Rzecznik TSUE o zasadach stosowania wyjątku, od wtórnego obowiązku informacyjnego

Jeden z Rzeczników Trybunału Sprawiedliwości Unii Europejskie otrzymał zadanie przygotowania opinii, w zakresie trzech istotnych pytań. Pytanie węgierskiego sądu najwyższego dotyczyły kwestii wyjątku przewidzianego w przepisach RODO odnoszącego się do niewykonywania wtórnego obowiązku informacyjnego.

Sprawa ta dotyczyła wyjątku, o którym jest mowa w art. 14 ust. 5 lit. c RODO tj.:

pozyskiwanie lub ujawnianie jest wyraźnie uregulowane prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą

Sąd Najwyższy zadał TSUE takie pytania:

1)      Czy art. 14 ust. 5 lit. c) w związku z art. 14 ust. 1 i motywem 62 [RODO] należy interpretować w ten sposób, że wyjątek, o którym mowa w art. 14 ust. 5 lit. c), nie ma zastosowania w odniesieniu do danych wygenerowanych w ramach postępowania prowadzonego przez administratora, lecz jedynie w odniesieniu do danych, które administrator w sposób wyraźny pozyskał od innej osoby?

2)      Czy w przypadku, gdy art. 14 ust. 5 lit. c) RODO ma zastosowanie również w odniesieniu do danych wygenerowanych w ramach postępowania prowadzonego przez administratora, prawo do wniesienia skargi do organu nadzorczego, o którym mowa w art. 77 ust. 1 RODO, należy interpretować w ten sposób, że osoba fizyczna, która zarzuca naruszenie obowiązku informacyjnego, może, wykonując swoje uprawnienie do wniesienia skargi, złożyć wniosek o zbadanie, czy zgodnie z art. 14 ust. 5 lit. c) RODO prawo państwa członkowskiego przewiduje odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą?

3)      W przypadku odpowiedzi twierdzącej na pytanie drugie, czy art. 14 ust. 5 lit. c) RODO można interpretować w ten sposób, że sformułowanie »odpowiednie środki«, o których mowa w przywołanym przepisie, oznacza, że ustawodawca krajowy powinien dokonać transpozycji (w drodze przepisu prawa) środków dotyczących bezpieczeństwa danych, o których mowa w art. 32 RODO?”.

Rzecznik zaproponował następujące odpowiedzi:

art. 14 ust. 5 lit. c) RODO należy interpretować w ten sposób, że odstępstwo od ciążącego na administratorze danych obowiązku informacyjnego w stosunku do osoby, której dane dotyczą, ma zastosowanie do wszystkich danych, których administrator nie pozyskał od tej osoby. Nie ma w tym względzie znaczenia, czy dane zostały wyraźnie pozyskane od innego podmiotu, czy też są generowane przez administratora w ramach jego własnego postępowania.

art. 77 ust. 1 RODO należy interpretować w ten sposób, że w kontekście postępowania w sprawie skargi organ nadzorczy jest uprawniony do zbadania, czy spełniono wszystkie przesłanki określone w art. 14 ust. 5 lit. c) tego rozporządzenia. W szczególności jest on uprawniony do zbadania, czy prawo państwa członkowskiego, któremu podlega administrator, przewiduje odpowiednie środki w celu ochrony prawnie uzasadnionych interesów osoby, której dane dotyczą.

art. 14 ust. 5 lit. c) RODO należy interpretować w ten sposób, że „odpowiednie środki”, o których mowa w tym przepisie, nie nakładają na ustawodawcę krajowego obowiązku transpozycji środków dotyczących bezpieczeństwa danych przewidzianych w art. 32 tego rozporządzenia.

Rzecznik uzasadnił powyższe stanowisko:

Szerokie rozumienie terminu „pozyskiwanie” znajduje potwierdzenie w motywie 62 RODO. W motywie tym posłużono się terminem „utrwalenie” danych, który – jak zauważył sąd odsyłający –odnosi się do szerszej grupy operacji przetwarzania, które mogą być dokonywane przez administratora danych. Artykułu 14 ust. 5 lit. c) nie można zatem interpretować w ten sposób, że ma on zastosowanie wyłącznie do danych pozyskanych od innego podmiotu, a nie do danych generowanych przez administratora.

Interpretowanie art. 14 ust. 5 lit. c) jako wykluczającego z zakresu jego stosowania operacji generowania danych przez administratora ograniczyłoby zakres uznania pozostawiony państwom członkowskim na podstawie przesłanki, która nie wydaje się istotna dla ochrony prawnie uzasadnionych interesów osoby, której dane dotyczą.