Wiedeński Sąd Krajowy do Spraw Cywilnych wydał wyrok w procesie o ochronę danych pomiędzy aktywistą Maxem Schremsem a platformą społecznościową Facebook. Orzeczenie to jest następstwem ustnych przesłuchań, które odbyły się w stolicy Austrii na początku tego roku i podczas których europejska dyrektor ds. ochrony prywatności, Ceilia Alvarez, spotkała się z pytaniami, na których skupiała się uwaga:

• Zdolność korporacji do uzyskania zgody od użytkowników;
• jego zgodność z wnioskami o dane składanymi przez osoby aktywne na portalu sieciowym; oraz
• Wyjaśnienie terminologii "usuwanie danych" i jej znaczenia w praktyce.

W wyroku wydanym w dniu 30 czerwca 2020 r. stwierdzono, że chociaż serwis Facebook jest zobowiązany do zapłaty odszkodowania w wysokości 500 EUR za naruszenie obowiązku ujawnienia danych osobowych powoda, uznaje się, że serwis ten działał w sposób umownie lub prawnie współdziałający w zakresie przetwarzania danych powoda.

Orzeczenie

Warto zwrócić uwagę na następujące kwestie prawne:

-Przetwarzanie danych zgodnie z ogólnym rozporządzeniem o ochronie danych (PKBR)

• Trybunał orzekł, że art. 2 GDPR nie ma zastosowania do przetwarzania danych osobowych w świetle działalności prywatnej lub rodzinnej.
• Powódka twierdzi, że zakładając konto prywatne zawarła z Facebookiem umowę ("umowę o przetwarzanie danych").
• Jego osobisty użytek z platformy spowodował, że nie podlegał on przepisom GDPR.
• Przetwarzanie danych odbywało się zatem zgodnie z GDPR i byłoby dopuszczalne tak długo, jak długo Powód nie usunąłby swojego konta. Dopiero wówczas umowa między stronami uległaby rozwiązaniu.

Zasady i warunki

• Sąd stwierdził ponadto, że roszczenie o zaniechanie wymaga, aby dany czyn był nie tylko zakazany, ale także aby istniało istniejące ryzyko jego powtórzenia, tj. aby pozwany naruszył już prawnie ustanowioną normę.
• W przedmiotowej sprawie powód miał możliwość wyrażenia zgody na przetwarzanie jego danych osobowych. Akceptując warunki pozwanego, dobrowolnie zgodził się na jego warunki.
• Model ekonomiczny strony pozwanej opiera się na generowaniu przychodów za pomocą dostosowanych reklam i treści komercyjnych. Aby móc oferować swoje usługi bezpłatnie społeczeństwu, dochody generowane są poprzez przetwarzanie danych użytkowników w celu ich sprzedaży reklamodawcom, którzy mogą je wykorzystywać do ukierunkowanych celów reklamowych.
• Korzystanie z platformy powoduje, że użytkownicy świadomie akceptują treści komercyjne, których spersonalizowany charakter oparty jest na indywidualnych gustach, preferencjach, zainteresowaniach - dane, które tym samym stanowią część regulaminu.
• Ponieważ zindywidualizowana reklama stanowi istotny element oferowanej usługi i wynika ze szczegółowych warunków korzystania stanowiących część umowy, zadaniem pozwanej było określenie celu umowy, na co strona powodowa dobrowolnie wyraziła zgodę.

Dane wrażliwe

• Zdaniem Sądu, naruszenie art. 9 GDPR nie wynikało z ustalonego stanu faktycznego.
• Jeśli chodzi o dane wrażliwe dotyczące zainteresowań politycznych lub orientacji seksualnej, Trybunał uznał, że zainteresowanie partią polityczną lub tą samą płcią niekoniecznie odzwierciedla przynależność pozwanego do określonej opinii politycznej lub sugeruje orientację seksualną. Ponadto, ponieważ ta ostatnia kwestia została publicznie ujawniona przez powoda, nie doszło do naruszenia GDPR.
• W samym tylko przetwarzaniu danych Sąd nie dopatrzył się po stronie pozwanej żadnych nielegalnych działań, za które mogłaby ona ponosić odpowiedzialność.

Uszkodzenia

• 15 GDPR stanowi, że pozwany ma obowiązek przekazywania informacji o wszystkich danych osobowych w odpowiednich odstępach czasu, które pozwany uzna za istotne dla użytkownika.
• Naruszając swój obowiązek, strona powodowa nie miała zapewnionego wystarczającego przeglądu wszystkich przechowywanych danych.
• Utrata kontroli i związana z tym niepewność uprawniają go do żądania odszkodowania i udostępnienia wszystkich żądanych danych.

Komentarz

Wyrok ten oferuje szczegółowe informacje na temat sposobu tworzenia profili użytkowników przez Facebook, a mianowicie poprzez czerpanie z historii odwiedzanych stron oraz informacji uzyskanych z połączeń ze znajomymi lub "podobnymi" użytkownikami. Niemniej jednak, nie jest on w stanie rozpoznać wrażliwości takich danych. O ile obowiązkowa publikacja zapisów powoda czyni apelację Facebooka bardzo prawdopodobną, o tyle pan Schrems wyraził już plany złożenia wniosku o takie działanie w ciągu najbliższych czterech tygodni. Oczekuje się, że wniesienie sprawy do Sądu Najwyższego zapewni większą jasność co do legalności działań Facebooka i ich (nie)zgodności z PKBR. Jak to miało miejsce w poprzednich przypadkach, mogłoby to również umożliwić skierowanie kilku pytań do ETS.

Pierwotnie opublikowana 08 lipca 2020 r.

Treść tego artykułu ma na celu dostarczenie ogólnego przewodnika na ten temat. Należy zwrócić się o poradę specjalistyczną dotyczącą konkretnych okoliczności.