Stan faktyczny
B jest osobą fizyczną, która otrzymała punkty karne za jedno lub więcej wykroczeń drogowych na Łotwie. Zgodnie z ustawą o ruchu drogowym łotewska dyrekcja bezpieczeństwa ruchu drogowego (dalej: CSDD) wpisała te punkty karne do krajowego rejestru pojazdów i kierowców. Informacje dotyczące tych punktów karnych zawarte w tym rejestrze są dostępne publicznie i zdaniem B zostały przekazane do ponownego wykorzystania różnym podmiotom gospodarczym. B wniósł skargę konstytucyjną do Trybunału Konstytucyjnego w celu zbadania przez ten sąd zgodności ww. ustawy z prawem podstawowym do poszanowania życia prywatnego, uregulowanym w art. 96 Konstytucji łotewskiej.
Stosowanie art. 10 RODO
Zgodnie z art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO) przetwarzania danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa na podstawie art. 6 ust. 1 wolno dokonywać wyłącznie pod nadzorem władz publicznych lub jeżeli przetwarzanie jest dozwolone prawem UE lub prawem państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą.
Trybunał stwierdził, że w niniejszej sprawie informacje dotyczące punktów karnych, które odnoszą się do zidentyfikowanej osoby fizycznej, są „danymi osobowymi” w rozumieniu art. 4 pkt 1 RODO, a ich ujawnienie przez CSDD osobom trzecim stanowi „przetwarzanie” w rozumieniu art. 4 pkt 2 RODO.
Trybunał orzekł, że art. 10 RODO należy interpretować w ten sposób, że ma on zastosowanie do przetwarzania danych osobowych dotyczących punktów karnych nakładanych na kierowców pojazdów za wykroczenia drogowe.
Ujawnienie danych
Z orzecznictwa TSUE wynika, że każde przetwarzanie danych osobowych powinno z jednej strony być zgodne z zasadami dotyczącymi przetwarzania danych określonymi w art. 5 RODO, a z drugiej strony odpowiadać jednej z zasad dotyczących zgodności przetwarzania z prawem wymienionych w art. 6 RODO (wyrok TSUE z 16.1.2019 r., C‑496/17, Deutsche Post, Legalis).
W niniejszej sprawie przetwarzanie danych osobowych, a mianowicie publiczne ujawnianie danych dotyczących punktów karnych za wykroczenia drogowe, jest dokonywane przez podmiot publiczny CSDD, który jest administratorem danych w rozumieniu art. 4 pkt 7 RODO. Jednakże po ujawnieniu te dane są przeglądane przez osoby, które wystąpiły o ich ujawnienie, i w danym przypadku są zatrzymywane lub rozpowszechniane przez te osoby. Trybunał podkreślił, że w zakresie, w jakim dalsze przetwarzanie danych nie jest już dokonywane „pod nadzorem” CSDD lub innego organu publicznego, prawo krajowe zezwalające na ujawnienie tych danych przez CSDD powinno przewidywać „odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą”.
Z orzecznictwa TSUE wynika, że cel łotewskich przepisów, a mianowicie poprawa bezpieczeństwa na drogach stanowi cel interesu ogólnego uznawany przez Unię (wyrok TSUE z 23.4.2015 r., C‑260/13, Aykul). Państwa członkowskie mają zatem prawo zakwalifikować bezpieczeństwo na drogach jako „zadanie realizowane w interesie publicznym” w rozumieniu art. 6 ust. 1 lit. e) RODO, pod warunkiem, że przestrzegają zasady proporcjonalności. Trybunał stwierdził, że z akt sprawy nie wynika, aby łotewski ustawodawca zbadał inne środki i dał im pierwszeństwo przed spornym uregulowaniem. Zatem przewidując powszechny dostęp społeczeństwa do punktów karnych, sporne uregulowanie, zdaniem TSUE, wykracza poza to, co jest konieczne do zapewnienia celu polegającego na zwalczaniu systematycznego naruszania przepisów ruchu drogowego dokonywanego w złej wierze.
Trybunał orzekł, że przepisy RODO, a w szczególności art. 5 ust. 1, art. 6 ust. 1 lit. e) i art. 10 RODO, należy interpretować w ten sposób, że sprzeciwiają się one przepisom krajowym, które nakładają na organ publiczny prowadzący rejestr, w którym wpisywane są punkty karne nakładane na kierowców pojazdów za wykroczenia drogowe, obowiązek publicznego ujawniania tych danych, nie przewidują zaś obowiązku wykazania przez osobę żądającą dostępu szczególnego interesu w ich uzyskaniu.
Ujawnienie danych podmiotom gospodarczym
Z akt sprawy wynika, że CSDD zawiera z podmiotami gospodarczymi umowy, na podstawie których dane osobowe dotyczące punktów karnych wpisanych do krajowego rejestru pojazdów i ich kierowców, w szczególności w taki sposób, że każda osoba pragnąca dowiedzieć się o punktach karnych nałożonych na danego kierowcę może uzyskać te dane nie tylko od CSDD, lecz również od tych podmiotów gospodarczych.
