Austria: Il Tribunale superiore di Vienna conferma la richiesta di risarcimento danni contro Facebook

Il 07.12.2020 (notificata il 28.12.2020), il Tribunale regionale superiore (Oberlandesgericht Wien, OLG) ha emesso la sua sentenza nel procedimento d'appello Schrems contro Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b). (GZ 11 R 153 / 20f, 154 / 20b)^[1] Confermando la decisione del Tribunale regionale per le questioni civili (Landesgericht für Zivilrechtssachen), ha ritenuto che la piattaforma di social media avesse l'obbligo di fornire al querelante il pieno accesso ai dati in suo possesso, obbligando quindi la società a pagare un risarcimento di 500 euro (articolo 82 del GDPR).

Tuttavia, ha anche concluso che l'atto del trattamento dei dati non richiede che la piattaforma ottenga un consenso inequivocabile e separato dai suoi utenti ai sensi della legge sulla protezione dei dati dell'UE (articolo 6, paragrafo 1, lettera a), del GDPR), ma che tale diritto di utilizzo dei dati è intrinsecamente concesso a Facebook in virtù dei suoi termini e condizioni contrattuali.

La decisione si basa su una serie di reclami legali e dà origine a tre questioni distinte che vengono descritte di seguito.

Assegnazione dei ruoli delle parti ai sensi della legge sulla protezione dei dati personali

Il querelante

• Secondo l'attore, l'utente della piattaforma è considerato il responsabile o il "controllore" (articolo 4(7) del GDPR) per quanto riguarda le applicazioni di dati da lui stesso gestite per i suoi scopi personali;
• il convenuto agisce per contratto come "responsabile del trattamento", impedendogli di effettuare applicazioni di dati senza o in contrasto con le istruzioni dell'attore;
• Non è stato concluso un contratto che soddisfi i requisiti dell'articolo 28(3) del GDPR, sebbene l'attore abbia diritto a tale accordo.

Convenuto

Il convenuto deve essere considerato l'unica parte responsabile nei confronti della querelante, che non ha interesse a ottenere un provvedimento dichiarativo.

OLG (pagg. 21-23)

• Il semplice utilizzo di una piattaforma di social network non rende di per sé un utente corresponsabile del trattamento dei dati personali effettuato da tale rete;
• Una differenziazione va fatta per quanto riguarda le pagine fan, in cui il gestore di tale pagina contribuisce al trattamento dei dati personali dei visitatori, rendendolo un responsabile del trattamento (CGUE C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, in particolare i punti 35, 36 e 41). 35, 36 e 41).
• Un utente di Facebook è quindi solo un corresponsabile per quanto riguarda i dati personali di terzi (articolo 4, paragrafo 7, del GDPR) e solo un soggetto interessato in relazione ai propri dati personali.

Consenso effettivo al trattamento dei dati personali

Il querelante

• Il consenso alle condizioni di utilizzo della piattaforma di social media e alle relative linee guida sull'utilizzo dei dati non dà luogo a un consenso effettivo ai sensi degli articoli 6(1) e 7 del GDPR;
• Contrariamente alle disposizioni del GDPR, entrate in vigore il 25.05.2018, i contratti di diritto civile disciplinati dalla precedente legge sulla protezione dei dati non prevedevano requisiti espliciti di "consenso";
• Integrando il consenso preventivo nei termini e nelle condizioni dell'azienda prima dell'entrata in vigore del GDPR, gli utenti sono stati inavvertitamente costretti a sottoscrivere un nuovo contratto, che ha permesso alla piattaforma di aggirare gli standard di protezione dei dati più severi previsti dalle attuali disposizioni del GDPR;
• Di conseguenza, l'attore non ha prestato alcun consenso effettivo ai sensi del GDPR in relazione al trattamento dei dati effettuato dal convenuto.

Convenuto

Il trattamento dei dati effettuato dalla piattaforma era in linea con le disposizioni dell'articolo 6, paragrafo 1, lettera b), del GDPR, in quanto costituiva una parte necessaria dell'esecuzione del contratto.

