Itävalta: Euroopan yhteisöjen tuomioistuimelle esitetyt ennakkoratkaisukysymykset - aineettomien vahinkojen korvaaminen EY:n perustamissopimuksen artiklan nojalla. 82 GDPR:N NOJALLA

Itävallan korkein oikeus (Oberste Gerichtshof, OGH) katsoi hiljattain 15. huhtikuuta 2021 antamassaan tuomiossa, että tietojen käsittely, jotka koskevat rekisteröidyn mieltymystä poliittiseen puolueeseen, muodostaa erityisen henkilötietoryhmän. Tämä pätee, vaikka kyseiset tiedot perustuisivat anonymisoituihin kyselyihin ja tilastoihin.

Lisäksi ennakkoratkaisupyynnöllä, joka on esitetty art. 267 SEUT-sopimuksen 267 artiklan nojalla esittämässä ennakkoratkaisupyynnössä OGH esitti perustavanlaatuisia kysymyksiä, jotka liittyvät SEUT-sopimuksen 267 artiklan tulkintaan. 82 yleisen tietosuoja-asetuksen tulkintaan liittyviä kysymyksiä Euroopan yhteisöjen tuomioistuimelle (EUT). Tarkemmin sanottuna se pyysi selvennystä GDPR:n rikkomiseen perustuvan vahingonkorvauksen myöntämisen edellytyksiin ja kyseisen korvauksen arviointiin art. 82 GDPR:N OSALTA.

Faktat

Tämän asian taustalla olevat tosiseikat juontavat juurensa erillisestä oikeusriidasta (6Ob35/21x).

• Vastaaja myi henkilötietoja markkinointitarkoituksiin kolmansille osapuolille Itävallan elinkeinolain (Gewerbeordnung 1994, GewO) 151 §:n mukaisena osoitteiden julkaisijana ("Adresshändler");
• Vastaajan keräämiin tietoihin sisältyi tietoja Itävallan kansalaisten puoluesukulaisuudesta;
  Tietojensa antamista koskevan pyynnön (yleisen tietosuoja-asetuksen 15 artikla) jälkeen kantaja sai tietää, että vastaaja oli olettanut kantajan poliittisen suuntautumisen olevan Itävallan vapauspuolueeseen (FPÖ);
• Kohteen poliittista suuntautumista koskevat tiedot saatiin käyttämällä algoritmia, jolla määritettiin "kohderyhmän osoitteet" sosiodemografisten ominaisuuksien perusteella;
• Kantaja pyysi, ilman että hän olisi antanut suostumusta tietojen käsittelyyn ja tallentamiseen:
• kieltomääräys, jolla vastaaja estetään käsittelemästä tietoja hänen oletetuista poliittisista näkemyksistään;
• 1 000 euron korvausta aineettomasta vahingosta, joka aiheutui hänelle osoitetusta puoluesidonnaisuudesta, jota hän piti loukkaavana, häpeällisenä ja luottoa vahingoittavana.

Wienin siviilioikeuden (Landesgericht für Zivilsachen) vahvisti kieltopyynnön, mutta vahingonkorvausvaatimus hylättiin, koska se ei täyttänyt korvattavan aineettoman vahingon vaadittua kynnysarvoa. Oberlandesgericht vahvisti päätöksen. Molemmat osapuolet valittivat päätöksestä.

Oikeudelliset kysymykset

OGH:n tuomiossa keskityttiin siihen, 1) ovatko tiedot, jotka koskevat puolueen mieltymystä poliittisiin puolueisiin, henkilötietoja (yleisen tietosuoja-asetuksen 4 artiklan 1 kohta); 2) muodostavatko kyseiset tiedot erityisen henkilötietoryhmän (yleisen tietosuoja-asetuksen 9 artikla); 3) onko vastaajan pidättäydyttävä jatkamasta kantajan tietojen käsittelyä tulevaisuudessa; 4) oikeuttavatko tietojen käsittelyt kantajaan korvaukseen (yleisen tietosuoja-asetuksen 82 artikla).

OGH:n osittainen ratkaisu

• Henkilötiedot (yleinen tietosuoja-asetus, 4 artiklan 1 kohta).
• Henkilötiedoilla tarkoitetaan kaikkia tunnistettuihin tai tunnistettavissa oleviin luonnollisiin henkilöihin ("rekisteröidyt") liittyviä tietoja;
• Tunnistettavissa olevan luonnollisen henkilön on oltava sellainen, joka voidaan tunnistaa suoraan tai välillisesti erityisesti viittaamalla tunnistetietoihin;
• Henkilötietojen katsottiin sisältävän subjektiivisten ja/tai objektiivisten arvioiden avulla saadut tiedot (eli muut kuin henkilötiedot, esim. mielipidetutkimukset/tilastot), koska niiden avulla "mieltymys poliittiseen puolueeseen" voitiin suoraan yhdistää tunnistettuun/tunnistettavissa olevaan luonnolliseen henkilöön;
• Väitetyn kiintymyksen pätevyydellä ei ole merkitystä;
• Se seikka, että tiedot olivat vain ilmaus kohteen oletetusta kiinnostuksesta tiettyä poliittista puoluetta kohtaan, on yhtä lailla merkityksetön.^[1].

