Opinia rzecznika generalnego Emiliou przedstawiona w dniu 4 maja 2023 r., sygn. C-683/21

Wydanie tymczasowe

OPINIA RZECZNIKA GENERALNEGO

NICHOLASA EMILIOU

przedstawiona w dniu 4 maja 2023 r.(1)

Sprawa C‑683/21

Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos

przeciwko

Valstybinė duomenų apsaugos inspekcija

przy udziale:

„IT sprendimai sėkmei” UAB,

Lietuvos Respublikos sveikatos apsaugos ministerija

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Vilniaus apygardos administracinis teismas (regionalny sąd administracyjny w Wilnie, Litwa)]

Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 4 pkt 7 – Pojęcie „administratora” – Opracowywanie aplikacji mobilnej w kontekście pandemii COVID-19 – Odpowiedzialność organu publicznego organizującego postępowanie o udzielenie zamówienia w sprawie nabycia aplikacji mobilnej – Artykuł 4 pkt 2 – Pojęcie „przetwarzania” – Wykorzystywanie danych osobowych na etapie testowania aplikacji mobilnej – Artykuł 26 ust. 1 – Współadministrowanie – Artykuł 83 – Nakładanie administracyjnych kar pieniężnych – Warunki – Wymóg, aby naruszenie było umyślne lub nieumyślne – Odpowiedzialność administratora za przetwarzanie danych osobowych dokonane przez podmiot przetwarzający

I. Wprowadzenie

1. Na jakich warunkach w świecie, w którym dane osobowe stały się kartą przetargową i stanowią dla przedsiębiorstw nowo odkrytą żyłę złota, można nakładać na administratorów i podmioty przetwarzające administracyjne kary pieniężne za naruszenia zawartych w rozporządzeniu (UE) 2016/679(2) przepisów o ochronie danych? Dokładniej rzecz ujmując, czy aby mogli oni podlegać takim karom, konieczne jest spełnienie przesłanki „winy”? Tak właśnie przedstawia się kluczowa kwestia podniesiona w niniejszej sprawie przez Vilniaus apygardos administracinis teismas (regionalny sąd administracyjny w Wilnie, Litwa).

Zawisły przed tym sądem spór, którego stronami są Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos (krajowe centrum zdrowia publicznego przy ministerstwie zdrowia, Litwa; zwane dalej „NVSC”) i Valstybinė duomenų apsaugos inspekcija (urząd ochrony danych osobowych, Litwa; zwany dalej „urzędem”), dotyczy zasadniczo roli odgrywanej przez NVSC przy opracowywaniu i publicznym udostępnianiu aplikacji mobilnej, za pomocą której zbierano, w kwietniu i maju 2020 r., dane osobowe osób, które miały kontakt z pacjentami zakażonymi COVID-19.