1.

Na jakich warunkach w świecie, w którym dane osobowe stały się kartą przetargową i stanowią dla przedsiębiorstw nowo odkrytą żyłę złota, można nakładać na administratorów i podmioty przetwarzające administracyjne kary pieniężne za naruszenia zawartych w rozporządzeniu (UE) 2016/679 ( 2 ) przepisów o ochronie danych? Dokładniej rzecz ujmując, czy aby mogli oni podlegać takim karom, konieczne jest spełnienie przesłanki „winy”? Tak właśnie przedstawia się kluczowa kwestia podniesiona w niniejszej sprawie przez Vilniaus apygardos administracinis teismas (regionalny sąd administracyjny w Wilnie, Litwa).

2.

Zawisły przed tym sądem spór, którego stronami są Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos (krajowe centrum zdrowia publicznego przy ministerstwie zdrowia, Litwa; zwane dalej „NVSC”) i Valstybinė duomenų apsaugos inspekcija (urząd ochrony danych osobowych, Litwa; zwany dalej „urzędem”), dotyczy zasadniczo roli odgrywanej przez NVSC przy opracowywaniu i publicznym udostępnianiu aplikacji mobilnej, za pomocą której zbierano, w kwietniu i maju 2020 r., dane osobowe osób, które miały kontakt z pacjentami zakażonymi COVID-19.

3.

W tym kontekście Trybunał ma w niniejszej sprawie okazję doprecyzować pojęcia „administratora”, „współadministratorów” i „przetwarzania”, które zdefiniowano odpowiednio w art. 4 pkt 7, art. 26 ust. 1 i art. 4 pkt 2 RODO, jak również rozważyć po raz pierwszy, czy możliwe jest, w zastosowaniu art. 83 owego rozporządzenia, nałożenie administracyjnej kary pieniężnej na administratora, który nie dopuścił się umyślnie lub nieumyślnie żadnego naruszenia przepisów RODO. Aby rozstrzygnąć tę kwestię, Trybunał musi wyjaśnić, czy na podstawie tego przepisu można nakładać kary pieniężne w braku winy, na gruncie odpowiedzialności na zasadzie ryzyka.

4.

Motyw 148 RODO stanowi:

„Aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne […]. Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące. Nakładanie sankcji, w tym administracyjnych kar pieniężnych, powinno podlegać odpowiednim zabezpieczeniom proceduralnym zgodnym z ogólnymi zasadami prawa Unii i z [k]artą praw podstawowych, w tym skutecznej ochronie prawnej i prawu do rzetelnego procesu”.

5.

Zgodnie z motywem 150 tego rozporządzenia:

„W celu wzmocnienia i zharmonizowania sankcji administracyjnych za naruszenie niniejszego rozporządzenia każdy organ nadzorczy powinien być uprawniony do nakładania administracyjnych kar pieniężnych. W niniejszym rozporządzeniu należy wymienić rodzaje naruszeń oraz wskazać górną granicę i kryteria ustalania związanych z nimi administracyjnych kar pieniężnych, które właściwy organ nadzorczy powinien określać indywidualnie dla każdego przypadku z uwzględnieniem wszystkich stosownych okoliczności danej sytuacji, z należytym uwzględnieniem w szczególności charakteru, wagi, czasu trwania naruszenia i jego konsekwencji, a także środków podjętych w celu zastosowania się do obowiązków wynikających z niniejszego rozporządzenia oraz w celu zapobieżenia konsekwencjom naruszenia lub w celu zminimalizowania tych konsekwencji […]. Nałożenie administracyjnej kary pieniężnej lub wydanie ostrzeżenia nie wpływa na stosowanie innych uprawnień organów nadzorczych ani innych sankcji na mocy niniejszego rozporządzenia”.

6.

W art. 4 pkt 7 RODO „administratora” zdefiniowano jako „osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych […]”.

7.

Artykuł 26 tego rozporządzenia, zatytułowany „Współadministratorzy”, stanowi, w części mającej znaczenie dla niniejszej sprawy:

„1.   Jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, są oni współadministratorami […].

[…]”.

8.

Artykuł 83 tego rozporządzenia, zatytułowany „Ogólne warunki nakładania administracyjnych kar pieniężnych”, brzmi:

„1.   Każdy organ nadzorczy zapewnia, by stosowane na mocy niniejszego artykułu za naruszenia niniejszego rozporządzenia administracyjne kary pieniężne, o których mowa w ust. 4, 5 i 6, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.

2.   Administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)–h) oraz j). Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na:

[…]

3.   Jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów niniejszego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie.

[…]”.

9.

Artykuł 72 ust. 2 Viešųjų pirkimų įstatymas (prawa zamówień publicznych) stanowi:

„Instytucja zamawiająca stosuje procedurę negocjacyjną bez publikacji ogłoszenia o zamówieniu, która to procedura składa się z następujących etapów:

10.

W celu zaradzenia sytuacji wynikającej z rozprzestrzeniania się COVID-19 minister zdrowia Republiki Litewskiej (zwany dalej „ministrem zdrowia”) polecił, decyzją z dnia 24 marca 2020 r., dyrektorowi NVSC zorganizowanie opracowania i nabycia aplikacji mobilnej o nazwie KARANTINAS. Ta aplikacja mobilna była przeznaczona do zbierania i monitorowania danych osobowych osób fizycznych, które miały kontakt z pacjentami zakażonymi COVID-19 ( 3 ).

11.

W dniu 27 marca 2020 r. osoba podająca się za pełnomocnika reprezentującego NVSC poinformowała spółkę „IT sprendimai sėkmei” UAB (zwaną dalej „ITSS”), że owa spółka została wybrana jako deweloper KARANTINAS. ITSS i ta osoba, jak również ITSS i szereg pracowników oraz dyrektor NVSC wymieniali wiadomości e-mail dotyczące opracowywania tej aplikacji mobilnej. Na tym etapie sporządzono też umowę o zachowaniu poufności, w której jako administratorów wymieniono zarówno ITSS, jak i NVSC.

12.

Opracowana ostatecznie aplikacja mobilna została publicznie udostępniona do pobrania na platformach Google Play Store (w dniu 4 kwietnia 2020 r.) i Apple App Store (w dniu 6 kwietnia 2020 r.). W udostępnionej publicznie do pobrania wersji aplikacji KARANTINAS ponownie uczyniono wzmiankę zarówno o ITSS, jak i o NVSC jako administratorach. Na tym etapie NVSC nie zakupiło jeszcze owej aplikacji mobilnej.

13.

Decyzją z dnia 10 kwietnia 2020 r. minister zdrowia polecił dyrektorowi NVSC nabycie aplikacji KARANTINAS w drodze procedury negocjacyjnej bez publikacji ogłoszenia o zamówieniu, na podstawie art. 72 ust. 2 prawa zamówień publicznych.

14.

To postępowanie zostało wszczęte, ale NVSC zakończyło je ze względu na nieotrzymanie niezbędnych środków finansowych. W związku z tym nie udzielono zamówienia publicznego w sprawie zakupu. Aplikacja KARANTINAS nadal pozostawała jednak publicznie udostępniona do pobrania.

15.

W dniu 15 maja 2020 r. NVSC zwróciło się do ITSS o zaprzestanie wykorzystywania w tej aplikacji mobilnej informacji na temat NVSC oraz odnośników kierujących do NVSC. W dniu 18 maja 2020 r. urząd wszczął dochodzenie dotyczące ITSS i NVSC w związku z naruszeniem przepisów RODO. W dniu 26 maja 2020 r. działanie aplikacji KARANTINAS zostało wstrzymane na wniosek urzędu. Według ITSS w okresie od dnia 4 kwietnia do dnia 26 maja 2020 r. dane osobowe za pośrednictwem aplikacji przekazało 3802 użytkowników.

16.

Decyzją z dnia 24 lutego 2021 r. urząd nałożył na NVSC i ITSS, jako na współadministratorów, administracyjne kary pieniężne za naruszenie art. 5, 13, 24, 32 i 35 RODO ( 4 ).

17.

NVSC zaskarżyło tę decyzję do Vilniaus apygardos administracinis teismas (regionalnego sądu administracyjnego w Wilnie). Sąd ten zastanawia się zasadniczo, czy pojęcie „administratora” w rozumieniu art. 4 pkt 7 RODO należy interpretować szeroko, tak aby obejmowało ono każdą osobę fizyczną lub prawną bądź każdy podmiot taki jak NVSC, który nie jest deweloperem aplikacji mobilnej, lecz który, w celu nabycia takiej aplikacji mobilnej w drodze postępowania o udzielenie zamówienia, ustalał „cele i sposoby przetwarzania danych osobowych”, czy też owo pojęcie należy interpretować zawężająco, z uwzględnieniem postępowania o udzielenie zamówienia publicznego i jego wyniku.

