PLWYROK TRYBUNAŁU (pierwsza izba)
z dnia 13 marca 2025 r.(*)
Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 5 ust. 1 lit. d) – Zasada prawidłowości – Artykuł 16 – Prawo do sprostowania danych – Artykuł 23 – Ograniczenia – Dane dotyczące tożsamości płciowej – Dane nieprawidłowe od chwili ich wpisania do rejestru publicznego – Środki dowodowe – Praktyka administracyjna polegająca na żądaniu od danej osoby dowodu na okoliczność chirurgicznej korekty płci
W sprawie C‑247/23 [Deldits](i)
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Fővárosi Törvényszék (sąd dla miasta stołecznego Budapeszt, Węgry) postanowieniem z dnia 29 marca 2023 r., które wpłynęło do Trybunału w dniu 18 kwietnia 2023 r., w postępowaniu:
VP
przeciwko
Országos Idegenrendészeti Főigazgatóság,
TRYBUNAŁ (pierwsza izba),
w składzie: K. Lenaerts, prezes Trybunału, pełniący obowiązki prezesa pierwszej izby, T. von Danwitz (sprawozdawca), wiceprezes Trybunału, M.L. Arastey Sahún, prezes piątej izby, A. Kumin i I. Ziemele, sędziowie,
rzecznik generalny: A.M. Collins,
sekretarz: I. Illéssy, administrator,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 3 czerwca 2024 r.,
rozważywszy uwagi, które przedstawili:
– w imieniu VP – G. Győző, ügyvéd, E. Polgári i T.L. Sepsi, ügyvéd,
– w imieniu rządu węgierskiego – M.Z. Fehér i R. Kissné Berta, w charakterze pełnomocników,
– w imieniu rządu estońskiego – N. Grünberg, w charakterze pełnomocnika,
– w imieniu rządu hiszpańskiego – S. Núñez Silva i A. Pérez-Zurita Gutiérrez, w charakterze pełnomocników,
– w imieniu rządu francuskiego – R. Bénard, B. Dourthe i B. Fodda, w charakterze pełnomocników,
– w imieniu rządu niderlandzkiego – M.K. Bulterman, A. Hanje i J.M. Hoogveld, w charakterze pełnomocników,
– w imieniu rządu portugalskiego – P. Barros da Costa, A. Pimenta, J. Ramos i Â. Seiça Neves, w charakterze pełnomocników,
– w imieniu Komisji Europejskiej – A. Bouchagiar, H. Kranenborg i Zs. Teleki, w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 12 września 2024 r.,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 16 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”).
2 Wniosek ten został złożony w ramach sporu pomiędzy VP, osobą fizyczną, a Országos Idegenrendészeti Főigazgatóság (krajową dyrekcją generalną policji ds. cudzoziemców, Węgry, zwaną dalej „organem właściwym w sprawach azylu”) w przedmiocie sprostowania danych dotyczących tożsamości płciowej VP w publicznym rejestrze prowadzonym przez ten organ.
Ramy prawne
Prawo Unii
3 Motywy 1, 10, 59 i 73 RODO mają następujące brzmienie:
„(1) Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Artykuł 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej [»Kartą«]) oraz art. 16 ust. 1 [TFUE] stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących.
[…]
(10) Aby zapewnić wysoki i spójny stopień ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych w Unii [Europejskiej], należy zapewnić równorzędny we wszystkich państwach członkowskich stopień ochrony praw i wolności osób fizycznych w związku z przetwarzaniem takich danych. Należy zapewnić spójne i jednolite w całej Unii stosowanie przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych. Jeżeli chodzi o przetwarzanie danych osobowych w celu wypełnienia obowiązku prawnego, w celu wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, państwa członkowskie powinny móc zachować lub wprowadzić krajowe przepisy doprecyzowujące stosowanie przepisów niniejszego rozporządzenia. […]
[…]
(59) Należy przewidzieć procedury ułatwiające osobie, której dane dotyczą, wykonywanie praw przysługujących jej na mocy niniejszego rozporządzenia, w tym mechanizmy żądania – i gdy ma to zastosowanie bezpłatnego uzyskiwania – w szczególności dostępu do danych osobowych i ich sprostowania lub usunięcia oraz możliwości wykonywania prawa do sprzeciwu. […]
[…]
(73) W prawie Unii lub w prawie państwa członkowskiego można przewidzieć ograniczenia dotyczące określonych zasad oraz prawa do […] sprostowania lub usuwania [danych osobowych] […], o ile jest to niezbędne i proporcjonalne w społeczeństwie demokratycznym, by zapewnić bezpieczeństwo publiczne, w tym […] zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, ściganie czynów zabronionych, lub wykonywanie kar, w tym ochronę przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganie takim zagrożeniom […] lub ochronę innych ważnych celów leżących w ogólnym interesie publicznym Unii lub państwa członkowskiego, w szczególności […] prowadzenie rejestrów publicznych z uwagi na względy ogólnego interesu publicznego, […] lub ochronę osoby, której dane dotyczą, lub praw i wolności innych osób, w tym cele w dziedzinie ochrony socjalnej, zdrowia publicznego i cele humanitarne. Ograniczenia te powinny być zgodne z wymogami [Karty] oraz [europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r. (zwanej dalej »EKPC«)].
