Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Cour d'appel de Bruxelles (Belgia) w dniu 10 grudnia 2025 r. – État belge/Autorité de protection des données

(Sprawa C-804/25, Autorité de protection des données)

(C/2026/2199)

Język postępowania: francuski

Sąd odsyłający

Cour d'appel de Bruxelles

Strony w postępowaniu głównym

Strona inicjująca postępowanie przed sądem odsyłającym: État belge

Druga strona postępowania: Autorité de protection des données

Pozostałe strony postępowania: JC, Accidental Americans Association of Belgium (AAAB)

Pytania prejudycjalne

Czy w świetle art. 96 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO) (1), umowa międzynarodowa zawarta przez państwo członkowskie przed dniem 24 maja 2016 r., która przewiduje przekazywanie danych osobowych do państwa trzeciego, jest zgodna z prawem Unii, które miało zastosowanie przed dniem 24 maja 2016 r., a w szczególności z art. 6 ust. 1 lit. b), c) i e) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (2), interpretowanego w związku z art. 7, 8 i 52 Karty praw podstawowych, jeżeli umowa ta przewiduje, do celów podatkowych oraz dla zapewnienia wypełniania międzynarodowych obowiązków podatkowych i realizacji obowiązków wynikających z amerykańskiej ustawy FATCA, która służy zwalczaniu unikania opodatkowania przez obywateli amerykańskich, automatyczne przekazywanie do tego państwa trzeciego, w zgodzie z zasadami poufności, informacji o rachunkach finansowych wszystkich obywateli tego państwa [informacje te w praktyce obejmują między innymi nazwisko, adres, numer identyfikacji podatkowej (NIP) przypisany posiadaczowi rachunku w państwie jego rezydencji, datę urodzenia, numer rachunku, saldo lub wartość rachunku ustalone na koniec danego roku kalendarzowego lub innego stosownego okresu raportowania, pewne dane w przypadku rachunku papierów wartościowych, rachunku depozytowego lub rachunków innego rodzaju], przy czym umowa ta nie przewiduje uprzedniej selekcji rachunków związanych z ryzykiem unikania opodatkowania ani ograniczenia przechowywania danych w czasie, a stosowanie przewidzianego w załączniku I progu 50 000 USD uzależnia od uznania instytucji finansowych?

2)	Czy umowę taką można uzasadnić w oparciu o art. 26 ust. 1 lit. d) wspomnianej dyrektywy 95/46/WE, jeżeli zainteresowane państwo trzecie nie zapewnia rzeczywistej wzajemności?

Czy art. 26 ust. 2 wspomnianej dyrektywy 95/46/WE w związku z art. 7, 8 i 52 Karty praw podstawowych należy interpretować w ten sposób, że odpowiednie zabezpieczenia, o których mowa w tym przepisie:

—	obejmują w szczególności określenie czasu przechowywania danych w rozumieniu art. 6 ust. 1 lit. e) dyrektywy oraz prawo do informacji, o którym mowa w jej art. 10 i 11?

—	obejmują określenie zakresu ograniczenia prawa do poszanowania życia prywatnego i prawa do ochrony danych osobowych?

—	w przypadku umowy przewidującej przekazywanie danych osobowych, powinny być wyraźnie opisane w tej umowie?

W przypadku udzielenia odpowiedzi twierdzącej w odniesieniu do całości lub części pytania trzeciego – czy w świetle art. 96 RODO zawarta przez państwo członkowskie przed dniem 24 maja 2016 r. umowa międzynarodowa, która przewiduje przekazywanie danych osobowych do państwa trzeciego, jest zgodna z prawem Unii mającym zastosowanie przed dniem 24 maja 2016 r., a w szczególności z art. 26 ust. 2 wspomnianej dyrektywy 95/46/WE interpretowanym w związku z art. 7, 8 i 52 Karty praw podstawowych, jeżeli nie przewiduje ona wyraźnie odpowiednich zabezpieczeń, o których mowa w tym przepisie?

W przypadku udzielenia odpowiedzi twierdzącej na pytanie pierwsze, drugie lub czwarte – czy przekazywanie danych osobowych na podstawie tej umowy międzynarodowej powinno mimo to, od dnia 24 maja 2018 r., być zgodne z przepisami RODO, w szczególności z jego art. 5 ust. 2, art. 12, 14, 24 i 35, w zakresie dotyczącym zagadnień, które nie zostały konkretnie uwzględnione lub wyłączone w tej umowie?

6)	Czy ciężar dowodu spełnienia przesłanek określonych w art. 96 RODO spoczywa na administratorze?

Czy art. 96 RODO, rozpatrywany samodzielnie lub w związku z art. 4 ust. 3 Traktatu o Unii Europejskiej, art. 351 Traktatu o funkcjonowaniu Unii Europejskiej oraz art. 7, 8 i 52 Karty praw podstawowych należy interpretować w ten sposób, że państwa członkowskie mają obowiązek dołożenia wszelkich starań w celu zmiany, zastąpienia lub uchylenia niezgodnych z przepisami tego rozporządzenia umów międzynarodowych, których są stronami?

b.	Czy państwo członkowskie, które w 2025 r. nie dołożyło wszelkich starań w celu zmiany, zastąpienia lub uchylenia niezgodnej z przepisami RODO umowy międzynarodowej, której jest stroną, może powoływać się na art. 96 tego rozporządzenia, aby uzasadnić zachowanie niezgodne z tym rozporządzeniem?

