Austrija: Vienos aukštesnysis teismas patvirtino ieškinį dėl žalos atlyginimo prieš "Facebook

2020 12 07 (įteikta 2020 12 28) Aukštesnysis apygardos teismas (Oberlandesgericht Wien, OLG) priėmė sprendimą apeliacinėje byloje Schrems prieš Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b). ^1. Patvirtindamas apygardos teismo civilinėms byloms nagrinėti (Landesgericht für Zivilrechtssachen) sprendimą, jis nusprendė, kad socialinės žiniasklaidos platforma turėjo pareigą suteikti ieškovui visapusišką prieigą prie jo turimų duomenų, todėl įpareigojo korporaciją sumokėti 500 EUR kompensaciją (BDAR 82 straipsnis).

Nepaisant to, jis taip pat padarė išvadą, kad pagal ES duomenų apsaugos teisę (BDAR 6 straipsnio 1 dalies a punktas) duomenų tvarkymo veiksmui atlikti platformai nereikia gauti vienareikšmiško, atskiro naudotojų sutikimo, tačiau tokia teisė naudotis duomenimis iš esmės suteikiama "Facebook" pagal jos sutarties sąlygas.

Sprendime daugiausia dėmesio skiriama keletui teisinių skundų ir keliami trys skirtingi klausimai, kurie išskiriami toliau.

Šalių vaidmenų paskirstymas pagal duomenų apsaugos teisę

Ieškovas

• Ieškovo teigimu, platformos naudotojas laikomas atsakinga šalimi arba "duomenų valdytoju" (BDAR 4 straipsnio 7 dalis), kiek tai susiję su jo asmeniniais tikslais naudojamomis duomenų programomis;
• Atsakovas pagal sutartį veikia kaip "duomenų tvarkytojas", užkertantis kelią jam vykdyti bet kokias duomenų taikomąsias programas be ieškovo nurodymų arba jiems prieštaraujant;
• Sutartis, atitinkanti BDAR 28 straipsnio 3 dalies reikalavimus, nebuvo sudaryta, nors ieškovas turėjo teisę sudaryti tokią sutartį.

Atsakovas

Atsakovas laikytinas vienintele atsakinga šalimi ieškovo atžvilgiu, kuris neturi intereso reikalauti deklaratyvaus reikalavimo patenkinimo.

OLG (21-23 psl.)

• Vien naudojimasis socialinio tinklo platforma savaime nereiškia, kad naudotojas tampa bendrai atsakingas už tame tinkle atliekamą asmens duomenų tvarkymą;
• Reikia daryti skirtumą gerbėjų puslapių atžvilgiu, kai minėto puslapio operatorius prisideda prie lankytojų asmens duomenų tvarkymo, todėl jis tampa duomenų valdytoju (ESTT C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, sp. pr. 35, 36 ir 41 punktai).
• Taigi "Facebook" naudotojas yra tik bendraatsakovas dėl trečiųjų šalių asmens duomenų (BDAR 4 straipsnio 7 dalis) ir tik duomenų subjektas dėl savo paties asmens duomenų.

Veiksmingas sutikimas tvarkyti asmens duomenis

Ieškovas

• Sutikimas su socialinės žiniasklaidos platformos naudojimo sąlygomis ir susijusiomis duomenų naudojimo gairėmis nėra veiksmingas sutikimas pagal BDAR 6 straipsnio 1 dalį ir 7 straipsnį;
• Priešingai nei nuo 2018-05-25 įsigaliojusio BDAR nuostatos, civilinės teisės sutartyse, reglamentuotose pagal ankstesnį duomenų apsaugos įstatymą, nebuvo numatyta aiškių "sutikimo" reikalavimų;
• Įtraukus išankstinį sutikimą į korporacijos sąlygas prieš įsigaliojant BDAR, naudotojai netyčia buvo priversti sudaryti naują sutartį, o tai leido platformai apeiti griežtesnius duomenų apsaugos standartus pagal galiojančias BDAR nuostatas;
• Todėl ieškovas nedavė veiksmingo sutikimo, kaip apibrėžta BDAR, dėl atsakovo vykdomo duomenų tvarkymo.

Atsakovas

Platformos atliekamas duomenų tvarkymas atitiko BDAR 6 straipsnio 1 dalies b punkto nuostatas, nes buvo būtina sutarties vykdymo dalis.

OLG (23-24 psl.)

