Tribunal Supremo de Austria (OGH): Meta debe proporcionar acceso completo a todos los datos personales del usuario en un plazo de 14 días, incluyendo las fuentes, los destinatarios y los fines para los que se utilizó cada información. Todas las alegaciones de Meta sobre secretos comerciales u otras limitaciones fueron rechazadas, lo que dio lugar a un acceso sin precedentes al funcionamiento interno de Meta. Meta también recopilaba ilegalmente datos de aplicaciones y sitios web de terceros y sólo puede ofrecer publicidad personalizada si el usuario da su consentimiento "específico, informado, inequívoco y libremente otorgado". Meta también debe garantizar que los datos que revelen información sensible (como opiniones políticas, orientación sexual o salud) no se procesen junto con otros datos a menos que se aplique una base jurídica válida de conformidad con el artículo 9, apartado 2, del RGPD. Meta no puede eludir la aplicación del artículo 9 del RGPD alegando que no recoge intencionadamente tales datos o que no puede distinguirlos o segregarlos técnicamente. El caso, presentado por Max Schrems en 2014, duró inicialmente 11 años y llegó tres veces al Tribunal Supremo austriaco y dos veces al TJUE. Schrems fue indemnizado con 500 euros por daños y perjuicios.
Acceso completo a todos los datos personales y otra información en un plazo de 14 días. En virtud del artículo 15 del RGPD, Meta debe proporcionar no sólo una copia completa 1:1 de todos los datos personales a cualquier usuario que lo solicite, sino también información sobre los fines para los que se procesaron estos datos, las fuentes y los destinatarios de cada información. Desde 2011, el demandante (Max Schrems) ha intentado obtener acceso completo a sus datos personales, pero Meta solo le ha proporcionado un acceso parcial. Para los usuarios medios, Meta solo remitía a una "herramienta de descarga" que contenía lo que denominaba información "relevante" y, por lo demás, remitía a su política de privacidad genérica. El Tribunal Supremo austriaco ha decidido ahora que Meta debe revelar todos los datos personales (todos y cada uno de ellos) y también proporcionar información específica sobre todos los datos, como la fuente, el destinatario o la finalidad del tratamiento, todo ello en un plazo de 14 días que finaliza el 31.12.2025. El plazo por defecto según la ley es de un mes, que ya expiró hace años. Las alegaciones de Meta sobre supuestas limitaciones de cualquier derecho pleno de acceso (como secretos comerciales y similares) no fueron debidamente argumentadas por Meta y, por tanto, rechazadas en su totalidad. La sentencia definitiva y directamente ejecutable del Tribunal Supremo austriaco supondrá, por tanto, un acceso sin precedentes del Sr. Schrems a la práctica de Meta de procesar sus datos de usuario (y, en realidad, los de cualquier otra persona).
Katharina Raabe-Stuppning, abogada austriaca que representa al demandante: "Han tenido que pasar 11 años, pero ahora hay una sentencia firme que obliga a Meta a proporcionar un acceso sin precedentes a todos los datos que haya recopilado sobre el Sr. Schrems. Esto va mucho más allá de la herramienta de descarga o la información del sitio web. Durante más de una década, Meta se ha resistido a conceder total transparencia sobre los datos que procesa de los usuarios europeos. La sentencia es directamente ejecutable en toda la UE."
El modelo publicitario de Meta ilegal en la UE durante años. El Tribunal Supremo austriaco también dictaminó que Meta debe dejar de proporcionar anuncios personalizados al Sr. Schrems, dado que nunca tuvo una base jurídica para tratar sus datos personales con este fin. A este respecto, las pretensiones del Sr. Schrems se vieron ampliamente superadas por el asunto del TJUE C-252/21 Bundeskartellamt, en el que el TJUE ya sostuvo que Meta carece de la base jurídica necesaria para tratar los datos personales de los europeos con fines publicitarios.
