Wyrok w sprawie monitorowania e-mail poczty personelu

TSUE stwierdził, że dyrektywa o handlu elektronicznym nie stoi na przeszkodzie temu, aby nakazano dostawcy usług hostingowych przerwanie naruszenia prawa lub zapobieżenie mu, w szczególności poprzez usunięcie informacji o bezprawnym charakterze lub poprzez uniemożliwienie dostępu do nich

TSUE przyznał, że w sytuacji gdy operator wyszukiwarki uwzględnia wniosek o usunięcie linków na podstawie wskazanych przepisów, jest on zobowiązany do usunięcia owych linków nie ze wszystkich wersji swojej wyszukiwarki, ale z tych wersji wyszukiwarki, które odpowiadają wszystkim państwom członkowskim. W przypadku gdy osoba, której dane dotyczą skorzysta z prawa do bycia zapomnianym, z listy wyników wyświetlanej w wyszukiwarce w następstwie wyszukiwania według imienia i nazwiska tej osoby, trzeba usunąć linki prowadzące do stron, zawierających informacje na temat tej osoby.

Operator wyszukiwarki jest administratorem danych osobowych w zakresie czynności przetwarzania jakim jest odsyłanie do strony zawierającej dane osobowe i wyświetlanie tego linku na liście wyników. Tym samym podlega regulacji przepisów o ochronie danych osobowych, w tym w zakresie spełniania przesłanek legalizacyjnych przetwarzania i zakazu przetwarzania danych osobowych wrażliwych

Zgoda użytkownika witryny internetowej na instalowanie i udostępnianie plików cookie na jego urządzeniu, która została udzielona za pomocą domyślnie zaznaczonego okienka wyboru, którego zaznaczenie użytkownik ten musi usunąć, aby odmówić udzielenia zgody, nie jest ważna.

Operator witryny internetowej wyposażonej w przycisk „Lubię to” Facebooka może być wspólnie z Facebookiem administratorem w odniesieniu do gromadzenia i przekazywania Facebookowi danych osobowych osób odwiedzających jego witrynę. Trybunał podkreślił, że operator witryny internetowej jako (współ) administrator musi przekazać w momencie gromadzenia danych pewne informacje tym osobom odwiedzającym stronę internetową.

Trybunał doszedł do wniosku że nagrywanie policjantów podczas wykonywania przez nich czynności służbowych (przyjmowania zeznań) oznacza przetwarzanie danych osobowych i podlega pod przepisy RODO. Jednocześnie jednak przyznał, że można pod pewnymi warunkami być zwolnionym z obowiązku stosowania przepisów o ochronie danych na zasadach wyjątku dziennikarskiego

Trybunał doszedł do wniosku że pojęcie administratora danych obejmuje administratora fanpage’a prowadzonego na portalu społecznościowym. Administrator fanpage’a i Facebook mogą wspólnie ponosić odpowiedzialność za przetwarzanie danych użytkowników fanpage’a.

1. Article 15(1) of Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications), as amended by Directive 2009/136/EC of the European Parliament and of the Council of 25 November 2009, read in the light of Articles 7, 8 and 11 and Article 52(1) of the Charter of Fundamental Rights of the European Union, must be interpreted as precluding national legislation which, for the purpose of fighting crime, provides for general and indiscriminate retention of all traffic and location data of all subscribers and registered users relating to all means of electronic communication.

Dynamiczny adres protokołu internetowego zarejestrowany przez dostawcę usług medialnych online przy okazji przeglądania przez daną osobę strony internetowej, którą dostawca ten udostępnia publicznie, stanowi wobec tego dostawcy dane osobowe w rozumieniu tego przepisu, w sytuacji gdy dysponuje on środkami prawnymi umożliwiającymi mu zidentyfikowanie osoby, której dane dotyczą, dzięki dodatkowym informacjom, jakimi dysponuje dostawca dostępu do Internetu dla tej osoby.

Artykuł 4 ust. 3 rozporządzenia nr 2252/2004 należy interpretować w ten sposób, iż nie wymaga on od państw członkowskich zagwarantowania, że dane biometryczne, które zostały pobrane i są przechowywane zgodnie z przepisami tego rozporządzenia, nie będą pobierane, przetwarzane i wykorzystywanie w celach innych niż wydawanie paszportów lub dokumentów podróży

Artykuł 8 ust. 3 lit. e) dyrektywy 2004/48/WE należy interpretować w ten sposób, że stoi on na przeszkodzie przepisowi krajowemu takiemu jak ten w postępowaniu głównym, który zezwala instytucji bankowej, w sposób nieograniczony i bezwarunkowy, na odmowę udzielenia informacji, w kontekście art. 8 ust. 1 lit. c) tej dyrektywy, dotyczącej nazwiska i adresu posiadacza rachunku, z powołaniem się na tajemnicę bankową.

