OPINIA RZECZNIKA GENERALNEGO
PRIITA PIKAMÄE
przedstawiona w dniu 22 lutego 2024 r.(1)
Sprawa C‑693/22
I. sp. z o.o.
przeciwko
M.W.
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Sąd Rejonowy dla m.st. Warszawy w Warszawie (Polska)]
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Sprzedaż bazy danych składającej się z danych osobowych w ramach postępowania egzekucyjnego – Artykuł 4 pkt 7 – Pojęcie „administratora” – Artykuł 5 ust. 1 lit. b) – Ograniczenie celu – Artykuł 6 ust. 1, 3 i 4 – Zgodność przetwarzania z prawem – Wypełnienie obowiązku prawnego ciążącego na administratorze – Realizacja zadania wykonywanego w interesie publicznym – Artykuł 23 ust. 1 lit. j) – Egzekucja roszczeń cywilnoprawnych – Środek niezbędny i proporcjonalny
1. Czy sprzedaż w postępowaniu egzekucyjnym bazy danych składającej się z danych osobowych może być zgodna z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (zwanego dalej „RODO”)(2), jeśli osoby, których dane dotyczą, nie wyraziły zgody na taką sprzedaż?
2. Tego zasadniczo dotyczy pytanie, z którym zwrócił się do Trybunału Sąd Rejonowy dla m.st. Warszawy w Warszawie (Polska) w ramach odesłania prejudycjalnego w niniejszej sprawie.
3. Trybunał będzie musiał zatem przeanalizować ten szczególny przypadek przez pryzmat RODO oraz zająć stanowisko odnośnie do pewnych kluczowych elementów tego rozporządzenia, takich jak pojęcie „administratora”, zgodność przetwarzania z prawem oraz zakres zasady ograniczenia celu.
Ramy prawne
Prawo Unii
4. Artykuł 4 RODO stanowi:
„Na użytek niniejszego rozporządzenia:
1) »dane osobowe« oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); […]
2) »przetwarzanie« oznacza [każdą] operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
[…]
7) »administrator« oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;
[…]”.
5. Artykuł 5 tego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi w ust. 1 i 2:
„1. Dane osobowe muszą być:
a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);
b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; […]
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);
[…]
2. Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”.
6. Artykuł 6 wspomnianego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, ma następujące brzmienie:
„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
[…]
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
[…]
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
[…]
3. Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
a) w prawie Unii; lub
b) w prawie państwa członkowskiego, któremu podlega administrator.
Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. […] Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.
4. Jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator – aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi:
a) wszelkie związki między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania;
b) kontekst, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem;
c) charakter danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10;
d) ewentualne konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą;
e) istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji”.
7. Artykuł 23 ust. 1 RODO, zatytułowany „Ograniczenia”, stanowi:
„1. Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym:
[…]
j) egzekucji roszczeń cywilnoprawnych”.
Prawo polskie
8. Artykuł 299 ustawy z dnia 15 września 2000 r. Kodeks spółek handlowych (Dz.U. z 2022 r., poz. 1467, zwanej dalej „kodeksem spółek handlowych”) ma następujące brzmienie:
„§ 1. Jeżeli egzekucja przeciwko spółce okaże się bezskuteczna, członkowie zarządu odpowiadają solidarnie za jej zobowiązania.
§ 2. Członek zarządu może się uwolnić od odpowiedzialności, o której mowa w § 1, jeżeli wykaże, że we właściwym czasie zgłoszono wniosek o ogłoszenie upadłości lub w tym samym czasie wydano postanowienie o otwarciu postępowania restrukturyzacyjnego albo o zatwierdzeniu układu w postępowaniu w przedmiocie zatwierdzenia układu, albo że niezgłoszenie wniosku o ogłoszenie upadłości nastąpiło nie z jego winy, albo że pomimo niezgłoszenia wniosku o ogłoszenie upadłości oraz niewydania postanowienia o otwarciu postępowania restrukturyzacyjnego albo niezatwierdzenia układu w postępowaniu w przedmiocie zatwierdzenia układu wierzyciel nie poniósł szkody”.
9. Zgodnie z art. 796 § 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz.U. z 2021 r., poz. 1805, z późn. zm., zwanej dalej „kodeksem postępowania cywilnego”):
„Wniosek o wszczęcie egzekucji składa się stosownie do właściwości sądowi lub komornikowi. Wniosek składany komornikowi może być złożony na urzędowym formularzu”.
10. Artykuł 799 § 1 zdanie pierwsze kodeksu postępowania cywilnego stanowi:
„Wniosek o wszczęcie egzekucji lub żądanie przeprowadzenia egzekucji z urzędu umożliwia prowadzenie egzekucji według wszystkich dopuszczalnych sposobów, z wyjątkiem egzekucji z nieruchomości. […]”.
11. Artykuł 824 § 1 pkt 3 tego kodeksu ma następujące brzmienie:
„Postępowanie umarza się w całości lub części z urzędu:
[…]
3) jeżeli jest oczywiste, że z egzekucji nie uzyska się sumy wyższej od kosztów egzekucyjnych”.
12. Artykuł 831 wspomnianego kodeksu przewiduje:
„§ 1. Nie podlegają egzekucji:
[…]
3) prawa niezbywalne, chyba że możność ich zbycia wyłączono umową, a przedmiot świadczenia nadaje się do egzekucji albo wykonanie prawa może być powierzone komu innemu”.
13. Ustawa z dnia 22 marca 2018 r. o komornikach sądowych (Dz.U. z 2022 r., poz. 1168 z późn. zm., zwana dalej „ustawą o komornikach sądowych”) reguluje status i czynności komorników sądowych. Zgodnie z jej art. 3 ust. 1 i 3:
„1. Komornik jest organem władzy publicznej w zakresie wykonywania czynności w postępowaniu egzekucyjnym i zabezpieczającym. Czynności te wykonuje komornik, z uwzględnieniem wyjątków przewidzianych w ustawach.
[…]
3. Komornikom powierza się następujące zadania:
1) wykonywanie orzeczeń sądowych w sprawach o roszczenia pieniężne i niepieniężne oraz zabezpieczenie roszczeń, w tym europejskich nakazów zabezpieczenia na rachunku bankowym, z uwzględnieniem wyjątków przewidzianych w [kodeksie postępowania cywilnego];
[…]”.
