Rakúsky najvyšší súd (OGH): Meta musí do 14 dní poskytnúť úplný prístup ku všetkým osobným údajom používateľa vrátane zdrojov, príjemcov a účelov, na ktoré boli jednotlivé informácie použité. Všetky tvrdenia spoločnosti Meta o obchodnom tajomstve alebo iných obmedzeniach boli zamietnuté, čo viedlo k bezprecedentnému prístupu k vnútornému fungovaniu spoločnosti Meta. Meta tiež nezákonne zhromažďovala údaje z aplikácií a webových stránok tretích strán a môže poskytovať personalizovanú reklamu len vtedy, ak používateľ poskytol "konkrétny, informovaný, jednoznačný a slobodne daný" súhlas. Spoločnosť Meta musí tiež zabezpečiť, aby sa údaje odhaľujúce citlivé informácie (napríklad politické názory, sexuálnu orientáciu alebo zdravotný stav) nespracúvali spolu s inými údajmi, pokiaľ sa neuplatňuje platný právny základ podľa článku 9 ods. 2 GDPR. Spoločnosť Meta sa nemôže vyhnúť uplatňovaniu článku 9 GDPR tvrdením, že takéto údaje nezhromažďuje zámerne alebo že ich nemôže technicky rozlíšiť alebo oddeliť. Prípad, ktorý v roku 2014 podal Max Schrems, pôvodne trval 11 rokov a trikrát sa dostal pred rakúsky Najvyšší súd a dvakrát pred Súdny dvor EÚ. Pánovi Schremsovi bolo priznané odškodné vo výške 500 eur.
Úplný prístup ku všetkým osobným údajom a ďalším informáciám do 14 dní. Podľa článku 15 GDPR musí spoločnosť Meta každému používateľovi, ktorý o to požiada, poskytnúť nielen úplnú kópiu všetkých osobných údajov v pomere 1:1, ale aj informácie o účeloch, na ktoré boli tieto údaje spracované, o zdrojoch a príjemcoch jednotlivých informácií. Od roku 2011 sa žalobca (Max Schrems) snažil získať úplný prístup k svojim osobným údajom, ale spoločnosť Meta mu poskytla len čiastočný prístup. Pre bežných používateľov Meta odkazovala len na "nástroj na sťahovanie", ktorý obsahoval tzv. relevantné informácie, a inak odkazovala na svoje všeobecné zásady ochrany osobných údajov. Rakúsky najvyšší súd teraz rozhodol, že Meta musí zverejniť všetky osobné údaje (každý kúsok) a poskytnúť aj konkrétne informácie o všetkých údajoch, ako je zdroj, príjemca alebo účel spracovania, a to všetko v 14-dňovej lehote, ktorá sa končí 31. 12. 2025. Štandardná lehota podľa zákona je jeden mesiac - ktorá uplynula už pred rokmi. Tvrdenia spoločnosti Meta o údajnom obmedzení akéhokoľvek úplného práva na prístup (ako napríklad obchodné tajomstvo a podobne) neboli spoločnosťou Meta riadne argumentované, a preto boli v plnom rozsahu zamietnuté. Konečné a priamo vykonateľné rozhodnutie rakúskeho najvyššieho súdu preto povedie k bezprecedentnému prístupu pána Schremsa k praxi spoločnosti Meta pri spracúvaní jeho (a v skutočnosti kohokoľvek iného) používateľských údajov.
Katharina Raabe-Stuppning, rakúska právnička zastupujúca žalobcu: "Trvalo to 11 rokov, ale teraz je tu konečné rozhodnutie, že Meta musí poskytnúť bezprecedentný prístup ku všetkým údajom, ktoré o pánovi Schremsovi kedy zhromaždila. To ďaleko presahuje rámec nástroja na sťahovanie alebo informácií na webovej stránke. Viac ako desať rokov sa spoločnosť Meta bránila poskytnúť úplnú transparentnosť o tom, aké údaje o európskych používateľoch spracúva. Rozhodnutie je priamo vykonateľné v celej EÚ."
Reklamný model spoločnosti Meta je v EÚ už roky nezákonný. Rakúsky najvyšší súd tiež rozhodol, že Meta musí prestať poskytovať pánovi Schremsovi personalizované reklamy, keďže nikdy nemala právny základ na spracúvanie jeho osobných údajov na tento účel. V tomto ohľade boli tvrdenia pána Schremsa do značnej miery prekonané prípadom C-252/21 Bundeskartellamt, v ktorom už Súdny dvor EÚ rozhodol, že Meta nemá potrebný právny základ na spracúvanie osobných údajov Európana na účely reklamy.
