Sąd w Rzymie unieważnia karę 15 mln euro nałożoną na OpenAI przez Garante ze względu na jurysdykcję

18 marca 2026 r. Sąd w Rzymie w całości unieważnił decyzję włoskiego organu ochrony danych wobec OpenAI:grzywnę w wysokości 15 mln euro oraz nakaz zobowiązujący spółkę do przeprowadzenia sześciomiesięcznej publicznej kampanii informacyjnej na temat tego, jak ChatGPT jest trenowany na danych osobowych. Sąd nie uznał, że OpenAI spełniło wymogi RODO. Uznał, że Garante – Autorità Garante per la Protezione dei Dati Personali – nie był już organem właściwym do rozstrzygnięcia. Podstawą była jurysdykcja – kwestia, której sąd nie wyjaśnił w tym dniu i która stała się jasna dopiero po opublikowaniu pełnego uzasadnienia 28 maja 2026 r. – a rozstrzygnęła o niej data: irlandzka Komisja Ochrony Danych uznała 15 lutego 2024 r. OpenAI Ireland Ltd za jedyny zakład spółki w Europejskim Obszarze Gospodarczym, osiem i pół miesiąca przed ostateczną decyzją Garante, a zgodnie z mechanizmem one-stop-shop RODO akta powinny były do tego czasu znajdować się w Dublinie. Reuters poinformował o orzeczeniu 19 marca 2026 r. i zauważył, że sąd nie podał wówczas żadnego uzasadnienia; Garante odmówił komentarza. Ocena dotkliwości, wskaźnik pewności i pełny wykaz źródeł znajdują się w Orca AI Incident Archive, obok innych europejskich wpisów regulacyjnych zarejestrowanych wokół niego.

Co zostało unieważnione, a czego sąd nie powiedział

Omawiana decyzja to wydane przez Garante postanowienie nr 755 z dnia 2 listopada 2024 r., opublikowane 20 grudnia 2024 r. Stwierdzono w nim, że OpenAI nie zgłosiło organowi naruszenia danych osobowych, do którego doszło w marcu 2023 r., przetwarzało dane osobowe użytkowników w celu trenowania ChatGPT, nie ustaliwszy wcześniej odpowiedniej podstawy prawnej, naruszyło obowiązki w zakresie przejrzystości i informowania wynikające z RODO oraz nie wdrożyło żadnego mechanizmu weryfikacji wieku, w wyniku czego — jak stwierdził Garante — dzieci poniżej 13. roku życia mogły być narażone na odpowiedzi nieodpowiednie do ich etapu rozwoju.

Kwota 15 mln euro – według samego Garante – została obliczona „również biorąc pod uwagę kooperatywną postawę spółki”. Bardziej nietypowym elementem decyzji było drugie postanowienie. Po raz pierwszy wykorzystując art. 166 ust. 7 włoskiego Kodeksu ochrony danych osobowych, organ nakazał sześciomiesięczną kampanię instytucjonalną w radiu, telewizji, prasie i Internecie, której treść miała zostać uzgodniona z organem, skierowaną zarówno do użytkowników, jak i nieużytkowników ChatGPT, wyjaśniającą, w jaki sposób ich dane były gromadzone do trenowania oraz jak wnieść sprzeciw, sprostować je lub usunąć.

W dniu 18 marca 2026 r. sąd uchylił tę decyzję w całości. Tego dnia nie podał uzasadnienia. Garante otrzymał wyrok 19 marca, a pełne uzasadnienie stało się publicznie dostępne dopiero 28 maja 2026 r., jak odnotowują Theodore Christakis i Giulio Monga w European Law Blog. Odpowiedź OpenAI, przekazana Reutersowi, brzmiała, że z zadowoleniem przyjmuje decyzję, że „zawsze była zaangażowana w poszanowanie prywatności użytkowników” oraz że z niecierpliwością oczekuje na pomoc większej liczbie Włochów, firm i całemu społeczeństwu w czerpaniu korzyści ze sztucznej inteligencji. Garante nie miał komentarza.

