Orzeczenie · 2023-06-22

C-579/21

Sąd

Trybunał Sprawiedliwości Unii Europejskiej

Data

2023-06-22

cjeuochrona_danychprawo-dostepu-do-danych-osobowychWysokatrybunal

RODOochrona danych osobowychprawo dostępulog dataprzetwarzanie danychadministrator danychprawa osób fizycznychprzejrzystość

Podsumowanie

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczył wykładni art. 15 ust. 1 RODO w kontekście prawa dostępu do informacji o przeglądaniu danych osobowych przez pracowników banku. J.M., były klient i pracownik banku Pankki S, domagał się ujawnienia tożsamości osób, które przeglądały jego dane jako klienta, dat i celów tych operacji. Bank odmówił podania tożsamości pracowników, uznając te dane za ich dane osobowe. Trybunał Sprawiedliwości UE, rozpatrując cztery pytania prejudycjalne, ustalił, że RODO ma zastosowanie do żądań złożonych po dacie wejścia w życie rozporządzenia, nawet jeśli przetwarzanie danych miało miejsce wcześniej. Orzekł, że informacje dotyczące dat i celów przeglądania danych osobowych są dostępne dla osoby, której dane dotyczą, zgodnie z art. 15 ust. 1 RODO. Jednakże, informacje dotyczące tożsamości pracowników banku, którzy dokonali przeglądania, nie są automatycznie dostępne. Mogą być ujawnione tylko wtedy, gdy są niezbędne do skutecznego wykonywania praw przez osobę, której dane dotyczą, i z uwzględnieniem praw i wolności tych pracowników. Okoliczność, że bank jest instytucją regulowaną, a osoba wnioskująca była jednocześnie klientem i pracownikiem, nie wpływa zasadniczo na zakres tego prawa. Wyrok podkreśla znaczenie zasady przejrzystości w RODO i potrzebę wyważenia praw osób, których dane dotyczą, z prawami i wolnościami innych osób.

Asystent · analiza prawna

Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.

Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.

Wypróbuj Asystenta

Wartość praktyczna

Siła precedensu: Wysoka

Do czego można powołać

Wykładnia prawa dostępu do danych osobowych w kontekście logów systemowych, zastosowanie RODO do zdarzeń sprzed jego wejścia w życie, wyważenie praw osób, których dane dotyczą, z prawami pracowników.

Ograniczenia stosowania

Szczegółowe wyważenie praw w każdym indywidualnym przypadku, gdy ujawnienie danych pracowników jest rozważane.

Zagadnienia prawne (3)

Czy dane z plików dziennika (log data) dotyczące przeglądania danych osobowych, w tym tożsamość pracowników administratora, daty i cele tych operacji, stanowią informacje, do których osoba, której dane dotyczą, ma prawo dostępu na podstawie art. 15 ust. 1 RODO?Ratio decidendi

Odpowiedź sądu

Informacje dotyczące dat i celów przeglądania danych osobowych są dostępne. Informacje dotyczące tożsamości pracowników są dostępne tylko warunkowo, gdy są niezbędne do skutecznego wykonywania praw przez osobę, której dane dotyczą, i z poszanowaniem praw pracowników.

Uzasadnienie

Trybunał zinterpretował szeroko pojęcie danych osobowych i przetwarzania w RODO. Prawo dostępu ma na celu zapewnienie przejrzystości i umożliwienie weryfikacji zgodności przetwarzania z prawem. Dane z logów dotyczące dat i celów są kluczowe dla tej weryfikacji. Tożsamość pracowników stanowi dane osobowe tych pracowników i podlega ochronie, dlatego ich ujawnienie jest ograniczone i wymaga wyważenia praw.

Czy art. 15 RODO ma zastosowanie do żądań dostępu do informacji, gdy operacje przetwarzania miały miejsce przed datą wejścia w życie RODO, ale żądanie zostało złożone po tej dacie?Ratio decidendi

Odpowiedź sądu

Tak, art. 15 RODO ma zastosowanie, ponieważ jest przepisem proceduralnym.

Uzasadnienie

Przepisy proceduralne stosuje się od chwili ich wejścia w życie. Prawo dostępu do informacji jest prawem proceduralnym, dlatego ma zastosowanie do żądań złożonych po dacie wejścia w życie RODO.

Czy okoliczność, że administrator prowadzi działalność bankową regulowaną i że osoba wnioskująca była jednocześnie klientem i pracownikiem, wpływa na zakres prawa dostępu do danych?Ratio decidendi

Odpowiedź sądu

Nie, co do zasady nie ma to wpływu.

Uzasadnienie

RODO nie przewiduje rozróżnienia zakresu prawa dostępu w zależności od charakteru działalności administratora ani statusu osoby, której dane dotyczą, chyba że istnieją specyficzne ograniczenia ustawodawcze.

Rozstrzygnięcie

Decyzja

Odpowiedz na pytanie

Strona wygrywająca

J.M. (częściowo)

Strony

Nazwa	Typ	Rola
J.M.	osoba_fizyczna	skarżący
Apulaistietosuojavaltuutettu	organ_krajowy	inna_strona
Pankki S	spolka	inna_strona
Rząd fiński	panstwo_czlonkowskie	interwenient
Rząd czeski	panstwo_czlonkowskie	interwenient
Rząd austriacki	panstwo_czlonkowskie	interwenient
Komisja Europejska	instytucja_ue	interwenient