18.

W szczególności rozważa on, czy w tym względzie znaczenie ma fakt, że ostatecznie odstąpiono od postępowania o udzielenie zamówienia, zaś NVSC w ogóle nie nabyło aplikacji KARANTINAS. Sąd ten zastanawia się również, czy okoliczność, że NVSC nie udzieliło oficjalnej zgody ani zezwolenia na publiczne udostępnienie tej aplikacji mobilnej, w jakikolwiek sposób wpływa na tę ocenę.

19.

Pragnie on także wyjaśnić kwestię stosunku łączącego NVSC i ITSS. W tym względzie ów sąd nie ma pewności, w jakich okolicznościach ten podmiot i tę spółkę należałoby uznać za „współadministratorów” w rozumieniu art. 4 pkt 7 i art. 26 ust. 1 RODO. Alternatywnie, gdyby NVSC i ITSS nie należało uznać za „współadministratorów”, lecz (odpowiednio) za „administratora” i „podmiot przetwarzający” ( 5 ) w rozumieniu RODO, zmierza on do ustalenia, kiedy działania ITSS mogą skutkować powstaniem odpowiedzialności po stronie NVSC. W związku z tym zastanawia się on, czy art. 83 RODO należy interpretować w ten sposób, że administracyjna kara pieniężna może zostać nałożona na administratora takiego jak NVSC, który sam nie dopuścił się umyślnie lub nieumyślnie żadnego naruszenia tego rozporządzenia.

20.

W tych okolicznościach Vilniaus apygardos administracinis teismas (regionalny sąd administracyjny w Wilnie, Litwa) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

21.

Rozpatrywany wniosek o wydanie orzeczenia w trybie prejudycjalnym z dnia 22 października 2021 r. zarejestrowano w Trybunale w dniu 12 listopada 2021 r. NVSC, urząd, rząd litewski i Komisja Europejska przedstawiły uwagi na piśmie.

22.

Rządy litewski i niderlandzki oraz Komisja i Rada były reprezentowane na rozprawie, która odbyła się w dniu 17 stycznia 2023 r.

23.

Podczas pandemii COVID-19 w wielu państwach członkowskich publicznie udostępniano do pobrania aplikacje mobilne umożliwiające „identyfikowanie i śledzenie” osób zakażonych wirusem lub osób, które miały z nimi kontakt. Owe aplikacje mobilne były opracowywane w ramach działań zmierzających do zaradzenia tej sytuacji nadzwyczajnej, w których nierzadko uczestniczyły różne jednostki publiczne i prywatne (takie jak ministerstwa i inne podmioty publiczne oraz przedsiębiorstwa prywatne). Użytkownicy byli zobowiązani do podania w tych aplikacjach mobilnych swoich danych osobowych, w szczególności danych dotyczących zdrowia ( 6 ).

24.

W postępowaniu głównym analizowana jest właśnie taka aplikacja mobilna, mianowicie KARANTINAS, która została opracowana przez ITSS (przedsiębiorstwo prywatne) z inicjatywy NVSC (organu publicznego) w następstwie decyzji ministra zdrowia. Ani z informacji zawartych w aktach sprawy, ani z wyjaśnień przedstawionych na rozprawie nie wynika, czy w procesie opracowywania aplikacji uczestniczyły inne litewskie podmioty publiczne, a jeżeli tak, jakie były to podmioty ( 7 ). Istnieją również pewne wątpliwości co do tego, czy NVSC wyraziło zgodę na publiczne udostępnienie aplikacji KARANTINAS w okresie, w którym dokonywano przetwarzania danych osobowych (kwiecień i maj 2020 r.). Niemniej jednak w pytaniach zadanych Trybunałowi w trybie prejudycjalnym Vilniaus apygardos administracinis teismas (regionalny sąd administracyjny w Wilnie) wskazał, że istotne znaczenie mają następujące okoliczności:

25.

Wobec powyższego pytania zadane Trybunałowi w trybie prejudycjalnym dotyczą wykładni różnych przepisów RODO. Aby udzielić odpowiedzi na trzy pierwsze pytania i na pytanie piąte, należy dokonać wykładni pojęcia „administratora” w rozumieniu art. 4 pkt 7 tego rozporządzenia, jak również doprecyzować, w jakich okolicznościach co najmniej dwa podmioty można uznać za „współadministratorów” na podstawie tego przepisu i art. 26 ust. 1 owego rozporządzenia. W pierwszej kolejności przeanalizuję te pytania łącznie (zob. śródtytuł A poniżej), po czym przejdę do pytania czwartego, które dotyczy pojęcia „przetwarzania” w rozumieniu art. 4 pkt 2 RODO i jego stosowania w kontekście etapu testowania aplikacji mobilnej (zob. śródtytuł B poniżej) ( 8 ). Następnie rozważę poruszone w pytaniu szóstym zagadnienie stanowiące sedno niniejszej sprawy, które ma charakter przekrojowy, ponieważ odnosi się do warunków, na jakich na administratorów można nakładać administracyjne kary pieniężne w zastosowaniu art. 83 RODO (zob. śródtytuł C poniżej).

26.

Poprzez trzy pierwsze pytania sąd odsyłający pragnie w istocie ustalić, czy, w świetle okoliczności opisanych w pkt 24 niniejszej opinii, podmiot taki jak NVSC należy uznać za „administratora” w rozumieniu art. 4 pkt 7 RODO. Ponadto poprzez pytanie piąte sąd odsyłający zwraca się o wyjaśnienie, czy w takich okolicznościach dwa podmioty, takie jak NVSC i ITSS, należy uznać za „współadministratorów” na podstawie tego przepisu i art. 26 ust. 1 owego rozporządzenia, mimo że nie dokonały one żadnych formalnych uzgodnień w odniesieniu do celów i sposobów przetwarzania lub że nie wydaje się, iż w inny sposób koordynowały ze sobą swoje działania.

27.

Przypominam, że zgodnie z art. 4 pkt 7 RODO za „administratora” uważa się osobę lub podmiot, który „samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych”. Mówiąc prościej, administrator nie musi sam przetwarzać żadnych danych osobowych, natomiast musi ustalić, „dlaczego i jak” przeprowadzane są odpowiednie operacje przetwarzania ( 9 ). Trybunał zasugerował, że aby to kryterium było spełnione, osoba lub podmiot muszą faktycznie „wpływa[ć] […] na przetwarzanie danych osobowych” ( 10 ). Nie jest jednak konieczne, aby ustalenie celów i sposobów przetwarzania następowało zgodnie z pisemnymi wytycznymi lub instrukcjami ze strony administratora ( 11 ). Artykuł 4 pkt 7 RODO zobowiązuje bowiem raczej do analizy okoliczności faktycznych, a nie do analizy formalnej.

28.

W tym kontekście Europejska Rada Ochrony Danych (EROD) zaproponowała, aby uznanie za administratora następowało również niezależnie od faktu przyznania przez prawo szczególnej kompetencji lub szczególnego uprawnienia do administrowania danymi. Możliwość ustalania celów i sposobów przetwarzania zależy przecież przede wszystkim od wywieranego wpływu, którego istnienie można wywieść z okoliczności faktycznych. Podmiot, który rzeczywiście jest w stanie ustalać cele i sposoby przetwarzania, będzie zatem uważany za „administratora” niezależnie od tego, czy formalnie wyznaczono go jako „administratora” (na mocy przepisów prawa, postanowień umownych lub w inny sposób) ( 12 ).

29.

