Wyłączenie zastosowania RODO do przetwarzania danych osobowych w ramach działalności nieobjętej zakresem prawa Unii (art. 2 ust. 2 lit. a) RODO)

Art. 2 ust. 2 lit. a) RODO, rozpatrywany w związku z motywem 16 tego rozporządzenia, należy interpretować w ten sposób, że działalności komisji śledczej powołanej przez parlament państwa członkowskiego w ramach wykonywania jego uprawnień z zakresu kontroli władzy wykonawczej, której przedmiotem jest przeprowadzenie dochodzenia w sprawie działań policyjnego organu ochrony państwa ze względu na podejrzenie wywierania nacisków politycznych na ten organ, nie można jako takiej uznać za działalność dotyczącą bezpieczeństwa narodowego, która sytuuje się poza zakresem stosowania prawa Unii w rozumieniu tego przepisu.

Ograniczenie zakresu stosowania RODO przewidziane w art. 2 ust. 2 lit. a) tego rozporządzenia odnosi się wyłącznie do kategorii działań, które ze względu na swój charakter nie są objęte zakresem stosowania prawa Unii, a nie do kategorii osób w zależności od ich prywatnego lub publicznego charakteru ani – w sytuacji gdy administratorem danych jest organ publiczny – do okoliczności, że zadania i funkcje tego organu są bezpośrednio i wyłącznie związane z daną prerogatywą władzy publicznej, przy czym prerogatywa ta nie jest związana z działalnością sytuującą się w każdym wypadku poza zakresem stosowania prawa Unii. W związku z tym sama okoliczność, że przetwarzanie danych osobowych jest dokonywane przez komisję śledczą powołaną przez parlament państwa członkowskiego w ramach wykonywania przez niego uprawnień z zakresu kontroli władzy wykonawczej, nie pozwala na ustalenie, że przetwarzanie to jest dokonywane w ramach działalności nieobjętej zakresem prawa Unii w rozumieniu art. 2 ust. 2 lit. a) RODO.

Jedynym celem art. 2 ust. 2 lit. a) RODO, rozpatrywanego w związku z motywem 16 tego rozporządzenia, jest wyłączenie z zakresu stosowania tego rozporządzenia przetwarzania danych osobowych dokonywanego przez organy państwowe w ramach działalności mającej na celu ochronę bezpieczeństwa narodowego lub działalności, która może zostać zaliczona do tej kategorii, wobec czego sam fakt, iż dana działalność jest właściwa państwu lub organowi publicznemu, nie wystarcza, aby wyjątek ten mógł być automatycznie stosowany do takiej działalności [wyroki: z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima, C‑439/19; z dnia 20 października 2022 r., Koalitsia „Demokratichna Bulgaria – Obedinenie”, C-306/21).

Działalność, której celem jest ochrona bezpieczeństwa narodowego w rozumieniu art. 2 ust. 2 lit. a) RODO, obejmuje w szczególności działalność mającą na celu ochronę podstawowych funkcji państwa i podstawowych interesów społeczeństwa [wyroki: z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima, C-439/19; z dnia 20 października 2022 r., Koalitsia „Demokratichna Bulgaria – Obedinenie”, C-306/21).

Zgodnie z art. 4 ust. 2 TUE działania takie pozostają w zakresie wyłącznej odpowiedzialności państw członkowskich (zob. podobnie wyrok z dnia 15 lipca 2021 r., Ministrstvo za obrambo, C‑742/19).

Chociaż zgodnie z art. 4 ust. 2 TUE to do państw członkowskich należy określenie ich podstawowych interesów bezpieczeństwa i podjęcie środków zmierzających do zagwarantowania bezpieczeństwa zewnętrznego i wewnętrznego, sama okoliczność, że środek krajowy został podjęty w celu ochrony bezpieczeństwa narodowego, nie powoduje, że prawo Unii nie znajduje zastosowania i nie zwalnia państw członkowskich z konieczności przestrzegania tego prawa (zob. podobnie wyrok z dnia 15 lipca 2021 r., Ministrstvo za obrambo, C-742/19).

