Østrig: Foreløbige spørgsmål forelagt EU-Domstolen - Erstatning for immaterielle skader i henhold til art. 82 GDPR

I en nylig dom, der blev afsagt den 15. april 2021, fastslog den østrigske højesteret (Oberste Gerichtshof, OGH), at behandlingen af data om den registreredes tilhørsforhold til et politisk parti udgør en særlig kategori af personoplysninger. Dette gælder, selv om de pågældende data er baseret på anonymiserede meningsmålinger og statistikker.

Ved anmodning om en præjudiciel afgørelse i henhold til art. 267 TEUF, forelagt grundlæggende spørgsmål vedrørende fortolkningen af art. 82 GDPR til Den Europæiske Unions Domstol (EU-Domstolen). Mere specifikt søgte den afklaring af kravene til tildeling af erstatning baseret på overtrædelser af GDPR og vurderingen af nævnte kompensation i henhold til art. 82 GDPR.

De faktiske omstændigheder

De faktiske omstændigheder, der ligger til grund for denne sag, stammer fra en separat retstvist (6Ob35/21x).

• Sagsøgte solgte personoplysninger til tredjeparts markedsføringsformål som adresseudgiver ("Adresshändler") i henhold til § 151 i den østrigske lov om handelsregulering (Gewerbeordnung 1994, GewO);
• De oplysninger, der blev indsamlet af sagsøgte, omfattede oplysninger om østrigske statsborgeres partitilhørsforhold;
  Efter en anmodning om aktindsigt (art. 15 GDPR) erfarede sagsøgeren, at sagsøgte havde antaget, at sagsøgerens politiske tilhørsforhold lå hos det østrigske frihedsparti (FPÖ);
• Oplysningerne om subjektets tilhørsforhold blev udledt ved brug af en algoritme til at definere "målgruppeadresser" i henhold til sociodemografiske karakteristika;
• Uden at der var givet samtykke til behandling og lagring af data, anmodede sagsøgeren om:
• Et påbud om at forhindre sagsøgte i at behandle data om hans formodede politiske synspunkter;
• Erstatning på EUR 1.000 for den immaterielle skade, der var forvoldt som følge af det partitilhørsforhold, der var blevet tildelt ham, og som han anså for at være fornærmende, skamfuldt og kreditskadeligt.

Mens anmodningen om forbud blev opretholdt af den regionale domstol for civile sager i Wien (Landesgericht für Zivilsachen), blev erstatningen afvist, fordi den krævede tærskel for erstatningsberettiget immateriel skade ikke var nået. Afgørelsen blev bekræftet af den højere regionale domstol (Oberlandesgericht). Afgørelsen blev appelleret af begge parter.

Juridiske spørgsmål

OGH-dommen fokuserede på 1) om data vedrørende partiets tilhørsforhold til politiske partier kvalificerer sig som personoplysninger (art. 4(1) GDPR); 2) om disse data udgør en særlig kategori af personoplysninger (art. 9 GDPR); 3) om sagsøgte skal afstå fra at fortsætte med at behandle sagsøgerens data i fremtiden; 4) om behandlingen af data giver sagsøgeren ret til kompensation (art. 82 GDPR).

Delvis afgørelse fra OGH

• Personlige data (art. 4(1) GDPR)
• Personoplysninger henviser til enhver information, der vedrører identificerede eller identificerbare fysiske personer ('registrerede');
• En identificerbar fysisk person skal være en, der kan identificeres direkte eller indirekte ved særlig henvisning til en identifikator;
• Personlige data blev anset for at omfatte data, der er indhentet ved hjælp af subjektive og/eller objektive vurderinger (dvs. ikke-personlige data, f.eks. meningsmålinger/statistikker), da det gjorde det muligt at henføre "tilhørsforholdet til et politisk parti" direkte til en identificeret/identificerbar fysisk person;
• Gyldigheden af det påståede tilhørsforhold er hermed irrelevant;
• Det faktum, at oplysningerne blot var et udtryk for personernes formodede interesse i et bestemt politisk parti, er ligeledes uden betydning^[1].

