Określenie podstawy przetwarzania, o którym mowa w ust. 1 lit. c) i e) (art. 6 ust. 3 RODO)

W art. 6 ust. 3 RODO uściślono, że podstawa przetwarzania musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator danych, i że ta podstawa prawna powinna służyć realizacji celu leżącego w interesie publicznym oraz być proporcjonalna do zamierzonego prawnie uzasadnionego celu [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in., C-252/21].

Jak stanowi motyw 41 tego rozporządzenia, w przypadku gdy w rozporządzeniu tym jest mowa o podstawie prawnej lub akcie prawnym, niekoniecznie wymaga to przyjęcia aktu prawnego przez parlament, z zastrzeżeniem wymogów wynikających z porządku konstytucyjnego danego państwa członkowskiego. Taka podstawa prawna lub taki akt prawny powinny być jasne i precyzyjne, a ich zastosowanie przewidywalne dla osób im podlegających – jak wymaga tego orzecznictwo Trybunału i Europejskiego Trybunału Praw Człowieka.

Nie można wykluczyć, iż „prawo państwa członkowskiego, któremu podlega administrator” w rozumieniu art. 6 ust. 3 lit. b) RODO, obejmuje również orzecznictwo krajowe. Jednak zgodnie z orzecznictwem Trybunału, jak wynika z motywu 41 tego rozporządzenia, wymaga się, aby takie orzecznictwo było jasne i precyzyjne, a jego zastosowanie przewidywalne dla osób mu podlegających. Jest także niezbędne, by orzecznictwo to stanowiło podstawę prawną służącą realizacji celu leżącego w interesie publicznym, by było ono proporcjonalne do tego celu i by rozpatrywane przetwarzanie dokonywane było w granicach tego, co jest absolutnie niezbędne, czego zweryfikowanie należy do sądu odsyłającego [zob. podobnie wyrok z dnia 4 lipca 2023 r., Meta Platforms i in., C-252/21].

Wyrok TSUE z dnia 12 września 2024 r., C-17/22

Standard: 83984 (pełna treść orzeczenia)

Łącznie interpretowane przepisy art. 6 ust. 1 lit. e) RODO w związku z art. 6 ust. 3 tego rozporządzenia wymagają istnienia podstawy prawnej, w szczególności w prawie krajowym, w oparciu o którą dokonuje się przetwarzania danych osobowych przez administratorów działających w ramach wykonywania zadania realizowanego w interesie publicznym lub zadania w ramach sprawowania władzy publicznej, takich jak wykonywane przez sądy w ramach ich funkcji sądowniczych.

Wyrok TSUE z dnia 2 marca 2023 r., C-268/21

Standard: 84060 (pełna treść orzeczenia)