Wydanie tymczasowe
OPINIA RZECZNIKA GENERALNEGO
JEANA RICHARDA DE LA TOURA
przedstawiona w dniu 25 stycznia 2024 r.(1)
Sprawa C‑757/22
Meta Platforms Ireland Limited
przeciwko
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy)]
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 12 ust. 1 zdanie pierwsze – Przejrzystość informacji – Artykuł 13 ust. 1 lit. c) i e) – Obowiązek informacyjny spoczywający na administratorze danych – Artykuł 80 ust. 2 – Reprezentowanie osób, których dane dotyczą, przez stowarzyszenie ochrony interesów konsumentów – Powództwo przedstawicielskie wytoczone w braku upoważnienia i niezależnie od naruszenia konkretnych praw osoby, której dane dotyczą – Powództwo, którego podstawą jest naruszenie spoczywającego na administratorze danych obowiązku informacyjnego – Pojęcie „naruszenia »w wyniku przetwarzania« praw osoby, której dane dotyczą”
I. Okoliczności powstania sporu, stan faktyczny w postępowaniu głównym i nowe pytanie prejudycjalne
1. W niniejszej sprawie Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy) ponownie zwrócił się z pytaniem prejudycjalnym dotyczącym wykładni art. 80 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)(2).
2. Zgodnie z tym przepisem państwa członkowskie mogą przewidzieć, że podmiot, organizacja lub zrzeszenie mają prawo – niezależnie od upoważnienia otrzymanego od osoby, której dane dotyczą – wnieść w tym państwie członkowskim skargę do organu nadzorczego zgodnie z art. 77 owego rozporządzenia oraz wykonać prawa, o których mowa w jego art. 78 i 79, jeżeli uznają, że przewidziane we wspomnianym rozporządzeniu prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania danych osobowych.
3. Wniosek o wydanie orzeczenia w trybie prejudycjalnym został złożony w ramach sporu pomiędzy spółką Meta Platforms Ireland Limited, dawniej Facebook Ireland Limited, z siedzibą w Irlandii, a Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (federalnym związkiem centrali i stowarzyszeń konsumenckich, Niemcy) (zwanym dalej „federalnym związkiem stowarzyszeń konsumenckich”) w przedmiocie domniemanego naruszenia przez Meta Platforms Ireland niemieckich przepisów o ochronie danych osobowych, stanowiącego jednocześnie nieuczciwą praktykę handlową, naruszenie ustawy o ochronie konsumentów oraz naruszenie zakazu stosowania nieważnych ogólnych warunków handlowych.
4. Jest to ten sam spór, który legł u podstaw sprawy zakończonej wyrokiem z dnia 28 kwietnia 2022 r., Meta Platforms Ireland(3), którego okoliczności faktyczne można streścić w podany niżej sposób(4).
5. Spółka Meta Platforms Ireland, która zarządza ofertą usług serwisu społecznościowego Facebook w Unii Europejskiej, jest administratorem danych osobowych użytkowników tego serwisu społecznościowego w Unii. Spółka Facebook Germany GmbH, mająca siedzibę w Niemczech, promuje pod adresem www.facebook.de sprzedaż przestrzeni reklamowych. Platforma internetowa Facebook obejmuje, między innymi pod adresem internetowym www.facebook.de, przestrzeń zwaną „App‑Zentrum” (centrum aplikacji), na której spółka Meta Platforms Ireland udostępnia użytkownikom bezpłatne gry dostawców będących osobami trzecimi. Przeglądając niektóre z tych gier dostępnych w centrum aplikacji, użytkownik widzi wyświetlającą się informację, że poprzez korzystanie z danej aplikacji zezwala spółce dostarczającej gry na uzyskanie pewnych danych osobowych i upoważnia ją do publikacji w jego imieniu pewnych informacji, takich jak uzyskane przez tego użytkownika w grze wyniki oraz inne informacje. Owo korzystanie z aplikacji wiąże się z zaakceptowaniem przez wspomnianego użytkownika jej ogólnych warunków oraz związanej z nią polityki w dziedzinie ochrony danych. Ponadto w przypadku jednej z gier pojawia się informacja, że użytkownik zezwala na publikowanie przez aplikację w jego imieniu swego statusu, zdjęć i innych informacji.
