Czy wniesiona na naruszenie danych osobowych skarga, wkrótce po tym jak do sądu trafiło powództwo cywilne, jest oznacza zasady ne bis in idem? Czy jednak RODO przewiduje dualizm środków prawnych, a ewentualny konflikt proceduralny należy rozwiązać w trybie proceduralnym?
wyrok Trybunału Sprawiedliwości UE z 18 czerwca 2026 r. (C‑414/24)
[Art. 77 ust. 1 i art. 79 ust. 1 RODO ] stoją na przeszkodzie temu, by organ nadzorczy, do którego wniesiono skargę na podstawie tego art. 77 ust. 1, mógł ją odrzucić z tego tylko powodu, że uprzednio został wniesiony, zgodnie z tym art. 79 ust. 1, środek ochrony prawnej przed sądem mający ten sam przedmiot, i to nawet wtedy, gdy orzeczenie wydane w związku z tym środkiem ochrony prawnej nie stało się jeszcze prawomocne.
opis stanu faktycznego:
- sprawa zaczęła się od wysłania przez austriacką lekarkę, jeszcze przed RODO, do platformy internetowej publikującej dane medyków, wraz z komentarzami i opiniami internautów, żądania usunięcia jej danych;
- usługodawca odmówił usunięcia danych, zatem kobieta wniosła stosowne powództwo do sądu cywilnego…
- …aby, już po wejściu w życie RODO, ponowić żądanie, zaś w obliczu ponownej odmowy — wniosła do Österreichischen Datenschutzbehörde skargę;
- urząd stwierdził, że równoległe prowadzenie sporu przed dwoma organami — organem ochrony danych osobowych oraz sądem — jest sprzeczne z RODO i zarzuty odrzucił;
- badając skargę na tę decyzję Bundesverwaltungsgericht podkreślił, iż RODO nieprzypadkowo wprowadziło podwójny system ochrony prawnej, co oznacza, że sprawy mogą być dublowane, czyli co do zasady organ nie może odmówić przyjęcia skargi;
- (chyba że sprawa jest przedawniona, a to ze względu na przekroczenie wynikającego z austriackiego prawa terminu do jej wniesienia, jak w tym przypadku);
art. 77 ust. 1 RODO
Bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, w szczególności w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia, jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie.
art. 79 ust. 1 RODO
Bez uszczerbku dla dostępnych administracyjnych lub pozasądowych środków ochrony prawnej, w tym prawa do wniesienia skargi do organu nadzorczego zgodnie z art. 77, każda osoba, której dane dotyczą, ma prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli uzna ona, że prawa przysługujące jej na mocy niniejszego rozporządzenia zostały naruszone w wyniku przetwarzania jego danych osobowych z naruszeniem niniejszego rozporządzenia.
art. 81 ust. 2 RODO
Jeżeli przed sądem w innym państwie członkowskim toczy się postępowanie w tej samej sprawie w odniesieniu do przetwarzania przez tego samego administratora lub ten sam podmiot przetwarzający, właściwy sąd inny niż sąd, przed którym jako pierwszym wszczęto postępowanie, może zawiesić swoje postępowanie.
- natomiast rozpatrujący rewizję od orzeczenia Bundesverwaltungsgericht zwrócił uwagę, że problem zawisłości sprawy przed innym organem ochrony prawa nie jest obcy RODO, toteż późniejsza skarga, wniesiona po tym jak powództwo wpłynęło do sądu, może naruszać zakaz dwukrotnego karania za ten sam czyn — więc zwrócił się o wykładnię do TSUE;
wyrok TSUE:
- brzmienie przepisów o skardze na nieprawidłowości w przetwarzaniu oraz możliwości wytoczenia powództwa jest jasne: każde z tych praw przysługuje „bez uszczerbku” dla drugiego, zaś art. 79 ust. 1 RODO dodatkowo wyjaśnia, iż droga sądowa nie wyklucza drogi administracyjnej (por. „W przypadku naruszenia RODO zainteresowany może równocześnie i składać skargę, i pozywać”);
- oznacza to, że RODO nie przewiduje ani pierwszeństwa jednego z tych trybów, ani wyłączności, ani też nadrzędności — zaś obowiązkiem organu nadzorczego jest badanie otrzymanych skarg;
- odpowiadając pośrednio o ewentualny zarzut naruszenia zasady ne bis in idem: możliwość równoczesnego i niezależnego korzystania z przysługujących środków ochrony prawnej zwiększa skuteczność ochrony praw w zakresie ochrony danych osobowych;
- i tak każdemu przysługuje prawo do sądu, zaś szczegółowe regulacje pozostają w gestii poszczególnych państw — a jeśli ktoś dostrzega ryzyko sprzeczności rozstrzygnięć, przepisy proceduralne mogą i powinny przeciwdziałać takiej kolizji, na przykład poprzez instytucję zawieszenia postępowania;
- ciekawe: w tym miejscu TSUE mówi o zawieszeniu postępowania ze skargi do czasu wydania prawomocnego orzeczenia sądowego — podczas gdy zgodnie z polską ustawą to sąd powinien zawiesić swoje postępowanie);
art. 95 ustawy o ochronie danych osobowych
Sąd zawiesza postępowanie, jeżeli sprawa dotycząca tego samego naruszenia przepisów o ochronie danych osobowych została wszczęta przed Prezesem Urzędu.
- natomiast odrzucenie skargi ze względu na zawisłość sprawy przed sądem jest niedopuszczalne — bo przecież organ nie ma pewności, czy orzeczenie co do istoty sprawy zostanie wydane, a ponowne wniesienie skargi może być niemożliwe.
Zamiast komentarza, cytując polski Sąd Najwyższy: „zasada ne bis in idem została uregulowana w przepisach prawa „ponadnarodowego”. W ramach procedury wewnątrzpaństwowej stosuje się: art. 14 ust. 7 Międzynarodowego Paktu Praw Obywatelskich i Politycznych, art. 4 ust. 1 Protokołu Nr 7 do Konwencji o ochronie praw człowieka i podstawowych wolności oraz art. 50 Karty Praw Podstawowych” (uchwała SN z 19 marca 2026 r., I KZP 7/25) — i teraz rzeczywiście można mieć wątpliwość, czy RODO aby rzeczywiście nie jest w tym zakresie sprzeczne z KPP jako prawem pierwotnym UE?