В неотдавнашно решение, постановено на 15 април 2021 г., австрийският Върховен съд (Oberste Gerichtshof, OGH) постанови, че обработването на данни за принадлежността на субекта към политическа партия представлява специална категория лични данни. Това важи дори ако въпросните данни се основават на анонимизирани социологически проучвания и статистически данни.

Освен това с преюдициално запитване на основание чл. 267 ДФЕС OGH отправя основни въпроси, свързани с тълкуването на чл. 82 от ОРЗД до Съда на Европейския съюз (СЕС). По-конкретно, тя искаше да получи разяснения относно изискванията за присъждане на обезщетение за вреди въз основа на нарушения на ОРЗД и оценката на посоченото обезщетение съгласно чл. 82 ОРЗД.

Факти

Фактите, които са в основата на това дело, се коренят в отделен правен спор (6Ob35/21x).

• Ответникът е продавал лични данни за маркетингови цели на трети страни като издател на адреси ("Adresshändler") съгласно § 151 от австрийския Закон за регулиране на търговията (Gewerbeordnung 1994, GewO);
• Събраната от ответника информация включва данни за партийната принадлежност на австрийските граждани;
  След подаване на заявление за достъп (член 15 от ОРЗД) ищецът научава, че ответникът е предположил политическата принадлежност на ищеца към Австрийската партия на свободата (FPÖ);
• Информацията за афинитета на субекта е получена чрез използване на алгоритъм за определяне на "адреси на целевата група" според социално-демографски характеристики;
• Без да е дадено съгласие за обработката и съхранението на данни, ищецът е поискал:
• Забрана на ответника да обработва данни относно предполагаемите му политически възгледи;
• Обезщетение в размер на 1 000 EUR за неимуществените вреди, причинени в резултат на присвоената му партийна принадлежност, която той счита за обидна, срамна и увреждаща кредита.

Въпреки че искането за налагане на съдебна забрана е уважено от Регионалния съд по граждански дела във Виена (Landesgericht für Zivilsachen), обезщетението за вреди е отказано поради това, че не е достигнат необходимият праг за компенсируема неимуществена вреда. Решението е потвърдено от Висшия областен съд (Oberlandesgericht). Решението е обжалвано и от двете страни.

Правни въпроси

Решението на OGH се фокусира върху: 1) дали данните относно афинитета на партията към политическите партии се квалифицират като лични данни (член 4, параграф 1 от ОРЗД); 2) дали посочените данни представляват специална категория лични данни (член 9 от ОРЗД); 3) дали ответникът трябва да се въздържа от по-нататъшно обработване на данните на ищеца в бъдеще; 4) дали обработването на данните дава право на ищеца на обезщетение (член 82 от ОРЗД).

Частично решение на OGH

• Лични данни (член 4, параграф 1 от ОРЗД)
• Личните данни се отнасят до всяка информация, свързана с идентифицирани или подлежащи на идентификация физически лица ("субекти на данни");
• Физическо лице, което може да бъде идентифицирано, трябва да е лице, което може да бъде идентифицирано пряко или непряко чрез конкретно позоваване на идентификатор;
• Личните данни включваха данни, получени чрез субективни и/или обективни оценки (т.е. нелични данни, напр. анкети/статистики), тъй като те позволяваха "привързаността към политическа партия" да бъде пряко отнесена към идентифицирано/откриваемо физическо лице;
• Валидността на предполагаемото родство е без значение;
• Фактът, че информацията е само израз на предполагаем интерес на субекта към определена политическа партия, също е без значение.¹

Специална категория лични данни (чл. 9 от ОРЗД)

• Терминът "политическо мнение" трябва да се тълкува широко, за да се гарантира еднакво и високо ниво на защита;
• Всеки риск от тежка дискриминация в резултат на обработването на определени видове данни трябва да бъде намален;
• Данните за политическите предпочитания на субектите водят до потенциална дискриминация и следователно трябва да се разглеждат като попадащи в обхвата на политическото мнение съгласно чл. 9 ОТ ОРЗД.²

Средство за правна защита (чл. 79 от ОРЗД)

• Правото на ефективни правни средства за защита е гарантирано от чл. 79 от ОРЗД, когато правата на субекта на данните са били нарушени в резултат на обработването на неговите лични данни в нарушение на разпоредбите на ОРЗД;
• При липса на изрично съгласие от страна на субекта обработването на данни за принадлежност към политическа партия се счита за незаконосъобразно съгласно 9, параграф 2, буква а) само по себе си;
• Фактът, че съответните данни са били изтрити/не са били публикувани, т.е. това се е случило вътрешно, но не се е появило външно, е без значение, тъй като не премахва опасността тези данни да бъдат (отново) създадени в бъдеще;
• Заповедта трябва да бъде потвърдена, когато съществува възможност за пресъздаване на данни в бъдеще.

Въпроси, отправени до Съда на ЕС

Върховният съд на Австрия отправя преюдициално запитване до Съда на ЕС на основание чл. 267 ДФЕС относно тълкуването и прилагането на искането за обезщетение за вреди, уредено в чл. 82 ОТ ОРЗД.

По-конкретно, от СЕС се иска да изясни:

• Дали искът за обезщетение за вреди, в допълнение към нарушението на разпоредба на ОРЗД, изисква ищецът да е претърпял конкретни вреди или посоченото нарушение е достатъчно, за да се присъди обезщетение;
• Дали националните съдилища трябва да вземат предвид допълнителни изисквания на правото на ЕС, освен принципите на ефективност и еквивалентност, при оценката на вредите;
• Дали прагът за обезщетение за неимуществени/нематериални вреди изисква нарушението да има последици от определена степен или тежест, които надхвърлят гнева или раздразнението, причинени от посоченото нарушение.

Въпреки че обикновено се предявяват масови искове, всяко лице, което е претърпяло имуществени или неимуществени вреди в резултат на нарушение на разпоредба на ОРЗД, запазва правото си да предяви иск по чл. 82 ОТ ОРЗД.

Добре е компаниите да следят отблизо съобщенията в пресата за загуба на данни и да идентифицират на ранен етап индикатори за нарушения на защитата на данните, за да се даде възможност за бърза ревизия на пропуските в съществуващите разпоредби за защита на данните. Освен това би било полезно да се гарантира, че документацията и вътрешните процеси са приведени в съответствие с принципите и изискванията за прилагане на GDPR. За тази цел е необходимо да се направи преглед на предишни решения, свързани с чл. 82 ОРЗД както на национално равнище, така и на равнище ЕС, ще бъде от съществено значение. Очевидно е, че въз основа на отправянето на преюдициални въпроси от OGH към Съда на ЕС е поставена важна основа, която би могла да позволи единно тълкуване на законодателството за защита на данните относно обезщетенията.

Бележки под линия

1. Вж. също 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).

2. Вж. също W258 2217446-1 (BVwG).

Съдържанието на тази статия има за цел да предостави общо ръководство по темата. Трябва да се потърси специализиран съвет за вашите конкретни обстоятелства.