„Przetwarzanie” w rozumieniu art. 4 pkt 2 RODO

W art. 4 pkt 2 RODO zdefiniowano pojęcie „przetwarzania” jako „[każdą] operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany […]”.

W szczególności z wyrażenia „[każda] operacja” wynika, że prawodawca Unii zamierzał ująć pojęcie „przetwarzania” w szerokiej perspektywie, za czym przemawia niewyczerpujący charakter zawartego w tym przepisie wyliczenia tych operacji, wyrażony poprzez użycie sformułowania „taką jak” [zob. podobnie wyroki: z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych do celów podatkowych), C-175/20; z dnia 22 czerwca 2023 r., Pankki S, C-579/21].

W wyliczeniu tym ujęte zostało między innymi ujawnianie poprzez przesłanie, rozpowszechnianie lub „innego rodzaju udostępnianie”, które to operacje mogą być wykonywane w sposób zautomatyzowany lub nie.

Wyrok TSUE z dnia 7 marca 2024 r., C-740/22

Standard: 84004 (pełna treść orzeczenia)

Z art. 4 pkt 2 RODO wynika, że na przetwarzanie danych osobowych może składać się jedna lub kilka operacji, z których każda odnosi się do innego etapu tego przetwarzania.

Osobę fizyczną lub prawną można uznać za współadministratora w odniesieniu do operacji przetwarzania danych osobowych tylko wtedy, gdy wspólnie ustala ona jego cele i sposoby. W związku z tym, bez uszczerbku dla ewentualnej odpowiedzialności cywilnej przewidzianej w tym względzie przez prawo krajowe, takiej osoby fizycznej lub prawnej nie można uznać za administratora w rozumieniu wspomnianych przepisów w odniesieniu do wcześniejszych lub późniejszych operacji łańcucha przetwarzania, których celów ani sposobów ona nie ustala (zob. analogicznie wyrok z dnia 29 lipca 2019 r., Fashion ID, C-40/17).

Osobę fizyczną lub prawną można uznać za współadministratora w odniesieniu do operacji przetwarzania danych osobowych tylko wtedy, gdy wspólnie ustala ona jego cele i sposoby. W związku z tym, bez uszczerbku dla ewentualnej odpowiedzialności cywilnej przewidzianej w tym względzie przez prawo krajowe, takiej osoby fizycznej lub prawnej nie można uznać za administratora w rozumieniu wspomnianych przepisów w odniesieniu do wcześniejszych lub późniejszych operacji łańcucha przetwarzania, których celów ani sposobów ona nie ustala (zob. analogicznie wyrok z dnia 29 lipca 2019 r., Fashion ID, C-40/17).

Wyrok TSUE z dnia 7 marca 2024 r., C-604/22

Standard: 84020 (pełna treść orzeczenia)