Austria: El Tribunal Superior de Viena confirma la demanda por daños y perjuicios contra Facebook

El 07.12.2020 (notificado el 28.12.2020), el Tribunal Regional Superior (Oberlandesgericht Wien, OLG) dictó sentencia en el procedimiento de apelación Schrems contra Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b). (GZ 11 R 153 / 20f, 154 / 20b)^[1] Confirmando la decisión del Tribunal Regional para Asuntos Civiles (Landesgericht für Zivilrechtssachen), sostuvo que la plataforma de medios sociales tenía la obligación de proporcionar al demandante pleno acceso a los datos que se guardaban sobre él, por lo que la empresa debía pagar una indemnización de 500 euros (artículo 82 del GDPR).

No obstante, también concluyó que el acto de tratamiento de datos no requiere que la plataforma obtenga un consentimiento inequívoco y separado de sus usuarios de conformidad con la legislación de protección de datos de la UE (artículo 6, apartado 1, letra a) del RGPD), sino que ese derecho de uso de los datos se concede intrínsecamente a Facebook en virtud de sus condiciones contractuales.

La decisión se centra en una serie de reclamaciones jurídicas y da lugar a tres cuestiones distintas que se señalan a continuación.

Asignación de funciones a las partes en virtud de la ley de protección de datos

Demandante

• Según el demandante, se considera que el usuario de la plataforma es la parte responsable o el "responsable del tratamiento" (artículo 4, apartado 7, del RGPD) con respecto a las aplicaciones de datos operadas por él mismo para sus fines personales;
• El demandado, por contrato, actúa como "encargado del tratamiento", lo que le impide llevar a cabo cualquier aplicación de datos sin las instrucciones del demandante o en contra de las mismas;
• No se ha celebrado un contrato que cumpla los requisitos del artículo 28, apartado 3, del GDPR, a pesar de que el demandante tiene derecho a dicho acuerdo.

Demandado

El demandado debe considerarse la única parte responsable en relación con el demandante, que carece de interés en la acción declarativa.

OLG (pp 21-23)

• La mera utilización de una plataforma de red social no convierte por sí misma al usuario en corresponsable del tratamiento de datos personales efectuado por dicha red;
• Debe establecerse una diferenciación con respecto a las páginas de fans, en las que el operador de dicha página contribuye al tratamiento de los datos personales de los visitantes, lo que le convierte en responsable del tratamiento (TJCE C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, esp. para. 35, 36 y 41).
• Así pues, un usuario de Facebook sólo es corresponsable en relación con los datos personales de terceros (artículo 4, apartado 7, del RGPD) y sólo es interesado en relación con sus propios datos personales.

Consentimiento efectivo al tratamiento de datos personales

Demandante

• Consentir los términos de uso de la plataforma de medios sociales y las directrices de uso de datos asociadas no da lugar a un consentimiento efectivo en el sentido de los artículos 6, apartado 1, y 7 GDPR;
• Contrariamente a las disposiciones del GDPR, que entraron en vigor a partir del 25.05.2018, los contratos de derecho civil regidos por la antigua ley de protección de datos no establecían requisitos explícitos de "consentimiento";
• Al integrar el consentimiento previo en los términos y condiciones de la corporación antes de la entrada en vigor del GDPR, los usuarios se vieron obligados inadvertidamente a un nuevo contrato, lo que permitió a la plataforma eludir las normas de protección de datos más estrictas en virtud de las disposiciones actuales del GDPR;
• Como tal, el demandante no había dado ningún consentimiento efectivo en el sentido del GDPR en cuanto al tratamiento de datos realizado por el demandado.

Demandada

El tratamiento de datos realizado por la plataforma se ajustaba a lo dispuesto en el artículo 6, apartado 1, letra b), del RGPD, ya que constituía una parte necesaria de la ejecución del contrato.

OLG (pp 23-24)

• El RGPD permite diferentes bases para el tratamiento de datos personales, entre otras cosas, si es necesario para la ejecución de un contrato en el que el interesado es parte (artículo 6, apartado 1, letra b) del RGPD);
• La necesidad se determina caso por caso, teniendo debidamente en cuenta la finalidad contractual y las obligaciones derivadas del contenido del contrato;
• La esencia del modelo de negocio de Facebook y su finalidad contractual se centra en:
  • Para el usuario: acceder a la plataforma de comunicaciones personalizadas;
  • Para la plataforma: facilitar el acceso sin costes adicionales;
• Como tal, la empresa que opera la plataforma puede recurrir a otras fuentes de financiación, por ejemplo, publicidad personalizada para el usuario concreto;
• El tratamiento de los datos personales del usuario demuestra ser un pilar fundamental del acuerdo entre plataforma y usuario, ya que es la base que permite adaptar la publicidad a los intereses del usuario concreto;
• El componente de necesidad respecto al tratamiento de datos se establece en que la utilización de dicha información configura la experiencia individualizada de los usuarios, por un lado, a la vez que constituye un canal financiero a través del cual la plataforma obtiene su beneficio.

Solicitud de suministro de información

Demandante

• Se había presentado una solicitud de información, que aún no había sido contestada de conformidad con el artículo 15 del GDPR;
• El hecho de que la información sobre el uso y tratamiento de datos (personales) sólo esté parcialmente disponible incumple los deberes legales del demandado;
• La incertidumbre sobre el tratamiento de los datos provocó una angustia emocional que da derecho al demandante a una indemnización por daños y perjuicios de 500 euros.

Demandada

• El demandado no incumplió sus obligaciones;
• El demandante no presentó ninguna alegación concluyente sobre la reclamación de daños y perjuicios.

OLG (24-29)

• Facebook no había concedido a sus usuarios acceso a los datos de sus herramientas de acceso, lo que otorga al demandante un derecho de acción basado en el artículo 15, apartado 1, del GDPR;
• El demandante tiene derecho a la información relativa a:
  • Los datos personales que están siendo procesados por Facebook y los fines de los mismos (Artículo 15(1)(a) GDPR);
  • A quién se revelan los respectivos datos personales, es decir, (categorías) de destinatarios (Artículo 15(1)(b) GDPR);
  • el origen de los datos, si no se han obtenido del demandante (artículo 15, apartado 1, letra g) del RGPD);
• El importe de 500 euros refleja la escasa magnitud de las molestias sufridas por el demandante y resulta justificado.

Comentario

En consonancia con las alegaciones del demandante, la Agencia Europea de Protección de Datos ha prohibido expresamente con anterioridad el tratamiento de categorías especiales de datos personales a menos que se dé el consentimiento expreso o que dicho tratamiento sea necesario por razones de interés público considerable (artículo 9, apartado 2, letra g) del RGPD). Aunque las cláusulas contractuales sobre el uso de datos podrían seguir utilizándose para la transferencia de datos, no serían suficientes para sustituir la necesidad de que se preste dicho consentimiento^[2].

Aunque la OLG ha concedido un derecho de recurso ante el Tribunal Supremo austriaco, se espera que las cuestiones jurídicas planteadas se lleven de nuevo ante el Tribunal de Justicia de la Unión Europea a su debido tiempo.

Recursos

1. Sentencia disponible en alemán en: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Consejo Europeo de Protección de Datos. Disponible en: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [consultado el 05.02.2021].

El contenido de este artículo pretende ofrecer una guía general sobre el tema. Debe solicitar asesoramiento especializado sobre sus circunstancias específicas.