Višje deželno sodišče (Oberlandesgericht Wien, OLG) je 7.12.2020 (vročeno 28.12.2020) izdalo sodbo v pritožbenem postopku Schrems proti Facebook Ireland Ltd. (GZ 11 R 153/20f, 154/20b).¹ Sodišče je potrdilo odločitev deželnega sodišča za civilne zadeve (Landesgericht für Zivilrechtssachen) in odločilo, da je morala platforma družbenega medija tožniku zagotoviti popoln dostop do podatkov o njem, zato je morala družba plačati odškodnino v višini 500 EUR (člen 82 SUVP).

Kljub temu je ugotovilo tudi, da v skladu z zakonodajo EU o varstvu podatkov (člen 6(1)(a) SUVP) za obdelavo podatkov ni treba pridobiti nedvoumne in ločene privolitve uporabnikov platforme, temveč da je takšna pravica do uporabe podatkov družbi Facebook podeljena na podlagi njenih pogodbenih pogojev.

V odločbi je bilo obravnavanih več pravnih očitkov in tri različna vprašanja, ki so navedena v nadaljevanju.

Dodelitev vlog strank v skladu z zakonom o varstvu podatkov

Tožnik

• Po mnenju tožeče stranke se uporabnik platforme šteje za odgovorno osebo ali "upravljavca" (člen 4(7) SUVP) v zvezi s podatkovnimi aplikacijami, ki jih uporablja za svoje osebne namene;
• Tožena stranka po pogodbi deluje kot "obdelovalec", kar ji preprečuje, da bi izvajala kakršne koli aplikacije podatkov brez navodil tožeče stranke ali v nasprotju z njimi;
• Pogodba, ki bi izpolnjevala zahteve iz člena 28(3) SUVP, ni bila sklenjena, čeprav je bil tožnik do takšne pogodbe upravičen.

Tožena stranka

• Toženo stranko je treba šteti za edino odgovorno stranko v razmerju do tožeče stranke, ki nima interesa za ugotovitveno tožbo.

OLG (str. 21-23)

• Sama uporaba platforme družbenega omrežja še ne pomeni, da je uporabnik soodgovoren za obdelavo osebnih podatkov, ki jo izvaja to omrežje;
• Razlikovati je treba med oboževalskimi stranmi, pri katerih upravljavec navedene strani prispeva k obdelavi osebnih podatkov obiskovalcev, zaradi česar je upravljavec (SES C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig Holstein, zlasti odstavek 1). 35, 36 in 41).
• Uporabnik Facebooka je tako le soodgovorna stranka v zvezi z osebnimi podatki tretjih oseb (člen 4(7) SUVP) in le posameznik, na katerega se nanašajo osebni podatki, v zvezi z lastnimi osebnimi podatki.

Učinkovito soglasje za obdelavo osebnih podatkov

Tožnik

• Soglasje s pogoji uporabe platforme družbenega medija in s tem povezanimi smernicami za uporabo podatkov ne pomeni dejanske privolitve v smislu členov 6(1) in 7 SUVP;
• V nasprotju z določbami GDPR, ki so začele veljati 25.5.2018, pogodbe civilnega prava, ki jih je urejal prejšnji zakon o varstvu podatkov, niso vsebovale izrecne zahteve po "privolitvi";
• Z vključitvijo predhodne privolitve v pogoje družbe pred začetkom veljavnosti uredbe GDPR so bili uporabniki nehote prisiljeni v novo pogodbo, kar je platformi omogočilo, da se je izognila strožjim standardom varstva podatkov v skladu z veljavnimi določbami uredbe GDPR;
• Zato tožnik ni dal učinkovitega soglasja v smislu SUVP glede obdelave podatkov, ki jo je izvajala tožena stranka.

Tožena stranka

• Obdelava podatkov, ki jo je izvedla platforma, je bila v skladu z določbami člena 6(1)(b) SUVP, saj je predstavljala nujni del izvajanja pogodbe.

