Gdy w 2020 r. brałem udział w konsultacjach projektu Wytycznych 07/2020 EROD w sprawie pojęć administratora i podmiotu przetwarzającego (moje stanowisko jest ciągle dostępne na stronie EROD, byłem wtedy jednym z dwóch uczestników konsultacji z Polski), spór o definicję administratora przy realizacji zadań publicznych nie był jeszcze całkowicie rozstrzygnięty (przynajmniej poza oficjalnymi organami ochrony danych). 

Chodziło o sytuację, w której podmiot nie decyduje o celach i sposobach przetwarzania, bo te wynikają z przepisów prawa, a ustawodawca nie wyznaczył (w tych przepisach) administratora, ani kryteriów jego wyznaczania. EROD przyjął wtedy w projekcie – i utrzymał w wersji ostatecznej wytycznych – stanowisko wypracowane dziesięć lat wcześniej przez Grupę Roboczą Art. 29 (Opinion 1/2010 on the concepts of "controller" and "processor"), że jeżeli cel przetwarzania wyznacza prawo, administratorem staje się co do zasady podmiot wyznaczony do realizacji tego zadania publicznego (przepisy mogą nakładać na podmioty publiczne lub prywatne obowiązek przechowywania lub udostępniania określonych danych. Podmioty te byłyby wówczas zazwyczaj uznawane za administratorów danych w odniesieniu do wszelkich operacji przetwarzania danych osobowych w tym kontekście).

Wtedy uważałem, że takie podejście zanadto "rozciąga" zakres stosowania art. 4 pkt 7 RODO. Przepis ten bowiem w zdaniu pierwszym definiuje administratora jako podmiot, który ustala cele i sposoby przetwarzania. W zdaniu drugim stanowi jednak, że jeżeli cele i sposoby określa prawo Unii lub prawo państwa członkowskiego, to w tym prawie może zostać wyznaczony administrator albo konkretne kryteria jego wyznaczenia. Istnieje więc oczywista luka między między „możliwością wyznaczenia”, a „wyznaczeniem” administratora w takim przypadku. Czy taką lukę można (należy?) wypełniać, a jeśli tak, to w jaki sposób?

W tym kontekście szczególnie interesujący jest wyrok TSUE C‑231/22.

Wyrok TSUE z 11 stycznia 2024 r. w sprawie C‑231/22 (État belge).

W wyroku TSUE z 11 stycznia 2024 r. w sprawie C‑231/22 (État belge) stan faktyczny wyglądał następująco: ktoś zażądał usunięcia z belgijskiego dziennika urzędowego (Moniteur belge) swoich danych osobowych, które trafiły tam przez pomyłkę notariusza. Zgodnie z obowiązującymi przepisami, Moniteur belge publikuje dokumenty dokładnie w takiej wersji, w jakiej je otrzymał -  nie może weryfikować treści, nie może sprostować tekstu ani go wycofać. Belgijski organ ochrony danych osobowych stwierdził, że Moniteur belge jest administratorem, i ma rozpoznać żądanie. Federalna służba publiczna wymiaru sprawiedliwości (SPF Justice), która nadzoruje Moniteur belge, odmówiła uwzględnienia wniosku o usunięcie danych (a dokładnie - odrzuciła ten wniosek i zaproponowała opublikowanie nowego, częściowego tekstu, z którego usunięto sporny fragment, pozostawiając przy tym w niezmienionej formie pierwotną publikację). État belge (państwo belgijskie) zwróciło się więc do sądu apelacyjnego w Brukseli (sąd odsyłający), o uchylenie wspomnianej decyzji. W konsekwencji sąd odsyłający zapytał Trybunał, czy jednostka bez osobowości prawnej, bez władzy nad tekstem, w ogóle może być administratorem. 

TSUE odpowiedział - tak. 

Administrator to, zgodnie z art. 4 pkt 7 RODO zdanie pierwsze, osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania. Test na administratora ma charakter  funkcjonalny - ocenia się faktyczny wpływ na to, po co dane osobowe są przetwarzane i w jaki sposób. Zdanie drugie tego przepisu dotyczy sytuacji, w której cele i sposoby przetwarzania danych osobowych określa prawo Unii albo prawo państwa członkowskiego. Wtedy w tym prawie może zostać wyznaczony administrator albo mogą zostać określone kryteria jego wyznaczenia. 

