C-129/21
Podsumowanie
Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczył wykładni przepisów dyrektywy o prywatności i łączności elektronicznej oraz RODO w kontekście publikowania danych osobowych abonentów w publicznych spisach abonentów i usługach biura numerów. Spór powstał między Proximus NV a belgijskim organem ochrony danych (OOD) w związku z decyzją OOD nakładającą na Proximus środki zaradcze i grzywnę za naruszenie przepisów RODO. Sąd apelacyjny w Brukseli zadał cztery pytania prejudycjalne dotyczące wymogu zgody abonenta na publikację jego danych, interpretacji prawa do bycia zapomnianym, obowiązków administratora w zakresie informowania innych podmiotów o wycofaniu zgody oraz obowiązku informowania wyszukiwarek internetowych o żądaniu usunięcia danych. Trybunał Sprawiedliwości UE orzekł, że: 1. Publikacja danych osobowych abonenta w spisach abonentów, nawet przez dostawców innych niż operator usług telefonicznych, wymaga zgody abonenta w rozumieniu RODO. Zgoda ta może być udzielona operatorowi lub jednemu z dostawców spisów. 2. Żądanie abonenta wycofania jego danych ze spisów abonentów stanowi skorzystanie z prawa do usunięcia danych („prawa do bycia zapomnianym”) w rozumieniu art. 17 RODO. 3. Administrator (dostawca spisów abonentów) ma obowiązek wdrożyć odpowiednie środki techniczne i organizacyjne, aby poinformować innych administratorów (operatora usług telefonicznych oraz innych dostawców spisów), którym przekazał dane, o wycofaniu zgody przez abonenta. Obowiązek ten wynika z zasad rozliczalności i zgodności przetwarzania z prawem. 4. Nie sprzeciwia się to temu, aby krajowy organ nadzorczy nakazał dostawcy spisów abonentów podjęcie rozsądnych działań w celu poinformowania dostawców wyszukiwarek internetowych o żądaniu usunięcia danych, biorąc pod uwagę dostępną technologię i koszt realizacji. Wyrok podkreśla znaczenie zgody abonenta na publikację jego danych oraz skuteczność prawa do bycia zapomnianym w erze cyfrowej, nakładając na administratorów obowiązek zapewnienia przejrzystości i rozliczalności w procesie przetwarzania danych osobowych.
Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.
Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.
Wartość praktyczna
Siła precedensu: WysokaWykładnia przepisów RODO i dyrektywy o prywatności w łączności elektronicznej w zakresie zgody na publikację danych osobowych w spisach abonentów, prawa do bycia zapomnianym oraz obowiązków administratorów w kontekście łańcucha przetwarzania danych.
Orzeczenie dotyczy specyficznego kontekstu spisów abonentów i usług biura numerów, ale jego zasady dotyczące zgody, prawa do usunięcia danych i obowiązków informacyjnych mają szersze zastosowanie w ochronie danych osobowych.
Zagadnienia prawne (4)
Czy publikacja danych osobowych abonenta w publicznie dostępnych spisach abonentów i usługach biura numerów, publikowanych przez dostawców innych niż operator usług telefonicznych, wymaga zgody abonenta w rozumieniu RODO?Ratio decidendi
Odpowiedź sądu
Tak, publikacja danych osobowych abonenta w spisach abonentów przez dostawców innych niż operator usług telefonicznych wymaga zgody abonenta w rozumieniu RODO. Zgoda ta może być udzielona operatorowi lub jednemu z dostawców spisów.
Uzasadnienie
Zgodnie z dyrektywą 2002/58/WE i RODO, publikacja danych osobowych wymaga zgody. Zgoda ta, zgodnie z RODO, musi być dobrowolna, konkretna, świadoma i jednoznaczna. Choć zgoda udzielona operatorowi może obejmować przekazanie danych innym podmiotom, nadal musi być ona zgodna z wymogami RODO.
Czy żądanie abonenta wycofania jego danych ze spisów abonentów stanowi skorzystanie z prawa do usunięcia danych („prawa do bycia zapomnianym”) w rozumieniu art. 17 RODO?Ratio decidendi
Odpowiedź sądu
Tak, żądanie abonenta wycofania jego danych osobowych ze spisów abonentów stanowi skorzystanie z prawa do usunięcia danych w rozumieniu art. 17 RODO.
