Dnia 22 stycznia 2024 roku Wyższy Sąd Krajowy w Berlinie orzekł w sprawie naruszeń ochrony danych osobowych przez osobę prawną. Dotyczy ona grzywny nałożonej na spółkę przez berlińskiego inspektora ochrony danych osobowych.
Podstawy i adresaci norm
Wysokość kar pieniężnych za naruszenia RODO została uregulowana w art. 83 ust. 4, 5 i 6 RODO. Oprócz powyższego, organy nadzorcze mogą nakładać sankcje zgodnie z art. 84 RODO lub inne środki zgodnie z art. 58 RODO. Wyłącznymi adresatami kar są administratorzy, podmioty przetwarzające, jednostki certyfikujące i organy nadzorcze w rozumieniu art. 83 ust. 4 lit. a, b i c RODO. Dyskusyjnym pozostaje jednak to, czy osoby prawne ponoszą odpowiedzialność za nakładane kary.
Skutki dla konkretnego przypadku
W analizowanej sprawie spółce zostało zarzucone umyślne naruszenie przepisów o ochronie danych osobowych. Stwierdzono, iż nie podjęto niezbędnych kroków w celu systematycznego usuwania danych najemców, w związku z czym doszło do przechowywania danych osobowych bez upoważnienia. W konsekwencji na spółkę została nałożona grzywna w wysokości 14.386.000 euro. Sąd Krajowy w Berlinie, do którego sprawa trafiła na skutek wniesionego sprzeciwu, był zdania, że osoba prawna nie może być przedmiotem postępowania w sprawie nałożenia grzywny, nawet w postępowaniu na podstawie art. 83 RODO. W wyniku odwołania prokuratury w Berlinie, sprawa trafiła przed Wyższy Sąd Krajowy w Berlinie, który postanowił zawiesić postępowanie i zwrócić się z pytaniem prejudycjalnym do Trybunału Sprawiedliwości Unii Europejskiej (dalej jako TSUE).
W wyroku z dnia 5 grudnia 2023 roku (C-807/21) TSUE stwierdził, że dopuszczalne jest nakładanie grzywien bezpośrednio na osoby prawne, jeżeli są one odpowiedzialne za przetwarzanie danych, a ponadto dopuściły się, umyślnie lub nieumyślnie, naruszenia, o którym mowa w art. 83 ust. 4–6 RODO. Według TSUE wynika to z faktu, że spółki są odpowiedzialne nie tylko za naruszenia popełnione przez ich przedstawicieli, dyrektorów lub osoby zarządzające, lecz również przez każdą inną osobę działającą w ramach działalności gospodarczej tych osób prawnych i na ich rzecz. Na skutek wydanego wyroku TSUE, Wyższy Sąd Krajowy w Berlinie postanowił przekazać sprawę do ponownego rozpatrzenia przez Sąd Krajowy w Berlinie.
Grau Rechtsanwälte PartGmbB doradza przedsiębiorstwom w zakresie ochrony danych, również jako zewnętrzny inspektor ochrony danych.
W przypadku dalszych pytań prosimy o kontakt z naszą kancelarią pod numerem +49 (0) 40 180 364 020 lub office@graulaw.eu.