6. Federalny związek stowarzyszeń konsumenckich, podmiot posiadający legitymację procesową czynną na podstawie § 4 Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (ustawy o powództwach o zaniechanie naruszeń prawa konsumenckiego i innych naruszeń) z dnia 26 listopada 2001 r.(5), uważa, że podawane w przypadku odnośnych gier dostępnych w centrum aplikacji informacje są nieuczciwe, w szczególności dlatego, że nie spełniają one wymogów prawnych dotyczących uzyskania ważnej zgody użytkownika zgodnie z przepisami o ochronie danych. Ponadto zdaniem tego związku informacja, że użytkownik zezwala na publikowanie przez aplikację w jego imieniu pewnych dotyczących go informacji prywatnych, stanowi nadmiernie niekorzystny dla użytkownika ogólny warunek handlowy.
7. W tym kontekście federalny związek stowarzyszeń konsumenckich wniósł przeciwko spółce Meta Platforms Ireland do Landgericht Berlin (sądu krajowego w Berlinie, Niemcy) powództwo o zaniechanie na podstawie § 3a Gesetz gegen den unlauteren Wettbewerb (ustawy o zwalczaniu nieuczciwej konkurencji) z dnia 3 lipca 2004 r.(6), § 2 ust. 2 zdanie pierwsze pkt 11 ustawy o powództwach o zaniechanie oraz na podstawie Bürgerliches Gesetzbuch (kodeksu cywilnego). Powództwo to wniesiono niezależnie od konkretnego naruszenia prawa do ochrony danych osoby, której dane dotyczą, i bez upoważnienia od takiej osoby.
8. Landgericht Berlin (sąd krajowy w Berlinie) uwzględnił powództwo przeciwko spółce Meta Platforms Ireland, zgodnie z żądaniami federalnego związku stowarzyszeń konsumenckich. Kammergericht Berlin (wyższy sąd krajowy w Berlinie, Niemcy) oddalił apelację wniesioną przez spółkę Meta Platforms Ireland. W związku z tym spółka Meta Platforms Ireland wniosła do sądu odsyłającego skargę rewizyjną od wydanego przez sąd apelacyjny orzeczenia oddalającego apelację.
9. W ramach tej skargi sąd odsyłający uznał, że powództwo federalnego związku stowarzyszeń konsumenckich jest zasadne, ponieważ spółka Meta Platforms Ireland naruszyła § 3a ustawy o zwalczaniu nieuczciwej konkurencji, jak również § 2 ust. 2 zdanie pierwsze pkt 11 ustawy o powództwach o zaniechanie oraz zastosowała nieważny ogólny warunek handlowy w rozumieniu § 1 ustawy o powództwach o zaniechanie.
10. Sąd ten powziął jednak wątpliwości co do dopuszczalności powództwa federalnego związku stowarzyszeń konsumenckich. Sąd ten zastanawiał się w szczególności, czy legitymacja procesowa czynna związku organizacji konsumenckich może wynikać z art. 80 ust. 2 RODO. Z tego względu zwrócił się on do Trybunału z pytaniem prejudycjalnym w celu uzyskania wykładni tego przepisu.
11. W odpowiedzi na to pytanie Trybunał orzekł w wyroku Meta Platforms Ireland, że art. 80 ust. 2 RODO należy interpretować w ten sposób, że nie sprzeciwia się on uregulowaniu krajowemu, które zezwala stowarzyszeniu ochrony interesów konsumentów na wniesienie do sądu powództwa – w braku udzielonego mu w tym celu upoważnienia i niezależnie od naruszenia konkretnych praw osób, których dane dotyczą – przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych z powodu naruszenia zakazu stosowania nieuczciwych praktyk handlowych, naruszenia przepisów o ochronie konsumentów lub zakazu stosowania nieważnych ogólnych warunków handlowych, jeżeli odnośne przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z tego rozporządzenia(7).
12. Trybunał wyjaśnił zatem przedmiotowy zakres stosowania mechanizmu powództwa przedstawicielskiego przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych przewidzianego w art. 80 ust. 2 RODO.
