Ochrona konsumentów w przypadku naruszenia RODO
Jeśli serwis społecznościowy działa niezgodnie z przepisami o ochronie danych osobowych oraz o ochronie konsumentów, organizacje konsumenckie mogą wnieść powództwo. Sprawa dotyczy udostępniania danych osobowych użytkowników przez Facebook. Trybunał ustalił, że stowarzyszenia ochrony interesów konsumentów mają legitymację do wnoszenia powództw przedstawicielskich w przypadku naruszeń RODO. Wyrok TSUE podkreślił znaczenie ochrony danych osobowych i praw konsumentów, oraz możliwość skorzystania ze środków prawnych niezależnie od udzielonego upoważnienia.
Tematyka: RODO, ochrona danych osobowych, ochrona konsumentów, powództwo przedstawicielskie, TSUE, stowarzyszenia konsumenckie, naruszenia przepisów, Facebook, organizacje konsumenckie
Jeśli serwis społecznościowy działa niezgodnie z przepisami o ochronie danych osobowych oraz o ochronie konsumentów, organizacje konsumenckie mogą wnieść powództwo. Sprawa dotyczy udostępniania danych osobowych użytkowników przez Facebook. Trybunał ustalił, że stowarzyszenia ochrony interesów konsumentów mają legitymację do wnoszenia powództw przedstawicielskich w przypadku naruszeń RODO. Wyrok TSUE podkreślił znaczenie ochrony danych osobowych i praw konsumentów, oraz możliwość skorzystania ze środków prawnych niezależnie od udzielonego upoważnienia.
Jeśli serwis społecznościowy działa niezgodnie z przepisami o ochronie danych osobowych, z regulacją o nieuczciwych praktykach handlowych oraz o ochronie konsumentów, legitymację do wniesienia powództwa mają również organizacje konsumenckie. Dotyczy to także sytuacji, w której to powództwo wniesiono niezależnie od konkretnego naruszenia prawa do ochrony danych osoby, której dane dotyczą, i bez upoważnienia od takiej osoby. Stan faktyczny Facebook udostępnia swoim użytkownikom w tzw. „App-Center” m.in. bezpłatne gry pochodzące od podmiotów trzecich. Korzystanie z tej aplikacji umożliwia dostawcy gier uzyskanie pewnych danych osobowych i publikację w imieniu użytkownika informacji, takich jak uzyskane przez niego wyniki w grze. Owo korzystanie z aplikacji wiąże się z zaakceptowaniem przez użytkownika jej ogólnych warunków oraz związanej z nią polityki w dziedzinie ochrony danych. Niemiecki związek organizacji konsumenckich (dalej jako: BV) uważa, że podawane informacje są nieuczciwe w szczególności dlatego, że nie spełniają one wymogów prawnych dotyczących uzyskania ważnej zgody użytkownika, zgodnie z przepisami o ochronie danych. Ponadto zdaniem BV informacja, że użytkownik zezwala na publikowanie przez aplikację w jego imieniu pewnych dotyczących go informacji prywatnych stanowi nadmiernie niekorzystny dla użytkownika ogólny warunek handlowy. W zawiązku z tym BV wniósł przeciwko M. do sądu w Berlinie powództwo o zaniechanie. Stanowisko TSUE Na podstawie art. 80 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO) państwa członkowskie mają możliwość ustanowienia mechanizmu powództwa przedstawicielskiego przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych, określając jednocześnie szereg wymogów w kwestii podmiotowego i przedmiotowego zakresu stosowania, których należy w tym celu przestrzegać. Legitymacja procesowa czynna przysługuje podmiotowi, organizacji lub zrzeszeniu spełniającym kryteria wymienione w art. 80 ust. 1 RODO. W szczególności „podmiot, organizację lub zrzeszenie - które nie mają charakteru zarobkowego, zostały należycie ustanowione zgodnie z prawem państwa członkowskiego, mają cele statutowe leżące w interesie publicznym i działają w dziedzinie