14. Artykuł 9 ust. 1 tej ustawy stanowi:
„Komornik nie może odmówić przyjęcia wniosku o:
1) wszczęcie egzekucji,
[…]
– do przeprowadzenia których jest właściwy zgodnie z przepisami [kodeksu postępowania cywilnego]”.
15. Artykuł 31 ust. 1 zdanie pierwsze wspomnianej ustawy ma następujące brzmienie:
„Należności wyegzekwowane z rachunku bankowego, rachunku prowadzonego przez spółdzielczą kasę oszczędnościowo-kredytową albo rachunku prowadzonego przez podmiot prowadzący działalność maklerską, uzyskane w wyniku pierwszej wpłaty dokonanej przez dłużnika zajętej wierzytelności, komornik przekazuje wierzycielowi nie wcześniej niż w 7 dniu i nie później niż w 14 dniu od dnia ich otrzymania. […]”.
16. Ustawa z dnia 27 lipca 2001 r. o ochronie baz danych (Dz.U. z 2021 r., poz. 386, zwana dalej „ustawą o ochronie baz danych”) przewiduje w art. 2 ust. 1 pkt 1, co następuje:
„W rozumieniu ustawy:
1) baza danych oznacza zbiór danych lub jakichkolwiek innych materiałów i elementów zgromadzonych według określonej systematyki lub metody, indywidualnie dostępnych w jakikolwiek sposób, w tym środkami elektronicznymi, wymagający istotnego, co do jakości lub ilości, nakładu inwestycyjnego w celu sporządzenia, weryfikacji lub prezentacji jego zawartości”.
17. Artykuł 6 ust. 1 ustawy o ochronie baz danych stanowi:
„Producentowi bazy danych przysługuje wyłączne i zbywalne prawo pobierania danych i wtórnego ich wykorzystania w całości lub w istotnej części, co do jakości lub ilości”.
Postępowanie główne, pytanie prejudycjalne i postępowanie przed Trybunałem
18. Spółce I. (zwanej dalej „stroną powodową” lub „wierzycielem”), mającej siedzibę w Polsce, przysługuje zasądzona prawomocnym orzeczeniem sądowym wierzytelność przeciwko spółce NMW, specjalizującej się w sprzedaży internetowej, w której to spółce członkiem zarządu jest M.W.
19. Na wniosek strony powodowej przeciwko spółce NMW zostało wszczęte postępowanie egzekucyjne w celu zaspokojenia tej wierzytelności. Postępowanie to zakończyło się wydaniem przez komornika sądowego postanowienia o umorzeniu egzekucji z uwagi na brak majątku spółki NMW, który mógłby stanowić przedmiot egzekucji. W tych okolicznościach strona powodowa wytoczyła przed Sądem Rejonowym dla m.st. Warszawy w Warszawie powództwo przeciwko M.W. na podstawie art. 299 § 1 kodeksu spółek handlowych, który statuuje odpowiedzialność majątkową członka zarządu dłużnej spółki w przypadku braku możliwości odzyskania wierzytelności z majątku tej spółki.
20. M.W. wniósł o oddalenie powództwa, podnosząc, że spółka NMW posiada składniki majątku, z których każdy ma wartość przewyższającą wysokość wierzytelności przysługującej stronie powodowej, a mianowicie kod źródłowy programu komputerowego służącego do robienia zakupów online połączony z usługą quasi-cashbacku (zwanego dalej „platformą M.”) oraz dwie bazy danych użytkowników tej platformy.
21. Jednakże sąd odsyłający wskazuje, że sprzedaż samej platformy M. bez tych baz danych nie byłaby tak atrakcyjna na rynku jak sprzedaż całego „pakietu”.
22. Zdaniem tego sądu niezbędne jest zatem uzyskanie odpowiedzi na pytanie, czy stworzone przez spółkę NMW bazy danych mogą zostać zbyte w postępowaniu egzekucyjnym. Odpowiedź twierdząca skutkowałaby bowiem oddaleniem powództwa w postępowaniu głównym.
23. Sąd odsyłający wyjaśnia w tym względzie, że chociaż nie jest związany wyceną rozpatrywanego majątku, na której opiera się M.W. – zwłaszcza że wycena ta nie została przeprowadzona przez biegłego sądowego – odpowiedź na wskazane wyżej pytanie i tak jest niezbędna do rozstrzygnięcia sporu w postępowaniu głównym, ponieważ przepisy polskiego postępowania cywilnego nie pozwalają na przeprowadzenie takiego dowodu bez uprzedniego ustalenia, że jest to dowód istotny dla sprawy.
24. Sąd ten stoi na stanowisku, że przedmiotowe bazy danych są objęte zakresem pojęcia „bazy danych” w rozumieniu art. 1 dyrektywy 96/9/WE Parlamentu Europejskiego i Rady z dnia 11 marca 1996 r. w sprawie ochrony prawnej baz danych(3), w związku z czym ich właścicielowi, spółce NMW, przysługuje względem tych baz danych zbywalne prawo majątkowe na podstawie art. 7 tej dyrektywy. Postępowanie egzekucyjne może bowiem być prowadzone z każdego prawa majątkowego, o ile nie istnieje wyraźny przepis wyłączający taką możliwość. Polski ustawodawca nie ustanowił żadnych norm, które zakazywałyby prowadzenia egzekucji z bazy danych, takiej jak ta, której dotyczy postępowanie główne.
25. Sąd odsyłający powziął wątpliwość, czy z takich baz danych można prowadzić egzekucję, biorąc pod uwagę fakt, że zawierają one dane osobowe setek tysięcy użytkowników platformy M. oraz że nie ma żadnego dowodu na to, iż użytkownicy platformy wyrazili zgodę na przetwarzanie ich danych osobowych poprzez udostępnienie tych danych osobom trzecim, poza wspomnianą platformę. Sąd odsyłający wyjaśnił w tym względzie, że rozpatrywane dane nie należą do szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO.