Przedstawiwszy te wyjaśnienia, pragnę zauważyć, iż okoliczności odnotowane przez sąd odsyłający w trzech pierwszych pytaniach mają charakter czysto formalny – chodzi tu na przykład o fakt, że NVSC nie przysługuje prawo własności aplikacji KARANTINAS, że postępowanie w sprawie nabycia tej aplikacji mobilnej nie zostało zakończone albo że NVSC nie udzieliło oficjalnego zezwolenia na publiczne udostępnienie aplikacji ogółowi ludności lub nie zatwierdziło jej ostatniej wersji. Według mnie żadna z tych okoliczności nie może sama w sobie wykluczać wniosku, że w kontekście postępowania głównego NVSC działało jako „administrator” w rozumieniu art. 4 pkt 7 RODO. Nie wystarczają one bowiem, aby odrzucić stwierdzenie, że NVSC rzeczywiście było w stanie ustalać cele i sposoby dokonywanego przetwarzania danych osobowych. Z tego samego względu wydaje mi się, iż okoliczność, że NVSC zostało wskazane jako administrator w polityce prywatności tej wersji aplikacji mobilnej KARANTINAS, która została publicznie udostępniona do pobrania, oraz że w tej wersji aplikacji znajdowały się kierujące do tego podmiotu odnośniki, jest istotna, ale nie rozstrzygająca, jeśli chodzi o wpływ faktycznie wywierany przez ten podmiot.

30.

Z kolei przedstawione sądowi odsyłającemu dowody świadczące o tym, że NVSC decydowało o tym, jakie rodzaje danych osobowych mają być zbierane przez aplikację KARANTINAS i od jakich osób, których dane dotyczą, należy je zbierać, a także określało inne kluczowe aspekty przetwarzania, wystarczają moim zdaniem do wykazania, iż ów podmiot ustalał „sposoby” przetwarzania. Ponadto sądzę, że okoliczność, iż aplikacja KARANTINAS została utworzona z myślą o urzeczywistnieniu wskazanego przez NVSC celu, mianowicie podjęcia działań w reakcji na pandemię COVID-19, jak również fakt, że jej funkcjonalności były systematycznie modyfikowane przez ITSS w celu zaspokojenia potrzeb wyrażanych przez NVSC, zgodnie z poleceniami przekazywanymi przez ten podmiot, wystarczają, aby stwierdzić, iż ów podmiot ustalał „cele” tego przetwarzania.

31.

Niemniej jednak wydaje mi się, że aby ustalić, czy podmiot taki jak NVSC może zostać uznany za „administratora” w rozumieniu art. 4 pkt 7 RODO, sąd odsyłający powinien też sprawdzić, czy – niezależnie od wpływu wywieranego przez NVSC na etapie opracowywania aplikacji mobilnej KARANTINAS – decyzja o publicznym udostępnieniu tej aplikacji, a tym samym o przystąpieniu do przetwarzania danych osobowych, została faktycznie podjęta za (wyraźną lub dorozumianą) zgodą tego podmiotu (bez względu na fakt, iż ta zgoda nie została oficjalnie lub formalnie udzielona).

32.

Jak bowiem jasno wynika z zawartej w art. 4 pkt 7 RODO definicji „administratora”, wywierany przez administratora wpływ musi się odnosić do samego przetwarzania danych osobowych, a nie do jakiegokolwiek wcześniejszego etapu. Osoba fizyczna lub prawna albo inny podmiot nie staje się „administratorem” tylko z tego powodu, że inicjuje proces opracowywania aplikacji mobilnej lub określa parametry tej aplikacji (albo innego narzędzia do zbierania danych). Jego działania muszą wykazywać faktyczny związek z przetwarzaniem danych osobowych, co oznacza, że musi on w sposób wyraźny lub dorozumiany wyrazić zgodę na użycie danego narzędzia do celów takiego przetwarzania.

33.

Trybunał podkreślił znaczenie tego wymogu w wyroku Fashion ID ( 13 ), w którym dobitnie wskazał, że odpowiedzialność administratora jest ograniczona do operacji lub do zestawu operacji przetwarzania danych osobowych, której lub których cele i sposoby rzeczywiście on ustalił ( 14 ). Wynika stąd, że ustalenie celów lub sposobów winno bezpośrednio dotyczyć odnośnej operacji lub zestawu operacji przetwarzania danych osobowych.

34.

Moim zdaniem z powyższych ustaleń wynika, iż podmiot taki jak NVSC, który inicjuje proces opracowywania aplikacji mobilnej, może zostać uznany za „administratora” w rozumieniu art. 4 pkt 7 RODO jedynie wówczas, gdy istnieje wystarczająca liczba elementów o charakterze raczej faktycznym niż formalnym, w oparciu o które sądy krajowe mogą wywnioskować, że taki podmiot wywierał faktyczny wpływ w odniesieniu do „celów i sposobów” tego przetwarzania oraz że faktycznie wyraził on zgodę na publiczne udostępnienie aplikacji mobilnej, a tym samym na przetwarzanie danych osobowych. Z zastrzeżeniem weryfikacji, których powinien dokonać sąd odsyłający, uważam, że NVSC spełnia te wymogi.

35.

Pytanie piąte dotyczy przesłanek, które muszą być spełnione, aby (co najmniej) dwa podmioty można było uznać za współadministratorów. Rozumiem, że sąd odsyłający zwraca się o wyjaśnienie wykładni tego pojęcia, ponieważ podejrzewa, iż, w sytuacji rozpatrywanej w postępowaniu głównym, NVSC i ITSS mogą zostać uznane za „współadministratorów”, a tym samym ponosić odpowiedzialność solidarną za wyrządzoną szkodę ( 15 ) i zostać wspólnie ukarane za naruszenia przepisów o ochronie danych popełnione w toku publicznego udostępniania do pobrania aplikacji KARANTINAS. W tym względzie pragnę zauważyć, jak wskazałem w pkt 16 niniejszej opinii, że urząd przypisał zarówno temu podmiotowi, jak i tej spółce, odpowiedzialność za naruszenia, które popełniły one w charakterze współadministratorów, i nałożył na nie kary w zastosowaniu art. 83 RODO.

36.

Artykuł 26 ust. 1 RODO stanowi, że jeżeli co najmniej dwóch administratorów wspólnie ustala cele i sposoby przetwarzania, to są oni „współadministratorami”. W związku z tym każdy współadministrator musi niezależnie spełniać kryteria wymienione w definicji „administratora” zawartej w art. 4 pkt 7 tego rozporządzenia ( 16 ). Ponadto współadministratorzy powinni pozostawać ze sobą w pewnej relacji, ponieważ muszą oni wspólnie wpływać na przetwarzanie.

37.

Trybunał wskazał, że współadministrowanie niekoniecznie przekłada się na jednakową odpowiedzialność lub jednakowy udział różnych zaangażowanych osób lub podmiotów. Wręcz przeciwnie – współadministratorzy mogą być zaangażowani na różnych etapach przetwarzania, tak że poziom odpowiedzialności każdego z nich należy oceniać przy uwzględnieniu wszystkich istotnych okoliczności każdej sprawy ( 17 ). Ponadto wspólna odpowiedzialność kilku podmiotów w zakresie tego samego przetwarzania nie zakłada, by każdy z nich miał dostęp do odnośnych danych osobowych ( 18 ). Istotne jest natomiast, aby te podmioty brały wspólny udział w ustalaniu „celów i sposobów” przetwarzania.

38.

W tym względzie pragnę zauważyć, że – jak wskazano w wytycznych 07/2020 – taki wspólny udział może przybierać różne formy. Może on stanowić rezultat wspólnej decyzji podjętej przez co najmniej dwa podmioty lub wynikać po prostu ze zbieżnych decyzji takich podmiotów. W tym ostatnim przypadku istotne jest jedynie, aby decyzje wzajemnie się uzupełniały i były niezbędne, aby zaistniało przetwarzanie, w taki sposób, że mają one wymierny wpływ na ustalenie celów i sposobów przetwarzania, co zasadniczo oznacza, iż przetwarzanie nie byłoby możliwe bez udziału obu stron ( 19 ).

39.

W tym kontekście sąd odsyłający zastanawia się, czy okoliczność, że dwóch administratorów (którymi w tym przypadku są NVSC i ITSS) nie dokonało żadnych formalnych uzgodnień w odniesieniu do celów i sposobów przetwarzania lub że nie wydaje się, iż ci dwaj administratorzy w inny sposób koordynowali ze sobą swoje działania, wyklucza możliwość uznania ich za „współadministratorów”.

40.

Jak rozumiem, wątpliwości, jakie wyraża w tym względzie sąd odsyłający, wynikają z faktu, że zgodnie z art. 26 ust. 1 RODO współadministratorzy muszą w drodze wspólnych uzgodnień w przejrzysty sposób określić odpowiednie zakresy swojej odpowiedzialności dotyczącej wypełniania obowiązków zawartych w tym rozporządzeniu. Ponadto motyw 79 tego rozporządzenia przewiduje, że wymagany jest „jasny podział obowiązków”, w tym w sytuacji, w której administrator ustala cele i sposoby przetwarzania wspólnie z innymi osobami. Niemniej jednak moim zdaniem owe obowiązki i wymogi mają zastosowanie do współadministratorów dopiero wtedy, gdy można ich uznać za takowych. Nie zaliczają się one do kryteriów, które muszą być spełnione, aby można ich było zakwalifikować do tej kategorii.

