Powództwo przedstawicielskie przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych (art. 80 ust. 2 RODO)

Art. 80 ust. 2 RODO zapewnia państwom członkowskim możliwość ustanowienia mechanizmu powództwa przedstawicielskiego przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych, określając jednocześnie szereg wymogów w kwestii podmiotowego i przedmiotowego zakresu stosowania, których należy w tym celu przestrzegać (wyrok z dnia 28 kwietnia 2022 r., Meta Platforms Ireland, C-319/20).

Co się tyczy podmiotowego zakresu stosowania takiego mechanizmu, legitymacja procesowa przysługuje podmiotowi, organizacji lub zrzeszeniu spełniającym kryteria wymienione w art. 80 ust. 1 RODO. W szczególności, stowarzyszenie ochrony interesów konsumentów, takie jak związek organizacji konsumenckich, może wchodzić w zakres tego pojęcia, ponieważ realizuje ono leżący w interesie publicznym cel polegający na zapewnieniu praw i wolności osób, których dane dotyczą, a które występują w charakterze konsumentów, jeżeli realizacja takiego celu może być związana z ochroną danych osobowych tych osób (wyrok z dnia 28 kwietnia 2022 r., Meta Platforms Ireland, C-319/20).

Co się tyczy przedmiotowego zakresu stosowania wspomnianego mechanizmu, wniesienie przewidzianego w art. 80 ust. 2 RODO powództwa przedstawicielskiego przez podmiot spełniający przesłanki wymienione w art. 80 ust. 1 RODO zakłada, że ów podmiot niezależnie od jakiegokolwiek udzielonego mu pełnomocnictwa „uznaj[e], że w wyniku przetwarzania [danych osobowych] naruszone zostały prawa osoby, której dane dotyczą, wynikające z [tego] rozporządzenia” (wyrok z dnia 28 kwietnia 2022 r., Meta Platforms Ireland, C-319/20).

Wniesienie powództwa przedstawicielskiego nie jest w szczególności uzależnione od istnienia „konkretnego naruszenia” praw przysługujących danej osobie na podstawie przepisów o ochronie danych osobowych, z takim skutkiem, że w celu uznania służącej takiemu podmiotowi legitymacji procesowej, wystarczy podnieść, że rozpatrywane przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z tego rozporządzenia, bez konieczności udowadniania rzeczywistej szkody poniesionej w określonej sytuacji wskutek naruszenia jej praw przez konkretną osobę, której dane dotyczą (wyrok z dnia 28 kwietnia 2022 r., Meta Platforms Ireland, C-319/20).

Wniesienie powództwa przedstawicielskiego zakłada jedynie, że podmiot, o którym mowa w tym przepisie, „uznaje”, iż przewidziane w tym rozporządzeniu prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania jej danych osobowych, a zatem twierdzi on, że doszło do przetwarzania danych sprzecznego z przepisami wspomnianego rozporządzenia (zob. podobnie wyrok z dnia 28 kwietnia 2022 r., Meta Platforms Ireland, C-319/20).

Przetwarzanie nie może mieć charakteru czysto hipotetycznego. Jak wynika z brzmienia art. 80 ust. 2 RODO, wytoczenie powództwa przedstawicielskiego na podstawie tego przepisu oznacza, że naruszenie praw, jakie osoba, której dane dotyczą, wywodzi z tego rozporządzenia, ma miejsce w związku z przetwarzaniem danych osobowych.

Wyrok TSUE z dnia 11 lipca 2024 r., C-757/22

Standard: 83988 (pełna treść orzeczenia)

Artykuł 80 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 należy interpretować w ten sposób, że nie sprzeciwia się on uregulowaniu krajowemu, które zezwala stowarzyszeniu ochrony interesów konsumentów na wniesienie do sądu powództwa – w braku udzielonego mu w tym celu upoważnienia i niezależnie od naruszenia konkretnych praw osób, których dane dotyczą – przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych z powodu naruszenia zakazu stosowania nieuczciwych praktyk handlowych, naruszenia przepisów o ochronie konsumentów lub zakazu stosowania nieważnych ogólnych warunków handlowych, jeżeli odnośne przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z tego rozporządzenia.

Art. 80 ust. 2 RODO pozostawia państwom członkowskim zakres uznania w odniesieniu do jego wprowadzenia w życie. Tak więc aby można było wnieść bez upoważnienia przewidziane w tym przepisie powództwo przedstawicielskie w dziedzinie ochrony danych osobowych, państwa członkowskie powinny skorzystać z przyznanego im przez ten przepis uprawnienia do ustanowienia w ich prawie krajowym takiego sposobu reprezentowania osób, których dane dotyczą.

W sytuacji gdy państwa członkowskie korzystają z przyznanego im w takiej klauzuli upoważniającej uprawnienia, powinny one korzystać z przysługującego im zakresu uznania na warunkach i w granicach przewidzianych w przepisach RODO, wobec czego powinny stanowić prawo w taki sposób, aby nie naruszać treści ani celów tego rozporządzenia.

art. 80 ust. 2 RODO zapewnia państwom członkowskim możliwość ustanowienia mechanizmu powództwa przedstawicielskiego przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych, określając jednocześnie szereg wymogów w kwestii podmiotowego i przedmiotowego zakresu stosowania, których należy w tym celu przestrzegać.

