Avstrija: Višje sodišče na Dunaju potrdilo odškodninski zahtevek proti Facebooku

Višje deželno sodišče (Oberlandesgericht Wien, OLG) je 7.12.2020 (vročeno 28.12.2020) izdalo sodbo v pritožbenem postopku Schrems proti Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b). ^1] S potrditvijo odločbe deželnega sodišča za civilne zadeve (Landesgericht für Zivilrechtssachen) je odločilo, da je bila platforma družbenih medijev dolžna tožniku zagotoviti popoln dostop do podatkov, ki jih hrani o njem, zato je morala korporacija plačati odškodnino v višini 500 EUR (člen 82 GDPR).

Kljub temu je ugotovilo tudi, da za dejanje obdelave podatkov platformi v skladu z zakonodajo EU o varstvu podatkov ni treba pridobiti nedvoumne, ločene privolitve svojih uporabnikov (člen 6(1)(a) SUVP), temveč da je takšna pravica do uporabe podatkov družbi Facebook po naravi stvari dodeljena na podlagi njenih pogodbenih pogojev.

Odločitev se osredotoča na več pravnih pritožb in sproža tri različna vprašanja, ki so v nadaljevanju posebej izpostavljena.

Dodelitev vlog strank v skladu z zakonodajo o varstvu podatkov

Tožnik

• Po mnenju tožeče stranke se šteje, da je uporabnik platforme odgovorna stranka ali "upravljavec" (člen 4(7) GDPR) v zvezi s podatkovnimi aplikacijami, ki jih upravlja sam za svoje osebne namene;
• tožena stranka na podlagi pogodbe nastopa kot "obdelovalec", kar ji preprečuje, da bi izvajala kakršne koli podatkovne aplikacije brez navodil tožeče stranke ali v nasprotju z njimi;
• pogodba, ki bi izpolnjevala zahteve iz člena 28(3) SUVP, ni bila sklenjena, čeprav je bil tožnik do take pogodbe upravičen.

Tožena stranka

Toženo stranko je treba šteti za edino odgovorno stranko v razmerju do tožeče stranke, ki nima interesa za ugotovitveno tožbo.

OLG (str. 21-23)

• Zgolj uporaba platforme družbenega omrežja sama po sebi ne pomeni, da je uporabnik soodgovoren za obdelavo osebnih podatkov, ki jo izvaja to omrežje;
• Razlikovati je treba v zvezi z oboževalskimi stranmi, pri katerih upravljavec navedene strani prispeva k obdelavi osebnih podatkov obiskovalcev, zaradi česar postane upravljavec (sodba Sodišča EU C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, nav. delo št. 35, 36 in 41).
• Uporabnik Facebooka je tako le soodgovorna oseba v zvezi z osebnimi podatki tretjih oseb (člen 4(7) SUVP) in le posameznik, na katerega se nanašajo osebni podatki, v zvezi z lastnimi osebnimi podatki.

Učinkovita privolitev v obdelavo osebnih podatkov

Tožnik

• Soglasje s pogoji uporabe platforme družbenega medija in s tem povezanimi smernicami za uporabo podatkov ne pomeni učinkovite privolitve v smislu členov 6(1) in 7 SUVP;
• V nasprotju z določbami GDPR, ki so začele veljati 25. 5. 2018, pogodbe civilnega prava, kot so bile urejene v skladu s prejšnjim zakonom o varstvu podatkov, niso vsebovale izrecnih zahtev po "privolitvi";
• Z vključitvijo predhodne privolitve v splošne pogoje korporacije pred začetkom veljavnosti uredbe GDPR so bili uporabniki nehote prisiljeni v novo pogodbo, kar je platformi omogočilo, da se je izognila strožjim standardom varstva podatkov v skladu z veljavnimi določbami uredbe GDPR;
• Tožnik tako ni dal učinkovitega soglasja v smislu GDPR glede obdelave podatkov, ki jo je izvajala tožena stranka.

Tožena stranka

Obdelava podatkov, ki jo je izvajala platforma, je bila v skladu z določbami člena 6(1)(b) GDPR, saj je predstavljala nujni del izvajanja pogodbe.

