Kwestia winy w kontekście nałożenia administracyjnej kary pieniężnej (art. 83 RODO)

Art. 83 RODO nie zezwala na nałożenie administracyjnej kary pieniężnej za naruszenie, o którym mowa w jego ust. 4–6, bez wykazania, że naruszenie to zostało popełnione umyślnie lub nieumyślnie przez administratora, i że w związku z tym zawinione naruszenie stanowi przesłankę nałożenia takiej kary pieniężnej. Art. 83 RODO należy więc interpretować w ten sposób, że administracyjna kara pieniężna może zostać nałożona na podstawie tego przepisu wyłącznie wtedy, gdy zostanie wykazane, że administrator dopuścił się, umyślnie lub nieumyślnie, naruszenia, o którym mowa w ust. 4–6 tego artykułu

Art. 83 ust. 2 RODO należy odczytywać w związku z ust. 3 tego artykułu, którego celem jest uregulowanie konsekwencji kumulacji naruszeń tego rozporządzenia, zgodnie z którym „[j]eżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów niniejszego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie”.

Z brzmienia art. 83 ust. 2 RODO wynika zatem, że jedynie naruszenia przepisów tego rozporządzenia popełnione w sposób zawiniony przez administratora, czyli naruszenia popełnione umyślnie lub nieumyślnie mogą prowadzić do nałożenia na niego administracyjnej kary pieniężnej na podstawie tego artykułu.

Ze względu na swój skutek odstraszający administracyjne kary pieniężne przyczyniają się do wzmocnienia ochrony osób fizycznych w związku z przetwarzaniem danych osobowych, a zatem stanowią kluczowy element dla zagwarantowania poszanowania praw tych osób, zgodnie z celem tego rozporządzenia, jakim jest zapewnienie wysokiego poziomu ochrony takich osób w zakresie przetwarzania danych osobowych.

Jednakże prawodawca Unii nie uznał za konieczne, dążąc do zapewnienia tak wysokiego poziomu ochrony, by przewidzieć nakładanie administracyjnych kar pieniężnych nawet w przypadku braku winy. Biorąc pod uwagę fakt, że celem RODO jest osiągnięcie zarazem równoważnego i jednolitego poziomu ochrony oraz że w związku z tym należy je stosować w sposób spójny w całej Unii, byłoby sprzeczne z tymże celem umożliwienie państwom członkowskim ustanowienia takiego systemu nakładania kar pieniężnych na podstawie art. 83 tego rozporządzenia. Taka swoboda wyboru mogłaby ponadto zakłócić konkurencję między podmiotami gospodarczymi w Unii, co byłoby sprzeczne z celami wyrażonymi przez prawodawcę Unii, w szczególności w motywach 9 i 13 wspomnianego rozporządzenia.

Należy jeszcze wyjaśnić w odniesieniu do kwestii, czy naruszenie zostało popełnione umyślnie lub nieumyślnie i z tego względu może podlegać sankcji administracyjnej kary pieniężnej na podstawie art. 83 RODO, że administrator może zostać ukarany za zachowanie wchodzące w zakres stosowania RODO, jeżeli nie mógł nie wiedzieć, że jego zachowanie stanowi naruszenie, niezależnie od tego, czy miał świadomość naruszania przepisów RODO, czy też nie (zob. analogicznie wyroki: z dnia 18 czerwca 2013 r., Schenker & Co. i in., C-681/11; z dnia 25 marca 2021 r., Lundbeck/Komisja, C‑591/16; z dnia 25 marca 2021 r., Arrow Group i Arrow Generics/Komisja C-601/16).

W przypadku gdy administratorem jest osoba prawna, należy jeszcze uściślić, że stosowanie art. 83 RODO nie zakłada działania ani nawet wiedzy organu zarządzającego tej osoby prawnej (zob. analogicznie wyroki: z dnia 7 czerwca 1983 r., Musique Diffusion française i in./Komisja, od 100/80 do 103/80; a także z dnia 16 lutego 2017 r., Tudapetrol Mineralölerzeugnisse Nils Hansen/Komisja, C-94/15).

Wyrok TSUE z dnia 5 grudnia 2023 r., C-683/21

Standard: 84030 (pełna treść orzeczenia)

Administracyjna kara pieniężna może zostać nałożona na podstawie Art. 83 RODO  wyłącznie wtedy, gdy zostanie wykazane, że administrator, będący jednocześnie osobą prawną i przedsiębiorstwem, dopuścił się, umyślnie lub nieumyślnie, naruszenia, o którym mowa w ust. 4–6 tego artykułu.

art. 83 RODO nie pozwala na nałożenie administracyjnej kary pieniężnej za naruszenie, o którym mowa w jego ust. 4–6, bez wykazania, że naruszenie to zostało popełnione umyślnie lub nieumyślnie przez administratora i że w związku z tym zawinione naruszenie stanowi przesłankę nałożenia takiej kary pieniężnej.

Stosowanie art. 83 RODO nie wymaga działania ani nawet wiedzy organu zarządzającego osoby prawnej (zob. analogicznie wyroki: z dnia 7 czerwca 1983 r., Musique Diffusion française i in./Komisja, od 100/80 do 103/80; z dnia 16 lutego 2017 r., Tudapetrol Mineralölerzeugnisse Nils Hansen/Komisja, C-94/15).

Wyrok TSUE z dnia 5 grudnia 2023 r., C-807/21

Standard: 84037 (pełna treść orzeczenia)