Erityinen henkilötietoryhmä (yleisen tietosuoja-asetuksen 9 artikla)

• Käsitettä "poliittinen mielipide" on tulkittava laajasti yhtenäisen ja korkeatasoisen suojan takaamiseksi;
• Erityyppisten tietojen käsittelystä johtuva vakavan syrjinnän vaara on poistettava;
• Rekisteröityjen poliittisia mieltymyksiä koskevat tiedot aiheuttavat potentiaalista syrjintää, joten niiden on katsottava kuuluvan poliittisten mielipiteiden piiriin tietosuoja-asetuksen 3 artiklan mukaisesti. 9 YLEISEN TIETOSUOJA-ASETUKSEN SOVELTAMISALAAN.^[2]

Oikeussuojakeino (yleisen tietosuoja-asetuksen 79 artikla)

• Oikeus tehokkaisiin oikeussuojakeinoihin taataan tietosuojasäännösten 1 artiklassa. 79 yleisen tietosuoja-asetuksen mukaisesti, jos rekisteröidyn oikeuksia on loukattu sen vuoksi, että hänen henkilötietojaan on käsitelty yleisen tietosuoja-asetuksen säännösten vastaisesti;
• Jos rekisteröity ei ole antanut nimenomaista suostumusta, poliittiseen puolueeseen liittyvää sukulaisuutta koskevien tietojen käsittely katsotaan 9 artiklan 2 kohdan a alakohdan nojalla sinänsä laittomaksi;
• Se, että kyseiset tiedot oli poistettu/ei julkaistu, eli että ne oli käsitelty sisäisesti, mutta eivät näkyneet ulkoisesti, on merkityksetöntä, koska se ei poista vaaraa siitä, että kyseiset tiedot luodaan (uudelleen) tulevaisuudessa;
• Välipäätös on pidettävä voimassa, jos on olemassa mahdollisuus, että tiedot luodaan uudelleen tulevaisuudessa.

EU:n tuomioistuimelle esitetyt kysymykset

Itävallan korkein oikeus on pyytänyt Euroopan unionin tuomioistuimelta ennakkoratkaisua Euroopan unionin toiminnasta annetun lain 1 artiklan nojalla. 267 SEUT 267 artiklassa säännellyn vahingonkorvausvaatimuksen tulkinnasta ja soveltamisesta. 82 GDPR:N SÄÄNTELYSSÄ.

EUT:ta pyydetään erityisesti selvittämään:

• Edellyttääkö vahingonkorvausvaatimus yleisen tietosuoja-asetuksen säännöksen rikkomisen lisäksi, että kantaja on kärsinyt konkreettista vahinkoa, vai riittääkö mainittu rikkominen myöntämisperusteeksi;
• Onko kansallisten tuomioistuinten otettava vahingonkorvausta arvioidessaan huomioon EU:n oikeuden lisävaatimukset, jotka ylittävät tehokkuus- ja vastaavuusperiaatteet;
• Edellyttääkö aineettoman vahingonkorvauksen tai aineettoman vahingonkorvauksen kynnysarvo sitä, että rikkomuksella on seurauksia, joilla on tietty aste tai painoarvo, joka ulottuu laajemmalle kuin kyseisen rikkomuksen aiheuttama viha tai harmi.

Vaikka tyypillisesti joukkokanteita ajetaankin, kaikilla henkilöillä, joille on aiheutunut aineellista tai aineetonta vahinkoa tietosuoja-asetuksen säännöksen rikkomisesta, on edelleen oikeus nostaa kanne tietosuoja-asetuksen 3 artiklan nojalla. 82 GDPR:N NOJALLA.

Yritysten on hyvä seurata tiiviisti tietojen katoamista koskevia lehdistötiedotteita ja tunnistaa tietosuojarikkomuksiin viittaavat indikaattorit varhaisessa vaiheessa, jotta nykyisten tietosuojasäännösten puutteet voidaan korjata nopeasti. Lisäksi olisi hyödyllistä varmistaa, että asiakirjat ja sisäiset prosessit saatetaan GDPR:n periaatteiden ja täytäntöönpanovaatimusten mukaisiksi. Tätä varten olisi tarkasteltava uudelleen aiempia päätöksiä, jotka liittyvät tietosuoja-asetuksen artiklaan. 82 GDPR:n päätösten tarkastelu sekä kansallisella että EU:n tasolla on hyödyllistä. On ilmeistä, että OGH:n Euroopan unionin tuomioistuimelle esittämien ennakkoratkaisukysymysten perusteella on luotu tärkeä perusta, joka voisi mahdollistaa tietosuojaa koskevan lainsäädännön yhtenäisen tulkinnan vahingonkorvauksista.

Resurssit

1. Katso myös 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).
2. Katso myös W258 2217446-1 (BVwG).

Tämän artikkelin sisältö on tarkoitettu yleiseksi oppaaksi aiheesta. Omiin erityisiin olosuhteisiisi olisi pyydettävä asiantuntija-apua.