W niedawnym wyroku, wydanym w dniu 15 kwietnia 2021 r., austriacki Sąd Najwyższy (Oberste Gerichtshof, OGH) orzekł, że przetwarzanie danych dotyczących sympatii podmiotu do partii politycznej stanowi szczególną kategorię danych osobowych. Ma to zastosowanie nawet wtedy, gdy dane te opierają się na anonimowych sondażach i statystykach.

Ponadto, we wniosku o wydanie orzeczenia w trybie prejudycjalnym na podstawie art. 267 TFUE, OGH przedłożył podstawowe pytania dotyczące wykładni art. 82 GDPR Europejskiemu Trybunałowi Sprawiedliwości (TSUE). 82 GDPR do Europejskiego Trybunału Sprawiedliwości (TSUE). W szczególności zwrócił się o wyjaśnienie wymogów dotyczących przyznawania odszkodowania w związku z naruszeniem GDPR oraz oceny tego odszkodowania na podstawie art. 82 GDPR. 82 GDPR.

Fakty

Fakty leżące u podstaw tej sprawy mają swoje źródło w odrębnym sporze prawnym (6Ob35/21x).

• Strona pozwana sprzedawała dane osobowe dla celów marketingowych osób trzecich jako wydawca adresów ("Adresshändler") na podstawie § 151 austriackiej ustawy o regulacji handlu (Gewerbeordnung 1994, GewO);
• Informacje zebrane przez pozwaną obejmowały dane dotyczące pokrewieństwa partyjnego obywateli austriackich;
  Po złożeniu wniosku o dostęp (art. 15 GDPR), powód dowiedział się, że strona pozwana założyła, iż sympatie polityczne powoda są związane z Austriacką Partią Wolności (FPÖ);
• Informacje dotyczące powinowactwa badanego uzyskano dzięki zastosowaniu algorytmu definiującego "adresy grup docelowych" według cech społeczno-demograficznych;
• Bez wyrażenia zgody na przetwarzanie i przechowywanie danych, Powódka zażądała:
• Nakaz uniemożliwienia pozwanej przetwarzania danych dotyczących jej domniemanych poglądów politycznych;
• zadośćuczynienie w wysokości 1 000 EUR za krzywdę wyrządzoną w związku z przypisanym mu pokrewieństwem partyjnym, które uznał za obraźliwe, haniebne i szkodliwe dla kredytu.

Sąd Okręgowy dla Spraw Cywilnych w Wiedniu (Landesgericht für Zivilsachen) uwzględnił wniosek o wydanie nakazu, jednak odmówił przyznania odszkodowania, ponieważ nie osiągnięto wymaganego progu możliwej do zrekompensowania krzywdy. Decyzja ta została potwierdzona przez Wyższy Sąd Okręgowy (Oberlandesgericht). Obie strony odwołały się od tej decyzji.

Kwestie prawne

Wyrok OGH koncentrował się na 1) czy dane dotyczące sympatii partii do partii politycznych kwalifikują się jako dane osobowe (art. 4 ust. 1 GDPR); 2) czy dane te stanowią szczególną kategorię danych osobowych (art. 9 GDPR); 3) czy pozwana musi powstrzymać się od dalszego przetwarzania danych powoda w przyszłości; 4) czy przetwarzanie danych uprawnia powoda do odszkodowania (art. 82 GDPR).

Orzeczenie częściowe wydane przez OGH

• Dane osobowe (Art. 4(1) GDPR)
• Dane osobowe odnoszą się do wszelkich informacji dotyczących zidentyfikowanych lub możliwych do zidentyfikowania osób fizycznych ("osób, których dane dotyczą");
• Możliwa do zidentyfikowania osoba fizyczna to taka, którą można zidentyfikować, bezpośrednio lub pośrednio, przez szczególne odniesienie do identyfikatora;
• Uznano, że dane osobowe obejmują dane uzyskane przy użyciu subiektywnych lub obiektywnych ocen (tj. dane nieosobowe, np. sondaże/statystyki), ponieważ umożliwiają one bezpośrednie przypisanie "sympatii do partii politycznej" do zidentyfikowanej/dającej się zidentyfikować osoby fizycznej;
• Ważność domniemanego pokrewieństwa jest niniejszym nieistotna;
• Nie ma również znaczenia fakt, że informacje te były jedynie wyrazem zakładanego zainteresowania danej osoby konkretną partią polityczną.¹

