Áustria: Evolução da jurisprudência austríaca: Violações da privacidade de dados e o RGPD

Numa decisão recente proferida em 26.11.2020,^[1] o Tribunal Administrativo Federal austríaco (Bundesverwaltungsgericht, BVwG) anulou uma coima de 18 milhões de euros que tinha sido imposta ao Serviço Postal Austríaco (APS) pela autoridade austríaca de proteção de dados (DPA). O processo centra-se nos mesmos factos considerados pelo BVwG numa decisão separada^[2], na qual o Tribunal confirmou a sanção administrativa imposta pela APD à APS, acusada de tratar e vender ilegalmente a terceiros, para fins de marketing, dados pessoais dos clientes, tais como endereços privados e presumíveis convicções políticas.

Na decisão em causa, o BVwG reconheceu o carácter ilícito do comportamento da APS, mas anulou a sanção da APD, com base na sua omissão em estabelecer que tanto as pessoas colectivas como as pessoas singulares, agindo em nome da APS, tinham sido responsáveis pela culpa em questão.

Factos

As origens factuais do caso remontam a uma reportagem da plataforma de jornalismo Addendum, em janeiro de 2019,^[3] na qual se afirmava que, para além de informações sobre endereços privados, sexo e idade, educação, bem como preferências em matéria de investimentos ou donativos, a APS tinha também recolhido dados sobre as tendências políticas percecionadas de cerca de 3 milhões de clientes^[4].

Na sequência de uma investigação ex-officio, a APD

• Concluiu que a conduta de inquirir sobre factores sociodemográficos e processar informações relativas às preferências políticas de um indivíduo sem qualquer base jurídica, se qualifica como uma categoria especial de dados pessoais nos termos do artigo 9.º, n.º 1, do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) (RGPD), necessitando assim de aprovação prévia explícita pela parte interessada (artigo 9.º, n.º 2, alínea a), do RGPD; § 151, n.º 4, do Gewerbeordnung, GewO);
• Ordenou a cessação do tratamento dos dados e a eliminação das informações já recolhidas num prazo de duas semanas;
• Considerou que a APS não realizou uma avaliação adequada do impacto da proteção de dados (antes de 25.05.2018), uma vez que não considerou erradamente a filiação política como uma categoria especial de dados pessoais.

A APS respondeu por meio de recurso, argumentando que as informações sobre a afinidade política de um particular não se qualificam como dados pessoais, uma vez que tais informações são recolhidas através de sondagens anónimas que fornecem projeções gerais. Uma vez que estes cálculos de probabilidades não podem ser rectificados (artigo 16.º do RGPD), são considerados informações de marketing e classificação nos termos do §151 (6) da GewO. No entanto, foi acrescentado que, mesmo que fossem considerados dados pessoais, não se qualificavam como uma categoria especial destes últimos.

Recentemente, em novembro, o BVwG confirmou a decisão da DPA e considerou que o tratamento de dados sobre a afinidade com um partido político era considerado um dado pessoal nos termos do artigo 4. Dado que as informações obtidas podem ser atribuídas a uma pessoa singular especificamente identificável, cujas convicções políticas devem ser protegidas contra a discriminação nos termos do artigo 9.º do RGPD, devem ser tratadas como uma categoria especial de dados pessoais, exigindo assim um consentimento prévio. Esta parte da decisão está atualmente pendente no Supremo Tribunal Administrativo austríaco (Verwaltungsgerichtshof, VwGH).

No entanto, a questão analisada no presente artigo diz respeito a um aspeto jurídico diferente do mesmo caso.

Com base nos factos acima descritos, o caso centra-se na alegada violação, por parte da APS, dos artigos 5.º, n.º 1, 6.º, n.º 2, 6.º, n.º 4, 9. Na sequência de um recurso apresentado pela APS com base no argumento de que a coima tinha sido aplicada sem que tivesse sido estabelecida a culpa das pessoas singulares que agiam em seu nome (artigo 4.º, n.º 7, do RGPD).

