Przekazanie informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione (art. 15 ust. 1 lit. c) RODO)

Przewidziane w art. 15 ust. 1 lit. c) RODO prawo dostępu osoby, której dane dotyczą, do dotyczących jej danych osobowych oznacza, w przypadku gdy dane te zostały lub zostaną ujawnione odbiorcom, że na administratorze danych ciąży obowiązek podania tej osobie dokładnej tożsamości tych odbiorców, chyba że nie jest możliwe zidentyfikowanie tych odbiorców lub tenże administrator danych wykaże, że wnioski o uzyskanie dostępu złożone przez osobę, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne w rozumieniu art. 12 ust. 5 rozporządzenia 2016/679, w których to przypadkach administrator ten może wskazać tej osobie wyłącznie kategorie odnośnych odbiorców.

Pojęcia „odbiorcy” i „kategorie odbiorców” zawarte w art. 15 ust. 1 lit. c) RODO są użyte jedno po drugim, bez możliwości wywnioskowania pierwszeństwa między nimi. Brzmienie tego artykułu nie pozwala ustalić w sposób jednoznaczny, czy osoba, której dane dotyczą, ma prawo do uzyskania informacji, w przypadku gdy dotyczące jej dane osobowe zostały lub zostaną ujawnione, o konkretnej tożsamości ich odbiorców tych danych.

Artykuł 19 zdanie drugie RODO wyraźnie przyznaje osobie, której dane dotyczą, prawo do bycia informowaną o konkretnych odbiorcach dotyczących jej danych przez administratora danych w ramach ciążącego na tym ostatnim obowiązku informowania wszystkich odbiorców o wykonywaniu praw przysługujących tej osobie na podstawie art. 16, art. 17 ust. 1 i art. 18 RODO.

Art. 15 ust. 1 lit. c) RODO stanowi jeden z przepisów mających gwarantować przejrzystość sposobów przetwarzania danych osobowych względem osoby, której dane dotyczą, i umożliwia tej osobie, jak wskazał rzecznik generalny w pkt 33 opinii, wykonywanie uprawnień przewidzianych w szczególności w art. 16–19, 21, 79 i 82 RODO.

Informacje przekazane osobie, której dane dotyczą, na podstawie prawa dostępu przewidzianego w art. 15 ust. 1 lit. c) RODO powinny być możliwie najbardziej dokładne. W szczególności owo prawo dostępu oznacza, że osoba, której dane dotyczą, może uzyskać od administratora danych informacje o konkretnych odbiorcach, którym dane te zostały ujawnione, lub, alternatywnie, zdecydować się na ograniczenie się do zażądania informacji dotyczących kategorii odbiorców.

W szczególnych okolicznościach nie jest możliwe dostarczenie informacji dotyczących konkretnych odbiorców. W związku z tym prawo dostępu może być ograniczone do informacji o kategoriach odbiorców, jeżeli nie jest możliwe podanie do wiadomości tożsamości konkretnych odbiorców, w szczególności gdy nie są oni jeszcze znane.

Zgodnie z art. 12 ust. 5 lit. b) RODO administrator danych może, zgodnie z zasadą odpowiedzialności określoną w art. 5 ust. 2 tego rozporządzenia oraz w jego motywie 74, odmówić uwzględnienia wniosków osoby, której dotyczą dane, jeżeli wnioski te są ewidentnie nieuzasadnione lub nadmierne, przy czym na tym samym administratorze danych spoczywa obowiązek wykazania, że rzeczone wnioski mają ewidentnie nieuzasadniony lub nadmierny charakter.

Wyrok TSUE z dnia 12 stycznia 2023 r., C-154/21

Standard: 83957 (pełna treść orzeczenia)