Такъв иск може да бъде предявен независимо дали е налице конкретно нарушение на правото на защита на данните на субект на данни и без мандат за това
Европейският съд публикува решението относно изясняване на проблема с нарушаването от страна на Meta Platforms Ireland на германското законодателство за защита на личните данни, което едновременно съставлява нелоялна търговска практика, нарушение на закон за защита на потребителите и нарушение на забраната за използване на недействителни общи търговски условия.
В съобщението на Съда пише:
Meta Platforms Ireland, по-рано Facebook Ireland, е администратор на лични данни на потребители на онлайн социалната мрежа Facebook в Съюза.
Федерацията на организациите и сдруженията на потребителите (Германия) подава касационна жалба срещу Meta Platforms Ireland като го упреква, че при предлагането на потребителите на достъп до безплатни игри, предоставени от трети лица1 , е нарушило нормите в областта на защитата на личните данни, на борбата срещу нелоялната конкуренция и на защитата на потребителите.
Федералният върховен съд (Германия) посочва, че искът на Федерацията е основателен, но изпитва съмнения относно допустимостта му.
Всъщност тази юрисдикция иска да се установи дали след влизането в сила на Общия регламент относно защитата на данните (GDPR/ОРЗД)2 сдружение за защита на интересите на потребителите, каквото е Федерацията, все още е процесуално легитимирано да предяви иск пред гражданските съдилища за нарушения на този регламент, при това независимо дали е налице конкретно нарушение на права на отделни субекти на данни и без възложен от тях мандат. Освен това тя посочва, че от ОРЗД може да се заключи, че най-вече надзорните органи трябва да контролират прилагането на посочения регламент.
С днешното си решение Съдът констатира, че ОРЗД допуска национална правна уредба, която позволява на сдружение за защита на интересите на потребителите да предяви иск – без да му е възложен мандат за тази цел и независимо дали са нарушени конкретни права на субекти на данни – срещу предполагаемия извършител на посегателство срещу защитата на лични данни, като се позове на нарушаване на забраната за нелоялни търговски практики, на закон за защита на потребителите или на забраната за използване на недействителни общи търговски условия, когато съответното обработване на данни може да засегне правата, които идентифицирани физически лица или физически лица, които могат да бъдат идентифицирани, черпят от този регламент.
В самото начало Съдът посочва, че по принцип с ОРЗД се извършва пълна хармонизация на националните законодателства за защита на личните данни. Някои от разпоредбите на ОРЗД обаче дават възможност на държавите членки да предвидят допълнителни национални правила, които им оставят свобода на преценка относно начина на прилагане на тези разпоредби, стига приетите национални правила да не засягат съдържанието и целите на посочения регламент. В това отношение те могат по-специално да предвидят механизъм за предявяване на представителен иск срещу предполагаемия извършител на посегателство срещу защитата на лични данни, като същевременно определят редица изисквания, които трябва да се спазят.
Най-напред Съдът подчертава, че сдружение за защита на интересите на потребителите, каквото е Федерацията, попада в обхвата на понятието „активно легитимирана структура“ по смисъла на ОРЗД, тъй като то преследва цел от обществен интерес, а именно да се гарантират правата на потребителите. Всъщност нарушаването на нормите в областта на защитата на потребителите или на борба с нелоялните търговски практики може да бъде свързано с нарушаване на норма за защита на личните данни.
По нататък Съдът посочва, че за предявяването на представителен иск е необходимо това сдружение, независимо дали има възложен мандат, да „счита“, че предвидените в ОРЗД права на субект на данни са били нарушени в резултат на обработването на неговите лични данни и не е необходимо да идентифицира предварително и конкретно засегнатия от това обработване субект на данни и да твърди, че е налице конкретно нарушение на правата, черпени от правните норми за защита на данни.
Такова тълкуване е в съответствие с преследваната от ОРЗД цел, а именно да се гарантира високо равнище на защита на личните данни.
Накрая, според Съда ОРЗД допуска национални разпоредби, които предвиждат предявяването на представителни искове срещу нарушения на предоставени с този регламент права и които могат евентуално да се съдържат в норми, които имат за цел защита на потребителите или борба с нелоялните търговски практики.
1 При отварянето на някои от игрите в центъра за приложения се появява указание, че използването на съответното приложение позволява на дружество за игри да получи определени лични данни и му дава право да публикува от името на потребителя определена информация. Използването предполага съгласието на потребителя с общите търговски условия на приложението и с неговите правила за защита на данните.
2 Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1).