Itävallan korkein oikeus (Oberste Gerichtshof, OGH) katsoi hiljattain 15. huhtikuuta 2021 antamassaan tuomiossa, että tietojen käsittely, jotka koskevat rekisteröidyn mieltymystä poliittiseen puolueeseen, muodostaa erityisen henkilötietoryhmän. Tämä pätee, vaikka kyseiset tiedot perustuisivat anonymisoituihin kyselyihin ja tilastoihin.

Lisäksi komissio on esittänyt ennakkoratkaisupyynnön, joka on esitetty Art. 267 SEUT 267 artiklan tulkintaa koskevat perustavanlaatuiset kysymykset, jotka OGH esitti SEUT 267 artiklan tulkintaa koskevalla ennakkoratkaisupyynnöllä. 82 yleisen tietosuoja-asetuksen tulkintaa koskevia kysymyksiä Euroopan yhteisöjen tuomioistuimelle (EUT). Tarkemmin sanottuna se pyysi selvennystä GDPR:n rikkomiseen perustuvan vahingonkorvauksen myöntämisen edellytyksiin ja kyseisen korvauksen arviointiin art. 82 GDPR:N OSALTA.

Faktat

Tämän tapauksen taustalla olevat tosiseikat ovat peräisin erillisestä oikeusriidasta (6Ob35/21x).

• Vastaaja myi henkilötietoja kolmannen osapuolen markkinointitarkoituksiin Itävallan kaupparekisterilain (Gewerbeordnung 1994, GewO) 151 §:n mukaisena osoitteiden julkaisijana ("Adresshändler");
• Vastaajan keräämiin tietoihin sisältyi tietoja Itävallan kansalaisten puoluesukulaisuudesta;
  Tietojensaantipyynnön (yleisen tietosuoja-asetuksen 15 artikla) jälkeen kantaja sai tietää, että vastaaja oli olettanut kantajan poliittisen suuntautumisen olevan Itävallan vapauspuolueeseen (FPÖ);
• Kohteen affiniteettia koskevat tiedot saatiin käyttämällä algoritmia, jolla määritettiin "kohderyhmän osoitteet" sosiodemografisten ominaisuuksien mukaan;
• Ilman tietojen käsittelyyn ja tallentamiseen annettua suostumusta kantaja pyysi:
• Määräys, jolla vastaaja estetään käsittelemästä hänen oletettuja poliittisia näkemyksiään koskevia tietoja;
• 1 000 euron korvaus aineettomasta vahingosta, joka aiheutui hänelle osoitetusta puoluesidonnaisuudesta, jota hän piti loukkaavana, häpeällisenä ja luottoa vahingoittavana.

Wienin siviilioikeuden (Landesgericht für Zivilsachen) vahvisti välipäätöstä koskevan pyynnön, mutta vahingonkorvausvaatimus hylättiin, koska se ei täyttänyt korvattavan aineettoman vahingon vaadittua kynnysarvoa. Oberlandesgericht vahvisti päätöksen. Molemmat osapuolet valittivat päätöksestä.

Oikeudelliset kysymykset

OGH:n tuomiossa keskityttiin seuraaviin kysymyksiin: 1) ovatko tiedot, jotka koskevat puolueen mieltymystä poliittisiin puolueisiin, henkilötietoja (yleinen tietosuoja-asetus, 4 artiklan 1 kohta); 2) ovatko kyseiset tiedot erityisiä henkilötietoryhmiä (yleinen tietosuoja-asetus, 9 artikla); 3) onko vastaajan pidättäydyttävä käsittelemästä kantajan tietoja jatkossa; 4) oikeuttaako tietojen käsittely kantaja korvaukseen (yleinen tietosuoja-asetus, 82 artikla).

OGH:n osittainen tuomio

• Henkilötiedot (yleisen tietosuoja-asetuksen 4 artiklan 1 kohta)
• Henkilötiedoilla tarkoitetaan kaikkia tunnistettuihin tai tunnistettavissa oleviin luonnollisiin henkilöihin ("rekisteröidyt") liittyviä tietoja;
• Tunnistettavissa olevan luonnollisen henkilön on oltava sellainen henkilö, joka voidaan tunnistaa suoraan tai välillisesti viittaamalla erityisesti tunnisteeseen;
• Henkilötiedoiksi katsottiin myös subjektiivisten ja/tai objektiivisten arvioiden avulla saadut tiedot (eli muut kuin henkilötiedot, esim. mielipidetutkimukset/tilastot), koska niiden avulla "mieltymys poliittista puoluetta kohtaan" voitiin osoittaa suoraan tunnistetulle/ tunnistettavissa olevalle luonnolliselle henkilölle;
• Väitetyn sukulaisuuden pätevyydellä ei ole merkitystä;
• Se, että tiedot olivat vain osoitus kohteen oletetusta kiinnostuksesta tiettyä poliittista puoluetta kohtaan, ei myöskään ole olennaista.¹