Co się tyczy podmiotowego zakresu stosowania takiego mechanizmu, legitymacja procesowa czynna przysługuje podmiotowi, organizacji lub zrzeszeniu spełniającym kryteria wymienione w art. 80 ust. 1 RODO. W szczególności ów przepis wspomina „podmiot, organizację lub zrzeszenie – które nie mają charakteru zarobkowego, zostały należycie ustanowione zgodnie z prawem państwa członkowskiego, mają cele statutowe leżące w interesie publicznym i działają w dziedzinie ochrony praw i wolności osób, których dane dotyczą, w związku z ochroną ich danych osobowych”.

Stowarzyszenie ochrony interesów konsumentów, takie jak związek organizacji konsumenckich, może wchodzić w zakres tego pojęcia, ponieważ realizuje ono leżący w interesie publicznym cel polegający na zapewnieniu praw i wolności osób, których dane dotyczą, a które występują w charakterze konsumentów, jeżeli realizacja takiego celu może być związana z ochroną danych osobowych tych osób.

Naruszenie przepisów mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk handlowych – naruszenie, któremu stowarzyszenie ochrony interesów konsumentów, takie jak związek organizacji konsumenckich, ma zapobiegać i za popełnienie którego ma doprowadzić do wymierzenia kary, w szczególności w drodze powództw o zaniechanie przewidzianych w obowiązujących przepisach krajowych – może być bowiem powiązane, tak jak w niniejszej sprawie, z naruszeniem przepisów w dziedzinie ochrony danych osobowych tych konsumentów.

Wniesienie przewidzianego w art. 80 ust. 2 RODO powództwa przedstawicielskiego przez podmiot spełniający przesłanki wymienione w ust. 1 tego artykułu zakłada, że ów podmiot niezależnie od jakiegokolwiek udzielonego mu upoważnienia „uznaj[e], że w wyniku przetwarzania [danych osobowych] naruszone zostały prawa osoby, której dane dotyczą, wynikające z [tego] rozporządzenia”.

Do celów wniesienia powództwa przedstawicielskiego w rozumieniu art. 80 ust. 2 RODO nie można wymagać od takiego podmiotu, aby uprzednio zidentyfikował indywidualnie osobę, której konkretnie dotyczy przetwarzanie danych, które ma być sprzeczne z przepisami RODO.

Zgodnie z art. 80 ust. 2 RODO wniesienie powództwa przedstawicielskiego nie jest też uzależnione od istnienia konkretnego naruszenia praw przysługujących danej osobie na podstawie przepisów o ochronie danych. Wniesienie powództwa przedstawicielskiego zakłada jedynie, że dany podmiot „uznaje”, iż przewidziane w tym rozporządzeniu prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania jej danych osobowych, a zatem twierdzi on, że doszło do przetwarzania danych sprzecznego z przepisami owego rozporządzenia.

Wynika stąd, że aby uznać, iż na podstawie wspomnianego przepisu takiemu podmiotowi przysługuje legitymacja procesowa czynna, wystarczy podnieść, że odnośne przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z rzeczonego rozporządzenia, bez konieczności udowadniania rzeczywistej szkody poniesionej w określonej sytuacji przez osobę, której dane dotyczą, wskutek naruszenia jej praw.

Upoważnienie stowarzyszeń ochrony interesów konsumentów, takich jak związek organizacji konsumenckich, do wnoszenia – w ramach mechanizmu powództwa przedstawicielskiego – powództw o zaniechanie przetwarzania danych sprzecznego z przepisami tego rozporządzenia niezależnie od naruszenia praw osoby, której owo naruszenie dotyczy indywidualnie i konkretnie, niewątpliwie przyczynia się do wzmocnienia praw osób, których dane dotyczą, i do zapewnienia im wysokiego poziomu ochrony.

Wniesienie takiego powództwa przedstawicielskiego – w zakresie, w jakim pozwala ono zapobiec licznym naruszeniom praw osób, których dotyczy przetwarzanie ich danych osobowych – mogłoby okazać się bardziej skuteczne niż skarga, jaką pojedyncza osoba, której dotyczy indywidualnie i konkretnie naruszenie jej prawa do ochrony jej danych osobowych, może wnieść przeciwko sprawcy tego naruszenia.

Naruszenie przepisu dotyczącego ochrony danych osobowych może jednocześnie prowadzić do naruszenia przepisów odnoszących się do ochrony konsumentów lub do nieuczciwych praktyk handlowych. W związku z tym, art. 80 ust. 2 RODO nie sprzeciwia się temu, by państwa członkowskie skorzystały z uprawnienia przysługującego im na podstawie tego przepisu, w związku z czym stowarzyszenia ochrony interesów konsumentów będą uprawnione do wnoszenia powództw w razie naruszeń przewidzianych w RODO praw na podstawie, stosownie do okoliczności, przepisów mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk handlowych, takich jak przepisy przewidziane w dyrektywie 2005/29 i w dyrektywie 2009/22.

Wyrok TSUE z dnia 28 kwietnia 2022 r., C-319/20

Standard: 83996 (pełna treść orzeczenia)