Wyrokiem z 8 stycznia 2025 r. Sąd UE rozstrzygnął sprawę T-354/22, którą Komisji Europejskiej wytoczył Niemiec Thomas Bindl. Zainteresowany w 2021 r. i w 2022 r. korzystał ze strony internetowej Konferencji w sprawie przyszłości Europy, której administratorem jest KE.

Amazon i Meta a dane Europejczyków

Jak twierdzi Thomas Bindl, podczas przeglądania witryny jego dane osobowe (w szczególności adres IP oraz informacje przeglądarce i terminalu) zostały przekazane do dwóch adresatów ze Stanów Zjednoczonych:

  • po pierwsze, do przedsiębiorstwa Amazon Web Services, które jest operatorem wykorzystywanej przez wspomnianą stronę internetową sieci dostarczania treści Amazon CloudFront;
  • po drugie, do przedsiębiorstwa Meta Platforms, Inc., czyli właściciela Facebooka - stało się tak podczas rejestracji na wydarzenie „GoGreen”, gdy użytkownik skorzystał z opcji „Zaloguj się przez Facebook”.

Thomas Bindl uważał, że spowodowało to ryzyko dostępu do jego danych przez amerykańskie służby wywiadu i bezpieczeństwa, a Stany Zjednoczone nie zapewniają odpowiedniego stopnia ochrony danych. Zażądał od KE 400 euro tytułem zadośćuczynienia za krzywdę, jakiej miał doznać.

Czytaj także: PUODO: Ustawa naprawcza nie chroni danych osobowych

"Zaloguj się przez Facebook" naruszało procedury

Sąd UE oddalił żądanie w odniesieniu do przekazania danych za pośrednictwem Amazon CloudFront. Jak uznał, podczas jednego z połączeń dane nie zostały przekazane do Stanów Zjednoczonych, lecz na serwer w Monachium. Innym razem to sam zainteresowany doprowadził do uruchomienia połączenia poprzez mechanizm przekierowania Amazon CloudFront z serwerami znajdującymi się w USA.

Odmiennie Sąd UE ocenił kwestię hiperłącza „zaloguj się przez Facebook” wyświetlanego na stronie internetowej EU Login. Jak stwierdził, za jego pośrednictwem KE stworzyła warunki umożliwiające przekazanie Facebookowi adresu IP zainteresowanego.

- Tymczasem w chwili tego przekazania, czyli 30 marca 2022 r., nie istniała żadna decyzja Komisji stwierdzająca, że Stany Zjednoczone zapewniają odpowiedni stopień ochrony danych osobowych obywateli Unii. Ponadto Komisja nie wykazała ani nawet nie podniosła istnienia odpowiedniego zabezpieczenia, w szczególności standardowej klauzuli ochrony danych lub klauzuli umownej – czytamy w komunikacie podsumowującym wyrok.

Sąd stwierdził też, że wyświetlanie hiperłącza „zaloguj się przez Facebook” na stronie internetowej EU Login było po prostu regulowane ogólnymi warunkami serwisu Facebook. Z orzeczenia wynika, że KE nie przestrzegała w związku z tym warunków ustanowionych przez prawo UE w zakresie przekazywania danych osobowych do państwa trzeciego przez instytucję, jednostkę organizacyjną lub organ Unii. Wyrok wskazuje, że KE dopuściła się istotnego naruszenia normy prawnej, zaś zainteresowany doznał krzywdy, ponieważ został postawiony w sytuacji niepewności co do przetwarzania jego danych osobowych, w szczególności adresu IP. W efekcie sąd zasądził od KE na rzecz Thomasa Bindla żądaną kwotę 400 euro.

Zobacz w LEX: Przegląd administracyjnych kar pieniężnych nałożonych przez Prezesa Urzędu Ochrony Danych Osobowych > 

 

-------------------------------------------------------------------------------------------------------------------

Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.