Uzasadnienie
Wycofanie zgody na publikację danych, zgodnie z art. 7 ust. 3 RODO, stanowi podstawę do żądania usunięcia danych na mocy art. 17 ust. 1 lit. b) RODO, jeśli nie ma innej podstawy prawnej przetwarzania. Żądanie to nie jest żądaniem sprostowania danych, lecz usunięcia prawidłowych danych z publikacji.
Czy administrator (dostawca spisów abonentów) ma obowiązek wdrożyć odpowiednie środki techniczne i organizacyjne, aby poinformować innych administratorów (operatora usług telefonicznych oraz innych dostawców spisów), którym przekazał dane, o wycofaniu zgody przez abonenta?Ratio decidendi
Odpowiedź sądu
Tak, krajowy organ nadzorczy może wymagać od dostawcy spisów abonentów, jako administratora, podjęcia odpowiednich środków technicznych i organizacyjnych w celu poinformowania innych administratorów (operatora usług telefonicznych oraz innych dostawców spisów), którym dostarczył dane, o wycofaniu zgody przez abonenta.
Uzasadnienie
Zasady rozliczalności (art. 5 ust. 2 RODO) i obowiązki administratora (art. 24 RODO) wymagają wdrożenia środków zapewniających zgodność przetwarzania z prawem. W sytuacji, gdy wielu administratorów przetwarza dane na podstawie jednej zgody, wycofanie zgody przez osobę fizyczną powinno być łatwe (art. 7 ust. 3 RODO) i wymaga poinformowania wszystkich zaangażowanych administratorów, aby zapewnić skuteczność tego prawa.
Czy art. 17 ust. 2 RODO sprzeciwia się temu, aby krajowy organ nadzorczy nakazał dostawcy spisów abonentów podjęcie rozsądnych działań służących poinformowaniu dostawców wyszukiwarek internetowych o żądaniu usunięcia danych?Ratio decidendi
Odpowiedź sądu
Nie, art. 17 ust. 2 RODO nie sprzeciwia się temu, aby krajowy organ nadzorczy nakazał dostawcy spisów abonentów podjęcie rozsądnych działań w celu poinformowania dostawców wyszukiwarek internetowych o żądaniu usunięcia danych.
Uzasadnienie
Obowiązek informowania innych administratorów przetwarzających dane, w tym dostawców wyszukiwarek, o żądaniu usunięcia danych, jest zgodny z celem wzmocnienia prawa do bycia zapomnianym w internecie. Ocena rozsądności działań administratora powinna uwzględniać dostępną technologię i koszty.
Strony
| Nazwa | Typ | Rola |
|---|---|---|
| Proximus NV | spolka | skarżący |
| Gegevensbeschermingsautoriteit | organ_krajowy | pozwany |
| rząd włoski | panstwo_czlonkowskie | interwenient |
| rząd łotewski | panstwo_czlonkowskie | interwenient |
| rząd portugalski | panstwo_czlonkowskie | interwenient |
| rząd rumuński | panstwo_czlonkowskie | interwenient |
| Komisja Europejska | instytucja_ue | interwenient |
Przepisy (14)
Główne
Dyrektywa 2002/58/WE art. 12 § 2
Dyrektywa Parlamentu Europejskiego i Rady 2002/58/WE z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej
Wymaga zgody abonenta na publikację jego danych w spisach abonentów, nawet przez podmioty inne niż operator.
RODO art. 5 § 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Nakłada na administratora obowiązek wykazania zgodności przetwarzania z prawem (rozliczalność).
RODO art. 24
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Nakłada na administratora obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających zgodność przetwarzania z RODO.
RODO art. 17 § 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Określa prawo do usunięcia danych („prawo do bycia zapomnianym”), w tym w przypadku wycofania zgody.
RODO art. 17 § 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Nakłada na administratora obowiązek podjęcia rozsądnych działań w celu poinformowania innych administratorów przetwarzających dane o żądaniu usunięcia danych, w tym wyszukiwarek internetowych.
RODO art. 6 § 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Określa warunki zgodności przetwarzania z prawem, w tym wymóg zgody osoby, której dane dotyczą.
