Языки

Австрия: Высший суд Вены подтвердил иск о возмещении ущерба против Facebook

Публикации: марта 09, 2021

Вернуться к обзору

Авторы

Похожие руководства для экспертов

07.12.2020 (вручено 28.12.2020) Высший региональный суд (Oberlandesgericht Wien, OLG) вынес постановление по апелляционному делу Schrems v Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b).[1] Подтверждая решение Регионального суда по гражданским делам (Landesgericht für Zivilrechtssachen), он постановил, что социальная медиаплатформа была обязана предоставить истцу полный доступ к хранящимся о нем данным, что обязывает корпорацию выплатить компенсацию в размере 500 евро (статья 82 GDPR).

Тем не менее, суд также пришел к выводу, что акт обработки данных не требует от платформы получения однозначного, отдельного согласия от своих пользователей в соответствии с законодательством ЕС о защите данных (Статья 6(1)(a) GDPR), но такое право на использование данных изначально предоставлено Facebook в силу условий договора.

Решение основывается на ряде юридических претензий и порождает три отдельных вопроса, которые рассматриваются ниже.

Распределение ролей сторон в соответствии с законом о защите данных

Истец

  • По мнению истца, пользователь платформы считается ответственной стороной или "контролером" (статья 4(7) GDPR) в отношении приложений, использующих данные в его личных целях;
  • Ответчик по договору выступает в качестве "обработчика", не позволяя ему осуществлять любые приложения данных без указаний Истца или вопреки им;
  • Договор, отвечающий требованиям Статьи 28(3) GDPR, не был заключен, несмотря на то, что Истец имеет право на заключение такого договора.

Ответчик

Ответчик должен рассматриваться как единственная ответственная сторона по отношению к Истцу, который не заинтересован в декларативной защите.

OLG (стр. 21-23)

  • Само по себе пользование платформой социальной сети не делает пользователя солидарно ответственным за обработку персональных данных, осуществляемую этой сетью;
  • Следует провести различие в отношении фан-страниц, где оператор такой страницы участвует в обработке персональных данных посетителей, что делает его контролером (ECJ C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, esp. para. 35, 36 и 41).
  • Таким образом, пользователь Facebook является только со-ответственной стороной в отношении персональных данных третьих лиц (статья 4(7) GDPR) и только субъектом данных в отношении своих собственных персональных данных.

Действительное согласие на обработку персональных данных

Истец

  • Согласие с условиями использования платформы социальных сетей и соответствующим руководством по использованию данных не дает эффективного согласия по смыслу статей 6(1) и 7 GDPR;
  • В отличие от положений GDPR, вступивших в силу с 25.05.2018, гражданско-правовые договоры, регулируемые прежним законодательством о защите данных, не предусматривали явных требований "согласия";
  • Включив предварительное согласие в условия корпорации до вступления в силу GDPR, пользователи были непреднамеренно вынуждены заключить новый договор, что позволило платформе обойти более строгие стандарты защиты данных в соответствии с действующими положениями GDPR;
  • Таким образом, Истец не получил действительного согласия по смыслу GDPR на обработку данных, осуществляемую Ответчиком.

Ответчик

Обработка данных, осуществляемая платформой, соответствовала положениям Статьи 6(1)(b) GDPR, поскольку являлась необходимой частью исполнения договора.

OLG (стр. 23-24)

  • GDPR допускает различные основания для обработки персональных данных, в частности, если это необходимо для выполнения договора, стороной которого является субъект данных (Статья 6(1)(b) GDPR);
  • Необходимость определяется в каждом конкретном случае с учетом цели договора и обязательств, вытекающих из его содержания;
  • Суть бизнес-модели Facebook и ее договорная цель заключаются в следующем:
    • Для пользователя: получение доступа к платформе персонализированных коммуникаций;
    • Для платформы: предоставление доступа без дополнительных затрат;
  • В связи с этим компания, управляющая платформой, может прибегать к другим источникам финансирования, например, к рекламе, адаптированной под конкретного пользователя;
  • Обработка персональных данных пользователей является фундаментальной основой соглашения между платформой и пользователем, поскольку именно она позволяет адаптировать рекламу к интересам конкретного пользователя;
  • Необходимость обработки данных обусловлена тем, что использование такой информации, с одной стороны, формирует индивидуальный опыт пользователей, а с другой - представляет собой финансовый канал, через который платформа получает прибыль.

Запрос на предоставление информации

Истец

  • Был подан запрос на предоставление информации, но на него не было получено ответа в соответствии со статьей 15 GDPR;
  • Предоставление лишь частичной информации об использовании и обработке (персональных) данных не соответствует правовым обязанностям ответчика;
  • Неопределенность в отношении обработки данных вызвала эмоциональный стресс, что дает Истцу право на нематериальный ущерб в размере 500 евро.

Ответчик

  • Ответчик не нарушил своих обязанностей;
  • Истцом не было сделано убедительных утверждений относительно требования о возмещении ущерба.

OLG (24-29)

  • Facebook не предоставил своим пользователям доступ к данным в своих инструментах доступа, что дает Истцу право на иск, основанный на Статье 15(1) GDPR;
  • Истец имеет право на информацию, касающуюся:
    • Персональных данных, обрабатываемых Facebook, и целей их обработки (Статья 15(1)(a) GDPR);
    • Кому раскрываются соответствующие персональные данные, т.е. (категории) получателей (Статья 15(1)(b) GDPR);
    • происхождение данных, если они получены не от истца (Статья 15(1)(g) GDPR);
  • Сумма в 500 евро отражает незначительный ущерб, причиненный Истцу, и является обоснованной.

Комментарий

В соответствии с заявлением Истца, Европейское агентство по защите данных ранее прямо запретило обработку специальных категорий персональных данных, если на это не было дано прямого согласия или такая обработка необходима по причинам, представляющим значительный общественный интерес (Статья 9(2)(g) GDPR). Хотя договорные положения об использовании данных по-прежнему могут использоваться для передачи данных, их будет недостаточно для замены необходимости получения такого согласия[2].

Хотя OLG предоставил право на подачу апелляции в Верховный суд Австрии, ожидается, что поднятые правовые вопросы будут вновь вынесены на рассмотрение Суда Европейского союза в установленном порядке.

Ресурсы

  1. Судебное решение доступно на немецком языке по адресу: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
  2. Ольбрехтс, А. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Европейский совет по защите данных. Available at: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [accessed 05.02.2021].

Содержание данной статьи призвано дать общее представление о предмете. Применительно к вашим конкретным обстоятельствам следует обращаться за консультацией к специалистам.

Вернуться к обзору