26. Sąd ten zastanawia się również nad relacją między ograniczeniami w przetwarzaniu danych osobowych ustanowionymi przez RODO a uprawnieniem do swobodnego rozporządzania bazą danych wynikającym z dyrektywy 96/9 i przepisów prawa krajowego, które to uprawnienie zdaniem tego sądu obejmuje prawo do zbycia bazy danych w toku postępowania egzekucyjnego.
27. W tym kontekście Sąd Rejonowy dla m.st. Warszawy w Warszawie postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniem prejudycjalnym:
„Czy art. 5 ust. 1 lit. a) w związku z art. 6 ust. 1 lit. a), c) i e) w związku z art. 6 ust. 3 [RODO] należy wykładać w ten sposób, że stoi on na przeszkodzie takiemu unormowaniu prawa krajowego, które pozwala na sprzedaż w postępowaniu egzekucyjnym bazy danych w rozumieniu art. 1 ust. 2 [dyrektywy 96/9] składającej się z danych osobowych, jeśli osoby, których te dane dotyczą, nie wyraziły zgody na taką sprzedaż?”.
28. Rząd polski i Komisja Europejska przedłożyły uwagi na piśmie. Ci sami zainteresowani, a także I., przedstawili swoje stanowiska ustnie na rozprawie w dniu 16 listopada 2023 r.
Analiza
W przedmiocie dopuszczalności
29. Na wstępie należy przeanalizować dwie kwestie odnoszące się do dopuszczalności pytania prejudycjalnego w niniejszej sprawie.
30. Po pierwsze, strona powodowa w postępowaniu głównym podczas rozprawy wyraziła wątpliwości co do istotności tego pytania. Zdaniem tej strony spółka NMW już od kilku lat nie prowadzi działalności gospodarczej. Ściślej rzecz ujmując, spółka ta nie ma już zarządu ani kierownictwa oraz od kwietnia 2019 r. nie świadczy usług dla użytkowników platformy M(4). Zaprzestała ona zatem jakiegokolwiek przetwarzania danych osobowych związanego z prowadzeniem swojej działalności. W tych okolicznościach z zasad ograniczenia celu i ograniczenia przechowywania wynika obowiązek usunięcia tych danych, a w przypadku niewykonania tego obowiązku samo istnienie rozpatrywanych w postępowaniu głównym baz danych jest niezgodne z prawem. W związku z tym skierowane przez sąd odsyłający pytanie, dotyczące zgodności z prawem ich sprzedaży w postępowaniu egzekucyjnym, nie jest istotne dla rozstrzygnięcia sporu w postępowaniu głównym.
31. Należy zauważyć, że zgodnie z art. 5 ust. 1 lit. e) RODO dane osobowe(5) muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Wynika z tego, że nawet początkowo zgodne z prawem przetwarzanie danych może wraz z upływem czasu stać się niezgodne z RODO, jeśli dane te nie są już potrzebne do realizacji takich celów(6). W takiej sytuacji dane powinny zostać usunięte(7). W niniejszym przypadku rozpatrywane dane niewątpliwie były zbierane do celów prowadzonej przez spółkę NMW działalności w zakresie sprzedaży internetowej. Jeśli zakończyła ona tę działalność w kwietniu 2019 r., nie ulega wątpliwości, że dane te przestały być niezbędne do jej prowadzenia i powinny były zatem zostać usunięte. Gdyby nie zostały usunięte, istnienie tych baz danych nie byłoby zgodne z RODO i byłoby oczywiste, że pytanie prejudycjalne w niniejszej sprawie nie jest istotne dla rozstrzygnięcia sporu w postępowaniu głównym.
32. Niemniej należy przypomnieć, że zgodnie z utrwalonym orzecznictwem Trybunał jest jedynie uprawniony do orzekania w przedmiocie wykładni prawa Unii w ramach stanu faktycznego i prawnego, za którego ustalenie odpowiedzialny jest sąd krajowy, i nie może on kwestionować ani weryfikować prawidłowości tych ustaleń(8).
33. Tymczasem z żadnego punktu postanowienia odsyłającego nie wynika, że spółka NMW zakończyła swoją działalność w kwietniu 2019 r., jak utrzymuje strona powodowa.
34. Po drugie, sąd odsyłający powziął wątpliwość co do stosowania RODO w relacji do przepisów dyrektywy 96/9.
35. Na wstępie należy przypomnieć, że dyrektywa 96/9 ma na celu zniesienie w drodze zbliżenia przepisów krajowych rozbieżności istniejących pomiędzy tymi przepisami w dziedzinie ochrony prawnej baz danych, które stanowiłyby niebezpieczeństwo dla funkcjonowania rynku krajowego, dla swobody przepływu towarów i usług w Unii, a także dla rozwoju rynku informacyjnego w jej ramach(9). Zgodnie z jej art. 1 ust. 1 dyrektywa ta dotyczy ochrony prawnej bazy danych w każdej formie, natomiast ust. 2 tego artykułu definiuje „bazę danych” jako „zbiór niezależnych utworów, danych lub innych materiałów uporządkowanych w sposób systematyczny lub metodyczny, indywidualnie dostępnych środkami elektronicznymi lub innymi sposobami”.
36. Wspomniana dyrektywa wymaga, aby wszystkie państwa członkowskie ustanowiły w swoim prawie krajowym ochronę na podstawie prawa sui generis. Ściślej rzecz ujmując, art. 7 ust. 1 dyrektywy 96/9 przyznaje producentowi bazy danych, której sporządzenie wymagało istotnego, co do jakości lub ilości, nakładu inwestycyjnego, prawo do ochrony przed pobieraniem danych lub wtórnym ich wykorzystaniem w całości lub w istotnej części. Zgodnie z art. 7 ust. 3 tej dyrektywy prawo to jest zbywalne.