OLG (str. 23-24)

• Splošna uredba o varstvu podatkov dopušča različne podlage za obdelavo osebnih podatkov, med drugim če je to potrebno za izvajanje pogodbe, katere stranka je posameznik, na katerega se nanašajo osebni podatki (člen 6(1)(b) Splošne uredbe o varstvu podatkov);
• Pri tem se nujnost ugotavlja za vsak primer posebej, pri čemer se ustrezno upoštevajo pogodbeni namen in obveznosti, ki izhajajo iz vsebine pogodbe;
• Bistvo Facebookovega poslovnega modela in njegovega pogodbenega namena je osredotočeno na:
  • Za uporabnika: dostop do prilagojene komunikacijske platforme;
  • za platformo: omogočiti dostop brez dodatnih stroškov;
• Podjetje, ki upravlja platformo, lahko kot tako uporabi druge vire financiranja, npr. oglaševanje, prilagojeno določenemu uporabniku;
• Obdelava osebnih podatkov uporabnika izkazuje temeljni podporni steber sporazuma med platformo in uporabnikom, saj je temelj, ki omogoča oglaševanje, prilagojeno interesom posameznega uporabnika;
• Komponenta nujnosti v zvezi z obdelavo podatkov je vzpostavljena, ker uporaba teh informacij po eni strani oblikuje individualizirano izkušnjo uporabnikov, po drugi strani pa predstavlja tudi finančni kanal, prek katerega platforma pridobiva dobiček.

Zahteva za posredovanje informacij

Tožeča stranka

• V skladu s členom 15 SUVP je bila vložena zahteva za posredovanje informacij, na katero še ni bilo odgovorjeno;
• Če so informacije o uporabi in obdelavi (osebnih) podatkov na voljo le delno, tožena stranka ne izpolnjuje svojih zakonskih obveznosti;
• negotovost glede obdelave podatkov je povzročila čustveno stisko, zaradi katere je tožnik upravičen do nepremoženjske škode v višini 500 EUR.

Tožena stranka

• Tožena stranka ni kršila svojih obveznosti;
• Tožnik ni podal nobene prepričljive trditve v zvezi z odškodninskim zahtevkom.

OLG (24-29)

• Facebook svojim uporabnikom ni omogočil dostopa do podatkov v svojih orodjih za dostop, zaradi česar ima tožnik pravico do tožbe, ki izhaja iz člena 15(1) SUVP;
• Tožnik je upravičen do informacij, ki se nanašajo na:
  • osebne podatke, ki jih obdeluje Facebook, in njihove namene (člen 15(1)(a) GDPR);
  • komu se zadevni osebni podatki razkrijejo, tj. (kategorije) prejemnikov (člen 15(1)(b) SUVP);
  • izvor podatkov, če niso zbrani od tožnika (člen 15(1)(g) SUVP);
• Znesek 500 EUR odraža manjši obseg nelagodja, ki ga je utrpel tožnik, in se izkaže za upravičenega.

Komentar:

Evropska agencija za varstvo podatkov je v skladu s tožnikovimi navedbami že prej izrecno prepovedala obdelavo posebnih vrst osebnih podatkov, razen če je podana izrecna privolitev ali če je takšna obdelava potrebna zaradi pomembnega javnega interesa (člen 9(2)(g) SUVP). Čeprav bi se za prenos podatkov še vedno lahko uporabljale pogodbene klavzule o uporabi podatkov, ne bi zadoščale za nadomestitev potrebe po taki privolitvi^[2].

OLG je sicer odobril pravico do pritožbe na avstrijsko vrhovno sodišče, vendar se pričakuje, da bodo zastavljena pravna vprašanja v doglednem času ponovno predložena Sodišču Evropske unije.

Viri

1. Sodba je na voljo v nemškem jeziku prek: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Evropski odbor za varstvo podatkov. Dostopno na: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [zajeto 05.02.2021].

Vsebina tega članka je namenjena zagotavljanju splošnega vodnika po obravnavani temi. O svojih posebnih okoliščinah morate poiskati strokovni nasvet.