W wyroku z dnia 28 kwietnia 2022 r., sygn. C-319/20, TSUE orzekł, że na podstawie art. 80 ust. 2 RODO państwa członkowskie mogą wprowadzić do prawa krajowego przepisy, które uprawniają organizację konsumencką do wnoszenia do sądu powództwa przeciwko sprawcy naruszenia przepisów o ochronie danych osobowych. Odnosi się to do naruszenia zakazu stosowania nieuczciwych praktyk handlowych. Dotyczy to również naruszenia przepisów o ochronie konsumentów lub zakazu stosowania nieważnych ogólnych warunków handlowych. Przywołane także w przypadku braku udzielonego w tym celu upoważnienia organizacji. Dodatkowo niezależnie od naruszenia konkretnych praw osób, których dane dotyczą.
Skarga na naruszenie ochrony danych osobowych
Sporne zagadnienie dotyczyło interpretacji art. 80 RODO. Zgodnie z ust. 1, można umocować organizację non-profit (np. konsumencką) do wniesienia w swoim imieniu skargi na naruszenie ochrony danych osobowych. Ponadto można domagać się odszkodowania, jeżeli przewiduje to prawo państwa członkowskiego. Z kolei ust. 2 stanowi, że państwa członkowskie mogą przewidzieć, że niezależnie od otrzymanego upoważnienia ww. podmioty non-profit działające w dziedzinie ochrony praw i wolności osób, których dane dotyczą, w związku z ochroną ich danych osobowych mogą wnieść skargę na naruszenie ochrony danych osobowych. Powinny to zrobić w sytuacji, jeżeli uznają, że w wyniku przetwarzania naruszono ich prawa wynikające z RODO. To właśnie ten przepis wymagał interpretacji.
Argumentacja TSUE:
- naruszenia przepisów mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk handlowych mogą być powiązane z naruszeniem przepisów w dziedzinie ochrony danych osobowych tych konsumentów;
- upoważnienie organizacji konsumenckich do wnoszenia powództw o zaniechanie przetwarzania danych sprzecznych z RODO przyczynia się do wzmocnienia praw osób, których dane dotyczą i do zapewnienia im wysokiego poziomu ochrony;
- wniesienie takiego powództwa przedstawicielskiego mogłoby okazać się bardziej skuteczne niż skarga, jaką pojedyncza osoba, której dotyczy indywidualnie i konkretnie naruszenie jej prawa do ochrony danych osobowych, może wnieść przeciwko sprawcy tego naruszenia;
- przepisy dyrektywy 2020/1828 w sprawie powództw przedstawicielskich wytaczanych w celu ochrony zbiorowych interesów konsumentów wskazują jednoznacznie, że sprawy wszczynane przez organizacje pozarządowe w interesie konsumentów mogą dotyczyć także RODO, choć nie minął jeszcze termin implementacji ww. dyrektywy.
W związku z tym, że decyzja należy do prawodawcy krajowego to w świetle polskich uregulowań takie powództwo nie jest możliwe. Art. 61 ustawy o ochronie danych osobowych nie przewiduje wnoszenia przez organizacje pozarządowe samodzielnych pozwów za naruszenia związane z RODO. Reprezentacja przez taką organizację jest możliwa za zgodą osoby, której dane dotyczą tylko w postępowaniu przed prezesem UODO. Prawo takie zostanie przyznane organizacjom w celu ochrony zbiorowych interesów konsumentów po wdrożeniu przez Polskę Dyrektywy 2020/1828.