4 Artykuł 1 RODO, zatytułowany „Przedmiot i cele”, stanowi w ust. 2:
„Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych”.
5 Artykuł 2 RODO, zatytułowany „Materialny zakres stosowania”, stanowi w ust. 1:
„Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych”.
6 Zgodnie z art. 4 RODO, zatytułowanym „Definicje”:
„Na użytek niniejszego rozporządzenia:
1) »dane osobowe« oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
2) »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
[…]”.
7 Artykuł 5 RODO, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, przewiduje w ust. 1:
„Dane osobowe muszą być:
[…]
d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane (»prawidłowość«);
[…]”.
8 Artykuł 6 RODO, zatytułowany „Zgodność przetwarzania z prawem”, stanowi:
„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
[…]
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
[…]
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
[…].
2. Państwa członkowskie mogą zachować lub wprowadzić bardziej szczegółowe przepisy, aby dostosować stosowanie przepisów niniejszego rozporządzenia w odniesieniu do przetwarzania służącego wypełnieniu warunków określonych w ust. 1 lit. c) i e); w tym celu mogą dokładniej określić szczegółowe wymogi przetwarzania i inne środki w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności, także w innych szczególnych sytuacjach związanych z przetwarzaniem przewidzianych w rozdziale IX.
3. Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
a) w prawie Unii; lub
b) w prawie państwa członkowskiego, któremu podlega administrator.
Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.
[…]”.
9 Artykuł 16 RODO, zatytułowany „Prawo do sprostowania danych”, stanowi:
„Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Z uwzględnieniem celów przetwarzania, osoba, której dane dotyczą, ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia”.
10 Artykuł 23 RODO, zatytułowany „Ograniczenia”, stanowi w ust. 1:
„Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym:
a) bezpieczeństwu narodowemu;
b) obronie;
c) bezpieczeństwu publicznemu;
d) zapobieganiu przestępczości, prowadzeniu postępowań przygotowawczych, wykrywaniu lub ściganiu czynów zabronionych lub wykonywaniu kar, w tym ochronie przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganiu takim zagrożeniom;
e) innym ważnym celom leżącym w ogólnym interesie publicznym Unii lub państwa członkowskiego, w szczególności ważnemu interesowi gospodarczemu lub finansowemu Unii lub państwa członkowskiego, w tym kwestiom pieniężnym, budżetowym i podatkowym, zdrowiu publicznemu i zabezpieczeniu społecznemu;
[…]
h) funkcjom kontrolnym, inspekcyjnym lub regulacyjnym związanym, nawet sporadycznie, ze sprawowaniem władzy publicznej w przypadkach, o których mowa w lit. a)–e) oraz g);
[…]”.
Prawo węgierskie
11 Artykuł 81 menedékjogról szóló 2007. évi LXXX. törvény (ustawy nr LXXX z 2007 r. o prawie do azylu) z dnia 29 czerwca 2007 r. (Magyar Közlöny 2007/83, zwanej dalej „ustawą o prawie do azylu”) stanowi:
„Organ właściwy w sprawach azylu przetwarza w odpowiednim rejestrze dane osobowe uchodźców, beneficjentów statusu ochrony uzupełniającej, beneficjentów statusu osoby przyjętej, beneficjentów ochrony tymczasowej, a także osób ubiegających się o udzielenie ochrony międzynarodowej i osób podlegających procedurze dublińskiej (zwanych dalej łącznie »osobami podlegającymi niniejszej ustawie«), dane związane z ich pobytem, wsparciem i pomocą, do których są uprawnione, a także późniejsze zmiany tych danych, w celu:
a) potwierdzenia statusu uchodźców, beneficjentów statusu ochrony uzupełniającej, beneficjentów ochrony tymczasowej lub beneficjentów statusu osoby przyjętej oraz upewnienia się, że są uprawnione do korzystania z praw wynikających z tego statusu;
b) potwierdzenia, że przysługuje im prawo do form wsparcia i pomocy określonych w niniejszej ustawie i innych przepisach;
c) identyfikacji ich tożsamości;
d) unikania powielania postępowań, i
e) wykrywania wielokrotnego złożenia wniosku”.
