Vídeňský vrchní soud (Oberlandesgericht Wien) dnes vynesl rozsudek, podle něhož musí Facebook panu Schremsovi zaplatit 500 eur jako odškodnění za citovou újmu a poskytnout mu plný přístup ke všem údajům, které o něm Facebook uchovává. Internetový gigant však podle právních předpisů EU o ochraně osobních údajů (čl. 6 odst. 1 písm. a) nařízení GDPR) nepotřebuje od uživatelů získat souhlas s použitím jejich údajů. Místo toho si Facebook může jednoduše udělit právo používat všechny údaje ve svých podmínkách (čl. 6 odst. 1 písm. b) GDPR).
- Rozsudek (německý originál, příslušné části od strany 22)
- Rozsudek (strojový překlad do češtiny, relevantní části ze strany 22)
Je "obcházení souhlasu" společností Facebook legální? GDPR umožňuje různé základy pro zpracování osobních údajů: Například souhlas nebo smlouva. Občanskoprávní smlouvy nemusí splňovat přísné požadavky na "souhlas" podle GDPR. To by znamenalo, že společnost nemusí dát uživatelům možnost svobodné volby a získat samostatný a jednoznačný souhlas. Jinak než v rámci systému pro souhlas uživatelé nemohou svůj souhlas odvolat, když si to rozmyslí.
V návaznosti na tuto myšlenku společnost Facebook v noci z 25. 5. 2018, kdy GDPR vstoupilo v platnost, jednoduše zkopírovala předchozí souhlas do svých občanskoprávních podmínek. Společnost nyní tvrdí, že má "smlouvu" o zpracování údajů uživatelů. Tato nová smlouva tak nahrazuje souhlas, který se používal před nabytím účinnosti GDPR. Zjevně se tak snažila obejít přísnější požadavky na ochranu osobních údajů, které požadují zákonodárci EU: Uživatelé Facebooku mají nyní podle GDPR méně práv než předtím podle starého zákona o ochraně osobních údajů, protože podle vídeňského Vrchního zemského soudu uzavřeli smlouvu o přijímání personalizované reklamy.
V reprezentativním průzkumu mezi 1 000 uživateli Facebooku však pouze 1,6 % uživatelů chápalo dohodu jako takovou "smlouvu". Většina předpokládala "souhlas" - stejně jako žalobce. Také Evropský sbor pro ochranu osobních údajů (EDPB) výslovně nepřipouští "smlouvy o používání údajů" namísto souhlasu.
Schrems:"Rakouský soud umožňuje Facebooku obejít nové požadavky GDPR. Facebook v noci, kdy GDPR vstoupilo v platnost, pouze zkopíroval "souhlas" do jiného dokumentu a tvrdí, že by se jednalo o smlouvu, nikoliv o souhlas. To by mělo za následek, že by Evropané byli zbaveni nové ochrany. Facebook zjevně zneužívá zákon a to nelze tolerovat."
Facebook musí zaplatit 500 eur a poskytnout plný přístup k údajům. Na druhou stranu Facebook prohrál své odvolání ohledně práva na přístup. Rakouské soudy ve dvou případech rozhodly, že Facebook neposkytuje uživatelům plný přístup ke všem relevantním údajům ve svých různých přístupových "nástrojích". Soudní dvůr rovněž rozhodl, že uživatelé mají právo být informováni o tom, které další strany poskytly údaje Facebooku, nebo zda a komu Facebook údaje poskytl. Vzhledem k tomu, že společnost Facebook pana Schremse o těchto údajích soustavně informovala, je povinna zaplatit alespoň symbolickou částku 500 EUR, kterou pan Schrems požadoval jako odškodnění za citovou újmu.
Pan Schrems:"Je zřejmé, že společnost Facebook fakticky neposkytuje příslušné informace. Jsem rád, že Soudní dvůr povolil odškodnění i pro takové případy, kdy společnosti důsledně odpírají uživatelům jejich právo vědět, jaké údaje o nich společnost uchovává."
Odvolání k rakouskému Nejvyššímu soudu a potenciální předložení věci Soudnímu dvoru EU: Vrchní soud ve Vídni připustil odvolání k rakouskému Nejvyššímu soudu (OGH). Pan Schrems toto odvolání podá se svou právničkou Katharinou Raabe-Stuppnig. Je pravděpodobné, že rakouský Nejvyšší soud může tyto otázky předložit Soudnímu dvoru Evropské unie (SDEU). Tento nejvyšší soudní orgán EU by měl konečné slovo, zda je obcházení GDPR společností Facebook legální.
Schrems:"Zdá se, že Soudní dvůr se skutečně hlouběji nezabýval mnoha problémy, které tento případ vyvolává. Jednoznačně se budeme snažit dostat tento případ až k nejvyššímu soudu. Během jara 2021 by mohlo dojít k předložení věci Soudnímu dvoru EU ohledně základních otázek. Pokud bude průmyslu umožněno pouze přidat řádek do svých podmínek, aby obešel požadavky GDPR na souhlas, můžeme rozsáhlé části GDPR rozcupovat."
