A Facebook GDPR hozzájárulásának megkerülése a "szerződéses hirdetési kötelezettségen" keresztül az osztrák legfelsőbb bíróság előtt, és nagy a valószínűsége annak, hogy az EUB elé utalják
Mint arról az Osztrák Sajtóügynökség (APA ) és a Der Standard beszámol, az osztrák Legfelsőbb Bíróság (OGH) elé került egy ügy, amely meghatározhatja a Facebook európai tevékenységének jogszerűségét. A Facebook és Schrems úr egyaránt fellebbezést nyújtott be a bécsi felsőbb tartományi bíróság (OLG Wien) korábbi ítélete ellen. Az ügyben többek között a szigorú GDPR hozzájárulási szabályainak állítólagos "megkerülése" került a középpontba. A Legfelsőbb Bíróságot arra kérték, hogy az ügyet az Európai Bíróság (EUB) elé utalja tisztázásra.
A Facebook "hozzájárulás megkerülése". Amikor a GDPR hatályba lépett, az egyik nagy előnye az volt, hogy egyértelmű opt-in beleegyezést kell kérni, ha a vállalatok felhasználói adatokat akarnak feldolgozni. A hozzájáruláson kívül a GDPR 6. cikkének (1) bekezdése szerint öt másik jogalap is létezik az adatkezelésre. Az egyik ilyen jogalap a "szerződés teljesítéséhez szükséges" adatkezelés. 2018.5.25-én éjfélkor, amikor a GDPR alkalmazandóvá vált, a Facebook egyszerűen olyan dolgokat nevezett meg a szerződési feltételeiben, mint a "személyre szabott reklám". A Facebook most azzal érvel, hogy "kötelessége személyre szabott hirdetést nyújtani" a felhasználóknak, ezért nincs szüksége a felhasználó hozzájárulására a személyes adatainak kezeléséhez.
A nagy különbség a hozzájárulás és a szerződés között? A GDPR nagyon szigorú szabályokat tartalmaz a hozzájárulásra vonatkozóan. A felhasználókat teljes körűen tájékoztatni kell, szabadon dönthetnek arról, hogy hozzájárulnak-e vagy sem, és az adatkezelés minden egyes típusához konkrétan hozzá kell tudni járulni. A felhasználók továbbá bármikor és ingyenesen visszavonhatják a hozzájárulást. A szerződések azonban az egyes nemzeti jogszabályok hatálya alá tartoznak, és általában sokkal rugalmasabbak. A felhasználóknak nem kell megérteniük a szerződést ahhoz, hogy kötelezettek legyenek, a részleteket elrejthetik a "szerződési feltételekben", és a "fogadd el, vagy hagyd el" alapon jöhetnek létre.
Katherina Raabe-Stuppnig, LGP, Schrems úr képviseletében: "A Facebook egyszerűen megpróbálja átcímkézni az érvénytelen hozzájárulást, hogy megkerülje a GDPR-t. Minden más vállalat megfelelő hozzájárulást szerez be - csak a Facebook gondolja úgy, hogy ezt megkerülheti", továbbá"Csak azért, mert a hozzájárulási nyilatkozatot szerződésbe helyezi át, azt továbbra is hozzájárulásként kell kezelni. A szerződéseket mindig is elsősorban a valódi céljuk szerint kellett értelmezni. A szerződésben szereplő hozzájárulást tehát pontosan hozzájárulásként kell értelmezni"
a felhasználók 64%-a "beleegyezést", 1,6%-a "reklámszerződést" lát benne. noyb a Gallup Institute megbízásából készített egy tanulmányt, amelyben 1000 osztrák Facebook-felhasználót kérdeztek meg arról, hogyan értik a megállapodást. Mintegy kétharmaduk úgy értelmezte a vonatkozó oldalt, hogy a Facebook hozzájárulást kér, csak mintegy 10% látott benne "szerződést", amelyből mindössze 16 felhasználó értette úgy, hogy a Facebook állítása szerint személyre szabott reklámok nyújtására vonatkozó kötelezettséget jelent (összesen 1,6%). A két alsóbb szintű osztrák bíróság azonban úgy vélte, hogy kizárólag a Facebook mérlegelési jogkörébe tartozik, hogy egy kifejezést "szerződésnek" vagy "hozzájárulásnak" tekintsen. Következésképpen nem láttak problémát a Facebook megkerülésében, de azt is megállapították, hogy a kérdést a legfelsőbb bíróságoknak kell tisztázniuk.
A GDPR aláásása? A Facebook megközelítése egyértelmű jelzésnek is tekinthető a GDPR (legalábbis szellemének) figyelmen kívül hagyására, miközben a Facebook azt állítja, hogy teljes mértékben megfelel a GDPR-nak. A Der Standard idézte a GDPR-t tárgyaló Sofie in 't Veld liberális európai parlamenti képviselőt, aki így nyilatkozott: "A hozzájárulás kérésének követelménye szilárdan meg kell maradnia. A szerződési feltételek nem használhatók kibúvó záradékként e követelmény, vagy akár az adatfeldolgozás bármely más jogalapja alól. A GDPR célja egyértelműen az, hogy a felhasználóknak adjon kontrollt az adataik felett. Nem pedig arra, hogy a Facebook kicsalhassa a felhasználóktól a személyes adataikat"
Az adatvédelmi hatóság tétlensége. Ugyanezt az ügyet a noyb több mint 2,5 évvel ezelőtt az ír adatvédelmi bizottság (DPC) előtt is felvetette. Az állítólagos "kényszerített hozzájárulás" ügyében indított három vizsgálat azonban lassan haladt, és a "megkerülés" lényegi kérdését az eljárás keretein kívül esőnek találták. Az osztrák ügyben a Facebook azzal érvelt, hogy a "megkerülés" azt követően került végrehajtásra, hogy tíz megbeszélést folytatott a DPC-vel, amely a "megkerülést" a közösségi médiavállalattal közösen dolgozta ki. A DPC ezt tagadta, de nem volt hajlandó nyilvánosságra hozni a Facebookkal folytatott tíz bizalmas megbeszélés részleteit a GDPR-t megelőzően. Az ír ügyek közül kettő ügye jelenleg az ír legfelsőbb bíróság előtt van folyamatban, a harmadik ügy pedig az osztrák szövetségi közigazgatási bíróság (BVwG) előtt van folyamatban.
Ígéretes eredmények. Az osztrák Legfelsőbb Bíróság korábban már utalt hasonló ügyeket az EUB elé (lásd pl. C-18/18 - Glawischnig-Piesczek, C-498/16 - Schrems). Az EUB viszont korábban többnyire a Facebook ellen döntött adatvédelmi ügyekben (lásd pl. C-40/17 - Fashion ID vagy C-210/16 - Wirtschaftsakademie Schleswig-Holstein), különösen a Facebook ellen az EU-USA adattovábbítással kapcsolatban indított két, "Schrems I" és "Schrems II" elnevezésű ügyben. Nem valószínűtlen tehát, hogy a Facebookra komoly gondok várnak. Az osztrák legfelsőbb bíróság nem tart szóbeli tárgyalásokat, és általában néhány hónap alatt, írásbeli határozatban dönt az EUB elé terjesztett ügyekről. Magának az EUB-nek azonban akár 1,5 év is szükséges ahhoz, hogy minden tárgyalást lefolytasson és döntést hozzon.