13. W szczególności Trybunał orzekł, że do celów wniesienia takiego powództwa przedstawicielskiego nie można wymagać od podmiotu spełniającego przesłanki wymienione w art. 80 ust. 1 RODO, aby uprzednio zidentyfikował indywidualnie osobę, której konkretnie dotyczy przetwarzanie danych, które ma być sprzeczne z przepisami tego rozporządzenia(8). Dlatego wskazanie kategorii lub grupy osób, których dotyczy takie przetwarzanie, może być również wystarczające dla celów wniesienia takiego powództwa przedstawicielskiego(9).
14. Trybunał orzekł również, że zgodnie z art. 80 ust. 2 RODO wniesienie powództwa przedstawicielskiego nie jest też uzależnione od istnienia konkretnego naruszenia praw przysługujących danej osobie na podstawie przepisów o ochronie danych(10). Zdaniem Trybunału bowiem wniesienie powództwa przedstawicielskiego zakłada jedynie, że podmiot, o którym mowa w tym przepisie, „uznaje”, iż przewidziane w tym rozporządzeniu prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania jej danych osobowych, a zatem twierdzi on, że doszło do przetwarzania danych sprzecznego z przepisami wspomnianego rozporządzenia(11). Wynika stąd, że aby uznać, iż na podstawie art. 80 ust. 2 RODO takiemu podmiotowi przysługuje legitymacja procesowa czynna, wystarczy podnieść, że odnośne przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z tego rozporządzenia, bez konieczności udowadniania rzeczywistej szkody poniesionej w określonej sytuacji przez konkretną osobę, której dane dotyczą, wskutek naruszenia jej praw(12).
15. O ile sąd odsyłający uzyskał już od Trybunału wskazówki umożliwiające ustalenie, czy wniesione przez federalny związek stowarzyszeń konsumenckich powództwo o zaniechanie można uznać za dopuszczalne w świetle przesłanek przewidzianych w art. 80 ust. 2 RODO, o tyle uważa on, że należy jeszcze rozstrzygnąć wątpliwość co do wykładni tego przepisu, jaką należy przyjąć. Sąd ten podkreśla bowiem, że legitymacja procesowa czynna federalnego związku stowarzyszeń konsumenckich zależy od tego, czy – w rozumieniu wspomnianego przepisu – podmiot ten podnosi w swojej skardze, że wynikające z tego rozporządzenia prawa osoby, której dane dotyczą, zostały naruszone „w wyniku przetwarzania”.
16. Zdaniem sądu odsyłającego nie jest oczywiste, że ten wymóg dotyczący przedmiotowego zakresu stosowania art. 80 ust. 2 RODO jest spełniony w okolicznościach niniejszej sprawy.
17. Sąd ten wskazuje bowiem, że federalny związek stowarzyszeń konsumenckich podnosi na poparcie swojego powództwa naruszenie obowiązku informacyjnego przewidzianego w art. 12 ust. 1 zdanie pierwsze RODO w związku z art. 13 ust. 1 lit. c) i e) tego rozporządzenia w odniesieniu do celu przetwarzania danych i odbiorcy danych osobowych. Zdaniem tego sądu należy ustalić, czy w związku z tym można uznać, że federalny związek stowarzyszeń konsumenckich powołuje się na naruszenie praw „w wyniku przetwarzania” w rozumieniu art. 80 ust. 2 wspomnianego rozporządzenia.
18. Dokładniej rzecz ujmując, sąd odsyłający uważa, po pierwsze, że nie ma pewności co do tego, czy w niniejszym przypadku naruszenie obowiązku informacyjnego wynikającego z art. 12 ust. 1 zdanie pierwsze i art. 13 ust. 1 lit. c) i e) RODO wchodzi w zakres pojęcia „przetwarzania” w rozumieniu art. 4 pkt 2 tego rozporządzenia i czy pojęcie to obejmuje również sytuacje poprzedzające rozpoczęcie gromadzenia danych osobowych(13).
19. Po drugie, sąd ten uważa, że nie jest jasne, czy w przypadku takim jak rozpatrywany w postępowaniu głównym naruszenie obowiązku informacyjnego nastąpiło „w wyniku” przetwarzania danych osobowych w rozumieniu art. 80 ust. 2 RODO. Wspomniany sąd podkreśla w tym względzie, że sformułowanie „w wyniku” może sugerować, iż podmiot, który wnosi powództwo przedstawicielskie, musi, aby powództwo to było dopuszczalne, powołać się na naruszenie praw osoby, której dane dotyczą, na podstawie tego rozporządzenia, które wynika z operacji przetwarzania danych w rozumieniu art. 4 pkt 2 wspomnianego rozporządzenia, a zatem następuje po dokonaniu takiej operacji(14).
