Wiens högsta domstol (Oberlandesgericht Wien) har i dag meddelat att Facebook måste betala Schrems 500 euro i känslomässigt skadestånd och ge honom full tillgång till alla uppgifter som Facebook har om honom. Internetjätten behöver dock inte inhämta samtycke från användarna för att använda deras uppgifter enligt EU:s dataskyddslag (artikel 6.1 a i GDPR). I stället kan Facebook helt enkelt ge sig själv rätt att använda alla uppgifter i sina allmänna villkor (artikel 6.1 b i GDPR).
- Dom (tyskt original, relevanta delar från sidan 22)
- Dom (engelsk maskinöversättning, relevanta delar från sidan 22)
Är Facebooks "samtyckesbypass" laglig? Dataskyddsförordningen tillåter olika grunder för behandling av personuppgifter: Till exempel samtycke eller ett avtal. Civilrättsliga avtal behöver inte uppfylla de strikta kraven på "samtycke" enligt GDPR. Detta skulle innebära att företaget inte behöver ge användarna ett fritt val och erhålla ett separat och otvetydigt samtycke. Förutom inom ramen för samtyckessystemet kan användarna inte dra tillbaka sitt samtycke när de ändrar sig.
Facebook följde denna idé och kopierade helt enkelt det tidigare samtycket till sina civilrättsliga villkor natten till den 25.5.2018, då GDPR trädde i kraft. Företaget påstår sig nu ha ett "avtal" om att behandla användarnas uppgifter. Detta nya avtal ersätter därmed det samtycke som användes innan GDPR trädde i kraft. Detta var uppenbarligen avsett att kringgå de strängare dataskyddskrav som EU:s lagstiftare krävde: Facebook-användare har nu färre rättigheter enligt GDPR än de hade tidigare enligt den gamla dataskyddslagen eftersom de, enligt Wiens högre regionala domstol, har ingått ett avtal om att ta emot personlig reklam.
I en representativ undersökning bland 1.000 Facebook-användare var det dock bara 1,6% av användarna som uppfattade avtalet som ett sådant "kontrakt". Majoriteten antog att det rörde sig om "samtycke" - vilket även käranden gjorde. Europeiska dataskyddsstyrelsen (EDPB) tillåter inte heller uttryckligen "avtal om dataanvändning" i stället för samtycke.
Schrems:"Den österrikiska domstolen tillåter Facebook att kringgå de nya GDPR-kraven. Facebook kopierade bara "samtycket" till ett annat dokument samma natt som GDPR trädde i kraft och hävdar att detta skulle vara ett avtal, inte ett samtycke. Detta skulle få till följd att européerna skulle bli av med sitt nya skydd. Facebook missbrukar helt klart lagen och det kan inte tolereras."
Facebook måste betala 500 euro och ge full tillgång till data. Å andra sidan förlorade Facebook sitt överklagande om rätten till tillgång. De österrikiska domstolarna har i två fall slagit fast att Facebook inte ger användarna full tillgång till alla relevanta uppgifter i sina olika "verktyg" för tillgång. Domstolen ansåg också att användarna har rätt att få veta vilka andra parter som har lämnat uppgifter till Facebook eller om och till vem Facebook har lämnat uppgifter till. Eftersom Facebook konsekvent har lämnat Schrems ovetande om dessa uppgifter är de skyldiga att betala åtminstone det symboliska belopp om 500 euro som Schrems har begärt i känslomässigt skadestånd.
Schrems:"Det är uppenbart att Facebook i själva verket inte tillhandahåller relevant information. Jag är glad att se att domstolen också har tillåtit skadestånd för sådana fall, där företag konsekvent nekar användare deras rätt att veta vilka uppgifter ett företag har om dem."
Överklagande till Österrikes högsta domstol och eventuellt hänskjutande till EU-domstolen: Superior Court i Wien har tillåtit ett överklagande till Österrikes högsta domstol (OGH). Schrems kommer att lämna in ett sådant överklagande tillsammans med sin advokat Katharina Raabe-Stuppnig. Det är troligt att Österrikes högsta domstol kan komma att hänskjuta dessa frågor till EU-domstolen (CJEU). Denna högsta domstol i EU skulle ha det yttersta ordet om Facebooks GDPR-bypass är laglig.
Schrems:"Det verkar som om domstolen inte riktigt har tagit en djupare titt på många av de problem som det här fallet väcker. Vi kommer helt klart att försöka få det här fallet hela vägen upp till de högsta domstolarna. Det skulle kunna bli en hänvisning till EU-domstolen om kärnfrågorna under våren 2021. Om branschen tillåts att bara lägga till en rad i sina villkor för att kringgå GDPR:s samtyckeskrav kan vi riva upp stora delar av GDPR."
