Przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią (art. 6 ust. 1 akapit 1 lit. f) RODO)

Art. 6 ust. 1 akapit pierwszy lit. f) RODO nie przewiduje uwzględniania zwyczajów i konwencji społecznych przy ocenie niezbędnego charakteru takiego przetwarzania. Artykuł ów winien podlegać wykładni zawężającej.

Art. 6 ust. 1 akapit pierwszy lit. f) RODO należy interpretować w ten sposób, że przy ocenie niezbędności przetwarzania danych osobowych w rozumieniu tego przepisu nie należy uwzględniać ewentualnego istnienia prawa do sprzeciwu przysługującego osobie, której dane dotyczą, na podstawie art. 21 RODO.

Artykuł 6 ust. 1 akapit pierwszy lit. f) RODO stanowi, że przetwarzanie danych osobowych jest zgodne z prawem w zakresie, w jakim jest ono „niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem”.

45      Zgodnie z utrwalonym orzecznictwem w przepisie tym określono trzy kumulatywne przesłanki zgodności przetwarzania danych osobowych z prawem, a mianowicie, po pierwsze, realizację prawnie uzasadnionego interesu przez administratora lub stronę trzecią, po drugie, niezbędność przetwarzania danych osobowych do celów wynikających z tego prawnie uzasadnionego interesu, oraz po trzecie, przesłankę, aby interesy lub podstawowe prawa i wolności osoby objętej ochroną danych nie miały pierwszeństwa przed prawnie uzasadnionymi interesami administratora lub osoby trzeciej [wyroki: z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 106; z dnia 4 października 2024 r., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, pkt 37].

46      Co się tyczy, po pierwsze, przesłanki dotyczącej realizacji prawnie uzasadnionego interesu, należy wyjaśnić, że zgodnie z art. 13 ust. 1 lit. d) RODO administrator podczas pozyskiwania danych osobowych od osoby, której dane dotyczą, winien poinformować ją, jeżeli owo przetwarzanie odbywa się na podstawie art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia, o realizowanych przez siebie prawnie uzasadnionych interesach. W braku definicji w RODO pojęcia „prawnie uzasadnionego interesu” za zgodny z prawem można co do zasady uznać szeroki wachlarz interesów. W szczególności pojęcie to nie ogranicza się do interesów usankcjonowanych i określonych ustawowo [zob. podobnie wyroki: z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 107; z dnia 4 października 2024 r., Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:857, pkt 38, 40, 41 i przytoczone tam orzecznictwo].

47      I tak z motywu 47 RODO wynika, że taki prawnie uzasadniony interes może istnieć na przykład w przypadku istotnego i odpowiedniego powiązania między osobą, której dane dotyczą, a administratorem, w tym gdy osoba, której dane dotyczą, jest klientem administratora.

48      Jeśli chodzi, po drugie, o przesłankę, zgodnie z którą przetwarzanie danych osobowych musi być niezbędne do celów wynikających z prawnie uzasadnionego interesu, i w świetle orzecznictwa przypomnianego w pkt 28 niniejszego wyroku, na sądzie odsyłającym spoczywa obowiązek zweryfikowania, czy tego prawnie uzasadnionego interesu w przetwarzaniu danych nie można, racjonalnie rzecz biorąc, osiągnąć w równie skuteczny sposób za pomocą innych środków, w mniejszym stopniu naruszających podstawowe prawa i wolności osób, których dane dotyczą, ponieważ takie przetwarzanie powinno być dokonywane w granicach tego, co jest ściśle niezbędne do realizacji owego prawnie uzasadnionego interesu.

49      W tym kontekście należy również przypomnieć, że przesłankę, zgodnie z którą przetwarzanie musi być niezbędne, należy badać łącznie z zasadą minimalizacji danych, ustanowioną w art. 5 ust. 1 lit. c) RODO, zgodnie z którą dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (wyrok z dnia 12 września 2024 r., HTB Neunte Immobilien Portfolio i Ökorenta Neue Energien Ökostabil IV, C‑17/22 i C‑18/22, EU:C:2024:738, pkt 52 i przytoczone tam orzecznictwo).

