В неотдавнашно решение, постановено на 26.11.2020 г,¹ Австрийския федерален административен съд (Bundesverwaltungsgericht(BVwG) отмени глоба в размер на 18 милиона евро, наложена на Австрийската пощенска служба (APS) от австрийския орган за защита на данните (DPA). Делото е съсредоточено върху същите факти, разгледани от BVwG в отделно решение.² В него Съдът потвърждава административното наказание, наложено от DPA на APS, която е обвинена в незаконно обработване и продажба на лични данни на клиенти, като например лични адреси и предполагаеми политически пристрастия, на трети страни за маркетингови цели.

В разглежданото решение BVwG признава незаконосъобразния характер на поведението на APS, но отменя наказанието, наложено от DPA, поради това, че не е установено, че както юридически, така и физически лица, действащи от името на APS, са отговорни за въпросната вина.

Факти

Фактическият произход на делото датира от доклад на журналистическата платформа Addendum от януари 2019 г,³ в което се посочва, че освен информация за личните адреси, пола и възрастта, образованието, както и предпочитанията по отношение на инвестициите или даренията, APS е събрала и данни за предполагаемите политически пристрастия на около 3 милиона клиенти.⁴

След разследване по служебен път DPA:

• Стигна до заключението, че проучването на социално-демографски фактори и обработването на информация относно политическите предпочитания на дадено лице без правно основание се квалифицира като специална категория лични данни съгласно член 9, параграф 1 от Общия регламент относно защитата на данните (Регламент (ЕС) 2016/679) (ОРЗД), поради което е необходимо предварително изрично одобрение от заинтересованата страна (член 9, параграф 2, буква а) от ОРЗД; § 151, параграф 4) Gewerbeordnung, GewO);

• разпореди обработката на данни да бъде прекратена и вече събраната информация да бъде изтрита в срок от две седмици;

• постанови, че APS не е извършил адекватна оценка на въздействието върху защитата на данните (преди 25.05.2018 г.), тъй като неправилно не е разгледал политическата принадлежност като специална категория лични данни.

APS отговори чрез жалба, като заяви, че информацията за политическата принадлежност на частно лице не се счита за лични данни, тъй като такава информация се събира чрез анонимни анкети, които дават общи прогнози. Тъй като тези изчисления на вероятностите не могат да бъдат коригирани (член 16 от ОРЗД), те се считат за маркетингова информация и класификация съгласно § 151, параграф 6 от GewO. И все пак беше добавено, че дори да се разглеждат като лични данни, те не се квалифицират като специална категория последните.

Още през ноември BVwG потвърди решението на ОЗД и постанови, че обработването на данни за принадлежност към политическа партия се квалифицира като лични данни съгласно член 4, параграф 1 от ОРЗД. Като се има предвид, че получената информация може да бъде отнесена към конкретно подлежащо на идентифициране физическо лице, чиито политически убеждения трябва да бъдат защитени от дискриминация съгласно член 9 от ОРЗД, тя трябва да се третира като специална категория лични данни, поради което изисква предварително съгласие. Тази част от решението понастоящем е предмет на разглеждане от Върховен административен съд на Австрия (Verwaltungsgerichtshof, VwGH).

Въпросът, който се разглежда в настоящата статия, обаче се отнася до друг правен аспект на същото дело.

Въз основа на горепосочените факти делото се съсредоточава върху твърдяното нарушение от страна на APS на член 5, параграф 1, член 6, параграф 2, член 6, параграф 4, членове 9, 14, 30, 35 и 36 от ОРЗД. То следва жалба, подадена от APS, основана на аргумента, че глобата е била издадена, без да е установена вина от страна на физическите лица, действащи от нейно име (член 4, параграф 7 от ОРЗД).