ochrony praw i wolności osób, których dane dotyczą, w związku z ochroną ich danych osobowych”. Trybunał stwierdził, że stowarzyszenie ochrony interesów konsumentów, takie jak BV, może wchodzić w zakres tego pojęcia, ponieważ realizuje ono cel leżący w interesie publicznym, polegający na zapewnieniu praw i wolności osób, których dane dotyczą, a które występują w charakterze konsumentów, jeżeli realizacja takiego celu może być związana z ochroną danych osobowych tych osób. Naruszenie przepisów mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk handlowych może być bowiem powiązane, tak jak w niniejszej sprawie, z naruszeniem przepisów w dziedzinie ochrony danych osobowych tych konsumentów. Jest to naruszenie, któremu stowarzyszenie ochrony interesów konsumentów (takie jak BV) ma zapobiegać, i za popełnienie którego ma doprowadzić do wymierzenia kary, w szczególności w drodze powództw o zaniechanie przewidzianych w obowiązujących przepisach krajowych. Wniesienie powództwa przedstawicielskiego przez podmiot spełniający przesłanki wymienione w art. 80 ust. 1 RODO zakłada, że ów podmiot, niezależnie od jakiegokolwiek udzielonego mu upoważnienia uznaje, że w wyniku przetwarzania danych osobowych naruszone zostały prawa osoby, której dane dotyczą, wynikające z tego rozporządzenia. Trybunał uściślił że do celów wniesienia powództwa przedstawicielskiego w rozumieniu art. 80 ust. 2 RODO nie można wymagać od takiego podmiotu, aby uprzednio zidentyfikował indywidualnie osobę, której konkretnie dotyczy przetwarzanie danych, które ma być sprzeczne z przepisami RODO. Pojęcie „osoby, której dane dotyczą” w rozumieniu art. 4 pkt 1 RODO obejmuje nie tylko „zidentyfikowaną osobę fizyczną”, lecz także „możliwą do zidentyfikowania osobę fizyczną”, czyli osobę fizyczną, „którą można bezpośrednio lub pośrednio zidentyfikować” na podstawie identyfikatora, takiego jak w szczególności nazwisko, numer identyfikacyjny, dane o lokalizacji lub identyfikator internetowy. W tych okolicznościach wskazanie kategorii lub grupy osób, których dotyczy takie przetwarzanie, może być również wystarczające dla celów wniesienia takiego powództwa przedstawicielskiego. Zgodnie z art. 80 ust. 2 RODO wniesienie powództwa przedstawicielskiego nie jest uzależnione od istnienia konkretnego naruszenia praw przysługujących danej osobie na podstawie przepisów o ochronie danych. Jak wynika z treści tego przepisu, wniesienie powództwa przedstawicielskiego zakłada jedynie, że dany podmiot „uznaje”, iż przewidziane w rozporządzeniu RODO prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania jej danych osobowych. Zatem twierdzi on, że doszło do przetwarzania danych sprzecznego z przepisami RODO. Zdaniem TSUE z powyższego wynika, że aby uznać, iż na podstawie art. 80 ust. 2 RODO takiemu podmiotowi przysługuje legitymacja procesowa czynna, wystarczy podnieść, że przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z RODO, bez konieczności udowadniania rzeczywistej szkody poniesionej w określonej sytuacji przez osobę, której dane dotyczą, wskutek naruszenia jej praw. Trybunał stwierdził również, że wniesienie takiego powództwa przedstawicielskiego (w zakresie, w jakim pozwala ono zapobiec licznym naruszeniom praw osób, których dotyczy przetwarzanie ich danych osobowych) mogłoby okazać się bardziej skuteczne niż skarga, jaką pojedyncza osoba, której dotyczy indywidualnie i konkretnie naruszenie prawa do ochrony jej danych osobowych, może wnieść przeciwko sprawcy tego naruszenia. Nie można bowiem byłoby zapewnić funkcji prewencyjnej powództw wytaczanych