PŘEKÁŽKA: Rakouský Nejvyšší soud se ptá Soudního dvora EU, zda Facebook "podkopává" GDPR tím, že zaměňuje "souhlas" za údajnou "smlouvu".
V dlouholetém občanskoprávním sporu mezi Maxem Schremsem a společností Facebook vyhověl rakouský Nejvyšší soud (Oberster Gerichtshof, "OGH") žádosti pana Schremse o předložení řady otázek Soudnímu dvoru Evropské unie (SDEU, nejvyšší soudní instance v EU). Tyto čtyři otázky vyvolávají zásadní pochybnosti o zákonnosti využívání údajů všech zákazníků společnosti Facebook v EU.
Současně rakouský Nejvyšší soud v částečném rozsudku rovněž rozhodl, že pan Schrems obdrží symbolické citové odškodnění ve výši 500 EUR, protože Facebook neposkytl plný přístup k údajům pana Schremse, ale místo toho zinscenoval "hon na vejce" na údaje uživatelů.
- Odkaz na SDEU, včetně otázek (v německém originále)
- Postoupeno SDEU včetně otázek (český překlad)
- Prohlášení naší právničky Katharine Raabe-Stuppnigové
(1) Odkaz na SDEU:
Základní otázka: "Souhlas" nebo "smlouva"? Rakouský Nejvyšší soud má pochybnosti o právním základu, který Facebook používá pro téměř veškeré zpracování uživatelských údajů. GDPR uvádí šest možností, jak legálně zpracovávat osobní údaje, mezi nimi "souhlas" a "smlouvu". Na "smlouvu" se můžete odvolávat pouze v případě, že je zpracování nezbytné pro plnění smlouvy.
Před zavedením GDPR společnost Facebook tvrdila, že uživatelé "souhlasí" s jejím zpracováním personalizované reklamy. Nařízení GDPR však zvýšilo požadavky na platnost souhlasu a také dalo uživatelům právo svůj souhlas kdykoli odvolat.
Takže 25. května 2018, kdy začalo platit nařízení GDPR, společnost Facebook již netvrdila, že se na souhlas spoléhá. Místo toho společnost Facebook uvedla, že na doložky o souhlasu je třeba pohlížet jako na "smlouvu", v níž si uživatelé "objednali" personalizovanou reklamu. Podle názoru společnosti Facebook jí toto obcházení umožňuje zbavit uživatele všech práv spojených se souhlasem podle GDPR. Požadavky na "svobodně udělený" nebo "informovaný" souhlas by již neplatily, pokud by byl vykládán jako "smlouva".
Max Schrems, předseda sdružení noyb.eu:"Facebook se snaží zbavit uživatele mnoha práv podle GDPR tím, že souhlas jednoduše "reinterpretuje" jako občanskoprávní smlouvu. Nešlo o nic jiného než o laciný pokus obejít GDPR."
OGH: Facebook by mohl nezákonně "podkopávat" GDPR. Zdá se, že rakouský Nejvyšší soud tyto obavy sdílí. Rakouský Nejvyšší soud ve svém rozhodnutí o předběžné otázce k Soudnímu dvoru EU shrnuje své pochybnosti, zda Facebook může jednoduše zaměnit čl. 6 odst. 1 písm. a) a b) GDPR, v bodě 54 rozhodnutí o předběžné otázce:
"Základní otázkou tohoto řízení je, zda prohlášení o záměru zpracovávat může žalovaný přehodit pod právní pojem podle čl. 6 odst. 1 písm. b) GDPR, aby tím "oslabil" výrazně vyšší ochranu, kterou žalobci poskytuje právní základ "souhlas"."
Max Schrems:"V podstatě veškeré využívání údajů, které Facebooku v EU přináší zisk, se opírá o tento právní argument. Pokud by Facebook u Soudního dvora EU prohrál, musel by s tím nejen přestat a smazat všechna nezákonně generovaná data, ale také zaplatit milionům uživatelů odškodné. Z tohoto odkazu mám velkou radost."
