La data de 07.12.2020 (notificată sau comunicată la 28.12.2020), Tribunalul Regional Superior (Oberlandesgericht Wien, OLG) a pronunțat hotărârea în procedura de recurs Schrems împotriva Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b).¹ Confirmând decizia Tribunalului regional pentru cauze civile (Landesgericht für Zivilrechtssachen), acesta a considerat că platforma de socializare avea obligația de a oferi reclamantului acces deplin la datele deținute despre el, obligând astfel societatea să plătească o despăgubire de 500 EUR (articolul 82 din RGPD).

Cu toate acestea, a concluzionat, de asemenea, că actul de prelucrare a datelor nu necesită ca platforma să obțină un consimțământ neechivoc și separat din partea utilizatorilor săi, în conformitate cu legislația UE privind protecția datelor [articolul 6 alineatul (1) litera (a) din RGPD], ci că un astfel de drept de utilizare a datelor este acordat în mod inerent Facebook în virtutea termenilor și condițiilor sale contractuale.

Decizia se concentrează pe o serie de plângeri juridice și dă naștere la trei aspecte distincte, care sunt prezentate mai jos.

Atribuirea rolurilor părților în temeiul legislației privind protecția datelor

Reclamantul

• Potrivit reclamantului, utilizatorul platformei este considerat a fi partea responsabilă sau "operatorul" [articolul 4 alineatul (7) din RGPD] în ceea ce privește aplicațiile de date pe care le operează în scopuri personale;
• Pârâtul, prin contract, acționează în calitate de "operator", ceea ce îl împiedică să efectueze orice aplicații de date fără sau contrar instrucțiunilor reclamantului;
• Nu a fost încheiat un contract care să îndeplinească cerințele articolului 28 alineatul (3) din RGPD, deși reclamantul are dreptul la un astfel de acord.

Pârâtul

• Pârâta trebuie considerată ca fiind singura parte responsabilă în raport cu reclamantul, care nu are interes în obținerea unei măsuri declarative.

OLG (pp. 21-23)

• Simpla utilizare a unei platforme de rețea socială nu face ca utilizatorul să fie în sine responsabil în comun pentru prelucrarea datelor cu caracter personal efectuată de rețeaua respectivă;
• 35, 36 și 41).
• Astfel, un utilizator Facebook este doar o parte co-responsabilă în ceea ce privește datele cu caracter personal ale unor terți [articolul 4 alineatul (7) din RGPD] și doar o persoană vizată în ceea ce privește propriile date cu caracter personal.

Consimțământul efectiv la prelucrarea datelor cu caracter personal

Reclamantul

• Consimțământul privind condițiile de utilizare a platformei de socializare și orientările asociate privind utilizarea datelor nu generează un consimțământ efectiv în sensul articolului 6 alineatul (1) și al articolului 7 din RGPD;
• Spre deosebire de dispozițiile GDPR, care au intrat în vigoare începând cu 25.05.2018, contractele de drept civil, așa cum erau reglementate de vechea lege privind protecția datelor, nu prevedeau cerințe explicite de "consimțământ";
• Prin integrarea consimțământului prealabil în termenii și condițiile corporației înainte de intrarea în vigoare a GDPR, utilizatorii au fost forțați, fără să vrea, să încheie un nou contract, ceea ce a permis platformei să ocolească standardele mai stricte de protecție a datelor în conformitate cu dispozițiile actuale ale GDPR;
• Ca atare, reclamantul nu și-a dat consimțământul efectiv în sensul RGPD în ceea ce privește prelucrarea datelor efectuată de pârât.

Pârâtul

• Prelucrarea datelor, astfel cum a fost efectuată de platformă, a fost în conformitate cu dispozițiile articolului 6 alineatul (1) litera (b) din RGPD, deoarece constituie o parte necesară a executării contractului.

