В недавнем решении, вынесенном 15 апреля 2021 года, Верховный суд Австрии (Oberste Gerichtshof, OGH) постановил, что обработка данных о принадлежности субъекта к политической партии представляет собой особую категорию персональных данных. Это касается даже тех случаев, когда соответствующие данные основаны на анонимизированных опросах и статистике.

Кроме того, ходатайствуя о вынесении предварительного решения в соответствии со ст. 267 TFEU, OGH передал фундаментальные вопросы, относящиеся к толкованию ст. 82 GDPR в Европейский суд (CJEU). В частности, он просил разъяснить требования к присуждению компенсации ущерба на основании нарушений GDPR и оценку указанной компенсации в соответствии со ст. 82 GDPR.

Факты

Факты, лежащие в основе этого дела, берут свое начало в отдельном судебном споре (6Ob35/21x).

• Ответчик продавал персональные данные для маркетинговых целей третьих лиц в качестве издателя адресов ("Adresshändler") в соответствии с § 151 австрийского Закона о регулировании торговли (Gewerbeordnung 1994, GewO);
• Информация, собранная ответчиком, включала сведения о партийной принадлежности австрийских граждан;
  После подачи запроса на доступ (ст. 15 GDPR) истец узнал, что ответчик предположил политическую принадлежность истца к Австрийской партии свободы (FPÖ);
• Информация о близости субъекта была получена с помощью алгоритма для определения "адресов целевой группы" в соответствии с социально-демографическими характеристиками;
• Не получив согласия на обработку и хранение данных, Истец потребовал:
• судебный запрет, запрещающий ответчику обрабатывать данные о его предполагаемых политических взглядах;
• Компенсация в размере 1 000 евро за нематериальный ущерб, причиненный в результате присвоенного ему партийного родства, которое он посчитал оскорбительным, позорным и наносящим ущерб кредиту.

В то время как требование о запрете было поддержано Венским региональным судом по гражданским делам (Landesgericht für Zivilsachen), в возмещении ущерба было отказано по причине несоответствия требуемому порогу возмещаемого нематериального ущерба. Решение было подтверждено Высшим региональным судом (Oberlandesgericht). Решение было обжаловано обеими сторонами.

Юридические вопросы

Решение OGH было сосредоточено на следующих вопросах: 1) являются ли данные о родстве с политическими партиями персональными данными (ст. 4(1) GDPR); 2) представляют ли эти данные особую категорию персональных данных (ст. 9 GDPR); 3) должен ли ответчик воздержаться от дальнейшей обработки данных истца в будущем; 4) дает ли обработка данных право истцу на компенсацию (ст. 82 GDPR).

Частичное постановление ОГХ

• Персональные данные (ст. 4(1) GDPR)
• Персональные данные - это любая информация, относящаяся к идентифицированным или поддающимся идентификации физическим лицам ("субъектам данных");
• Идентифицируемое физическое лицо должно быть таким, которое может быть идентифицировано прямо или косвенно с помощью конкретной ссылки на идентификатор;
• Персональные данные включали данные, полученные с помощью субъективных и/или объективных оценок (т.е. неперсональные данные, например, опросы/статистика), поскольку они позволяли напрямую отнести "симпатию к политической партии" к идентифицированному/идентифицируемому физическому лицу;
• Действительность предполагаемого родства здесь не имеет значения;
• Тот факт, что информация была просто выражением предполагаемого интереса субъекта к определенной политической партии, также несущественен.¹

Специальная категория персональных данных (ст. 9 GDPR)

• Термин "политические убеждения" должен толковаться широко, чтобы гарантировать единый и высокий уровень защиты;
• Любой риск серьезной дискриминации в результате обработки определенных видов данных должен быть сведен на нет;
• Данные о политических предпочтениях субъектов приводят к потенциальной дискриминации и поэтому должны рассматриваться как относящиеся к сфере политических убеждений в соответствии со ст. 9 GDPR.²

Средство правовой защиты (ст. 79 GDPR)

• Право на эффективное средство судебной защиты гарантируется в соответствии со ст. 79 GDPR, если права субъекта данных были нарушены в результате обработки его персональных данных в несоблюдении положений GDPR;
• В отсутствие явного согласия субъекта обработка данных о принадлежности к политической партии сама по себе считается незаконной согласно пункту 9(2)(a);
• Тот факт, что соответствующие данные были удалены/не опубликованы, т.е. имели место внутри страны, но не появились вовне, является несущественным, поскольку не устраняет опасности того, что эти данные могут быть (повторно) созданы в будущем;
• Судебный запрет должен быть поддержан, если существует возможность воссоздания данных в будущем.

Вопросы, переданные в CJEU

Верховный суд Австрии запросил предварительное решение CJEU в соответствии со ст. 267 TFEU относительно толкования и применения требования о возмещении ущерба, регулируемого ст. 82 GDPR.

В частности, CJEU просят разъяснить:

• Требует ли требование о возмещении убытков, помимо нарушения положения GDPR, чтобы истец понес конкретные убытки, или же указанного нарушения достаточно, чтобы претендовать на получение награды;
• Должны ли дополнительные требования законодательства ЕС, помимо принципов эффективности и эквивалентности, учитываться национальными судами при оценке ущерба;
• Требует ли порог для нематериального/нематериального ущерба, чтобы нарушение имело последствия определенной степени или веса, выходящие за рамки гнева или раздражения, вызванных данным нарушением.

Хотя обычно иски подаются в массовом порядке, любое лицо, понесшее материальный или нематериальный ущерб в результате нарушения какого-либо положения GDPR, сохраняет право подать судебный иск в соответствии со ст. 82 GDPR.

Компаниям рекомендуется внимательно следить за сообщениями в прессе о потере данных и выявлять признаки нарушения защиты данных на ранней стадии, чтобы иметь возможность оперативно устранить недостатки в рамках существующих правил защиты данных. Кроме того, было бы полезно обеспечить приведение документации и внутренних процессов в соответствие с принципами и требованиями GDPR. С этой целью необходимо провести обзор прошлых решений, касающихся ст. 82 GDPR как на национальном уровне, так и на уровне ЕС, будет полезным. Очевидно, что на основе передачи предварительных вопросов OGH в CJEU был заложен важный фундамент, который может позволить единообразное толкование закона о защите данных о возмещении ущерба.

Сноски

1. См. также 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).

2. См. также W258 2217446-1 (BVwG).

Содержание данной статьи призвано дать общее представление о предмете. Следует обратиться за советом к специалисту относительно ваших конкретных обстоятельств.