RODO art. 7 § 3
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Stanowi, że osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę, a wycofanie musi być równie łatwe jak jej wyrażenie.
Belgijska ustawa o łączności elektronicznej art. 133 § § 1
Ustawa z dnia 13 czerwca 2005 r. dotycząca łączności elektronicznej
Transpozycja art. 12 dyrektywy 2002/58/WE do prawa belgijskiego, określająca wymogi informacyjne i zgodę abonenta.
Pomocnicze
Dyrektywa 2002/58/WE art. 2 § akapit drugi lit. f
Dyrektywa Parlamentu Europejskiego i Rady 2002/58/WE z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej
Definiuje zgodę użytkownika lub abonenta jako zgodę podmiotu danych.
RODO art. 95
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Określa stosunek RODO do dyrektywy 2002/58/WE, wskazując, że dyrektywa ta stanowi lex specialis.
RODO art. 4 § 11
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Definiuje zgodę osoby, której dane dotyczą, jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli.
RODO art. 19
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Nakłada na administratora obowiązek informowania odbiorców o sprostowaniu lub usunięciu danych osobowych.
Belgijska ustawa o łączności elektronicznej art. 45 § 2
Ustawa z dnia 13 czerwca 2005 r. dotycząca łączności elektronicznej
Obowiązek operatorów udostępniania danych abonentów dostawcom spisów.
Belgijska ustawa o łączności elektronicznej art. 45 § 3
Ustawa z dnia 13 czerwca 2005 r. dotycząca łączności elektronicznej
Obowiązek operatorów wyodrębniania danych abonentów, którzy nie chcą być umieszczeni w spisie.
Argumenty
Skuteczne argumenty
Publikacja danych abonenta w spisach wymaga zgody. • Wycofanie zgody uruchamia prawo do usunięcia danych. • Administrator ma obowiązek informowania innych podmiotów o wycofaniu zgody. • Obowiązek informowania wyszukiwarek internetowych o usunięciu danych jest zgodny z RODO.
Odrzucone argumenty
Zgoda abonenta nie jest wymagana, wystarczy system 'opt-out'. • Żądanie wycofania danych nie jest żądaniem usunięcia danych w rozumieniu RODO, lecz sprostowania. • Administrator nie ma obowiązku informowania innych podmiotów o wycofaniu zgody.
Godne uwagi sformułowania
zgoda abonenta jest konieczna do celów takiej publikacji • żądanie wycofania danych [...] stanowi skorzystanie z »prawa do usunięcia danych« • wycofanie zgody musi być równie łatwe jak jej wyrażenie • rozsądne działania [...] służące poinformowaniu dostawców wyszukiwarek internetowych
Skład orzekający
C. Lycourgos
prezes izby
L.S. Rossi
sprawozdawczyni
J.-C. Bonichot
sędzia
S. Rodin
sędzia
O. Spineanu-Matei
sędzia
Informacje dodatkowe
Wartość precedensowa
Siła: Wysoka
Powoływalne dla: "Wykładnia przepisów RODO i dyrektywy o prywatności w łączności elektronicznej w zakresie zgody na publikację danych osobowych w spisach abonentów, prawa do bycia zapomnianym oraz obowiązków administratorów w kontekście łańcucha przetwarzania danych."
Ograniczenia: Orzeczenie dotyczy specyficznego kontekstu spisów abonentów i usług biura numerów, ale jego zasady dotyczące zgody, prawa do usunięcia danych i obowiązków informacyjnych mają szersze zastosowanie w ochronie danych osobowych.
Wartość merytoryczna
Ocena: 8/10
Sprawa dotyczy powszechnego problemu publikowania danych osobowych w internecie i praw konsumentów do prywatności, co jest tematem aktualnym i budzącym zainteresowanie.
“Czy Twoje dane w spisie telefonicznym są publikowane legalnie? TSUE wyjaśnia kluczowe zasady zgody i prawa do bycia zapomnianym.”
Sektor
telekomunikacja
Twój asystent do analizy prawnej.
Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka 1,4 mln orzeczeń i aktualne akty prawne.
- Analiza orzecznictwa i przepisów
- Drafting pism i dokumentów
- Odpowiedzi na pytania prawne
- Pogłębiona analiza z doktryny