Německo: Rozhodnutí zemského soudu, zaměstnec kontaktoval klienty mimo pokyny zaměstnavatele
Zemský soud Baden-Baden (Landgericht Baden-Baden) v odvolacím řízení rozhodl, že zaměstnanci, kteří kontaktují klienty mimo pracovní poměr, by měli být považováni za “příjemce” (osobních údajů) podle čl. 4 odst. 9 GDPR a čl. 15 odst. 1 písm. c) GDPR.
Subjekt údajů zakoupil v obchodě s elektronikou (správce údajů) televizor a držák na stěnu a po vrácení držáku na stěnu dostal zpět cenu televizoru, který byl dražší. Po uznání chyby se ji jeden ze zaměstnanců pokusil samostatně kontaktovat prostřednictvím jejího soukromého účtu na Facebooku přes Facebook Messenger, což není běžná praxe správce údajů.
Poté, co subjekt údajů neúspěšně požádal správce údajů, aby mu poskytl informace o zaměstnancích, kteří ho kontaktovali, podal prvoinstanční žalobu k Místnímu soudu v Bühlu (Amtsgericht Bühl - AG Bühl). Subjekt údajů se mimo jiné domáhal vydání soudního příkazu, aby získal informace o tom, kteří zaměstnanci (jméno a příjmení) správce měli přístup k jeho osobním údajům, a aby těmto zaměstnancům zakázal další používání jeho osobních údajů. Soud v Bühlu rozhodl, že zaměstnance nelze považovat za "příjemce" podle článku 15 GDPR, a proto subjekt údajů nemá právo získat od správce informace o jejich totožnosti. Soud v Bühlu proto žalobu zamítl a subjekt údajů se proti rozhodnutí odvolal k zemskému soudu Baden-Baden.
Stanovisko
Zemský soud Baden-Baden s odkazem na rozsudek SDEU ve věci C-579/21 - Pankki S uznal, že zaměstnance správce údajů nelze v zásadě považovat za “příjemce” podle čl. 4 odst. 9 GDPR. To však platí pouze v případě, že zaměstnanci zpracovávají údaje pod dohledem a podle pokynů zaměstnavatele. V daném případě zaměstnankyně jednala jako soukromá osoba, tedy mimo dohled zaměstnavatele a v rozporu s jeho pokyny. Z tohoto důvodu zemský soud Baden-Baden rozhodl, že zaměstnankyně, která soukromě kontaktovala subjekt údajů, by měla být považována za "příjemce" podle čl. 4 odst. 9 GDPR. Subjekt údajů má proto právo získat od správce informace o příjemci (tj. jméno a příjmení zaměstnance) podle čl. 15 odst. 1 písm. c), zejména pokud jsou tyto informace nezbytné ke zjištění, zda jsou její údaje zpracovávány v souladu s článkem 29 GDPR. V tomto ohledu zemský soud rozhodl, že jelikož zaměstnankyně nezpracovává údaje zákazníků na základě pokynů správce, porušuje takové zpracování článek 29 GDPR, v důsledku čehož anonymita zaměstnankyně již není hodna ochrany.
Soud dále shledal, že neexistuje žádný zákonný základ pro zpracování osobních údajů klienta příjemcem, což je v rozporu s článkem 6 GDPR. Kromě toho zemský soud prohlásil, že správce údajů je nepřímým porušovatelem podle německého občanského práva, neboť umožnil přístup k osobním údajům používaným příjemkyní jako soukromou osobou a uchovával je a byl v pozici, kdy mohl zabránit dalšímu porušování. Zemský soud proto vydal příkaz, kterým správci nařídil, aby příjemkyni zakázal další používání a uchovávání osobních údajů subjektu údajů na jejích soukromých komunikačních zařízeních a aby je vymazal v souladu s článkem 17 GDPR.