Trzy tygodnie, potem osiem i pół miesiąca

Chronologia jest tu kluczowa. Garante wszczął swoje postępowanie sankcyjne 26 stycznia 2024 r.. W dniu 15 lutego 2024 r. — około trzy tygodnie później — Irlandzka Komisja Ochrony Danych formalnie uznała OpenAI Ireland Ltd za jedyny zakład OpenAI w EOG. Garante przyjął ostateczną decyzję 2 listopada 2024 r., około ośmiu i pół miesiąca po tym uznaniu.

To rozróżnienie między inkorporacją a uznaniem ma znaczenie. OpenAI Ireland Ltd została inkorporowana 24 marca 2023 r., ale „pojedynczy zakład” jest autonomicznym pojęciem unijnego prawa ochrony danych, opartym na skutecznym i rzeczywistym prowadzeniu działalności poprzez stałe struktury; te dwie daty nie muszą się pokrywać. To, co zmieniło się 15 lutego 2024 r., nie dotyczyło istnienia irlandzkiej spółki, lecz jej uznania do celów mechanizmu one-stop-shop.

Art. 56 ust. 1 RODO przyznaje organowi nadzorczemu głównego lub jedynego zakładu administratora wyłączną kompetencję w zakresie przetwarzania transgranicznego, działając jako organ wiodący. Sąd w Rzymie oparł się na opinii 8/2019 Europejskiej Rady Ochrony Danych, a w szczególności na jej pkt 4.3.2 dotyczącym utworzenia głównego lub jedynego zakładu albo jego przeniesienia z państwa trzeciego do EOG, podczas gdy postępowanie administracyjne jest już w toku. Przy takiej wykładni kompetencja może przejść na nowy organ wiodący w dowolnym momencie do czasu przyjęcia ostatecznej decyzji, a każde toczące się postępowanie musi zostać przeniesione wraz z tą zmianą kompetencji.

Garante przewidział ten problem i podzielił akta. W swoim komunikacie prasowym z grudnia 2024 r. stwierdza, że ponieważ OpenAI ustanowiło swoją europejską siedzibę w Irlandii w trakcie dochodzenia, organ "przekazał dokumenty postępowania irlandzkiemu organowi ochrony danych (DPC), który stał się wiodącym organem nadzorczym na mocy RODO, aby kontynuować dochodzenie w sprawie wszelkich trwających naruszeń, które nie zostały wyczerpane przed otwarciem europejskiej siedziby". Kwalifikacja należy do samego Garante: zatrzymał to, co uważał za zakończone, a przekazał dalej to, co uważał za trwające. Sąd orzekł, że Garante nie mógł dokonać takiego podziału.

Słowo, na którym opierał się wyrok

Niemal cały spór sprowadza się do punktu 16 opinii 8/2019, w której stwierdzono, że kwestie zbadane w opinii „dotyczą głównie naruszeń o charakterze trwałym lub ciągłym”. Garante odczytał to jako ograniczenie: logika transferu została zaprojektowana dla naruszeń ciągłych i nie mogła obejmować zachowań zakończonych już przed powstaniem jakiegokolwiek zakładu w EOG. OpenAI odczytał „głównie” jako określenie opisowe, a nie wyłączne. Sąd zgodził się z OpenAI, uznając, że „głównie” wskazuje rodzaj sprawy, w której pytanie pojawia się najczęściej, i nie wyklucza zastosowania tej samej logiki do naruszeń zakończonych, w przypadku gdy postępowanie jest nadal w toku i nie wydano ostatecznej decyzji.