12 Artykuł 82 ustawy o prawie do azylu przewiduje:
„Do celów niniejszego rozdziału za »dane identyfikacyjne osoby fizycznej« uważa się następujące dane osób podlegających niniejszej ustawie:
[…]
f) płeć”.
13 Zgodnie z art. 83 ust. 1 tej ustawy:
„Rejestr spraw o udzielenie azylu zawiera następujące dane osób podlegających niniejszej ustawie:
a) dane identyfikacyjne osób fizycznych;
[…]”.
14 Artykuł 83/A ust. 5 rzeczonej ustawy stanowi:
„Organ właściwy w sprawach azylu jest z urzędu zobowiązany do wykreślenia wpisów niezgodnych z przepisami, poprawienia wpisów błędnych i uzupełnienia wpisów pominiętych w prowadzonym przez siebie rejestrze urzędowym”.
Postępowanie główne i pytania prejudycjalne
15 VP, strona skarżąca w postępowaniu głównym, jest osobą narodowości irańskiej, która uzyskała status uchodźcy na Węgrzech w 2014 r. Na poparcie swojego wniosku o przyznanie tego statusu osoba ta powołała się na swoją tożsamość transpłciową i przedstawiła zaświadczenia lekarskie wystawione przez specjalistów w dziedzinie psychiatrii i ginekologii. Zgodnie z tymi zaświadczeniami, chociaż osoba ta urodziła się kobietą, jej tożsamość płciowa jest męska. W następstwie przyznania jej statusu uchodźcy na tej podstawie osoba ta została jednak zarejestrowana jako kobieta w rejestrze spraw o udzielenie azylu, który zgodnie z przepisami ustawy o prawie do azylu jest prowadzony przez organ właściwy w sprawach azylu i który zawiera dane identyfikacyjne, w tym płeć, osób fizycznych, które uzyskały ten status.
16 W 2022 r. strona skarżąca w postępowaniu głównym złożyła do organu właściwego w sprawach azylu, na podstawie art. 16 RODO, wniosek o sprostowanie wzmianki o płci męskiej i zmianę imienia w rejestrze spraw o udzielenie azylu. Załączyła ona do tego wniosku wspomniane zaświadczenia lekarskie. Decyzją z dnia 11 października 2022 r. organ ten oddalił wspomniany wniosek ze względu na to, że osoba ta nie wykazała, iż poddała się chirurgicznej korekcie płci, a przedstawione zaświadczenia wskazują jedynie na tożsamość transpłciową tej osoby.
17 Strona skarżąca w postępowaniu głównym wniosła skargę o stwierdzenie nieważności tej decyzji do Fővárosi Törvényszék (sądu dla miasta stołecznego Budapeszt, Węgry), który jest sądem odsyłającym. Na poparcie skargi VP podnosi, że tożsamość transpłciowa wiąże się z definicji ze zmianą tożsamości płciowej i że przedstawione zaświadczenia lekarskie potwierdzają tę zmianę. Z orzecznictwa Europejskiego Trybunału Praw Człowieka wynika, że nie można wymagać poddania się chirurgicznej korekcie płci w celu uznania zmiany tożsamości płciowej. Wymóg tego rodzaju jest również sprzeczny w szczególności z art. 3 i 7 Karty. VP twierdzi ponadto, że szereg państw członkowskich, w tym Królestwo Belgii, Królestwo Danii, Irlandia, Republika Grecka, Republika Malty, Republika Portugalska i Królestwo Szwecji, uznaje zmiany tożsamości płciowej na podstawie oświadczeń zainteresowanych osób. VP wyjaśnia, że zaświadczenia lekarskie przedstawione na poparcie skargi potwierdzają wygląd tej osoby jako męski, a w rozpoznaniu wyraźnie przypisują tej osobie kod F64.0 międzynarodowej klasyfikacji chorób sporządzonej przez Światową Organizację Zdrowia (WHO), który odpowiada transseksualizmowi.
