Wiens landsret for civile sager har afsagt dom i sagen om databeskyttelse mellem aktivisten Max Schrems og den sociale medieplatform Facebook. Dommen følger efter de mundtlige høringer, der blev afholdt i den østrigske hovedstad tidligere på året, hvor Facebooks europæiske direktør for beskyttelse af privatlivets fred, Ceilia Alvarez, blev stillet spørgsmål om følgende emner:

• Virksomhedens evne til at indhente samtykke fra sine brugere;
• dens efterlevelse af anmodninger om data fra de aktive på netværket, og
• Præcisering af terminologien "sletning af data" og dens betydning i praksis.

I dommen, der blev afsagt den 30. juni 2020, fastslås det, at selv om Facebook skal betale en erstatning på 500 EUR for at have tilsidesat sine oplysningsforpligtelser vedrørende brugen af sagsøgerens personoplysninger, anses netværkstjenesten for at have handlet kontraktligt eller juridisk medskyldig i forbindelse med behandlingen af sagsøgerens oplysninger.

Afgørelsen

Følgende juridiske spørgsmål er værd at fremhæve:

-Databehandling i overensstemmelse med den generelle forordning om databeskyttelse (GDPR)

• Domstolen fastslog, at art. 2 GDPR ikke finder anvendelse på behandling af personoplysninger i forbindelse med private eller familiemæssige aktiviteter.
• Klageren hævdes at have indgået en kontrakt ("databehandleraftale") med Facebook, da han oprettede en privat konto.
• Hans personlige brug af platformen fik ham til at falde uden for GDPR's anvendelsesområde.
• Databehandlingen blev derfor udført i overensstemmelse med GDPR og ville fortsat være tilladt, så længe klageren ikke slettede sin konto. Først da ville kontrakten mellem parterne blive ophævet.

Vilkår og betingelser

• Domstolen fastslog endvidere, at et krav om forbud kræver, at den pågældende handling ikke blot er forbudt, men at der også skal være en eksisterende risiko for gentagelse af den ulovlige handling, dvs. at sagsøgte allerede har overtrådt den retligt etablerede norm.
• I den foreliggende sag havde sagsøgeren mulighed for at give sit samtykke til behandlingen af sine personlige oplysninger. Ved at acceptere sagsøgtes betingelser havde han frivilligt accepteret betingelserne herfor.
• Sagsøgtes økonomiske model er baseret på indtægtsskabelse gennem skræddersyede reklamer og kommercielt indhold. For at kunne tilbyde sin tjeneste gratis til offentligheden genereres der indtægter ved at behandle brugerdata, der sælges til annoncører, som kan anvende dem til målrettede reklameformål.
• Ved at bruge platformen accepterer brugerne bevidst kommercielt indhold, hvis personlige karakter er baseret på individuelle smag, præferencer og interesser - data, der således indgår i brugsbetingelserne.
• Da personlig reklame udgør en væsentlig del af den tilbudte tjenesteydelse og følger af de specifikke brugsbetingelser, der er en del af kontrakten, var det sagsøgtes opgave at specificere kontraktens formål, hvilket sagsøgeren frivilligt har accepteret.

Følsomme data

• Ifølge Domstolen er en overtrædelse af art. 9 GDPR ikke på baggrund af de konstaterede faktiske omstændigheder.
• Med hensyn til følsomme oplysninger om politiske interesser eller seksuel orientering fastslog Domstolen, at en interesse for et politisk parti eller samme køn ikke nødvendigvis afspejler sagsøgtes tilhørsforhold til en bestemt politisk holdning eller indebærer seksuel orientering. Da sidstnævnte var blevet offentligt kendt af sagsøgeren, var den generelle forordning om databeskyttelse desuden ikke blevet overtrådt.
• Retten har ikke kunnet konstatere, at sagsøgte har foretaget nogen ulovlige handlinger, som han kan holdes ansvarlig for, ved blot at behandle oplysningerne.

Skadeserstatning

• 15 GDPR fastsætter, at sagsøgte er forpligtet til at give oplysninger om alle personoplysninger med passende intervaller, som sagsøgte anser for relevante for brugeren.
• Ved at tilsidesætte sin pligt fik sagsøgeren ikke et tilstrækkeligt overblik over alle de data, der blev lagret.
• Hans tab af kontrol og den dermed forbundne usikkerhed giver ham ret til et erstatningskrav og til at få udleveret alle de ønskede data.

Kommentar

Denne dom indeholder en detaljeret redegørelse for den måde, hvorpå Facebook opretter brugerprofiler, nemlig ved at trække på historikken over besøgte sider samt oplysninger fra forbindelser til venner eller "lignende" brugere. Den anerkender dog ikke, at sådanne data er følsomme. Selv om tvangsudleveringen af sagsøgerens optegnelser gør en appel fra Facebooks side meget sandsynlig, har Schrems allerede givet udtryk for planer om at anlægge en sådan sag inden for de næste fire uger. Det er håbet, at en indbringelse af sagen for en overordnet domstol vil skabe større klarhed om lovligheden af Facebooks aktiviteter og dets (manglende) overholdelse af GDPR. Som det har været tilfældet i tidligere tilfælde, kan dette også gøre det muligt at forelægge flere spørgsmål for EF-Domstolen.

Oprindeligt offentliggjort 08 juli, 2020

Formålet med denne artikel er at give en generel vejledning i emnet. Der bør søges specialiseret rådgivning om dine specifikke omstændigheder.