Przełomowy wyrok TSUE – szeroka interpretacja przetwarzania szczególnych kategorii danych osobowych
Dnia 1 sierpnia 2022 r. Trybunał Sprawiedliwości Unii Europejskiej („TSUE”, „Trybunał”) wydał orzeczenie C-184/20 dotyczące interpretacji szczególnych kategorii danych osobowych w rozumieniu artykułu 9 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. („RODO”). W wyroku tym TSUE stwierdził, że informacje, z których można pośrednio wywnioskować orientację seksualną są chronione jak dane szczególnej kategorii.
WYROK C-184/20 („WYROK”)
Sprawa dotyczy przewidzianego w przepisach antykorupcyjnego prawa litewskiego wymogu złożenia przez dyrektora placówki otrzymującej środki publiczne oświadczenia o interesach prywatnych. W oświadczeniu takim należy podać następujące informacje: numery dowodów osobistych, numery ubezpieczenia społecznego, dane partnera oraz transakcje przeprowadzone w ostatnim roku przekraczające 3 000 EUR. Z wyjątkiem numerów identyfikacyjnych, numerów ubezpieczenia społecznego i „specjalnych danych osobowych”, informacje te są publikowane na stronie internetowej Głównej Komisji Etyki („GKE”).
GKE uznała, że niezłożenie takiego oświadczenia przez dyrektora naruszyło odpowiednie przepisy prawa litewskiego. Dyrektor wniósł do sądu odsyłającego skargę o stwierdzenie nieważności decyzji GKE, podnosząc, że obowiązek ujawnienia informacji prywatnych naruszył RODO.
Sąd odsyłający podnosząc wątpliwości, co do zgodności państwowych regulacji z RODO skierował do TSUE dwa pytania prejudycjalne:
Czy obowiązek umieszczania w Internecie danych osobowych zbieranych w oświadczeniu antykorupcyjnym jest uzasadniony na gruncie RODO?
TSUE uznał, że istnieje istotny interes publiczny w zwalczaniu korupcji, który uzasadnia ujawnienie danych zawartych w oświadczeniu. Natomiast publikowanie tych informacji na stronie internetowej GKE jest nieproporcjonalne i naraża dyrektora na szereg zagrożeń, w tym chociażby na ukierunkowaną reklamę. Zdaniem Trybunału, publikacja przedmiotowych danych skierowana do mniejszej grupy osób byłaby równie skuteczna.
Czy publikacja na stronie internetowej informacji, które mogą pośrednio ujawnić orientację seksualną osoby fizycznej, stanowi przetwarzanie szczególnej kategorii danych osobowych?
Według TSUE dane dotyczące partnera mogą być wykorzystane do wnioskowania o orientacji seksualnej. Trybunał wskazuje, że pojęcie szczególnych kategorii danych osobowych należy interpretować szeroko, gdyż celem RODO jest zapewnienie wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych (motyw 125 Wyroku). W rezultacie mimo, że informacje podawane w oświadczeniu nie stanowią z natury rzeczy szczególnych kategorii danych osobowych w rozumieniu RODO, to z danych dotyczących imienia i nazwiska partnera osoby składającej oświadczenie można wywnioskować pewne informacje dotyczące życia seksualnego lub orientacji seksualnej. Publikacja tych danych pośrednio ujawnia więc dane wrażliwe i według TSUE stanowi przetwarzanie szczególnych kategorii danych osobowych, które podlega zakazowi z art. 9 ust. 1 RODO.
WNIOSKI
TSUE w Wyroku zwraca uwagę na cel RODO, dlatego można przyjąć, że interpretacja TSUE, zgodnie z którą przetwarzanie informacji, które pośrednio mogą prowadzić do ujawnienia szczególnych kategorii danych osobowych, zostało zrównane z przetwarzaniem szczególnych kategorii danych nie ograniczy się do orientacji seksualnej. Będzie to miało także wpływ na resztę wymienionych kategorii danych z artykułu 9 RODO, czyli ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne lub dane dotyczące zdrowia czy seksualności.
CO GROZI ZA NARUSZENIE ZAKAZU PRZETWARZANIA DANYCH OSOBOWYCH SZCZEGÓLNEJ KATEGORII?
Naruszenie w postaci przetwarzania danych szczególnej kategorii niebędących wyjątkami z artykułu 9 ust. 2 RODO może pociągnąć za sobą odpowiedzialność w postaci nałożenia na administratora przez organ nadzorczy administracyjnej kary pieniężnej, o której mowa w art. 83 ust. 5 RODO, w wysokości do 20 milionów euro, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
CO NALEŻY ZROBIĆ?
Podmioty przetwarzające dane osobowe powinny przeanalizować swoje procesy przetwarzania danych, w tym procedury i dokumenty, aby zweryfikować czy, choćby pośrednio, nie przetwarzają danych specjalnej kategorii wbrew postanowieniom RODO.
Autorami artykułu są Katarzyna Szczudlik oraz Kacper Krawczyński.