41.

Jak stwierdziłem w pkt 36 niniejszej opinii, aby można było mówić o współadministrowaniu, wymagane jest zaistnienie jedynie dwóch obiektywnych przesłanek. Po pierwsze, każdy współadministrator musi spełniać kryteria wymienione w definicji „administratora” zawartej w art. 4 pkt 7 RODO. Akta sprawy nie zawierają informacji wystarczających do tego, aby ustalić, czy w sytuacji rozpatrywanej w postępowaniu głównym ITSS należy uznać za „administratora” w rozumieniu tego przepisu. W świetle ustaleń, które poczyniłem w poprzedniej sekcji niniejszej opinii, oraz z zastrzeżeniem weryfikacji, której przeprowadzenie należy do sądu odsyłającego, wydaje mi się jednak, że przesłanki uznania za „administratora” w rozumieniu tego przepisu spełnia przynajmniej NVSC (a być może nawet zarówno ten podmiot, jak i ITSS). Po drugie, administratorzy muszą wspólnie wpływać na przetwarzanie (co oznacza, że ów wpływ powinien być wywierany zgodnie z kryteriami prawnymi i orzecznictwem przytoczonym w pkt 37 i 38 niniejszej opinii). W tym względzie wyjaśniłem, że wspólny udział w przetwarzaniu może przybierać różne formy i wcale nie musi wynikać ze wspólnej decyzji zaangażowanych stron. W związku z tym podejście materialne i funkcjonalne, jakie jest wymagane w celu ustalenia, czy daną osobę lub dany podmiot należy uznać za „administratora” w rozumieniu art. 4 pkt 7 RODO, znajduje moim zdaniem zastosowanie również w przypadku współadministrowania ( 20 ).

42.

W świetle tych okoliczności uważam, po pierwsze, że brak porozumienia lub uzgodnień między co najmniej dwoma administratorami takimi jak NVSC i ITSS, a nawet brak podjętej przez nich wspólnej decyzji, nie może sam w sobie wykluczać stwierdzenia, iż są oni „współadministratorami” w rozumieniu art. 4 pkt 7 RODO w związku z jego art. 26 ust. 1. W tym miejscu pragnę dodać, że EROD zasugerowała, iż choć przy ocenie współadministrowania użyteczne mogą się okazać uzgodnienia umowne, to jednak należy zawsze sprawdzić je w świetle okoliczności faktycznych dotyczących stosunków między stronami ( 21 ).

43.

Po drugie, mam również wrażenie, że sam fakt, iż NVSC i ITSS, poza tym, że nie zawarły porozumienia, nie dokonały uzgodnień lub nie podjęły wspólnej decyzji, nie wydają się koordynować swoich działań lub w inny sposób ze sobą współpracować, nie oznacza, iż nie można ich uznać za „współadministratorów”. Nawet gdy dochodzi do takiej koordynacji lub współpracy, pozostaje ona bez znaczenia dla kwestii, czy stosunek łączący oba podmioty jest stosunkiem współadministrowania czy też nie. Można przecież łatwo wyobrazić sobie sytuację, w której co najmniej dwa podmioty koordynują swoje działania lub ze sobą współpracują, a wcale nie są współadministratorami. Na przykład dwóch niezależnych administratorów może koordynować swoje działania lub ze sobą współpracować z myślą o przekazywaniu sobie nawzajem danych osobowych. Nie czyni to ich jednak „współadministratorami” w rozumieniu art. 4 pkt 7 i art. 26 ust. 1 RODO ( 22 ). Istotne jest, jak wyjaśniłem w pkt 38 powyżej, że przetwarzanie nie byłoby możliwe bez udziału obu stron, ponieważ obie mają wymierny wpływ na ustalenie celów i sposobów tego przetwarzania.

44.

W świetle powyższych rozważań wydaje mi się, że – z jednej strony – z zastrzeżeniem weryfikacji, których przeprowadzenie należy do sądu odsyłającego, podmiot taki jak NVSC spełnia wymienione w art. 4 pkt 7 RODO przesłanki pozwalające uznać go za „administratora”. Z drugiej strony to, czy NVSC i ITSS należy uznać za „współadministratorów” zgodnie z kryteriami, które przedstawiłem w poprzedniej sekcji, czy też raczej przyjąć, że są one, odpowiednio, „administratorem” i „podmiotem przetwarzającym”, zależy od charakteru stosunku ich łączącego, którego ocena należy do sądu odsyłającego.

45.

W tym względzie chciałbym dodać, że charakter stosunku łączącego NVSC i ITSS (mianowicie to, czy owe podmioty są „współadministratorami”, czy też, odpowiednio, „administratorem” i „podmiotem przetwarzającym”) ma znaczenie w kontekście pytania szóstego. W związku z tym do wniosków, które sformułowałem w odniesieniu do pytania piątego, powrócę w ramach analizy problemów zasygnalizowanych w pytaniu szóstym.

46.

Poprzez pytanie czwarte sąd odsyłający zmierza zasadniczo do ustalenia, czy definicja „przetwarzania” zawarta w art. 4 pkt 2 RODO obejmuje sytuację, w której dane osobowe są wykorzystywane na etapie testowania aplikacji mobilnej ( 23 ). Z wniosku o wydanie orzeczenia w trybie prejudycjalnym wnioskuję, że aplikacja KARANTINAS przeszła etap testowania przed jej publicznym udostępnieniem do pobrania. W moim rozumieniu pytanie czwarte dotyczy więc sytuacji odmiennej od tej, która stanowi sedno pozostałych pytań skierowanych do Trybunału, a które wszystkie dotyczą przetwarzania danych osobowych po zakończeniu etapu testowania, kiedy KARANTINAS został udostępniony publicznie. Sąd odsyłający pragnie w szczególności ustalić, czy wykorzystywanie danych osobowych na etapie testowania można uznać za „przetwarzanie” w rozumieniu art. 4 pkt 2 RODO i czy jako takie może ono prowadzić do powstania ewentualnej odpowiedzialności po stronie zaangażowanych administratorów lub podmiotów przetwarzających.

47.

W art. 4 pkt 2 RODO „przetwarzanie” zdefiniowano jako „[każdą] operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany […]” ( 24 ).

48.

Mając na uwadze to brzmienie (w szczególności zaś użycie słowa „każdą” [brak w polskiej wersji językowej tego przepisu] oraz posłużenie się ogólnymi pojęciami takimi jak „operacja” czy też „zestaw operacji”), przyjmuję, że ów przepis należy rozumieć szeroko, tak aby obejmował on możliwie jak najwięcej potencjalnych sytuacji, w których wykorzystywane są dane osobowe. Niewyczerpujący wykaz takich sytuacji, zawarty w tym przepisie, potwierdza tę wykładnię, biorąc pod uwagę różnorodność operacji, które są w nim zawarte ( 25 ).

49.

Ponadto, o ile z powyższej sekcji wynika, że definicja „administratora” w rozumieniu art. 4 pkt 7 tego rozporządzenia wykazuje ścisły związek z celami przetwarzania danych osobowych (powodami, „dla których” dane osobowe są zbierane), o tyle nie jest tak w przypadku definicji znajdującej się w jego art. 4 pkt 2. W związku z tym powody, dla których wykonywana jest operacja lub zestaw operacji, co do zasady pozostają bez znaczenia dla kwestii, czy należy je uznać za „przetwarzanie” w rozumieniu tego przepisu. Z powyższego wynika moim zdaniem, że to, czy dane osobowe są zbierane w celu testowania systemów informatycznych zintegrowanych z aplikacją mobilną, czy też w innym celu, nie ma wpływu na rozstrzygnięcie, czy dana operacja kwalifikuje się jako „przetwarzanie”.

50.