Artykuły 10, 11 i 13 dyrektywy 95/46/WE stoją na przeszkodzie środkom krajowym, takim jak rozpatrywane w postępowaniu głównym, które pozwalają organowi administracji publicznej państwa członkowskiego na przekazywanie danych osobowych innemu organowi administracji publicznej i na ich dalsze przetwarzanie, bez informowania osób, których dane dotyczą, o tymże przekazaniu i przetwarzaniu.

Transgraniczny przepływ danych osobowych jest koniecznym warunkiem rozwoju handlu międzynarodowego; ochrona osób, jaką niniejsza dyrektywa gwarantuje we Wspólnocie, nie stanowi przeszkody dla przekazywania danych osobowych do państw trzecich, które zapewniają odpowiedni stopień ochrony; prawidłowość [odpowiedniość] stopnia ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazywania danych lub zestawu takich operacji. Z drugiej strony należy zakazać przekazywania danych osobowych do państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony.

Wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 dyrektywy 95/46/WE .

Skracając kadencję organu nadzorczego ochrony danych osobowych Węgry uchybiły zobowiązaniom wynikającym z dyrektywy. Organy nadzorcze właściwe w zakresie przetwarzania danych osobowych powinny cechować się niezależnością pozwalającą im na wykonywanie ich zadań bez wpływu z zewnątrz. Ta niezależność wyklucza w szczególności jakiekolwiek nakazy i jakikolwiek inny wpływ z zewnątrz ‒ bez względu na jego formę oraz na to, czy jest bezpośredni, czy pośredni ‒ który mógłby zaważyć na decyzjach tych organów i podważyć w ten sposób wykonywanie przez nie ich zadań polegających na ustaleniu słusznej równowagi pomiędzy ochroną prawa do poszanowania życia prywatnego a swobodą przepływu danych osobowych.

Przetwarzanie danych osobowych ma miejsce w ramach działalności gospodarczej prowadzonej przez administratora danych odpowiedzialnego za to przetwarzanie na terytorium danego państwa członkowskiego w rozumieniu tego przepisu, jeśli operator wyszukiwarki internetowej ustanawia w danym państwie członkowskim oddział lub spółkę zależną, których celem jest promocja i sprzedaż powierzchni reklamowych oferowanych za pośrednictwem tej wyszukiwarki, a działalność tego oddziału lub tej spółki zależnej jest skierowana do osób zamieszkujących to państwo.

Dane odnoszące się do osoby wnioskującej o dokument pobytowy figurujące w dokumencie administracyjnym takim jak „memorandum” będące przedmiotem sporu w postępowaniu głównym, przedstawiającym powody przytoczone przez pracownika na poparcie projektu decyzji, za którego sporządzenie jest on odpowiedzialny w ramach postępowania poprzedzającego wydanie decyzji w sprawie wniosku o wydanie dokumentu pobytowego, oraz w stosownym przypadku dane figurujące w analizie prawnej zawartej w tym dokumencie administracyjnym, stanowią „dane osobowe” w rozumieniu wspomnianego postanowienia, przy czym owej analizy nie można jako takiej zakwalifikować w ten sam sposób.

Artykuł 6 ust. 1 lit. b) i c) oraz art. 7 lit. c) i e) dyrektywy 95/46 należy interpretować w ten sposób, że nie stoją one na przeszkodzie uregulowaniu krajowemu, takiemu jak to, którego dotyczy postępowanie główne, które nakłada na pracodawcę obowiązek udostępnienia krajowemu organowi właściwemu w sprawach nadzoru nad warunkami pracy ewidencji czasu pracy w sposób umożliwiający natychmiastowy wgląd do tej ewidencji, o ile obowiązek ten jest konieczny dla potrzeb sprawowania przez ten organ nadzoru nad stosowaniem przepisów dotyczących warunków pracy, w szczególności z zakresu czasu pracy.

Prawo Unii, a w szczególności zasada skuteczności, stoi na przeszkodzie przepisowi prawa krajowego, na podstawie którego dostęp do dokumentów znajdujących się w aktach krajowego postępowania w sprawie zastosowania art. 101 TFUE, w tym do dokumentów przekazanych w ramach programu współpracy, przez osoby trzecie, które to osoby nie są stroną w tym postępowaniu i zamierzają wystąpić z powództwem odszkodowawczym przeciwko uczestnikom kartelu, jest uzależniony od samej tylko zgody stron w tym postępowaniu, bez pozostawienia sądom krajowym jakiejkolwiek możliwości dokonania wyważenia występujących interesów.