TSUE wypowiada się o uprawnieniach organu udostępniającego dane
Bułgarski Sąd chciał poznać interpretację dotyczącą:
- zakresu stosowania RODO (artykułu 2 ust. 2 lit. a RODO);
- przypisania roli administratora (artykuł 4 pkt 7 RODO);
- przypisania roli organu nadzorczego (artykuł 51 RODO);
- wystąpienia do Sądu w sprawie ochrony praw (artykuł 79 ust. 1 RODO).
Do Sądu odsyłającego Inspektorat kam Visshia sadeben savet (inspekcję przy najwyższej radzie sądownictwa, Bułgaria) (zwaną dalej „inspekcją”) złożyła przedmiotowe wniosku, w celu ujawnienia tej inspekcji danych dotyczących rachunków bankowych kilku sędziów i członków ich rodzin.
Pomijając kwestię polityczne i ustrojowe dotyczące Bułgarii przejdę do interpretacji TSUE dotyczącej przepisów RODO.
Sąd Rejonowy w Sofii zawiesił postępowanie dotyczące udzielenia tajemnicy bankowej, gdyż chciał uzyskać interpretację wskazanych na początków przepisów RODO.
Po pierwsze Sąd ten chciał wiedzieć, czy wydanie zgody na ujawnienie tajemnicy bankowej samo w sobie stanowi przetwarzanie danych osobowych podlegających RODO.
Tutaj TSUE wskazał, że tak jest, gdyż:
W art. 2 ust. 2 lit. a) RODO, który wskazano w szczególności w drugim pytaniu prejudycjalnym, przewidziano, że rozporządzenie to nie ma zastosowania do przetwarzania danych osobowych prowadzonego „w ramach działalności nieobjętej zakresem prawa Unii”.
Zgodnie z utrwalonym orzecznictwem przepis ten, interpretowany w świetle motywu 16 RODO, ma na celu wyłącznie wyłączenie z zakresu stosowania tego rozporządzenia przetwarzania danych osobowych dokonywanego przez organy państwowe w ramach działalności mającej na celu ochronę bezpieczeństwa narodowego lub działalności, która może zostać zaliczona do tej samej kategorii, przy czym działalność, której celem jest ochrona bezpieczeństwa narodowego, obejmuje w szczególności działalność mającą na celu ochronę podstawowych funkcji państwa i podstawowych interesów społeczeństwa. W związku z tym okoliczność, że dana działalność jest właściwa państwu lub organowi publicznemu, nie wystarcza, aby wyjątek ten mógł być automatycznie stosowany do takiej działalności [zob. podobnie wyroki: z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 66, 67; z dnia 8 grudnia 2022 r., Inspektor v Inspektorata kam Visshia sadeben savet (Cele przetwarzania danych osobowych – Postępowanie przygotowawcze), C‑180/21, EU:C:2022:967, pkt 79; a także z dnia 5 czerwca 2023 r., Komisja/Polska (Niezawisłość i życie prywatne sędziów), C‑204/21, EU:C:2023:442, pkt 317, 318].
Tymczasem o ile zapewnienie prawidłowego administrowania wymiarem sprawiedliwości w państwach członkowskich, a w szczególności ustanowienie przepisów mających zastosowanie do statusu urzędników, w szczególności sędziów, i wykonywania przez nich obowiązków należy do kompetencji tych państw [zob. podobnie wyrok z dnia 5 czerwca 2023 r., Komisja/Polska (Niezawisłość i życie prywatne sędziów), C‑204/21, EU:C:2023:442, pkt 319], o tyle nie zmienia to faktu, że przetwarzanie danych, takie jak rozpatrywane w postępowaniu głównym, które ma na celu kontrolę uczciwości sędziów, jak również weryfikację istnienia po ich stronie ewentualnych konfliktów interesów, nie jest objęte ani działalnością mającą na celu ochronę bezpieczeństwa narodowego, ani działalnością, która może zostać zaliczona do tej samej kategorii.
