Dňa 7. 12. 2020 (doručené 28. 12. 2020) vydal Vyšší krajinský súd (Oberlandesgericht Wien, OLG) rozsudok v odvolacom konaní Schrems proti Facebook Ireland Ltd. (GZ 11 R 153/20f, 154/20b).¹ Potvrdil rozhodnutie Krajinského súdu pre občianske veci (Landesgericht für Zivilrechtssachen), ktorý rozhodol, že platforma sociálnych médií bola povinná poskytnúť žalobcovi úplný prístup k údajom, ktoré o ňom uchovávala, a preto zaviazal spoločnosť zaplatiť náhradu škody vo výške 500 EUR (článok 82 GDPR).

Dospel však aj k záveru, že na spracúvanie údajov nie je potrebné, aby platforma získala jednoznačný, samostatný súhlas od svojich používateľov podľa práva EÚ o ochrane údajov (článok 6 ods. 1 písm. a) nariadenia GDPR), ale že takéto právo na používanie údajov je spoločnosti Facebook prirodzene priznané na základe jej zmluvných podmienok.

Toto rozhodnutie sa týka viacerých právnych námietok a troch rôznych otázok, ktoré sú uvedené nižšie.

Rozdelenie úloh strán podľa zákona o ochrane údajov

Žalobca

• Podľa žalobcu sa používateľ platformy považuje za zodpovednú stranu alebo "prevádzkovateľa" (článok 4 ods. 7 GDPR), pokiaľ ide o aplikácie údajov, ktoré sám prevádzkuje na svoje osobné účely;
• Žalovaný na základe zmluvy vystupuje ako "spracovateľ", čo mu bráni vykonávať akékoľvek aplikácie údajov bez pokynov žalobcu alebo v rozpore s nimi;
• Zmluva spĺňajúca požiadavky článku 28 ods. 3 GDPR nebola uzavretá, hoci žalobca mal na takúto zmluvu nárok.

Žalovaný

• Žalovaný sa má považovať za jedinú zodpovednú osobu vo vzťahu k žalobcovi, ktorý nemá záujem na deklaratórnej ochrane.

OLG (s. 21-23)

• Samotné používanie platformy sociálnej siete neznamená, že používateľ je spoluzodpovedný za spracovanie osobných údajov, ktoré táto sieť vykonáva;
• V prípade fanúšikovských stránok je potrebné rozlišovať, či sa prevádzkovateľ uvedenej stránky podieľa na spracúvaní osobných údajov návštevníkov, čím sa stáva prevádzkovateľom (rozsudok Súdneho dvora EÚ C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, najmä ods. 35, 36 a 41).
• Používateľ Facebooku je teda len spoluzodpovednou stranou, pokiaľ ide o osobné údaje tretích strán (článok 4 ods. 7 GDPR), a len dotknutou osobou vo vzťahu k vlastným osobným údajom.

Účinný súhlas na spracovanie osobných údajov

Žalobca

• Súhlas s podmienkami používania platformy sociálnych médií a súvisiacimi usmerneniami o používaní údajov neznamená účinný súhlas v zmysle článku 6 ods. 1 a článku 7 GDPR;
• Na rozdiel od ustanovení GDPR, ktoré nadobudli účinnosť 25.5.2018, občianskoprávne zmluvy, ktoré sa riadili predchádzajúcim zákonom o ochrane údajov, neobsahovali výslovné požiadavky na "súhlas";
• Zapracovaním predchádzajúceho súhlasu do podmienok spoločnosti pred nadobudnutím účinnosti GDPR boli používatelia neúmyselne nútení uzavrieť novú zmluvu, čo platforme umožnilo obísť prísnejšie normy ochrany údajov podľa platných ustanovení GDPR;
• Žalobca teda neudelil účinný súhlas v zmysle GDPR so spracúvaním údajov, ktoré vykonával žalovaný.

Žalovaný

• Spracúvanie údajov, ktoré vykonala platforma, bolo v súlade s ustanoveniami článku 6 ods. 1 písm. b) GDPR, keďže predstavovalo nevyhnutnú súčasť plnenia zmluvy.

