Austriacki Sąd Najwyższy (OGH): Meta musi zapewnić pełny dostęp do wszystkich danych osobowych użytkownika w ciągu 14 dni, w tym źródeł, odbiorców i celów, dla których każda informacja została wykorzystana. Wszystkie roszczenia Meta dotyczące tajemnic handlowych lub innych ograniczeń zostały odrzucone, co doprowadziło do bezprecedensowego dostępu do wewnętrznego funkcjonowania Meta. Meta nielegalnie gromadziła również dane z aplikacji i stron internetowych osób trzecich i może dostarczać spersonalizowane reklamy tylko wtedy, gdy użytkownik wyrazi na to "konkretną, świadomą, jednoznaczną i dobrowolną" zgodę. Meta musi również zapewnić, że dane ujawniające informacje wrażliwe (takie jak poglądy polityczne, orientacja seksualna lub stan zdrowia) nie będą przetwarzane razem z innymi danymi, chyba że ma zastosowanie ważna podstawa prawna zgodnie z art. 9 ust. 2 RODO. Meta nie może uniknąć stosowania art. 9 RODO, argumentując, że nie gromadzi takich danych celowo lub że nie może ich technicznie rozróżnić lub oddzielić. Sprawa wniesiona przez Maxa Schremsa w 2014 r. trwała pierwotnie 11 lat i trzykrotnie trafiła do austriackiego Sądu Najwyższego oraz dwukrotnie do TSUE. Panu Schremsowi przyznano odszkodowanie w wysokości 500 euro.
Pełny dostęp do wszystkich danych osobowych i innych informacji w ciągu 14 dni. Zgodnie z art. 15 RODO, Meta musi dostarczyć nie tylko pełną kopię 1:1 wszystkich danych osobowych każdemu użytkownikowi, który o to poprosi, ale także dostarczyć informacji o celach, dla których dane te były przetwarzane, źródłach i odbiorcach każdego fragmentu informacji. Od 2011 r. powód (Max Schrems) próbował uzyskać pełny dostęp do swoich danych osobowych, ale Meta zapewniała jedynie częściowy dostęp. W przypadku przeciętnych użytkowników Meta odsyłała jedynie do "narzędzia pobierania", które zawierało tak zwane "istotne" informacje, a poza tym odsyłała do swojej ogólnej polityki prywatności. Austriacki Sąd Najwyższy zdecydował teraz, że Meta musi ujawnić wszystkie dane osobowe (każdy ich fragment), a także podać szczegółowe informacje na temat wszystkich danych, takich jak źródło, odbiorca lub cel przetwarzania, a wszystko to w terminie 14 dni do 31.12.2025 r. Domyślny termin wynikający z ustawy to jeden miesiąc - który upłynął już lata temu. Twierdzenia Mety dotyczące rzekomych ograniczeń jakiegokolwiek pełnego prawa dostępu (takich jak tajemnice handlowe itp.) nie zostały odpowiednio uargumentowane przez Metę i dlatego zostały w pełni odrzucone. Ostateczne i bezpośrednio wykonalne orzeczenie austriackiego Sądu Najwyższego doprowadzi zatem do bezprecedensowego dostępu pana Schremsa do praktyki Meta w zakresie przetwarzania jego (i w rzeczywistości każdego innego) danych użytkownika.
Katharina Raabe-Stuppning, austriacka prawniczka reprezentująca powoda: "Zajęło to 11 lat, ale teraz zapadło ostateczne orzeczenie, zgodnie z którym Meta musi zapewnić bezprecedensowy dostęp do wszystkich danych, jakie kiedykolwiek zgromadziła na temat pana Schremsa. Wykracza to daleko poza narzędzie do pobierania lub informacje na stronie internetowej. Przez ponad dekadę Meta opierała się zapewnieniu pełnej przejrzystości w zakresie danych przetwarzanych przez europejskich użytkowników. Orzeczenie jest bezpośrednio wykonalne w całej UE."
Model reklamowy Meta od lat niezgodny z prawem w UE. Austriacki Sąd Najwyższy orzekł również, że Meta musi zaprzestać dostarczania spersonalizowanych reklam panu Schremsowi, ponieważ nigdy nie miała podstawy prawnej do przetwarzania jego danych osobowych w tym celu. W tym względzie roszczenia pana Schremsa zostały w dużej mierze obalone przez sprawę TSUE w sprawie C-252/21 Bundeskartellamt, w której TSUE orzekł już, że Meta nie ma niezbędnej podstawy prawnej do przetwarzania danych osobowych Europejczyka w celach reklamowych.
