Każde państwo UE może skarżyć Facebooka - opinia rzecznika generalnego TSUE

Tak uważa Michal Bobek, rzecznik generalny przy Trybunale Sprawiedliwości Unii Europejskiej. Wkrótce TSUE wyda wyrok w sprawie sporu między Facebookiem a organem ochrony danych osobowych w Belgii, odpowiednikiem polskiego Prezesa Urzędu Ochrony Danych Osobowych (sprawa C-645/19).

Jeśli TSUE orzeknie zgodnie z rekomendacją swego rzecznika generalnego, organy takie polski PUODO będą mogły wszczynać sprawy za nieprzestrzeganie unijnego ogólnego rozporządzenia o ochronie danych (RODO) przeciwko Facebookowi i innym gigantom technologicznym zza Oceanu, takim jak Google, Twitter i Apple, które również mają swoje siedziby w Irlandii. Giganci zaś będą musieli stawić czoła nakazom zapłaty grzywien opiewającym na miliardy euro.

Czytaj też: TSUE: sądy w UE mogą nakazać Facebookowi usuwanie nielegalnych komentarzy na całym świecie

Niechciane ciasteczka

Spór rozpoczął się we wrześniu 2015 r. Organ ochrony danych osobowych w Belgii wszczął przed tamtejszymi sądami postępowania przeciwko spółkom należących do grupy Facebook: Facebook Inc, Facebook Ireland Ltd, która jest główną jednostką organizacyjną grupy w Unii Europejskiej, oraz Facebook Belgium BVBA. Domagał się nakazania Facebookowi, by ten zaprzestał umieszczania plików cookie bez zgody użytkowników Internetu na terytorium Belgii, a także nadmiernego gromadzenia danych za pomocą wtyczek społecznościowych i pikseli na stronach innych podmiotów. Ponadto organ nadzorczy żądał zniszczenia wszystkich danych użytkowników Internetu w Belgii zgromadzonych przez Facebooka z wykorzystaniem plików cookie i wtyczek społecznościowych.

Postępowania w tej sprawie toczą się obecnie przed sądem apelacyjnym w Brukseli. Ich zakres został jednak ograniczony do Facebook Belgium, gdyż sąd uznał, że nie jest właściwy do rozpoznania powództw wniesionych przeciwko Facebook Inc i Facebook Ireland Ltd., które siedzibę mają poza Belgią.

FB: tylko Irlandia może nam przeszkodzić

Facebook Belgia stoi na stanowisku, że wraz z rozpoczęciem stosowania przepisów ogólnego rozporządzenia o ochronie danych (RODO), belgijski organ ochrony danych utracił prawo do kontynuowania jakichkolwiek postępowań sądowych przeciwko Facebookowi. Dlaczego? Gdyż pod rządami RODO jedynie organ ochrony danych państwa, w którym Facebook ma swą główną jednostkę organizacyjną w Unii Europejskiej jest uprawniony do wszczęcia przeciwko Facebookowi postępowań sądowych o naruszenie RODO w związku z transgranicznym przetwarzaniem danych. W przypadku UE główną siedzibę Facebook ma Dublinie w Irlandii, bo tam mieści się Facebook Ireland Ltd., czyli regionalny oddział imperium Marka Zuckerberga. A to oznacza - według Facebooka - że tylko irlandzki organ ochrony danych mógł wysuwać żądania związane z RODO na terenie UE.

Belgijski sąd postanowił zapytać o tę kwestię unijny Trybunał, a ten poprosił o przeanalizowanie problemu swojego rzecznika generalnego.

Organ wiodący może więcej

Michal Bobek przyznał, że zgodnie z RODO, wiodącemu organowi ochrony danych przysługuje, w odniesieniu do transgranicznego przetwarzania danych, ogólna właściwość do wszczynania postępowań sądowych w sprawie naruszenia przepisów RODO. Wynika z tego, że inne organy ochrony danych mają bardziej ograniczone uprawnienia w tym zakresie.

- RODO przyznaje każdemu z organów ochrony danych prawo do wszczęcia postępowania sądowego w sprawie ewentualnych naruszeń, które dotyczą ich terytoriów. Uprawnienie to jest wyraźnie ograniczone w przypadku transgranicznego przetwarzania danych, właśnie ze względu na to, aby dać wiodącemu organowi ochrony danych możliwość wykonywania powierzonych mu w tym zakresie zadań - wskazał rzecznik.

Michal Bobek podkreślił, że osoby, których dane dotyczą, mogą same wszcząć postępowanie sądowe przeciwko administratorom i podmiotom przetwarzającym przed m.in. sądami państwa członkowskiego, w tym kraju, w którym osoby te zwykle przebywają lub mają siedzibę. Natomiast skargi przeciwko organowi ochrony danych muszą być wnoszone w tym państwie członkowskim, w którym organ ów ma siedzibę, nawet wówczas, gdy organ wiodący mieści się w innym państwie członkowskim. Jeżeli taka skarga zostaje odrzucona lub oddalona, organ nadzorczy przyjmuje decyzję w tej sprawie i powiadamia o niej skarżącego. To umożliwia mu wszczęcie postępowania w państwie członkowskim jego zwykłego pobytu lub siedziby.

Są szczególne przypadki

Rzecznik generalny wskazał, że wiodący organ ochrony danych nie może być uznawany za pełniący funkcję jedynego podmiotu egzekwującego przepisy RODO w przypadku transgranicznego przetwarzania danych. Zgodnie z przewidzianymi w RODO zasadami i w określonych tam ramach czasowych, powinien ściśle współpracować z innymi organami ochrony danych, których sprawa dotyczy, i nie może ignorować ich uwag.

- Krajowe organy ochrony danych, nawet jeśli nie działają jako organ wiodący, mogą jednak w określonych sytuacjach wszcząć w przypadku transgranicznego przetwarzania danych postępowania przed sądami ich odpowiedniego państwa członkowskiego. Rzecznik generalny podaje, że są to w szczególności takie sytuacje, gdy krajowe organy ochrony danych:

1) podejmują działania niemieszczące się w zakresie przedmiotowego stosowania RODO;

2) badają te same lub podobne czynności transgranicznego przetwarzania danych dokonywane przez organy publiczne w interesie publicznym czy też przez administratorów spoza Unii;

3) podejmują działania w trybie pilnym;

4) wkraczają do sprawy w efekcie podjęcia przez organ wiodący decyzji, że nie będzie się on zajmować danym przypadkiem.

- Przepisy RODO zezwalają zatem organowi ochrony danych funkcjonującym w danym państwie członkowskim na wszczęcie przed sądem tego państwa postępowania w sprawie domniemanego naruszenia RODO w sprawie transgranicznego przetwarzania danych, nawet jeśli ów organ nie jest organem wiodącym. Warunkiem jest jednak, że takie działanie podejmowane jest w sytuacjach wskazanych w RODO i zgodnie określonymi w nim procedurami - wyjaśnił Michal Bobek.

Dane Osobowe