18 Organ właściwy w sprawach azylu wnosi o oddalenie skargi.
19 Zdaniem sądu odsyłającego, o ile ustawa o prawie do azylu zawiera wprawdzie ogólny przepis dotyczący sprostowania błędnych wpisów, o tyle ustawa ta nie przewiduje ani procedury, ani warunków uznania zmiany tożsamości płciowej czy zamiany imienia w związku ze zmianą tożsamości płciowej. W tym względzie Alkotmánybíróság (trybunał konstytucyjny, Węgry) w wyroku nr 6/2018 z dnia 27 czerwca 2018 r. uznał za niezgodny z konstytucją fakt nieprzyjęcia przez ustawodawcę węgierskiego procedury umożliwiającej osobom legalnie zamieszkującym na Węgrzech, jednakże niemającym statusu obywateli węgierskich, zmianę adnotacji dotyczącej ich płci i imienia, mimo że w wypadku obywateli węgierskich dokonanie takiej zmiany jest możliwe. Ponadto Europejski Trybunał Praw Człowieka orzekł w wyroku z dnia 16 lipca 2020 r. w sprawie Rana przeciwko Węgrom (CE:ECHR:2020:0716JUD004088817), że Węgry naruszyły EKPC, ponieważ nie ustanowiły procedury prawnego uznania zmiany tożsamości płciowej w odniesieniu do uchodźców. Ta luka prawna utrzymuje się od tego czasu pomimo tych orzeczeń.
20 Sytuację tę pogarsza okoliczność, że od roku 2020 obywatele węgierscy utracili możliwość prawnego uznania zmiany tożsamości płciowej. To właśnie ze względu na ten brak możliwości uznania w prawie krajowym strona skarżąca w postępowaniu głównym wniosła skargę na podstawie art. 16 RODO. W tym kontekście sąd odsyłający zastanawia się, czy artykuł ten nakłada na organ właściwy w sprawach azylu obowiązek sprostowania danych dotyczących płci w rejestrze spraw o udzielenie azylu, a jeśli tak, to jakie dowody zainteresowana osoba powinna przedstawić na poparcie swojego wniosku.
21 W tych okolicznościach Fővárosi Törvényszék (sąd dla miasta stołecznego Budapeszt) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy art. 16 RODO należy interpretować w ten sposób, że organ odpowiedzialny za prowadzenie rejestrów na podstawie prawa krajowego ma obowiązek – w związku z wykonywaniem przez osobę, której dane dotyczą, jej praw – sprostować zarejestrowane przez ten organ dane osobowe dotyczące płci tej osoby, w przypadku gdy dane te uległy zmianie po ich wpisaniu do rejestru i z tego względu nie są zgodne z zasadą prawidłowości wynikającą z art. 5 ust. 1 lit. d) RODO?
2) W przypadku odpowiedzi twierdzącej na pytanie pierwsze, czy art. 16 RODO należy interpretować w ten sposób, że wymaga od osoby, która żąda sprostowania danych dotyczących jej płci, przedstawienia dowodów uzasadniających jej żądanie?
3) W przypadku odpowiedzi twierdzącej na pytanie drugie, czy art. 16 RODO należy interpretować w ten sposób, że osoba składająca wniosek ma przedstawić dowód na okoliczność, że poddała się chirurgicznej korekcie płci?”.
W przedmiocie pytań prejudycjalnych
W przedmiocie pytania pierwszego
22 Poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy art. 16 RODO należy interpretować w ten sposób, że nakłada on na organ krajowy odpowiedzialny za prowadzenie rejestru publicznego obowiązek sprostowania danych osobowych dotyczących tożsamości płciowej osoby fizycznej, jeżeli dane te nie są prawidłowe w rozumieniu art. 5 ust. 1 lit. d) tego rozporządzenia.
23 Na wstępie należy przypomnieć, że zgodnie z art. 16 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Z uwzględnieniem celów przetwarzania osoba, której dane dotyczą, ma prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia.
24 Przepis ten konkretyzuje prawo podstawowe ustanowione w art. 8 ust. 2 zdanie drugie Karty, zgodnie z którym każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania.