Ponadto należy zauważyć, że ujawnienie organowi sądowemu danych osobowych chronionych tajemnicą bankową i dotyczących sędziów i członków ich rodzin, do celów weryfikacji oświadczeń dotyczących ich majątku i majątku członków ich rodzin, gdy oświadczenia te stanowią przedmiot publikacji, stanowi „przetwarzanie” w rozumieniu art. 4 pkt 2 RODO. Takie ujawnienie stanowi bowiem udostępnienie tych danych osobowych temu organowi.
- Zapoznaj się z argumentacją Urzędu, Sądu czy Trybunału
- Fachowe i czytelne podsumowanie omawianego orzeczenia
- Dostęp do wszystkich aktualności na stronie
- Jako pierwszy masz dostęp do ważnych argumentów
- Pierwszy zapoznasz się z argumentacją Urzędu, Sądu czy Trybunału – nie czekaj na podsumowania miesiąca, które wpada do spamu
- Każda aktualność to fachowe i czytelne podsumowanie omawianego orzeczenia, decyzji czy wytycznych wraz z dostępem do jego treści w serwisie Judykatura.pl
- Jedno miejsce, w którym zapoznasz się z najważniejszymi argumentami orzeczenia oraz z jego treścią niezależnie od tego, z jakiego źródła ono pochodzi
- Utrzymaj zgodność z RODO dzięki byciu na bieżąco z orzecznictwem RODO
Wydaje się zatem, że to mające zastosowanie w sprawie w postępowaniu głównym uregulowanie krajowe określa krąg osób i dane, które mogą być przedmiotem przetwarzania, określa cele tego przetwarzania i wyznacza właściwy organ, a mianowicie inspekcję, do realizacji tych celów.
Sąd, do którego wpłynął wniosek o udzielenie zezwolenia na ujawnienie informacji, interweniuje wyłącznie na wniosek inspekcji w celu wykonania uprawnień przyznanych mu przez prawo krajowe i ogranicza się do sprawdzenia, czy spełnione są przesłanki zgodności z prawem określone w tym prawie. Podobnie to nie ten sąd, lecz inspekcja określa, w zależności od mających zastosowanie przepisów krajowych, osoby, do których danych zamierza uzyskać dostęp do celów tego wykonywania i w odniesieniu do których składa do wspomnianego sądu wniosek o udzielenie zezwolenia.
I tak o ile do tego sądu należy zbadanie, czy i w jakim zakresie przesłanki zgodności przetwarzania z prawem są spełnione w danym przypadku, o tyle nie określa on z własnej inicjatywy ani celu przetwarzania, ani osób i danych, których dane dotyczą. W tych okolicznościach to nie wspomniany sąd jest administratorem w rozumieniu art. 4 pkt 7 RODO, lecz organ właściwy do realizacji zamierzonych celów.
Zgodnie z art. 51 ust. 1 i 2 oraz art. 57 ust. 1 lit. a) i g) RODO głównym zadaniem wspomnianych organów jest monitorowanie i egzekwowanie stosowania tego rozporządzenia przy jednoczesnym przyczynianiu się do jego spójnego stosowania w Unii, a to w celu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem ich danych osobowych oraz ułatwiania swobodnego przepływu takich danych w Unii. W tym celu dysponują one różnymi uprawnieniami przyznanymi im na mocy art. 58 RODO [zob. podobnie wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 45].
Zgodnie z art. 51 ust. 4 RODO państwa członkowskie są zobowiązane do powiadomienia Komisji o przepisach prawnych i późniejszych zmianach, które przyjmują na podstawie rozdziału VI tego rozporządzenia, w szczególności o przepisach dotyczących organu lub organów nadzorczych, którym powierzyły zadanie nadzorowania stosowania wspomnianego rozporządzenia.
