Австрия: Предварительные вопросы переданы в Европейский суд - Компенсация за несущественный ущерб по ст. 82 GDPR

В своем недавнем решении, вынесенном 15 апреля 2021 года, Верховный суд Австрии (Oberste Gerichtshof, OGH) постановил, что обработка данных о принадлежности субъекта к той или иной политической партии представляет собой особую категорию персональных данных. Это касается даже тех случаев, когда данные основаны на анонимизированных опросах и статистике.

Кроме того, по запросу о вынесении предварительного решения в соответствии со ст. 267 TFEU, OGH передал фундаментальные вопросы, касающиеся толкования ст. 82 GDPR в Европейский суд (CJEU). В частности, она просила разъяснить требования к присуждению компенсации ущерба, основанного на нарушениях GDPR, и к оценке указанной компенсации в соответствии со ст. 82 GDPR.

Факты

Факты, лежащие в основе данного дела, берут свое начало в отдельном судебном споре (6Ob35/21x).

• Ответчик продавал персональные данные для маркетинговых целей третьих лиц в качестве издателя адресов ("Adresshändler") в соответствии с § 151 австрийского Закона о регулировании торговли (Gewerbeordnung 1994, GewO);
• Информация, собранная ответчиком, включала сведения о партийной принадлежности австрийских граждан;
  После запроса о доступе (ст. 15 GDPR) Истец узнал, что Ответчик предположил, что политическая принадлежность Истца находится в Австрийской партии свободы (FPÖ);
• Информация о принадлежности субъекта была получена с помощью алгоритма для определения "адресов целевой группы" в соответствии с социально-демографическими характеристиками;
• Не получив согласия на обработку и хранение данных, Истец потребовал:
• судебный запрет, запрещающий Ответчику обрабатывать данные о его предполагаемых политических взглядах;
• компенсацию в размере 1 000 евро за нематериальный ущерб, причиненный в результате присвоенного ему партийного родства, которое он счел оскорбительным, позорным и наносящим ущерб кредитоспособности.

Несмотря на то, что требование о запрете было удовлетворено Венским региональным судом по гражданским делам (Landesgericht für Zivilsachen), в возмещении ущерба было отказано по причине несоответствия требуемому порогу для компенсации нематериального ущерба. Решение было подтверждено Высшим региональным судом (Oberlandesgericht). Решение было обжаловано обеими сторонами.

Правовые вопросы

В решении OGH рассматривались следующие вопросы: 1) квалифицируются ли данные о принадлежности к политическим партиям как персональные данные (ст. 4(1) GDPR); 2) представляют ли эти данные особую категорию персональных данных (ст. 9 GDPR); 3) должен ли ответчик воздержаться от дальнейшей обработки данных истца в будущем; 4) дает ли обработка данных право истцу на компенсацию (ст. 82 GDPR).

Частичное постановление OGH

• Персональные данные (ст. 4(1) GDPR)
• Под персональными данными понимается любая информация, относящаяся к идентифицированным или поддающимся идентификации физическим лицам ("субъектам данных");
• Идентифицируемое физическое лицо должно быть таким, которое может быть прямо или косвенно идентифицировано с помощью конкретной ссылки на идентификатор;
• Было решено, что персональные данные включают в себя данные, полученные с помощью субъективных и/или объективных оценок (т.е. неперсональные данные, например, опросы/статистика), поскольку они позволяют напрямую отнести "пристрастие к политической партии" к идентифицированному/идентифицируемому физическому лицу;
• Действительность предполагаемого родства здесь не имеет значения;
• Тот факт, что информация была просто выражением предполагаемого интереса субъекта к определенной политической партии, также не имеет значения.

Специальная категория персональных данных (ст. 9 GDPR)

• Термин "политические убеждения" должен толковаться широко, чтобы гарантировать единый и высокий уровень защиты;
• Любой риск серьезной дискриминации в результате обработки особых видов данных должен быть сведен на нет;
• Данные о политических предпочтениях субъектов порождают потенциальную дискриминацию и поэтому должны рассматриваться как подпадающие под понятие "политические убеждения" в соответствии со ст. 9 GDPR.^[2]

Средства правовой защиты (ст. 79 GDPR)

• Право на эффективное средство судебной защиты гарантируется ст. 79 GDPR, если права субъекта данных были нарушены в результате обработки его или ее персональных данных в нарушение положений GDPR;
• В отсутствие явно выраженного согласия субъекта обработка данных о принадлежности к политической партии сама по себе считается незаконной в соответствии с пунктом 9(2)(a);
• Тот факт, что соответствующие данные были удалены/не опубликованы, т.е. имели место внутри страны, но не появились вовне, является несущественным, поскольку не устраняет опасности того, что эти данные могут быть (повторно) созданы в будущем;
• судебный запрет должен быть поддержан, если существует возможность воссоздания данных в будущем.

Вопросы, переданные на рассмотрение в CJEU

Верховный суд Австрии обратился в CJEU с просьбой вынести предварительное решение в соответствии со ст. 267 TFEU по вопросу толкования и применения требования о возмещении ущерба, регулируемого ст. 82 GDPR.

В частности, CJEU просят разъяснить:

• Требует ли требование о возмещении убытков, помимо нарушения положения GDPR, от истца конкретных убытков, или же указанного нарушения достаточно для того, чтобы претендовать на награду;
• Должны ли национальные суды учитывать дополнительные требования законодательства ЕС, помимо принципов эффективности и эквивалентности, при оценке ущерба;
• требует ли порог для нематериального/неимущественного ущерба, чтобы нарушение имело последствия определенной степени или веса, выходящие за рамки гнева или раздражения, вызванных данным нарушением.

Хотя обычно иски подаются в массовом порядке, любое лицо, понесшее материальный или нематериальный ущерб в результате нарушения одного из положений GDPR, сохраняет право на подачу судебного иска в соответствии со ст. 82 GDPR.

Компаниям рекомендуется внимательно следить за сообщениями в прессе о потере данных и выявлять признаки нарушения защиты данных на ранних стадиях, чтобы в кратчайшие сроки устранить недостатки в существующих нормах защиты данных. Кроме того, было бы полезно обеспечить приведение документации и внутренних процессов в соответствие с принципами и требованиями GDPR. С этой целью необходимо провести обзор прошлых решений, касающихся ст. 82 GDPR как на национальном уровне, так и на уровне ЕС. Очевидно, что на основе передачи предварительных вопросов OGH в CJEU была заложена важная основа, которая может позволить единообразно толковать закон о защите данных в отношении возмещения ущерба.

Ресурсы

1. См. также 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).
2. См. также W258 2217446-1 (BVwG).

Содержание данной статьи призвано дать общее представление о предмете. Применительно к вашим конкретным обстоятельствам следует обратиться за консультацией к специалисту.