Wyjątek przewidziany w art. 2 ust. 2 lit. a) RODO odnosi się wyłącznie do kategorii działań, które ze względu na swój charakter nie są objęte zakresem stosowania prawa Unii, a nie do kategorii osób, w zależności od ich prywatnego lub publicznego charakteru, ani – w sytuacji gdy administratorem danych jest organ publiczny – do okoliczności, że zadania i funkcje tego organu są bezpośrednio i wyłącznie związane z daną prerogatywą władzy publicznej, przy czym prerogatywa ta nie jest związana z działalnością sytuującą się w każdym wypadku poza zakresem stosowania prawa Unii. W tym względzie sama okoliczność, że administrator danych jest organem publicznym, którego główna działalność polega na zapewnieniu ochrony bezpieczeństwa narodowego, nie wystarcza do wyłączenia z zakresu stosowania RODO przetwarzania danych osobowych dokonywanego przez ten organ w ramach innych prowadzonych przez niego czynności.

Parlamentarna komisja śledcza może w ramach swoich prac mieć dostęp do informacji, w szczególności do danych osobowych, które ze względów związanych z bezpieczeństwem narodowym powinny korzystać ze szczególnej ochrony, polegającej na przykład na ograniczeniu informacji, jakie należy przekazać osobom, których dane dotyczą, w odniesieniu do gromadzenia tych danych lub też ograniczeniu dostępu tych osób do wspomnianych danych.

W tym względzie art. 23 RODO stanowi, że obowiązki i prawa przewidziane w art. 5, 12–22 i 34 RODO mogą zostać ograniczone w drodze aktu prawnego w celu zapewnienia między innymi bezpieczeństwa narodowego lub funkcji kontrolnych związanych ze sprawowaniem władzy publicznej, w szczególności w przypadkach dotyczących bezpieczeństwa narodowego.

Wymóg dotyczący ochrony bezpieczeństwa narodowego może zatem uzasadniać ograniczenia, ustanawiane w drodze aktów prawnych, obowiązków i praw wynikających z RODO, w szczególności w odniesieniu do gromadzenia danych osobowych, informowania osób, których dane dotyczą, i ich dostępu do tych danych, a także ich ujawniania bez zgody osób, których dane dotyczą, osobom innym niż administrator danych, pod warunkiem że takie ograniczenia nie naruszają istoty podstawowych praw i wolności osób, których dane dotyczą, i są w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym.

Wyrok TSUE z dnia 16 stycznia 2024 r., C-33/22

Standard: 84082 (pełna treść orzeczenia)

W zakresie, w jakim wyjątek przewidziany w art. 2 ust. 2 lit. a) RODO powoduje niestosowanie systemu ochrony danych osobowych przewidzianego w tym rozporządzeniu i tym samym odbiega od celu leżącego u jego podstaw, polegającego na zapewnieniu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych, takich jak prawo do poszanowania życia prywatnego i rodzinnego oraz prawo do ochrony danych osobowych, zagwarantowanych w art. 7 i 8 karty praw podstawowych, wyjątek ten, podobnie jak inne wyjątki od takiego stosowania przewidziane we wspomnianym art. 2 ust. 2, powinien podlegać wykładni ścisłej [zob. podobnie wyroki: z dnia 14 lutego 2019 r., Buivids, C-345/17; a także z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima, C-439/19].

Art. 2 ust. 2 lit. a) RODO w świetle motywu 16 i art. 2 ust. 2 lit. b) tego rozporządzenia oraz art. 3 ust. 2 tiret pierwsze dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31 – wyd. spec. w jęz. polskim, rozdz. 13, t. 15, s. 355), w którego częściową kontynuację stanowi art. 2 ust. 2 lit. a) i b) wspomnianego rozporządzenia, należy uznać za mający jedynie na celu wyłączenie z zakresu stosowania RODO przetwarzania danych osobowych dokonywanego przez organy państwowe w ramach działalności związanej z ochroną bezpieczeństwa narodowego lub działalności, która może zostać zaliczona do tej samej kategorii, wobec czego sam fakt, iż dana działalność jest właściwa państwu lub organowi publicznemu, nie wystarcza, aby wyjątek ten mógł być automatycznie stosowany do takiej działalności [zob. podobnie wyroki: z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima, C-439/19; a także z dnia 20 października 2022 r., Koalitsia „Demokratichna Bulgaria – Obedinenie”, C-306/21].

Działalność, której celem jest ochrona bezpieczeństwa narodowego, a o której mowa w art. 2 ust. 2 lit. a) RODO, obejmuje w szczególności działalność mającą na celu ochronę podstawowych funkcji państwa i podstawowych interesów społeczeństwa [wyroki: z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C-439/19; z dnia 20 października 2022 r., Koalitsia „Demokratichna Bulgaria– Obedinenie”, C-306/21).

Wyrok TSUE z dnia 5 czerwca 2023 r., C-204/21

Standard: 84047 (pełna treść orzeczenia)