25 Ponadto art. 16 RODO należy interpretować w świetle, po pierwsze, art. 5 ust. 1 lit. d) RODO, który ustanawia zasadę prawidłowości, zgodnie z którą przetwarzane dane muszą być prawidłowe i, w razie potrzeby, uaktualniane, przy czym należy podjąć wszelkie racjonalne działania, aby dane, które są nieprawidłowe z punktu widzenia celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane. Po drugie, przepis ten należy również interpretować w świetle motywu 59 RODO, z którego wynika, że należy przewidzieć szczegółowe zasady mające na celu ułatwienie osobie, której dane dotyczą, wykonywania praw przysługujących jej na mocy tego rozporządzenia, w tym mechanizmy żądania – i, gdy ma to zastosowanie, bezpłatnego uzyskiwania – w szczególności sprostowania jej danych osobowych.
26 W tym względzie należy uściślić, że zgodnie z orzecznictwem Trybunału prawidłowość i kompletność danych osobowych należy oceniać w świetle celu, w jakim dane te zostały zebrane (zob. analogicznie wyrok z dnia 20 grudnia 2017 r., Nowak, C‑434/16, EU:C:2017:994, pkt 53).
27 Wreszcie na potrzeby wykładni art. 16 RODO należy jeszcze przypomnieć, że cel realizowany przez to rozporządzenie, jak wynika z jego art. 1 oraz z jego motywów 1 i 10, polega w szczególności na zapewnieniu wysokiego stopnia ochrony podstawowych praw i wolności osób fizycznych, a zwłaszcza ich prawa do życia prywatnego w zakresie przetwarzania danych osobowych, zapisanego w art. 8 ust. 1 Karty i w art. 16 ust. 1 TFUE (wyrok z dnia 9 stycznia 2025 r., Mousse, C‑394/23, EU:C:2025:2, pkt 21 i przytoczone tam orzecznictwo).
28 Zgodnie z tym celem wszelkie przetwarzanie danych osobowych musi w szczególności być zgodne z zasadami dotyczącymi przetwarzania takich danych określonymi w art. 5 RODO, w tym z zasadą prawidłowości przypomnianą w pkt 25 niniejszego wyroku, ale także spełniać warunki zgodności przetwarzania z prawem wymienione w art. 6 tego rozporządzenia (zob. podobnie wyrok z dnia 9 stycznia 2025 r., Mousse, C‑394/23, EU:C:2025:2, pkt 22 i przytoczone tam orzecznictwo).
29 W tych okolicznościach uaktualnianie przetwarzanych danych stanowi istotny aspekt ochrony osoby, której dane dotyczą, w zakresie przetwarzania tych danych.
30 W niniejszej sprawie bezsporne jest, po pierwsze, że informacje dotyczące tożsamości płciowej VP można uznać za „dane osobowe”, ponieważ odnoszą się one do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej w rozumieniu art. 4 pkt 1 RODO, a po drugie, że dane te były „przetwarzane” w rozumieniu art. 4 pkt 2 tego rozporządzenia, ponieważ zostały zebrane i zarejestrowane przez organ właściwy w sprawach azylu w rejestrze publicznym, czyli w rejestrze spraw o udzielenie azylu. W konsekwencji takie przetwarzanie, które dotyczy danych stanowiących część zbioru danych lub mających stanowić część zbioru danych, jest objęte przedmiotowym zakresem stosowania wspomnianego rozporządzenia na podstawie jego art. 2 ust. 1 (zob. analogicznie wyrok z dnia 9 stycznia 2025 r., Mousse, C‑394/23, EU:C:2025:2, pkt 30).
31 O ile wydaje się, że przestrzeganie warunków zgodności z prawem danego przetwarzania w rozumieniu art. 6 RODO nie zostało zakwestionowane w ramach sporu w postępowaniu głównym, o tyle przestrzeganie przez organ właściwy w sprawach azylu zasady prawidłowości wyrażonej w art. 5 ust. 1 lit. d) tego rozporządzenia jest kwestionowane przez VP, która to osoba wnosi o sprostowanie danych osobowych dotyczących jej tożsamości płciowej na podstawie art. 16 wspomnianego rozporządzenia.
32 W świetle orzecznictwa przypomnianego w pkt 26 niniejszego wyroku do sądu odsyłającego należy zweryfikowanie prawidłowości danych rozpatrywanych w postępowaniu głównym w świetle celu, dla którego zostały one zebrane, oraz ocena, w szczególności w świetle art. 81 lit. c) ustawy o prawie do azylu, czy zbieranie tych danych ma na celu zidentyfikowanie zainteresowanej osoby. Gdyby tak było, dane te wydawałyby się odnosić do tożsamości płciowej doświadczanej przez tę osobę w trakcie jej życia, a nie tej przypisanej jej przy urodzeniu. W tym kontekście, wbrew temu, co twierdzi rząd węgierski, do administratora danych, a więc w niniejszym przypadku do organu właściwego w sprawach azylu, należy uwzględnienie tożsamości płciowej wspomnianej osoby w chwili jej wpisu do rejestru spraw o udzielenie azylu, a nie tożsamości płciowej, która została jej przypisana przy urodzeniu.
