Într-o decizie recentă pronunțată la 26.11.2020,¹ Curtea Administrativă Federală din Austria (Bundesverwaltungsgericht, BVwG) a anulat o amendă de 18 milioane de euro care fusese aplicată Serviciului poștal austriac (APS) de către Autoritatea austriacă pentru protecția datelor (DPA). Cazul se bazează pe aceleași fapte analizate de BVwG într-o decizie separată.² În acest caz, Curtea a confirmat sancțiunea administrativă aplicată de DPA împotriva APS, acuzată că a prelucrat și a vândut în mod ilegal date cu caracter personal ale clienților, cum ar fi adresele private și presupusele apartenențe politice, unor terți în scopuri de marketing.

În cazul în speță, BVwG a recunoscut caracterul ilicit al comportamentului APS, dar a anulat sancțiunea aplicată de DPA, pe motiv că aceasta nu a stabilit că atât persoanele juridice, cât și cele fizice, care acționau în numele APS, au fost responsabile de vinovăția în cauză.

Fapte

Originile factuale ale cazului datează dintr-un raport al platformei jurnalistice Addendum din ianuarie 2019,³ în care se preciza că, pe lângă informațiile privind adresele private, sexul și vârsta, educația, precum și preferințele în materie de investiții sau donații, APS a colectat și date privind orientările politice percepute de aproximativ 3 milioane de clienți.⁴

În urma unei anchete din oficiu, DPA:

• a concluzionat că activitatea de investigare a factorilor sociodemografici și de prelucrare a informațiilor referitoare la preferințele politice ale unei persoane, fără niciun temei juridic, se califică drept o categorie specială de date cu caracter personal în conformitate cu articolul 9 alineatul (1) din Regulamentul general privind protecția datelor [Regulamentul (UE) 2016/679] (RGPD), necesitând astfel aprobarea prealabilă explicită a părții vizate [articolul 9 alineatul (2) litera (a) din RGPD; articolul 151 alineatul (4) Gewerbeordnung, GewO);

• A dispus încetarea prelucrării datelor și ștergerea informațiilor deja colectate într-un termen de două săptămâni;

• A hotărât că APS nu a efectuat o evaluare adecvată a impactului asupra protecției datelor (înainte de 25.05.2018), întrucât, în mod greșit, nu a considerat apartenența politică drept o categorie specială de date cu caracter personal.

APS a răspuns prin intermediul unui recurs, argumentând că informațiile privind afinitățile politice ale unei persoane fizice nu se califică drept date cu caracter personal, având în vedere că astfel de informații sunt colectate prin intermediul unor sondaje anonime care furnizează proiecții generale. Întrucât aceste calcule de probabilitate nu pot fi rectificate (articolul 16 din RGPD), ele sunt considerate informații de marketing și sunt clasificate în conformitate cu articolul 151 alineatul (6) din GewO. Cu toate acestea, s-a adăugat că, chiar dacă sunt considerate date cu caracter personal, acestea nu se califică drept categorie specială cea din urmă.

Recent, în luna noiembrie, BVwG a confirmat decizia APD și a considerat că prelucrarea datelor privind afinitatea pentru un partid politic se califică drept date cu caracter personal în conformitate cu articolul 4 alineatul (1) din RGPD. Având în vedere că informațiile obținute ar putea fi atribuite unei persoane fizice identificabile în mod specific, ale cărei convingeri politice trebuie protejate împotriva discriminării în conformitate cu articolul 9 din GDPR, acestea trebuie tratate ca o categorie specială de date cu caracter personal, necesitând astfel un consimțământ prealabil. Această parte a deciziei este în prezent în curs de examinare la Curtea Supremă Administrativă a Austriei (Verwaltungsgerichtshof, VwGH).

Cu toate acestea, chestiunea analizată în acest articol se referă la un aspect juridic diferit al aceluiași caz.

Pornind de la faptele descrise mai sus, cauza se concentrează pe presupusa încălcare de către APS a articolului 5 alineatul (1), a articolului 6 alineatele (2) și (4), a articolului 9, a articolului 14, a articolului 30, a articolului 35 și a articolului 36 din RGPD. Acesta este urmarea unui recurs introdus de APS, bazat pe argumentul că amenda a fost aplicată fără a se stabili vinovăția persoanelor fizice care acționează în numele său [articolul 4 alineatul (7) din RGPD].