Særlig kategori af personoplysninger (art. 9 GDPR)

• Begrebet "politisk overbevisning" skal fortolkes bredt for at sikre et ensartet og højt beskyttelsesniveau;
• Enhver risiko for alvorlig forskelsbehandling som følge af behandling af bestemte typer data skal undermineres;
• Data om personers politiske præferencer giver anledning til potentiel forskelsbehandling og må derfor anses for at falde ind under politisk overbevisning i henhold til artikel 9 i GDPR. 9 GDPR^[2].

Retsmidler (art. 79 GDPR)

• Retten til effektive retsmidler er garanteret i henhold til art. 79 i GDPR, hvis den registreredes rettigheder er blevet krænket som følge af behandling af hans eller hendes personoplysninger i strid med GDPR-bestemmelserne;
• I mangel af udtrykkeligt samtykke fra den registrerede anses behandlingen af oplysninger om tilhørsforhold til et politisk parti for at være ulovlig i henhold til artikel 9, stk. 2, litra a), i sig selv;
• Det faktum, at de relevante data var blevet slettet/ikke offentliggjort, dvs. at de fandt sted internt, men ikke blev vist eksternt, er uvæsentligt, da det ikke fjerner faren for, at de pågældende data kan blive (gen)skabt i fremtiden;
• Et påbud skal opretholdes, hvis der er mulighed for, at data kan genskabes i fremtiden.

Spørgsmål henvist til EU-Domstolen

Den østrigske højesteret anmodede EU-Domstolen om en præjudiciel afgørelse i henhold til art. 267 TEUF om fortolkningen og anvendelsen af erstatningskravet, der er reguleret i art. 82 GDPR.

EU-Domstolen er især blevet bedt om at afklare:

• Hvorvidt et erstatningskrav, ud over overtrædelsen af en GDPR-bestemmelse, kræver, at sagsøgeren har lidt specifik skade, eller om nævnte overtrædelse er tilstrækkelig til at kvalificere sig til tildelingen;
• Om yderligere krav i EU-lovgivningen, ud over principperne om effektivitet og ækvivalens, skal overvejes af nationale domstole i deres vurdering af skader;
• Hvorvidt tærsklen for ikke-økonomisk/ikke-materiel skade kræver, at overtrædelsen har konsekvenser af en vis grad eller vægt, der strækker sig ud over vrede eller irritation forårsaget af den pågældende overtrædelse.

Selvom det typisk sker via massekrav, har enhver person, der har lidt materiel eller immateriel skade som følge af en overtrædelse af en GDPR-bestemmelse, ret til at anlægge sag i henhold til art. 82 GDPR.

Virksomhederne gør klogt i at overvåge pressens rapporter om datatab nøje og identificere indikatorer for databeskyttelsesovertrædelser tidligt for at muliggøre en hurtig revision af mangler i de eksisterende databeskyttelsesregler. Desuden vil det være en fordel at sikre, at dokumentationen og de interne processer bringes i overensstemmelse med GDPR-principperne og implementeringskravene. Med henblik herpå vil gennemgangen af tidligere beslutninger vedrørende art. 82 GDPR på både nationalt og EU-niveau være afgørende. Det er tydeligt, at der på baggrund af OGH's forelæggelse af præjudicielle spørgsmål for EU-Domstolen er blevet lagt et vigtigt fundament, der kan muliggøre en ensartet fortolkning af databeskyttelseslovgivningen om skadeserstatning.

Ressourcer

1. Se også 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).
2. Se også W258 2217446-1 (BVwG).

Indholdet af denne artikel er beregnet til at give en generel vejledning om emnet. Du bør søge specialistrådgivning om dine specifikke omstændigheder.