OLG (s. 23-24)

• GDPR umožňuje rôzne základy spracúvania osobných údajov, okrem iného ak je to potrebné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba (článok 6 ods. 1 písm. b) GDPR);
• Nevyhnutnosť sa týmto určuje v každom jednotlivom prípade s náležitým ohľadom na zmluvný účel a povinnosti vyplývajúce z obsahu zmluvy;
• Podstata obchodného modelu Facebooku a jeho zmluvný účel spočíva v:
  • Pre používateľa: získanie prístupu k personalizovanej komunikačnej platforme;
  • Pre platformu: sprístupnenie bez dodatočných nákladov;
• Spoločnosť prevádzkujúca platformu tak môže využiť iné zdroje financovania, napr. reklamu prispôsobenú konkrétnemu používateľovi;
• Spracovanie osobných údajov používateľov je základným nosným pilierom dohody medzi platformou a používateľom, pretože je základom, ktorý umožňuje prispôsobiť reklamu záujmom jednotlivých používateľov;
• Zložka nevyhnutnosti v súvislosti so spracovaním údajov sa prejavuje v tom, že využívanie týchto informácií na jednej strane formuje individualizovaný zážitok používateľov a na druhej strane predstavuje finančný kanál, prostredníctvom ktorého platforma dosahuje svoj zisk.

Žiadosť o poskytnutie informácií

Žalobca

• Bola podaná žiadosť o informácie, na ktorú zatiaľ nebolo odpovedané v súlade s článkom 15 GDPR;
• Sprístupnenie informácií o používaní a spracovaní (osobných) údajov len čiastočne nespĺňa zákonné povinnosti žalovaného;
• Neistota týkajúca sa spracovania údajov vyvolala citové utrpenie, ktoré žalobcovi priznáva nárok na nemajetkovú ujmu vo výške 500 EUR.

Žalovaný

• Žalovaný neporušil svoju povinnosť;
• Žalobca nepredložil žiadne presvedčivé tvrdenie týkajúce sa nároku na náhradu škody.

OLG (24-29)

• Spoločnosť Facebook neposkytla svojim používateľom prístup k údajom vo svojich prístupových nástrojoch, čo dáva žalobcovi právo na žalobu zakotvené v článku 15 ods. 1 všeobecného nariadenia o ochrane údajov;
• Žalobca má právo na informácie týkajúce sa:
  • Osobné údaje spracúvané spoločnosťou Facebook a ich účely (článok 15 ods. 1 písm. a) GDPR);
  • komu sa príslušné osobné údaje poskytujú, t. j. (kategórie) príjemcov (článok 15 ods. 1 písm. b) GDPR);
  • Pôvod údajov, ak neboli získané od žalobcu (článok 15 ods. 1 písm. g) GDPR);
• Suma 500 EUR odráža malý rozsah nepohodlia, ktoré žalobca utrpel, a ukazuje sa ako opodstatnená.

Komentár

V súlade s tvrdeniami žalobcu Európska agentúra na ochranu údajov už skôr výslovne zakázala spracúvanie osobitných kategórií osobných údajov, pokiaľ nebol udelený výslovný súhlas alebo takéto spracúvanie nie je nevyhnutné z dôvodov významného verejného záujmu (článok 9 ods. 2 písm. g) všeobecného nariadenia o ochrane údajov). Hoci by sa na prenos údajov mohli naďalej používať zmluvné doložky o používaní údajov, nestačili by na nahradenie potreby udelenia takéhoto súhlasu.²

Hoci OLG priznal právo na odvolanie na rakúsky najvyšší súd, očakáva sa, že nastolené právne otázky budú v primeranom čase opäť predložené Súdnemu dvoru Európskej únie.

Poznámky pod čiarou

1 Rozsudok dostupný v nemčine prostredníctvom: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.

2 Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Európsky výbor pre ochranu údajov. K dispozícii na: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [prístup 05.02.2021].

Obsah tohto článku má poskytnúť všeobecnú orientáciu v danej problematike. Je potrebné vyhľadať odborné poradenstvo o vašich konkrétnych okolnostiach.