Języki

Austria: Sąd Wyższy w Wiedniu potwierdza roszczenie odszkodowawcze przeciwko Facebookowi

Publikacje: marca 09, 2021

Powrót do przeglądu

Autorzy

Powiązane przewodniki ekspertów

W dniu 07.12.2020 r. (doręczonym w dniu 28.12.2020 r.) Wyższy Sąd Krajowy (Oberlandesgericht Wien, OLG) wydał orzeczenie w postępowaniu odwoławczym Schrems przeciwko Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b)[1]. (GZ 11 R 153/20f, 154/20b).[1] Potwierdzając decyzję Sądu Okręgowego dla Spraw Cywilnych (Landesgericht für Zivilrechtssachen), orzekł, że platforma mediów społecznościowych miała obowiązek zapewnić powodowi pełny dostęp do przechowywanych na jego temat danych, zobowiązując tym samym korporację do zapłaty odszkodowania w wysokości 500 EUR (art. 82 RODO).

Niemniej jednak stwierdzono również, że akt przetwarzania danych nie wymaga od platformy uzyskania jednoznacznej, odrębnej zgody od swoich użytkowników zgodnie z unijnym prawem o ochronie danych (art. 6 ust. 1 lit. a) RODO), ale że takie prawo do wykorzystywania danych jest z natury przyznane Facebookowi na mocy jego warunków umownych.

Decyzja koncentruje się na szeregu skarg prawnych i prowadzi do trzech odrębnych kwestii, które zostały wyróżnione poniżej.

Podział ról stron zgodnie z prawem ochrony danych

Powód

  • Według powoda użytkownik platformy jest uważany za stronę odpowiedzialną lub "administratora" (art. 4 ust. 7 RODO) w odniesieniu do aplikacji danych obsługiwanych przez niego do celów osobistych;
  • Pozwany na mocy umowy działa jako "podmiot przetwarzający", uniemożliwiając mu wykonywanie jakichkolwiek aplikacji danych bez instrukcji Powoda lub wbrew nim;
  • Umowa spełniająca wymogi art. 28(3) RODO nie została zawarta, chociaż Powód jest uprawniony do takiej umowy.

Pozwany

Pozwanego należy uznać za jedyną odpowiedzialną stronę w stosunku do Powoda, który nie ma interesu w deklaratywnym zadośćuczynieniu.

OLG (str. 21-23)

  • Samo korzystanie z platformy sieci społecznościowej nie czyni użytkownika współodpowiedzialnym za przetwarzanie danych osobowych przez tę sieć;
  • Należy dokonać rozróżnienia w odniesieniu do stron fanowskich, w przypadku których operator takiej strony przyczynia się do przetwarzania danych osobowych odwiedzających, co czyni go administratorem (ETS C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, w szczególności par. 35, 36 i 41).
  • Użytkownik Facebooka jest zatem jedynie współodpowiedzialną stroną w odniesieniu do danych osobowych osób trzecich (art. 4 ust. 7 RODO) i jedynie podmiotem danych w odniesieniu do własnych danych osobowych.

Skuteczna zgoda na przetwarzanie danych osobowych

Powód

  • Wyrażenie zgody na warunki korzystania z platformy mediów społecznościowych i powiązane wytyczne dotyczące wykorzystania danych nie stanowi skutecznej zgody w rozumieniu art. 6 ust. 1 i art. 7 RODO;
  • W przeciwieństwie do przepisów RODO, które weszły w życie 25.05.2018 r., umowy cywilnoprawne regulowane przez poprzednie przepisy o ochronie danych osobowych nie przewidywały wyraźnych wymogów dotyczących "zgody";
  • Włączając uprzednią zgodę do warunków korporacyjnych przed wejściem w życie RODO, użytkownicy zostali nieumyślnie zmuszeni do zawarcia nowej umowy, co pozwoliło platformie na obejście bardziej rygorystycznych standardów ochrony danych wynikających z obecnych przepisów RODO;
  • W związku z tym Powód nie wyraził skutecznej zgody w rozumieniu RODO na przetwarzanie danych przez Pozwanego.

Pozwany

Przetwarzanie danych przez platformę było zgodne z przepisami art. 6 ust. 1 lit. b) RODO, ponieważ stanowiło niezbędną część wykonania umowy.

