I en nylig dom af 15. april 2021 fastslog Østrigs højesteret (Oberste Gerichtshof, OGH), at behandling af oplysninger om den registreredes tilhørsforhold til et politisk parti udgør en særlig kategori af personoplysninger. Dette gælder også, selv om de pågældende oplysninger er baseret på anonymiserede meningsmålinger og statistikker.

Desuden kan der ved en anmodning om præjudiciel afgørelse i henhold til art. 267 TEUF, har OGH stillet grundlæggende spørgsmål vedrørende fortolkningen af artikel 267 TEUF. 82 GDPR til EU-Domstolen (CJEU). Mere specifikt anmodede den om en afklaring af kravene til tildeling af erstatning på grundlag af GDPR-krænkelser og vurderingen af denne erstatning i henhold til art. 82 GDPR.

Fakta

De faktiske omstændigheder, der ligger til grund for denne sag, har deres oprindelse i en separat retstvist (6Ob35/21x).

• Sagsøgte solgte personoplysninger til markedsføringsformål for tredjemand som adresseudgiver ("Adresshändler") i henhold til § 151 i den østrigske lov om erhvervsregulering (Gewerbeordnung 1994, GewO);
• De oplysninger, som sagsøgte har indsamlet, omfattede oplysninger om østrigske statsborgeres partitilhørsforhold;
  Efter en anmodning om aktindsigt (art. 15 GDPR) erfarede sagsøgeren, at sagsøgte havde formodet, at sagsøgerens politiske tilhørsforhold til det østrigske Frihedsparti (FPÖ) var blevet formodet;
• Oplysningerne om forsøgspersonens affinitet blev udledt ved hjælp af en algoritme til at definere "målgruppeadresser" ud fra sociodemografiske karakteristika;
• Uden at der var givet samtykke til behandling og lagring af oplysninger, anmodede sagsøgeren om:
• Et påbud om at forhindre sagsøgte i at behandle oplysninger om hans formodede politiske holdninger;
• en erstatning på 1 000 EUR for den immaterielle skade, der er forvoldt som følge af den partitilknytning, der var blevet tildelt ham, og som han anså for at være fornærmende, skammelig og kreditskadelig.

Mens anmodningen om et forbud blev godkendt af Wiens regionale domstol for civile sager (Landesgericht für Zivilsachen), blev der givet afslag på erstatning, fordi den krævede tærskel for erstatningsberettiget immateriel skade ikke var opfyldt. Afgørelsen blev stadfæstet af Oberlandesgericht. Afgørelsen blev appelleret af begge parter.

Juridiske spørgsmål

OGH-dommen fokuserede på 1) hvorvidt data vedrørende partiets affinitet med politiske partier kan kvalificeres som personoplysninger (artikel 4, stk. 1, i GDPR); 2) hvorvidt de nævnte data udgør en særlig kategori af personoplysninger (artikel 9 i GDPR); 3) hvorvidt sagsøgte skal afstå fra at fortsætte med at behandle sagsøgerens data i fremtiden; 4) hvorvidt behandlingen af data giver sagsøgeren ret til erstatning (artikel 82 i GDPR).

Delvis afgørelse fra OGH

• Personoplysninger (artikel 4, stk. 1, i GDPR)
• Personoplysninger er alle oplysninger om identificerede eller identificerbare fysiske personer ("registrerede personer");
• En identificerbar fysisk person skal være en person, der kan identificeres direkte eller indirekte ved hjælp af en særlig henvisning til en identifikator;
• Personoplysninger blev anset for at omfatte oplysninger, der er indhentet ved hjælp af subjektive og/eller objektive vurderinger (dvs. ikke-personlige oplysninger, f.eks. meningsmålinger/statistikker), da de gjorde det muligt at henføre "tilhørsforholdet til et politisk parti" direkte til en identificeret/identificerbar fysisk person;
• Gyldigheden af det påståede slægtskab er herved irrelevant;
• Det er ligeledes uden betydning, at oplysningerne blot var et udtryk for personens formodede interesse for et bestemt politisk parti.¹

