Powództwo przedstawicielskie

A A A

Stan faktyczny

Irlandzka spółka M., która zarządza ofertą usług serwisu społecznościowego Facebook w UE, jest administratorem danych osobowych użytkowników tego serwisu społecznościowego w Unii. Facebook Germany GmbH, mająca siedzibę w Niemczech, promuje pod adresem www.facebook.de sprzedaż powierzchni reklamowych. Platforma internetowa Facebook obejmuje m.in. pod tym adresem przestrzeń zwaną „App-Zentrum” (centrum aplikacji), na której M. udostępnia użytkownikom bezpłatne gry dostawców będących osobami trzecimi. Przeglądając niektóre z tych gier dostępnych w centrum aplikacji, użytkownik widzi wyświetlającą się informację, że poprzez korzystanie z danej aplikacji zezwala spółce dostarczającej gry na uzyskanie pewnych danych osobowych i upoważnia ją do publikacji w jego imieniu pewnych informacji. Owo korzystanie z aplikacji wiąże się z zaakceptowaniem przez użytkownika jej ogólnych warunków oraz związanej z nią polityki w dziedzinie ochrony danych. Ponadto w przypadku jednej z gier pojawia się informacja, że użytkownik zezwala na publikowanie przez aplikację w jego imieniu swego statusu, zdjęć i innych informacji.

Niemiecki związek organizacji konsumenckich (dalej jako: BV) uważa, że podawane w przypadku odnośnych gier dostępnych w centrum aplikacji informacje są nieuczciwe, w szczególności dlatego, że nie spełniają one wymogów prawnych dotyczących uzyskania ważnej zgody użytkownika, zgodnie z przepisami o ochronie danych. Ponadto, zdaniem BV, informacja, że użytkownik zezwala na publikowanie przez aplikację w jego imieniu pewnych dotyczących go informacji prywatnych, stanowi nadmiernie niekorzystny dla użytkownika ogólny warunek handlowy. W zawiązku z tym BV wniósł przeciwko M. do sądu w Berlinie powództwo o zaniechanie. Powództwo to wniesiono niezależnie od konkretnego naruszenia prawa do ochrony danych osoby, której dane dotyczą, i bez upoważnienia od takiej osoby.

Pytanie prejudycjalne

Czy art. 80 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólnego rozporządzenia o ochronie danych) (dalej jako: RODO) należy interpretować w ten sposób, iż sprzeciwia się on uregulowaniu krajowemu, które zezwala stowarzyszeniu ochrony interesów konsumentów na wniesienie do sądu powództwa – w przypadku braku udzielonego mu w tym celu upoważnienia i niezależnie od naruszenia konkretnych praw osoby, której dane dotyczą – przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych z powodu naruszenia zakazu stosowania nieuczciwych praktyk handlowych, naruszenia przepisów o ochronie konsumentów lub zakazu stosowania nieważnych ogólnych warunków handlowych?

Stanowisko TS

1. Stosowanie art. 80 ust. 2 RODO

W rozdziale VIII RODO uregulowano m.in. środki ochrony prawnej umożliwiające ochronę praw osoby, której dane dotyczą, w przypadku gdy dotyczące jej dane osobowe miały zostać przetworzone w sposób sprzeczny z przepisami tego rozporządzenia. Ochrony tych praw może zatem żądać albo bezpośrednio osoba, której dane dotyczą, albo uprawniony podmiot, posiadający w tym celu upoważnienie lub nieposiadający takiego upoważnienia, na podstawie art. 80 RODO. Przede wszystkim osoba, której dane dotyczą, ma prawo wnieść sama skargę do organu nadzorczego państwa członkowskiego lub wystąpić z powództwem do krajowych sądów cywilnych. Zgodnie z art. 80 ust. 1 RODO osoba, której dane dotyczą, ma prawo upoważnić podmiot, organizację lub zrzeszenie niemające celu zarobkowego, pod pewnymi warunkami, do wniesienia w jej imieniu skargi oraz do wykonywania w jej imieniu praw, o których mowa w przywołanych powyżej artykułach. Na podstawie art. 80 ust. 2 RODO państwa członkowskie mogą przewidzieć, że podmiot, organizacja lub zrzeszenie mają prawo – niezależnie od upoważnienia otrzymanego od osoby, której dane dotyczą – wnieść w tym państwie członkowskim skargę do organu nadzorczego zgodnie z art. 77 oraz wykonać prawa, o których mowa w jego art. 78 i 79, jeżeli uznają, że przewidziane w tym rozporządzeniu prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania dotyczących jej danych osobowych.

