07.12.2020 года (28.12.2020 года) Высший региональный суд (Oberlandesgericht Wien, OLG) вынес свое решение в рамках апелляционного производства Schrems v Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b).¹ Подтвердив решение Регионального суда по гражданским делам (Landesgericht für Zivilrechtssachen), он постановил, что платформа социальных сетей обязана предоставить истцу полный доступ к имеющимся о нем данным, в связи с чем корпорация обязана выплатить компенсацию в размере 500 евро (статья 82 GDPR).

Тем не менее, он также пришел к выводу, что акт обработки данных не требует от платформы получения однозначного, отдельного согласия от своих пользователей в соответствии с законом ЕС о защите данных (статья 6(1)(a) GDPR), но что такое право на использование данных по своей сути предоставлено Facebook в силу его договорных условий.

Решение концентрируется на ряде юридических жалоб и вызывает три отдельных вопроса, которые выделены ниже.

Распределение партийных ролей в соответствии с Законом о защите данных

Истец

• По мнению Истца, пользователь платформы считается ответственной стороной или "контролером" (ст. 4(7) GDPR) в отношении приложений с данными, используемых им самим для своих личных целей;
• Ответчик по договору выступает в качестве "обработчика", не позволяя ему выполнять любые операции с данными без указания истца или вопреки его инструкциям;
• Контракт, отвечающий требованиям Статьи 28(3) GDPR, не был заключен, хотя Истец имеет право на такое соглашение.

Ответчик

• Ответчик должен рассматриваться как единственная ответственная сторона по отношению к истцу, которая не заинтересована в декларативной помощи.

OLG (стр. 21-23)

• Простое использование платформы социальной сети само по себе не возлагает на пользователя совместной ответственности за обработку персональных данных, осуществляемую этой сетью;
• Следует различать фан-страницы, при этом оператор данной страницы вносит свой вклад в обработку персональных данных посетителей, делая его контролером (ECJ C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, esp. para. 35, 36 и 41).
• Таким образом, пользователь Facebook является только со-ответственным лицом в отношении персональных данных третьих лиц (ст. 4(7) GDPR) и только субъектом в отношении его собственных персональных данных.

Эффективное согласие к обработке персональных данных

Истец

• Согласие на условия использования платформы социальных сетей и связанные с ними руководящие принципы использования данных не приводят к эффективному согласию по смыслу статей 6(1) и 7 GDPR;
• Вопреки положениям GDPR, вступившим в силу с 25.05.2018 г., гражданско-правовые договоры в том виде, в котором они регулировались прежним законом о защите данных, не предусматривали явных требований о "согласии";
• Интегрируя предварительное согласие в условия корпорации до вступления в силу GDPR, пользователи были случайно принуждены к новому договору, который позволял платформе обойти более строгие нормы защиты данных при нынешних положениях GDPR;
• Как таковое, никакого действительного согласия в смысле GDPR истцом на обработку данных, предпринятую ответчиком, не было дано.

Ответчик

• Обработка данных, осуществляемая платформой, соответствовала положениям статьи 6(1)(b) GDPR, поскольку составляла необходимую часть исполнения контракта.

ОЛГ (стр. 23-24)

• GDPR допускает различные базы для обработки персональных данных, в том числе, если это необходимо для выполнения контракта, стороной которого является субъект данных (статья 6(1)(b) GDPR);
• Настоящим определяется необходимость в каждом конкретном случае с должным учетом цели договора и обязательств, вытекающих из содержания договора;
• В основе бизнес-модели Facebook и ее контрактного назначения лежит суть:
  • Для пользователя: получение доступа к персонализированной коммуникационной платформе;
  • Для платформы: сделать доступным без дополнительных затрат;
• Таким образом, компания, эксплуатирующая платформу, может прибегнуть к другим источникам финансирования, например, к рекламе, адаптированной под конкретного пользователя;
• Обработка персональных данных пользователей демонстрирует фундаментальную поддерживающую основу соглашения между платформой и пользователем, так как является основой, позволяющей адаптировать рекламу к интересам отдельного пользователя;
• Компонент необходимости в отношении обработки данных установлен в том смысле, что использование такой информации формирует, с одной стороны, индивидуальный опыт пользователей, а с другой стороны, является финансовым каналом, через который платформа получает свою прибыль.

Запрос на предоставление информации

Истец

• Запрос на информацию был представлен, но на него не был дан ответ в соответствии со Статьей 15 GDPR;
• Предоставление информации об использовании и обработке (персональных) данных только частично не соответствует законным обязанностям ответчика;
• Неопределенность в отношении обработки данных вызвала эмоциональный дистресс, который дает Истцу право на возмещение нематериального ущерба в размере 500 евро.

Ответчик

• Ответчик не преминул выполнить свой долг;
• Истец не сделал никаких убедительных заявлений в отношении иска о возмещении ущерба.

OLG (24-29)

• Facebook не предоставил своим пользователям доступ к данным в их инструментах доступа, что дает Истцу право на действие, основанное на Статье 15(1) GDPR;
• Истец имеет право на информацию, относящуюся к делу:
  • Персональные данные, обрабатываемые Facebook, и их цели (статья 15(1)(a) GDPR);
  • кому раскрываются соответствующие персональные данные, т.е. (категориям) получателей (Статья 15(1)(b) GDPR);
  • Происхождение данных, если они не были собраны у Истца (Статья 15(1)(g) GDPR);
• Сумма в размере 500 евро отражает незначительную степень дискомфорта, испытываемого Истцом, и доказывает свою обоснованность.

Комментарий

В соответствии с представлениями Истца, Европейское агентство по защите данных ранее прямо запретило обработку особых категорий персональных данных, за исключением случаев, когда дается прямое согласие или такая обработка необходима по причинам, представляющим значительный общественный интерес (ст. 9(2)(g) GDPR). Несмотря на то, что договорные положения об использовании данных все еще могут использоваться для передачи данных, их недостаточно для замены необходимости в таком согласии.²

Хотя право на подачу апелляции в Верховный суд Австрии было предоставлено СЛГ, ожидается, что поднятые правовые вопросы вновь будут в должное время переданы в Суд Европейского союза.

Сноски

1 Решение доступно на немецком языке: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.

2 Ольбрехт, А. (2020) "Европейские датчики" - 34. Пленартагунг: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen". Europäischer Datenschutzausschuss - Европейский совет по защите данных. Доступно по адресу: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [доступ 05.02.2021].

Содержание данной статьи призвано дать общее представление о предмете. Следует обратиться за советом к специалисту относительно ваших конкретных обстоятельств.