Rakousko: Vrchní soud ve Vídni potvrdil nárok na náhradu škody proti Facebooku

Dne 7. 12. 2020 (doručeno 28. 12. 2020) vydal Vrchní zemský soud (Oberlandesgericht Wien, OLG) rozsudek v odvolacím řízení Schrems v. Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b). ¹⁾ Potvrdil rozhodnutí Zemského soudu pro občanské věci (Landesgericht für Zivilrechtssachen) a rozhodl, že platforma sociálních médií byla povinna poskytnout žalobci plný přístup k údajům, které o něm měla k dispozici, a uložil tak společnosti povinnost zaplatit odškodnění ve výši 500 EUR (článek 82 GDPR).

Nicméně také dospěl k závěru, že k aktu zpracování údajů není třeba, aby platforma získala od svých uživatelů jednoznačný, samostatný souhlas podle práva EU na ochranu údajů (čl. 6 odst. 1 písm. a) GDPR), ale že takové právo na používání údajů je společnosti Facebook ze své podstaty přiznáno na základě jejích smluvních podmínek.

Rozhodnutí se soustřeďuje na řadu právních stížností a vyvolává tři různé otázky, které jsou vyčleněny níže.

Rozdělení rolí stran podle práva na ochranu údajů

Žalobce

• Podle žalobce je uživatel platformy považován za odpovědnou stranu nebo "správce" (čl. 4 odst. 7 GDPR), pokud jde o datové aplikace, které sám provozuje pro své osobní účely;
• Žalovaný na základě smlouvy vystupuje jako "zpracovatel", což mu brání provádět jakékoli datové aplikace bez pokynů žalobce nebo v rozporu s nimi;
• Smlouva splňující požadavky čl. 28 odst. 3 GDPR nebyla uzavřena, ačkoli žalobce měl na takovou smlouvu nárok.

Žalovaný

Žalovaného je třeba považovat za jedinou odpovědnou osobu ve vztahu k žalobci, který nemá zájem na deklaratorní ochraně.

OLG (str. 21-23)

• Pouhé používání platformy sociální sítě samo o sobě nezakládá spoluodpovědnost uživatele za zpracování osobních údajů prováděné touto sítí;
• Je třeba rozlišovat, pokud jde o fanouškovské stránky, přičemž provozovatel uvedených stránek se podílí na zpracování osobních údajů návštěvníků, čímž se stává správcem (rozsudek ESD C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, zejm. odst. 35, 36 a 41).
• Uživatel Facebooku je tedy pouze spoluodpovědnou osobou, pokud jde o osobní údaje třetích osob (čl. 4 odst. 7 GDPR), a pouze subjektem údajů ve vztahu k vlastním osobním údajům.

Účinný souhlas se zpracováním osobních údajů

Žalobce

• Souhlas s podmínkami používání platformy sociálních médií a souvisejícími pokyny pro používání údajů nezakládá účinný souhlas ve smyslu čl. 6 odst. 1 a článku 7 GDPR;
• Na rozdíl od ustanovení GDPR, která vstoupila v platnost dne 25. 5. 2018, občanskoprávní smlouvy upravené podle dřívějšího zákona o ochraně osobních údajů nestanovily výslovné požadavky na "souhlas";
• Začleněním předchozího souhlasu do obchodních podmínek korporace před nabytím účinnosti nařízení GDPR byli uživatelé neúmyslně nuceni uzavřít novou smlouvu, což platformě umožnilo obejít přísnější standardy ochrany údajů podle stávajících ustanovení nařízení GDPR;
• Žalobce tedy neudělil účinný souhlas ve smyslu GDPR se zpracováním údajů prováděným žalovaným.

Žalovaný

Zpracování údajů prováděné platformou bylo v souladu s ustanoveními čl. 6 odst. 1 písm. b) GDPR, neboť představovalo nezbytnou součást plnění smlouvy.

OLG (str. 23-24)

• GDPR připouští různé základy pro zpracování osobních údajů, mimo jiné pokud je nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů (čl. 6 odst. 1 písm. b) GDPR);
• Nezbytnost se tímto určuje případ od případu s náležitým ohledem na účel smlouvy a povinnosti vyplývající z obsahu smlouvy;
• Podstata obchodního modelu společnosti Facebook a jeho smluvní účel se soustředí na:
  • Pro uživatele: získání přístupu k personalizované komunikační platformě;
  • Pro platformu: zpřístupnění přístupu bez dodatečných nákladů;
• Společnost provozující platformu jako takovou se může uchýlit k jiným zdrojům financování, např. k reklamě přizpůsobené konkrétnímu uživateli;
• Zpracování osobních údajů uživatele ukazuje základní nosný pilíř dohody mezi platformou a uživatelem, neboť je základem, který umožňuje přizpůsobení reklamy zájmům konkrétního uživatele;
• Složka nezbytnosti v souvislosti se zpracováním údajů je dána tím, že využití těchto informací na jedné straně utváří individualizovanou zkušenost uživatelů a na druhé straně představuje finanční kanál, jehož prostřednictvím platforma získává svůj zisk.

Žádost o poskytnutí informací

Žalobce

• Byla podána žádost o poskytnutí informací, která dosud nebyla zodpovězena v souladu s článkem 15 GDPR;
• Zpřístupnění informací o používání a zpracování (osobních) údajů pouze částečně nesplňuje zákonné povinnosti žalovaného;
• nejistota ohledně zpracování údajů vyvolala citové strádání, které zakládá nárok žalobce na náhradu nemajetkové újmy ve výši 500 EUR.

Žalovaný

• Žalovaná neporušila svou povinnost;
• Žalobce nepředložil žádné přesvědčivé tvrzení týkající se nároku na náhradu škody.

OLG (24-29)

• Facebook neumožnil svým uživatelům přístup k údajům v přístupových nástrojích, což zakládá žalobci právo na žalobu zakotvené v čl. 15 odst. 1 GDPR;
• Žalobce má právo na informace týkající se:
  • Osobní údaje zpracovávané společností Facebook a jejich účely (čl. 15 odst. 1 písm. a) GDPR);
  • komu jsou příslušné osobní údaje zpřístupněny, tj. (kategorie) příjemců (čl. 15 odst. 1 písm. b) GDPR);
  • Původ údajů, pokud nebyly získány od žalobce (čl. 15 odst. 1 písm. g) GDPR);
• Částka 500 EUR odráží nepatrný rozsah nepohodlí, které žalobce utrpěl, a je prokazatelně odůvodněná.

Komentář:

V souladu s tvrzeními žalobce Evropská agentura pro ochranu údajů již dříve výslovně zakázala zpracování zvláštních kategorií osobních údajů, pokud k tomu není dán výslovný souhlas nebo pokud takové zpracování není nezbytné z důvodů závažného veřejného zájmu (čl. 9 odst. 2 písm. g) GDPR). Ačkoli by se pro předávání údajů mohly nadále používat smluvní doložky o používání údajů, nestačily by k tomu, aby nahradily nutnost poskytnutí takového souhlasu^[2].

Ačkoli OLG přiznal právo na odvolání k rakouskému Nejvyššímu soudu, očekává se, že nastolené právní otázky budou v příhodnou dobu opět předloženy Soudnímu dvoru Evropské unie.

Zdroje

1. Rozsudek je k dispozici v němčině na adrese: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. ročník. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen". Europäischer Datenschutzausschuss - Evropský sbor pro ochranu osobních údajů. Dostupné na: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [navštíveno 05.02.2021].

Obsah tohoto článku má poskytnout obecnou orientaci v dané problematice. Ohledně vašich konkrétních okolností je třeba vyhledat odbornou radu.