Trybunał orzekł, że przepisy RODO, a w szczególności art. 5 ust. 1, art. 6 ust. 1 lit. e) i art. 10 RODO, należy interpretować w ten sposób, że sprzeciwiają się one przepisom krajowym, które zezwalają organowi publicznemu prowadzącemu rejestr, w którym wpisywane są punkty karne nakładane na kierowców pojazdów za wykroczenia drogowe, na ujawnianie tych danych podmiotom gospodarczym w celu ponownego wykorzystania.
Zasada pierwszeństwa prawa UE
Zdaniem TSUE w niniejszej sprawie istnienie ryzyka poważnych konsekwencji wynikających z wykładni przyjętej przez TSUE w niniejszym wyroku nie zostało wykazane, zatem nie ma podstaw do ograniczenia skutków tego wyroku w czasie.
Trybunał orzekł, że zasadę pierwszeństwa prawa UE należy interpretować w ten sposób, iż sprzeciwia się ona temu, aby Trybunał Konstytucyjny państwa członkowskiego, do którego wniesiono skargę na ustawodawstwo krajowe, które w świetle orzeczenia Trybunału wydanego w przedmiocie wniosku o wydanie orzeczenia w trybie prejudycjalnym okazuje się niezgodne z prawem UE, postanowił w oparciu o zasadę pewności prawa, że skutki prawne tego ustawodawstwa zostaną utrzymane do dnia ogłoszenia przez ten sąd wyroku, którym ostatecznie rozstrzygnie on tę skargę konstytucyjną.
Niniejszy wyrok TSUE dotyczy dwóch zagadnień. W pierwszej kolejności TSUE odniósł się do łotewskiego ustawodawstwa, które przewiduje, że informacje dotyczące punktów karnych nakładanych na kierowców, którzy popełnili wykroczenia drogowe, są podawane do publicznej wiadomości i przekazywane do ponownego wykorzystania. Trybunał uznał, że przetwarzanie danych osobowych dotyczących punktów karnych objęte jest przepisami RODO. Państwa członkowskie mogą dokonywać takiego przetwarzania, jeśli jest to konieczne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej w rozumieniu art. 6 ust. 1 lit. e) RODO. Ponadto, przepisy te powinny przewidywać odpowiednie zabezpieczenia dla praw i wolności osób, których dane dotyczą. Trybunał przyznał, że cel spornych łotewskich przepisów, tj. poprawa bezpieczeństwa na drogach stanowi uznawany cel interesu ogólnego. Jednakże w uzasadnieniu niniejszego wyroku TSUE wykazał, że biorąc pod uwagę po pierwsze, wrażliwość tych danych i wagę ingerencji w prawa podstawowe do poszanowania życia prywatnego i ochrony danych osobowych osób, których dane dotyczą, oraz po drugie, okoliczność, że cel polegający na poprawie bezpieczeństwa na drogach mógł zostać racjonalnie osiągnięty w sposób równie skuteczny za pomocą innych (tj. mniej ingerujących środków), nie istnieje konieczność obowiązywania takiego reżimu ujawniania danych osobowych dotyczących punktów karnych kierowców za wykroczenia drogowe.
W drugiej kolejności w niniejszym wyroku TSUE zaprezentował swoje stanowisko odnośnie zasady pierwszeństwa prawa Unii. Zgodnie z jednolitą linią orzeczniczą TSUE wykładnia prawa UE zawarta w orzeczeniach prejudycjalnych wywiera skutki erga omnes i ex tunc. Jedynie w wyjątkowych przypadkach TSUE uznaje, że należy ograniczyć w odniesieniu do wszystkich zainteresowanych możliwość powołania się na przepis, którego wykładni dokonał, w celu podważenia stosunków prawnych nawiązanych w dobrej wierze. Aby tego rodzaju ograniczenie mogło mieć miejsce, powinny zostać spełnione dwie istotne przesłanki, a mianowicie dobra wiara zainteresowanych oraz ryzyko poważnych konsekwencji. Ponadto, tego rodzaju ograniczenie może być dopuszczone jedynie w tym samym wyroku, w którym TSUE rozstrzyga w kwestii wykładni, o którą się do niego zwrócono. Zgodnie z jednolitą linią orzecznicza TSUE, powołując się na zasadę pierwszeństwa prawa UE, nie można bowiem dopuścić, aby przepisy prawa krajowego, nawet rangi konstytucyjnej, naruszały jedność i skuteczność tego prawa. W konsekwencji Trybunał (wielka izba) uznał, że Trybunał Konstytucyjny państwa członkowskiego – do którego wniesiono skargę konstytucyjną na prawo krajowe, które TSUE uznał za niezgodne z unijnym prawem – utrzymał skutki tego prawa aż do dnia ogłoszenia wyroku przez ten TK.