Argumentem awaryjnym Garante była zasada włoskiego kodeksu cywilnego tempus regit actum — że rozstrzyga prawo obowiązujące w danym momencie. Sąd odrzucił ten argument na podstawie stanu faktycznego: mieliśmy do czynienia z następstwem stanów faktycznych, a nie z następstwem ustaw. Decydującym momentem, zgodnie z logiką wyroku, nie jest ani data naruszenia, ani data wszczęcia dochodzenia, lecz data wydania decyzji ostatecznej. Po tym momencie właściwość jest ustalona.

Nigdy nie doszło do rozpatrzenia sprawy co do istoty.

Sąd uwzględnił pierwszy zarzut apelacji – brak kompetencji – i uznał wszystkie pozostałe zarzuty za „pochłonięte". Nie rozstrzygnął kwestii podstawy prawnej trenowania, przejrzystości, weryfikacji wieku ani opóźnionego zgłoszenia naruszenia. Nie odniósł się do tego, czy 15 mln euro było proporcjonalne. Te pytania pozostają formalnie bez odpowiedzi.

To jest punkt, który najłatwiej ginie w relacjach. Jak ujęła to włoska firma Rödl & Partner w notatce z czerwca 2026 r., wyroku „nie należy odczytywać jako merytorycznego zielonego światła dla praktyk OpenAI: to jedynie przeniesienie kompetencji do właściwego organu nadzoru”. Wpis w archiwum nie odnotowuje żadnej rzeczywistej szkody w związku z tym incydentem, co jest spójne ze sprawą, w której chodziło o to, kto może decydować, a nie o ustaloną szkodę wobec zidentyfikowanych osób.

Czy plik ma swoje miejsce w Dublinie

Najpoważniejszy zarzut wobec orzeczenia dotyczy tego, że organ przejmujący również może nie być w stanie rozstrzygnąć sprawy. Christakis i Monga, pisząc 4 czerwca 2026 r. na European Law Blog pod tytułem „Najpierw ustanowić, potem uciec?”, argumentują, że wykładnia przyjęta przez sąd prowadzi raczej do luki w egzekwowaniu niż do zmiany właściwości. Ich konkretnym przykładem jest zgłoszenie naruszenia. Naruszenie miało miejsce 20 marca 2023 r., a obowiązek powiadomienia Garante stał się wymagalny siedemdziesiąt dwie godziny później, gdy OpenAI nie miało zakładu w UE, a OpenAI Ireland Ltd nie została jeszcze utworzona. Garante zakwalifikował to naruszenie jako wyczerpane i zatrzymał je dla siebie; zgodnie z logiką sądu cała decyzja, w tym ten zarzut, upada. Autorzy argumentują, że trudno sobie wyobrazić, jak irlandzki organ – którego właściwość powstała później i wynika z zakładu, który nie istniał, gdy powstał obowiązek – mógłby rozstrzygnąć sprawę zgłoszenia należnego Garante w odniesieniu do włoskich podmiotów danych.

Ostrożnie podchodzą do ograniczeń tego argumentu — i czytelnik również powinien zachować ostrożność. Odnotowują stanowisko przeciwne — że RODO jest jednym instrumentem obowiązującym w całej Unii, więc którykolwiek organ zostanie organem wiodącym, może je egzekwować niezależnie od tego, kiedy wystąpiły okoliczności faktyczne — i uznają tę kwestię za sporną. Zauważają, że nie znają żadnego wcześniejszego orzeczenia sądu krajowego stosującego pkt 4.3.2 opinii 8/2019, że jest to wyrok pierwszej instancji wydany w składzie jednoosobowym oraz że zakres, w jakim art. 56 obejmuje zachowania podejmowane przed ustanowieniem zakładu, wydaje im się raczej nieustalony niż jasny. Zalecają zwrócenie się z pytaniem prejudycjalnym do Trybunału Sprawiedliwości na podstawie art. 267 TFUE.