przez stowarzyszenia ochrony interesów konsumentów, takie jak BV, gdyby w ramach przewidzianego w art. 80 ust. 2 RODO powództwa przedstawicielskiego można było powołać się jedynie na naruszenie praw osoby indywidualnie i konkretnie dotkniętej tym naruszeniem. Trybunał przypomniał, że naruszenie przepisu dotyczącego ochrony danych osobowych może jednocześnie prowadzić do naruszenia przepisów odnoszących się do ochrony konsumentów lub nieuczciwych praktyk handlowych. Rzecznik generalny stwierdził w pkt 72 opinii, że art. 80 ust. 2 RODO nie sprzeciwia się temu, aby państwa członkowskie skorzystały z uprawnienia przysługującego im na podstawie tego przepisu, w związku z czym stowarzyszenia ochrony interesów konsumentów będą uprawnione do wnoszenia powództw w razie naruszeń, przewidzianych w RODO praw na podstawie przepisów mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk handlowych. Reasumując, TSUE orzekł, że art. 80 ust. 2 RODO należy interpretować w ten sposób, iż nie sprzeciwia się on uregulowaniu krajowemu, które zezwala stowarzyszeniu ochrony interesów konsumentów na wniesienie do sądu powództwa – w braku udzielonego mu w tym celu upoważnienia i niezależnie od naruszenia konkretnych praw osób, których dane dotyczą – przeciwko domniemanemu sprawcy naruszenia przepisów o ochronie danych osobowych, z powodu naruszenia zakazu stosowania nieuczciwych praktyk handlowych, naruszenia przepisów o ochronie konsumentów lub zakazu stosowania nieważnych ogólnych warunków handlowych, jeżeli przetwarzanie danych może mieć wpływ na prawa, jakie zidentyfikowane lub możliwe do zidentyfikowania osoby fizyczne wywodzą z tego rozporządzenia. Komentarz W niniejszym wyroku TSUE odniósł się do interakcji regulacji dotyczących ochrony danych osobowych, nieuczciwych praktyk rynkowych oraz ochrony konsumentów. Z niniejszego wyroku wynika, że po wejściu w życie RODO, stowarzyszenia, których celem jest ochrona interesów konsumentów, zachowały przysługującą im na mocy prawa krajowego legitymację procesową do domagania się zaniechania zachowań stanowiących zarówno naruszenie praw przyznanych w tym rozporządzeniu RODO, jak i naruszenie przepisów mających na celu ochronę praw konsumentów i zwalczanie nieuczciwych praktyk handlowych. Tym samym TSue podtrzymał swoje stanowisko przestawiane na gruncie poprzednio obowiązującej dyrektywy Parlamentu Europejskiego i Rady z 24.10.1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.Urz. UE L z 1995 r. Nr 281, s. 31). Warto wskazać, że powództwo przedstawicielskie, przewidziane w art. 80 ust. 2 RODO, może się pokrywać z tym przewidzianym w dyrektywie Parlamentu Europejskiego i Rady (UE) 2020/1828 z 25.11.2020 r. w sprawie powództw przedstawicielskich wytaczanych w celu ochrony zbiorowych interesów konsumentów i uchylającej dyrektywę 2009/22/WE (Dz.Urz. UE L z 2020 r. Nr 409, s. 1) w sprawie środków nakazujących zaprzestanie szkodliwych praktyk, jeżeli „osoby, których dane dotyczą” w rozumieniu rozporządzenia 2020/1828 posiadają również status „konsumenta” w rozumieniu art. 3 ust. 1 RODO. Wyrok TS z 28.4.2022 r., Meta Platforms Ireland, C-319/20
TSUE uznał, że stowarzyszenia ochrony interesów konsumentów mają prawo wnieść powództwo przedstawicielskie w przypadku naruszeń RODO. Wyrok ten potwierdza, że ochrona danych osobowych oraz praw konsumentów są istotne. Zasada ta dotyczy zarówno identyfikowalnych, jak i możliwych do zidentyfikowania osób. Ustawa RODO daje podstawy do działań przeciwko naruszeniom przepisów o ochronie danych osobowych i nieuczciwym praktykom handlowym.