20. W tych okolicznościach Bundesgerichtshof (federalny trybunał sprawiedliwości) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniem prejudycjalnym:
„Czy mamy do czynienia z dochodzeniem praw [osoby, której dane dotyczą] naruszonych »w wyniku przetwarzania« w rozumieniu art. 80 ust. 2 RODO, jeżeli stowarzyszenie ochrony interesów konsumentów opiera swoje powództwo na tym, że prawa osoby, której dane dotyczą, zostały naruszone, ponieważ nie zostały spełnione obowiązki informacyjne, o których mowa w art. 12 ust. 1 zdanie pierwsze RODO w związku z art. 13 ust. 1 lit. c) i e) RODO, dotyczące celu przetwarzania danych i odbiorcy danych osobowych?”.
21. Uwagi na piśmie zostały złożone przez spółkę Meta Platforms Ireland, federalny związek stowarzyszeń konsumenckich, rządy niemiecki i portugalski oraz Komisję Europejską.
22. Rozprawa odbyła się w dniu 23 listopada 2023 r. w obecności przedstawicieli spółki Meta Platforms Ireland, rządu niemieckiego i Komisji.
II. Analiza
23. Jak wskazałem powyżej, sąd odsyłający ma wątpliwości co do tego, czy w okolicznościach niniejszej sprawy powództwo przedstawicielskie wytoczone przez federalny związek stowarzyszeń konsumenckich spełnia przesłankę określoną w art. 80 ust. 2 RODO, zgodnie z którą podmiot wnoszący takie powództwo musi uznać, że „w wyniku przetwarzania” naruszone zostały prawa osoby, której dane dotyczą, wynikające z tego rozporządzenia.
24. Aby dobrze zrozumieć kontekst, w którym sąd ten zwraca się do Trybunału o dodatkowe wyjaśnienia dotyczące przedmiotowego zakresu stosowania tego przepisu, należy przypomnieć, że na poparcie swojego powództwa federalny związek stowarzyszeń konsumenckich powołuje się na naruszenie obowiązku informacyjnego ciążącego na spółce Meta Platforms Ireland, dotyczącego celu i zakresu zgody użytkownika na przetwarzanie jego danych osobowych. Dokładniej rzecz ujmując, przedmiotem sporu jest prezentacja gier w centrum aplikacji umieszczonym na platformie internetowej spółki Meta Platforms Ireland oraz wskazanie, że każda aplikacja jest uprawniona do publikowania w imieniu użytkownika pewnych dotyczących go informacji prywatnych. Federalny związek stowarzyszeń konsumenckich wniósł to powództwo niezależnie od naruszenia konkretnych praw osoby, której dane dotyczą, bez upoważnienia ze strony takiej osoby, co jest zgodne ze wspomnianym przepisem, jak przyznał Trybunał w wyroku Meta Platforms Ireland(15).
25. Różnice zdań w kwestii tego, czy federalny związek stowarzyszeń konsumenckich ma legitymację procesową czynną na podstawie art. 80 ust. 2 RODO, koncentrują się obecnie na ustaleniu dokonanym przez sąd odsyłający, zgodnie z którym powództwo przedstawicielskie wniesione przez ten podmiot nie dotyczy kwestii, czy spółka Meta Platforms Ireland narusza prawa użytkownika do ochrony danych w momencie, w którym użytkownik naciska w centrum aplikacji przycisk „Zagraj teraz” lub „Zagraj w grę” i w ten sposób ewentualnie uruchamia przetwarzanie swoich danych osobowych. Ponadto bezsporne jest, że kwestia, czy zautomatyzowane operacje dotyczące danych osobowych użytkownika, które mają miejsce po naciśnięciu takiego przycisku, naruszają prawa użytkownika do ochrony danych osobowych, również nie jest przedmiotem powództwa wniesionego przez federalny związek stowarzyszeń konsumenckich.