Szczególna kategoria danych osobowych (art. 9 GDPR)

• Termin "opinia polityczna" należy interpretować szeroko, aby zagwarantować jednolity i wysoki poziom ochrony;
• Należy zniwelować wszelkie ryzyko poważnej dyskryminacji w wyniku przetwarzania określonych rodzajów danych;
• Dane dotyczące preferencji politycznych osób, których dotyczą, powodują potencjalną dyskryminację i dlatego należy je uznać za wchodzące w zakres poglądów politycznych zgodnie z art. 9 GDPR. 9 GDPR.²

Środki zaradcze (art. 79 GDPR)

• Prawo do skutecznego sądowego środka ochrony prawnej jest gwarantowane na mocy art. 79 GDPR, jeżeli prawa osoby, której dane dotyczą, zostały naruszone w wyniku przetwarzania jej danych osobowych niezgodnie z przepisami GDPR;
• W przypadku braku wyraźnej zgody osoby, której dane dotyczą, przetwarzanie danych dotyczących sympatii do partii politycznej jest samo w sobie uznane za niezgodne z prawem na mocy art. 9 ust. 2 lit. a);
• Fakt, że odpowiednie dane zostały usunięte/nieopublikowane, tj. że miały miejsce wewnątrz, ale nie pojawiły się na zewnątrz, jest nieistotny, ponieważ nie usuwa niebezpieczeństwa, że dane te zostaną (ponownie) utworzone w przyszłości;
• Nakaz należy utrzymać w mocy, jeżeli istnieje możliwość odtworzenia danych w przyszłości.

Pytania prejudycjalne skierowane do TSUE

Austriacki Sąd Najwyższy wystąpił do TSUE z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym na podstawie art. 267 TFUE w sprawie wykładni i stosowania roszczenia o odszkodowanie uregulowanego w art. 82 GDPR.

W szczególności TSUE został poproszony o wyjaśnienie:

• Czy roszczenie o odszkodowanie, oprócz naruszenia przepisu GDPR, wymaga, aby powód poniósł konkretną szkodę, czy też wspomniane naruszenie jest wystarczające, aby kwalifikować się do przyznania odszkodowania?
• Czy dodatkowe wymogi prawa UE, wykraczające poza zasady skuteczności i równoważności, muszą być uwzględniane przez sądy krajowe przy ocenie odszkodowania?
• Czy próg dla zadośćuczynienia niemajątkowego wymaga, aby naruszenie miało konsekwencje o pewnym stopniu lub wadze, które wykraczają poza gniew lub przykrość spowodowane tym naruszeniem?

Chociaż zazwyczaj dochodzenie odbywa się w drodze roszczeń zbiorowych, każda osoba, która poniosła szkodę materialną lub niematerialną w wyniku naruszenia przepisu GDPR, zachowuje prawo do wniesienia powództwa na mocy art. 82 GDPR. 82 GDPR.

Firmom zaleca się uważne monitorowanie doniesień prasowych dotyczących utraty danych i wczesne identyfikowanie wskaźników naruszeń ochrony danych, aby umożliwić szybką rewizję niedociągnięć w ramach obowiązujących przepisów o ochronie danych. Ponadto korzystne byłoby zapewnienie dostosowania dokumentacji i procesów wewnętrznych do zasad i wymogów wdrożenia GDPR. W tym celu należy dokonać przeglądu wcześniejszych decyzji dotyczących art. 82 GDPR zarówno na szczeblu krajowym, jak i unijnym. 82 GDPR, zarówno na szczeblu krajowym, jak i unijnym, będzie miał zasadnicze znaczenie. Oczywiste jest, że w oparciu o skierowanie przez OGH pytań prejudycjalnych do TSUE stworzono ważną podstawę, która może umożliwić jednolitą interpretację prawa ochrony danych w zakresie odszkodowań.

Przypisy

1. Zob. także 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).

2. Zob. również W258 2217446-1 (BVwG).

Treść tego artykułu ma na celu dostarczenie ogólnego przewodnika na ten temat. Należy zwrócić się o poradę specjalistyczną dotyczącą konkretnych okoliczności.