消费者保护协会有权起诉违反数据保护法的行为

fabiha01

欧洲法院在 2024 年 7 月 11 日的判决中首次就消费者保护协会在起诉违反《通用数据保护条例》（GDPR）行为中的资格作出了裁决。

该诉讼由德国联邦消费者组织和消费者协会提起，起诉方为 Meta Platforms Ireland（前身为 Facebook Ireland Ltd.）。 联邦消费者咨询中心协会是联邦州消费者咨询中心的总括组织，根据 UKlaG 第 4 条的规定，已在合格机构名单中注册。

在Meta运营的社交媒体平台Facebook上，用户可以在“应用中心”免费使用第三方游戏。 “立即开始游戏”按钮下方有一条通知：“点击上方的‘开始游戏’按钮后，本应用将接收：您的基本信息、您的电子邮件地址、您的状态更新。本应用可能会代表您发布信息，包括您的得分等。”在一款游戏中，通知以这样一句话结尾：“此应用程序可能会代表您发布状态更新、照片等。”

原告认为，该通知应被视为不公平行为，违反了《UWG》第 3a 条和《UKlaG》第 2 条第 2 款第 1 句第 11 项，因此，根据《UKlaG》第 1 条，Meta 使用了无效的一般条款和条件。此外，Meta 违反了获取有效用户同意的数据保护要求。

柏林地区法院已根据要求命令被告停止并终止该行为。被告向柏林高等地区法院提出上诉，但未成功。被告提出上诉，并被上诉法院受理，继续提出驳回诉讼的动议。然而，联邦法院最初下令中止诉讼程序，并将问题提交欧洲联盟法院作出初步裁决（BGH，2020 年 5 月 28 日命令 - App-Zentrum I）。

欧洲法院在其 2020 年 4 月 28 日的判决（案件 C-319/20）中已经裁定，根据 GDPR 第 80（2）条，瑞士商业传真列表 即使没有侵犯特定人的权利且没有相应的授权，消费者协会也有权根据《不正当竞争法》（UWG）第 8（3）条第 3 款提起诉讼，前提是所涉及的数据处理可能会影响已识别或可识别的自然人的权利。

法院向欧洲法院提出的另一个法律问题是：如果保护消费者利益的协会声称数据主体的权利受到侵犯，是否可以援引《GDPR》第 80(2) 条规定下的“因处理而导致”的权利侵权？该行动基于《1999 年第 15 条》规定下的信息义务这一事实。 GDPR 第 12（1）条第 1 句与第 12（2）条结合。 GDPR 第 13 条第 (1) 款 c 和 e 项中关于数据处理目的和个人数据接收者的规定未得到满足。

如果消费者协会认为数据主体权利的侵犯发生在数据处理的背景下，并且是基于控制者未能履行其信息义务，则尤其如此。根据 GDPR 第 12 条第 1 款第 1 句和第 13 条第 1 款 c 和 e 项，这些信息义务包括有义务以准确、透明、易于理解和访问的形式以及清晰简单的语言向数据主体提供有关数据处理目的和数据接收者的信息，最迟在收集数据时。

欧洲法院现已在其 2024 年 7 月 11 日的裁决（案件 C-757/22）中对此问题给出了肯定的回答。欧洲法院在其论证中提出的核心论点一方面是 GDPR 的核心保护目的，该法院最近在其 IAB 裁决（C-604/22，第 53 段）中也再次关注了这一目的，例如 GDPR 第 1 条和第 10 段中规定的内容，特别是 GDPR 必须确保在个人数据处理方面对自然人的基本权利和自由提供高水平的保护。其次，欧洲法院重申，处理的目的必须在收集个人数据时确定并明确说明（这也已在 C-175/20 决定第 64 和 65 段中找到）。最终，GDPR 第 12(1) 条与第 60 条一起体现了透明度原则，旨在确保数据主体能够充分理解发送给他或她的信息（C-487/21，第 38 段）。因此，Meta 无法通过上述通知获得有效同意。

结论
这些诉讼对于消费者保护协会未来将如何积极地打击数据保护违法行为的问题尤其有趣。对于数据主体和控制者而言，这尤其意味着消费者保护协会现在不仅可以根据受影响者的请求采取行动，而且如果数据保护违规行为影响到可识别的人员，还可以独立于受影响者的请求采取行动——欧洲法院在初步裁决程序中的第一个决定已经明确了这一点。此外，现在所有类型的 GDPR 违规行为（导致数据处理非法）都可以受到起诉，包括在实际处理之前或同时发生的违规行为，而不仅仅是在实际处理之后立即发生的违规行为。公司应定期检查其向数据主体提供的信息是否符合第 12 条及以下条款规定的义务。并且在获得同意时符合 GDPR 的透明度要求。