WYROK TRYBUNAŁU 12.01.2023 - C-154/21 | RW przeciwko Österreichische Post AG

Adwokat Niemcy Zakres usług prawo rodzinne Andreas Martin Kontakt

WYROK TRYBUNAŁU z dnia 12 stycznia 2023 r.

w sprawie C‑154/21

RW przeciwko Österreichische Post AG

tagi

Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 15 ust. 1 lit. c) – Prawo dostępu danej osoby do własnych danych – Informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione – Ograniczenia

W przedmiocie pytania prejudycjalnego

Poprzez swoje pytanie prejudycjalne sąd odsyłający dąży w istocie do ustalenia, czy art. 15 ust. 1 lit. c) RODO należy interpretować w ten sposób, że przewidziane w tym przepisie prawo dostępu osoby, której dane dotyczą, do dotyczących jej danych osobowych, oznacza, w przypadku gdy dane te zostały lub zostaną ujawnione odbiorcom, że na administratorze danych ciąży obowiązek podania tej osobie konkretnej tożsamości tych odbiorców.

36 W trzeciej kolejności należy zauważyć, jak podkreślił rzecznik generalny w pkt 21 opinii, że w przeciwieństwie do art. 13 i 14 RODO, które ustanawiają ciążący na administratorze danych obowiązek przekazania osobie, której dane dotyczą, informacji dotyczących kategorii odbiorców lub konkretnych odbiorców dotyczących jej danych osobowych, gdy dane te pozyskano od osoby, której dane dotyczą, względnie nie od tej osoby, art. 15 RODO przewiduje rzeczywiste prawo dostępu na rzecz osoby, której dane dotyczą, w taki sposób, aby miała ona możliwość wyboru i uzyskania albo informacji dotyczących konkretnych odbiorców, którym dane zostały lub zostaną ujawnione, jeżeli jest to możliwe, albo informacji dotyczących kategorii odbiorców.

37 W czwartej kolejności – Trybunał orzekł już, że korzystanie z tego prawa dostępu powinno pozwolić osobie, której dane dotyczą, na sprawdzenie nie tylko, czy dotyczące jej dane są prawidłowe, ale także czy są przetwarzane zgodnie z prawem (zob. analogicznie wyroki: z dnia 17 lipca 2014 r., YS i in., C‑141/12 i C‑372/12, EU:C:2014:2081, pkt 44; a także z dnia 20 grudnia 2017 r., Nowak, C‑434/16, EU:C:2017:994, pkt 57), a w szczególności czy zostały one ujawnione upoważnionym odbiorcom (zob. analogicznie wyrok z dnia 7 maja 2009 r., Rijkeboer, C‑553/07, EU:C:2009:293, pkt 49).

38 W szczególności to prawo dostępu jest niezbędne, aby umożliwić osobie, której dane dotyczą, skorzystanie w razie potrzeby z jej prawa do sprostowania, prawa do usunięcia danych („prawa do bycia zapomnianym”) lub prawa do ograniczenia przetwarzania, które zostały jej przyznane, odpowiednio, w art. 16, 17 i 18 RODO (zob. analogicznie wyroki: z dnia 17 lipca 2014 r., YS i in., C‑141/12 i C‑372/12, EU:C:2014:2081, pkt 44; a także z dnia 20 grudnia 2017 r., Nowak, C‑434/16, EU:C:2017:994, pkt 57), a także z przewidzianego w art. 21 RODO prawa sprzeciwu wobec przetwarzania jej danych osobowych oraz przewidzianego w art. 79 i 82 RODO prawa do korzystania ze środków prawych w razie poniesienia szkody (zob. analogicznie wyrok z dnia 7 maja 2009 r., Rijkeboer, C‑553/07, EU:C:2009:293, pkt 52).

39 ** Zatem w celu zagwarantowania skuteczności wszystkich wymienionych w poprzednim punkcie niniejszego wyroku praw osoby, której dane dotyczą, powinna ona posiadać w szczególności prawo do informacji o tożsamości konkretnych odbiorców, w przypadku gdy jej dane osobowe zostały już ujawnione.**

40 W piątej i ostatniej kolejności – taką wykładnię potwierdza brzmienie art. 19 RODO, który przewiduje w zdaniu pierwszym, że administrator danych co do zasady informuje każdego odbiorcę, któremu dane osobowe zostały ujawnione, o każdym sprostowaniu lub usunięciu danych osobowych lub o jakimkolwiek ograniczeniu przetwarzania, a w zdaniu drugim – że administrator ten informuje osobę, której dane dotyczą, o tych odbiorcach, jeśli osoba ta tego zażąda.

41 Artykuł 19 zdanie drugie RODO wyraźnie przyznaje osobie, której dane dotyczą, prawo do bycia informowaną o konkretnych odbiorcach dotyczących jej danych przez administratora danych w ramach ciążącego na tym ostatnim obowiązku informowania wszystkich odbiorców o wykonywaniu praw przysługujących tej osobie na podstawie art. 16, art. 17 ust. 1 i art. 18 RODO.

