EU-domstolens dom av 11. juli 2024.
Sentrale artikler behandlet:
– Artikkel 12 (1)
– Artikkel 13 (1) c og e
– Artikkel 80 (2)
Hovedpunkter
- En forbrukerorganisasjon kan representere et antall ikke identifiserte, men identifiserbare, personer som benyttet seg av tjenester på Facebook knyttet til om personene ikke var tilstrekkelig informert etter GDPR artikkel 12 og 13.
- GDPR artikkel 12 og 13 er således en en rettighet som «følge av behandlingen» i artikkel 80 (2)s betydning siden all behandling krever transparens gjennom at formålet for behandlingen angis, senest på det tidspunkt som opplysningene samles inn, jf. artikkel 5 (1).
- Også bemerkning om at for behandling gitt på grunnlag av samtykke, har informasjon gitt til de registrerte etter artikkel 12 og 13 betydning for samtykkets gyldighet, og manglende informasjon kan være til hinder for at det er gitt gyldig samtykke.
Bakgrunn
Den tyske forbrukerorganisasjonen Bundesverband der Verbraucherzentralen und Verbraucherverbände tok ut sak mot Meta (Facebook). Det første spørsmålet for EU-domstolen var om organisasjonen kunne fremme søksmål på vegne av brukere av Facebook (se om artikkel 80 nedenfor).
Spørsmålet så var om en organisasjon kan hevde brudd på plikten til informasjon etter GDPR artikkel 12 (1) i sammenheng med artikkel 13 (1) (c) og (e) på vegne av registrerte er et brudd «som følge av behandlingen» etter GDPR artikkel 80 (2).
Artikkel 12 og 13 – Informasjon til de registrerte
Hensikten med artikkel 12 er prinsippet om åpenhet, som skal sikre at de registrerte er i stand til å fullt ut forstå informasjonen denne gis (jf. C‑487/21 Österreichische Datenschutzbehörde and CRIF). Se også artikkel 5 (1) a og fortalepunkt 60, hvor sistnevnte presiseres at informasjonen skal tilpasses de spesielle omstendighetene og konteksten som behandlingen skjer i.
Retten kom også med bemerkninger (uten at det var direkte relevant for saken) om at dersom behandlingen skjer på grunnlag av samtykke, er samtykkets lovlighet bl.a. avhengig om personen som ga samtykket tidligere har fått informasjon om alle forhold knyttet til behandlingen som samtykket skal dekke, og som gjør denne i stand til å gi samtykke med fullstendig kunnskap om forholdene.
60 The validity of the consent given by the data subject depends, inter alia, on whether that person has previously obtained the information in the light of all the circumstances surrounding the processing of the data in question to which he or she was entitled, under Article 12 and 13 of the GDPR, and which allow him or her to give consent in full knowledge of the facts.
Artikkel 80 Representasjon av registrerte
En organisasjon kan representere registrerte, og slik rett kan følge av nasjonal rett (jf. C-319 – Meta Platforms Ireland). En slik organisasjons søksmålsrett i henhold til artikkel 80 (2) er ikke avhengig av at personen som er gjenstand for den påståtte ulovlige behandlingen identifiseres på forhånd. Dette fordi artikkel 4 (1) gjelder ikke identifiserte, men «identifiserbare» personer, som er tilstrekkelig for at det kan angis en kategori eller gruppe personer som omfattes av søksmålet. En forbrukerorganisasjon kan derfor fremme krav under GDPR.