Katharina Raabe-Stuppning: "El Tribunal Supremo austriaco -de nuevo- ha dejado claro que Meta necesita el consentimiento expreso para rastrear a las personas y utilizar sus datos con fines publicitarios"
Separación de "datos sensibles" de otros datos. En virtud del artículo 9 del RGPD, determinados datos "sensibles" están especialmente protegidos. Entre ellos se incluye la información relativa a la salud, las opiniones políticas, la vida sexual o la orientación sexual. Meta rechaza categóricamente que deba tratar estos datos -que recibe a través de aplicaciones de terceros, sitios web o a través de la actividad de los usuarios en sus plataformas- de forma diferente a otros datos. El Tribunal Supremo austriaco dejó claro, sin embargo, que incluso si Meta no utilizara intencionadamente tales datos (una afirmación que se impugnó en el procedimiento) tiene que cumplir la ley.
Max Schrems: "Plataformas como Facebook o Instagram tienen una enorme influencia, por ejemplo a través de la transmisión de opiniones políticas a los usuarios. Siempre fue absurdo que Meta alegara que no procesa tales datos y que no debe cumplir la ley. La decisión deja claro que Meta no debe utilizar tales preferencias de los usuarios sin el consentimiento explícito de cada uno de ellos."
Una indemnización de 500 euros realista para la mayoría de los usuarios de Meta. Una decisión parcial anterior ya concedió al Sr. Schrems una indemnización de 500 euros por el retraso en la respuesta a su solicitud de acceso. El Sr. Schrems también se basó en otras violaciones del GDPR para esta reclamación. La sentencia no parece clara en cuanto a los motivos de la indemnización concedida, pero parece que el Tribunal Supremo austriaco consideró definitivamente justificada una indemnización de al menos 500 euros por infracciones que casi cualquier usuario de Meta ha sufrido. El Sr. Schrems no pidió más, por lo que el Tribunal se ciñó a 500 euros como límite máximo.
Katharina Raabe-Stuppning: "Parece realista que los interesados reclamen al menos 500 euros en concepto de daños inmateriales por las graves violaciones del RGPD cometidas por Meta. Esto podría ser un buen marcador inferior para muchos otros casos pendientes en Europa."
11 años, 3 sentencias del Tribunal Supremo y 2 del TJUE necesarias. En total, este caso duró 11 años. El Tribunal Civil Regional inicial de Viena (Landesgericht für Zivilrechtssachen) se había negado a conocer del caso en dos ocasiones, incluso argumentando que el Sr. Schrems no es un "consumidor" por su cuenta privada de Facebook. Más tarde citó la incertidumbre sobre la jurisdicción en virtud del GDPR. El Tribunal Supremo austriaco se pronunció tres veces sobre el caso, incluso haciendo dos remisiones al Tribunal de Justicia de la UE. Aunque se reserva la decisión final sobre las costas, los costes totales del litigio superan hasta ahora los 200.000 euros, para una reclamación económica de unos 500 euros.
Max Schrems: "La realidad de los litigios sobre el RGPD es que, para una persona media, llevan una década y son ruinosos. Las grandes empresas tecnológicas se escudan en jurisdicciones como Irlanda, esgrimen 100 razones por las que los casos deberían desestimarse y sabotean los procedimientos en cada esquina. Debemos trabajar urgentemente para que el GDPR sea aplicable en la práctica."
Algunas demandas fueron desestimadas. En el transcurso del procedimiento, el Sr. Schrems renunció a varias demandas por razones de costes y de procedimiento. También se presentaron algunas demandas como demandas alternativas (por lo que solo una de las demandas podría haber prosperado). El caso se prolongó enormemente debido a resoluciones muy desfavorables en primera instancia, ya que, según la legislación austriaca, por ejemplo, es muy difícil revocar las conclusiones fácticas en primera instancia. Por lo tanto, hubo que renunciar a muchas reclamaciones legítimas.