W niniejszej sprawie z akt sprawy, którymi dysponuje Trybunał, nie wynika w żaden sposób, by sąd odsyłający był zobowiązany na mocy prawa bułgarskiego do nadzorowania stosowania RODO i by w szczególności posiadał uprawnienia, którymi powinien dysponować organ nadzorczy na podstawie art. 58 tego rozporządzenia.
W ostatnim zagadnieniu TSUE także wskazał negatywną interpretację, która odnosiła się do tego, czy Sąd Rejonowy powinien z urzędu, w imieniu osób, co do których wydaje zgody na wgląd do tajemnicy bankowej podjąć działania badające legalność takiego przetwarzania danych.
- Zapoznaj się z argumentacją Urzędu, Sądu czy Trybunału
- Fachowe i czytelne podsumowanie omawianego orzeczenia
- Dostęp do wszystkich aktualności na stronie
- Jako pierwszy masz dostęp do ważnych argumentów
Ponad 2000 orzeczeń o Ochronie Danych Osobowych (RODO). Codzienna aktualizacja bazy orzeczeń.
Teraz zamawiasz Szkolenie RODO - Inspektor Ochrony Danych. Nie musisz podawać karty płatniczej. Wystarczy, że wypełnisz formularz a na podany adres e-mail otrzymasz fakturę VAT do opłacenia. Ważne: Dopiero po zaksięgowaniu płatności – system utworzy konto użytkownika oraz uruchomi subskrypcję. Dopiero od tego momentu rozpoczyna się okres Subskrypcji.
Ponieważ sąd odsyłający zastanawia się w szczególności nad skutecznością sądowego środka ochrony prawnej przewidzianego w art. 79 ust. 1 RODO, w celu udzielenia mu użytecznej odpowiedzi należy jeszcze podkreślić, że państwa członkowskie powinny upewnić się, że konkretne zasady korzystania ze środków ochrony prawnej przewidzianych w art. 77 ust. 1, art. 78 ust. 1 i art. 79 ust. 1 tego rozporządzenia rzeczywiście odpowiadają wymogom wynikającym z prawa do skutecznego środka prawnego ustanowionego w art. 47 Karty (zob. podobnie wyrok z dnia 12 stycznia 2023 r., Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, pkt 51).
W tym celu ważne jest, aby administrator, czyli właściwy organ sądowy, któremu udzielono dostępu do danych osobowych, udzielił osobom, których dane są przetwarzane, informacji wymienionych w art. 14 ust. 1 i 2 RODO, zgodnie z zasadami, o których mowa w art. 12 ust. 1 i art. 14 ust. 3 tego rozporządzenia, ponieważ informacje te są niezbędne, aby umożliwić wspomnianym osobom wykonywanie w stosownym wypadku praw przyznanych im we wspomnianym rozporządzeniu, w szczególności ich przewidzianego w art. 21 RODO prawa do sprzeciwu wobec przetwarzania ich danych osobowych, a także przewidzianego w art. 79 i 82 tego rozporządzenia prawa do środków ochrony prawnej w przypadku poniesionej szkody (zob. analogicznie wyrok z dnia 22 czerwca 2023 r., Pankki S, C‑579/21, EU:C:2023:501, pkt 58 i przytoczone tam orzecznictwo).
W świetle powyższych rozważań na pytanie szóste należy odpowiedzieć, że art. 79 ust. 1 RODO w związku z art. 47 Karty należy interpretować w ten sposób, że sąd właściwy do udzielenia zezwolenia na ujawnienie danych osobowych innemu organowi sądowemu nie jest zobowiązany, w wypadku gdy nie wniesiono do niego środka zaskarżenia na podstawie tego przepisu, do zapewnienia z urzędu ochrony osób, których dane dotyczą, w zakresie przestrzegania przepisów tego rozporządzenia dotyczących bezpieczeństwa danych osobowych, w tym gdy powszechnie wiadomo, że ten organ publiczny naruszył w przeszłości te ostatnie przepisy.