W przypadku udzielenia odpowiedzi przeczącej na pytanie pierwsze, drugie lub czwarte:

a.	czy sąd krajowy powinien z urzędu odmówić stosowania takiej umowy?

b.	czy sąd krajowy powinien badać zgodność takiej umowy z RODO?

W przypadku udzielenia odpowiedzi przeczącej na pytanie pierwsze, drugie lub czwarte i udzielenie odpowiedzi twierdzącej na pytanie ósme lit. b) – czy umowa międzynarodowa taka jak opisana w pytaniu pierwszym jest zgodna z RODO, a w szczególności z art. 5 ust. 1 lit. b) i c) interpretowanym w związku z art. 7, 8 i 52 Karty praw podstawowych?

10)

Czy decyzja wykonawcza Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzająca odpowiedni stopień ochrony danych osobowych zapewniony w ramach ochrony danych UE–USA (3) stanowi decyzję stwierdzającą odpowiedni stopień ochrony w rozumieniu art. 45 ust. 3 RODO, jeśli chodzi o sporne przekazywanie danych, które jest dokonywane w celach podatkowych?

11)

W przypadku udzielenia odpowiedzi przeczącej na pytanie pierwsze, drugie lub czwarte oraz udzielenia odpowiedzi twierdzącej na pytanie ósme lit. b) – czy art. 46 RODO należy interpretować w ten sposób, że:

—

odpowiednie zabezpieczenia, o których mowa w tym przepisie, obejmują wszystkie lub niektóre z poniższych zabezpieczeń:

(1)	określenie podstawowych pojęć (w tym pojęć takich jak: „dane osobowe”, „przetwarzanie danych osobowych”, „administrator”, „podmiot przetwarzający”, „odbiorca” i „dane wrażliwe”);

(2)	podstawowe zasady ochrony danych [w tym zasadę „ograniczenia celu”, „prawidłowości i minimalizacji” (lub proporcjonalności), zasadę ograniczenia w czasie przechowywania danych];

(3)

prawa osób, których dane dotyczą (w szczególności prawo do informacji, prawo dostępu, prawo do sprostowania, prawo do usunięcia, prawo do ograniczenia przetwarzania lub prawo sprzeciwu, prawo do tego, by nie podlegać zautomatyzowanemu podejmowaniu decyzji indywidualnych w rozumieniu art. 22 RODO, a także zasady korzystania z tych praw);

(4)	ograniczenie dalszego przekazywania lub dzielenia się danymi;

(5)	skuteczne środki ochrony prawnej;

(6)	mechanizmy kontroli, oraz

(7)	zasadę odpowiedzialności?

—	czy zabezpieczenia te powinny być wyraźnie wskazane w prawnie wiążącym instrumencie, o którym mowa w art. 46 ust. 2 lit. a) RODO?

—	czy w przypadku istnienia umowy międzynarodowej regulującej przekazywanie danych osobowych do państw trzecich owym prawnie wiążącym instrumentem jest wyłącznie ta umowa międzynarodowa, czy też może ona przewidywać krajowy instrument transponujący?

12)

W przypadku udzielenia odpowiedzi przeczącej na pytanie pierwsze, drugie lub czwarte oraz udzielenia odpowiedzi twierdzącej na pytanie ósme lit. b):

czy art. 49 ust. 1 lit. d) RODO należy interpretować jako przepis dopuszczający lub zakazujący umów międzynarodowych dotyczących przekazywania danych osobowych do państwa trzeciego, które to umowy przewidują, w celach podatkowych, automatyczne przekazywanie do tego państwa trzeciego informacji finansowych (wyszczególnionych w pytaniu pierwszym) o wszystkich obywatelach tego państwa?

b.	Czy poziom wzajemności wymiany danych jest istotnym kryterium, od którego zależy odpowiedź na to pytanie?Nn

13)

W przypadku udzielenia odpowiedzi przeczącej na pytanie pierwsze, drugie lub czwarte oraz udzielenia odpowiedzi twierdzącej na pytanie ósme lit. b):

a.	czy „informacje” wyłączone z obowiązku informacyjnego na podstawie art. 14 ust. 5 lit. a) RODO mogły zostać udzielone przez administratorów, którzy pozyskali dane bezpośrednio od osoby, której dane dotyczą?

b.	Na kim w takiej sytuacji spoczywa ciężar dowodu, że informacje te zostały przekazane z uwzględnieniem w szczególności art. 5 ust. 1 lit. a) i art. 5 ust. 2 RODO?

(1) Dz.U. 2016, L 119, s. 1.

(2) Dz.U. 1995, L 281, s. 31.

(3) Dz.U. 2023, L 231, s. 118.