26. Podsumowując: spór skupia się wokół zagadnienia, czy do tego, aby takie stowarzyszenie miało legitymację procesową czynną na podstawie art. 80 ust. 2 RODO, wystarczy, że powołuje się ono na naruszenie obowiązku informacyjnego, nie kwestionując przetwarzania danych jako takiego, które wynika z operacji polegającej na naciśnięciu przycisku „Zagraj teraz” lub „Zagraj w grę”, podczas gdy przepis ten wymaga naruszenia praw osoby, której dane dotyczą, „w wyniku przetwarzania”.
27. Z tego względu pytania sądu odsyłającego koncentrują się na dwóch elementach, a mianowicie, po pierwsze, na zakresie pojęcia „przetwarzania”, a po drugie, na znaczeniu członu zdania „w wyniku przetwarzania” zawartego we wspomnianym przepisie.
28. Sąd ten zastanawia się zatem, czy wynikający z art. 12 ust. 1 zdanie pierwsze i art. 13 ust. 1 lit. c) i e) RODO obowiązek udzielenia osobie, której dane dotyczą, w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, informacji dotyczących celu przetwarzania danych osobowych i ich odbiorcy, wchodzi w zakres pojęcia „przetwarzania” w rozumieniu art. 4 pkt 2 tego rozporządzenia.
29. Zgodnie z art. 4 pkt 2 wspomnianego rozporządzenia „przetwarzanie” oznacza „[każdą] operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie”.
30. Z brzmienia tego przepisu, a w szczególności z wyrażenia „[każdą] operację”, wynika, że prawodawca Unii zamierzał nadać pojęciu „przetwarzania” szeroki zakres. Taką wykładnię potwierdza niewyczerpujący charakter czynności wymienionych we wspomnianym przepisie, wyrażony poprzez użycie sformułowania „taką jak”(16). Zdaniem Trybunału taka wykładnia jest zgodna z celem polegającym na zapewnieniu skuteczności prawa podstawowego do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych, o którym mowa w motywie 1 RODO, który determinuje stosowanie tego rozporządzenia(17).
31. Na poparcie tezy, zgodnie z którą obowiązek informacyjny wynikający z art. 12 ust. 1 zdanie pierwsze i art. 13 ust. 1 lit. c) i e) RODO może wchodzić w zakres pojęcia „przetwarzania” w rozumieniu art. 4 pkt 2 tego rozporządzenia, sąd odsyłający odwołuje się do tego, co Trybunał orzekł w wyroku z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych)(18).
32. W sprawie, w której zapadł ten wyrok, Valsts ieņēmumu dienests (łotewski organ podatkowy) zwrócił się do zainteresowanego podmiotu gospodarczego z żądaniem przywrócenia dostępu służb tego organu do numerów identyfikacyjnych pojazdów będących przedmiotem ogłoszeń publikowanych na portalu internetowym prowadzonym przez ten podmiot gospodarczy oraz do numerów telefonów sprzedawców, a także dostarczenia rzeczonym służbom informacji o ogłoszeniach publikowanych na owym portalu.
33. To w tym kontekście Trybunał uznał, że tego rodzaju wniosek, w którym organ podatkowy państwa członkowskiego domaga się od podmiotu gospodarczego przekazania i udostępnienia danych osobowych, które ten ostatni jest zobowiązany dostarczyć i udostępnić temu organowi na podstawie przepisów krajowych tego państwa członkowskiego, rozpoczyna proces „zbierania” tych danych w rozumieniu art. 4 pkt 2 RODO(19). Sąd odsyłający, rozumując analogicznie w sytuacji rozpatrywanej w postępowaniu głównym, wnosi z tego, że pojęcie „przetwarzania” w rozumieniu tego przepisu obejmuje operacje, które dopiero „rozpoczynają” gromadzenie danych osobowych, a zatem operacje poprzedzające operację, którą prawodawca Unii wyraźnie uznał za przykład przetwarzania.