W tym względzie pragnę jeszcze wskazać, że „wykorzystywanie” danych osobowych (bez żadnych dodatkowych odniesień, a zatem niezależnie od celu takiego wykorzystywania) jest wymienione wśród operacji lub zestawów operacji stanowiących „przetwarzanie” ( 26 ). Ponadto art. 4 pkt 2 RODO nie zawiera żadnego wyraźnego wyjątku, odstępstwa ani wyłączenia w odniesieniu do operacji związanych z wykorzystywaniem danych osobowych na potrzeby testowania systemów informatycznych. Oznacza to, że nic nie stoi na przeszkodzie uznaniu wykorzystywania danych osobowych w celu przeprowadzenia takich testów za „przetwarzanie” w rozumieniu tego przepisu; wręcz przeciwnie.

51.

Mając na uwadze te elementy, sądzę, że definicja „przetwarzania” zawarta w art. 4 pkt 2 RODO obejmuje sytuację, w której dane osobowe są wykorzystywane na etapie testowania aplikacji mobilnej.

52.

Na mój wniosek w tym względzie nie ma wpływu sam fakt, że dane osobowe zapewnione na potrzeby testowania systemów informatycznych zintegrowanych z aplikacją mobilną mogły zostać poddane pseudonimizacji ( 27 ). RODO nie miałoby zastosowania jedynie w sytuacji, w której informacje dostarczone do aplikacji mobilnej składają się wyłącznie z informacji anonimowych, które „nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną” ani do danych osobowych „zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować”. Zaznaczam jednak, że w sprawie w postępowaniu głównym dane wykorzystywane na etapie testowania nie wydają się stanowić, w świetle informacji zawartych w aktach sprawy, tego rodzaju poddanych anonimizacji danych ( 28 ).

53.

W świetle powyższego uważam, iż definicja „przetwarzania” zawarta w art. 4 pkt 2 RODO obejmuje sytuację, w której dane osobowe są wykorzystywane na etapie testowania aplikacji mobilnej, chyba że te dane zostały poddane anonimizacji w taki sposób, iż osoby, której dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. To, czy dane osobowe zostały zebrane w celu testowania systemów informatycznych zintegrowanych z aplikacją mobilną lub w innym celu, nie ma z kolei wpływu na zakwalifikowanie danej operacji jako „przetwarzania” ( 29 ).

54.

Przedstawiwszy te wyjaśnienia, przejdę teraz do kluczowej kwestii w niniejszej sprawie, która dotyczy warunków, na jakich na administratora lub podmiot przetwarzający można nakładać administracyjne kary pieniężne w zastosowaniu art. 83 RODO.

55.

Przed przyjęciem RODO sankcje za naruszenia przepisów o ochronie danych stanowiły dziedzinę pozostawioną w dużej mierze do uznania państw członkowskich, zgodnie z przysługującą im autonomią proceduralną i autonomią w zakresie środków ochrony prawnej ( 30 ). W związku z tym administracyjne kary pieniężne, które zostały wprowadzone art. 83 tego rozporządzenia, są stosunkowo „nowym elementem” unijnego prawa ochrony danych. Grupa Robocza art. 29 wskazała, że są one „zasadniczym elementem nowego systemu egzekwowania” ( 31 ). Choć jak dotąd Trybunał nie dokonał wykładni tego przepisu, to był on już stosowany przez organy nadzorcze, które niekiedy nakładały na jego podstawie wysokie kary na administratorów i podmioty przetwarzające ( 32 ).

56.

Artykuł 83 RODO przewiduje dwupoziomową strukturę systemu kar, przy czym to, na którym poziomie rozpatruje się naruszenie, zależy od konkretnego rodzaju naruszonego przepisu. O ile poziom pierwszy, o którym jest mowa w art. 83 ust. 4 tego rozporządzenia, odnosi się do sytuacji, w których administrator lub podmiot przetwarzający narusza spoczywające na nim ogólne obowiązki, a także niektóre szczególne obowiązki, o tyle poziom drugi jest zarezerwowany – jak stanowi art. 83 ust. 5 RODO – dla poważniejszych naruszeń, takich jak, między innymi, naruszenia podstawowych zasad przetwarzania, praw osób, których dane dotyczą, czy też przepisów regulujących przekazywanie danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej.

57.

Na każdym z tych poziomów właściwe organy krajowe powinny, ustaliwszy, że doszło do naruszenia odnośnego przepisu RODO, przeprowadzić dwie oceny. Po pierwsze, mają one ustalić, czy należy nałożyć karę pieniężną, a po drugie, ustaliwszy to, mają określić wysokość tej kary. Te oceny muszą być przeprowadzane w każdym indywidualnym przypadku, w świetle różnych czynników wymienionych w art. 83 ust. 2 RODO. Wśród tych czynników wymieniono „umyślny lub nieumyślny charakter naruszenia” [art. 83 ust. 2 lit. b)].

58.

Poprzez pytanie szóste sąd odsyłający zmierza zasadniczo do ustalenia, czy administracyjna kara pieniężna może zostać nałożona na administratora, jeżeli ów administrator nie działał umyślnie lub nieumyślnie, gdy naruszył przepisy o ochronie danych, a dane osobowe zostały przetworzone niezgodnie z prawem nie przez samego administratora, lecz przez podmiot przetwarzający. W świetle ustaleń, które poczyniłem powyżej w odniesieniu do pytania piątego, wydaje mi się, że pytanie szóste zostało zadane na wypadek, gdyby w postępowaniu głównym NVSC i ITSS nie można było uznać za „współadministratorów” w rozumieniu art. 4 pkt 7 RODO w związku z art. 26 ust. 1 owego rozporządzenia, natomiast należało je uznać odpowiednio za „administratora” i „podmiot przetwarzający”. To właśnie w tym szczególnym kontekście sąd odsyłający pragnie uzyskać wyjaśnienia odnośnie do tego, w jakich okolicznościach można nałożyć na NVSC karę pieniężną w zastosowaniu art. 83 RODO.

59.

Pragnę w związku z tym zauważyć, że w pytaniu szóstym jako właściwy przepis powołano jedynie art. 83 ust. 1 RODO. Pomimo to uważam, że problemy podniesione w tym pytaniu wymagają dokonania analizy art. 83 tego rozporządzenia jako całości oraz, przede wszystkim, jak wyjaśniłem w pkt 57 niniejszej opinii, uwzględnienia jego art. 83 ust. 2 lit. b), skoro to właśnie ten przepis odnosi się do „umyślnego lub nieumyślnego charakteru naruszenia”. W związku z tym przyjmuję, że pytanie szóste dotyczy wykładni art. 83 RODO jako całości, a nie tylko art. 83 ust. 1 tego rozporządzenia.

60.

Według mnie to pytanie składa się z dwóch części. Po pierwsze, Trybunał musi rozstrzygnąć, czy art. 83 RODO zezwala, w ujęciu ogólnym, na nakładanie administracyjnych kar pieniężnych na administratorów lub podmioty przetwarzające w braku mens rea (elementu subiektywnego – winy). Sąd odsyłający pragnie w istocie ustalić, czy na NVSC można nałożyć karę pieniężną tylko z tego powodu, że naruszyło ono obowiązki spoczywające na nim jako na administratorze (odpowiedzialność na zasadzie ryzyka), czy też wymagane jest, aby odnośne naruszenie lub naruszenia były zawinione. Po drugie, zwraca się on o wyjaśnienie, czy okoliczność, że dane osobowe zostały przetworzone niezgodnie z prawem nie przez samego administratora, lecz przez podmiot przetwarzający, wpływa w jakikolwiek sposób na możliwość nałożenia przez organy nadzorcze kary pieniężnej na administratora.

61.

Rozważę kolejno oba te aspekty.

62.

Artykuł 83 RODO wymaga, aby wszystkie administracyjne kary pieniężne nakładane za naruszenia przepisów o ochronie danych były „skuteczne, proporcjonalne i odstraszające”. Wynika to jasno z ust. 1 tego artykułu. W tym ustępie nie wskazano jednak, czy taka kara pieniężna może zostać nałożona tylko w razie równoczesnego wykazania winy, czyli czy „wina” jest warunkiem nałożenia jakiejkolwiek administracyjnej kary pieniężnej.

63.

Z kolei w ust. 2 lit. b) tego artykułu „umyślny lub nieumyślny charakter naruszenia” wymieniono pośród elementów ( 33 ), na które organy nadzorcze mają w każdym indywidualnym przypadku zwrócić „należytą uwagę”. Zgodnie z art. 83 ust. 2 lit. k) owego rozporządzenia te elementy należy traktować jako „obciążające lub łagodzące czynniki”, których wykaz nie jest wyczerpujący.

64.

W tym kontekście uważam, że art. 83 RODO można rozumieć na dwa sposoby.

65.

