Wiedeński Sąd Najwyższy (Oberlandesgericht Wien) wydał dzisiaj wyrok, w którym orzekł, że Facebook musi wypłacić panu Schremsowi 500 euro tytułem odszkodowania za szkody emocjonalne i udzielić mu pełnego dostępu do wszystkich danych, które Facebook posiada na jego temat. Internetowy gigant nie musi jednak uzyskiwać zgody użytkowników na wykorzystywanie ich danych na mocy unijnego prawa o ochronie danych (PKBR). Zamiast tego Facebook może po prostu przyznać sobie prawo do wykorzystania wszystkich danych na swoich warunkach.
- Wyrok (niemiecki oryginał, odnośne części od strony 22)
- Wyrok (Angielskie tłumaczenie maszynowe, odpowiednie części od strony 22)
"Ominięcie zgody" Facebooka jest legalne? PKBR pozwala na różne podstawy przetwarzania danych osobowych: Na przykład, zgoda lub umowa. Umowy cywilnoprawne nie muszą spełniać surowych wymogów "zgody" w ramach GDPR. Oznaczałoby to, że firma nie musi dawać użytkownikom wolnego wyboru i uzyskiwać odrębnej i jednoznacznej zgody. Poza systemem wyrażania zgody, użytkownicy nie mogliby wtedy również wycofać swojej zgody, gdy zmieniliby zdanie.
Podążając za tym pomysłem, Facebook po prostu skopiował poprzednią zgodę do warunków swojego prawa cywilnego w nocy z 25.5.2018 r., kiedy weszła w życie GDPR. Firma twierdzi teraz, że ma "umowę" na przetwarzanie danych użytkowników. Ten nowy kontrakt zastępuje zatem zgodę, która została wykorzystana przed wejściem w życie PKBR. Miało to wyraźnie na celu obejście surowszych wymogów ochrony danych wymaganych przez prawodawców UE: Użytkownicy Facebooka mają obecnie mniej praw w ramach GDPR niż wcześniej na mocy starej ustawy o ochronie danych, ponieważ według Wiedeńskiego Sądu Najwyższego zawarli oni umowę na otrzymywanie spersonalizowanych reklam.
Jednak w reprezentatywnej ankiecie przeprowadzonej wśród 1000 użytkowników Facebooka tylko 1,6% użytkowników przyznało się do takiej "umowy". Większość z nich zakładała "zgodę" - podobnie jak powód. Europejska Rada Ochrony Danych (EDPB) również wyraźnie nie zezwala na zawieranie "umów o wykorzystanie danych" zamiast zgody.
Schrems:"Austriacki sąd zezwala Facebookowi na ominięcie nowych wymogów dotyczących PKBR. Facebook skopiował właśnie "zgodę" do innego dokumentu w nocy, w której wszedł w życie GDPR, i twierdzi, że byłby to kontrakt, a nie zgoda. W konsekwencji Europejczycy zostaliby pozbawieni swojej nowej ochrony. Facebook wyraźnie nadużywa prawa i nie można tego tolerować"
Facebook musi zapłacić 500 euro i zapewnić pełny dostęp do danych. Z drugiej strony Facebook stracił swój apel o prawo dostępu. Sądy austriackie w dwóch przypadkach orzekły, że Facebook nie zapewnia użytkownikom pełnego dostępu do wszystkich istotnych danych w swoich różnych "narzędziach dostępu". Trybunał orzekł również, że użytkownicy mają prawo do uzyskania informacji, które inne strony przekazały dane Facebookowi lub czy i komu Facebook przekazał dane. W związku z tym, że Facebook konsekwentnie pozostawiał A. Schremsa w niewiedzy na temat tych danych, są oni zobowiązani do zapłaty co najmniej symbolicznej kwoty 500 EUR, o którą A. Schrems wnioskował w ramach szkód emocjonalnych.
Schrems:"Jest rzeczą oczywistą, że Facebook w rzeczywistości nie dostarcza istotnych informacji. Cieszęsię, że Trybunał dopuścił również odszkodowania w takich przypadkach, w których firmy konsekwentnie odmawiają użytkownikom prawa do informacji o tym, jakie dane na ich temat posiada dana firma"
Odwołanie się do austriackiego Sądu Najwyższego i ewentualne odwołanie do TSUE: Wiedeński Sąd Najwyższy zezwolił na odwołanie się do Austriackiego Sądu Najwyższego (OGH). Pan Schrems wniesie takie odwołanie do swojej prawniczki Kathariny Raabe-Stuppnig. Jest prawdopodobne, że austriacki Sąd Najwyższy może skierować te sprawy do Europejskiego Trybunału Sprawiedliwości (TSUE). Sąd Najwyższy w UE miałby ostateczny wybór, czy ominięcie GDPR przez Facebook jest legalne.
Schrems:"Wydaje się, że Trybunał nie przyjrzał się bliżej wielu problemom, które podnosi ta sprawa. Wyraźnie postaramy się doprowadzić tę sprawę aż do sądów najwyższych. Wiosną 2021 r. może pojawić się odniesienie do Trybunału Sprawiedliwości UE w kluczowych kwestiach. Jeśli pozwoli się przemysłowi tylko dodać linię do swoich warunków, aby ominąć wymogi zgody GDPR, możemy rozbić dużą część PKBR"