34. Uważam jednak, że sytuacja w niniejszej sprawie wyraźnie różni się od sytuacji, która doprowadziła do wydania wyroku z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych)(20). W niniejszym przypadku rzecz bowiem nie w tym, by powiązać proces przetwarzania z operacją, którą pozwala na rozpoczęcie tego procesu, ale raczej w tym, by ustalić związek między obowiązkiem informacyjnym wynikającym z art. 12 ust. 1 zdanie pierwsze i art. 13 ust. 1 lit. c) i e) RODO a danym przetwarzaniem.
35. W tym względzie uważam, że – niezależnie od tego jak szeroki – zakres pojęcia „przetwarzania” w rozumieniu art. 4 pkt 2 RODO nie może rozciągać się na taki obowiązek informacyjny. Obowiązek ten nie obejmuje bowiem żadnych bezpośrednich ani pośrednich działań na danych osobowych. Wspomniany obowiązek stanowi raczej przesłankę zgodności z prawem przetwarzania tych danych.
36. Należy podkreślić, że art. 12 RODO określa ogólne obowiązki spoczywające na administratorze w zakresie przejrzystego informowania i przejrzystej komunikacji, a także sposoby wykonywania praw przez osobę, której dane dotyczą.
37. W szczególności art. 12 ust. 1 zdanie pierwsze wspomnianego rozporządzenia przewiduje, że „[a]dministrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15–22 i 34 w sprawie przetwarzania”.
38. Artykuł 13 RODO, zatytułowany „Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą”, stanowi w ust. 1 lit. c) i e):
„Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, podczas pozyskiwania danych osobowych administrator podaje jej wszystkie następujące informacje:
[…]
c) cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania;
[…]
e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją […]”.
39. Należy przypomnieć, że w art. 6 ust. 1 akapit pierwszy RODO zawarty został wyczerpujący i zamknięty wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem. Aby zatem można było uznać dane przetwarzanie za zgodne z prawem, musi ono stanowić jeden z przewidzianych w tym przepisie przypadków(21).
40. Zgodnie z brzmieniem art. 6 ust. 1 akapit pierwszy lit. a) tego rozporządzenia przetwarzanie danych osobowych jest zgodne z prawem, gdy – i w takim zakresie, w jakim ma to miejsce – osoba, której dane dotyczą, wyraziła na to zgodę w określonym celu lub określonych celach(22).
41. W braku takiej zgody lub jeżeli zgoda ta nie została udzielona w sposób dobrowolny, konkretny, świadomy i jednoznaczny w rozumieniu art. 4 pkt 11 RODO, a dane przetwarzanie nie spełnia jednego z wymogów dotyczących niezbędności, o których mowa w art. 6 ust. 1 akapit pierwszy lit. b)–f) tego rozporządzenia, przetwarzanie to ma charakter niezgodny z prawem(23).
42. Co się tyczy wymogu wynikającego z art. 4 pkt 11 RODO, zgodnie z którym zgoda powinna być „świadoma”, wymóg ten oznacza, zgodnie z art. 13 tego rozporządzenia, interpretowanym w świetle jego motywu 42, że administrator danych dostarczy osobie, której dane dotyczą, informacje na temat wszelkich okoliczności związanych z przetwarzaniem danych, mające zrozumiałą i łatwo dostępną formę oraz wyrażone jasnym i prostym językiem, przy czym osoba ta powinna w szczególności być w stanie dowiedzieć się, jakiego rodzaju dane będą przetwarzane, kto jest administratorem danych, przez jaki czas i w jaki sposób dane te będą przetwarzane oraz w jakich celach. Rzeczone informacje powinny umożliwić takiej osobie łatwe ustalenie konsekwencji zgody, której może udzielić, oraz gwarantować, że zgoda ta zostanie udzielona przy pełnej znajomości stanu rzeczy(24).
43. Pragnę zauważyć, że – jak wskazuje sąd odsyłający(25) – federalny związek stowarzyszeń konsumenckich kwestionuje prezentację informacji zamieszczonych w centrum aplikacji pod przyciskiem „Zagraj teraz” ze względu na to, że jest ona nieuczciwa, w szczególności z punktu widzenia naruszenia ustawowych wymogów dotyczących uzyskania skutecznej zgody użytkownika na podstawie przepisów regulujących ochronę danych osobowych.
