Výber zaujímavých súdnych rozhodnutí z Európy

V tomto článku sa pozrieme na päť nedávnych zaujímavých rozhodnutí súdov, ktoré sa týkajú ochrany osobných údajov.

Dočítate sa, že hoci oprávnený záujem podľa článku 6 ods. 1 písm. f) GDPR musí byť zákonný, nemusí byť stanovený zákonom. Oprávneným záujmom by preto mohol byť aj komerčný záujem.

Poľský súd vyslovil názor, že telefónne číslo konateľa spoločnosti, ktoré obchodný partner používa ako kontaktné údaje spoločnosti, predstavuje údaj týkajúci sa právnickej osoby, a preto nespadá do pôsobnosti GDPR. Pojem „osobná činnosť“ podľa článku 2 ods. 2 písm. c) GDPR spresnil poľský najvyšší súd. Podľa jeho názoru zverejňovanie osobných údajov na sociálnych sieťach spadá do pôsobnosti GDPR, ak bol príspevok sprístupnený neobmedzenému počtu používateľov. Do tretice poľský najvyšší súd posudzoval „kauzu“ snímania odtlačkov prstov detí v škole.

Na záver sa pozrieme na rozhodnutie talianskeho najvyššieho súdu, podľa ktorého zamestnanec legálne nahral rozhovor s vedúcim zamestnancom, keďže tento záznam slúžil len ako dôkaz v pracovnoprávnom konaní proti jeho zamestnávateľovi.

Zaujímavý názor na oprávnený záujem

Súdny dvor EÚSDEU - C‑621/22 Koninklijke Nederlandse Lawn Tennisbond na návrh holandského súdu posudzoval, či sa prevádzkovateľ, v tomto prípade tenisová federácia, mohla spoliehať na právny základ oprávneného záujmu, keď odpredala osobné údaje svojich členov dvom svojim sponzorom a tí ich využili na marketingové účely. Členovia federácie sa proti takémuto kroku ohradili a tvrdili, že na poskytnutie ich osobných údajov nemala federácia žiaden súhlas (spracúvala osobné údaje bez právneho základu). Holandský dozorujúci orgán uložil federácii pokutu až 525 000 €. V odôvodnení tvrdil, že záujem nebol určený v zákone, a teda sa naň federácia nemohla spoliehať. Prevádzkovateľ podal proti rozhodnutiu žalobu na okresný súd v Amsterdame. Svoju argumentáciu opieral o oprávnený záujem ponúkať svojim členom od svojich sponzorov zľavy a ponuky, ktoré im umožnia hrať tenis za dostupnejšie ceny. Konajúci súd sa obrátil s prejudiciálnymi otázkami na Súdny dvor EÚ s tým, aby vyložil, ako nahliadať na oprávnený záujem a či zahŕňa len záujmy založené v zákone. Súčasne sa opýtal, či akýkoľvek záujem klasifikovaný ako oprávnený môže byť použitý, ak vyslovene nie je nezákonný (napríklad v tomto prípade čisto komerčný záujem).

