TSUE uznał, że WhatsApp może zaskarżyć Wiążącą decyzję Europejskiej Rady Ochrony Danych
Trybunał w Luksemburgu orzekł, że wiążąca decyzja EROD nr 1/2021 dotyczy WhatsAppa bezpośrednio, a więc może być zaskarżona. Uchylił wcześniejszy wyrok Sądu UE w tej sprawie i przekazał ją do ponownego rozpoznania. Stwierdził przy tym, że skarga została wniesiona w terminie, więc powinna zostać rozpatrzona.
Korzenie sprawy sięgają 2018 r., kiedy to irlandzki organ ochrony danych osobowych (Data Protection Commission – DPC) po otrzymaniu licznych skarg dotyczących aplikacji WhatsApp (zarówno od jej użytkowników, jak i osób, które z niej nie korzystały) wszczął z urzędu postępowanie w sprawie przestrzegania przez tę firmę obowiązków informacyjnych i zasad przejrzystości. Był on organem wiodącym, gdyż europejska siedziba grupy Facebook (obecnie Meta), do której należy WhatsApp, znajduje się właśnie w Irlandii. Skargi na aplikację wpływały jednak również do organów nadzorczych w innych krajach, m.in. W Niemczech.
Dlatego po przeprowadzeniu dochodzenia i uzyskaniu wyjaśnień od spółki DPC przedstawiła w grudniu 2020 r. projekt decyzji pozostałym organom nadzorczym, których sprawa dotyczyła. W styczniu następnego roku osiem z nich wniosło sprzeciwy wobec niektórych elementów tego projektu. Ponieważ nie udało się osiągnąć kompromisu, organ irlandzki zwrócił się do EROD o rozstrzygnięcie sporu. Ta w lipcu 2021 r. wydała – stosownie do art. 65 ust. 2 RODO – decyzję wiążącą wszystkie organy nadzorcze, których sprawa dotyczy, w której stwierdziła m.in. naruszenie niektórych przepisów RODO i zobowiązała irlandzki organ nadzorczy do zmiany planowanych środków naprawczych, w tym wysokości grzywien. Na tej podstawie DPC wydało ostateczną decyzję wobec WhatsAppa.
Stanowisko EROD i kara za naruszenie zasad ochrony danych
W decyzji tej irlandzki organ nadzorczy uznał, iż WhatsApp naruszył zasadę przejrzystości oraz wynikające z niej obowiązki określone w art. 5 ust. 1 lit. a), w art. 12 ust. 1, w art. 13 ust. 1 lit. c)–f), w art. 13 ust. 2 lit. a), c) oraz e), a także w art. 14 RODO. W owej decyzji organ ten stwierdził natomiast, że WhatsApp wypełnił obowiązki określone w art. 13 ust. 1 lit. a) oraz b), a także w art. 13 ust. 2 lit. b) oraz d) RODO. W ramach środków zaradczych DPC udzieliło WhatsAppowi upomnienia, nakładając przy tym na niego obowiązek wdrożenia szeregu działań mających na celu doprowadzenie – w terminie trzech miesięcy – do przestrzegania przepisów RODO, które zostały naruszone. Organ nałożył też na firmę cztery grzywny administracyjne związane z naruszeniami, o których mowa w art. 5 ust. 1 lit. a) oraz w art. 12–14 RODO, na łączną kwotę 225 mln EUR.
Jednocześnie w swojej decyzji wskazał aspekty, w odniesieniu do których decyzja EROD nałożyła nań obowiązek zmiany oceny zawartej w projekcie decyzji. Decyzja EROD rozstrzygnęła bowiem kwestie będące przedmiotem sprzeciwów, takie jak m.in.: naruszenia obowiązków informacyjnych z art. 13 i 14 RODO, uznania za dane osobowe informacji pochodzących z kompresji ze stratą (tzw. haszowanie stratne) w odniesieniu do kontaktów niebędących użytkownikami WhatsAppa, naruszenia zasad przejrzystości i minimalizacji danych. EROD poleciła też skrócić termin na wprowadzenie środków zaradczych z planowanych 6 do 3 miesięcy, a także podwyższenie grzywien w stosunku do projektu.
Ukarana spółka wnosi skargę do Luksemburga
WhatsApp zaskarżył decyzję DPC przed sądem irlandzkim, a w odniesieniu do decyzji EROD odwołał się do Sądu UE. Ten jednak odrzucił skargę jako niedopuszczalną, uznając, że zaskarżony dokument stanowi jedynie akt przygotowawczy lub pośredni, a dopiero decyzja organu krajowego jest ostateczna. Decyzja EROD, zdaniem Sądu, nie wywołuje więc niezależnych skutków prawnych i nie podlega zaskarżeniu, nie dotyczy też WhatsAppa bezpośrednio. Skuteczną ochronę spółce zapewnia zaś wniesienie odwołania do sądu krajowego, który w razie wątpliwości może wystąpić z pytaniem prejudycjalnym. Uznanie dopuszczalności skargi spowodowałoby zaś konieczność prowadzenia dwóch równoległych postępowań – przed sądem krajowym i unijnym.