OLG (str. 23-24)

• GDPR dovoljuje različne podlage za obdelavo osebnih podatkov, med drugim če je to potrebno za izvajanje pogodbe, katere stranka je posameznik, na katerega se nanašajo osebni podatki (člen 6(1)(b) GDPR);
• Nujnost se ugotavlja za vsak primer posebej, pri čemer se ustrezno upoštevajo pogodbeni namen in obveznosti, ki izhajajo iz vsebine pogodbe;
• Bistvo Facebookovega poslovnega modela in njegovega pogodbenega namena je:
  • Za uporabnika: pridobitev dostopa do platforme za prilagojene komunikacije;
  • Za platformo: omogočiti dostop brez dodatnih stroškov;
• Zato lahko podjetje, ki upravlja platformo, uporabi druge vire financiranja, npr. oglaševanje po meri posameznega uporabnika;
• Obdelava osebnih podatkov uporabnikov je temeljni podporni steber sporazuma med platformo in uporabnikom, saj omogoča prilagajanje oglaševanja interesom posameznega uporabnika;
• Komponenta nujnosti v zvezi z obdelavo podatkov je ugotovljena, ker uporaba teh informacij po eni strani oblikuje individualizirano izkušnjo uporabnikov, po drugi strani pa predstavlja tudi finančni kanal, prek katerega platforma pridobiva dobiček.

Zahteva za posredovanje informacij

Tožnik

• V skladu s členom 15 Splošne uredbe o varstvu podatkov je bila predložena zahteva za informacije, na katero še ni bilo odgovora;
• Če so informacije o uporabi in obdelavi (osebnih) podatkov na voljo le delno, tožena stranka ne izpolnjuje svojih zakonskih obveznosti;
• Negotovost v zvezi z obdelavo podatkov je povzročila čustveno stisko, zaradi katere je tožnik upravičen do nepremoženjske škode v višini 500 EUR.

Tožena stranka

• Tožena stranka ni kršila svojih obveznosti;
• Tožnik ni predložil nobene prepričljive trditve v zvezi z odškodninskim zahtevkom.

OLG (24-29)

• Facebook svojim uporabnikom ni omogočil dostopa do podatkov v svojih orodjih za dostop, zaradi česar ima tožnik pravico do tožbe, ki izhaja iz člena 15(1) SUVP;
• Tožnik je upravičen do informacij, ki se nanašajo na:
  • Osebni podatki, ki jih obdeluje Facebook, in nameni obdelave (člen 15(1)(a) Splošne uredbe o varstvu podatkov);
  • komu se razkrijejo zadevni osebni podatki, tj. (kategorije) prejemnikov (člen 15(1)(b) SUVP);
  • izvor podatkov, če niso zbrani od tožnika (člen 15(1)(g) SUVP);
• Znesek 500 EUR odraža manjši obseg nelagodja, ki ga je utrpela tožeča stranka, in se izkaže za upravičenega.

Komentar:

Evropska agencija za varstvo podatkov je v skladu s tožnikovimi navedbami že prej izrecno prepovedala obdelavo posebnih vrst osebnih podatkov, razen če je podana izrecna privolitev ali če je takšna obdelava potrebna zaradi pomembnega javnega interesa (člen 9(2)(g) SUVP). Čeprav bi se za prenos podatkov še vedno lahko uporabljale pogodbene klavzule o uporabi podatkov, ne bi zadoščale za nadomestitev potrebe po takšni privolitvi.²

OLG je sicer odobril pravico do pritožbe na avstrijsko vrhovno sodišče, vendar se pričakuje, da bodo zastavljena pravna vprašanja v doglednem času ponovno predložena Sodišču Evropske unije.

Opombe pod črto

1 Sodba je na voljo v nemščini prek: https://noyb.eu/sites/default/files/2020-12/BVI-209_geschw%C3%A4rzt.pdf.

2 Olbrechts, A. (2020) "Europäischer Datenschutzausschuss - 34. Plenartagung: Schrems II, Wechselspiel Zwischen PSD2 Und DSGVO, Schreiben an MdEP Ďuriš Nicholsonová Zu Den Themen Ermittlung Von Kontaktpersonen, Interoperabilität Von Apps Und Datenschutz-Folgenabschätzungen." Europäischer Datenschutzausschuss - Evropski odbor za varstvo podatkov. Na voljo na: edpb.europa.eu/news/news/2020/european-data-protection-board-thirty-fourth-plenary-session-schrems-ii-interplay_de [Dostopno 05.02.2021].

Vsebina tega članka je namenjena splošnemu vodenju po tej temi. O svojih posebnih okoliščinah se morate posvetovati s strokovnjakom.