OLG (s. 23-24)

  • RODO dopuszcza różne podstawy przetwarzania danych osobowych, między innymi, jeżeli jest to niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą (art. 6 ust. 1 lit. b) RODO);
  • Konieczność jest niniejszym określana indywidualnie dla każdego przypadku, z należytym uwzględnieniem celu umowy i obowiązków wynikających z treści umowy;
  • Istota modelu biznesowego Facebooka i jego cel umowny koncentrują się na:
    • Dla użytkownika: uzyskanie dostępu do spersonalizowanej platformy komunikacyjnej;
    • Dla platformy: udostępnienie dostępu bez dodatkowych kosztów;
  • W związku z tym firma obsługująca platformę może korzystać z innych źródeł finansowania, np. reklam dostosowanych do konkretnego użytkownika;
  • Przetwarzanie danych osobowych użytkowników stanowi podstawowy filar umowy między platformą a użytkownikiem, ponieważ jest podstawą umożliwiającą dostosowanie reklam do zainteresowań poszczególnych użytkowników;
  • Konieczność przetwarzania danych wynika z faktu, że wykorzystanie takich informacji z jednej strony kształtuje zindywidualizowane doświadczenia użytkowników, a z drugiej strony stanowi kanał finansowy, za pośrednictwem którego platforma uzyskuje zyski.

Wniosek o udzielenie informacji

Powód

  • Złożono wniosek o udzielenie informacji, ale nie udzielono na niego odpowiedzi zgodnie z art. 15 RODO;
  • Udostępnianie informacji dotyczących wykorzystywania i przetwarzania danych (osobowych) tylko częściowo nie spełnia obowiązków prawnych pozwanego;
  • Niepewność dotycząca przetwarzania danych wywołała cierpienie emocjonalne, które uprawnia powoda do zadośćuczynienia za krzywdę w wysokości 500 EUR.

Pozwany

  • Pozwany nie uchybił swojemu obowiązkowi;
  • Powód nie przedstawił rozstrzygającego zarzutu dotyczącego roszczenia o odszkodowanie.

OLG (24-29)

  • Facebook nie zapewnił swoim użytkownikom dostępu do danych w swoich narzędziach dostępu, co daje powodowi prawo do wniesienia powództwa na podstawie art. 15 ust. 1 RODO;
  • Powód ma prawo do informacji dotyczących:
    • Danych osobowych przetwarzanych przez Facebook i ich celów (art. 15(1)(a) RODO);
    • komu ujawniane są odpowiednie dane osobowe, tj. (kategorie) odbiorców (art. 15 ust. 1 lit. b) RODO);
    • Pochodzenie danych, jeśli nie zostały zebrane od powoda (art. 15 ust. 1 lit. g) RODO);
  • Kwota 500 EUR odzwierciedla niewielki zakres dyskomfortu poniesionego przez powoda i okazuje się uzasadniona.

Komentarz

Zgodnie z twierdzeniami powoda, Europejska Agencja Ochrony Danych wyraźnie zakazała przetwarzania szczególnych kategorii danych osobowych, chyba że udzielono wyraźnej zgody lub takie przetwarzanie jest niezbędne ze względu na istotny interes publiczny (art. 9 ust. 2 lit. g) RODO). Chociaż klauzule umowne dotyczące wykorzystania danych mogą być nadal wykorzystywane do przekazywania danych, nie będą one wystarczające do zastąpienia konieczności wyrażenia takiej zgody[2].

Chociaż OLG przyznał prawo do odwołania się do austriackiego Sądu Najwyższego, oczekuje się, że podniesione kwestie prawne zostaną ponownie wniesione do Trybunału Sprawiedliwości Unii Europejskiej w odpowiednim czasie.

Źródła

  1. Wyrok dostępny w języku niemieckim pod adresem: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
  2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Europejska Rada Ochrony Danych. Dostępne pod adresem: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [dostęp 05.02.2021].

Treść niniejszego artykułu ma na celu zapewnienie ogólnego przewodnika po temacie. W konkretnych okolicznościach należy zasięgnąć porady specjalisty.

Powrót do przeglądu