TSUE: opinia organu nadzorczego nie zwalnia administratora z odpowiedzialności

Trybunał Sprawiedliwości UE rozpoznał sprawę, w której miał możliwość wypowiedzenia się w kilku aspektach dotyczących przepisów RODO.

W wyroku tym TSUE stwierdził, że:

organ prowadzący krajowy rejestr handlowy pełni funkcję administratora danych;

ręczny podpisu jest daną osobową;

utrata kontroli nad danymi osobowymi (podpisem) może wystarczyć do spowodowania szkody majątkowej;

opinia organu nadzorczego nie wystarcza do zwolnienia administratora z odpowiedzialności.

Trybunał doszedł do powyższych wniosków rozpoznając pytanie bułgarskiego Najwyższego Sądu Administracyjnego w  sprawie między Agentsia po vpisvaniyata (agencją rejestrową, Bułgaria, zwaną dalej „agencją”) a O.L. w przedmiocie odmowy wykreślenia przez tę agencję niektórych dotyczących OL danych osobowych zawartych w umowie spółki opublikowanej w rejestrze handlowym.

OL jest wspólniczką „XYZ” OOD, spółki z ograniczoną odpowiedzialnością prawa bułgarskiego, która w dniu 14 stycznia 2021 r. została wpisana do rejestru handlowego w następstwie przedstawienia umowy spółki z dnia 30 grudnia 2020 r., podpisanej przez wspólników tej spółki (zwanej dalej „rozpatrywaną umową spółki”).

Umowa ta, zawierająca nazwisko, imię, numer identyfikacyjny, numer dowodu tożsamości, datę i miejsce wydania tego dowodu, a także adres OL i jej podpis, została podana do publicznej wiadomości przez agencję w przedstawionej formie.

W dniu 8 lipca 2021 r. OL złożyła do agencji wniosek o usunięcie jej danych osobowych ze wspomnianej umowy spółki, uściślając, że jeśli przetwarzanie tych danych odbywało się na podstawie jej zgody, to wycofuje ją.

Wobec braku odpowiedzi agencji OL wystąpiła do Administrativen sad Dobrich (sądu administracyjnego w mieście Dobricz, Bułgaria), który w wyroku z dnia 8 grudnia 2021 r. stwierdził nieważność milczącej odmowy usunięcia przez agencję wspomnianych danych i przekazał sprawę tej agencji do ponownego rozpatrzenia.

Wykonując ten wyrok, a także analogiczny wyrok dotyczący drugiego wspólnika, który podjął takie same działania, pismem z dnia 26 stycznia 2022 r. agencja wskazała, że aby wniosek OL o usunięcie danych osobowych został uwzględniony, należy przedłożyć agencji uwierzytelniony odpis rozpatrywanej umowy spółki, w której należy utajnić dane osobowe wspólników, z wyjątkiem danych osobowych wymaganych prawem.

W dniu 31 stycznia 2022 r. OL wystąpiła ponownie do Administrativen sad Dobrich (sądu administracyjnego w mieście Dobricz), żądając stwierdzenia nieważności tego pisma oraz zasądzenia od agencji odszkodowania za szkodę niemajątkową wyrządzoną jej tym pismem, naruszającym jej prawa wynikające z RODO.

W dniu 1 lutego 2022 r., przed otrzymaniem zawiadomienia o tej skardze, agencja dokonała z urzędu wykreślenia numeru identyfikacyjnego, danych dotyczących dowodu osobistego oraz adresu OL, lecz nie wykreśliła jej nazwiska, imienia i podpisu.

Wyrokiem z dnia 5 maja 2022 r. Administrativen sad Dobrich (sąd administracyjny w mieście Dobricz) stwierdził nieważność pisma z dnia 26 stycznia 2022 r., a także zasądził na podstawie art. 82 RODO od agencji, z tytułu poniesienia przez OL szkody niemajątkowej, odszkodowanie na rzecz OL w wysokości 500 lewów bułgarskich (BGN) (około 255 EUR), wraz z ustawowymi odsetkami.

Zdaniem Najwyższego Sądu Administracyjnego:

agencja podnosi, że jest nie tylko administratorem danych, lecz również odbiorcą danych osobowych przekazanych w ramach procedury wpisu spółki „Praven Shtit Konsulting”. Ponadto agencja nie otrzymała żadnego odpisu rozpatrywanej umowy spółki, w którym utajniono by dane osobowe OL, które nie miały być podawane do publicznej wiadomości, mimo że zwróciła się o to przed wpisem tej spółki do rejestru handlowego.

Tymczasem brak takiego odpisu nie może sam w sobie stanowić przeszkody dla wpisania spółki handlowej do tego rejestru. Wynika to z opinii nr 01-116(20)/01.02.2021 r. krajowego organu nadzorczego, Komisia za zashtita na lichnite danni (komisji ds. ochrony danych osobowych, Bułgaria), przedłożonej na podstawie art. 58 ust. 3 lit. b) RODO, do której odnosi się agencja.

Wspomniany sąd zauważa, że zdaniem OL agencja, jako administrator danych, nie może nałożyć na inne osoby obowiązku usunięcia danych osobowych z rejestru, ponieważ zgodnie z orzecznictwem krajowym opinia ta nie jest zgodna z przepisami RODO.

Trybunał wskazał, że:

przekazując organowi prowadzącemu rejestr handlowy danego państwa członkowskiego dokumenty i informacje podlegające obowiązkowemu ujawnieniu przewidzianemu w dyrektywie 2017/1132 i przetwarzając tym samym zawarte w tych dokumentach dane osobowe, wnioskujący o wpis spółki do tego rejestru nie ma żadnego wpływu na określenie celów i dalszego przetwarzania przez ten organ. Ponadto realizuje on różne i właściwe mu cele, a mianowicie dopełnienie formalności niezbędnych do tego wpisu.

wydaje się, że w sytuacji takiej jak rozpatrywana w postępowaniu głównym agencja jest administratorem przetwarzającym dane osobowe OL, które to przetwarzanie polega na publicznym udostępnieniu online tych danych, nawet jeśli na mocy tych przepisów należało jej przekazać odpis umowy spółki utajniający dane osobowe, których nie wymaga ustawodawstwo krajowe rozpatrywane w postępowaniu głównym, czego weryfikacja należy do sądu odsyłającego. W związku z tym agencja jest również odpowiedzialna, na podstawie art. 5 ust. 2 RODO, za przestrzeganie ust. 1 tego artykułu.

Do państw członkowskich należy zatem, w ramach wykonywania obowiązków nałożonych przez tę dyrektywę, czuwanie nad pogodzeniem z jednej strony celów pewności prawa i ochrony interesów osób trzecich realizowanych przez wspomnianą dyrektywę, przypomnianych w pkt 77 niniejszego wyroku, a z drugiej strony – praw ustanowionych w RODO i prawa podstawowego do ochrony danych osobowych, i to poprzez zrównoważone wyważenie tych celów i praw (zob. podobnie wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija, C-184/20, 77EU:C:2022:601, pkt 98).

podanie do publicznej wiadomości online danych osobowych, które nie są wymagane ani przez dyrektywę 2017/1132, ani przez prawo krajowe, nie może samo w sobie zostać uznane za konieczne do realizacji celów tej dyrektywy.