Dne 7. 12. 2020 (doručeno 28. 12. 2020) vydal Vrchní zemský soud ve Vídni (Oberlandesgericht Wien, OLG) rozhodnutí v řízení o odvolání Schrems v. Facebook Ireland Ltd. (GZ 11 R 153/20f, 154/20b).¹ Potvrdil rozhodnutí Zemského soudu pro občanskoprávní věci (Landesgericht für Zivilrechtssachen) a rozhodl, že platforma sociálních médií byla povinna poskytnout žalobci plný přístup k údajům, které o něm uchovávala, a uložil tak společnosti povinnost zaplatit odškodnění ve výši 500 EUR (článek 82 GDPR).

Dospěl však také k závěru, že k úkonu zpracování údajů není třeba, aby platforma získala od svých uživatelů jednoznačný, samostatný souhlas podle práva EU v oblasti ochrany údajů (čl. 6 odst. 1 písm. a) GDPR), ale že takové právo na používání údajů je společnosti Facebook ze své podstaty přiznáno na základě jejích smluvních podmínek.

Rozhodnutí se soustřeďuje na řadu právních námitek a vyvolává tři různé otázky, které jsou uvedeny níže.

Rozdělení rolí stran podle zákona o ochraně údajů

Žalobce

• Podle žalobce je uživatel platformy považován za odpovědnou stranu nebo "správce" (čl. 4 odst. 7 GDPR), pokud jde o datové aplikace, které sám provozuje pro své osobní účely;
• Žalovaný na základě smlouvy vystupuje jako "zpracovatel", což mu brání provádět jakékoli aplikace údajů bez pokynů žalobce nebo v rozporu s nimi;
• Smlouva splňující požadavky čl. 28 odst. 3 GDPR nebyla uzavřena, ačkoli žalobce měl na takovou smlouvu nárok.

Žalovaný

• Žalovaného je třeba považovat za jedinou odpovědnou osobu ve vztahu k žalobci, který nemá zájem na deklaratorní nápravě.

OLG (s. 21-23)

• Pouhé používání platformy sociální sítě samo o sobě nezakládá spoluodpovědnost uživatele za zpracování osobních údajů prováděné touto sítí;
• U fanouškovských stránek je třeba rozlišovat, zda se provozovatel těchto stránek podílí na zpracování osobních údajů návštěvníků, čímž se stává správcem (rozsudek Soudního dvora EU C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, zejména odst. 35, 36 a 41).
• Uživatel Facebooku je tedy pouze spoluodpovědnou stranou, pokud jde o osobní údaje třetích stran (čl. 4 odst. 7 GDPR), a pouze subjektem údajů, pokud jde o jeho vlastní osobní údaje.

Účinný souhlas ke zpracování osobních údajů

Žalobce

• Souhlas s podmínkami používání platformy sociálních médií a souvisejícími pokyny pro používání údajů neznamená účinný souhlas ve smyslu čl. 6 odst. 1 a článku 7 GDPR;
• Na rozdíl od ustanovení GDPR, která vstoupila v platnost 25.5.2018, občanskoprávní smlouvy, které se řídily dřívějším zákonem o ochraně osobních údajů, nestanovovaly výslovné požadavky na "souhlas";
• Začleněním předchozího souhlasu do obchodních podmínek společnosti před vstupem GDPR v platnost byli uživatelé neúmyslně nuceni uzavřít novou smlouvu, což platformě umožnilo obejít přísnější standardy ochrany údajů podle současných ustanovení GDPR;
• Žalobce tedy neudělil účinný souhlas ve smyslu GDPR se zpracováním údajů prováděným žalovaným.

Žalovaný

• Zpracování údajů prováděné platformou bylo v souladu s ustanoveními čl. 6 odst. 1 písm. b) nařízení GDPR, neboť představovalo nezbytnou součást plnění smlouvy.

OLG (s. 23-24)

• GDPR umožňuje různé základy pro zpracování osobních údajů, mimo jiné pokud je to nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů (čl. 6 odst. 1 písm. b) GDPR);
• Nezbytnost se tímto určuje případ od případu s ohledem na smluvní účel a povinnosti vyplývající z obsahu smlouvy;
• Podstata obchodního modelu Facebooku a jeho smluvní účel spočívá v:
  • Pro uživatele: získání přístupu k personalizované komunikační platformě;
  • Pro platformu: zpřístupnění bez dalších nákladů;
• Společnost provozující platformu tak může využít jiné zdroje financování, např. reklamu přizpůsobenou konkrétnímu uživateli;
• Zpracování osobních údajů uživatelů je základním pilířem dohody mezi platformou a uživatelem, protože je základem, který umožňuje přizpůsobit reklamu zájmům jednotlivých uživatelů;
• Složka nezbytnosti v souvislosti se zpracováním údajů je dána tím, že využití těchto informací na jedné straně utváří individuální zkušenost uživatelů a na druhé straně představuje finanční kanál, jehož prostřednictvím platforma získává svůj zisk.

Žádost o poskytnutí informací

Žalobce

• Byla podána žádost o informace, která dosud nebyla zodpovězena v souladu s článkem 15 GDPR;
• Zpřístupnění informací o používání a zpracování (osobních) údajů pouze částečně nesplňuje zákonné povinnosti žalovaného;
• Nejistota týkající se zpracování údajů vyvolala citové strádání, které žalobci přiznává nárok na nemajetkovou újmu ve výši 500 EUR.

Žalovaný

• Žalovaná svou povinnost neporušila;
• Žalobce nepředložil žádné rozhodné tvrzení týkající se nároku na náhradu škody.

OLG (24-29)

• Společnost Facebook neumožnila svým uživatelům přístup k údajům ve svých přístupových nástrojích, což žalobci zakládá právo na žalobu podle čl. 15 odst. 1 GDPR;
• Žalobce má právo na informace týkající se:
  • Osobní údaje zpracovávané společností Facebook a jejich účely (čl. 15 odst. 1 písm. a) GDPR);
  • Komu jsou příslušné osobní údaje zpřístupněny, tj. (kategorie) příjemců (čl. 15 odst. 1 písm. b) GDPR);
  • Původ údajů, pokud nebyly získány od žalobce (čl. 15 odst. 1 písm. g) GDPR);
• Částka 500 EUR odráží nepatrný rozsah nepohodlí, které žalobce utrpěl, a ukazuje se jako oprávněná.

Komentář:

V souladu s tvrzeními žalobce Evropská agentura pro ochranu údajů již dříve výslovně zakázala zpracování zvláštních kategorií osobních údajů, pokud k tomu není dán výslovný souhlas nebo pokud takové zpracování není nezbytné z důvodů závažného veřejného zájmu (čl. 9 odst. 2 písm. g) obecného nařízení o ochraně osobních údajů). Ačkoli by se pro předávání údajů mohly nadále používat smluvní doložky o používání údajů, nestačily by k tomu, aby nahradily nutnost poskytnutí takového souhlasu.²

OLG sice přiznal právo na odvolání k rakouskému Nejvyššímu soudu, ale očekává se, že vznesené právní otázky budou ve vhodnou dobu opět předloženy Soudnímu dvoru Evropské unie.

Poznámky pod čarou

1 Rozsudek je k dispozici v němčině prostřednictvím: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.

2 Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen". Europäischer Datenschutzausschuss - Evropský sbor pro ochranu osobních údajů. K dispozici na adrese: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [přístup 05.02.2021].

Obsah tohoto článku je určen jako obecný průvodce danou problematikou. Ohledně vašich konkrétních okolností je třeba vyhledat odbornou radu.