În cele ce urmează, ne vom concentra asupra deciziei recente a BVwG de a anula amenda aplicată de DPA, în lumina concluziilor anterioare ale VwGH. În această hotărâre, Curtea a susținut că, pentru ca o persoană juridică să fie trasă la răspundere, comportamentul pretins faptic, ilegal și culpabil trebuie să fie, de asemenea, imputabil unei persoane fizice (secțiunea 44a VStG).⁵

Problema

Deoarece GDPR intenționează și chiar prevede răspunderea directă a persoanelor juridice, fără a fi nevoie să se dovedească o faptă ilicită individuală a unei persoane private, BVwG a trebuit să ia în considerare următoarele:

1. Dacă APD a avut dreptul de a impune o amendă în temeiul articolului 83 din RGPD unei persoane juridice, în lipsa demonstrării unui comportament culpabil din partea unei persoane fizice care acționează în numele unei persoane juridice;

2. Dacă se aplică normele naționale de drept penal administrativ sau dacă problema în cauză trebuie examinată în lumina normelor GDPR.

Decizie

Curtea a considerat că amenda DPA, impusă în baza dispozițiilor articolului 83 din GDPR, intră sub incidența dispozițiilor Legii austriece privind sancțiunile administrative (Verwaltungsstrafgesetz, VStG), precum și Legea austriacă privind protecția datelor (Datenschutzgesetz, DSG). Normele procedurale naționale sunt aplicabile în contextul amenzilor impuse ca urmare a unei încălcări în temeiul GDPR, deoarece articolul 83 alineatul (8) prevede următoarele: "Exercitarea de către autoritatea de supraveghere a competențelor sale [...] face obiectul unor garanții procedurale adecvate, în conformitate cu dreptul Uniunii și cu dreptul statelor membre, inclusiv o cale de atac judiciară efectivă și un proces echitabil".⁶

De asemenea, aceasta a stabilit că DPA nu a acționat în conformitate cu articolele 44a, 45 VStG, precum și cu articolul 30 DSG, întrucât a omis să dovedească vinovăția persoanelor fizice care au acționat în numele APS, cum ar fi persoanele care reprezintă, exercită controlul sau iau decizii în numele acesteia din urmă.

Comentariu

Deși sancțiunea impusă APS ar fi putut fi anulată de BVwG, decizia sa se bazează pe o eroare de formă din partea DPA. Ca atare, aceasta trebuie tratată separat și nu este în contradicție cu hotărârea anterioară a BVwG, în care s-a concluzionat că fapta de prelucrare a datelor privind afinitatea personală pentru un partid politic atrage răspunderea.

Note de subsol

1 Număr de dosar: Număr de înregistrare W258 2217446-1/14E. Disponibil prin intermediul: https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=c4b7610d-5502-49f6-af50-791b9361c9f1&Position=1&SkipToDocumentPage=
True&Abfrage=Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=
&VonDatum=&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum
=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2227269_1_00.

2 Număr de dosar: Număr de dosar W258 2217446-1/35E. Disponibil prin intermediul: https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=e9b780cb-e5e0-4be8-81e7-7a49b08cc25b&Position=1&SkipToDocumentPage=True&Abfrage=
Bvwg&Entscheidungsart=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=
&BisDatum=&Norm=DSGVO&ImRisSeitVonDatum=&ImRisSeitBisDatum=
&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=&Dokumentnummer=BVWGT_20201126_W258_2217446_1_00.

3 "Wenn Die Post Partei Ergreift". Addendum, 28 iulie 2020, www.addendum.org/datenhandel/parteiaffinitaet/ [accesat la 10.12.2020].

4 Pentru informații suplimentare, vă rugăm să consultați atât comunicatul de presă al serviciului poștal austriac intitulat "Repere și perspective pentru 2019 și 2020" (29.10.2019), cât și cel al Comitetului european pentru protecția datelor intitulat "Procedură penală administrativă a autorității austriece pentru protecția datelor împotriva Österreichische Post AG (23.10.2019), disponibil prin intermediul: https://edpb.europa.eu/news/national-news/2019/administrative-criminal-proceedings-austrian-data-protection-authority_fr.

5 Număr de dosar R2019/04/0229. Available via: https://www.ris.bka.gv.at/Dokumente/Vwgh/JWT_2019040229_20200512J00/JWT_2019040229_20200512J00.html.

6 "Art. 83 GDPR - Condiții generale de aplicare a amenzilor administrative." Regulamentul general privind protecția datelor (GDPR), 29 mar. 2018, gdpr-info.eu/art-83-gdpr/ [accesat la 14.12.2020].

Conținutul acestui articol este menit să ofere un ghid general al subiectului. Trebuie să solicitați consultanță de specialitate cu privire la circumstanțele dumneavoastră specifice.