27 października TSUE wydał istotny wyrok dotyczący obowiązków administratora danych osobowych w przypadku cofnięcia przez abonenta zgody na umieszczenie jego danych w publicznie dostępnym spisie abonentów.

TSUE odpowiadał na pytania prawne postawione przez sąd belgijski w sprawie ze skargi abonenta przeciwko belgijskiemu dostawcy usług telekomunikacyjnych – Proximus. Dostawca publikował spisy abonentów, których dane przekazywali mu operatorzy, a także przekazywał te dane do innych dostawców. Abonent zażądał, aby dostawca nie umieszczał jego danych w spisach abonentów publikowanych zarówno przez niego, jak i przez podmioty trzecie. Pomimo tego, że Proximus zmienił status abonenta w systemie informatycznym, aby dane kontaktowe nie były publicznie dostępne, nie powiadomił o cofnięciu zgody innych dostawców i operatora, od którego otrzymywał dane. W efekcie, gdy kilka miesięcy później dostawca otrzymał od operatora aktualizację danych abonentów, umieścił nowe dane tego abonenta w spisie. Abonent złożył skargę do belgijskiego regulatora, który nałożył na Proximus karę za naruszenie RODO.

RODO a Dyrektywa o prywatności i łączności elektronicznej

Odpowiadając na pytania prawne TSUE musiał dokonać analizy wzajemnej relacji między RODO a unijną dyrektywą 2002/58/WE o prywatności i łączności elektronicznej, która porusza m.in. kwestię spisu abonentów. TSUE wskazał, że dyrektywa i wydana w oparciu o nią belgijska ustawa – regulują pewne kwestie szczegółowo, jednak w nieuregulowanym zakresie należy stosować RODO. W szczególności tak samo powinna być rozumiana zgoda. W konsekwencji stwierdzono, że umieszczenie danych w publicznie dostępnych spisach abonentów wymaga zgody w rozumieniu RODO, przy czym zgoda ta może zostać udzielona bądź operatorowi, bądź jednemu z dostawców. Skoro podstawą do umieszczenia danych jest zgoda, to abonent może ją również wycofać. Konsekwentnie przyznaje to abonentowi prawo do żądania usunięcia danych (do zapomnienia), o którym mowa w art. 17 RODO. 

Obowiązek poinformowania administratorów o cofnięciu zgody

Jeśli abonent wyraża zgodę wobec swojego operatora telefonii na publikację w spisie, a ten przekazuje jego dane dalej, to każdy z dostawców spisów działa na podstawie tej samej zgody. Przepis art. 19 RODO wprost przewiduje, że administrator informuje każdego odbiorcę, któremu ujawniono dane osobowe o usunięciu danych osobowych. Chodzi o to, aby osoba, która chce wycofać zgodę, mogła zwrócić się do któregokolwiek z administratorów działających w oparciu o tę samą zgodę. Ponadto administrator ma obowiązek ułatwiania osobom, których dane dotyczą, wykonywania praw przysługujących, a cofnięcie zgody wg RODO musi być tak samo proste, jak jej wyrażenie, co nie miałoby miejsca, gdyby abonent musiał cofać zgodę wobec każdego z podmiotów. W konsekwencji Sąd uznał, że administrator powinien poinformować innych administratorów o wycofaniu zgody przez abonenta na umieszczenie jego danych w spisie.