Într-o hotărâre recentă, pronunțată la 15 aprilie 2021, Curtea Supremă austriacă (Oberste Gerichtshof, OGH) a considerat că prelucrarea datelor privind afinitatea persoanei vizate pentru un partid politic constituie o categorie specială de date cu caracter personal. Acest lucru se aplică chiar dacă datele în cauză se bazează pe sondaje și statistici anonimizate.

În plus, prin cererea de pronunțare a unei hotărâri preliminare în temeiul art. 267 TFUE, OGH a adresat întrebări fundamentale referitoare la interpretarea art. 82 din RGPD la Curtea Europeană de Justiție (CJUE). Mai precis, acesta a solicitat clarificări cu privire la cerințele privind acordarea de despăgubiri pe baza încălcărilor GDPR și evaluarea despăgubirilor respective în temeiul art. 82 GDPR.

Fapte

Faptele care stau la baza acestui caz își au originea într-un litigiu juridic separat (6Ob35/21x).

• Pârâtul a vândut date cu caracter personal în scopuri de marketing pentru terți în calitate de editor de adrese ("Adresshändler") în temeiul articolului 151 din Legea austriacă privind reglementarea comerțului (Gewerbeordnung 1994, GewO);
• Printre informațiile colectate de pârâtă se numără detalii privind afinitatea de partid a cetățenilor austrieci;
  În urma unei cereri de acces (art. 15 din RGPD), reclamantul a aflat că pârâtul a presupus că afinitatea politică a reclamantului se află în cadrul Partidului Austriac al Libertății (FPÖ);
• Informațiile referitoare la afinitatea subiectului au fost obținute prin utilizarea unui algoritm pentru a defini "adresele grupului țintă" în funcție de caracteristicile socio-demografice;
• Fără a fi fost dat consimțământul cu privire la prelucrarea și stocarea datelor, reclamantul a solicitat:
• O interdicție de a împiedica pârâtul să prelucreze date privind presupusele sale opinii politice;
• Despăgubiri în valoare de 1.000 de euro pentru prejudiciul imaterial cauzat ca urmare a afinității de partid care i-a fost atribuită, pe care a considerat-o jignitoare, rușinoasă și dăunătoare pentru credit.

În timp ce cererea de încetare a fost confirmată de către Tribunalul regional pentru chestiuni civile din Viena (Landesgericht für Zivilsachen), despăgubirile au fost refuzate din cauza faptului că nu a fost atins pragul necesar pentru daune morale compensabile. Decizia a fost confirmată de Tribunalul Regional Superior (Oberlandesgericht). Decizia a fost atacată cu recurs de ambele părți.

Aspecte juridice

Hotărârea OGH s-a axat pe 1) dacă datele privind afinitatea partidului pentru partidele politice se califică drept date cu caracter personal [art. 4(1) RGPD]; 2) dacă aceste date constituie o categorie specială de date cu caracter personal (art. 9 RGPD); 3) dacă pârâtul trebuie să se abțină de la continuarea prelucrării datelor reclamantului în viitor; 4) dacă prelucrarea datelor dă dreptul reclamantului la despăgubiri (art. 82 RGPD).

Hotărâre parțială a OGH

• Date cu caracter personal [articolul 4 alineatul (1) din RGPD)
• Datele cu caracter personal se referă la orice informație referitoare la persoane fizice identificate sau identificabile ("persoanele vizate");
• O persoană fizică identificabilă trebuie să fie o persoană care poate fi identificată, direct sau indirect, prin referire specială la un identificator;
• Datele cu caracter personal au fost considerate ca incluzând date obținute prin evaluări subiective și/sau obiective (adică date fără caracter personal, de exemplu, sondaje/statistici), dat fiind că acestea au permis ca "afinitatea pentru un partid politic" să fie atribuită direct unei persoane fizice identificate/identificabile;
• Valabilitatea presupusei afinități este irelevantă;
• Faptul că informația a fost doar o expresie a interesului presupus al subiecților pentru un anumit partid politic este la fel de irelevant.¹

Categorie specială de date cu caracter personal (art. 9 din RGPD)

• Termenul "opinie politică" trebuie interpretat în sens larg pentru a garanta un nivel uniform și ridicat de protecție;
• Orice risc de discriminare gravă ca urmare a prelucrării anumitor tipuri de date trebuie să fie subminat;
• Datele referitoare la preferințele politice ale subiecților dau naștere la o potențială discriminare și, prin urmare, trebuie considerate ca făcând parte din sfera de aplicare a opiniei politice în conformitate cu art. 9 GDPR.²

Cale de atac (articolul 79 din RGPD)

• Dreptul la o cale de atac efectivă este garantat de art. 79 din RGPD în cazul în care drepturile persoanei vizate au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal în neconformitate cu dispozițiile RGPD;
• În absența unui consimțământ explicit din partea persoanei vizate, prelucrarea datelor privind afinitatea pentru un partid politic este considerată ilegală în temeiul articolului 9 alineatul (2) litera (a) în sine;
• Faptul că datele relevante au fost șterse/nu au fost publicate, adică au avut loc pe plan intern, dar nu au apărut în exterior, nu este relevant, deoarece nu înlătură pericolul ca aceste date să fie (re)create în viitor;
• O ordonanță trebuie menținută în cazul în care există posibilitatea ca datele să fie recreate în viitor.

Întrebări adresate CJUE

Curtea Supremă austriacă a solicitat o hotărâre preliminară din partea CJUE în temeiul art. 267 TFUE cu privire la interpretarea și aplicarea cererii de despăgubire reglementate la art. 82 GDPR.

În special, se solicită CJUE să clarifice:

• Dacă o cerere de despăgubiri, în plus față de încălcarea unei dispoziții din GDPR, necesită ca reclamantul să fi suferit daune specifice sau dacă respectiva încălcare este suficientă pentru a beneficia de despăgubiri;
• Dacă instanțele naționale trebuie să ia în considerare cerințe suplimentare ale dreptului UE, dincolo de principiile eficacității și echivalenței, în evaluarea daunelor;
• Dacă pragul pentru daunele morale/nepatrimoniale necesită ca încălcarea să aibă consecințe de un anumit grad sau greutate care să depășească furia sau supărarea provocată de respectiva încălcare.

Deși, în mod obișnuit, se recurge la acțiuni în masă, orice persoană care a suferit un prejudiciu material sau moral ca urmare a încălcării unei dispoziții din GDPR își păstrează dreptul de a introduce o acțiune în justiție în temeiul art. 82 GDPR.

Companiile sunt bine sfătuite să monitorizeze îndeaproape rapoartele de presă privind pierderea de date și să identifice din timp indicatorii de încălcare a protecției datelor pentru a permite revizuirea rapidă a deficiențelor din cadrul reglementărilor existente în materie de protecție a datelor. În plus, ar fi benefic să se asigure că documentația și procesele interne sunt aduse în conformitate cu principiile GDPR și cu cerințele de implementare. În acest scop, revizuirea deciziilor anterioare referitoare la art. 82 GDPR, atât la nivel național, cât și la nivelul UE, va fi utilă. Este evident că, pe baza trimiterii întrebărilor preliminare de către OGH către CJUE, s-a pus o bază importantă care ar putea permite o interpretare uniformă a legislației privind protecția datelor în ceea ce privește daunele.

Note de subsol

1. A se vedea, de asemenea, 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).

2. A se vedea, de asemenea, W258 2217446-1 (BVwG).

Conținutul acestui articol este menit să ofere un ghid general al subiectului. Trebuie să solicitați consultanță de specialitate cu privire la circumstanțele dumneavoastră specifice.