Rakouský nejvyšší soud (OGH): Meta musí do 14 dnů poskytnout úplný přístup ke všem osobním údajům uživatele, včetně zdrojů, příjemců a účelů, pro které byly jednotlivé informace použity. Všechna tvrzení společnosti Meta o obchodním tajemství nebo jiných omezeních byla zamítnuta, což vedlo k bezprecedentnímu přístupu k vnitřnímu fungování společnosti Meta. Společnost Meta rovněž nezákonně shromažďovala údaje z aplikací a webových stránek třetích stran a smí poskytovat personalizovanou reklamu pouze v případě, že uživatel poskytl "konkrétní, informovaný, jednoznačný a svobodně daný" souhlas. Společnost Meta musí rovněž zajistit, aby údaje odhalující citlivé informace (například politické názory, sexuální orientaci nebo zdravotní stav) nebyly zpracovávány společně s jinými údaji, pokud neexistuje platný právní základ podle čl. 9 odst. 2 GDPR. Společnost Meta se nemůže vyhnout použití článku 9 GDPR tvrzením, že takové údaje neshromažďuje záměrně nebo že je nemůže technicky rozlišit či oddělit. Případ, který v roce 2014 zahájil Max Schrems, původně trval 11 let a třikrát se dostal před rakouský Nejvyšší soud a dvakrát před Soudní dvůr EU. Panu Schremsovi bylo přiznáno odškodnění ve výši 500 eur.
Plný přístup ke všem osobním údajům a dalším informacím do 14 dnů. Podle článku 15 GDPR musí společnost Meta každému uživateli, který o to požádá, poskytnout nejen úplnou kopii všech osobních údajů v poměru 1:1, ale také informace o účelu, pro který byly tyto údaje zpracovány, a o zdrojích a příjemcích jednotlivých informací. Žalobce (Max Schrems) se od roku 2011 snažil získat úplný přístup ke svým osobním údajům, ale společnost Meta mu poskytla pouze částečný přístup. Běžným uživatelům Meta pouze odkazovala na "nástroj pro stahování", který obsahoval tzv. relevantní informace, a jinak odkazovala na své obecné zásady ochrany osobních údajů. Rakouský Nejvyšší soud nyní rozhodl, že Meta musí zveřejnit všechny osobní údaje (každý kousek) a také poskytnout konkrétní informace o všech údajích, jako je zdroj, příjemce nebo účel zpracování, to vše ve 14denní lhůtě, která končí 31. 12. 2025. Standardní lhůta podle zákona je jeden měsíc - a ta uplynula již před lety. Tvrzení společnosti Meta o údajném omezení jakéhokoli plného práva na přístup (jako je obchodní tajemství apod.) nebyla společností Meta řádně vyargumentována, a proto byla v plném rozsahu zamítnuta. Konečné a přímo vykonatelné rozhodnutí rakouského Nejvyššího soudu tak povede k bezprecedentnímu přístupu pana Schremse k praxi společnosti Meta při zpracování jeho (a ve skutečnosti kohokoli jiného) uživatelských údajů.
Katharina Raabe-Stuppning, rakouská advokátka zastupující žalobce: "Trvalo to jedenáct let, ale nyní je tu konečné rozhodnutí, že společnost Meta musí poskytnout bezprecedentní přístup ke všem údajům, které kdy o panu Schremsovi shromáždila. To zdaleka přesahuje rámec nástroje pro stahování nebo informací na webových stránkách. Více než deset let se společnost Meta bránila poskytnout plnou transparentnost toho, jaké údaje o evropských uživatelích zpracovává. Rozhodnutí je přímo vykonatelné v celé EU."
Reklamní model společnosti Meta je v EU již léta nezákonný. Rakouský Nejvyšší soud rovněž rozhodl, že společnost Meta musí přestat poskytovat panu Schremsovi personalizované reklamy vzhledem k tomu, že nikdy neměla právní základ pro zpracování jeho osobních údajů za tímto účelem. V tomto ohledu byla tvrzení pana Schremse do značné míry překonána rozsudkem Soudního dvora EU ve věci C-252/21 Bundeskartellamt, kde již Soudní dvůr EU rozhodl, že Meta nemá potřebný právní základ pro zpracování osobních údajů Evropana za účelem reklamy.
