Австрия: Висшият съд на Виена потвърждава иска за обезщетение срещу Facebook

Публикации: March 09, 2021

Назад към обзор

Автори

Свързани експертни ръководства

На 07.12.2020 г. (връчено на 28.12.2020 г.) Висшият областен съд (Oberlandesgericht Wien, OLG) постанови решението си по производството по обжалване Schrems/Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b)[1] Потвърждавайки решението на Областния съд по граждански дела (Landesgericht für Zivilrechtssachen), той постановява, че платформата на социалната медия е била длъжна да предостави на ищеца пълен достъп до съхраняваните за него данни, като по този начин задължава корпорацията да заплати обезщетение в размер на 500 EUR (член 82 от ОРЗД).

Независимо от това, той също така заключи, че актът на обработване на данни не изисква платформата да получи недвусмислено, отделно съгласие от своите потребители съгласно правото на ЕС за защита на данните (член 6, параграф 1, буква а) от ОРЗД), а че такова право на използване на данни е присъщо на Facebook по силата на неговите договорни условия.

Решението е съсредоточено върху редица правни оплаквания и поражда три отделни въпроса, които са обособени по-долу.

Разпределение на ролите на страните съгласно закона за защита на данните

Ищец

  • Според ищеца потребителят на платформата се счита за отговорна страна или "администратор на данни" (член 4, параграф 7 от ОРЗД) по отношение на приложенията за данни, управлявани от него за лични цели;
  • ответникът по силата на договор действа като "обработващ лични данни", което му пречи да извършва приложения на данни без или в противоречие с инструкциите на ищеца;
  • Не е сключен договор, който да отговаря на изискванията на член 28, параграф 3 от ОРЗД, въпреки че ищецът има право на такъв договор.

Ответник

Ответникът следва да се счита за единствената отговорна страна по отношение на ищеца, който няма интерес от декларативно обезщетение.

OLG (стр. 21-23)

  • Само по себе си използването на платформа на социална мрежа не прави потребителя солидарно отговорен за обработката на лични данни, извършвана от тази мрежа;
  • Трябва да се направи разграничение по отношение на фен страниците, при които операторът на посочената страница допринася за обработването на личните данни на посетителите, което го прави администратор (СЕС C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, респ. 35, 36 и 41).
  • По този начин потребителят на Facebook е само съотговорна страна по отношение на личните данни на трети страни (член 4, параграф 7 от ОРЗД) и само субект на данни по отношение на собствените си лични данни.

Ефективно съгласие за обработване на лични данни

Ищец

  • Съгласието с условията за ползване на платформата на социалната медия и свързаните с тях насоки за използване на данни не води до ефективно съгласие по смисъла на член 6, параграф 1 и член 7 от ОРЗД;
  • За разлика от разпоредбите на ОРЗД, които влязоха в сила от 25.05.2018 г., в гражданскоправните договори, уреждани съгласно предишния закон за защита на данните, не се предвиждаха изрични изисквания за "съгласие";
  • Чрез интегрирането на предварителното съгласие в общите условия на корпорацията преди влизането в сила на GDPR потребителите неволно са били принудени да сключат нов договор, което е позволило на платформата да заобиколи по-строгите стандарти за защита на данните съгласно действащите разпоредби на GDPR;
  • По този начин ищецът не е дал ефективно съгласие по смисъла на GDPR за обработката на данни, предприета от ответника.

Ответник

Обработката на данни, извършена от платформата, е била в съответствие с разпоредбите на член 6, параграф 1, буква б) от ОРЗД, тъй като е представлявала необходима част от изпълнението на договора.

OLG (стр. 23-24)

  • ОРЗД допуска различни основания за обработването на лични данни, inter alia, ако това е необходимо за изпълнението на договор, по който субектът на данните е страна (член 6, параграф 1, буква б) от ОРЗД);
  • Необходимостта се определя за всеки отделен случай, като се отчитат надлежно договорната цел и задълженията, произтичащи от съдържанието на договора;
  • Същността на бизнес модела на Facebook и неговата договорна цел са съсредоточени върху:
    • За потребителя: получаване на достъп до персонализираната комуникационна платформа;
    • За платформата: осигуряване на достъп без допълнителни разходи;
  • В това си качество дружеството, управляващо платформата, може да прибегне до други източници на финансиране, напр. реклама, персонализирана за конкретния потребител;
  • Обработката на личните данни на потребителите демонстрира основен опорен стълб на споразумението между платформата и потребителя, тъй като това е основата, която позволява рекламата да бъде съобразена с интересите на конкретния потребител;
  • Компонентът на необходимост по отношение на обработката на данни е установен, тъй като използването на такава информация оформя индивидуализираното преживяване на потребителите, от една страна, като същевременно представлява финансов канал, чрез който платформата получава своята печалба.

Искане за предоставяне на информация

Ищец:

  • Подадено е искане за предоставяне на информация, на което все още не е отговорено в съответствие с член 15 от ОРЗД;
  • Предоставянето на информация относно използването и обработването на (лични) данни само частично не отговаря на законовите задължения на ответника;
  • Несигурността относно обработката на данните е предизвикала емоционален стрес, който дава право на ищеца да получи обезщетение за неимуществени вреди в размер на 500 EUR.

Ответник

  • Ответникът не е нарушил задължението си;
  • Ищецът не е изложил убедителни твърдения относно претенцията за обезщетение за вреди.

OLG (24-29)

  • Facebook не е предоставил на своите потребители достъп до данните в инструментите за достъп, което дава право на ищеца да предяви иск, произтичащ от член 15, параграф 1 от ОРЗД;
  • Ищецът има право на информация, отнасяща се до:
    • личните данни, които се обработват от Facebook, и техните цели (член 15, параграф 1, буква а) от ОРЗД);
    • На кого се разкриват съответните лични данни, т.е. (категории) получатели (член 15, параграф 1, буква б) от ОРЗД);
    • Произходът на данните, ако не са събрани от ищеца (член 15, параграф 1, буква ж) от ОРЗД);
  • Сумата от 500 EUR отразява незначителната степен на неудобство, понесено от ищеца, и се оказва оправдана.

Коментар:

В съответствие с твърденията на ищеца, Европейската агенция за защита на данните преди това изрично е забранила обработването на специални категории лични данни, освен ако не е дадено изрично съгласие или такова обработване е необходимо по причини от значителен обществен интерес (член 9, параграф 2, буква ж) от ОРЗД). Въпреки че договорните клаузи относно използването на данни все още биха могли да се използват за предаване на данни, те не биха били достатъчни, за да заменят необходимостта от предоставяне на такова съгласие[2].

Въпреки че OLG предостави право на обжалване пред Върховния съд на Австрия, се очаква повдигнатите правни въпроси отново да бъдат отнесени своевременно до Съда на Европейския съюз.

Ресурси

  1. Съдебното решение е достъпно на немски език чрез: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
  2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen". Europäischer Datenschutzausschuss - Европейски комитет по защита на данните. Достъпно на: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [посетен на 05.02.2021 г.].

Съдържанието на тази статия има за цел да предостави общо ръководство по темата. Следва да се потърси специализиран съвет относно вашите конкретни обстоятелства.

Назад към обзор