• Pagal BDAR leidžiami įvairūs asmens duomenų tvarkymo pagrindai, inter alia, jei tai būtina sutarčiai, kurios šalis yra duomenų subjektas, vykdyti (BDAR 6 straipsnio 1 dalies b punktas);
• Būtinumas nustatomas kiekvienu konkrečiu atveju, tinkamai atsižvelgiant į sutarties tikslą ir įsipareigojimus, kylančius iš sutarties turinio;
• "Facebook" verslo modelio esmė ir jo sutartinis tikslas yra šie dalykai:
  • Vartotojui: prieigos prie asmeniniams poreikiams pritaikytos komunikacijos platformos gavimas;
  • platformai: suteikti prieigą be papildomų išlaidų;
• Todėl platformą valdanti bendrovė gali naudotis kitais finansavimo šaltiniais, pavyzdžiui, konkrečiam naudotojui pritaikyta reklama;
• Asmeninių naudotojo duomenų tvarkymas rodo, kad tai yra esminis platformos ir naudotojo susitarimo pagalbinis ramstis, nes tai yra pagrindas, leidžiantis reklamą pritaikyti prie konkretaus naudotojo interesų;
• Duomenų tvarkymo būtinumo komponentas nustatytas dėl to, kad tokios informacijos naudojimas, viena vertus, formuoja individualizuotą naudotojų patirtį, kita vertus, yra finansinis kanalas, per kurį platforma gauna pelną.

Prašymas pateikti informaciją

Ieškovas

• Buvo pateiktas prašymas pateikti informaciją, tačiau į jį nebuvo atsakyta pagal BDAR 15 straipsnį;
• Informacijos apie (asmens) duomenų naudojimą ir tvarkymą pateikimas tik iš dalies neatitinka atsakovės teisinių pareigų;
• Neaiškumas dėl duomenų tvarkymo sukėlė emocinį sukrėtimą, dėl kurio ieškovas turi teisę į 500 EUR neturtinės žalos atlyginimą.

Atsakovas

• Atsakovas nepažeidė savo pareigos;
• Ieškovas nepateikė jokių įtikinamų teiginių dėl reikalavimo atlyginti žalą.

OLG (24-29)

• Facebook nesuteikė savo naudotojams galimybės susipažinti su prieigos įrankių duomenimis, todėl ieškovas turi teisę pareikšti ieškinį, kurio pagrindas yra BDAR 15 straipsnio 1 dalis;
• Ieškovas turi teisę gauti informaciją, susijusią su:
  • Facebook tvarkomus asmens duomenis ir jų tvarkymo tikslus (BDAR 15 straipsnio 1 dalies a punktas);
  • kam atskleidžiami atitinkami asmens duomenys, t. y. duomenų gavėjai (kategorijos) (BDAR 15 straipsnio 1 dalies b punktas);
  • duomenų kilmė, jei jie surinkti ne iš ieškovo (BDAR 15 straipsnio 1 dalies g punktas);
• 500 EUR suma atspindi nedidelį ieškovo patirtų nepatogumų mastą ir yra pagrįsta.

Komentaras

Atsižvelgdama į ieškovo teiginius, Europos duomenų apsaugos agentūra anksčiau aiškiai uždraudė tvarkyti specialių kategorijų asmens duomenis, išskyrus atvejus, kai duodamas aiškus sutikimas arba kai toks tvarkymas yra būtinas dėl didelio viešojo intereso (BDAR 9 straipsnio 2 dalies g punktas). Nors duomenų perdavimui vis dar galėtų būti naudojamos sutartinės sąlygos dėl duomenų naudojimo, jų nepakaktų, kad būtų galima pakeisti būtinybę pateikti tokį sutikimą^[2].

Nors OLG suteikė teisę pateikti apeliacinį skundą Austrijos Aukščiausiajam Teismui, tikimasi, kad iškilę teisiniai klausimai laikui bėgant dar kartą bus pateikti Europos Sąjungos Teisingumo Teismui.

Ištekliai

1. Sprendimą vokiečių kalba galima rasti: https: //noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen". Europäischer Datenschutzausschuss - Europos duomenų apsaugos valdyba. Prieiga per internetą: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [žiūrėta 2021 02 05].

Šio straipsnio turinys yra skirtas bendram susipažinimui su nagrinėjama tema. Dėl konkrečių aplinkybių reikėtų kreiptis į specialistus.