44. Innymi słowy u podstaw powództwa wniesionego przez federalny związek stowarzyszeń konsumenckich leży okoliczność, że ze względu na niewystarczającą prezentację centrum aplikacji, na którą powołuje się ten podmiot, ktoś mógłby nacisnąć przycisk „Zagraj teraz”, nie dysponując niezbędnymi informacjami umożliwiającymi mu łatwe określenie konsekwencji zgody, której mógłby udzielić na przetwarzanie swoich danych osobowych w następstwie naciśnięcia tego przycisku, i bez gwarancji, że zgoda ta została udzielona z pełną znajomością rzeczy.
45. W tych okolicznościach jestem zdania, że federalny związek stowarzyszeń konsumenckich podnosi w ramach swojego powództwa, zgodnie z tym, co przewiduje art. 80 ust. 2 RODO, że „w wyniku przetwarzania naruszone zostały prawa osoby, której dane dotyczą, wynikające z [tego] rozporządzenia”.
46. Po pierwsze bowiem, zarówno art. 12, jak i art. 13 RODO znajdują się w rozdziale III tego rozporządzenia, zatytułowanym „Prawa osoby, której dane dotyczą”. Z uwagi na obowiązek informacyjny ciążący na administratorze danych na mocy tych artykułów wynikające z nich prawa osób, których dane dotyczą, należą do praw, które ma chronić powództwo przedstawicielskie przewidziane w art. 80 ust. 2 tego rozporządzenia.
47. Po drugie, domniemane naruszenie prawa osób, których dane dotyczą, do bycia wystarczająco poinformowanym o wszystkich okolicznościach związanych z przetwarzaniem danych osobowych, w szczególności o celu przetwarzania oraz odbiorcy tych danych, może uniemożliwić wyrażenie „świadomej” zgody w rozumieniu art. 4 pkt 11 RODO, co może sprawić, że owo przetwarzanie danych będzie niezgodne z prawem.
48. W związku z tym do celów wytoczenia powództwa przedstawicielskiego na podstawie art. 80 ust. 2 tego rozporządzenia wystarczy, aby podmiot powołał się na naruszenie obowiązku informacyjnego ciążącego na administratorze danych, precyzując dane przetwarzanie, które w niniejszym przypadku ma miejsce, gdy dana osoba naciska przycisk „Zagraj teraz”. Musi to być przetwarzanie danych, które może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z tego rozporządzenia(26), co oznacza, że przetwarzanie to musi istnieć, a zatem nie może mieć charakteru czysto hipotetycznego.
49. Ponadto nie ma moim zdaniem znaczenia, czy podmiot ten powołuje się na naruszenie obowiązku poprzedzającego przetwarzanie danych osobowych. Jest tak w przypadku obowiązku informacyjnego, który należy wdrożyć najpóźniej w chwili gromadzenia danych zgodnie z art. 13 ust. 1 RODO.
50. Tym samym człon zdania „w wyniku przetwarzania”, o którym mowa w art. 80 ust. 2 tego rozporządzenia, w żaden sposób nie oznacza, że prawo, którego dotyczy przewidziane w tym artykule powództwo zmierzające do stwierdzenia naruszenia, musi koniecznie dotyczyć etapu następującego po operacji stanowiącej „przetwarzanie” w rozumieniu art. 4 pkt 2 wspomnianego rozporządzenia. Innymi słowy – w tym członie zdania nie należy dopatrywać się żadnego wymogu dotyczącego sekwencji czasowej, który oznaczałby, że naruszenie przewidzianych w RODO praw osoby, której dane dotyczą, powinno nastąpić na etapie następującym po takim przetwarzaniu.
51. Istotne jest raczej to, by istniał związek między poszanowaniem rozpatrywanych praw a danym przetwarzaniem. Jest tak w przypadku, gdy naruszenie tych praw skutkuje tym, że przetwarzanie to jest niezgodne z prawem. Niezgodność przetwarzania z prawym wynika z naruszenia obowiązku informacyjnego. Te dwa elementy są ze sobą nierozerwalnie związane.