Z art. 1 ust. 1 RODO w zw. z motywami 9, 10 i 13 wynika, że to rozporządzenie ma na celu zapewnienie harmonizacji ustawodawstw krajowych w zakresie ochrony danych osobowych, która jest, co do zasady, pełna. Jednak przepisy RODO dają państwom członkowskim możliwość ustanowienia dodatkowych – bardziej restrykcyjnych lub wprowadzających odstępstwa – uregulowań krajowych, które pozostawiają tym państwom pewien zakres uznania co do sposobu, w jaki te przepisy mogą być wprowadzane w życie („klauzule upoważniające”).

Zgodnie z utrwalonym orzecznictwem TS na mocy art. 288 TFUE oraz ze względu na charakter i funkcję rozporządzeń w systemie źródeł prawa UE zawarte w nich przepisy mają, co do zasady, bezpośredni skutek w krajowych porządkach prawnych, bez konieczności przyjmowania przez władze krajowe środków wykonawczych. Niemniej wprowadzenie w życie niektórych przepisów rozporządzenia może wymagać przyjęcia przez państwa członkowskie krajowych środków wykonawczych (wyrok TS z 15.6.2021 r., Facebook Ireland i in., C-645/19, pkt 110). Jest tak w szczególności w przypadku art. 80 ust. 2 RODO, który pozostawia państwom członkowskim zakres uznania w odniesieniu do jego wprowadzenia w życie. Tak więc aby można było wnieść bez upoważnienia przewidziane w tym przepisie powództwo przedstawicielskie w dziedzinie ochrony danych osobowych, państwa członkowskie powinny skorzystać z przyznanego im przez ten przepis uprawnienia, do ustanowienia w ich prawie krajowym takiego sposobu reprezentowania osób, których dane dotyczą. Rzecznik generalny wskazał pkt 51 i 52 opinii, że w sytuacji gdy państwa członkowskie korzystają z przyznanego im w takiej klauzuli upoważniającej uprawnienia, powinny one korzystać z przysługującego im zakresu uznania na warunkach i w granicach przewidzianych w przepisach RODO, wobec czego powinny stanowić prawo w taki sposób, aby nie naruszać treści ani celów tego rozporządzenia.

W niniejszej sprawie niemiecki ustawodawca nie przyjął w następstwie wejścia w życie RODO przepisów szczególnych mających konkretnie na celu wdrożenie do swego prawa krajowego art. 80 ust. 2. Rozpatrywane niemieckie uregulowanie pozwala już stowarzyszeniom ochrony interesów konsumentów na wniesienie do sądu powództwa przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych.

2. Legitymacja czynna

Na podstawie art. 80 ust. 2 RODO państwa członkowskie mają możliwość ustanowienia mechanizmu powództwa przedstawicielskiego przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych, określając jednocześnie szereg wymogów w kwestii podmiotowego i przedmiotowego zakresu stosowania, których należy w tym celu przestrzegać. Legitymacja procesowa czynna przysługuje podmiotowi, organizacji lub zrzeszeniu spełniającym kryteria wymienione w art. 80 ust. 1 RODO. W szczególności „podmiot, organizację lub zrzeszenie – które nie mają charakteru zarobkowego, zostały należycie ustanowione zgodnie z prawem państwa członkowskiego, mają cele statutowe leżące w interesie publicznym i działają w dziedzinie ochrony praw i wolności osób, których dane dotyczą, w związku z ochroną ich danych osobowych”.

Trybunał stwierdził, że stowarzyszenie ochrony interesów konsumentów, takie jak BV, może wchodzić w zakres tego pojęcia, ponieważ realizuje ono leżący w interesie publicznym cel polegający na zapewnieniu praw i wolności osób, których dane dotyczą, a które występują w charakterze konsumentów, jeżeli realizacja takiego celu może być związana z ochroną danych osobowych tych osób. Naruszenie przepisów mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk handlowych – naruszenie, któremu stowarzyszenie ochrony interesów konsumentów, takie jak BV, ma zapobiegać i za popełnienie którego ma doprowadzić do wymierzenia kary, w szczególności w drodze powództw o zaniechanie przewidzianych w obowiązujących przepisach krajowych – może być bowiem powiązane, tak jak w niniejszej sprawie, z naruszeniem przepisów w dziedzinie ochrony danych osobowych tych konsumentów.

Wniesienie powództwa przedstawicielskiego przez podmiot spełniający przesłanki wymienione w art. 80 ust. 1 zakłada, że ów podmiot niezależnie od jakiegokolwiek udzielonego mu upoważnienia uznaje, że w wyniku przetwarzania danych osobowych naruszone zostały prawa osoby, której dane dotyczą, wynikające z tego rozporządzenia. Trybunał uściślił, po pierwsze, że do celów wniesienia powództwa przedstawicielskiego, w rozumieniu art. 80 ust. 2 RODO, nie można wymagać od takiego podmiotu, aby uprzednio zidentyfikował indywidualnie osobę, której konkretnie dotyczy przetwarzanie danych, które ma być sprzeczne z przepisami RODO. Pojęcie „osoby, której dane dotyczą”, w rozumieniu art. 4 pkt 1 tego rozporządzenia obejmuje nie tylko „zidentyfikowaną osobę fizyczną”, lecz również „możliwą do zidentyfikowania osobę fizyczną”, czyli osobę fizyczną, „którą można bezpośrednio lub pośrednio zidentyfikować” na podstawie identyfikatora takiego jak w szczególności nazwisko, numer identyfikacyjny, dane o lokalizacji lub identyfikator internetowy. W tych okolicznościach wskazanie kategorii lub grupy osób, których dotyczy takie przetwarzanie, może być również wystarczające dla celów wniesienia takiego powództwa przedstawicielskiego. Po drugie, zgodnie z art. 80 ust. 2 RODO wniesienie powództwa przedstawicielskiego nie jest uzależnione od istnienia konkretnego naruszenia praw przysługujących danej osobie na podstawie przepisów o ochronie danych. Jak wynika z treści tego przepisu wniesienie powództwa przedstawicielskiego zakłada jedynie, że dany podmiot „uznaje”, iż przewidziane w tym rozporządzeniu prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania jej danych osobowych. Zatem twierdzi on, że doszło do przetwarzania danych sprzecznego z przepisami RODO. Zdaniem TS z powyższego wynika, że aby uznać, iż na podstawie art. 80 ust. 2 RODO takiemu podmiotowi przysługuje legitymacja procesowa czynna, wystarczy podnieść, że odnośne przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z RODO, bez konieczności udowadniania rzeczywistej szkody poniesionej w określonej sytuacji przez osobę, której dane dotyczą, wskutek naruszenia jej praw.

W ocenie TS powyższa wykładnia jest zgodna z wynikającymi z art. 16 TFUE i z art. 8 Karty praw podstawowych Unii Europejskiej wymogami, a tym samym z realizowanym przez RODO celem polegającym na zapewnieniu skutecznej ochrony podstawowych praw i wolności osób fizycznych, a także m.in. na zapewnieniu wysokiego poziomu ochrony prawa każdej osoby do ochrony dotyczących jej danych osobowych (wyrok Facebook Ireland i in., pkt 44, 45, 91).

Tymczasem upoważnienie stowarzyszeń ochrony interesów konsumentów, takich jak BV, do wnoszenia – w ramach mechanizmu powództwa przedstawicielskiego – powództw o zaniechanie przetwarzania danych sprzecznego z przepisami tego rozporządzenia niezależnie od naruszenia praw osoby, której to naruszenie dotyczy indywidualnie i konkretnie, niewątpliwie przyczynia się do wzmocnienia praw osób, których dane dotyczą, i do zapewnienia im wysokiego poziomu ochrony.

Trybunał stwierdził również, że wniesienie takiego powództwa przedstawicielskiego – w zakresie, w jakim pozwala ono zapobiec licznym naruszeniom praw osób, których dotyczy przetwarzanie ich danych osobowych – mogłoby okazać się bardziej skuteczne niż skarga, jaką pojedyncza osoba, której dotyczy indywidualnie i konkretnie naruszenie jej prawa do ochrony jej danych osobowych, może wnieść przeciwko sprawcy tego naruszenia. Nie można byłoby bowiem zapewnić funkcji prewencyjnej powództw wytaczanych przez stowarzyszenia ochrony interesów konsumentów, takich jak BV, gdyby w ramach przewidzianego w art. 80 ust. 2 RODO powództwa przedstawicielskiego można było powołać się jedynie na naruszenie praw osoby indywidualnie i konkretnie dotkniętej tym naruszeniem.

3. Wniesienie powództwa przedstawicielskiego

Trybunał przypomniał, że naruszenie przepisu dotyczącego ochrony danych osobowych może jednocześnie prowadzić do naruszenia przepisów odnoszących się do ochrony konsumentów lub nieuczciwych praktyk handlowych. Rzecznik generalny stwierdził w pkt 72 opinii, że art. 80 ust. 2 RODO nie sprzeciwia się temu, aby państwa członkowskie skorzystały z uprawnienia przysługującego im na podstawie tego przepisu, w związku z czym stowarzyszenia ochrony interesów konsumentów będą uprawnione do wnoszenia powództw w razie naruszeń, przewidzianych w RODO, praw na podstawie, stosownie do okoliczności, przepisów mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk handlowych.

Trybunał wskazał, że powyższa wykładnia art. 80 ust. 2 RODO znajduje potwierdzenie w dyrektywie Parlamentu Europejskiego i Rady (UE) 2020/1828 z 25.11.2020 r. w sprawie powództw przedstawicielskich wytaczanych w celu ochrony zbiorowych interesów konsumentów, która uchyla i zastępuje od 25.6.2023 r. dyrektywę 2009/22. Zgodnie z art. 2 ust. 1 dyrektywa 2020/1828 ma zastosowanie do powództw przedstawicielskich wytaczanych przeciwko przedsiębiorcom za naruszenia przepisów prawa Unii, o których mowa w załączniku I do tej dyrektywy, w którego pkt 56 wymienia się RODO. Trybunał przyznał, że dyrektywa 2020/1828 nie ma zastosowania w ramach sporu w postępowaniu głównym, a termin jej transpozycji jeszcze nie upłynął. Jednak zawiera ona szereg elementów, które potwierdzają, że art. 80 RODO nie sprzeciwia się wnoszeniu uzupełniających powództw przedstawicielskich w dziedzinie ochrony konsumentów. O ile bowiem, jak wynika z motywu 11 tej dyrektywy, możliwe jest ustanowienie mechanizmu proceduralnego przewidującego uzupełniające powództwa przedstawicielskie w dziedzinie ochrony konsumentów, o tyle mechanizmy egzekwowania prawa przewidziane w RODO lub oparte na nim, takie jak mechanizm przewidziany w art. 80 RODO, nie mogą zostać zastąpione lub zmienione, jak wskazano w motywie 15 dyrektywy 2020/1828, wobec czego mogą one być wykorzystywane w celu ochrony zbiorowych interesów konsumentów.


Reasumując TS orzekł, że art. 80 ust. 2 RODO należy interpretować w ten sposób, iż nie sprzeciwia się on uregulowaniu krajowemu, które zezwala stowarzyszeniu ochrony interesów konsumentów na wniesienie do sądu powództwa – w braku udzielonego mu w tym celu upoważnienia i niezależnie od naruszenia konkretnych praw osób, których dane dotyczą – przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych z powodu naruszenia zakazu stosowania nieuczciwych praktyk handlowych, naruszenia przepisów o ochronie konsumentów lub zakazu stosowania nieważnych ogólnych warunków handlowych, jeżeli odnośne przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z tego rozporządzenia.

Wyrok TS z 28.4.2022 r., Meta Platforms Ireland, C-319/20




Źródło: www.curia.eu

Opracowała: dr Ewa Skibińska - WPiA UKSW w Warszawie, ORCID: 0000-0003-4607-1448


Ocena artykułu:
Oceniono 0 razy
Oceniłeś już ten artykuł.
Artykuł został oceniony.
Podziel się ze znajomymi
Artykuł:
Powództwo przedstawicielskie
Ewa Skibińska (oprac.)
Do:
Od:
Wiadomość:
Zaloguj się lub zarejestruj, aby dodać komentarz.
 
Wyrok V CSK 283/10
Obliczanie terminu przedawnienia roszczenia o zachowek
Zamów
 

Prenumerata

Moduł tematyczny