TSUE: Urząd Ochrony Danych nie ma obowiązku nakładać kar za każde naruszenie RODO

W czwartek Trybunał Sprawiedliwości UE orzekł, że krajowe urzędy ochrony danych nie muszą nakładać kar, w tym pieniężnych, za każde naruszenie RODO, zwłaszcza jeżeli instytucje, w których doszło do naruszeń, same podjęły odpowiednie środki naprawcze. Spór dotyczył niemieckiej kasy oszczędnościowej, której jedna z pracownic wielokrotnie i bez uprawnień zaglądała do danych osobowych jednego z klientów.

W czwartek, 26 września, Trybunał Sprawiedliwości UE (TSUE) odpowiedział na pytanie sądu niemieckiego, rozstrzygającego spór w tej sprawie. Trybunał  uznał, że urząd nie ma obowiązku nakładania kar, w szczególności pieniężnych, w przypadku naruszenia przez jakąś instytucję ochrony danych osobowych, jeśli takie działanie nie jest niezbędne do usunięcia naruszeń i zapewnienia pełnego przestrzegana RODO i jeśli administrator danych już podjął odpowiednie działania. W tym przypadku kasa oszczędnościowa wyciągnęła konsekwencje dyscyplinarne wobec pracownicy oraz zobowiązała ją do podpisania oświadczenia.

Trybunał podkreślił, że zapisy RODO pozostawiają organom nadzorczym uznanie, jak należy usuwać uchybienia, by zapewnić wysoką ochronę danych osobowych i rygorystyczne stosowanie przepisów. Teraz sąd niemiecki będzie musiał zbadać, czy krajowy inspektor danych przestrzegał tych wytycznych.

Czytaj w LEX: Zakres przetwarzania danych osobowych, podstawy przetwarzania danych oraz retencja danych w procesie zgłaszania naruszeń prawa - ujęcie podmiotowe i przedmiotowe >

Na czym polegał wyciek danych 

W tym konkretnym wypadku pracownica kasy oszczędnościowej przyznała się, że naruszyła prywatność klienta i potwierdziła na piśmie, że nie skopiowała ani nie przechowywała danych, nie przekazała ich osobom trzecim oraz że nie zrobi tego w przyszłości. Kasa oszczędnościowa wyciągnęła wobec niej konsekwencje dyscyplinarne, ale nie poinformowała o zaistniałej sytuacji klienta, wychodząc z założenia, że nie było wysokiego ryzyka naruszenia jego praw. Poinformowała jednak o naruszeniu inspektora ochrony danych kraju związkowego Hesja.

Klient przez przypadek dowiedział się jednak o sytuacji i złożył skargę do tego samego krajowego inspektora ochrony danych; ten jednak uznał, że nie ma konieczności wyciągania konsekwencji wobec kasy oszczędnościowej. Klient wniósł więc sprawę do sądu, żądając, żeby urząd ochrony danych ukarał kasę i nałożył na nią karę pieniężną. Sąd niemiecki zwrócił się do TSUE o wykładnię przepisów RODO w tym zakresie.

Czytaj w LEX: Obowiązki administratora danych w kontekście ustawy o ochronie sygnalistów >

-------------------------------------------------------------------------------------------------------------------

Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.