WhatsApp zaskarżył decyzję Sądu do Trybunału Sprawiedliwości, zarzucając naruszenie prawa przez uznanie, że decyzja EROD nie jest aktem zaskarżalnym.
Europejska Rada Ochrony Danych wskazywała, że skarga została wniesiona po terminie. TSUE uznał jednak, że w tym wypadku termin liczy się od ogłoszenia (publikacji) decyzji EROD, a nie od poinformowania o niej WhatsAppa (co nastąpiło nieco wcześniej). Termin na wniesienie skargi został więc zdaniem Trybunału zachowany.
Spór przed TSUE – czy decyzja EROD była ostateczna i dotyczyła firmy bezpośrednio?
Osią sporu przed TSUE była kwestia tego, czy wiążąca decyzja EROD jest zaskarżalna. Zdaniem spółki nie jest w tym celu konieczne wykazanie, że decyzja EROD dotyczyła jej bezpośrednio, ale jedynie że wywołała skutki prawne wobec niej lub osób trzecich (w niniejszej sprawie, wobec irlandzkiego organu nadzorczego i wszystkich innych organów nadzorczych, których sprawa dotyczy). W tym wypadku zaś wywoływała takie skutki w szczególności poprzez uznanie, że dane poddane kompresji stratnej stanowią dane osobowe. Skarżąca spółka zwróciła też uwagę, iż decyzja EROD była wiążąca dla organu irlandzkiego.
EROD argumentowała zaś, że choć decyzja zwiera jej ostateczne stanowisko, to sama w sobie nie powoduje zmiany sytuacji prawnej WhatsAppa – czyni to dopiero decyzja ostateczna DPC. Nie nakłada też na spółkę nowych obowiązków – gdyż te wynikają z samego RODO i są egzekwowane przez organ krajowy. EROD podnosiła m.in., że jej decyzja i decyzja DPC zostały wydane w ramach jednolitej procedury administracyjnej składającej się z wzajemnie od siebie zależnych etapów na szczeblach: krajowym i europejskim i dotyczącej tego samego przedmiotu, nie zaś – w następstwie przeprowadzenia dwóch niezależnych postępowań, które dotyczyłyby odrębnych kwestii. Za to EROD podnosiła, że celem procedury rozstrzygania sporów jest zapewnienie spójnego wdrażania RODO przez organy krajowe.
Zdaniem TSUE nie ma też w tym wypadku znaczenia, że na decyzję EROD nie można się powołać bezpośrednio wobec skarżącej spółki – dopuszczalność zaskarżenia należy bowiem oceniać obiektywnie. Skargę wnieść może nie tylko podmiot, który jest adresatem decyzji, ale także ten, którego dotyczy ona bezpośrednio. Tak jest w sytuacji, gdy wpływa ona na sytuację prawną tego podmiotu oraz gdy organ, który ma ją wykonać, nie ma żadnego zakresu uznania, a wykonanie odbywa się w sposób automatyczny. TSUE badał więc, czy wymogi te zostały spełnione w odniesieniu do WhatsAppa w tym przypadku.
Trybunał Sprawiedliwości: skarga WhatsAppa zasługuje na rozpatrzenie
Wbrew wcześniejszemu rozstrzygnięciu Sądu UE Trybunał uznał, że decyzja EROD dotyczy spółki bezpośrednio. Choć nie jest decyzją kończącą postępowanie, to zawiera ostateczne stanowisko organu UE i nie może być uznana za akt pośredni. Wpływa ona także na jej sytuację prawną spółki – choćby przez uznanie danych pozyskanych w wyniku haszowania stratnego za dane osobowe, co rodzi konieczność zmiany w umowach z użytkownikami.
Po drugie zaś, decyzja EROD jest wiążąca dla organu irlandzkiego i innych zainteresowanych organów w kwestii interpretacji RODO. Bez znaczenia jest tu – zdaniem TSUE – fakt, że ostateczne ustalenie wysokości kary należy do DPC oraz że organ ten ma pewną swobodę w kwestiach nieobjętych sprzeciwami innych organów i co za tym idzie – decyzją EROD.
W związku z powyższym Trybunał w Luksemburgu orzekł, iż decyzja EROD nie jest aktem pośrednim i dotyczy WhatsAppa bezpośrednio, a zatem jest zaskarżalna. Ponieważ zaś skarga została wniesiona w terminie i nie ma powodów, by uznać ją za niedopuszczalną, powinna zostać rozpatrzona. Dlatego TSUE przekazał sprawę do ponownego rozpoznania Sądowi UE. Zwrócił przy tym uwagę, iż nie stanowi problemu toczenie równoległego postępowania przed sądem irlandzkim – zgodnie bowiem z zasadą lojalnej współpracy sąd ten powinien zawiesić postępowanie do czasu wydania orzeczenia przez Sąd UE lub też skierować do TSUE pytanie prejudycjalne ws. tego rozstrzygnięcia.