Luka w egzekwowaniu przepisów nie jest wyłącznie doktrynalną prognozą. Theodore Christakis, pisząc na Cross-Border Data Forum dzień po wyroku, odnotował, że żaden inny europejski organ ochrony danych nie opublikował ostatecznej decyzji egzekucyjnej dotyczącej naruszeń RODO z okresu uruchomienia ChatGPT od listopada 2022 r. do marca 2023 r. oraz że raport zespołu zadaniowego EDPB ds. ChatGPT z maja 2024 r. zawierał jedynie wstępne poglądy. W związku z tym jedyna ostateczna decyzja o egzekwowaniu RODO, jaką Europa wydała w okresie wprowadzania generatywnej sztucznej inteligencji, została obecnie unieważniona.

Co zmieniło się po 18 marca

Grzywna została już zawieszona. 21 marca 2025 r. ten sam sąd zawiesił skuteczność sankcji do czasu wydania orzeczenia, pod warunkiem ustanowienia zabezpieczenia — cauzione, czyli kaucji, w relacji Altalex dotyczącej postanowienia. To zawieszenie nie dotyczyło istoty sprawy, a unieważnienie rok później również nie.

Garante nie tyle usunął sprawę ze swojego rejestru, ile odłożył ją na bok. Na jego stronie z komunikatem prasowym dotyczącym decyzji 755 znajduje się teraz informacja, że decyzja „została tymczasowo usunięta ze strony internetowej Garante” w następstwie wyroku nr 4153/2026. To słowo samego organu: tymczasowo.

W kwestii odwołania źródła są spójne, ale niekompletne. Christakis i Monga zauważają, że Garante może jeszcze odwołać się do Corte di Cassazione. Cross-Border Data Forum odnotowało 19 marca 2026 r., że ponieważ uzasadnienie nie zostało opublikowane, organ nie był wówczas w stanie powiedzieć, czy to zrobi. W źródłach przejrzanych na potrzeby tego artykułu nie znaleźliśmy od tego czasu doniesień o złożeniu odwołania ani ostatecznej decyzji Irlandzkiej Komisji Ochrony Danych w sprawie przekazanego pliku. Sam brak obu tych informacji nie dowodzi, że nic się nie wydarzyło; oba oznaczają, że wynik nie został jeszcze przesądzony.

Ugruntowane, argumentowane i otwarte

• Ustalono: że wyrok nr 4153/2026 z dnia 18 marca 2026 r. uchylił decyzję nr 755 z dnia 2 listopada 2024 r. w całości, znosząc grzywnę w wysokości 15 mln euro i nakaz sześciomiesięcznej kampanii medialnej; że sentencję odczytano tego dnia bez uzasadnienia; oraz że opublikowane uzasadnienie opiera się na zasadzie jednego okienka, uznaniu OpenAI Ireland Ltd przez DPC w dniu 15 lutego 2024 r. oraz opinii EDPB 8/2019.

• Argumentowano: czy sprawa w toku może zostać należycie przekazana organowi, którego właściwość powstała później niż zachowanie będące przedmiotem sprawy. Sąd odpowiedział twierdząco; Christakis i Monga twierdzą, że taka wykładnia pozostawia zachowanie sprzed ustanowienia bez możliwości wyegzekwowania, i chcą, aby zdecydował Trybunał Sprawiedliwości; Rödl & Partner i ICT Legal Consulting opisują natomiast wyrok jako wyjaśnienie, w jaki sposób one-stop-shop ma zastosowanie do zmiany ustanowienia w trakcie postępowania.

• Otwarte: czy Garante skieruje sprawę do Corte di Cassazione, czy jakikolwiek sąd skieruje ją do Luksemburga oraz czy irlandzki organ kiedykolwiek wyda decyzję co do części akt, które otrzymał.

15 mln euro przepadło. Pytanie, które wywołała ta sprawa — kto w Europie może pociągnąć dostawcę generatywnej sztucznej inteligencji do odpowiedzialności na gruncie RODO za okres, zanim miał on europejski zakład — po prostu przeniosło się na inne biurko.