieszenie do czasu doprecyzowania
Sąd zawiesił wykonanie nakazu przyjęcia środków naprawczych do czasu, aż Hiszpańska Agencja Ochrony Danych skonkretyzuje i sprecyzuje środki, które administrator ma wdrożyć na podstawie art. 58 ust. 2 RODO.
Rozstrzygnięcie dotyczy granic uprawnienia do nakazywania administratorowi dostosowania operacji przetwarzania.
Postanowieniem z 13 lipca 2026 r. Audiencia Nacional, czyli Hiszpański Sąd Krajowy, uwzględnił wniosek o zabezpieczenie i zawiesił wykonanie części decyzji Hiszpańskiej Agencji Ochrony Danych. Zawieszenie objęło wyłącznie nakaz wdrożenia środków naprawczych; nie dotyczyło dwóch administracyjnych kar pieniężnych w wysokości 20 000 euro i 200 000 euro, które spółka uiściła.
Czego dotyczyła sprawa?
Agencja stwierdziła naruszenie art. 13 oraz art. 6 ust. 1 RODO. Oprócz kar nakazała administratorowi, aby w ciągu sześciu miesięcy od uzyskania przez decyzję ostateczności i wykonalności dostosował przetwarzanie do właściwych przepisów.
W uzasadnieniu decyzji organ wskazał, że administrator powinien zapewnić podstawę prawną dla prowadzonych operacji przetwarzania oraz przekazać osobom, których dane dotyczą, informacje wymagane przez art. 13 RODO. Jednocześnie pozostawił mu wybór konkretnych procedur, mechanizmów i instrumentów wdrożeniowych.
Czy wystarcza odesłanie do przepisów RODO?
Sąd odwołał się do brzmienia art. 58 ust. 2 lit. d RODO. Przepis pozwala organowi nakazać administratorowi lub podmiotowi przetwarzającemu dostosowanie operacji przetwarzania do RODO, gdy jest to właściwe, „w określony sposób i w określonym terminie” (tłum. red.).
Według sądu oba elementy są konieczne. Organ wskazał wprawdzie termin realizacji obowiązku, lecz nie określił konkretnie, w jaki sposób administrator ma wdrożyć środki naprawcze. Ogólne odesłanie do art. 6 ust. 1 i art. 13 RODO nie zastępuje takiego określenia.
Sąd zaakceptował argument administratora, że nakaz sformułowany w ten sposób ma charakter ogólny i może wymagać działań strukturalnych ingerujących w zwykłe funkcjonowanie przedsiębiorstwa. Nie przesądził natomiast, jakie dokładnie środki powinny zostać przyjęte ani czy ostatecznie doszło do naruszeń wskazanych w decyzji organu.
Dlaczego precyzja nakazu ma znaczenie?
Audiencia Nacional wskazał, że nieprecyzyjny nakaz może powodować niepewność prawną, a nawet prowadzić do naruszenia prawa do obrony. Administrator nie powinien bowiem samodzielnie rekonstruować materialnej treści obowiązku administracyjnego pod rygorem kolejnego postępowania sankcyjnego.
Sąd przypomniał zarazem swoje wcześniejsze stanowisko, zgodnie z którym władcze uprawnienie organu nadzorczego wymaga odpowiedniego stopnia konkretności. W przytoczonym fragmencie wskazano, że „nie wystarcza ogólne wskazanie wszystkich przepisów RODO i hiszpańskiej ustawy o ochronie danych, które uznano za mające zastosowanie” (tłum. red.).
Co zostało przesądzone, a co pozostaje otwarte?
Postanowienie ma charakter zabezpieczający. Sąd zawiesił wykonanie nakazu naprawczego tylko do czasu jego doprecyzowania przez organ nadzorczy. Nie uchylił w tym postępowaniu kar pieniężnych ani nie rozstrzygnął definitywnie o zgodności z prawem całej decyzji Hiszpańskiej Agencji Ochrony Danych.
Praktyczne znaczenie rozstrzygnięcia jest jednak wyraźne: środek naprawczy nie może przerzucać na administratora obowiązku ustalenia, czego w istocie żąda organ. Administrator pozostaje odpowiedzialny za wybór adekwatnych środków wdrożeniowych, ale organ powinien uprzednio jasno wyznaczyć konkretny obowiązek, który ma zostać wykonany.
Niniejsze opracowanie powstało częściowo z wykorzystaniem modelu sztucznej inteligencji ogólnego przeznaczenia i mimo dołożonej staranności może zawierać błędy. Przekazane informacje nie stanowią porady prawnej — przedstawiają wyłącznie pogląd Autora.
Dalsza część omówienia, wszystkie tezy i pełna treść orzeczenia są dostępne w subskrypcji AKTUALNOŚCI PLUS.
Dowiesz się, jak organy nadzorcze w UE, sądy administracyjne i powszechne oraz TSUE argumentują swoje rozstrzygnięcia — i utrzymasz zgodność swojej organizacji z aktualną linią orzeczniczą.