PREKÁŽKA: Rakúsky najvyšší súd sa pýta Súdneho dvora EÚ, či Facebook "podkopáva" GDPR tým, že zamieňa "súhlas" s údajnou "zmluvou".
V dlhoročnom občianskoprávnom spore medzi Maxom Schremsom a spoločnosťou Facebook rakúsky najvyšší súd (Oberster Gerichtshof alebo "OGH") prijal žiadosť pána Schremsa o predloženie viacerých otázok Súdnemu dvoru Európskej únie (SDEÚ, najvyšší súd EÚ). Tieto štyri otázky vyvolávajú zásadné pochybnosti o zákonnosti používania údajov všetkých zákazníkov Facebooku v EÚ.
Rakúsky najvyšší súd zároveň v čiastočnom rozsudku rozhodol, že pán Schrems dostane symbolické emocionálne odškodnenie vo výške 500 EUR, pretože spoločnosť Facebook neposkytla úplný prístup k údajom pána Schremsa, ale namiesto toho zorganizovala "vajíčkový lov" na údaje používateľov.
- Odkaz na SDEÚ vrátane otázok (v nemeckom origináli)
- Odoslanie na SDEÚ vrátane otázok (anglický preklad)
- Vyhlásenie našej právničky Katharine Raabe-Stuppnig
(1) Odkaz na SDEÚ:
Základná otázka: "Súhlas" alebo "zmluva"? Rakúsky najvyšší súd má pochybnosti o právnom základe, ktorý spoločnosť Facebook používa na takmer celé spracovanie údajov používateľov. GDPR uvádza šesť možností zákonného spracúvania osobných údajov, medzi nimi "súhlas" a "zmluva". Na "zmluvu" sa môžete odvolávať len vtedy, ak je spracúvanie nevyhnutné na plnenie zmluvy.
Pred zavedením nariadenia GDPR spoločnosť Facebook tvrdila, že používatelia "súhlasili" so spracovaním ich personalizovanej reklamy. Nariadenie GDPR však zvýšilo požiadavky na platnosť súhlasu a tiež dalo používateľom právo kedykoľvek svoj súhlas odvolať.
Takže 25. mája 2018, keď začalo platiť nariadenie GDPR, spoločnosť Facebook už netvrdila, že sa spolieha na súhlas. Namiesto toho spoločnosť Facebook uviedla, že doložky o súhlase treba vnímať ako "zmluvu", v ktorej si používatelia "objednali" personalizovanú reklamu. Podľa názoru spoločnosti Facebook jej toto obchádzanie umožňuje zbaviť používateľov všetkých práv spojených so súhlasom podľa nariadenia GDPR. Požiadavky na "slobodne daný" alebo "informovaný" súhlas by už neplatili, ak by sa vykladal ako "zmluva".
Max Schrems, predseda noyb.eu:"Facebook sa snaží zbaviť používateľov mnohých práv vyplývajúcich z GDPR tým, že jednoducho "reinterpretuje" súhlas ako občianskoprávnu zmluvu. Nebolo to nič iné ako lacný pokus o obídenie GDPR."
OGH: Spoločnosť Facebook by mohla nezákonne "obísť" nariadenie GDPR. Zdá sa, že rakúsky najvyšší súd zdieľa tieto obavy. Rakúsky najvyšší súd vo svojom rozhodnutí o postúpení veci Súdnemu dvoru EÚ v bode 54 rozhodnutia o postúpení veci zhrnul svoje pochybnosti, či Facebook môže jednoducho vymeniť článok 6 ods. 1 písm. a) a b) GDPR:
"Základnou otázkou tohto konania je, či vyhlásenie o úmysle spracúvať môže žalovaný posunúť pod právny pojem podľa článku 6 ods. 1 písm. b) GDPR, aby tým "oslabil" podstatne vyššiu ochranu, ktorú žalobcovi poskytuje právny základ "súhlas"."
Max Schrems:"V podstate všetko používanie údajov, ktoré Facebooku v EÚ prináša zisky, sa opiera o tento právny argument. Ak by Facebook prehral na Súdnom dvore EÚ, musel by to nielen zastaviť a vymazať všetky nezákonne generované údaje, ale aj zaplatiť miliónom používateľov odškodné. Z tohto odkazu mám veľkú radosť."