33 W konsekwencji, jak zauważył w istocie rzecznik generalny w pkt 31 i 40 opinii, i w świetle akt sprawy, którymi dysponuje Trybunał, zgodnie z którymi w ramach procedury nadawania statusu uchodźcy Węgry przyznały, że VP jest osobą transpłciową, wydaje się, że dane osobowe dotyczące tożsamości płciowej tej osoby, zawarte w rejestrze spraw o udzielenie azylu są nieprawidłowe od chwili ich wpisu.
34 W tym względzie, wbrew temu, co twierdzi rząd węgierski, państwo członkowskie nie może powoływać się na szczególne przepisy prawa krajowego przyjęte na podstawie art. 6 ust. 2 i 3 RODO w celu podważenia prawa do sprostowania danych ustanowionego w art. 8 ust. 2 Karty i skonkretyzowanego w art. 16 RODO.
35 Z jednej strony bowiem z motywu 10 zdanie trzecie tego rozporządzenia wynika, że te przepisy szczególne mają jedynie na celu doprecyzowanie stosowania przepisów zawartych w RODO, a nie odstąpienie od nich.
36 Z drugiej strony prawo do sprostowania danych określone w art. 16 RODO może zostać ograniczone jedynie na warunkach określonych w art. 23 tego rozporządzenia w świetle jego motywu 73. I tak państwo członkowskie może w szczególności przewidzieć, za pomocą krajowych środków ustawodawczych, ograniczenia tego prawa w odniesieniu do danych osobowych zawartych w rejestrach publicznych prowadzonych w ogólnym interesie publicznym. Jednakże w niniejszej sprawie, jak zauważył w istocie rzecznik generalny w pkt 44 opinii, z akt sprawy, którymi dysponuje Trybunał, nie wynika, by ustawodawca węgierski ograniczył, przestrzegając warunków, o których mowa w art. 23 RODO, zakres wspomnianego prawa do sprostowania danych ani by organ właściwy w sprawach azylu uzasadnił odmowę żądanego sprostowania danych, powołując się na takie ograniczenie prawne. Z zastrzeżeniem weryfikacji przez sąd odsyłający wydaje się bowiem, że odmowa ta nie opiera się na środku ustawodawczym przyjętym na podstawie art. 23 RODO, lecz na założeniu, że strona skarżąca w postępowaniu głównym nie przedstawiła dowodu swojej tożsamości płciowej.
37 W każdym razie państwo członkowskie nie może powoływać się na brak w prawie krajowym procedury prawnego uznania tożsamości transpłciowej w celu sprzeciwienia się prawu do sprostowania. W tym względzie należy przypomnieć, że o ile prawo Unii nie narusza kompetencji państw członkowskich w dziedzinie stanu cywilnego osób i prawnego uznawania ich tożsamości płciowej, o tyle przy wykonywaniu tej kompetencji państwa te powinny przestrzegać prawa Unii. Tak więc uregulowanie krajowe, które stoi na przeszkodzie temu, by osoba transpłciowa, z uwagi na brak uznania jej tożsamości płciowej, mogła spełnić warunek konieczny do skorzystania z prawa chronionego przez prawo Unii, takiego jak w niniejszej sprawie prawo ustanowione w art. 8 ust. 2 Karty i skonkretyzowane w art. 16 RODO, należy uznać za co do zasady niezgodne z prawem Unii (zob. analogicznie wyrok z dnia 4 października 2024 r., Mirin, C‑4/23, EU:C:2024:845, pkt 53, 60 i przytoczone tam orzecznictwo).
38 W świetle całości powyższych rozważań odpowiedź na pytanie pierwsze powinna brzmieć: art. 16 RODO należy interpretować w ten sposób, że nakłada on na organ krajowy odpowiedzialny za prowadzenie rejestru publicznego obowiązek sprostowania danych osobowych dotyczących tożsamości płciowej osoby fizycznej, jeżeli dane te nie są prawidłowe w rozumieniu art. 5 ust. 1 lit. d) tego rozporządzenia.