Katharina Raabe-Stuppning: "Rakúsky najvyšší súd - opäť - jasne uviedol, že spoločnosť Meta potrebuje súhlas na sledovanie ľudí a používanie ich údajov na reklamu."
Oddelenie "citlivých údajov" od ostatných údajov. Podľa článku 9 GDPR sú určité "citlivé" údaje osobitne chránené. Patria sem informácie týkajúce sa zdravia, politických názorov, sexuálneho života alebo sexuálnej orientácie. Spoločnosť Meta kategoricky odmieta, že musí s takýmito údajmi - ktoré získava prostredníctvom aplikácií tretích strán, webových stránok alebo prostredníctvom aktivity používateľov na svojich platformách - zaobchádzať inak ako s ostatnými údajmi. Rakúsky najvyšší súd však jasne uviedol, že aj keby Meta takéto údaje nepoužívala úmyselne (tvrdenie, ktoré bolo v konaní spochybnené), musí napriek tomu dodržiavať zákon.
Max Schrems: "Platformy ako Facebook alebo Instagram majú obrovský vplyv, napríklad prostredníctvom vnucovania politických názorov používateľom. Pre spoločnosť Meta bolo vždy absurdné tvrdiť, že takéto údaje nespracúva a nesmie dodržiavať zákon. V rozhodnutí sa jasne uvádza, že Meta nesmie používať takéto preferencie používateľov bez výslovného súhlasu každého používateľa."
Odškodnenie vo výške 500 EUR je reálne pre väčšinu používateľov Meta. Predchádzajúcim čiastkovým rozhodnutím už bola pánovi Schremsovi priznaná náhrada škody vo výške 500 EUR za oneskorenú odpoveď na jeho žiadosť o prístup. Pán Schrems sa pri tomto nároku odvolával aj na ďalšie porušenia GDPR. Zdá sa, že rozhodnutie nie je jasné, pokiaľ ide o dôvody priznanej náhrady škody, ale zdá sa, že rakúsky najvyšší súd považoval škodu vo výške aspoň 500 EUR za rozhodne opodstatnenú za porušenia, s ktorými sa stretol takmer každý používateľ Meta. Pán Schrems nežiadal viac, takže súd bol viazaný sumou 500 EUR ako hornou hranicou.
Katharina Raabe-Stuppning: "Zdá sa, že je reálne, aby dotknuté osoby požadovali aspoň 500 EUR nemajetkovej ujmy za rozsiahle porušenia GDPR, ktorých sa spoločnosť Meta dopustila. To by mohol byť dobrý dolný ukazovateľ pre mnohé ďalšie prípady, ktoré sa v Európe riešia."
potrebných 11 rokov, 3 rozhodnutia Najvyššieho súdu a 2 rozhodnutia Súdneho dvora EÚ. Celkovo tento prípad trval 11 rokov. Pôvodný Krajinský občianskoprávny súd vo Viedni (Landesgericht für Zivilrechtssachen) sa prípadom odmietol zaoberať dvakrát, a to dokonca s odôvodnením, že pán Schrems nie je "spotrebiteľom" pre svoje súkromné konto na Facebooku. Neskôr sa odvolával na neistotu v súvislosti s príslušnosťou podľa GDPR. Rakúsky najvyšší súd rozhodoval vo veci trikrát, a to aj tak, že sa dvakrát obrátil na Súdny dvor EÚ. Hoci si konečné rozhodnutie o trovách konania vyhradil, celkové náklady na súdny spor doteraz presiahli 200 000 EUR - pri finančnom nároku približne 500 EUR.
Max Schrems: "Realita súdnych sporov týkajúcich sa GDPR je taká, že pre priemerného človeka trvajú desať rokov a sú ruinujúce. Veľké technologické spoločnosti sa skrývajú za jurisdikcie, ako je Írsko, uvádzajú 100 dôvodov, prečo by mali byť prípady zamietnuté, a sabotujú postupy na každom rohu. Musíme urýchlene pracovať na tom, aby sa nariadenie GDPR stalo v praxi vymožiteľným."
Niektoré žaloby boli zamietnuté. V priebehu konania sa pán Schrems vzdal viacerých nárokov z dôvodu nákladov a procesných dôvodov. Niektoré nároky boli podané aj ako alternatívne nároky (takže úspešná mohla byť len jedna z nich). Prípad sa masívne predlžoval v dôsledku veľmi nepriaznivých rozhodnutí v prvom stupni, keďže podľa rakúskeho práva je napríklad veľmi ťažké zvrátiť skutkové zistenia v prvom stupni. Mnohé oprávnené nároky preto museli byť zamietnuté.