37. Zdaniem sądu odsyłającego należące do spółki NMW bazy danych spełniają przesłanki objęcia ochroną na podstawie ustawy o ochronie baz danych i dyrektywy 96/9, którą ustawa ta transponuje do polskiego porządku prawnego. W szczególności art. 6 tej ustawy stanowi, że producentowi bazy danych przysługuje wyłączne i zbywalne prawo pobierania danych i wtórnego ich wykorzystania w całości lub w istotnej części. Zdaniem sądu odsyłającego jest to zatem prawo majątkowe, o charakterze bezwzględnym i skuteczne erga omnes. Zgodnie z prawem polskim postępowanie egzekucyjne może być prowadzone z każdego prawa majątkowego, o ile nie istnieje wyraźny przepis wyłączający taką możliwość. Polski ustawodawca nie ustanowił żadnych norm, które zakazywałyby prowadzenia egzekucji z baz danych, których dotyczy postępowanie główne. Wynika z tego, że w niniejszym przypadku komornik sądowy jest uprawniony do zbycia baz danych w imieniu wierzyciela, przy czym prawo to jest pochodną tego, że producent, przeciwko któremu wszczęto postępowanie egzekucyjne, ma prawo do swobodnego rozporządzania tymi bazami danych. Powołanie się na to prawo mogłoby stanowić przeszkodę dla stosowania przepisów RODO w niniejszym przypadku, a tym samym skutkować niedopuszczalnością pytania prejudycjalnego w niniejszej sprawie.
38. Przede wszystkim należy zauważyć, że sąd odsyłający nie zidentyfikował prawidłowo prawa sui generis przyznanego w art. 7 tej dyrektywy. Jest to w rzeczywistości prawo do sprzeciwienia się czynnościom polegającym między innymi na odtworzeniu bazy danych lub jej istotnej części przy poniesieniu jedynie ułamkowej części kosztu potrzebnego do jej niezależnego sporządzenia(10), ponieważ celem, jaki przyświecał prawodawcy Unii, było zapewnienie osobie, która podejmuje inicjatywę oraz ponosi ryzyko poczynienia istotnych inwestycji w celu uzyskania, zweryfikowania lub przedstawienia zawartości bazy danych, wynagrodzenia za jej inwestycje, poprzez ochronę przed nieuprawnionym przywłaszczeniem rezultatów tej inwestycji(11).
39. Ponadto, i co ważniejsze, jeśli chodzi o relację między dyrektywą 96/9 a RODO, z art. 13 tej dyrektywy wynika, że pozostaje ona bez uszczerbku dla przepisów dotyczących w szczególności ochrony danych osobowych i prywatności, a z motywu 48 wspomnianej dyrektywy – że jej przepisy są bez uszczerbku dla przepisów w dziedzinie ochrony danych ustanowionych dyrektywą 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych(12), która to dyrektywa była poprzednikiem RODO(13).
40. Uważam zatem, że Trybunał powinien orzec co do istoty w niniejszej sprawie.
Co do istoty
41. Poprzez swoje pytanie sąd odsyłający zmierza w istocie do ustalenia, czy art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 akapit pierwszy lit. a), c) i e), a także art. 6 ust. 3 RODO należy interpretować w ten sposób, że stoją one na przeszkodzie takiemu unormowaniu prawa krajowego, które pozwala na dokonanie przez komornika sądowego w postępowaniu egzekucyjnym sprzedaży bazy danych składającej się z danych osobowych, jeśli osoby, których te dane dotyczą, nie wyraziły zgody na taką sprzedaż.
42. Moja analiza prawna będzie przebiegać w następujący sposób: jeśli chodzi o RODO, rozpocznę od kwestii stosowania tego rozporządzenia w niniejszej sprawie oraz od kwestii określenia, kto jest w tym przypadku administratorem, a następnie skupię się na wykładni norm regulujących zgodność z prawem takiego przetwarzania.
43. Rozumowanie, które przedstawię w niniejszej opinii, wykaże, iż przepisy prawa Unii, które Trybunał będzie musiał wziąć pod uwagę, pokrywają się tylko częściowo z przepisami powołanymi w pytaniu prejudycjalnym. Proponowana odpowiedź będzie zatem dotyczyła tych przepisów(14).
W przedmiocie istnienia przetwarzania danych oraz określenia, kto jest administratorem
44. Jak wynika z motywu 10 RODO, rozporządzenie to zmierza między innymi do zapewnienia wysokiego stopnia ochrony osób fizycznych w Unii i w tym celu do zapewnienia spójnego i jednolitego w całej Unii stosowania przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych(15).
45. Zgodnie z jego art. 2 ust. 1 rozporządzenie to ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
46. W ust. 2 tego artykułu ustanowiono szereg wyłączeń z zakresu stosowania wspomnianego rozporządzenia, zależnie od rodzaju działalności, w ramach której dochodzi do przetwarzania danych. Z orzecznictwa Trybunału wynika, że z uwagi na wymóg dokonywania ścisłej wykładni tych wyłączeń konieczne jest, aby działalność ta zaliczała się do tych rodzajów działalności, które są wyraźnie wymienione w art. 2 ust. 2 RODO, lub aby mogła zostać zaliczona do tej samej kategorii co owe działalności. W związku z tym okoliczność, że dana działalność jest właściwa państwu czy organowi publicznemu, nie wystarcza, aby można było uznać, że jest prowadzona w ramach działalności nieobjętej zakresem prawa Unii w rozumieniu wyłączenia zawartego w art. 2 ust. 2 lit. a) RODO(16).
47. Co się tyczy niniejszej sprawy, należy zauważyć, że przetwarzanie danych w ramach egzekucji roszczeń cywilnoprawnych nie jest wyłączone z zakresu stosowania tego rozporządzenia.
48. Zakres stosowania RODO jest zdefiniowany przez pojęcie „przetwarzania”. Zgodnie z art. 4 pkt 2 tego rozporządzenia pojęcie to obejmuje każdą operację wykonywaną na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, w szczególności taką jak „pobieranie”, „przeglądanie”, „wykorzystywanie” oraz „innego rodzaju udostępnianie” tych danych. Prawodawca Unii zamierzał w ten sposób nadać temu pojęciu szeroki zakres(17).
49. Czy w niniejszym przypadku mamy do czynienia z przetwarzaniem danych osobowych?
50. Na wstępie należy poczynić pewne uściślenie. Postawione przez sąd odsyłający pytanie nie obejmuje operacji na danych osobowych wykonywanych przez spółkę NMW w ramach prowadzenia przez nią działalności w zakresie sprzedaży internetowej przy pomocy platformy M. Pytanie to dotyczy wyłącznie postępowania egzekucyjnego zmierzającego do przeprowadzenia egzekucyjnej sprzedaży rozpatrywanych baz danych. Zdaniem sądu odsyłającego takie postępowanie obejmuje przetwarzanie danych osobowych w rozumieniu RODO, przy czym administratorem tych danych jest komornik sądowy.