Súdny dvor sa odvolal najmä na rozsudok C-252/21Vo veci Meta Platforms (predtým Facebook) Súdny dvor okrem iného vo vzťahu k čl. 6 ods. 1 písm. f) uviedol: „Spracúvanie osobných údajov vykonávané prevádzkovateľom online sociálnej siete, ktoré spočíva v zhromažďovaní údajov od používateľov takejto siete získaných v súvislosti s inými službami skupiny, do ktorej patrí tento prevádzkovateľ, alebo z prehliadania internetových stránok alebo iných aplikácií tretích strán týmito používateľmi, v prepájaní týchto údajov s účtom uvedených používateľov na sociálnej sieti a v ich používaní, možno považovať za nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana v zmysle tohto ustanovenia, len pod podmienkou, že uvedený prevádzkovateľ oznámil používateľom, od ktorých boli údaje získané, oprávnený záujem, ktorý sa ich spracúvaním sleduje, že toto spracúvanie sa uskutočňuje v medziach toho, čo je nevyhnutne potrebné na dosiahnutie tohto oprávneného záujmu, a že so zreteľom na všetky relevantné okolnosti zo zváženia protichodných záujmov vyplýva, že záujmy alebo základné práva a slobody týchto používateľov neprevažujú nad uvedeným oprávneným záujmom prevádzkovateľa alebo tretej strany.“ s tým, že právny základ oprávnený záujem sa má vykladať reštriktívne. V danej veci bol však tiež toho názoru, že oprávnený záujem nemusí vyplývať z právnej normy. Stačí, keď je zákonný, absolútne nevyhnutný a neprevyšuje nad právami dotknutých osôb. Opiera sa pritom okrem iného aj o recitál 47 GDPROprávnené záujmy prevádzkovateľa vrátane prevádzkovateľa, ktorému môžu byť tieto osobné údaje poskytnuté, alebo tretej strany môžu poskytnúť právny základ pre spracúvanie, ak nad nimi neprevažujú záujmy alebo základné práva a slobody dotknutej osoby, pričom sa zohľadnia primerané očakávania dotknutých osôb na základe ich vzťahu k prevádzkovateľovi. Takýto oprávnený záujem by mohol existovať napríklad vtedy, keby medzi dotknutou osobou a prevádzkovateľom existoval relevantný a primeraný vzťah, napríklad keby bola dotknutá osoba voči prevádzkovateľovi v postavení klienta alebo v jeho službách. Existencia oprávneného záujmu by si v každom prípade vyžadovala dôkladné posúdenie vrátane posúdenia toho, či dotknutá osoba môže v danom čase a kontexte získavania osobných údajov primerane očakávať, že sa spracúvanie na tento účel môže uskutočniť. Záujmy a základné práva dotknutej osoby by mohli prevážiť nad záujmami prevádzkovateľa údajov najmä vtedy, ak sa osobné údaje spracúvajú za okolností, keď dotknuté osoby primerane neočakávajú ďalšie spracúvanie. Keďže je úlohou zákonodarcu, aby v právnych predpisoch stanovil právny základ pre spracúvanie osobných údajov orgánmi verejnej moci, tento právny základ by sa nemal vzťahovať na spracúvanie orgánmi verejnej moci pri plnení ich úloh. Spracúvanie osobných údajov nevyhnutne potrebné na účely predchádzania podvodom tiež predstavuje oprávnený záujem príslušného prevádzkovateľa údajov. Spracúvanie osobných údajov na účely priameho marketingu možno považovať za oprávnený záujem.. V každom prípade súdny dvor EÚ tiež hovorí, že každý záujem sa musí posudzovať v závislosti od prípadu a mal by byť podporený testom proporcionality. Testom proporcionality sa skúma a prevádzkovateľ posudzuje otázky nevyhnutnosti spracovania, či nemožno daný záujem dosiahnuť rovnako efektívne inými, menej invazívnymi prostriedkami a tiež „váži“ svoje záujmy a záujmy dotknutých osôb. Kľúčovým v tomto prípade je vzťah prevádzkovateľa a dotknutých osôb a to, či v čase kedy prevádzkovateľ osobné údaje získal, mohli dôvodne očakávať, že osobné údaje takýmto spôsobom poskytne svojim sponzorom.

Telefónne číslo konateľa nepodlieha GDPR

Spoločnosť (prevádzkovateľ) uzavrela zmluvu s inou spoločnosťou, ktorú zastupuje jej generálny riaditeľ (dotknutá osoba). Tá na účely uzavretia zmluvy poskytla svoje súkromné telefónne číslo, bez toho, aby to pri uzavretí zmluvy prevádzkovateľovi uviedla. Dotknutá osoba sa následne sťažovala u prevádzkovateľa, že od neho dostáva marketingovú komunikáciu a žiadala svoje telefónne číslo u prevádzkovateľa vymazať.

Prevádzkovateľ v konaní tvrdil, že s údajmi zaobchádzal ako s kontaktnými údajmi právnickej osoby, na ktoré sa GDPR nevzťahujeRecitál 14 GDPR: Toto nariadenie sa nevzťahuje na spracúvanie osobných údajov, ktoré sa týka právnických osôb, a najmä podnikov založených ako právnické osoby vrátane názvu, formy a kontaktných údajov právnickej osoby.. Vnímal to tak, že za spoločnosť koná generálny riaditeľ a navyše údaje spracúva na účely uzavretia zmluvy. Tiež sa bránil tým, že nemal odkiaľ vedieť, že generálny riaditeľ uviedol do položky „číslo klienta“ svoje vlastné súkromné telefónne číslo.

Správny súd vo Varšavehttps://gdprhub.eu/index.php?title=WSA_Warsaw_-_1592/23&mtc=today  dal za pravdu prevádzkovateľovi. Konštatoval, že v dotknutom prípade nejde o telefónne číslo fyzickej osoby, ale kontaktný údaj právnickej osoby, ktorý do zmluvy právnická osoba uviedla. Vychádzal z toho, že generálny riaditeľ ho uviedol dobrovoľne do zmluvy ako kontakt na danú právnickú osobu, ktorú ako štatutárny orgán zastupuje.

Osobná činnosť podľa GDPR

Podľa článku 2 ods. 2 písm. c) GDPR sa toto nariadenie nevzťahuje na spracúvanie osobných údajov fyzickou osobou v rámci výlučne osobnej alebo domácej činnosti. Na túto definíciu sa bližšie v jednom konaní pozrel Najvyšší správny súd v Poľskuhttps://gdprhub.eu/index.php?title=Cass.Civ._-_24797/2024&mtc=today .

V tomto prípade príbuzný dotknutej osoby zverejnil na sociálnej sieti rozsudok a takto bol zverejnený 11 dní. Proti tomuto zverejneniu podala na dozorujúci úrad sťažnosť dotknutá osoba. Jej príbuzný sa bránil tým, že...

Autor: JUDr. Paula Babicová