W wyroku z dnia 28 kwietnia 2022 r., sygn. C-319/20, TSUE orzekł, że na podstawie art. 80 ust. 2 RODO państwa członkowskie mogą wprowadzić do prawa krajowego przepisy, które uprawniają organizację konsumencką do wnoszenia do sądu powództwa przeciwko sprawcy naruszenia przepisów o ochronie danych osobowych. Odnosi się to do naruszenia zakazu stosowania nieuczciwych praktyk handlowych, naruszenia przepisów o ochronie konsumentów lub zakazu stosowania nieważnych ogólnych warunków handlowych. Przywołane także w przypadku braku udzielonego w tym celu upoważnienia organizacji i niezależnie od naruszenia konkretnych praw osób, których dane dotyczą.
Sporne zagadnienie dotyczyło interpretacji art. 80 RODO. Zgodnie z ust. 1, można umocować organizację non-profit (np. konsumencką) do wniesienia w swoim imieniu skargi na naruszenie ochrony danych osobowych oraz domagania się odszkodowania, jeżeli przewiduje to prawo państwa członkowskiego. Z kolei ust. 2 stanowi, że państwa członkowskie mogą przewidzieć, że niezależnie od otrzymanego upoważnienia ww. podmioty non-profit działające w dziedzinie ochrony praw i wolności osób, których dane dotyczą, w związku z ochroną ich danych osobowych mogą wnieść skargę na naruszenie ochrony danych osobowych. Mogą to zrobić w sytuacji, jeżeli uznają, że w wyniku przetwarzania naruszone zostały ich prawa wynikające z RODO. To właśnie ten przepis wymagał interpretacji. TSUE argumentował, że:
- naruszenia przepisów mających na celu ochronę konsumentów lub zwalczanie nieuczciwych praktyk handlowych mogą być powiązane z naruszeniem przepisów w dziedzinie ochrony danych osobowych tych konsumentów;
- upoważnienie organizacji konsumenckich do wnoszenia powództw o zaniechanie przetwarzania danych sprzecznych z RODO przyczynia się do wzmocnienia praw osób, których dane dotyczą i do zapewnienia im wysokiego poziomu ochrony;
- wniesienie takiego powództwa przedstawicielskiego mogłoby okazać się bardziej skuteczne niż skarga, jaką pojedyncza osoba, której dotyczy indywidualnie i konkretnie naruszenie jej prawa do ochrony danych osobowych, może wnieść przeciwko sprawcy tego naruszenia;
- przepisy dyrektywy 2020/1828 w sprawie powództw przedstawicielskich wytaczanych w celu ochrony zbiorowych interesów konsumentów wskazują jednoznacznie, że sprawy wszczynane przez organizacje pozarządowe w interesie konsumentów mogą dotyczyć także RODO, choć nie minął jeszcze termin implementacji ww. dyrektywy.
W związku z tym, że decyzja należy do prawodawcy krajowego to należy zauważyć, że w świetle polskich uregulowań takie powództwo nie jest możliwe. Art. 61 ustawy o ochronie danych osobowych nie przewiduje wnoszenia przez organizacje pozarządowe samodzielnych pozwów za naruszenia związane z RODO. Reprezentacja przez taką organizację jest możliwa za zgodą osoby, której dane dotyczą tylko w postępowaniu przed prezesem Urzędu Ochrony Danych Osobowych. Prawo takie zostanie jednak przyznane organizacjom w celu ochrony zbiorowych interesów konsumentów po wdrożeniu przez Polskę Dyrektywy 2020/1828.