Další otázky týkající se minimalizace údajů a citlivých údajů. Rakouský Nejvyšší soud předložil Soudnímu dvoru další tři otázky týkající se zákonnosti využívání osobních údajů společností Facebook. Soudní dvůr EU bude muset rozhodnout, zda je používání všech údajů na stránkách facebook.com a z nesčetných dalších zdrojů, jako jsou webové stránky využívající tlačítka "To se mi líbí" na Facebooku nebo reklamy, k jakémukoli účelu v souladu se zásadou "minimalizace údajů" podle GDPR. Další dvě otázky se týkají používání citlivých údajů (jako jsou politické názory nebo sexuální orientace) společností Facebook pro personalizovanou reklamu.
Max Schrems:"Tyto další otázky jsou zásadní. Facebook už možná nebude smět používat všechny údaje pro reklamu, i když k tomu získal platný souhlas. Stejně tak možná bude muset filtrovat citlivé údaje, jako jsou politické názory nebo údaje o sexuální orientaci. Facebook dosud tvrdil, že mezi těmito typy údajů nerozlišuje."
(2) Částečný rozsudek o náhradě škody, přístupu, rolích a "velikonočních vajíčkách"
Rakouský Nejvyšší soud navíc vydal konečný rozsudek o některých požadavcích, o nichž lze rozhodnout bez nutnosti obrátit se na Soudní dvůr EU.
- Německý originál právní diskuse v rámci dílčího rozsudku
- Anglický překlad právní rozpravy v rámci dílčího rozsudku
500 EUR za "masivní obtěžování", nedostatečný přístup k údajům a "easter eggs". Rakouský Nejvyšší soud rozhodl, že pan Schrems dostane peněžité odškodnění ve výši 500 eur, protože mu Facebook neposkytl plný přístup k jeho údajům. Soud rozhodl, že nedostal ani všechny nezpracované údaje, ani zásadní informace, jako například právní základ, na jehož základě byly jeho údaje zpracovávány. Soud zdůraznil, že údaje, které Facebook nabízel prostřednictvím svého online nástroje, byly rozptýleny mezi více než 60 kategorií údajů se stovkami, ne-li tisíci datových bodů, jejichž prohledání by zabralo několik hodin.
Soudní dvůr rozhodl v bodě 153: "Žalobce správně poukazuje na to, že GDPR je založeno na jednorázové žádosti o přístup, nikoli na "lovu velikonočních vajíček".
Rakouský Nejvyšší soud se také poměrně jasně vyjádřil k tvrzení společnosti Facebook, že panu Schremsovi poskytla všechny údaje, které považovala za "relevantní" (bod 152):
"Skutečnost, že povinnost poskytnout informace nemůže záviset na pouhém sebehodnocení žalovaného ("relevantní"), nevyžaduje další vysvětlení."
Důkazní břemeno na straně společnosti Facebook. Nejvyšší soud také často zdůrazňoval, že Facebook nese důkazní břemeno, pokud jde o prokázání, že poskytl plný přístup nebo že zpracování je zákonné (např. v bodě 151). Společnost Facebook v průběhu řízení zastávala názor, že bude na panu Schremsovi, aby prokázal, že Facebook neposkytl všechny údaje, a jednoduše odmítla odpovědět na otázky pana Schremse.
Kdo "vlastní" údaje na Facebooku? Případ zpochybnil role jednotlivých aktérů na platformě Facebook. Pan Schrems tvrdil, že za své profilové údaje nebo údaje o zprávách na Facebooku odpovídá především on (právně jako "správce"), což znamená, že Facebook se musí řídit jeho příkazy například při mazání údajů (jako pouhý "zpracovatel"). Facebook zastával názor, že je "správcem" všech uživatelských údajů na Facebooku - s určitými výjimkami. Rakouský soud Surpeme uvedl, že tato záležitost je irelevantní, protože používání Facebooku by spadalo pod "výjimku pro domácnosti", a proto by tato záležitost nevznikla.
Max Schrems:"V tomto prvku jsme technicky "prohráli", ale podle názoru Soudního dvora by společnost Facebook nesla právní odpovědnost za jakékoli nezákonné zpracování na facebook.com - i když je prováděno jinými osobami. Navrhovali jsme diferencovanější výsledek, ale Soudní dvůr se jím nezabýval."