Katharina Raabe-Stuppning: "Austriacki Sąd Najwyższy - po raz kolejny - jasno stwierdził, że Meta potrzebuje zgody na śledzenie ludzi i wykorzystywanie ich danych do celów reklamowych"
Oddzielenie "danych wrażliwych" od innych danych. Zgodnie z art. 9 RODO niektóre "wrażliwe" dane są szczególnie chronione. Obejmują one informacje dotyczące zdrowia, poglądów politycznych, życia seksualnego lub orientacji seksualnej. Meta kategorycznie zaprzecza, że musi traktować takie dane - które otrzymuje za pośrednictwem aplikacji stron trzecich, strony internetowej lub poprzez aktywność użytkowników na swoich platformach - inaczej niż inne dane. Austriacki Sąd Najwyższy wyjaśnił jednak, że nawet jeśli Meta nie wykorzystałaby takich danych celowo (twierdzenie, które zostało zakwestionowane w postępowaniu), to i tak musi przestrzegać prawa.
Max Schrems: "Platformy takie jak Facebook czy Instagram mają ogromny wpływ, na przykład poprzez narzucanie użytkownikom poglądów politycznych. Twierdzenie, że Meta nie przetwarza takich danych i nie musi przestrzegać prawa, zawsze było absurdalne. Decyzja ta jasno pokazuje, że Meta nie może wykorzystywać takich preferencji użytkownika bez jego wyraźnej zgody."
Odszkodowanie w wysokości 500 euro realne dla większości użytkowników Meta. Poprzednia decyzja częściowa przyznała już panu Schremsowi odszkodowanie w wysokości 500 euro za opóźnienie w udzieleniu odpowiedzi na jego wniosek o dostęp. Pan Schrems oparł się również na innych naruszeniach RODO dla tego roszczenia. Orzeczenie wydaje się być niejasne co do podstaw przyznanego odszkodowania, ale wydaje się, że odszkodowanie w wysokości co najmniej 500 euro zostało uznane przez austriacki Sąd Najwyższy za zdecydowanie uzasadnione w przypadku naruszeń, których doświadczył prawie każdy użytkownik Meta. Pan Schrems nie prosił o więcej, więc Sąd był związany kwotą 500 euro jako górną granicą.
Katharina Raabe-Stuppning: "Wydaje się realistyczne, że osoby, których dane dotyczą, mogą domagać się co najmniej 500 euro zadośćuczynienia za rozległe naruszenia RODO, których dopuściła się Meta. Może to być dobry wyznacznik dla wielu innych spraw toczących się w Europie"
11 lat, 3 orzeczenia Sądu Najwyższego i 2 orzeczenia TSUE. W sumie sprawa ta trwała 11 lat. Początkowo Regionalny Sąd Cywilny w Wiedniu (Landesgericht für Zivilrechtssachen) dwukrotnie odmówił rozpatrzenia sprawy, nawet argumentując, że pan Schrems nie jest "konsumentem" swojego prywatnego konta na Facebooku. Później powołał się na niepewność co do jurysdykcji na mocy RODO. Austriacki Sąd Najwyższy rozstrzygał sprawę trzykrotnie, w tym dwukrotnie odwołując się do Trybunału Sprawiedliwości UE. Podczas gdy ostateczne orzeczenie w sprawie kosztów jest zastrzeżone, całkowite koszty postępowania sądowego do tej pory przekroczyły 200.000 euro - przy roszczeniu finansowym wynoszącym około 500 euro.
Max Schrems: "Rzeczywistość sporów sądowych dotyczących GDPR jest taka, że dla przeciętnej osoby trwa to dekadę i jest rujnujące. Duże firmy technologiczne chowają się za jurysdykcjami takimi jak Irlandia, przedstawiają 100 powodów, dla których sprawy powinny zostać oddalone i sabotują procedury na każdym kroku. Musimy pilnie pracować nad tym, by RODO było egzekwowalne w praktyce"
Niektóre roszczenia zostały oddalone. W trakcie postępowania pan Schrems zrezygnował z szeregu roszczeń ze względu na koszty i względy proceduralne. Niektóre roszczenia zostały również wniesione jako roszczenia alternatywne (więc tylko jedno z roszczeń mogło zakończyć się sukcesem). Sprawa została znacznie przedłużona przez bardzo niekorzystne orzeczenia w pierwszej instancji, ponieważ zgodnie z prawem austriackim bardzo trudno jest na przykład obalić ustalenia faktyczne w pierwszej instancji. Wiele uzasadnionych roszczeń musiało zatem zostać odrzuconych.