50      Wreszcie po trzecie, jeśli chodzi o przesłankę, zgodnie z którą interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, nie mają nadrzędnego charakteru wobec prawnie uzasadnionego interesu administratora lub strony trzeciej, to Trybunał orzekł, że wiąże się ona z wyważeniem rozpatrywanych przeciwstawnych praw i interesów, co jest co do zasady uzależnione od konkretnych okoliczności danego przypadku, w związku z czym dokonanie tego wyważenia, z uwzględnieniem owych szczególnych okoliczności, należy do sądu odsyłającego. Jak wynika z motywu 47 RODO, interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się takiego przetwarzania.

Wyrok TSUE z dnia 9 stycznia 2025 r., C-394/23

Standard: 86073 (pełna treść orzeczenia)

W art. 6 ust. 1 akapit pierwszy lit. f) RODO określono trzy kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie, po pierwsze, realizację prawnie uzasadnionych interesów przez administratora danych lub osobę trzecią, po drugie, konieczność przetwarzania danych osobowych dla potrzeb wynikających z tych prawnie uzasadnionych interesów, oraz po trzecie, przesłankę, aby interesy lub podstawowe prawa i wolności osoby objętej ochroną danych nie miały pierwszeństwa przed prawnie uzasadnionymi interesami administratora lub osoby trzeciej [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in., C-252/21].

Co się tyczy, po pierwsze, przesłanki związanej z realizacją „prawnie uzasadnionego interesu”, należy podkreślić, że w braku definicji tego pojęcia w RODO, jak orzekł już Trybunał, za zgodny z prawem można co do zasady uznać szeroki wachlarz interesów [zob. podobnie wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C-26/22 i C-64/22].

Jak wynika z motywu 47 RODO, który dotyczy pojęcia „prawnie uzasadnionego interesu”, prawodawca Unii nie wymagał, by interes realizowany przez administratora danych był przewidziany ustawą po to, aby przetwarzanie danych osobowych przez tego administratora było prawnie uzasadnione w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia. Stwierdzenie to jest tym bardziej prawdziwe, że w ramach prawnie uzasadnionych interesów, które mogą być realizowane przez administratora danych, motyw ten przytacza tytułem przykładu cele marketingu bezpośredniego w ogólności.

O ile pojęcie „prawnie uzasadnionego interesu” w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO nie ogranicza się do interesów usankcjonowanych i określonych ustawowo, o tyle wymaga ono, aby podnoszony prawnie uzasadniony interes był zgodny z prawem.

Zgodnie z art. 13 ust. 1 lit. d) RODO administrator podczas pozyskiwania danych osobowych od osoby, której dane dotyczą, winien poinformować ją, jeżeli to przetwarzanie odbywa się na podstawie art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia, o realizowanych prawnie uzasadnionych interesach [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in., C‑252/21]

Jeżeli chodzi o przesłankę, zgodnie z którą przetwarzanie danych osobowych musi być niezbędne do realizacji prawnie uzasadnionego interesu, wiąże się ona ze spoczywającym na sądzie odsyłającym obowiązkiem zweryfikowania, czy tego prawnie uzasadnionego interesu w przetwarzaniu danych nie można, racjonalnie rzecz biorąc, zrealizować w równie skuteczny sposób za pomocą innych środków, w mniejszym stopniu naruszających podstawowe prawa i wolności osób, których te dane dotyczą, w szczególności zagwarantowane w art. 7 i 8 Karty prawa do poszanowania życia prywatnego i do ochrony danych osobowych [wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding, C-26/22 i C-64/22].

Przesłankę, zgodnie z którą przetwarzanie musi być niezbędne, należy badać łącznie z zasadą tzw. minimalizacji danych, ustanowioną w art. 5 ust. 1 lit. c) RODO, zgodnie z którą dane osobowe muszą być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane” [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in., C‑252/21].

Co się tyczy, po trzecie, przesłanki, zgodnie z którą interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, nie mają pierwszeństwa przed prawnie uzasadnionym interesem administratora danych lub osoby trzeciej, Trybunał orzekł już, że wiąże się ona z wyważeniem rozpatrywanych przeciwstawnych praw i interesów, co jest co do zasady uzależnione od konkretnych okoliczności danego przypadku, w związku z czym dokonanie tego wyważenia, z uwzględnieniem tych szczególnych okoliczności, należy do sądu odsyłającego [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in., C‑252/21].

Ponadto motyw 47 RODO wskazuje, że interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mogą, racjonalnie rzecz biorąc, spodziewać się takiego przetwarzania [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in., C‑252/21]

Wyrok TSUE z dnia 4 października 2024 r., C-621/22

Standard: 83972 (pełna treść orzeczenia)