W przedmiocie pytań drugiego i trzeciego
39 Poprzez pytania drugie i trzecie, które należy rozpatrzyć łącznie, sąd odsyłający dąży zasadniczo do ustalenia, czy art. 16 RODO należy interpretować w ten sposób, że państwo członkowskie może uzależnić w drodze praktyki administracyjnej wykonywanie prawa do sprostowania zawartych w rejestrze publicznym danych osobowych dotyczących tożsamości płciowej osoby fizycznej od przedstawienia dowodów, w szczególności na okoliczność poddania się chirurgicznej korekcie płci.
40 Jak zauważył rzecznik generalny w pkt 47 opinii, w art. 16 RODO nie sprecyzowano, jakich dowodów może wymagać administrator w celu wykazania, że dane osobowe, o których sprostowanie wnosi osoba fizyczna, są nieprawidłowe.
41 W tym kontekście, o ile osoba, której dane dotyczą, występująca o sprostowanie tych danych, może być zobowiązana do przedstawienia istotnych i wystarczających dowodów, jakie w świetle okoliczności danej sprawy mogą być racjonalnie wymagane od tej osoby w celu wykazania nieprawidłowości tych danych [zob. analogicznie wyrok z dnia 8 grudnia 2022 r., Google (Usunięcie linków do treści, która może okazać się nieprawdziwa), C‑460/20, EU:C:2022:962, pkt 68, 72], o tyle należy uściślić – jak przypomniano w pkt 36 niniejszego wyroku – że państwo członkowskie może ograniczyć wykonywanie prawa do sprostowania danych tylko pod warunkiem poszanowania art. 23 RODO.
42 Tymczasem art. 23 ust. 1 RODO przewiduje, że prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator lub podmiot przetwarzający, może ograniczyć w drodze aktu prawnego zakres obowiązków i praw przewidzianych w art. 12–22 i 34 tego rozporządzenia, a także w jego art. 5, o ile przepisy tego prawa odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 rzeczonego rozporządzenia, pod warunkiem jednak, że takie ograniczenie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym do zagwarantowania niektórych celów wymienionych w tymże rozporządzeniu, takich jak w szczególności ważne cele leżące w ogólnym interesie publicznym Unii lub państwa członkowskiego. Jak wskazano w pkt 36 niniejszego wyroku, prawo do sprostowania danych może podlegać ograniczeniom w kontekście prowadzenia rejestrów publicznych przechowywanych ze względów ogólnego interesu publicznego, w szczególności w celu zagwarantowania wiarygodności i spójności tych rejestrów.
43 W niniejszej sprawie z wniosku o wydanie orzeczenia w trybie prejudycjalnym wynika, że państwo członkowskie, którego sprawa dotyczy, przyjęło praktykę administracyjną polegającą na uzależnianiu skorzystania przez osobę transpłciową z prawa do sprostowania zawartych w rejestrze publicznym danych dotyczących jej tożsamości płciowej od przedstawienia dowodów na okoliczność poddania się chirurgicznej korekcie płci. Taka praktyka administracyjna prowadzi do ograniczenia prawa do sprostowania danych, które musi być zgodne z warunkami określonymi w art. 23 RODO, o czym przypomniano w dwóch poprzednich punktach niniejszego wyroku.
44 Tymczasem, po pierwsze, należy zauważyć, że ta praktyka administracyjna nie spełnia wymogu, zgodnie z którym prawo państwa członkowskiego może ograniczać zakres prawa przewidzianego w art. 16 RODO wyłącznie w drodze środków ustawodawczych. Wydaje się bowiem – co wymaga potwierdzenia przez sąd odsyłający – że prawo węgierskie nie zawiera żadnego środka ustawodawczego, który odnosiłby się do wymogów dowodowych mających zastosowanie do sprostowania danych dotyczących tożsamości płciowej osób wpisanych do rejestru spraw o udzielenie azylu.
45 Po drugie, taka praktyka administracyjna narusza istotę praw podstawowych zagwarantowanych w Karcie, a w szczególności istotę prawa człowieka do integralności i prawa do poszanowania życia prywatnego, o których mowa, odpowiednio, w jej art. 3 i 7.
46 W tym względzie należy przypomnieć, że zgodnie z art. 52 ust. 3 Karty prawa w niej zagwarantowane mają takie samo znaczenie i zakres jak odpowiadające im prawa zagwarantowane w EKPC, przy czym konwencja ta ustanawia próg minimalnej ochrony (zob. podobnie wyrok z dnia 4 października 2024 r., Mirin, C‑4/23, EU:C:2024:845, pkt 63 i przytoczone tam orzecznictwo).