Z jednej strony dałoby się przyjąć, że choć o decyzji nakładającej karę pieniężną i określającej jej wysokość należy rozstrzygać, zwracając należytą uwagę na stopień winy (w związku z czym na przykład co do zasady kara pieniężna powinna być wyższa, jeżeli naruszenie było wynikiem umyślnego zachowania, i odwrotnie – nieumyślne zachowanie powinno skutkować nałożeniem niższej kary pieniężnej), to nic nie stoi na przeszkodzie, aby kara pieniężna została zastosowana również w braku jakiejkolwiek winy, o ile podmiotowi przetwarzającemu lub administratorowi można przypisać odpowiedzialność za naruszenie. Taka interpretacja znajdowałaby oparcie w wykładni art. 83 ust. 2 lit. b) i k), zgodnie z którą wymienienie różnych form winy (umyślnej lub nieumyślnej) jako „obciążających lub łagodzących czynników” można rozumieć w ten sposób, iż zasadniczo zgodnie z tymi przepisami wina nie jest warunkiem koniecznym nałożenia kary.

66.

Z drugiej strony można by również twierdzić, jak czyni to Komisja w niniejszej sprawie, że przed nałożeniem kary należy wykazać, co stanowi wymóg minimalny, nieumyślność po stronie osoby lub podmiotu, który dopuścił się naruszenia. Za tym podejściem przemawiałaby inna, bardziej ostrożna wykładnia art. 83 ust. 2 lit. b) i k) RODO, w myśl której te przepisy nakładają na organy nadzorcze obowiązek rozróżnienia między czynnikiem łagodzącym (nieumyślność) a czynnikiem obciążającym (umyślność), natomiast nie wskazują, że karę pieniężną można nałożyć w całkowitym braku winy.

67.

Komisja wyraźnie opowiedziała się za taką interpretacją w swoim pierwotnym wniosku ( 34 ), który legł u podstaw przyjęcia RODO, a w którym zaproponowała trzypoziomową strukturę systemu kar pieniężnych. W odniesieniu do każdego poziomu Komisja zaproponowała, aby kary pieniężne mogły być nakładane wyłącznie na „każdy podmiot, który umyślnie lub lekkomyślnie [nieumyślnie]” ( 35 ) popełnił co najmniej jedno z zarzucanych naruszeń. W związku z tym przesłanka winy została wyraźnie przewidziana przez Komisję jako warunek konieczny nałożenia takiej kary pieniężnej ( 36 ).

68.

Choć moim zdaniem oba podejścia daje się obronić w świetle wykładni językowej art. 83 ust. 2 RODO, ponieważ każde z nich odpowiada rozumieniu „umyślnego lub nieumyślnego charakteru naruszenia” jako czynnika „obciążającego” lub „łagodzącego”, to uważam, że jedynie drugie z nich należycie odzwierciedla zamiar przyświecający prawodawcy Unii. Do tego wniosku skłania mnie kilka powodów.

69.

Po pierwsze, pragnę wskazać, że w oparciu o konkretne sformułowania dotyczące niektórych czynników wymienionych w art. 83 ust. 2 RODO można wywnioskować, iż owe czynniki nie odnoszą się do wszystkich, lecz tylko do pewnych przypadków. W szczególności art. 83 ust. 2 lit. c), e) i k) rozpoczynają się od słowa „wszelkie” („[wszelkie][tutaj pominiętego w polskiej wersji językowej] działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody […]”; „wszelkie stosowne wcześniejsze naruszenia […]”, „wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy […]”), co sugeruje, że choć organy nadzorcze muszą zawsze stwierdzić, czy podjęto jakiekolwiek działanie w celu zminimalizowania szkody oraz czy istnieją jakiekolwiek wcześniejsze naruszenia lub inne czynniki obciążające lub łagodzące, jeśli takie elementy występują lub zostały udowodnione, to mogą też zdarzyć się sytuacje, w których takie elementy po prostu nie występują, a mimo to właściwy organ ochrony danych nadal jest w stanie podjąć decyzję o nałożeniu kary pieniężnej (lub – przeciwnie – o nienałożeniu takiej kary). W podobnym duchu chciałbym zauważyć, że art. 83 ust. 2 lit. i) RODO jest również sformułowany w sposób niesystematyczny, ponieważ wymaga zbadania, czy administrator lub podmiot przetwarzający przestrzegał środków, o których mowa w art. 58 ust. 2 tego rozporządzenia, ale jedynie„jeżeli wobec administratora lub podmiotu przetwarzającego […] zostały wcześniej zastosowane [takie] środki”.

70.

Z kolei w art. 83 ust. 2 lit. b) jest mowa jedynie o „umyślnym lub nieumyślnym charakterze naruszenia” ( 37 ). Wydaje mi się zatem, że jest to jeden z tych czynników, który musi wystąpić oraz, mówiąc obrazowo, który musi w każdej sprawie zostać „odhaczony” przed nałożeniem kary pieniężnej, podobnie jak „charakter, wag[a] i czas trwania naruszenia […]” [art. 83 ust. 2 lit. a)], „kategorie danych osobowych, których dotyczyło naruszenie” [art. 83 ust. 2 lit. g)] i „sposób, w jaki organ nadzorczy dowiedział się o naruszeniu […]” [art. 83 ust. 2 lit. h)]. Moim zdaniem te pozostałe czynniki również muszą „wystąpić” we wszystkich przypadkach; na przykład „charakter, waga i czas trwania naruszenia” mogą być bardzo różne w zależności od sprawy (w związku z czym mogą stanowić powód przemawiający „za” nałożeniem kary lub „przeciw” jej nałożeniu). Niemniej jednak w każdym przypadku naruszenie będzie miało charakter, jakąś wagę i jakiś czas trwania, które trzeba będzie wziąć pod uwagę. Moim zdaniem jest to pierwsza wskazówka świadcząca o tym, że nakładanie kar pieniężnych na podstawie art. 83 RODO jest możliwe jedynie w sytuacjach, w których zarzucane naruszenie było albo umyślne, albo nieumyślne ( 38 ).

71.

Po drugie, chciałbym zauważyć, że choć w art. 83 ust. 2 RODO nie ma wyraźnie mowy o tym, iż naruszenie ma zostać popełnione „umyślnie lub nieumyślnie”, to tego samego nie można powiedzieć o ust. 3 tego artykułu, który to przepis wyraża zasadę ogólną zakazu kumulacji administracyjnych kar pieniężnych. W tym ustępie jest mowa wyłącznie o sytuacji, w której dane naruszenie lub naruszenia popełniono „umyślnie lub nieumyślnie”.

72.

Według mnie logicznie wynika z tego, że art. 83 ust. 2 RODO należy interpretować w ten sposób, iż kara pieniężna może zostać nałożona tylko wtedy, gdy zarzucane naruszenie zostało popełnione umyślnie lub nieumyślnie. Gdyby bowiem zakresy stosowania art. 83 ust. 2 i 3 RODO były odmienne, istniałaby możliwość nakładania skumulowanych kar pieniężnych za mniej poważne naruszenia (czyli naruszenia popełnione bez jakiejkolwiek winy), ponieważ, chociaż w dalszym ciągu mogłyby prowadzić do nałożenia kary w zastosowaniu pierwszego z tych przepisów (art. 83 ust. 2), to nie podlegałyby regulacji drugiego z tych przepisów (art. 83 ust. 3). Nie byłoby to jednak możliwe w przypadku naruszeń popełnionych nieumyślnie lub umyślnie, ponieważ wszystkie takie naruszenia podpadałyby pod zasadę zakazu kumulacji, którą wyrażono w art. 83 ust. 3 owego rozporządzenia. Taki rezultat byłby w oczywisty sposób sprzeczny z podstawową zasadą ustanowionego w RODO systemu kar, zgodnie z którą poważne naruszenia powinny co do zasady podlegać karze surowszej aniżeli mniej poważne naruszenia, a nie odwrotnie.

73.

Po trzecie, wskazuję, że kary pieniężne nakładane w zastosowaniu art. 83 RODO mogą stanowić surowe sankcje. W istocie na poziomie pierwszym, o którym jest mowa w art. 83 ust. 4 tego rozporządzenia, można nałożyć kary w wysokości do 10000000 EUR lub, w przypadku przedsiębiorstwa, w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa. Na poziomie drugim przewidziano kary w wysokości do 20000000 EUR lub, w przypadku przedsiębiorstwa, w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (również w zależności od tego, która kwota jest wyższa).