O que se segue centrar-se-á na recente decisão do BVwG de anular a coima da APS à luz das conclusões anteriores do VwGH. O Tribunal considerou que o alegado comportamento factual, ilegal e culposo deve também ser imputável a uma pessoa singular (artigo 44.º-A da VStG) para que uma pessoa colectiva possa ser considerada responsável^[5].

A questão

Uma vez que o RGPD pretende e, de facto, prevê a responsabilidade direta das pessoas colectivas sem que seja necessário provar a infração individual de uma pessoa singular, o BVwG teve de considerar o seguinte:

1. Se a APD tinha o direito de impor uma coima nos termos do artigo 83.º do RGPD a uma pessoa colectiva na ausência de demonstração de conduta culposa por parte de uma pessoa singular agindo em nome de uma entidade jurídica;

2. Se as regras do direito penal administrativo nacional são aplicáveis ou se a questão em apreço deve ser examinada à luz das regras do RGPD.

Decisão

O Tribunal considerou que a coima da APD, imposta com base nas disposições do artigo 83.º do RGPD, é abrangida pelas disposições da lei austríaca relativa às sanções administrativas (Verwaltungsstrafgesetz, VStG), bem como da lei austríaca relativa à proteção de dados (Datenschutzgesetz, DSG). As regras processuais nacionais são aplicáveis no contexto das coimas aplicadas devido a uma violação ao abrigo do RGPD, uma vez que o n.º 8 do artigo 83: "O exercício pela autoridade de controlo dos seus poderes [...] está sujeito a garantias processuais adequadas, em conformidade com o direito da União e dos Estados-Membros, incluindo um recurso judicial efetivo e um processo equitativo."^[6]

Estabeleceu ainda que a DPA não agiu em conformidade com os §§ 44a, 45 VStG e § 30 DSG ao não provar a culpabilidade das pessoas singulares que agiram em nome da APS, tais como os indivíduos que representam, exercem controlo ou tomam decisões em nome desta última.

Observações

Embora a sanção imposta à APS possa ter sido anulada pelo BVwG, a sua decisão baseia-se num erro de formalidade por parte da DPA. Como tal, deve ser tratada separadamente e não está em contradição com a decisão anterior do BVwG, na qual se concluiu que o tratamento de dados relativos à afinidade pessoal com um partido político dá origem a responsabilidade.

Recursos

1. Número de registo: Número de registo W258 2217446-1/14E. Disponível em: https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=c4b7610d-5502-49f6-af50-791b9361c9f1&Position=1&SkipToDocumentPage=True&Abfrage=Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2227269_1_00
2. Número de registo: Número de registo W258 2217446-1/35E. Disponível em: https: //www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=e9b780cb-e5e0-4be8-81e7-7a49b08cc25b&Position=1&SkipToDocumentPage=True&Abfrage=Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2217446_1_00.
3. "Wenn Die Post Partei Ergreift." Adenda, 28 de julho de 2020, www.addendum.org/datenhandel/parteiaffinitaet/ [acedido em 10.12.2020].
4. Para mais informações, consultar os comunicados de imprensa do serviço postal austríaco intitulados "Milestones and outlook for 2019 and 2020" (29.10.2019), bem como do Comité Europeu para a Proteção de Dados intitulados "Administrative criminal proceedings of the Austrian data protection authority against Österreichische Post AG" (23.10.2019), disponíveis em: https: //edpb.europa.eu/news/national-news/2019/administrative-criminal-proceedings-austrian-data-protection-authority_fr.
5. Número de registo R2019/04/0229. Available via: https://www.ris.bka.gv.at/Dokumente/Vwgh/JWT_2019040229_20200512J00/JWT_2019040229_20200512J00.html.
6. "Art. 83.º do RGPD - Condições gerais para a aplicação de coimas administrativas." Regulamento Geral sobre a Proteção de Dados (RGPD), 29 de março de 2018, gdpr-info.eu/art-83-gdpr/ [acedido em 14.12.2020].

O conteúdo deste artigo destina-se a fornecer um guia geral sobre o assunto. Deve ser procurado aconselhamento especializado sobre as suas circunstâncias específicas.