Erityinen henkilötietoryhmä (yleisen tietosuoja-asetuksen 9 artikla)

• Termi "poliittinen mielipide" on tulkittava laajasti yhtenäisen ja korkeatasoisen suojan takaamiseksi;
• Erityyppisten tietojen käsittelystä johtuva vakavan syrjinnän vaara on poistettava;
• Kohteiden poliittisia mieltymyksiä koskevat tiedot aiheuttavat potentiaalista syrjintää, joten niiden on katsottava kuuluvan poliittisten mielipiteiden piiriin artiklan 1 kohdan mukaisesti. 9 GDPR:N SOVELTAMISALAAN.²

Oikeussuojakeino (yleinen tietosuoja-asetus, 79 artikla)

• Oikeus tehokkaisiin oikeussuojakeinoihin on taattu art. 79 yleisen tietosuoja-asetuksen mukaisesti, jos rekisteröidyn oikeuksia on loukattu sen vuoksi, että hänen henkilötietojaan on käsitelty yleisen tietosuoja-asetuksen säännösten vastaisesti;
• Jos rekisteröity ei ole antanut nimenomaista suostumustaan, poliittiseen puolueeseen liittyvää mieltymystä koskevien tietojen käsittely katsotaan 9 artiklan 2 kohdan a alakohdan nojalla sinänsä laittomaksi;
• Sillä, että kyseiset tiedot on poistettu tai niitä ei ole julkaistu, eli että ne on poistettu sisäisesti mutta eivät näy ulkoisesti, ei ole merkitystä, koska se ei poista vaaraa siitä, että kyseiset tiedot luodaan (uudelleen) tulevaisuudessa;
• Välipäätös on pidettävä voimassa, jos on mahdollista, että tiedot luodaan uudelleen tulevaisuudessa.

EU:n tuomioistuimelle esitetyt kysymykset

Itävallan korkein oikeus pyysi Euroopan unionin tuomioistuimelta ennakkoratkaisua Euroopan unionin toiminnasta annetun lain nojalla. 267 SEUT 267 artiklassa säännellyn vahingonkorvausvaatimuksen tulkinnasta ja soveltamisesta. 82 YLEISEN TIETOSUOJA-ASETUKSEN SÄÄNNÖKSIÄ.

EU:n tuomioistuinta pyydetään erityisesti selvittämään:

• Edellyttääkö vahingonkorvausvaatimus tietosuoja-asetuksen säännöksen rikkomisen lisäksi sitä, että kantaja on kärsinyt konkreettista vahinkoa, vai riittääkö kyseinen rikkominen myöntämisperusteeksi;
• Onko kansallisten tuomioistuinten otettava vahingonkorvauksia arvioidessaan huomioon EU:n lainsäädännön muita vaatimuksia kuin tehokkuus- ja vastaavuusperiaatteet?
• Edellyttääkö aineettoman vahingonkorvauksen tai aineettoman vahingonkorvauksen kynnysarvo sitä, että rikkomuksella on seurauksia, joilla on tietty aste tai painoarvo, joka ulottuu kyseisen rikkomuksen aiheuttamaa suuttumusta tai harmia pidemmälle.

Vaikka tyypillisesti joukkokanteita ajetaankin, jokaisella henkilöllä, joka on kärsinyt aineellista tai aineetonta vahinkoa tietosuoja-asetuksen säännöksen rikkomisen seurauksena, on edelleen oikeus nostaa kanne tietosuoja-asetuksen 3 artiklan nojalla. 82 GDPR:N NOJALLA.

Yritysten on hyvä seurata tiiviisti tietojen katoamista koskevia lehdistötiedotteita ja tunnistaa tietosuojarikkomuksiin viittaavat indikaattorit varhaisessa vaiheessa, jotta nykyisten tietosuojasäännösten puutteet voidaan korjata pikaisesti. Lisäksi olisi hyödyllistä varmistaa, että asiakirjat ja sisäiset prosessit saatetaan GDPR:n periaatteiden ja täytäntöönpanovaatimusten mukaisiksi. Tätä varten olisi tarkasteltava uudelleen aiempia päätöksiä, jotka liittyvät tietosuoja-asetuksen artiklaan. 82 GDPR:n päätösten tarkastelu sekä kansallisella että EU:n tasolla on hyödyllistä. On ilmeistä, että OGH:n Euroopan unionin tuomioistuimelle esittämien ennakkoratkaisukysymysten perusteella on luotu tärkeä perusta, joka voisi mahdollistaa tietosuojaa koskevan lainsäädännön yhtenäisen tulkinnan vahingonkorvauksista.

Alaviitteet

1. Ks. myös 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).

2. Katso myös W258 2217446-1 (BVwG).

Tämän artikkelin sisältö on tarkoitettu yleiseksi oppaaksi aiheesta. Omiin erityisiin olosuhteisiisi liittyvissä kysymyksissä olisi pyydettävä asiantuntija-apua.