Jeśli doszło do naruszenia zasad przetwarzania danych osobowych strona może wnieść skargę do organu nadzorczego lub dochodzić sprawiedliwości przed sądem powszechnym, to oczywista oczywistość. Czy istnienie wyspecjalizowanego urzędu (jak PUODO) oznacza, że jego decyzje powinny mieć pierwszeństwo w rozstrzyganiu sporu? Czy jednak nie istnieje coś takiego jak hierarchia środków ochrony prawnej przysługujących na mocy RODO, zaś ryzyko ewentualnych kolizji powinny załatwiać, na gruncie proceduralnym, poszczególne państwa?
wyrok Trybunału Sprawiedliwości z 12 stycznia 2023 r., w/s BE vs. Nemzeti Adatvédelmi és Információszabadság Hatóság (C-132/21)
[RODO] zezwala na równoczesne i niezależne od siebie wykonywanie środków ochrony prawnej przewidzianych z jednej strony w art. 77 ust. 1 i art. 78 ust. 1 RODO, a z drugiej strony w art. 79 ust. 1 RODO. Do państw członkowskich należy, zgodnie z zasadą autonomii proceduralnej, określenie zasad powiązania tych środków ochrony prawnej w celu zapewnienia skuteczności ochrony praw gwarantowanych przez to rozporządzenie, spójnego i jednolitego stosowania jego przepisów, a także prawa do skutecznego środka prawnego przed sądem, o którym mowa w art. 47 karty praw podstawowych.
Sprawa dotyczyła jednego z akcjonariuszy madziarskiej spółki akcyjnej, który podczas walnego zgromadzenia najpierw zadał kilka pytań jej zarządowi, a później poprosił o przekazanie nagrania dźwiękowego zgromadzenia. W odpowiedzi spółka udostępniła mu fragment nagrania obejmujący jego pytania, aczkolwiek z usuniętymi wypowiedziami innych osób, w tym odpowiedziami na zadane pytania.
W tym momencie zainteresowany poszedł dość szeroko: pozwał spółkę do sądu cywilnego (roszczenia zostały prawomocnie uwzględnione) oraz złożył skargę do ichniego organu ochrony danych osobowych (odmowa, zaskarżona).
Badając skargę sąd administracyjny zwrócił uwagę na możliwość wydania odmiennych rozstrzygnięć dotyczących tego samego stanu faktycznego, zatem wystąpił do TSUE z pytaniami o ewentualny priorytet środków wynikających z RODO uprawnień, a także o to, czy ustalenia organu nie powinny mieć pierwszeństwa, a więc sąd cywilny byłby nimi związany.
W swym orzeczeniu TSUE zwrócił uwagę, że zgodnie z RODO każdy środek prawny — skarga do organu nadzorczego, skarga do sądu na decyzję organu, jak też wytoczenie powództwa sądowego — przysługuje „bez uszczerbku” dla możliwości zastosowania innej procedury.
art. 77 ust. 1 rozporządzenia 679/2016 o ochronie danych osobowych
Bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.
art. 78 ust. 1 RODO
Bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej każda osoba fizyczna lub prawna ma prawo do skutecznego środka ochrony prawnej przed sądem przeciwko prawnie wiążącej decyzji organu nadzorczego jej dotyczącej.
art. 79 ust. 1 RODO
Bez uszczerbku dla dostępnych administracyjnych lub pozasądowych środków ochrony prawnej, w tym prawa do wniesienia skargi do organu nadzorczego zgodnie z art. 77, każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli uzna ona, że prawa przysługujące jej na mocy niniejszego rozporządzenia zostały naruszone w wyniku przetwarzania jego danych osobowych z naruszeniem niniejszego rozporządzenia.
RODO „nie przewiduje pierwszeństwa lub wyłączności ani żadnej zasady nadrzędności” trybu administracyjnego nad prywatnym, toteż nie istnieje coś takiego jak hierarchia środków ochrony prawnej. Zainteresowany może przeto równolegle skarżyć się do PUODO, skarżyć jego decyzję do sądu administracyjnego, a także dochodzić roszczeń w postępowaniu cywilnym. Przepisy rozporządzenia określają reguły kolizyjne w przypadku wniesienia skarg do różnych organów (art. 60-63 RODO), jednak zasady te nie odnoszą się do rozstrzygania o bezpośrednich roszczeniach jednostki.
Brak nadrzędności uprawnień wynikających z naruszenia RODO oznacza, że w przypadku naruszenia zasad przetwarzania danych osobowych można skorzystać z dowolnego uprawnienia, w dowolnej kolejności — natomiast określenie zasad proceduralnych leży w gestii poszczególnych państw (w tym także odniesienie się do ryzyka wydania sprzecznych rozstrzygnięć).