Spór o status (rolę) Moniteur belge, a także status innych podmiotów, które realizują zadania wyznaczone przez państwo (także prywatnych), to zatem spór o sposób wypełnienia luki wynikającej z użycia w definicji administratora pojęcia "może".

Ta luka istniała od dawna, gdyż definicja z art. 2 lit. d dyrektywy 95/46 z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych PARLAMENTU EUROPEJSKIEGO I RADY z dnia 24 października 1995 r. brzmiała niemal identycznie ("administrator danych" oznacza osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych; jeżeli cele i sposoby przetwarzania danych są określane w przepisach ustawowych i wykonawczych lub przepisach wspólnotowych, administrator danych może być powoływany lub kryteria jego powołania mogą być ustalane przez ustawodawstwo krajowe lub wspólnotowe). 

Od sprawy Google Spain SL, przez Wirtschaftsakademie Schleswig-Holstein GmbH, Jehovan todistajat – uskonnollinen yhdyskunta  i Fashion ID GmbH & Co. KG, po sprawy oparte już na przepisach RODO (Nacionalinis), TSUE konsekwentnie odczytuje pojęcie administratora tak, by na każdym etapie przetwarzania administrator był określony. Szeroka interpretacja definicji administratora ma zapobiegać sytuacji, w której prawa podmiotu danych nie są należycie realizowane.

Żeby precyzyjnie odnieść się do sposobu, w jaki Trybunał "wypełnił próżnię" należy najpierw odtworzyć tok argumentacji sądu. 

Stanowisko Trybunału.

Po pierwsze, określenie celów i sposobów przetwarzania w przepisach, a w razie potrzeby także wyznaczenie administratora, nie musi być wyraźne, lecz także może być dorozumiane. Wystarczy, że wynikają one w sposób wystarczająco pewny z roli, misji i uprawnień danego podmiotu.

Po drugie, brak osobowości prawnej nie wyłącza statusu administratora. Istotne jest, czy jednostka może faktycznie i prawnie wykonać obowiązki administratora.

Po trzecie, brak kontroli treści przed publikacją także nie wyłącza statusu administratora. Moniteur belge nie miał żadnego wpływu na to, co notariusz wpisał do aktu. Tak naprawdę nie decydował nawet o ogłoszeniu, przechowywaniu, udostępnianiu, archiwizacji dokumentów (gdyż także w tym zakresie realizował obowiązki wynikające z przepisów prawa). Jednak, zdaniem Trybunału, za ten etap, w którym następuje przetwarzanie danych osobowych, Moniteur belge "odpowiada".

Po czwarte, odpowiedzialność za przetwarzane ograniczona jest do operacji, do których wykonywania wydawca dziennika był zobowiązany. Jest to odpowiedzialność wyłączna, chyba że z prawa krajowego wynika odpowiedzialność wspólna z kimś innym. W tym przypadku notariusz nie staje się automatycznie współadministratorem publikacji tylko dlatego, że przygotował akt.

Po piąte, Trybunał wyraźnie ("na wszelki wypadek") oddzielił przypisanie statusu administratora od zasadności żądania usunięcia. Uznanie Moniteur belge za administratora, samodzielnego albo wspólnego, wskazuje jedynie podmiot, wobec którego można wykonywać prawa z RODO. Nie przesądza o konieczności uwzględnienia żądania. Sąd krajowy miał jeszcze zbadać, czy dalsza publikacja omyłkowo zamieszczonych danych jest rzeczywiście niezbędna ze względu na obowiązek prawny albo cel archiwalny (art. 17 ust. 3 lit. b i d RODO).

Nieoczekiwane konsekwencje.