OLG (pp. 23-24)

• GDPR permite diferite temeiuri pentru prelucrarea datelor cu caracter personal, inter alia, dacă este necesar pentru executarea unui contract la care persoana vizată este parte [articolul 6 alineatul (1) litera (b) din GDPR];
• Necesitatea se stabilește de la caz la caz, ținând seama de scopul contractual și de obligațiile care decurg din conținutul contractului;
• Esența modelului de afaceri Facebook și scopul său contractual se concentrează pe:
  • Pentru utilizator: obținerea accesului la platforma de comunicare personalizată;
  • Pentru platformă: pentru a face accesul disponibil fără costuri suplimentare;
• Ca atare, compania care operează platforma poate recurge la alte surse de finanțare, de exemplu, la publicitate personalizată în funcție de utilizator;
• Prelucrarea datelor cu caracter personal ale utilizatorilor demonstrează că este un pilon fundamental de susținere a acordului dintre platformă și utilizator, deoarece este baza care permite adaptarea publicității la interesele fiecărui utilizator în parte;
• Componenta de necesitate în ceea ce privește prelucrarea datelor este stabilită prin faptul că utilizarea unor astfel de informații modelează experiența individualizată a utilizatorilor, pe de o parte, și constituie, în același timp, un canal financiar prin care platforma își obține profitul.

Cerere de furnizare de informații

Reclamantul

• A fost transmisă o cerere de informații, dar nu s-a primit niciun răspuns în conformitate cu articolul 15 din RGPD;
• Informarea doar parțial cu privire la utilizarea și prelucrarea datelor (cu caracter personal) nu este conformă cu obligațiile legale ale pârâtului;
• Incertitudinea cu privire la prelucrarea datelor a provocat suferință emoțională care dă dreptul reclamantului la daune morale de 500 EUR.

Pârâtul

• Pârâta nu și-a încălcat obligația de a-și îndeplini obligațiile;
• Reclamantul nu a făcut nicio afirmație concludentă cu privire la cererea de despăgubiri.

OLG (24-29)

• Facebook nu a reușit să le acorde utilizatorilor săi accesul la datele din instrumentele de acces, ceea ce îi conferă reclamantului un drept de acțiune întemeiat pe articolul 15 alineatul (1) din RGPD;
• Reclamantul are dreptul la informații referitoare la:
  • Datele cu caracter personal care sunt prelucrate de Facebook și scopurile acestora [articolul 15 alineatul (1) litera (a) din RGPD];
  • Cui sunt divulgate datele cu caracter personal respective, adică (categoriile) de destinatari [articolul 15 alineatul (1) litera (b) din RGPD];
  • Originea datelor, în cazul în care acestea nu sunt colectate de la reclamant [articolul 15 alineatul (1) litera (g) din RGPD];
• Suma de 500 EUR reflectă gradul minor de disconfort suferit de reclamant și se dovedește a fi justificată.

Comentariu

În concordanță cu observațiile reclamantului, Agenția Europeană pentru Protecția Datelor a interzis anterior în mod expres prelucrarea categoriilor speciale de date cu caracter personal, cu excepția cazului în care se dă consimțământul expres sau dacă o astfel de prelucrare este necesară din motive de interes public considerabil [articolul 9 alineatul (2) litera (g) din RGPD]. Deși clauzele contractuale privind utilizarea datelor ar putea fi utilizate în continuare pentru transferul de date, acestea nu ar fi suficiente pentru a înlocui necesitatea acordării unui astfel de consimțământ.²

În timp ce OLG a acordat dreptul de a face apel la Curtea Supremă austriacă, se așteaptă ca problemele juridice ridicate să fie aduse din nou în fața Curții de Justiție a Uniunii Europene în timp util.

Note de subsol

1 Hotărâre disponibilă în limba germană prin: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.

2 Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Comitetul european pentru protecția datelor. Disponibil la: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [accesat la 05.02.2021].

Conținutul acestui articol este menit să ofere un ghid general al subiectului. Trebuie să solicitați consultanță de specialitate cu privire la circumstanțele dumneavoastră specifice.