DeFakto.bg DeFakto.bg
Общият съд осъжда Комисията да заплати обезщетение за вреди на посетител на нейния уебсайт на Конференцията за бъдещето на Европа поради предаване на лични данни на Съединените щати. Това съобщи пресслужбата на съда по дело T-354/22 | Bindl/Комисия.
Чрез хипервръзката „свързване посредством Facebook“, поместена на уебстраницата на EU Login, Комисията е създала условия IP адресът на заинтересованото лице да бъде предаден на американското предприятие Meta Platforms
Лице, живеещо в Германия, изтъква срещу Комисията, че е нарушила правото му на защита на личните му данни по време на неговите посещения през 2021 г. и 2022 г. на уебсайта на Конференцията за бъдещето на Европа1, който е под ръководството на Комисията. По-специално, посредством посочения уебсайт посоченото лице се е записало за участие в събитието „GoGreen“, използвайки услугата за автентификация на Европейската комисия EU Login и избирайки предоставената опция за свързване посредством неговия Facebook профил.
Жалбоподателят счита, че по време на посещенията си на този уебсайт негови лични данни, а именно IP адреса му, информация за неговия браузър и за използваното от него терминално устройство, са били предадени на установени в Съединените щати получатели.
От една страна неговите данни са били предадени на американското предприятие Amazon Web Services, в качеството му на оператор на мрежата за доставяне на съдържание, наречена Amazon CloudFront, която била използвана от въпросния уебсайт. От друга, при записването на лицето за участие в събитието „GoGreen“ посредством неговия Facebook профил, данните му са били предадени на американското предприятие Meta Platforms, Inc.
Според заинтересованото лице обаче Съединените щати не предоставят достатъчна степен на защита. Посоченото предаване на данни създало риск от достъп до неговите данни от страна на американските служби за сигурност и разузнаване. Комисията не е доказала наличието на нито една от подходящите гаранции, които могат да обосноват подобно предаване на данни2
На това основание заинтересованото лице е поискало да му бъде изплатено обезщетение в размер на 400 евро за неимуществената вреда, която твърди, че е претърпяло в резултат от спорното предаване на данни.
Пострадалият претендира също така предаването на личните му данни да се отмени, да се приеме за установено, че Комисията неправомерно не се е произнесла по неговото искане за информация и тази институция да се осъди да му заплати сумата от 800 евро като обезщетение за неимуществената вреда, която твърди, че е претърпяло в резултат от нарушението на правото му на достъп до информация.
Общият съд отхвърля искането за отмяна като недопустимо и постановява, че липсва основание за
произнасяне по искането за установяване на неправомерно бездействие. Общият съд отхвърля и искането за обезщетение, основано на нарушение на правото на достъп до информация, като приема, че твърдяната неимуществена вреда не е налице.
Що се отнася до искането за обезщетение, основано на спорните прехвърляния на данни, Общият съд го
отхвърля в частта относно предаването на данни чрез Amazon CloudFront.
Съдът заключава, че по време на едно от спорните онлайн включвания предаването на данни е било осъществено не на Съединените щати, а в съответствие с принципа на близост3 — на сървър4 , находящ се в Мюнхен, Германия. Съгласно договора между Комисията и управителя на Amazon CloudFront, а именно люксембургското предприятие Amazon Web Services, последното е следвало да гарантира, че данните ще циркулират и ще се съхраняват в рамките на Европа.
Що се отнася до друго включване, самото заинтересовано лице е предизвикало предаването на данни посредством механизъма за маршрутизиране на Amazon CloudFront към сървъри в Съединените щати.
Всъщност, в резултат от техническа настройка този сървър очевидно е локализиран в Съединените щати.
Що се отнася до записването на заинтересованото лице за участие в събитието „GoGreen“, Общият съд счита, че чрез хипервръзката „свързване посредством Facebook“, поместена на уебстраницата на EU Login, Комисията е създала условия IP адресът на заинтересованото лице да бъде предаден на Facebook. Този IP адрес попада в обхвата на личните данни, които чрез посочената хипервръзка са били предадени на предприятието Meta Platforms, установено в Съединените щати. Комисията носи отговорност за въпросното предаване на данни.
При все това, към момента на посоченото предаване на данни, а именно 30 март 2022 г., Комисията не е приела каквото и да е решение, в което се констатира, че Съединените щати осигуряват подходящо равнище на защита на личните данни на гражданите на Съюза. Освен това Комисията не доказва, нито дори твърди съществуването на подходяща гаранция, по-специално на типова клауза за защита на данните или на договорна клауза5
Поместването върху уебстраницата на EU Login на хипервръзка „свързване посредством Facebook“ е било уредено само от общите условия на платформата Facebook.
Следователно Комисията не е спазила установените в правото на ЕС изисквания за предаване на лични
данни от институция, орган, служба и агенция на Съюза на трета държава.
Общият съд приема, че Комисията е допуснала достатъчно съществено нарушение на правна норма, която има за цел да се предоставят права на частноправни субекти. Заинтересованото лице е претърпяло неимуществена вреда, тъй като се е оказало в ситуация на несигурност що се отнася до обработването на личните му данни, по-специално на неговия IP адрес. Освен това е налице достатъчно пряка причинно-следствена връзка между допуснатото от Комисията нарушение и претърпяната от заинтересованото лице неимуществена вреда.
Тъй като условията за ангажиране на извъндоговорната отговорност на Съюза са изпълнени, Общият съд осъжда Комисията да заплати на заинтересованото лице поисканата от него сума в размер на 400 евро.
Правилата: Всяко лице, което смята, че е ангажирана извъндоговорната отговорност на Съюза, може да предяви иск за обезщетение за вреди. Тази отговорност предполага, че са изпълнени три кумулативни условия, а именно 1) достатъчно съществено нарушение на правна норма, която има за цел да се предоставят права на частноправни субекти, 2) действително наличие на вреда и 3) наличие на причинноследствена връзка между неправомерното поведение на Съюза и претърпяната вреда.
Актът на Общия съд може да се обжалва пред Съда само по правни въпроси в срок от два месеца от съобщението.