52. Wynika z tego, że wymóg, zgodnie z którym dany podmiot może wytoczyć powództwo przedstawicielskie na podstawie art. 80 ust. 2 RODO, jeżeli uzna, że przewidziane w tym rozporządzeniu prawa osoby, której dane dotyczą, zostały naruszone „w wyniku przetwarzania”, nie wymaga moim zdaniem, aby podmiot ten powołał się na naruszenie takich praw, które wynika z operacji przetwarzania danych w rozumieniu art. 4 pkt 2 tego rozporządzenia, a zatem które następuje po dokonaniu takiej operacji. Wystarczy, aby wskazał on na istnienie związku między przetwarzaniem danych osobowych a naruszeniem praw chronionych przez RODO.
53. W niniejszej sprawie nie ma zatem znaczenia, że federalny związek stowarzyszeń konsumenckich powołuje się na naruszenie obowiązku informacyjnego niezależnie od tego, czy osoba, której dane dotyczą, naciska w centrum aplikacji przycisk „Zagraj teraz”, ponieważ taki obowiązek, w zakresie, w jakim może wpływać na przesłanki zgodności z prawem przetwarzania wynikającego z naciśnięcia tego przycisku, niewątpliwie ma związek z tym przetwarzaniem.
54. Wykładnia ta jest zgodna nie tylko z funkcją prewencyjną powództwa przedstawicielskiego przewidzianą w art. 80 ust. 2 RODO(27), ale również – w zakresie, w jakim przyczynia się do wzmocnienia praw osób, których dane dotyczą(28) – z wynikającym z jego motywu 10 celem tego rozporządzenia, polegającym na zapewnieniu w Unii wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych w zakresie przetwarzania danych osobowych(29).
55. Dodam, że moim zdaniem niespójne byłoby przyjęcie zawężającej wykładni przedmiotowego zakresu stosowania art. 80 ust. 2 wspomnianego rozporządzenia, skoro art. 79 ust. 1 RODO przewiduje – podobnie sformułowane – prawo każdej osoby, której dane dotyczą, do skutecznego środka ochrony prawnej przed sądem i nie ma żadnego powodu, aby wyłączać z przedmiotowego zakresu stosowania takiego środka ochrony prawnej prawa wynikające z obowiązku informacyjnego przewidzianego w art. 12 ust. 1 zdanie pierwsze tego rozporządzenia w związku z art. 13 ust. 1 lit. c) i e) wspomnianego rozporządzenia.
56. W konsekwencji uważam, że art. 80 ust. 2 RODO należy interpretować w ten sposób, że przesłanka, zgodnie z którą uprawniony podmiot, aby móc wytoczyć powództwo przedstawicielskie na podstawie tego przepisu, musi podnieść, że uznaje, iż przewidziane w tym rozporządzeniu prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania, zakłada, że podmiot ten podnosi istnienie przetwarzania danych osobowych oraz związku między naruszeniem tych praw a tym przetwarzaniem. Taka przesłanka jest spełniona, jeżeli powództwo to jest oparte, w związku z przetwarzaniem danych osobowych, na naruszeniu przez administratora danych obowiązku informacyjnego przewidzianego w art. 12 ust. 1 zdanie pierwsze w związku z art. 13 ust. 1 lit. c) i e) tego rozporządzenia, w zakresie, w jakim naruszenie to może spowodować niezgodność tego przetwarzania z prawem.
III. Wnioski
57. W świetle całości powyższych rozważań proponuję Trybunałowi, by na pytanie prejudycjalne przedstawione przez Bundesgerichtshof (federalny trybunał sprawiedliwości, Niemcy) odpowiedział w następujący sposób:
Artykuł 80 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia w sprawie ochrony danych)
należy interpretować w ten sposób, że:
przesłanka, zgodnie z którą uprawniony podmiot, aby móc wytoczyć powództwo przedstawicielskie na podstawie tego przepisu, musi podnieść, że uznaje, iż przewidziane w tym rozporządzeniu prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania, zakłada, że podmiot ten podnosi istnienie przetwarzania danych osobowych oraz związku między naruszeniem tych praw a tym przetwarzaniem. Taka przesłanka jest spełniona, jeżeli powództwo to jest oparte, w związku z przetwarzaniem danych osobowych, na naruszeniu przez administratora danych obowiązku informacyjnego przewidzianego w art. 12 ust. 1 zdanie pierwsze w związku z art. 13 ust. 1 lit. c) i e) tego rozporządzenia, w zakresie, w jakim naruszenie to może spowodować niezgodność tego przetwarzania z prawem.