По-долу ще се спрем на неотдавнашното решение на BVwG да отмени глобата на DPA в светлината на по-ранните заключения, направени от VwGH. В него Съдът постанови, че за да може юридическо лице да бъде подведено под отговорност, предполагаемото фактическо, незаконно и виновно поведение трябва да бъде приписано и на физическо лице (член 44а от VStG).⁵

Проблемът

Тъй като ОРЗД има за цел и действително предвижда пряка отговорност на юридическите лица, без да е необходимо да се доказва индивидуално нарушение от страна на частно лице, BVwG трябваше да разгледа следното:

1. Дали АЗД е имала право да наложи глоба на юридическо лице съгласно член 83 от ОРЗД при липса на доказано виновно поведение от страна на физическо лице, действащо от името на юридическо лице;

2. Дали се прилагат националните правила на административнонаказателното право или разглежданият въпрос трябва да бъде разгледан в светлината на правилата на ОРЗД.

Решение

Съдът постановява, че глобата по ЗОП, наложена въз основа на разпоредбите на член 83 от ОРЗД, попада в обхвата на разпоредбите на австрийския Закон за административните наказания (Verwaltungsstrafgesetz, VStG), както и австрийския Закон за защита на данните (Datenschutzgesetz, DSG). Националните процесуални правила са приложими в контекста на глобите, наложени поради нарушение по ОРЗД, тъй като член 83, параграф 8 гласи "Упражняването на правомощията от страна на надзорния орган [...] подлежи на подходящи процесуални гаранции в съответствие с правото на Съюза и правото на държавата членка, включително ефективни правни средства за защита и справедлив съдебен процес.⁶

Освен това тя установява, че АЗД не е действала в съответствие с §§ 44а, 45 VStG, както и с § 30 DSG, като е пропуснала да докаже вината на физическите лица, които са действали от името на APS, като например лицата, които представляват, упражняват контрол или вземат решения от името на APS.

Коментар:

Въпреки че наложената на APS санкция може да е била отменена от BVwG, решението му се основава на формална грешка от страна на DPA. Като такова то трябва да се разглежда отделно и не противоречи на предишното решение на BVwG, в което се заключава, че поведението на обработване на данни относно лична принадлежност към политическа партия води до отговорност.

Бележки под линия

1 Номер на досието: Номер на досието W258 2217446-1/14E. Достъпно чрез: https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=c4b7610d-5502-49f6-af50-791b9361c9f1&Position=1&SkipToDocumentPage=
True&Abfrage=Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=
&VonDatum=&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum
=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2227269_1_00.

2 Номер на досието: Номер на документа W258 2217446-1/35E. Достъпно чрез: https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=e9b780cb-e5e0-4be8-81e7-7a49b08cc25b&Position=1&SkipToDocumentPage=True&Abfrage=
Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=
&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum=
&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2217446_1_00.

3 "Wenn Die Post Partei Ergreift." Добавка, 28 юли 2020 г, www.addendum.org/datenhandel/parteiaffinitaet/ [достъпно на 10.12.2020 г.].

4 За допълнителна информация, моля, вижте съобщенията за пресата както на Австрийската пощенска служба, озаглавени "Основни цели и перспективи за 2019 и 2020 г." (29.10.2019 г.), така и на Европейския комитет по защита на данните, озаглавени "Административнонаказателно производство на австрийския орган за защита на данните срещу Österreichische Post AG (23.10.2019 г.), достъпни чрез https://edpb.europa.eu/news/national-news/2019/administrative-criminal-proceedings-austrian-data-protection-authority_fr.

5 Номер на досието R2019/04/0229. Available via: https://www.ris.bka.gv.at/Dokumente/Vwgh/JWT_2019040229_20200512J00/JWT_2019040229_20200512J00.html.

6 "Член 83 от ОРЗД - Общи условия за налагане на административни глоби". Общ регламент за защита на данните (GDPR), 29 март 2018 г., gdpr-info.eu/art-83-gdpr/ [посетен на 14.12.2020 г.].

Съдържанието на тази статия има за цел да предостави общо ръководство по темата. Трябва да се потърси специализиран съвет за вашите конкретни обстоятелства.