74.

W konsekwencji wydaje mi się, że kary pieniężne nakładane w zastosowaniu art. 83 RODO realizują, przynajmniej w niektórych sytuacjach ( 39 ), funkcję represyjną i wykazują na tyle wysoki stopień surowości, by mogły należeć do dziedziny prawa karnego ( 40 ), a tym samym pozostawać objęte zakresem stosowania art. 49 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”) ( 41 ).

75.

Ze względu na te elementy, a w szczególności przynależność grzywien nałożonych na podstawie art. 83 RODO do dziedziny prawa karnego można by pokusić się o stwierdzenie, że niezgodne z wymogiem przewidzianym w ust. 1 tego przepisu – w myśl którego kary mają być we wszystkich przypadkach nie tylko „odstraszające” i „skuteczne”, ale też „proporcjonalne” – byłoby dopuszczenie nakładania takich kar w braku winy. Innymi słowy, nieproporcjonalne byłoby nakładanie kar pieniężnych w sytuacjach, w których nie wykazano nawet nieumyślności. Moim zdaniem przeprowadzenie takiego argumentu byłoby jednak trudne, skoro Trybunał orzekł już, że system sankcji lub kar oparty na odpowiedzialności na zasadzie ryzyka, nawet jeżeli należy on do dziedziny prawa karnego, nie jest sam w sobie nieproporcjonalny względem zamierzonych celów, gdy system ten może nakłaniać osoby, do których się odnosi, do poszanowania określonych przepisów i gdy zamierzone cele są objęte ogólnym interesem mogącym uzasadniać ustanowienie takiego systemu ( 42 ). Ponadto Europejski Trybunał Praw Człowieka (ETPC) orzekł, w odniesieniu do art. 7 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności (EKPC) (które to postanowienie odpowiada art. 49 karty) ( 43 ), że choć karanie na podstawie tego postanowienia co do zasady wymaga ustalenia znamion strony podmiotowej wskazujących na element osobistej odpowiedzialności po stronie sprawcy, który faktycznie popełnił czyn zabroniony, to wymóg ten nie wyklucza istnienia pewnych form odpowiedzialności obiektywnej ( 44 ).

76.

Niemniej jednak na podstawie tego orzecznictwa wywodzę, że mens rea (element subiektywny) co do zasady jest wymagany do nałożenia sankcji należącej do dziedziny prawa karnego, w związku z czym odpowiedzialność na zasadzie ryzyka stanowi swoisty „wyjątek” od tej ogólnej zasady w zakresie, w jakim musi on zostać uzasadniony w świetle celów danej regulacji.

77.

Jeśliby wziąć pod uwagę RODO jako całość, to wydaje mi się, że prawodawca Unii przewidział administracyjne kary pieniężne jako raptem jedno z ustanowionych w tym akcie prawnym narzędzi służących zapewnieniu skutecznego przestrzegania prawa. Kary pieniężne są bowiem nakładane „oprócz lub zamiast” innych środków wymienionych w art. 58 ust. 2 tego rozporządzenia, który to przepis przyznaje organom nadzorczym szereg uprawnień naprawczych (takich jak prawo do wydawania ostrzeżeń, udzielania upomnień lub nakazywania podjęcia określonych działań) ( 45 ). Ponadto w sytuacjach, w których nie nakłada się administracyjnej kary pieniężnej w zastosowaniu art. 83 RODO, organy nadzorcze mają możliwość nałożenia innych sankcji na podstawie art. 84 owego rozporządzenia ( 46 ).

78.

Moim zdaniem z tych przepisów jasno wynika, że prawodawcy Unii, gdy przyjmował on to rozporządzenie, nie przyświecał zamiar, aby każde naruszenie przepisów o ochronie danych podlegało administracyjnym karom pieniężnym. Dążył on raczej do ustanowienia elastycznego i zróżnicowanego systemu sankcji i kar. Potwierdza to motyw 148 RODO, zgodnie z którym organy nadzorcze mogą, jeżeli „naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie”, odstąpić od nałożenia administracyjnej kary pieniężnej i zamiast tego udzielić upomnienia. W tym kontekście ograniczenie stosowania art. 83 RODO do sytuacji, w których wykazano przynajmniej nieumyślność, jest moim zdaniem spójne z tymi celami i z nadrzędną logiką tych poszczególnych przepisów, zgodnie z którą nakładanie administracyjnych kar pieniężnych powinno być zarezerwowane dla pewnych rodzajów naruszeń.

79.

Wydaje mi się również, że w przypadkach, w których prawodawca Unii wyraził wolę wprowadzenia w RODO systemu odpowiedzialności na zasadzie ryzyka lub na zasadzie domniemania winy, użył on stosownych sformułowań, którymi nie posłużono się w art. 83 tego aktu prawnego. I tak na przykład w przypadku odpowiedzialności cywilnej (czyli odpowiedzialności, jaką administratorzy i podmioty przetwarzające ponoszą wobec osób, których dane dotyczą), która została uregulowana w art. 82 RODO, prawodawca Unii wskazał, że administratorzy i podmioty przetwarzające są bezwzględnie zobowiązane naprawić szkodę wyrządzoną osobom, których dane dotyczą, chyba że są w stanie wykazać, iż w żaden sposób nie ponoszą odpowiedzialności za zdarzenie, które doprowadziło do powstania szkody ( 47 ). Z kolei w art. 83 tego rozporządzenia brak jest wyrażeń przypominających sformułowania użyte w art. 84 RODO. Potwierdza to moim zdaniem wniosek, że zamiarem prawodawcy Unii nie było wprowadzenie na mocy tego przepisu systemu kar pieniężnych przewidującego odpowiedzialność na zasadzie ryzyka lub na zasadzie domniemania winy.

80.

Po czwarte i być może najważniejsze, uważam, że w praktyce próg nieumyślnego naruszenia RODO w rozumieniu art. 83 ust. 2 lit. b) tego rozporządzenia jest w każdym wypadku tak niski, iż trudno jest sobie wyobrazić sytuacje, w których nałożenie kary pieniężnej nie będzie możliwe z tego tylko powodu, że ta przesłanka nie została spełniona. W związku z tym uważam, że sam fakt konieczności wykazania popełnionego umyślnie lub nieumyślnie naruszenia przed nałożeniem kary pieniężnej w zastosowaniu art. 83 tego rozporządzenia, nie zagraża celowi prawodawcy Unii, jakim jest zagwarantowanie skutecznego egzekwowania przepisów o ochronie danych zawartych w tym rozporządzeniu, a wręcz przeciwnie.

81.

W tym względzie niekiedy podnosi się, że samo niepodjęcie żadnego działania w sytuacji, w której administrator lub podmiot przetwarzający ma li tylko wątpliwości co do zgodności z prawem dokonanego przetwarzania, już stanowi wyraz świadomego przyzwolenia na ewentualne naruszenie RODO, a tym samym rażące niedbalstwo ( 48 ). Ponadto Grupa Robocza art. 29 zasugerowała, że nieumyślne naruszenie pod wieloma względami jest równoznaczne z naruszeniem „niezamierzonym”, ponieważ – jej zdaniem – takie naruszenie może nastąpić wówczas, gdy brak było zamiaru spowodowania naruszenia i nastąpiło jedynie niedopełnienie przez administratora lub podmiot przetwarzający spoczywającego na nich obowiązku zachowania staranności ( 49 ). W szczególności stwierdziła ona, że na zaniedbanie może wskazywać nawet taka okoliczność jak zwykły „błąd ludzki” ( 50 ).

82.

W tym miejscu nasuwają się dwie uwagi. Po pierwsze, granica między całkowicie niezamierzonym i niezawinionym naruszeniem a naruszeniem popełnionym nieumyślnie jest w rzeczywistości bardzo cienka. Uważam, że organy nadzorcze rzadko będą miały trudności, aby zidentyfikować wystarczającą liczbę elementów pozwalających przyjąć, iż zarzucane naruszenie popełniono przynajmniej nieumyślnie. W tym względzie zaznaczam, że w doktrynie stwierdzono, iż „mając na uwadze liczne działania na rzecz podnoszenia świadomości […], podejmowane w celu zapewnienia przestrzegania RODO, trudno jest sobie wyobrazić […] naruszenia RODO, które nie byłyby przynajmniej nieumyślne” ( 51 ). W pełni się z tym zgadzam i przypominam, że RODO zmierza w szczególności do zagwarantowania, aby administratorzy i podmioty przetwarzające miały świadomość przepisów o ochronie danych, co moim zdaniem sprawia, iż jeszcze trudniej jest uznać, że naruszenie może zostać popełnione bez żadnej winy (nawet bez nieumyślności) ( 52 ).