Ďalšie otázky týkajúce sa minimalizácie údajov a citlivých údajov. Rakúsky najvyšší súd predložil Súdnemu dvoru ďalšie tri otázky týkajúce sa zákonnosti používania osobných údajov spoločnosťou Facebook. Súdny dvor EÚ bude musieť rozhodnúť, či je používanie všetkých údajov na stránke facebook.com a z nespočetného množstva ďalších zdrojov, ako sú webové stránky, ktoré používajú tlačidlá "To sa mi páči" na Facebooku alebo reklamy, na akýkoľvek účel v súlade so zásadou "minimalizácie údajov" podľa GDPR. Ďalšie dve otázky sa týkajú používania citlivých údajov (ako sú politické názory alebo sexuálna orientácia) spoločnosťou Facebook na účely personalizovanej reklamy.
Max Schrems:"Tieto ďalšie otázky sú kľúčové. Facebook už možno nebude môcť používať všetky údaje na reklamu, aj keď získal platný súhlas. Rovnako možno bude musieť filtrovať citlivé údaje, ako sú politické názory alebo údaje o sexuálnej orientácii. Facebook doteraz tvrdil, že medzi týmito typmi údajov nerozlišuje."
(2) Čiastočný rozsudok o náhrade škody, prístupe, úlohách a "veľkonočných vajíčkach"
Okrem toho rakúsky najvyšší súd vydal konečný rozsudok o niektorých požiadavkách, o ktorých možno rozhodnúť bez potreby obrátiť sa na Súdny dvor EÚ.
- Nemecký originál právnej diskusie v rámci čiastkového rozsudku
- Anglický preklad právnej diskusie v rámci čiastkového rozsudku
500 EUR za "masívne obťažovanie", nedostatočný prístup k údajom a "veľkonočné vajcia". Rakúsky najvyšší súd rozhodol, že pán Schrems dostane peňažnú náhradu vo výške 500 €, pretože mu spoločnosť Facebook neposkytla úplný prístup k jeho údajom. Súd rozhodol, že nedostal ani všetky nespracované údaje, ani zásadné informácie, ako napríklad právny základ, na základe ktorého boli jeho údaje spracované. Súd zdôraznil, že údaje, ktoré Facebook ponúkal prostredníctvom svojho online nástroja, boli rozptýlené medzi viac ako 60 kategórií údajov so stovkami, ak nie tisíckami dátových bodov, ktorých prehľadávanie by trvalo niekoľko hodín.
Súdny dvor rozhodol v bode 153: "Žalobca správne poukazuje na to, že GDPR je založené na jednorazovej žiadosti o prístup, nie na "hľadaní veľkonočných vajíčok".
Rakúsky najvyšší súd sa pomerne jasne vyjadril aj k tvrdeniu Facebooku, že pánovi Schremsovi poskytol všetky údaje, ktoré považoval za "relevantné" (bod 152):
"Skutočnosť, že povinnosť poskytnúť informácie nemôže závisieť len od vlastného posúdenia žalovaného ("relevantné"), si nevyžaduje ďalšie vysvetlenie."
Dôkazné bremeno na strane spoločnosti Facebook. Najvyšší súd tiež často zdôrazňoval, že Facebook má dôkazné bremeno preukázať, že poskytol úplný prístup alebo že spracovanie je zákonné (napr. v bode 151). Spoločnosť Facebook počas konania zastávala názor, že bude na pánovi Schremsovi, aby preukázal, že spoločnosť Facebook neposkytla všetky údaje, a jednoducho odmietla odpovedať na otázky pána Schremsa.
Kto "vlastní" údaje na Facebooku? V tomto prípade boli spochybnené úlohy aktérov na platforme Facebook. Pán Schrems tvrdil, že on je v prvom rade zodpovedný za údaje o svojom profile alebo správach na Facebooku (z právneho hľadiska ako "správca"), čo znamená, že Facebook sa musí riadiť jeho príkazmi napríklad pri vymazávaní údajov (ako obyčajný "spracovateľ"). Spoločnosť Facebook zastávala názor, že je "správcom" všetkých údajov používateľov na Facebooku - s určitými výnimkami. Rakúsky súd Surpeme uviedol, že táto záležitosť je irelevantná, keďže používanie Facebooku by spadalo pod "výnimku pre domácnosti", a preto by táto záležitosť nevznikla.
Max Schrems:"V tomto prvku sme technicky "prehrali", ale podľa názoru súdu by spoločnosť Facebook niesla právnu zodpovednosť za akékoľvek nezákonné spracovanie na facebook.com - aj keď ho vykonávajú iné osoby. Navrhovali sme diferencovanejší výsledok, ale Súdny dvor sa ním nezaoberal."
