Áustria: Tribunal Superior de Viena confirma pedido de indemnização contra o Facebook

Em 07.12.2020 (citado em 28.12.2020), o Tribunal Regional Superior (Oberlandesgericht Wien, OLG) proferiu a sua decisão no processo de recurso Schrems/Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b)^[1] Confirmando a decisão do Tribunal Regional para Assuntos Civis (Landesgericht für Zivilrechtssachen), considerou que a plataforma de mídia social tinha o dever de fornecer ao Autor acesso total aos dados mantidos sobre ele, exigindo assim que a corporação pagasse uma indenização de EUR 500 (Artigo 82 do GDPR).

No entanto, concluiu também que o ato de processamento de dados não exige que a plataforma obtenha um consentimento inequívoco e separado dos seus utilizadores, nos termos da lei de proteção de dados da UE (artigo 6.º, n.º 1, alínea a), do RGPD), mas que esse direito de utilização de dados é inerentemente concedido ao Facebook em virtude dos seus termos e condições contratuais.

A decisão centra-se numa série de queixas legais e dá origem a três questões distintas que são destacadas de seguida.

Atribuição das funções das partes ao abrigo da lei de proteção de dados

Autor da ação

• De acordo com o Autor, o utilizador da plataforma é considerado a parte responsável ou "controlador" (artigo 4.º, n.º 7, do RGPD) no que diz respeito às aplicações de dados operadas por ele próprio para os seus fins pessoais;
• O Réu, por contrato, actua como "processador", impedindo-o de realizar quaisquer aplicações de dados sem ou contrariamente às instruções do Autor;
• Não foi celebrado um contrato que preencha os requisitos do artigo 28.º, n.º 3, do RGPD, apesar de o Autor ter direito a tal acordo.

Réu

O Réu deve ser considerado como o único responsável em relação ao Autor, que carece de interesse na ação declarativa.

OLG (pp 21-23)

• A mera utilização de uma plataforma de rede social não torna, por si só, um utilizador corresponsável pelo tratamento de dados pessoais efectuado por essa rede;
• Deve ser feita uma diferenciação em relação às páginas de fãs, em que o operador da referida página contribui para o tratamento dos dados pessoais dos visitantes, tornando-o um responsável pelo tratamento (TJCE C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, esp. para. 35, 36 e 41).
• Assim, um utilizador do Facebook é apenas um corresponsável no que respeita aos dados pessoais de terceiros (artigo 4.º, n.º 7, do RGPD) e apenas um titular de dados no que respeita aos seus próprios dados pessoais.

Consentimento efetivo para o processamento de dados pessoais

Autor

• O consentimento dos termos de utilização da plataforma de redes sociais e das diretrizes de utilização de dados associadas não dá origem a um consentimento efetivo na aceção dos artigos 6(1) e 7 do RGPD;
• Contrariamente às disposições do RGPD, que entraram em vigor a partir de 25.05.2018, os contratos de direito civil regidos pela antiga lei de proteção de dados não previam requisitos explícitos de "consentimento";
• Ao integrar o consentimento prévio nos termos e condições da empresa antes da entrada em vigor do RGPD, os utilizadores foram inadvertidamente forçados a celebrar um novo contrato, o que permitiu à plataforma contornar as normas de proteção de dados mais rigorosas ao abrigo das actuais disposições do RGPD;
• Como tal, nenhum consentimento efetivo na aceção do GDPR foi dado pelo Autor quanto ao processamento de dados realizado pelo Réu.

Réu

O tratamento de dados efectuado pela plataforma estava em conformidade com as disposições do artigo 6.º, n.º 1, alínea b), do RGPD, uma vez que constituía uma parte necessária da execução do contrato.

OLG (pp 23-24)

• O RGPD permite diferentes bases para o tratamento de dados pessoais, nomeadamente se for necessário para a execução de um contrato no qual o titular dos dados é parte (artigo 6.º, n.º 1, alínea b), do RGPD);
• A necessidade é determinada caso a caso, tendo em devida conta o objetivo contratual e as obrigações decorrentes do conteúdo do contrato;
• A essência do modelo de negócio do Facebook e o seu objetivo contratual centram-se em:
  • Para o utilizador: obter acesso à plataforma de comunicações personalizadas;
  • Para a plataforma: disponibilizar o acesso sem custos adicionais;
• Como tal, a empresa que opera a plataforma pode recorrer a outras fontes de financiamento, por exemplo, publicidade personalizada ao utilizador específico;
• O tratamento dos dados pessoais dos utilizadores revela-se um pilar fundamental de sustentação do acordo entre a plataforma e o utilizador, pois é a base que permite a adequação da publicidade aos interesses do utilizador individual;
• A componente de necessidade do tratamento de dados é estabelecida na medida em que a utilização dessa informação molda a experiência individualizada dos utilizadores, por um lado, e constitui, por outro, um canal financeiro através do qual a plataforma obtém o seu lucro.

Pedido de fornecimento de informações

Requerente

• Foi apresentado um pedido de informação, que ainda não obteve resposta, nos termos do artigo 15º do RGPD;
• A disponibilização apenas parcial de informação sobre a utilização e tratamento de dados (pessoais) não cumpre os deveres legais da Requerida;
• A incerteza quanto ao tratamento dos dados induziu um sofrimento emocional que dá direito ao Autor a danos morais de 500 euros.

Réu

• O Réu não faltou ao cumprimento do seu dever;
• O Autor não apresentou qualquer alegação conclusiva relativamente ao pedido de indemnização.

OLG (24-29)

• O Facebook não concedeu aos seus utilizadores o acesso aos dados nas suas ferramentas de acesso, o que dá ao Autor um direito de ação com base no artigo 15 (1) do RGPD;
• O Autor tem direito a informações relativas a:
  • Os dados pessoais que estão a ser tratados pelo Facebook e as respetivas finalidades (artigo 15.º, n.º 1, alínea a) do RGPD);
  • A quem são divulgados os respectivos dados pessoais, ou seja, (categorias) de destinatários (Artigo 15(1)(b) do RGPD);
  • A origem dos dados, se não forem recolhidos junto do Autor (artigo 15.º, n.º 1, alínea g) do RGPD);
• O montante de 500 euros reflecte a pequena dimensão do incómodo sofrido pelo queixoso e revela-se justificado.

Comentário

De acordo com as alegações do Autor, a Agência Europeia para a Proteção de Dados já proibiu expressamente o tratamento de categorias especiais de dados pessoais, a menos que seja dado consentimento expresso ou que esse tratamento seja necessário por razões de interesse público considerável (artigo 9.º, n.º 2, alínea g), do RGPD). Embora as cláusulas contratuais sobre a utilização de dados possam continuar a ser utilizadas para a transferência de dados, não serão suficientes para substituir a necessidade de dar o referido consentimento^[2].

Embora o OLG tenha concedido o direito de recurso para o Supremo Tribunal austríaco, espera-se que as questões jurídicas levantadas sejam novamente levadas ao Tribunal de Justiça da União Europeia na devida altura.

Recursos

1. Acórdão disponível em alemão em: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Comité Europeu para a Proteção de Dados. Disponível em: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [acedido em 05.02.2021].

O conteúdo deste artigo tem por objetivo fornecer um guia geral sobre o assunto. Deverá procurar aconselhamento especializado sobre as suas circunstâncias específicas.