Savezni sud pravde Nemačke (Bundesgerichtshof) nedavno je doneo pionirsku odluku u vezi sa gubitkom kontrole nad podacima o ličnosti kao osnovom za naknadu nematerijalne štete prema Opštoj uredbi o zaštiti podataka (General Data Protection Regulation – “GDPR”). Odlučujući u predmetu povodom masovnog curenja podataka korisnika Facebook-a, sud je zaključio da čak i privremeni gubitak kontrole nad podacima može biti osnov za nematerijalnu štetu, bez potrebe za dokazivanjem konkretne zloupotrebe ili štetnih posledica.

Odluci Saveznog suda pravde, prethodile su odluke nižestepenih sudova Nemačke, koji su počeli da razvijaju praksu o naknadi nematerijalne štete zbog povrede podataka o ličnosti. Stavove koje su zauzimali nemački okružni sudovi u sličnim predmetima, analizirali smo u našim prethodnim tekstovima o presudi Okružnog suda u Minhenu i presudi Okružnog suda u Šlezvig-Holštajnu.
Ova presuda ima veliki značaj za dosadašnju sudsku praksu jer pojašnjava standarde za priznavanje prava na naknadu nematerijalne štete na najvišoj sudskoj instanci i dodatno afirmiše prava lica na koja se podaci odnose u slučaju povreda GDPR-a.

Kako je došlo do povrede ličnih podataka?

U aprilu 2021. godine, podaci o ličnosti 533 miliona korisnika Facebook-a postali su javno dostupni na internetu zbog zloupotrebe alata za pretragu putem telefonskih brojeva. Nepoznato lice, iskoristilo je mogućnost pronalaženja korisničkih naloga putem telefonskih brojeva korisnika, nasumično generišući brojeve kako bi pretraživala Facebook. Na taj način, uspelo je da dobije korisničke profile povezane sa odgovarajućim telefonskim brojevima.

Među pogođenima je bilo i lice čiji su korisnički ID, ime i prezime, radno mesto i pol bili povezani s njegovim telefonskim brojem. Iako je korisnik svoj broj telefona označio kao „privatan podatak“, odnosno podatak koji je vidljiv samo njemu, opciju pretraživanja je ostavio na podrazumevanoj postavci „svi“, što je otvorilo mogućnost da druga lica pronađu njegov korisnički nalog preko telefonskog broja.

Korisnik je tvrdio da Facebook nije preduzeo odgovarajuće mere zaštite i podneo je tužbu za naknadu nematerijalne štete u visini od 250 evra. Nakon što je prvostepeni sud usvojio zahtev, Viši regionalni sud u Kelnu preinačio je odluku i u celosti odbio zahtev korisnika. Konačno, slučaj je dospeo pred Savezni sud pravde.

Odluka Saveznog suda pravde

U svojoj odluci, Savezni sud pravde Nemačke delimično je ukinuo odluku Višeg regionalnog suda u Kelnu i vratio predmet na ponovno razmatranje. Sud je ovom odlukom postavio važan presedan, zauzimajući sledeće stavove:

• Gubitak kontrole nad ličnim podacima dovoljan je osnov za naknadu nematerijalne štete u skladu sa GDPR-om

Sud je zaključio da korisnik nije u obavezi da dokazuje konkretnu zloupotrebu podataka niti specifičan emocionalni stres – neovlašćeno objavljivanje podataka i gubitak kontrole nad njima predstavljaju dovoljan osnov za naknadu štete.

• Podrazumevane postavke nisu bile u skladu s GDPR-om

Sud je ukazao na nesaglasnost između podrazumevane postavke „Svi“ i dve važne odredbe GDPR-a.

Prvo, načelo minimizacije podataka (član 5. GDPR-a) nalaže da se prikupljaju samo podaci koji su neophodni za ostvarenje cilja obrade. Dakle, postavka koja prikuplja sve podatke nije u skladu s tim principom jer nije potrebno obraditi sve podatke.
Drugi problem se odnosi na član 25. GDPR-a koji propisuje obaveznu zaštitu podataka putem dizajniranja sistema za zaštitu podataka i podrazumevanih postavki koje minimiziraju količinu prikupljenih podataka. Sistem koji podrazumevano prikuplja sve podatke, bez razmatranja njihove nužnosti, krši i ovaj princip.

• Utvrđivanje visine nematerijalne štete

Sud je pružio smernice o tome kako treba proceniti visinu nematerijalne štete u ovakvim slučajevima, prema nemačkom Zakonu o parničnom postupku. Sud je naveo da naknada treba da bude proporcionalna i efektivna, te da bi trebalo da iznosi približno 100 evra u situacijama kada nisu nastupile dodatne štetne posledice po lice na koje se podaci odnose. Međutim, ukoliko tužilac može da dokaže emocionalni stres ili druge negativne posledice, visina naknade može biti i viša.

• Pravni interes za donošenje deklaratorne presude

Sud je zauzeo stanovište da oštećeno lice ima pravni interes za deklaratornu presudu, uzimajući u obzir rizik od buduće zloupotrebe procurelih podataka.

Uticaj presude na praksu nacionalnih sudova u EU

Presuda Saveznog suda pravde značajno menja dosadašnju restriktivnu praksu nemačkih sudova u vezi s naknadom nematerijalne štete u slučaju povrede odredaba GDPR-u, što predstavlja važan korak ka usklađivanju s praksom Evropskog suda pravde i jačanju prava lica na koje se podaci odnose.

Važnost ove odluke ogleda se u tome što se u praksi nemačkih sudova prvi put priznaje značaj same povrede prava na zaštitu podataka, bez potrebe za dokazivanjem konkretnih posledica, što otvara mogućnost za dosuđivanje naknade štete čak i u odsustvu dodatnih negativnih efekata. Takođe, presuda pruža jasne smernice za implementaciju GDPR-a, posebno u pogledu odgovornosti rukovalaca podacima.

Ovakav pristup nemačkog pravosudnog sistema može podstaći sličnu praksu i u drugim državama članicama EU, čime bi se omogućilo usklađivanje prakse primene GDPR-a u EU. Nesumnjivo je da stanovište koje je zauzeo nemački Savezni sud pravde otvara nove mogućnosti za šire prihvatanje prava na zaštitu podataka kao temeljnog prava građana. Međutim, kakav će biti uticaj ove presude na nacionalne sudove širom EU, ostaje da se vidi.

Ovaj članak je isključivo informativne prirode i ne predstavlja pravni savet. Ukoliko su Vam potrebne dodatne informacije, budite slobodni da nas kontaktirate.