Særlige kategorier af personoplysninger (art. 9 GDPR)

• Udtrykket "politisk holdning" skal fortolkes bredt for at sikre et ensartet og højt beskyttelsesniveau;
• Enhver risiko for alvorlig forskelsbehandling som følge af behandling af bestemte typer af oplysninger skal undermineres;
• Oplysninger om personers politiske præferencer giver anledning til potentiel forskelsbehandling og skal derfor anses for at falde ind under anvendelsesområdet for politiske holdninger i henhold til art. 9 GDPR.²

Afhjælpning (artikel 79 i GDPR)

• Retten til en effektiv domstolsprøvelse er sikret i henhold til art. 79 GDPR, hvis den registreredes rettigheder er blevet krænket som følge af behandling af hans eller hendes personoplysninger i strid med GDPR-bestemmelserne;
• Hvis den registrerede ikke har givet sit udtrykkelige samtykke, anses behandling af oplysninger om tilhørsforhold til et politisk parti i sig selv for ulovlig i henhold til artikel 9, stk. 2, litra a), i sig selv;
• Den omstændighed, at de relevante data er blevet slettet/ikke offentliggjort, dvs. at det sker internt, men ikke vises eksternt, er uden betydning, da det ikke fjerner faren for, at de pågældende data (gen)skabes i fremtiden;
• Et påbud skal opretholdes, hvis der er mulighed for, at data kan genskabes i fremtiden.

Spørgsmål forelagt for EU-Domstolen

Den østrigske højesteret anmodede EU-Domstolen om en præjudiciel afgørelse i henhold til art. 267 TEUF om fortolkningen og anvendelsen af det erstatningskrav, der er reguleret i art. 82 GDPR.

Den Europæiske Unions Domstol anmodes navnlig om at præcisere:

• Om et erstatningskrav ud over overtrædelsen af en GDPR-bestemmelse kræver, at sagsøgeren har lidt specifik skade, eller om den nævnte overtrædelse er tilstrækkelig til at give ret til erstatning;
• Om de nationale domstole skal tage hensyn til yderligere krav i EU-retten ud over principperne om effektivitet og ækvivalens ved vurderingen af skadeserstatninger;
• Om tærsklen for ikke-økonomisk/ikke-materiel erstatning kræver, at krænkelsen har konsekvenser af en vis grad eller vægt, der rækker ud over vrede eller irritation forårsaget af den pågældende krænkelse.

Selv om det typisk sker via massekrav, har enhver person, der har lidt materiel eller ikke-økonomisk skade som følge af en overtrædelse af en GDPR-bestemmelse, fortsat ret til at anlægge retssag i henhold til artikel. 82 GDPR.

Virksomheder gør klogt i at overvåge pressens rapporter om datatab nøje og identificere indikatorer for databeskyttelsesbrud tidligt, så de hurtigt kan få rettet op på mangler i de eksisterende databeskyttelsesregler. Endvidere vil det være en fordel at sikre, at dokumentationen og de interne processer bringes i overensstemmelse med GDPR-principperne og gennemførelseskravene. Med henblik herpå bør gennemgangen af tidligere afgørelser vedrørende artikel 2, stk. 82 GDPR på både nationalt plan og EU-plan vil være en hjælp. Det er tydeligt, at der på grundlag af OGH's forelæggelse af præjudicielle spørgsmål for EU-Domstolen er blevet lagt et vigtigt fundament, som kan give mulighed for en ensartet fortolkning af databeskyttelseslovgivningen om erstatning.

Fodnoter

1. Se også 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).

2. Se også W258 2217446-1 (BVwG).

Formålet med denne artikel er at give en generel vejledning i emnet. Der bør søges specialiseret rådgivning om dine specifikke omstændigheder.