Katharina Raabe-Stuppning: "Rakouský Nejvyšší soud - opět - jasně uvedl, že společnost Meta potřebuje ke sledování lidí a využívání jejich údajů pro reklamu souhlas s jejich použitím."
Oddělení "citlivých údajů" od ostatních údajů. Podle článku 9 GDPR jsou některé "citlivé" údaje zvláště chráněny. Patří sem informace týkající se zdraví, politických názorů, sexuálního života nebo sexuální orientace. Společnost Meta kategoricky odmítá, že by s takovými údaji - které získává prostřednictvím aplikací třetích stran, webových stránek nebo prostřednictvím aktivity uživatelů na svých platformách - musela zacházet jinak než s ostatními údaji. Rakouský Nejvyšší soud však dal jasně najevo, že i kdyby Meta takové údaje nepoužívala záměrně (což je tvrzení, které bylo v řízení zpochybněno), musí přesto dodržovat zákon.
Max Schrems: "Platformy jako Facebook nebo Instagram mají obrovský vliv, například prostřednictvím vnucování politických názorů uživatelům. Pro společnost Meta bylo vždy absurdní tvrdit, že takové údaje nezpracovává a nesmí dodržovat zákon. Z rozhodnutí jasně vyplývá, že Meta nesmí takové uživatelské preference používat bez výslovného souhlasu každého uživatele."
Odškodnění ve výši 500 eur je pro většinu uživatelů společnosti Meta reálné. Předchozí částečné rozhodnutí již přiznalo panu Schremsovi odškodnění ve výši 500 EUR za prodlení s odpovědí na jeho žádost o přístup. Pan Schrems se při tomto nároku opíral i o další porušení GDPR. Zdá se, že z rozhodnutí není jasné, na základě čeho byla přiznána náhrada škody, ale zdá se, že škodu ve výši alespoň 500 EUR považoval rakouský Nejvyšší soud za rozhodně oprávněnou za porušení, které zažil téměř každý uživatel služby Meta. Pan Schrems nepožadoval více, takže soud byl vázán částkou 500 EUR jako horní hranicí.
Katharina Raabe-Stuppning: "Zdá se, že je reálné, aby subjekty údajů požadovaly alespoň 500 EUR jako náhradu nemajetkové újmy za rozsáhlá porušení GDPR, kterých se společnost Meta dopustila. To by mohl být dobrý spodní ukazatel pro mnoho dalších případů projednávaných v Evropě."
potřebných 11 let, 3 rozhodnutí Nejvyššího soudu a 2 rozhodnutí Soudního dvora EU. Celkově tento případ trval 11 let. Původní Krajský civilní soud ve Vídni (Landesgericht für Zivilrechtssachen) se případem dvakrát odmítl zabývat, a to i s argumentem, že pan Schrems není "spotřebitelem" pro svůj soukromý účet na Facebooku. Později se odvolával na nejistotu ohledně příslušnosti podle GDPR. Rakouský Nejvyšší soud rozhodoval o případu třikrát, včetně toho, že se dvakrát obrátil na Soudní dvůr EU. Zatímco konečné rozhodnutí o nákladech řízení je vyhrazeno, celkové náklady na soudní řízení dosud přesáhly 200 000 eur - při finančním nároku ve výši přibližně 500 eur.
Max Schrems: "Realita soudních sporů týkajících se GDPR je taková, že pro průměrného člověka trvají deset let a jsou zničující. Velké technologické společnosti se schovávají za jurisdikce, jako je Irsko, uvádějí 100 důvodů, proč by měly být případy zamítnuty, a sabotují postupy na každém rohu. Musíme urychleně pracovat na tom, aby bylo GDPR vymahatelné v praxi."
Některé žaloby byly zamítnuty. V průběhu řízení se pan Schrems vzdal řady žalob z důvodu nákladů řízení a z procesních důvodů. Některé nároky byly rovněž podány jako alternativní nároky (takže úspěšný mohl být pouze jeden z nich). Případ se masivně prodlužoval kvůli velmi nepříznivým rozhodnutím v prvním stupni, neboť podle rakouského práva je například velmi obtížné zvrátit skutková zjištění v prvním stupni. Mnoho oprávněných nároků proto muselo být zamítnuto.
