Rakúsko: Najvyšší súd vo Viedni potvrdil nárok na náhradu škody voči Facebooku

Dňa 7. 12. 2020 (doručené 28. 12. 2020) vydal Vyšší krajinský súd (Oberlandesgericht Wien, OLG) rozsudok v odvolacom konaní Schrems proti Facebook Ireland Ltd. (GZ 11 R 153 / 20f, 154 / 20b). ^1. Potvrdil rozhodnutie Krajinského súdu pre občianske veci (Landesgericht für Zivilrechtssachen) a rozhodol, že platforma sociálnych médií bola povinná poskytnúť žalobcovi úplný prístup k údajom, ktoré o ňom uchovávala, a preto zaviazal spoločnosť na zaplatenie náhrady škody vo výške 500 EUR (článok 82 GDPR).

Dospel však aj k záveru, že na úkon spracovania údajov sa nevyžaduje, aby platforma získala jednoznačný, samostatný súhlas od svojich používateľov podľa práva EÚ o ochrane údajov (článok 6 ods. 1 písm. a) GDPR), ale že takéto právo na používanie údajov je spoločnosti Facebook prirodzene priznané na základe jej zmluvných podmienok.

Rozhodnutie sa sústreďuje na niekoľko právnych sťažností a vedie k trom samostatným otázkam, ktoré sú vyčlenené nižšie.

Rozdelenie úloh strán podľa zákona o ochrane údajov

Žalobca

• Podľa žalobcu sa používateľ platformy považuje za zodpovednú stranu alebo "prevádzkovateľa" (článok 4 ods. 7 GDPR), pokiaľ ide o dátové aplikácie, ktoré sám prevádzkuje na svoje osobné účely;
• žalovaný na základe zmluvy vystupuje ako "spracovateľ", čo mu bráni vykonávať akékoľvek dátové aplikácie bez pokynov žalobcu alebo v rozpore s nimi;
• Zmluva spĺňajúca požiadavky článku 28 ods. 3 GDPR nebola uzavretá, hoci žalobca mal na takúto zmluvu nárok.

Žalovaný

Žalovaný sa má považovať za jedinú zodpovednú osobu vo vzťahu k žalobcovi, ktorý nemá záujem na deklaratórnej ochrane.

OLG (s. 21-23)

• Samotné používanie platformy sociálnej siete neznamená, že používateľ je spoluzodpovedný za spracúvanie osobných údajov vykonávané touto sieťou;
• Je potrebné rozlišovať, pokiaľ ide o fanúšikovské stránky, pričom prevádzkovateľ uvedenej stránky prispieva k spracúvaniu osobných údajov návštevníkov, čím sa stáva prevádzkovateľom (rozsudok Súdneho dvora EÚ C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, sp. zn. 35, 36 a 41).
• Používateľ Facebooku je teda len spoluzodpovednou stranou, pokiaľ ide o osobné údaje tretích strán (článok 4 ods. 7 GDPR), a len dotknutou osobou vo vzťahu k vlastným osobným údajom.

Účinný súhlas so spracovaním osobných údajov

Žalobca

• Súhlas s podmienkami používania platformy sociálnych médií a súvisiacimi usmerneniami o používaní údajov neznamená účinný súhlas v zmysle článku 6 ods. 1 a článku 7 GDPR;
• Na rozdiel od ustanovení GDPR, ktoré nadobudli účinnosť 25. 5. 2018, občianskoprávne zmluvy upravené podľa predchádzajúceho zákona o ochrane osobných údajov nestanovovali výslovné požiadavky na "súhlas";
• Zapracovaním predchádzajúceho súhlasu do obchodných podmienok korporácie pred nadobudnutím účinnosti nariadenia GDPR boli používatelia neúmyselne nútení uzavrieť novú zmluvu, čo platforme umožnilo obísť prísnejšie normy ochrany údajov podľa platných ustanovení nariadenia GDPR;
• Žalobca teda neudelil účinný súhlas v zmysle GDPR, pokiaľ ide o spracúvanie údajov vykonávané žalovaným.