Prawo belgijskie określiło zarówno cele publikacji urzędowej, jak i sposoby jej realizacji, a także wskazało wykonawcę tego zadania  (jednostka prowadząca dziennik). Jednocześnie ustawodawca belgijski nie określił, że Moniteur belge jest administratorem danych osobowych w publikowanych dokumentach, i nie dał mu kompetencji do zmiany ogłoszonego tekstu. 

Zatem Moniteur belge został administratorem, bo wg TSUE prawo nie toleruje stanu, że administratora mogłoby by nie być, ale - jak jako administrator ma w tej sytuacji rozstrzygnąć wniosek o usunięcie danych, skoro nie ma do tego kompetencji? Osoba, której dane dotyczą, ma więc adresata swojego żądania, ale nie ulega wątpliwości, że usłyszy odmowę na podstawie art. 17 ust. 3 RODO, bo dalsze przetwarzanie jej danych osobowych jest prawnym obowiązkiem publikowania dokumentów w niezmienionej postaci. 

Ten model nie dotyczy tylko organów państwa. 

Wydawca dziennika Moniteur Belge był podmiotem publicznym, ale sprawa ma znaczenie także dla podmiotów prywatnych. Np. zgodnie z art. 15a polskiej ustawy o grach hazardowych podmiot prowadzący kasyno gry ma obowiązek prowadzić rejestr gości obejmujący: imię i nazwisko, dokument tożsamości, PESEL albo datę urodzenia, adres, obywatelstwo, datę i godzinę wejścia. Dane przechowuje się trzy lata i udostępnia wyłącznie wskazanym w ustawie organom. Ustawodawca określił więc rolę podmiotu prowadzącego kasyno gry w następujący sposób - zbieraj dane osobowe klientów, przechowuj przez wskazany okres i udostępniaj na żądanie wskazanym organom państwa. Ustawa o grach hazardowych nie określa, kto jest administratorem tych danych. Kluczowe sposoby przetwarzania są co prawda określone w przepisach, ale już co do celów prowadzenia gromadzenia danych gości kasyna gry - ustawa milczy całkowicie. Na podstawie wyroku C‑231/22 i po utrwalonej linii EROD (sięgającej jeszcze Opinii 1/2010 Grupy Roboczej Art. 29) można się spodziewać, że administratorem danych w rejestrze gości jest podmiot prowadzący kasyno gry,  bo przecież nie minister finansów czy Szef KAS. Obowiązki administratora wynikające z RODO, kary za niezgodność z RODO czy incydenty bezpieczeństwa spadają na koncesjonariusza. Wypełnienie luki legislacyjnej ma więc swoje, już nie dorozumiane, konsekwencje dla administratora. 

Domykanie próżni legislacyjnej.

Podsumowując, nie ulega wątpliwości, że art. 4 pkt 7 RODO jest legislacyjnie niedomknięty. Zdanie drugie zawiera sugestię, że państwo może wskazać administratora, ale nie mówi, co się dzieje, gdy jednak go nie wskaże, mimo, iż cele i sposoby przetwarzania wynikają z przepisów. Orzecznictwo i stanowisko EROD wypełnia tę fakultatywność stosując zasadę niedopuszczalności istnienia braku adresata obowiązków w zakresie ochrony danych: także na etapie przetwarzania realizującego zadanie publiczne (jakiś) administrator musi być, więc jeśli ustawa na ten temat milczy, jest nim wykonawca zadania publicznego.

Ten wybór można uznać za zrozumiały z punktu widzenia art. 8 Karty praw podstawowych EU i art. 5 ust. 2 RODO. Nie jest jednak taki oczywisty, jeśli uwzględni się, że są także inne, nie mniej ważne zasady, jak pewność czy przewidywalność prawa. Trybunał swoim orzecznictwem zdaje się nie widzieć drugiej strony medalu - utwierdza prawodawcę unijnego, że prawo nie musi być tworzone starannie, że oprócz podmiotów danych są także ci, którzy ponoszą koszty zapewnienia realizacji określonych praw, i oni także zasługują przynajmniej na nieutrudnianie im zrozumienia swojej roli. 

Dlatego - mimo iż przyjmuję powyższy stan do wiadomości i stosowania, to się nie cieszę.