83.

Po drugie, taki wniosek jawi się jako całkowicie spójny z głównym celem RODO, którym jest zapewnienie spójnego i wysokiego poziomu ochrony osób fizycznych w Unii Europejskiej ( 53 ). Kary pieniężne wywierają rzeczywiście skutek odstraszający ( 54 ). Ponieważ skłaniają one administratorów i podmioty przetwarzające do przestrzegania RODO, przyczyniają się zasadniczo do wzmocnienia ochrony osób, których dane dotyczą, a tym samym stanowią kluczowy element gwarantujący poszanowanie ich praw ( 55 ). Moim zdaniem wynika z tego, że o ile nie można się obyć bez „winy”, o tyle stopień winy wymagany do tego, by art. 83 RODO znalazł zastosowanie, jest wystarczająco niski, aby zapewnić odpowiedni poziom ochrony osób, których dane dotyczą.

84.

Ponadto chciałbym podkreślić, że podejście, które proponuję Trybunałowi, potwierdzałoby również fakt zestrojenia systemu kar pieniężnych ustanowionego tym przepisem z systemem grzywien przewidzianym w art. 23 ust. 1 rozporządzenia (WE) nr 1/2003 ( 56 ) w odniesieniu do naruszeń prawa konkurencji, który również ma zastosowanie jedynie w przypadku wykazania popełnionego umyślnie lub nieumyślnie naruszenia, To, że ów system grzywien był źródłem inspiracji przy formułowaniu treści normatywnej art. 83 RODO, znajduje potwierdzenie w motywie 150 RODO, który przewiduje, iż „[j]eżeli administracyjna kara pieniężna jest nakładana na przedsiębiorstwo, to »przedsiębiorstwo« należy do tych celów rozumieć zgodnie z art. 101 i 102 TFUE”, jak również w innych podobieństwach między tymi dwoma systemami, na przykład w fakcie, że sankcje nakładane w ich ramach na przedsiębiorstwa są w obu przypadkach wyliczane na podstawie obrotu przedsiębiorstwa. Zauważam też, że szereg czynników wymienionych w art. 83 ust. 2 RODO stanowi odzwierciedlenie czynników uwzględnianych w celu określenia wysokości grzywien za naruszenia prawa konkurencji ( 57 ).

85.

Po przedstawieniu powodów, dla których uważam, że przed nałożeniem na administratora lub podmiot przetwarzający kary pieniężnej w zastosowaniu art. 83 ust. 2 RODO konieczne jest wykazanie winy, pozostaje mi jeszcze poczynić kilka uwag na temat toku rozumowania Rady i rządu litewskiego. Zdaniem tych uczestników to do państw członkowskich należy decyzja, czy istnienie winy jest koniecznym warunkiem nałożenia administracyjnej kary pieniężnej.

86.

Osobiście nie zgadzam się z tą sugestią.

87.

Jest dla mnie jasne, że jednym z podstawowych celów RODO, a w szczególności jego art. 83, było osiągnięcie w Unii Europejskiej wyższego poziomu harmonizacji, w szczególności odnośnie do nakładania kar pieniężnych ( 58 ). W związku z tym uważam, wbrew temu, co utrzymują Rada i rząd litewski, że prawodawca Unii nie zamierzał pozostawić państwom członkowskim zakresu uznania w odniesieniu do tego, czy wymagana jest wina.

88.

Prawdą jest, że w ustawodawstwie krajowym można przewidzieć dodatkowe wymogi dotyczące procedury stosowanej przez organy nadzorcze przy nakładaniu kary pieniężnej (na przykład jeśli chodzi o kwestie takie jak zawiadomienie o karze pieniężnej, terminy na składanie uwag, odwołanie, wykonanie i płatność) ( 59 ). Wynika to jasno z art. 83 ust. 8 RODO, który stanowi, że wykonywanie przez organy nadzorcze powierzonych im uprawnień w zakresie stosowania kar pieniężnych „podlega odpowiednim zabezpieczeniom proceduralnym” określonym w prawie krajowym, o ile zagwarantowane jest poszanowanie prawa Unii (w szczególności prawa do skutecznego sądowego środka ochrony prawnej i rzetelnego procesu).

89.

Ten zakres uznania nie może się jednak rozciągać na wymogi materialne mające zastosowanie przy nakładaniu kary pieniężnej, takie jak stopień winy. Moim zdaniem ów wniosek wynika bezpośrednio z szeregu motywów tego rozporządzenia ( 60 ), w których wskazano, że wprowadzony art. 83 RODO system administracyjnych kar pieniężnych miał w zamierzeniu prawodawcy Unii przynosić spójne efekty na całym obszarze Unii.

90.

Tytułem uzupełnienia dodam, że ze względu na fakt, iż kary pieniężne istotnie wpływają na konkurencję między przedsiębiorstwami i mają silne reperkusje rynkowe, moim zdaniem konieczne jest spójne stosowanie art. 83 RODO, ponieważ w przeciwnym razie przepis ten może się faktycznie przyczynić do zakłócenia konkurencji między przedsiębiorstwami ( 61 ).

91.

Poprzez część drugą pytania szóstego sąd odsyłający zastanawia się zasadniczo, czy na administratora można nałożyć karę pieniężną w zastosowaniu art. 83 RODO, jeżeli dane osobowe zostały przetworzone niezgodnie z prawem nie przez samego administratora, lecz przez podmiot przetwarzający (którym w niniejszym przypadku jest ITSS).

92.

Moim zdaniem na tak zadane pytanie należy udzielić odpowiedzi twierdzącej.

93.

W tym względzie przypominam – jak wskazałem w pkt 27 niniejszej opinii – że administrator nie musi sam przetwarzać żadnych danych osobowych, o ile ustala, „dlaczego i jak” przeprowadzane są odpowiednie operacje przetwarzania. Chciałbym też zauważyć, że w art. 4 pkt 8 RODO „podmiot przetwarzający” zdefiniowano jako „osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora” ( 62 ).

94.

Według mnie te definicje potwierdzają, że w kontekście stosowania RODO administrator może zostać pociągnięty do odpowiedzialności, a tym samym ukarany w zastosowaniu art. 83 tego rozporządzenia, w sytuacji, w której dane osobowe są przetwarzane niezgodnie z prawem, zaś tego niezgodnego z prawem przetwarzania dokonuje nie sam administrator, lecz podmiot przetwarzający. Taka możliwość istnieje tak długo, jak długo ów podmiot przetwarzający przetwarza dane osobowe w imieniu administratora.

95.

Jest tak o tyle, o ile podmiot przetwarzający działa w granicach upoważnienia udzielonego mu przez administratora i przetwarza dane, stosując się do zgodnych z prawem poleceń administratora ( 63 ). Jeżeli natomiast podmiot przetwarzający wykracza poza granice tego upoważnienia i wykorzystuje dane, które otrzymał jako podmiot przetwarzający, do własnych celów, a jasne jest, że strony nie są „współadministratorami” w rozumieniu art. 4 pkt 7 i art. 21 ust. 6 RODO, to moim zdaniem na administratora nie może zostać nałożona, w zastosowaniu art. 83 tego rozporządzenia, kara pieniężna z tytułu dokonywanego niezgodnego z prawem przetwarzania ( 64 ).

96.

Z powyższego wynika, że w sprawie takiej jak ta w postępowaniu głównym na NVSC można nałożyć, w zastosowaniu art. 83 RODO, karę pieniężną, mimo iż dane osobowe zostały przetworzone niezgodnie z prawem jedynie przez ITSS, a NVSC nie uczestniczyło w tym przetwarzaniu. Taka możliwość istnieje tak długo, jak długo daje się uznać, że ta spółka przetwarzała dane osobowe w imieniu NVSC, co nie ma miejsca wówczas, gdy ITSS działał poza zgodnymi z prawem poleceniami NVSC lub wbrew tym poleceniom i wykorzystywał dane osobowe do własnych celów, a jasne jest, iż NVSC i ITSS nie działały jako współadministratorzy.

97.

W świetle powyższych rozważań proponuję Trybunałowi, by na pytania prejudycjalne przedstawione przez Vilniaus apygardos administracinis teismas (regionalny sąd administracyjny w Wilnie, Litwa) odpowiedział następująco: