Opinia rzecznika generalnego w sprawie C-768/21 Land Hessen

Zdaniem rzecznika generalnego Priita Pikamäe organ nadzorczy jest zobowiązany do interwencji, gdy stwierdzi naruszenie w ramach rozpatrywania skargi. Jednakże decyzja w sprawie środka naprawczego, który należy przyjąć, zależy od konkretnych okoliczności każdego przypadku.

Klient kasy oszczędnościowej zwrócił się do inspektora ochrony danych i wolności informacji kraju związkowego Hesja (Niemcy) o podjęcie działań przeciwko tej kasie z powodu naruszenia jego danych osobowych. Jedna z pracownic kasy oszczędnościowej wielokrotnie konsultowała jego dane, nie mając do tego upoważnienia.

Inspektor ochrony danych stwierdził naruszenie ogólnego rozporządzenia o ochronie danych (RODO). Doszedł jednak do wniosku, że nie ma potrzeby interweniowania wobec kasy oszczędnościowej, która podjęła już środki dyscyplinarne wobec pracownicy.

Klient zakwestionował tę odmowę przed sądem niemieckim, wnosząc o nakazanie inspektorowi ochrony danych podjęcia działań przeciwko kasie oszczędnościowej. Podnosił w szczególności, że inspektor ochrony danych powinien był nałożyć karę pieniężną na kasę oszczędnościową.

Sąd niemiecki zwrócił się do Trybunału Sprawiedliwości z pytaniem o uprawnienia i obowiązki inspektora ochrony danych jako „organu nadzorczego” w rozumieniu RODO.

Rzecznik generalny Priit Pikamäe uważa, że organ nadzorczy ma obowiązek interweniować w przypadku stwierdzenia naruszenia ochrony danych osobowych w ramach rozpatrywania skargi. W szczególności jest zobowiązany do określenia środków naprawczych najodpowiedniejszych dla zaradzenia naruszeniu i zapewnienia przestrzegania praw osoby, której dane dotyczą.

W tym względzie choć RODO pozostawia pewne uprawnienia dyskrecjonalne organowi nadzorczemu, wymaga ono, aby środki te były odpowiednie, niezbędne i proporcjonalne.

Wynika z tego, że:

•  uprawnienia dyskrecjonalne w zakresie wyboru środków są ograniczone, gdy wymagana ochrona może zostać zapewniona jedynie poprzez podjęcie konkretnych środków ^[1] oraz, że

•  organ nadzorczy może pod pewnymi warunkami zrezygnować ze środków wymienionych
w RODO, jeżeli jest to uzasadnione szczególnymi okolicznościami danej sprawy.

Może tak być w szczególności w sytuacji, gdy administrator podjął pewne działania z własnej inicjatywy.

W każdym razie zainteresowana osoba nie ma prawa żądania przyjęcia określonego środka ^[2]. Zasady te mają również zastosowanie do systemu administracyjnych kar pieniężnych ^[3].

Źródło: komunikat prasowy TSUE

^[1] Tym samym nie można wykluczyć, że w zależności od szczególnych okoliczności danej sprawy uprawnienia dyskrecjonalne mogą ograniczać się do przyjęcia jednego odpowiedniego środka.
^[2] Oprócz ewentualnie sytuacji, gdy uprawnienia dyskrecjonalne będą ograniczać się w zależności od szczególnych okoliczności konkretnego przypadku do przyjęcia jednego odpowiedniego środka. Natomiast co się tyczy nałożenia kary pieniężnej, rzecznik generalny wyklucza kategorycznie prawo podmiotowe osoby, której dane dotyczą, do żądania nałożenia takiej kary, ze względu na jej karny charakter.

^[3] W odniesieniu do uprawnień dyskrecjonalnych organu nadzorczego rzecznik generalny zaznacza, że zasada równego traktowania pociąga za sobą konieczność wypracowania praktyki administracyjnej nakładania kar pieniężnych, która traktuje podobne przypadki w porównywalny sposób.