51. Udzielone przez rząd polski podczas rozprawy wyjaśnienia odnośnie do zadań pełnionych przez komornika sądowego w postępowaniu egzekucyjnym nie pozostawiają moim zdaniem żadnych wątpliwości co do prawidłowości tej wykładni.
52. Rząd ten wyjaśnił, że rozpatrywane postępowanie rozpoczyna się od zajęcia bazy danych, w wyniku którego komornik sądowy uzyskuje dostęp do zawartych w niej danych osobowych w celu oszacowania jej wartości i oznaczenia owej wartości w protokole zajęcia. Do celów takiego oszacowania komornik sądowy wykonuje szereg operacji obejmujących pobieranie, przeglądanie i wykorzystywanie tych danych(18). Postępowanie egzekucyjne kończy się sprzedażą bazy danych w drodze licytacji publicznej. Po uprawomocnieniu się przybicia i zapłaceniu całej ceny komornik sądowy udostępnia wspomnianą bazę danych nabywcy.
53. Wynika z tego, że dane osobowe zawarte w bazach danych takich jak te rozpatrywane niniejszej sprawie, są najmniej pobierane, przeglądane i wykorzystywane przez komornika sądowego w związku z oszacowaniem wartości tych baz danych, a następnie udostępnione nabywcy. Należy w tym względzie zauważyć, że przetwarzanie danych osobowych może składać się z jednej lub kilku operacji, a każda z nich – odnosić się do jednego z różnych etapów, które przetwarzanie danych osobowych może obejmować(19). W niniejszej sprawie operacje te należy zatem uznać za „przetwarzanie” w rozumieniu RODO.
54. Następnie należy ustalić, kto jest administratorem tych danych.
55. Przypomnę, że zgodnie z art. 4 pkt 7 RODO pojęcie „administratora” obejmuje osoby fizyczne lub prawne, organy publiczne, jednostki lub inne podmioty, które samodzielnie lub wspólnie z innymi ustalają cele i sposoby przetwarzania danych osobowych(20). Przepis ten stanowi również, że jeżeli cele i sposoby takiego przetwarzania są określone w szczególności w prawie państwa członkowskiego, to również w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Zgodnie z utrwalonym orzecznictwem taka szeroka definicja pojęcia „administratora” ma na celu zapewnienie osobom, których dane dotyczą, skutecznej i pełnej ochrony(21).
56. Zgodnie z najnowszym orzecznictwem, jeżeli cele i sposoby przetwarzania są określone w prawie krajowym, należy zbadać, czy prawo to wskazuje administratora, czy też przewiduje konkretne kryteria jego wyznaczania. Wyznaczenie administratora w prawie krajowym może być nie tylko wyraźne, ale również dorozumiane. W tym ostatnim przypadku wymagane jest jednak, aby określenie to wynikało w sposób wystarczająco pewny z roli, misji i uprawnień przyznanych danej osobie lub danemu podmiotowi(22).
57. W niniejszym przypadku z art. 3 ust. 1 ustawy o komornikach sądowych wynika, że komornik jest organem władzy publicznej w zakresie wykonywania czynności w szczególności w postępowaniu egzekucyjnym, z uwzględnieniem wyjątków przewidzianych w ustawach. Ponadto, jak wskazałem powyżej, z akt sprawy wynika, że w sytuacji prowadzenia egzekucji z baz danych czynności te polegają między innymi na pobieraniu, przeglądaniu, wykorzystywaniu zawartych w nich danych osobowych w związku z oszacowaniem wartości tych baz danych celem ich zbycia w drodze licytacji publicznej, jak również na udostępnieniu nabywcy po uprawomocnieniu się przybicia. Według mnie prawo polskie określiło zatem, przynajmniej w sposób dorozumiany, cele i sposoby przetwarzania danych osobowych przez komornika sądowego.
58. Wynika z tego, że komornik sądowy jako organ władzy publicznej odpowiedzialny za prowadzenie postępowań egzekucyjnych, także tych mających za przedmiot bazy danych, może być w tym przypadku uznany za administratora, w rozumieniu art. 4 pkt 7 RODO, danych osobowych znajdujących się w tych bazach.
59. Sąd odsyłający nie wskazuje na żaden przepis prawa polskiego, który nakładałby na dłużną spółkę NMW obowiązki w zakresie współpracy z komornikiem sądowym w celu umożliwienia mu określenia wartości rozpatrywanych baz danych na potrzeby ich sprzedaży egzekucyjnej.
60. Nie można wykluczyć, że takie obowiązki wiązałyby się z innym przetwarzaniem w rozumieniu RODO, w związku z którym spółka ta miałaby status administratora. Należy w tym względzie przypomnieć, że Trybunał uznał w wyroku Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych), iż przekazanie i udostępnienie przez podmiot gospodarczy organowi podatkowemu państwa członkowskiego danych osobowych, które podmiot ten jest obowiązany dostarczyć na podstawie przepisów prawa, wiąże się z takim przetwarzaniem, obok przetwarzania dokonywanego przez ten organ w związku z jego wnioskiem, w którym domaga się on przekazania i udostępnienia tych danych(23).
61. Mniej prawdopodobne, chociaż teoretycznie możliwe do wyobrażenia jest, że komornik sądowy i dłużna spółka NMW mogliby zostać uznani łącznie za administratorów w odniesieniu do przetwarzania rozpatrywanych danych osobowych w celu dokonania ich sprzedaży egzekucyjnej. W myśl wyroku État belge (Dane przetwarzane przez dziennik urzędowy) wniosek taki jest możliwy do przyjęcia, o ile różne operacje przetwarzania są powiązane celami i sposobami określonymi w prawie krajowym i o ile prawo to określa odpowiednie obowiązki każdego ze współadministratorów(24).
62. Niemniej przedstawiona poniżej analiza opiera się na wynikającym z okoliczności sprawy założeniu, że komornik sądowy jest w postępowaniu głównym jedynym administratorem.
63. Jako administrator komornik sądowy jest nie tylko odpowiedzialny za przestrzeganie zasad regulujących przetwarzanie danych osobowych(25), lecz podlega również znacznej liczbie obowiązków, którym odpowiadają uprawnienia osób, których dane dotyczą(26). Ustawodawca krajowy może ograniczyć zakres tych obowiązków wyłącznie w przypadkach określonych w art. 23 RODO. Rząd polski, pytany podczas rozprawy, czy w prawie krajowym istnieją takie przepisy ustawowe, wskazał jedynie na art. 4 ustawy o ochronie danych osobowych. Jednakże artykuł ten ogranicza wyłącznie zakres obowiązków administratora wykonującego zadanie publiczne, które wynikają z art. 14 ust. 1, 2 i 4 RODO („Informacje podawane w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą”).
W przedmiocie zgodności z prawem rozpatrywanego w niniejszej sprawie przetwarzania danych osobowych
64. Jak wielokrotnie orzekał Trybunał, każde przetwarzanie danych osobowych powinno w szczególności być zgodne z zasadami dotyczącymi przetwarzania tych danych, określonymi w art. 5 ust. 1 RODO, oraz – przy uwzględnieniu zasady zgodności przetwarzania z prawem – spełniać przesłanki zgodności przetwarzania z prawem wymienione w art. 6 tego rozporządzenia(27).
65. W art. 6 ust. 1 akapit pierwszy wspomnianego rozporządzenia zawarty został wyczerpujący i zamknięty katalog hipotez, w których przetwarzanie danych osobowych można zakwalifikować jako zgodne z prawem. Taka kwalifikacja wymaga, aby przetwarzanie odpowiadało jednej z przewidzianych w tym przepisie hipotez. Należy przypomnieć, że przetwarzanie rozpatrywane w niniejszej sprawie nie jest objęte główną hipotezą przewidzianą w tym przepisie, jaką jest zgoda osoby, której dane dotyczą, na przetwarzanie w jednym lub większej liczbie określonych celów(28). Jak wynika z postanowienia odsyłającego, w postępowaniu głównym nie przedstawiono żadnego dowodu, który pozwoliłby na ustalenie, że osoby, których dotyczą dane osobowe zebrane w rozpatrywanych bazach danych, wyraziły zgodę na to, by ich dane były przekazywane podmiotom trzecim, poza działalność związaną z platformą M., a w szczególności na ich sprzedaż w toku postępowania egzekucyjnego.
66. Zdaniem sądu odsyłającego przetwarzanie danych przez komornika sądowego mogłoby podlegać przepisom art. 6 ust. 1 akapit pierwszy lit. c) RODO (przetwarzanie niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze) lub art. 6 ust. 1 akapit pierwszy lit. e) tego rozporządzenia (przetwarzanie niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi)(29).
67. Jak zauważa sąd odsyłający, art. 3 ustawy o komornikach sądowych przyznaje komornikowi status organu władzy publicznej. Według mnie trudno byłoby utrzymywać, że czynności powierzone mu w ramach prowadzenia postępowania egzekucyjnego, zmierzające do zaspokojenia wierzyciela, nie stanowią zadania realizowanego w ramach sprawowania władzy publicznej powierzonej temu komornikowi.
68. Ponadto trudno byłoby uznać, że w sytuacji takiej jak niniejsza znajduje zastosowanie hipoteza wskazana w art. 6 ust. 1 akapit pierwszy lit. c) RODO. Należy w tym względzie zauważyć, że zakres stosowania tego przepisu jest ściśle określony. Jak bowiem wynika z opinii 6/2014 grupy roboczej „Artykuł 29”(30), obowiązek prawny ciążący na administratorze musi być wystarczająco jasny co do wymaganego na jego mocy przetwarzania danych osobowych. Wymaga to w szczególności istnienia przepisów prawnych odnoszących się bezpośrednio do charakteru i przedmiotu przetwarzania(31).
69. Nie wydaje mi się, aby w niniejszym przypadku za takie przepisy można było uznać powołane przez sąd odsyłający art. 3 ust. 1, art. 9 ust. 1 pkt 1 i art. 31 ust. 1 zdanie pierwsze ustawy o komornikach sądowych, a także art. 796 § 1 i art. 799 § 1 zdanie pierwsze kodeksu postępowania cywilnego, ponieważ z przepisów tych wynika wyłącznie, że komornik sądowy jako organ władzy publicznej jest obowiązany rozpatrzyć każdy wniosek o wszczęcie egzekucji według wszystkich dopuszczalnych sposobów. Ściślej rzecz ujmując, nie wydaje się, aby prawo polskie nakładało na komorników sądowych prawny obowiązek sprzedaży egzekucyjnej bazy danych składającej się z danych osobowych. Należy w tym względzie zauważyć, że art. 831 § 1 pkt 3 kodeksu postępowania cywilnego wyklucza prowadzenie egzekucji z „praw niezbywalnych”, co można byłoby rozumieć jako zakaz zbycia bazy danych w przypadku, gdyby było ono niezgodne z RODO.
70. W każdym razie nie ma potrzeby wykluczania, że ta ostatnia hipoteza jest również adekwatna w niniejszej sprawie. O ile bowiem, jak wynika z brzmienia art. 6 ust. 1 akapit pierwszy RODO, wystarczy, aby zastosowanie miała chociaż jedna hipoteza zgodności przetwarzania z prawem, o tyle Trybunał przyznał, że to samo przetwarzanie może odpowiadać szeregowi tych hipotez(32).
71. W mojej ocenie rozpatrywane przetwarzanie danych jest zatem objęte hipotezą zgodności przetwarzania z prawem sformułowaną w art. 6 ust. 1 akapit pierwszy lit. e) RODO.
72. Należy zauważyć, że hipoteza ta wymaga uwzględnienia innej przesłanki zgodności przetwarzania z prawem. Artykuł 6 ust. 3 RODO stanowi bowiem, że podstawa przetwarzania, o którym mowa między innymi w art. 6 ust. 1 akapit pierwszy lit. e) tego rozporządzenia, musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator, musi służyć realizacji celu leżącego w interesie publicznym oraz być proporcjonalna do wyznaczonego, prawnie uzasadnionego celu(33).
73. Artykuł 6 ust. 1 akapit pierwszy lit. e) w związku z art. 6 ust. 3 RODO wymaga zatem istnienia podstawy prawnej, w szczególności w prawie krajowym, w oparciu o którą dokonuje się przetwarzania danych osobowych przez administratorów tych danych wykonujących zadania realizowane w ramach sprawowania władzy publicznej, tak jak to jest w przypadku komornika sądowego prowadzącego egzekucję z majątku spółki(34).
74. Moim zdaniem na tę podstawę prawną składają się wszystkie wskazane w pierwszym zdaniu pkt 69 niniejszej opinii przepisy prawa polskiego, z których wynika, że komornik sądowy jako organ władzy publicznej jest obowiązany rozpatrzyć każdy wniosek o wszczęcie egzekucji według wszystkich dopuszczalnych sposobów.
75. Kwestia ustalenia, czy rozpatrywane przetwarzanie danych jest zgodne z RODO, wymaga wreszcie, aby pochylić się nad dodatkową problematyką prawną, która stanowi sedno niniejszej sprawy.
76. Pragnę bowiem zauważyć, że cel przetwarzania danych osobowych przez komornika sądowego, a mianowicie sprzedaż egzekucyjna baz danych użytkowników platformy M. w celu zaspokojenia wierzycieli spółki NMW, różni się od pierwotnego celu przetwarzania przez tę spółkę danych osobowych, jakim było umożliwienie używania platformy M. na potrzeby prowadzonej przez wspomnianą spółkę działalności w zakresie sprzedaży internetowej.
77. Należy w tym względzie przypomnieć, że zgodnie z art. 5 ust. 1 lit. b) RODO, który ustanawia zasadę „ograniczenia celu”, dane osobowe muszą być, po pierwsze, zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, a po drugie, nieprzetwarzane dalej w sposób niezgodny z tymi celami. Przepis ten nie zawiera jednakże wskazówek co do tego, na jakich warunkach dalsze przetwarzanie danych osobowych można uznać za zgodne z celami pierwotnego zbierania tych danych(35).
78. Z art. 6 ust. 4 RODO, interpretowanego w świetle motywu 50 tego rozporządzenia(36), wynika, że badanie takiej zgodności wymaga uwzględnienia szeregu kryteriów, których niewyczerpujące wyliczenie jest zawarte w tym przepisie.
79. Jest oczywiste, że uwzględnienie tych kryteriów w niniejszym przypadku nie mogłoby skutkować odpowiedzią twierdzącą, jeśli chodzi o zgodność z prawem rozpatrywanych celów przetwarzania. Jak ostatnio wyjaśnił Trybunał, wspomniane kryteria wskazują na konieczność konkretnego, logicznego i dostatecznie ścisłego związku pomiędzy celami pierwotnego zbierania danych osobowych a dalszym przetwarzaniem tych danych i dzięki temu pozwalają upewnić się, czy to dalsze przetwarzanie nie odbiega od uzasadnionych oczekiwań osób, których dane dotyczą, co do dalszego wykorzystania ich danych(37). W niniejszej sprawie nie można wykazać takiego związku.
80. W każdym razie z art. 6 ust. 4 zdanie pierwsze RODO wynika, że ocena zgodności z prawem celów staje się niezbędna wyłącznie „[j]eżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1 [RODO]”.
81. Nie ulega wątpliwości, że w niniejszym przypadku użytkownicy platformy M. nie wyrazili zgody na przetwarzanie ich danych osobowych w celu innym niż cel, w którym zostały zebrane. Należy zatem zastanowić się, czy podstawą takiego przetwarzania jest prawo krajowe lub prawo Unii oraz czy można uznać, że stanowi ono w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu któregoś z celów wyszczególnionych w art. 23 ust. 1 RODO.
82. Uważam, że należy uściślić w tym względzie, iż Trybunał zinterpretował tę hipotezę jako rzeczywistą derogację od zasady ograniczenia celu. W oparciu o motyw 50 RODO Trybunał wskazał, że administrator danych, aby zapewnić realizację ważnych celów leżących w ogólnym interesie publicznym, sformułowanych w art. 23 ust. 1 RODO, jest uprawniony do dalszego przetwarzania danych osobowych bez względu na zgodność tego przetwarzania z celami, w których dane osobowe zostały pierwotnie zebrane. Trybunał stwierdził w związku z tym, że art. 6 ust. 4 zdanie pierwsze tego rozporządzenia ma zastosowanie do przedstawienia, na zarządzenie sądu w postępowaniu cywilnym, dowodu z dokumentu zawierającego dane osobowe osób trzecich zebrane głównie do celów kontroli podatkowej(38).
83. Mimo że wykładnia ta może wywołać niezadowolenie tych, którzy uważają, że prawo do ochrony danych osobowych powinny móc ograniczać wyłącznie krajowe środki ustawodawcze, moim zdaniem jest ona w pełni zgodna z intencjami prawodawcy Unii. Należy bowiem przypomnieć, że w uzasadnieniu stanowiska Rady w ramach prac przygotowawczych RODO wyrażona została, być może w sposób jeszcze bardziej jasny niż w motywie 50 tego rozporządzenia, decyzja o przyznaniu administratorowi dokładnie określonego zakresu, w którym może on dokonywać przetwarzania, które jest niezgodne z celami wskazanymi w chwili zbierania danych osobowych podlegających przetwarzaniu(39).
84. Skoro zostało wykazane istnienie podstawy prawnej, w oparciu o którą odbywa się rozpatrywane przetwarzanie danych, następnie należy ustalić, czy to przetwarzanie służy zagwarantowaniu celów sformułowanych w art. 23 RODO.
85. Pragnę zauważyć, że wśród tych celów, w ust. 1 lit. j) tego przepisu, znajduje się „egzekucja roszczeń cywilnoprawnych”. Moim zdaniem rozpatrywane przetwarzanie danych osobowych jest odpowiednie do zagwarantowania tego celu. Należy w tym względzie zauważyć, że zdaniem sądu odsyłającego cel tego przetwarzania wynika z treści art. 911 kodeksu postępowania cywilnego w związku z art. 31 ust. 1 zdanie pierwsze ustawy o komornikach sądowych, które to przepisy stanowią podstawę dla dokonania przez komornika sądowego sprzedaży bazy danych, a następnie przekazania wierzycielowi kwoty uzyskanej ze sprzedaży.
86. Kwestia ustalenia, czy przetwarzanie danych osobowych przez komornika sądowego w toku postępowania egzekucyjnego stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący do osiągnięcia celu, jakim jest egzekucja roszczeń cywilnoprawnych, leży w kompetencji sądu odsyłającego. Zadaniem Trybunału jest jednak dostarczenie temu sądowi w oparciu o prawo Unii wszelkich niezbędnych w tym celu wskazówek(40).
87. Jeśli chodzi o przesłankę niezbędności, jest bezsporne, że dany środek jest niezbędny, kiedy zamierzony uzasadniony cel nie może zostać osiągnięty poprzez łagodniejszy, równie odpowiedni środek. Innymi słowy: czy możliwe jest zapewnienie egzekucji roszczenia wierzyciela za pomocą innych środków, które są równie skuteczne, ale nie naruszają w takim stopniu prawa użytkowników platformy M. do życia prywatnego i do ochrony danych osobowych? W tym względzie ograniczę się do stwierdzenia, że zdaniem sądu odsyłającego bez sprzedaży egzekucyjnej rozpatrywanych baz danych nie jest możliwe zaspokojenie wierzyciela z majątku dłużnej spółki.
88. Co się tyczy proporcjonalności, ocena spełnienia tej przesłanki wymaga wyważenia wchodzących w grę przeciwstawnych interesów w zależności od konkretnych okoliczności każdego badanego przypadku.
89. W niniejszym przypadku pierwszy z tych interesów, jakim jest prawo podstawowe zapisane w art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”) oraz w art. 16 TFUE, wyraża się w ochronie użytkowników platformy M. w związku z przetwarzaniem danych osobowych. Ściśle z nim związane jest prawo do poszanowania życia prywatnego zapisane w art. 7 Karty. Jak wynika z motywu 4 RODO, prawo do ochrony danych osobowych nie jest prawem bezwzględnym, lecz należy je postrzegać w kontekście jego funkcji społecznej i w myśl zasady proporcjonalności wyważyć względem innych praw podstawowych. Jednym z takich praw jest prawo własności, o którym mowa w art. 17 Karty. Sprzedaż należącej do dłużnika bazy danych w postępowaniu egzekucyjnym moim zdaniem przyczynia się do poszanowania prawa własności wierzyciela posiadającego zasądzoną wyrokiem wierzytelność.
90. Należy w tym względzie przypomnieć, że art. 17 Karty jest odpowiednikiem art. 1 Protokołu dodatkowego do europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności podpisanej w Rzymie w dniu 4 listopada 1950 r. (zwanej dalej „EKPC”), zatem zgodnie z art. 52 ust. 3 Karty jego znaczenie i zakres są takie same jak znaczenie i zakres praw przyznanych przez EKPC w tym art. 1.
91. W myśl orzecznictwa Europejskiego Trybunału Praw Człowieka z prawa własności wynika ciążący na państwach pozytywny obowiązek ustanowienia systemu wykonywania orzeczeń sądowych, efektywnego zarówno w praktyce, jak i pod względem prawnym, który zapewnia, że przewidziane w przepisach procedury egzekwowania prawomocnych orzeczeń sądowych są uruchamiane bez zbędnej zwłoki(41). Gdy wierzyciel jest podmiotem prywatnym, państwo ma obowiązek udzielić niezbędnego wsparcia wierzycielom w celu wykonania rozpatrywanych orzeczeń sądowych, przykładowo za pośrednictwem służby komorniczej(42). W tym kontekście, gdy organy mają obowiązek działania w celu doprowadzenia do wykonania orzeczenia, lecz nie wykonują go, ich bezczynność może skutkować odpowiedzialnością państwa w szczególności na gruncie art. 1 Protokołu dodatkowego nr 1 do EKPC(43).
92. W ramach oceny tego wyważenia prawa własności z jednej strony i prawa do ochrony danych osobowych oraz prawa poszanowania życia prywatnego z drugiej strony można według mnie uwzględnić pewien szczególny element wynikający z akt sprawy.
93. Zgodnie z postanowieniem odsyłającym nie istnieją przepisy prawa krajowego, które wprowadzałyby ograniczenia podmiotowe co do nabywcy bazy danych (jedynym warunkiem jest posiadanie zdolności prawnej i zdolności do czynności prawnych), a luka ta powoduje, że nabywcą może być również podmiot mający siedzibę poza Unią Europejską, który jako taki nie jest obowiązany do przestrzegania ustanowionych w RODO zasad dotyczących przetwarzania danych osobowych.
94. Wydaje mi się, że w takiej sytuacji rozpatrywane przetwarzanie danych skutkowałoby nadmiernym poświęceniem prawa do ochrony danych osobowych, w związku z czym nie można by go uznać za środek proporcjonalny. Takiego skutku pozwoliłoby uniknąć, przykładowo, krajowe unormowanie prawne nakazujące komornikowi sądowemu, aby do warunków licytacji sporządzanych na potrzeby sprzedaży włączał klauzulę nakazującą nabywcy będącemu osobą trzecią przestrzeganie zasad RODO.
Wnioski
95. W świetle powyższych rozważań proponuję Trybunałowi, by na pytanie prejudycjalne przedstawione przez Sąd Rejonowy dla m.st. Warszawy w Warszawie (Polska) odpowiedział następująco:
Artykuł 6 ust. 1 akapit pierwszy lit. e), art. 6 ust. 3 i art. 6 ust. 4 zdanie pierwsze rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)
należy interpretować w ten sposób, że:
nie stoi on na przeszkodzie takiemu unormowaniu prawa krajowego, które pozwala na dokonanie przez komornika sądowego w postępowaniu egzekucyjnym sprzedaży bazy danych składającej się z danych osobowych, jeśli osoby, których te dane dotyczą, nie wyraziły zgody na taką sprzedaż, o ile przetwarzanie wspomnianych danych przez tego komornika stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu egzekucji roszczenia cywilnoprawnego.