Zasada „ograniczenia przechowywania” (art. 5 ust. 1 lit. e) RODO)

Z brzmienia art. 5 ust. 1 lit. e) RODO wynika jednoznacznie, że ustanowiona w nim zasada „ograniczenia przechowywania” wymaga od administratora, by był w stanie wykazać, zgodnie z zasadą rozliczalności, iż dane osobowe są przechowywane wyłącznie przez okres niezbędny do osiągnięcia celów, w których je zebrano lub w których je dalej przetworzono (zob. podobnie wyrok z dnia 20 października 2022 r., Digi, C-77/21).

Wynika z tego, że nawet początkowo zgodne z prawem przetwarzanie danych może z czasem stać się sprzeczne z przepisami RODO, jeżeli dane te nie są już niezbędne do celów, dla których były zgromadzone lub dalej przetworzone, oraz że dane te powinny zostać usunięte, gdy rzeczone cele zostały osiągnięte (zob. podobnie wyrok z dnia 20 października 2022 r., Digi, C-77/21)

Biorąc pod uwagę zasadę minimalizacji danych, administrator danych jest zobowiązany ograniczyć do niezbędnego minimum, w świetle zamierzonego celu przetwarzania danych, okres zbierania przedmiotowych danych osobowych [wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests, C-175/20). Im bowiem dłuższy jest okres przechowywania takich danych, tym znaczniejszy ma to wpływ na interesy i życie prywatne osoby, której dane dotyczą, i tym bardziej rygorystyczne są wymogi w zakresie zgodności przechowywania tych danych z prawem [zob. podobnie wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding, C-26/22 i C-64/22).

Do sądu krajowego należy dokonanie oceny, z uwzględnieniem wszystkich istotnych okoliczności sprawy i przy zastosowaniu zasady proporcjonalności, przypomnianej w art. 5 ust. 1 lit. c) RODO, czy okres przechowywania danych osobowych przez administratora jest racjonalnie uzasadniony w świetle celu polegającego na umożliwieniu przesyłania zindywidualizowanych reklam.

W każdym wypadku bezterminowe przechowywanie danych osobowych użytkowników platformy sieci społecznościowej do celów ukierunkowanej reklamy należy uznać za nieproporcjonalną ingerencję w zagwarantowane tym użytkownikom w RODO prawa.

Wyrok TSUE z dnia 4 października 2024 r., C-446/21

Standard: 83963 (pełna treść orzeczenia)

Określone w art. 5 rozporządzenia 2016/679 zasady dotyczące przetwarzania danych osobowych stosuje się kumulatywnie. W związku z tym przechowywanie danych osobowych powinno być zgodne nie tylko z zasadą „ograniczenia celu”, ale również z zasadą „ograniczenia przechowywania”.

Zgodnie z art. 5 ust. 1 lit. e) rozporządzenia 2016/679 dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do osiągnięcia celów, w których dane te są przetwarzane. Z brzmienia tego artykułu wynika jednoznacznie, że zasada „ograniczenia przechowywania” wymaga od administratora, by był w stanie wykazać, zgodnie z zasadą rozliczalności, iż dane osobowe są przechowywane wyłącznie przez okres niezbędny do osiągnięcia celów, w których je zebrano lub w których je dalej przetworzono.

Wynika stąd, że nawet początkowo zgodne z prawem przetwarzanie danych może wraz z upływem czasu stać się niezgodne z rozporządzeniem 2016/679, jeśli owe dane nie są już niezbędne do osiągnięcia takich celów [wyrok z dnia 24 września 2019 r., GC i in., C-136/17], oraz że dane powinny zostać usunięte, gdy rzeczone cele zostały osiągnięte (zob. analogicznie wyrok z dnia 7 maja 2009 r., Rijkeboer, C-553/07).

Każde przetwarzanie danych osobowych powinno być zgodne z zasadami dotyczącymi przetwarzania danych określonymi w art. 5 wspomnianego rozporządzenia oraz spełniać jeden z warunków zgodności przetwarzania z prawem wymienionych w art. 6 owego rozporządzenia.

Tymczasem, po pierwsze, jak wynika z tego art. 6, jeżeli osoba, której dane dotyczą, nie wyraziła zgody na przetwarzanie jej danych osobowych w jednym lub większej liczbie określonych celów, zgodnie z art. 6 ust. 1 lit. a) rozporządzenia 2016/679, to przetwarzanie to powinno spełniać wymóg niezbędności, jak wynika z art. 6 ust. 1 lit. b)–f) owego rozporządzenia.

Po drugie, taki wymóg niezbędności wynika również z zasady „minimalizacji danych” przewidzianej w art. 5 ust. 1 lit. c) tego rozporządzenia, zgodnie z którą dane osobowe powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne w świetle celów, w których są one przetwarzane.

W trzeciej kolejności – taka wykładnia jest zgodna z realizowanym przez art. 5 ust. 1 lit. e) rozporządzenia 2016/679 celem, który – jak przypomniano w pkt 48 niniejszego wyroku – polega między innymi na zapewnieniu wysokiego stopnia ochrony osób fizycznych w Unii w związku z przetwarzaniem danych osobowych.

Z powyższych rozważań wynika, że na pytanie drugie należy udzielić następującej odpowiedzi: art. 5 ust. 1 lit. e) rozporządzenia 2016/679 należy interpretować w ten sposób, że przewidziana w tym przepisie zasada „ograniczenia przechowywania” stoi na przeszkodzie przechowywaniu przez administratora – w bazie danych utworzonej w celu przeprowadzenia testów i poprawienia błędów – danych osobowych zebranych wcześniej w innych celach przez okres dłuższy, niż jest to niezbędne do przeprowadzenia tych testów i poprawienia owych błędów.

Wyrok TSUE z dnia 20 października 2022 r., C-77/21

Standard: 84158 (pełna treść orzeczenia)