47 Tymczasem z utrwalonego orzecznictwa Europejskiego Trybunału Praw Człowieka wynika, że art. 8 EKPC, który odpowiada art. 7 Karty, chroni tożsamość płciową człowieka, która jest elementem konstytutywnym i jednym z najbardziej intymnych aspektów jej życia prywatnego. I tak w postanowieniu tym zawiera się prawo każdej osoby do określenia szczegółów jej tożsamości jako istoty ludzkiej, co obejmuje prawo osób transpłciowych do rozwoju osobistego oraz do integralności fizycznej i psychicznej, a także do poszanowania i uznawania ich tożsamości płciowej. Ów art. 8 nakłada w tym celu na państwa, poza negatywnymi obowiązkami mającymi na celu ochronę osób transpłciowych przed arbitralną ingerencją władz publicznych, obowiązki pozytywne, co oznacza również wprowadzenie skutecznych i dostępnych procedur gwarantujących rzeczywiste poszanowanie ich prawa do tożsamości płciowej. Ponadto, z uwagi na szczególne znaczenie tego prawa, państwom przysługuje jedynie ograniczony zakres uznania w tej dziedzinie (zob. podobnie wyrok z dnia 4 października 2024 r., Mirin, C‑4/23, EU:C:2024:845, pkt 64, 65 i przytoczone tam orzecznictwo).
48 W tym kontekście Europejski Trybunał Praw Człowieka orzekł w szczególności, że uznanie tożsamości płciowej osoby transpłciowej nie może być uzależnione od przeprowadzenia zabiegu chirurgicznego, którego osoba ta sobie nie życzy (zob. podobnie wyrok ETPC z dnia 19 stycznia 2021 r. w sprawie X i Y przeciwko Rumunii, CE:ECHR:2021:0119JUD000214516, §§ 165, 167 i przytoczone tam orzecznictwo).
49 Wreszcie, po trzecie, praktyka administracyjna taka jak rozpatrywana w postępowaniu głównym nie jest w żadnym razie konieczna ani proporcjonalna do zagwarantowania wiarygodności i spójności rejestru publicznego, takiego jak rejestr spraw o udzielenie azylu, ponieważ zaświadczenie lekarskie, w tym uprzednia diagnoza psychologiczna, może stanowić istotny i wystarczający dowód w tym względzie (zob. podobnie wyrok ETPC z dnia 6 kwietnia 2017 r. w sprawie A.P., Garçon i Nicot przeciwko Francji, CE:ECHR:2017:0406JUD007988512, §§ 139, 142).
50 W świetle powyższych rozważań odpowiedź na pytania drugie i trzecie powinna brzmieć: art. 16 RODO należy interpretować w ten sposób, że do celów wykonania prawa do sprostowania zawartych w rejestrze publicznym danych osobowych dotyczących tożsamości płciowej osoby fizycznej osoba ta może zostać zobowiązana do przedstawienia istotnych i wystarczających dowodów, których można racjonalnie wymagać od tej osoby w celu wykazania nieprawidłowości tych danych. Państwo członkowskie nie może jednak w żadnym wypadku uzależnić w drodze praktyki administracyjnej wykonywania tego prawa od przedstawienia dowodów na okoliczność poddania się chirurgicznej korekcie płci.
W przedmiocie kosztów
51 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (pierwsza izba) orzeka, co następuje:
1) Artykuł 16 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)
należy interpretować w ten sposób, że:
nakłada on na organ krajowy odpowiedzialny za prowadzenie rejestru publicznego obowiązek sprostowania danych osobowych dotyczących tożsamości płciowej osoby fizycznej, jeżeli dane te nie są prawidłowe w rozumieniu art. 5 ust. 1 lit. d) tego rozporządzenia.
2) Artykuł 16 rozporządzenia 2016/679
należy interpretować w ten sposób, że:
do celów wykonania prawa do sprostowania zawartych w rejestrze publicznym danych osobowych dotyczących tożsamości płciowej osoby fizycznej osoba ta może zostać zobowiązana do przedstawienia istotnych i wystarczających dowodów, których można racjonalnie wymagać od tej osoby w celu wykazania nieprawidłowości tych danych. Państwo członkowskie nie może jednak w żadnym wypadku uzależnić w drodze praktyki administracyjnej wykonywania tego prawa od przedstawienia dowodów na okoliczność poddania się chirurgicznej korekcie płci.
Podpisy