[2025] UKUT 319 (AAC), odwołanie nr UA-2024-001563-GIA

W 2022 r. brytyjski organ nadzorczy nałożył na spółkę karę 7,5 mln funtów wraz z nakazem, zarzucając pobieranie zdjęć mieszkańców Wielkiej Brytanii z otwartego internetu i z serwisów społecznościowych oraz zasilanie nimi światowej bazy do rozpoznawania twarzy, udostępnianej klientom spoza kraju. W 2023 r. trybunał pierwszej instancji uznał, że organ nie ma jurysdykcji. Upper Tribunal stwierdził, że tamto orzeczenie zawiera istotny błąd prawa, i uwzględnił trzy z czterech podstaw odwołania organu. Ustalił, że wyłączenie z art. 2 ust. 2 lit. a UK GDPR, czyli brytyjskiego odpowiednika RODO, obejmuje wyłącznie działania zastrzeżone dla władzy państwowej, a nie komercyjnego usługodawcę, który jedynie obsługuje służby obcego państwa, i że powołanie się na kurtuazję międzynarodową tego nie zmienia. Przyjął też, że monitorowanie zachowania z art. 3 ust. 2 lit. b nie wymaga udziału człowieka, bo wystarczy zautomatyzowane zbieranie, sortowanie, klasyfikowanie i przechowywanie danych, i że przetwarzanie pozostaje powiązane z monitorowaniem osób w kraju także wtedy, gdy monitorowania dokonuje klient. Wykładnia zapadła na gruncie prawa brytyjskiego, ale przepisy mają to samo brzmienie co unijne. Sprawa jest przy tym przykładem orzeczenia cytowanego w nieaktualnym stanie, ponieważ przez dwa lata powoływano wygraną spółki.