Žalovaný

Spracúvanie údajov, ktoré vykonávala platforma, bolo v súlade s ustanoveniami článku 6 ods. 1 písm. b) GDPR, keďže predstavovalo nevyhnutnú súčasť plnenia zmluvy.

OLG (s. 23-24)

• GDPR pripúšťa rôzne základy spracúvania osobných údajov, okrem iného ak je to nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba (článok 6 ods. 1 písm. b) GDPR);
• Nevyhnutnosť sa týmto určuje individuálne, pričom sa náležite zohľadňuje zmluvný účel a povinnosti vyplývajúce z obsahu zmluvy;
• Podstata obchodného modelu Facebooku a jeho zmluvný účel sa sústreďuje na:
  • Pre používateľa: získanie prístupu k personalizovanej komunikačnej platforme;
  • Pre platformu: sprístupnenie prístupu bez dodatočných nákladov;
• Spoločnosť prevádzkujúca platformu ako takú sa môže uchýliť k iným zdrojom financovania, napr. k reklame prispôsobenej konkrétnemu používateľovi;
• Spracovanie osobných údajov používateľa preukazuje základný nosný pilier dohody medzi platformou a používateľom, pretože je základom, ktorý umožňuje prispôsobiť reklamu záujmom konkrétneho používateľa;
• Zložka nevyhnutnosti v súvislosti so spracovaním údajov je stanovená tým, že využívanie týchto informácií na jednej strane formuje individualizovaný zážitok používateľov a zároveň predstavuje finančný kanál, prostredníctvom ktorého platforma dosahuje svoj zisk.

Žiadosť o poskytnutie informácií

Žalobca

• Bola podaná žiadosť o poskytnutie informácií, na ktorú zatiaľ nebolo odpovedané v súlade s článkom 15 GDPR;
• Sprístupnenie informácií o používaní a spracúvaní (osobných) údajov len čiastočne nespĺňa zákonné povinnosti žalovaného;
• neistota týkajúca sa spracovania údajov vyvolala emocionálne utrpenie, ktoré zakladá nárok žalobcu na náhradu nemajetkovej ujmy vo výške 500 EUR.

Žalovaný

• Žalovaný neporušil svoju povinnosť;
• Žalobca nepredložil žiadne presvedčivé tvrdenie týkajúce sa nároku na náhradu škody.

OLG (24-29)

• Facebook neumožnil svojim používateľom prístup k údajom v prístupových nástrojoch, čo zakladá právo žalobcu na žalobu zakotvené v článku 15 ods. 1 GDPR;
• Žalobca má právo na informácie týkajúce sa:
  • Osobné údaje, ktoré Facebook spracúva, a ich účely (článok 15 ods. 1 písm. a) GDPR);
  • komu sa príslušné osobné údaje poskytujú, t. j. (kategórie) príjemcov (článok 15 ods. 1 písm. b) GDPR);
  • Pôvod údajov, ak neboli získané od navrhovateľa (článok 15 ods. 1 písm. g) GDPR);
• Suma 500 EUR odráža malý rozsah nepohodlia, ktoré žalobca utrpel, a ukazuje sa ako opodstatnená.

Komentár:

V súlade s tvrdeniami žalobcu Európska agentúra na ochranu údajov už skôr výslovne zakázala spracúvanie osobitných kategórií osobných údajov, pokiaľ nebol udelený výslovný súhlas alebo pokiaľ takéto spracúvanie nie je nevyhnutné z dôvodov značného verejného záujmu (článok 9 ods. 2 písm. g) GDPR). Hoci by sa na prenos údajov mohli naďalej používať zmluvné doložky o používaní údajov, nestačili by na nahradenie potreby poskytnutia takéhoto súhlasu^[2].

Hoci OLG priznal právo odvolať sa na rakúsky najvyšší súd, očakáva sa, že nastolené právne otázky budú v primeranom čase opäť predložené Súdnemu dvoru Európskej únie.

Zdroje

1. Rozsudok je k dispozícii v nemčine na: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.
2. Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Európsky výbor pre ochranu údajov. Dostupné na: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [prístup 05. 02. 2021].

Obsah tohto článku má poskytnúť všeobecnú orientáciu v danej problematike. Ohľadom vašich konkrétnych okolností by ste mali požiadať o odborné poradenstvo.