OLG (pagg. 23-24)

• Il GDPR consente diverse basi per il trattamento dei dati personali, tra l'altro, se necessario per l'esecuzione di un contratto di cui l'interessato è parte (articolo 6, paragrafo 1, lettera b), GDPR);
• La necessità è determinata caso per caso, tenendo in debita considerazione lo scopo contrattuale e gli obblighi derivanti dal contenuto del contratto;
• L'essenza del modello di business di Facebook e il suo scopo contrattuale sono incentrati su:
  • Per l'utente: ottenere l'accesso alla piattaforma di comunicazione personalizzata;
  • Per la piattaforma: rendere disponibile l'accesso senza costi aggiuntivi;
• In quanto tale, la società che gestisce la piattaforma può ricorrere ad altre fonti di finanziamento, ad esempio la pubblicità personalizzata per l'utente specifico;
• Il trattamento dei dati personali degli utenti costituisce un pilastro fondamentale dell'accordo tra la piattaforma e l'utente, in quanto è la base che consente di adattare la pubblicità agli interessi del singolo utente;
• La componente di necessità rispetto al trattamento dei dati è stabilita in quanto l'utilizzo di tali informazioni modella l'esperienza personalizzata degli utenti, da un lato, e dall'altro costituisce un canale finanziario attraverso il quale la piattaforma ottiene i propri profitti.

Richiesta di fornitura di informazioni

Querelante

• È stata presentata una richiesta di informazioni, ma non è stata data risposta ai sensi dell'articolo 15 del GDPR;
• La messa a disposizione di informazioni sull'uso e sul trattamento dei dati (personali) solo in parte non è conforme ai doveri legali del convenuto;
• l'incertezza sul trattamento dei dati ha indotto un disagio emotivo che dà diritto al ricorrente a un danno morale di 500 euro.

Convenuto

• Il convenuto non è venuto meno ai suoi doveri;
• L'attore non ha presentato alcuna dichiarazione conclusiva in merito alla richiesta di risarcimento danni.

OLG (24-29)

• Facebook non ha garantito ai propri utenti l'accesso ai dati contenuti negli strumenti di accesso, il che conferisce all'attore un diritto di azione ai sensi dell'articolo 15(1) del GDPR;
• Il querelante ha diritto a informazioni relative a:
  • I dati personali trattati da Facebook e le relative finalità (articolo 15(1)(a) GDPR);
  • A chi vengono comunicati i rispettivi dati personali, cioè le categorie di destinatari (articolo 15(1)(b) GDPR);
  • L'origine dei dati, se non sono stati raccolti dal querelante (articolo 15, paragrafo 1, lettera g), del GDPR);
• L'importo di 500 euro riflette la lieve entità del disagio subito dall'attore e si dimostra giustificato.

Commenti

In linea con quanto sostenuto dalla querelante, l'Agenzia europea per la protezione dei dati ha precedentemente vietato espressamente il trattamento di categorie particolari di dati personali, a meno che non sia stato dato un consenso esplicito o che tale trattamento sia necessario per motivi di interesse pubblico rilevante (articolo 9, paragrafo 2, lettera g), del GDPR). Sebbene le clausole contrattuali sull'utilizzo dei dati possano ancora essere utilizzate per il trasferimento dei dati, non sarebbero sufficienti a sostituire la necessità di fornire il consenso.^[2]

Sebbene l'OLG abbia concesso il diritto di appello alla Corte Suprema austriaca, si prevede che le questioni giuridiche sollevate saranno nuovamente sottoposte alla Corte di giustizia dell'Unione europea a tempo debito.

Risorse

1. Sentenza disponibile in tedesco tramite: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Comitato europeo per la protezione dei dati. Disponibile all'indirizzo: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [visitato il 05.02.2021].

Il contenuto di questo articolo intende fornire una guida generale all'argomento. È necessario richiedere una consulenza specialistica in merito alla propria situazione specifica.