На 07.12.2020 г. (връчено на 28.12.2020 г.) Висшият областен съд (Oberlandesgericht Wien, OLG) се произнася с решение по производството по обжалване Schrems срещу Facebook Ireland Ltd. (GZ 11 R 153/20f, 154/20b).¹ Потвърждавайки решението на Районния съд по граждански дела (Landesgericht für Zivilrechtssachen), той постановява, че платформата на социалната медия е била длъжна да предостави на ищеца пълен достъп до съхраняваните за него данни, като по този начин задължава корпорацията да заплати обезщетение в размер на 500 EUR (член 82 от ОРЗД).

Независимо от това той заключи също така, че актът на обработване на данни не изисква от платформата да получи недвусмислено, отделно съгласие от своите потребители съгласно правото на ЕС за защита на данните (член 6, параграф 1, буква а) от ОРЗД), а че такова право на използване на данни е присъщо на Facebook по силата на неговите договорни условия.

Решението се основава на редица правни оплаквания и повдига три отделни въпроса, които са разгледани по-долу.

Разпределение на ролите на страните съгласно Закона за защита на данните

Ищецът

• Според ищеца потребителят на платформата се счита за отговорна страна или "администратор" (член 4, параграф 7 от ОРЗД) по отношение на приложенията за данни, които той използва за лични цели;
• По силата на договора ответникът действа като "обработващ лични данни", което му пречи да извършва каквито и да било приложения на данни без или в противоречие с инструкциите на ищеца;
• Не е сключен договор, който да отговаря на изискванията на член 28, параграф 3 от ОРЗД, въпреки че ищецът има право на такъв договор.

Ответник

• Ответникът трябва да се счита за единствената отговорна страна по отношение на ищеца, който няма интерес от декларативно обезщетение.

OLG (стр. 21-23)

• Само по себе си използването на платформа на социална мрежа не прави потребителя солидарно отговорен за обработката на лични данни, извършвана от тази мрежа;
• Трябва да се направи разграничение по отношение на фен страниците, при които операторът на посочената страница допринася за обработването на личните данни на посетителите, което го прави администратор (C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, вж. 35, 36 и 41).
• По този начин потребителят на Facebook е само съотговорна страна по отношение на личните данни на трети страни (член 4, параграф 7 от ОРЗД) и само субект на данни по отношение на собствените си лични данни.

Ефективно съгласие на обработката на лични данни

Ищецът

• Съгласието с условията за ползване на платформата на социалната медия и свързаните с тях насоки за използване на данни не води до ефективно съгласие по смисъла на член 6, параграф 1 и член 7 от ОРЗД;
• За разлика от разпоредбите на ОРЗД, които влязоха в сила на 25.05.2018 г., в гражданскоправните договори, уреждани от предишното законодателство за защита на данните, не се предвиждаха изисквания за изрично "съгласие";
• С включването на предварителното съгласие в общите условия на корпорацията преди влизането в сила на GDPR потребителите неволно са били принудени да сключат нов договор, което е позволило на платформата да заобиколи по-строгите стандарти за защита на данните съгласно действащите разпоредби на GDPR;
• В този смисъл ищецът не е дал ефективно съгласие по смисъла на ОРЗД за обработката на данни, предприета от ответника.

Ответник

• Обработката на данни, извършена от платформата, е била в съответствие с разпоредбите на член 6, параграф 1, буква б) от ОРЗД, тъй като е представлявала необходима част от изпълнението на договора.

OLG (стр. 23-24)

• ОРЗД допуска различни основания за обработването на лични данни, inter alia, ако това е необходимо за изпълнението на договор, по който субектът на данните е страна (член 6, параграф 1, буква б) от ОРЗД);
• Необходимостта се определя за всеки отделен случай, като се отчитат надлежно договорната цел и задълженията, произтичащи от съдържанието на договора;
• Същността на бизнес модела на Facebook и неговата договорна цел се състои в:
  • За потребителя: получаване на достъп до платформата за персонализирани комуникации;
  • За платформата: да се осигури достъп без допълнителни разходи;
• В този смисъл компанията, която управлява платформата, може да прибегне до други източници на финансиране, например реклама, персонализирана за конкретния потребител;
• Обработката на личните данни на потребителите е основен стълб на споразумението между платформата и потребителя, тъй като тя е основата, която позволява рекламата да бъде съобразена с интересите на отделния потребител;
• Компонентът на необходимост по отношение на обработката на данни е установен, тъй като използването на такава информация оформя индивидуалното преживяване на потребителите, от една страна, и от друга страна, представлява финансов канал, чрез който платформата получава своята печалба.

Искане за предоставяне на информация

Ищецът

• Подадено е искане за информация, на което все още не е отговорено в съответствие с член 15 от ОРЗД;
• Предоставянето на информация относно използването и обработването на (лични) данни само частично не отговаря на законовите задължения на ответника;
• Несигурността във връзка с обработката на данни е предизвикала емоционален стрес, който дава право на ищеца на обезщетение за неимуществени вреди в размер на 500 EUR.

Ответник

• Ответникът не е нарушил задължението си;
• Ищецът не е направил убедителни твърдения относно претенцията за обезщетение.

OLG (24-29)

• Facebook не е предоставила на своите потребители достъп до данните в инструментите си за достъп, което дава на ищеца право на иск, произтичащо от член 15, параграф 1 от ОРЗД;
• Ищецът има право на информация, отнасяща се до:
  • Личните данни, които се обработват от Facebook, и техните цели (член 15, параграф 1, буква а) от ОРЗД);
  • На кого се разкриват съответните лични данни, т.е. (категории) получатели (член 15, параграф 1, буква б) от ОРЗД);
  • Произходът на данните, ако не са събрани от ищеца (член 15, параграф 1, буква ж) от ОРЗД);
• Сумата от 500 EUR отразява незначителната степен на неудобство, понесено от ищеца, и се оказва оправдана.

Коментар:

В съответствие с твърденията на ищеца Европейската агенция за защита на данните вече изрично е забранила обработването на специални категории лични данни, освен ако не е дадено изрично съгласие или такова обработване е необходимо по причини от значителен обществен интерес (член 9, параграф 2, буква ж) от ОРЗД). Въпреки че договорните клаузи относно използването на данни все още могат да се използват за предаване на данни, те не биха били достатъчни, за да заменят необходимостта от предоставяне на такова съгласие.²

Въпреки че OLG е предоставил право на обжалване пред Върховния съд на Австрия, очаква се повдигнатите правни въпроси отново да бъдат отнесени своевременно до Съда на Европейския съюз.

Бележки под линия

1 Съдебно решение на немски език чрез: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.

2 Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Европейски комитет по защита на данните. Налично в: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [посетен на 05.02.2021 г.].

Съдържанието на тази статия има за цел да предостави общо ръководство по темата. Трябва да се потърси специализиран съвет за вашите конкретни обстоятелства.