Czy urząd prowadzący postępowanie w/s naruszenia RODO, przetwarza dane osobowe w ramach prowadzonych spraw? Czy organ ochrony danych osobowych jest administratorem danych zgromadzonych w aktach postępowań? Czy to oznacza, że strona ma prawo domagać się od urzędu tego wszystkiego, na co pozwala mu RODO?
wyrok TSUE z 5 listopada 2026 r. w/s Bayerisches Landesamt für Datenschutzaufsich (C-205/25)
1) W ramach postępowania w przedmiocie rozpatrzenia skargi […] organ nadzorczy może być zakwalifikowany jako „administrator”, a tym samym być co do zasady zobowiązany wobec tej osoby do udostępnienia dotyczących jej danych osobowych oraz informacji wymienionych w art. 15 RODO.
2) [RODO] stoi na przeszkodzie przepisowi krajowemu, na mocy którego skarżący nie ma prawa dostępu do dotyczących go danych osobowych, przewidzianego w art. 15 RODO, będących w posiadaniu organu nadzorczego […].
Sprawa zaczęła się od złożenia przez Joachima Lindenberga, niemieckiego dziennikarza także prowadzącego bloga o tematyce ochrony danych osobowych, szeregu skarg do bawarskiego organu nadzorczego. W jednym z postępowań Bayerisches Landesamt für Datenschutzaufsich poinformował mężczyznę, że stwierdził naruszenie prawa przez osobę trzecią i rozważa nałożenie kary.
Skarżący poprosił o bliższe informacje, a po tym jak urząd odmówił, postanowił powołać się na prawo dostępu do swoich danych osobowych. Jednak organ stwierdził, że niemieckie prawo wyłącza możliwość skorzystania z prawa dostępu w odniesieniu do akt organów nadzorczych — zatem stosowna skarga trafiła do sądu. (Na marginesie: kolejne kilkanaście miesięcy później urząd udzielił wglądu do akt, wciąż zaprzeczając, iż chodzi tu prawo dostępu.)
Natomiast sąd zwrócił uwagę, że można mieć wątpliwości, czy organ nadzorczy — który w toku postępowania niewątpliwie przetwarza dane osobowe stron — może być traktowany jako administrator w rozumieniu RODO? A jeśli tak, to czy wykluczenie dostępu do akt sprawy można wywieść z art. 23 RODO?
art. 4 pkt 7 RODO
„administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;
art. 23 ust. 1 RODO
Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12-22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12-22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym: [bezpieczeństwu narodowemu, obronie, bezpieczeństwu publicznemu, zwalczaniu przestępczości, funkcjom kontrolnym w ramach sprawowania władzy publicznej, egzekucji roszczeń cywilnoprawnych, ochrony praw i wolności innych osób, etc.]
Organ ochrony danych osobowych jest także administratorem danych osobowych
W wydanym orzeczeniu TSUE przypomniał, że administratorem jest każdy podmiot, który samodzielnie lub w porozumieniu z kimś innym ustala cele i sposoby przetwarzania danych osobowych, przy czym nie ma przeszkód, by owe cele i sposoby wynikały z przepisów prawa, a nawet zostały wywiedzione z jego normatywnie wyznaczonych misji, roli i uprawnień.
W sprawie nie ma wątpliwości, że rozpatrując wniesioną skargę urząd przetwarza dane osobowe stron (rejestruje, przechowuje, wykorzystuje, etc.) — ergo organ ochrony danych osobowych jest administratorem w zakresie danych przetwarzanych, a więc powinien wykonywać wszystkie obowiązki wynikające z RODO — które obejmują tylko dostęp do danych, ale nie do akt postępowania.
(A jeśli ktomuś kojarzy się to z wężem, który połyka własny ogon — kto będzie nadzorował nadzorującego? — TSUE podpowiada, że przecież urząd może zostać tak zorganizowany, że „podejmowane przez niego działania jako administrator danych osobowych skarżącego mogły same w sobie podlegać niezależnej kontroli ze strony innego podmiotu w ramach tego organu”.)
Przeciwna wykładnia nie może opierać się na przepisach pozwalających na ograniczenie stosowania niektórych przepisów RODO. Sęk w tym, iż ograniczenie obowiązków administratora nie może naruszać istoty podstawowych praw i wolności — a przecież prawo kontroli nad zebranymi danymi, w tym prawo do ich sprostowania jest prawem podstawowym (art. 8 KPP). A jeśli motywacją miałaby być ochrona praw osób trzecich (jak w art. 23 ust. 1 lit. i RODO), to przecież takie względy nie mogą uzasadniać pozbawienia prawa do jakiejkolwiek informacji o zebranych danych.
Zdaniem TSUE powyższy pogląd nie jest sprzeczny z wymogiem niezależności organu. Niezależność oznacza gwarancję bezstronności i niepodlegania naciskom — a przecież „ogólny i abstrakcyjny” zakaz dostępu do danych przetwarzanych przez organ nadzorczy nie ma z tym problemem jakiegokolwiek związku.
Biorąc pod uwagę taką interpretację Trybunał stwierdził, że organ nadzorczy jest administratorem danych osobowych przetwarzanych w ramach prowadzonych postępowań — a więc powinien stosować się do wszelkich obowiązków wynikających z RODO.