Tak orzekł w czwartek Trybunał Sprawiedliwości Unii Europejskiej, który zajął się sprawą zainicjowaną przez federalny związek organizacji i stowarzyszeń konsumenckich w Niemczech ( C-319/20).
Spółka Meta Platforms Ireland (dawniej Facebook Ireland) jest administratorem danych osobowych użytkowników serwisu społecznościowego Facebook w Unii. Serwis udostępnia swoim użytkownikom m.in. bezpłatne gry różnych zewnętrznych dostawców. Przeglądając niektóre z tych gier dostępnych w centrum aplikacji, użytkownik widzi wyświetlającą się informację, że poprzez korzystanie z danej aplikacji zezwala spółce dostarczającej gry na uzyskanie pewnych danych osobowych i upoważnia ją do publikacji w jego imieniu pewnych informacji. Chęć skorzystania z aplikacji wiąże się z zaakceptowaniem przez użytkownika jej ogólnych warunków oraz związanej z nią polityki w dziedzinie ochrony danych.
Związek organizacji konsumenckich zarzucił Meta Platforms Ireland, że przy udostępnianiu użytkownikom tych gier, nie przestrzega przepisów dotyczących ochrony danych osobowych, zwalczania nieuczciwej konkurencji i ochrony konsumentów.
Sprawa trafiła do federalnego trybunału sprawiedliwości w Niemczech, który uznał, że choć powództwo jest zasadne, to są wątpliwości co do jego dopuszczalności. Chodzi o to, czy stowarzyszenie ochrony interesów konsumentów ma jeszcze prawo - po wejściu w życie ogólnego rozporządzenia o ochronie danych (RODO) - do występowania przed sądami cywilnymi z powództwem dotyczącym naruszenia tego rozporządzenia niezależnie od konkretnych naruszeń praw poszczególnych osób, których dane dotyczą, i bez otrzymanego od nich upoważnienia. Według niemieckiego trybunału, analiza RODO prowadzić może do wniosku, że tylko organ nadzorczy w danym kraju (taki jak polski Urząd Ochrony Danych Osobowych) ma prawo weryfikować stosowanie przepisów RODO.
Czytaj więcej
Stowarzyszenia konsumentów mogą pozywać Facebooka za naruszenie prywatności - taką opinię wydał rzecznik generalny unijnego Trybunału Sprawiedliwości w niemieckiej sprawie dotyczącej gier online, która może utorować drogę do podobnych działań w całej UE.
- RODO nie sprzeciwia się uregulowaniu krajowemu, które zezwala stowarzyszeniu ochrony interesów konsumentów na wniesienie do sądu powództwa – w braku udzielonego mu w tym celu upoważnienia i niezależnie od naruszenia konkretnych praw osób, których dane dotyczą – przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych z powodu naruszenia zakazu stosowania nieuczciwych praktyk handlowych, naruszenia przepisów o ochronie konsumentów lub zakazu stosowania nieważnych ogólnych warunków handlowych, jeżeli odnośne przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z tego rozporządzenia - orzekł TSUE wydanym w czwartek wyroku
Trybunał zauważył, że RODO zapewnia pełną co do zasady harmonizację ustawodawstw krajowych w zakresie ochrony danych osobowych, ale niektóre przepisy RODO pozwalają państwom członkowskim wprowadzić dodatkowe, własne regulacje, pod warunkiem nie naruszają treści ani celów RODO. Państwa członkowskie mają m.in. możliwość ustanowienia mechanizmu powództwa przedstawicielskiego przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych, określając jednocześnie szereg wymogów, których należy przestrzegać.
- Stowarzyszenie ochrony interesów konsumentów, takie jak związek organizacji konsumenckich, jest objęte zakresem pojęcia podmiotu posiadającego legitymację procesową czynną w rozumieniu RODO, ponieważ realizuje ono leżący w interesie publicznym cel polegający na zapewnieniu praw konsumentów. Naruszenie przepisów dotyczących ochrony konsumentów lub zwalczania nieuczciwych praktyk handlowych może być bowiem powiązane z naruszeniem przepisu w dziedzinie ochrony danych osobowych - stwierdził Trybunał.
Wskazał następnie, że wniesienie powództwa przedstawicielskiego zakłada, iż takie stowarzyszenie – niezależnie od jakiegokolwiek udzielonego mu upoważnienia – „uznaje", że przewidziane w RODO prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania jej danych osobowych, przy czym nie jest konieczne uprzednie zidentyfikowanie w sposób indywidualny osoby, której konkretnie dotyczy rzeczone przetwarzanie danych, ani wskazanie na istnienie konkretnego naruszenia praw wywodzonych z przepisów o ochronie danych.
Według TSUE, taka wykładnia jest zgodna z celem RODO, jakim jest zapewnienie wysokiego poziomu ochrony danych osobowych.
Zdaniem Trybunału przepisy krajowe, które przewidują możliwość wnoszenia
powództw przedstawicielskich w razie naruszeń RODO na podstawie przepisów
mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk
handlowych, nie są sprzeczne z RODO.