42 Z powyższej analizy kontekstowej wynika, że art. 15 ust. 1 lit. c) RODO stanowi jeden z przepisów mających gwarantować przejrzystość sposobów przetwarzania danych osobowych względem osoby, której dane dotyczą, i umożliwia tej osobie, jak wskazał rzecznik generalny w pkt 33 opinii, wykonywanie uprawnień przewidzianych w szczególności w art. 16–19, 21, 79 i 82 RODO.

43 W związku z tym należy uznać, że informacje przekazane osobie, której dane dotyczą, na podstawie prawa dostępu przewidzianego w art. 15 ust. 1 lit. c) RODO powinny być możliwie najbardziej dokładne. W szczególności owo prawo dostępu oznacza, że osoba, której dane dotyczą, może uzyskać od administratora danych informacje o konkretnych odbiorcach, którym dane te zostały ujawnione, lub, alternatywnie, zdecydować się na ograniczenie się do zażądania informacji dotyczących kategorii odbiorców.

44 Wreszcie, co się tyczy celu, do którego dąży RODO, należy zauważyć, że rozporządzenie to dąży w szczególności, jak wynika z jego motywu 10, do zapewnienia wysokiego poziomu ochrony osób fizycznych w Unii (wyrok z dnia 6 października 2020 r., La Quadrature du Net i in., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, pkt 207). W tym względzie, jak zauważył w istocie rzecznik generalny w pkt 14 opinii, ogólne ramy prawne stworzone przez RODO wprowadzają w życie wymogi wynikające z prawa podstawowego do ochrony danych osobowych chronionego przez art. 8 Karty praw podstawowych Unii Europejskiej, a w szczególności wymogi wyraźnie przewidziane w ust. 2 tego artykułu (zob. podobnie wyrok z dnia 9 marca 2017 r., Manni, C‑398/15, EU:C:2017:197, pkt 40).

45 Cel ten potwierdza wykładnię art. 15 ust. 1 RODO przedstawioną w pkt 43 niniejszego wyroku.

46 W związku z tym z celu, do którego dąży RODO, wynika również, że osoba, której dane dotyczą, ma prawo do uzyskania od administratora danych informacji o konkretnych odbiorcach, którym zostały lub zostaną ujawnione dotyczące jej dane osobowe.

47 Należy wreszcie przy tym podkreślić, że jak wynika z motywu 4 RODO, prawo do ochrony danych osobowych nie jest jednak prawem bezwzględnym. Prawo to należy bowiem postrzegać w świetle jego funkcji społecznej i wyważyć z innymi prawami podstawowymi, zgodnie z zasadą proporcjonalności, jak Trybunał zasadniczo potwierdził w pkt 172 wyroku z dnia 16 lipca 2020 r., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559).

48 W związku z tym można przyjąć, że w szczególnych okolicznościach nie jest możliwe dostarczenie informacji dotyczących konkretnych odbiorców. W związku z tym prawo dostępu może być ograniczone do informacji o kategoriach odbiorców, jeżeli nie jest możliwe podanie do wiadomości tożsamości konkretnych odbiorców, w szczególności gdy nie są oni jeszcze znane.

49 Ponadto należy przypomnieć, że zgodnie z art. 12 ust. 5 lit. b) RODO administrator danych może, zgodnie z zasadą odpowiedzialności określoną w art. 5 ust. 2 tego rozporządzenia oraz w jego motywie 74, odmówić uwzględnienia wniosków osoby, której dotyczą dane, jeżeli wnioski te są ewidentnie nieuzasadnione lub nadmierne, przy czym na tym samym administratorze danych spoczywa obowiązek wykazania, że rzeczone wnioski mają ewidentnie nieuzasadniony lub nadmierny charakter.

50 W niniejszej sprawie z wniosku o wydanie orzeczenia w trybie prejudycjalnym wynika, że Österreichische Post oddaliła złożony przez RW na podstawie art. 15 ust. 1 RODO wniosek, w którym zażądał on, aby Österreichische Post podała mu tożsamość odbiorców, którym ujawniła dotyczące go dane osobowe. Do sądu odsyłającego będzie należało zbadanie, czy, w okolicznościach rozpatrywanych w postępowaniu głównym, Österreichische Post wykazała, że wniosek ten miał ewidentnie nieuzasadniony lub nadmierny charakter.

51 Mając na względzie całość powyższych rozważań, na pytanie prejudycjalne należy odpowiedzieć następująco: art. 15 ust. 1 lit. c) RODO należy interpretować w ten sposób, że przewidziane w tym przepisie prawo dostępu osoby, której dane dotyczą, do dotyczących jej danych osobowych oznacza, w przypadku gdy dane te zostały lub zostaną ujawnione odbiorcom, że na administratorze danych ciąży obowiązek podania tej osobie dokładnej tożsamości tych odbiorców, chyba że nie jest możliwe zidentyfikowanie tych odbiorców lub tenże administrator danych wykaże, że wnioski o uzyskanie dostępu złożone przez osobę, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne w rozumieniu art. 12 ust. 5 RODO, w których to przypadkach administrator ten może wskazać tej osobie wyłącznie kategorie odnośnych odbiorców.

prawnik niemiecki w Berlinie – Rechtsanwalt Andreas Martin