Le responsable de traitement exerce (entre autres) une activité d’éditeur d’adresses au sens du § 151 de la loi autrichienne sur la réglementation du commerce (Gewerbeordnung 1994 – GewO) et vend des données à caractère personnel à des fins de marketing pour des tiers.

À partir de 2017, le responsable de traitement avait créé des informations sur les  » affinités pour les partis politiques  » présumées de l’ensemble de la population autrichienne. Pour ce faire, il a rassemblé et combiné des informations provenant de sondages anonymisés et de statistiques sur les résultats des élections via un algorithme. En conséquence, les individus ont été affectés à un ou plusieurs groupes marketing et classifications concernant les affinités politiques en fonction de leur lieu de résidence, de leur âge, de leur sexe, etc.

Le responsable de traitement avait ainsi estimé que la personne concernée était susceptible de s’intéresser au Parti autrichien de la liberté (FPÖ), un parti classé à l’extrême droite. Après l’avoir appris suite à une demande d’accès au titre de l’article 15 RGPD, la personne concernée a intenté une action en justice et demandé (i) une injonction selon laquelle le responsable de traitement devait s’abstenir de traiter les données relatives à ses opinions politiques présumées et (ii) lui payer 1 000 € de dommages et intérêts car il considérait que sa prétendue affinité avec le FPÖ était une insulte, une honte et un crédit hautement préjudiciable.

Le responsable de traitement n’avait pas divulgué les données de la personne concernée à des tiers. Au 04.06.2019, le responsable de traitement avait effacé toutes les données relatives aux  » affinités pour les partis politiques « , y compris celles de la personne concernée. Dans toutes les instances judiciaires, le responsable de traitement a fait valoir que les données sur les  » affinités pour un parti politique  » ne constituent pas des données à caractère personnel, et encore moins des catégories particulières de données à caractère personnel.

Le tribunal de première instance (Landesgerichts für Zivilrechtssachen Wien) a fait droit à la demande d’injonction mais a rejeté la demande de dommages et intérêts, déclarant que le seuil du préjudice immatériel indemnisable n’avait pas été atteint. Le tribunal de deuxième instance (Oberlandesgericht Wien) a confirmé le jugement. Lers deux parties recourent, contre le rejet de la demande de dommages-intérêts (personne concernée) et contre l’injonction de ne pas traiter les données (la personne concernée). L’Oberster Gerichtshof – OGH, dans un arrêt 6Ob35/21x du 15.04.2021 (https://www.ris.bka.gv.at/Dokument.wxe?ResultFunctionToken=4777d1ac-8d11-4e6a-9fd7-32db609c2c98&Position=1&Abfrage=Justiz&Gericht=&Rechtssatznummer=&Rechtssatz=&Fundstelle=&AenderungenSeit=Undefined&SucheNachRechtssatz=True&SucheNachText=True&GZ=&VonDatum=&BisDatum=&Norm=&ImRisSeitVonDatum=&ImRisSeitBisDatum=&ImRisSeit=Undefined&ResultPageSize=100&Suchworte=DSGVO&Dokumentnummer=JJT_20210415_OGH0002_0060OB00035_21X0000_000; traduit en anglais et présenté ici : https://gdprhub.eu/index.php?title=OGH_-_6Ob35/21x) confirme les décisions précédentes, et retient notamment ce qui suit :

Les données en cause constituent bien des données à caractère personnel au sens de l’art. 4 par. 1 RGPD. Même si elles ont été créées à l’aide de données non personnelles (sondages, statistiques), le responsable de traitement a attribué une « affinité pour un parti politique » à des personnes physiques individuelles – telles que la personne concernée. Le fait que la prétendue affinité soit effectivement correcte (ou non) n’est pas pertinent. Le fait qu’elle n’exprime que la probabilité supposée qu’une personne concernée s’intéresse à un certain parti politique et non les convictions politiques ou le comportement électoral réels de la personne concernée ne l’est pas non plus.

Ces données sont également qualifiées de catégories spéciales de données à caractère personnel en vertu de l’art. 9 RGPD (données sensibles). L’OGH a estimé que l’objectif de l’art. 9 RGPD est de protéger les personnes concernées contre le risque de discrimination grave résultant du traitement de certains types de données. Étant donné que les données alléguées sur les préférences politiques comportent déjà un risque de discrimination, elles doivent être traitées comme des données sur les opinions politiques conformément à l’art. 9 RGPD.

L’OGH a également confirmé l’injonction faite par les juridictions inférieures de ne plus traiter ces données.

L’art. 79 RGPD prévoit un recours judiciaire effectif lorsque la personne concernée considère que ses droits au titre du RGPD ont été violés. Selon l’opinion dominante parmi la doctrine en Autriche et en Allemagne, cela inclut les actions en cessation. Le traitement des données de la personne concernée relatif à son « affinité pour un parti politique » était illégal en raison de l’absence de consentement (art. 9 par. 2 let. a RGPD). Le fait que le responsable de traitement ait supprimé les données de la personne concernée  sur son  » affinité pour un parti  » politique  » n’exclut pas le danger qu’il crée à nouveau de telles données à l’avenir. En outre, le responsable de traitement n’a jamais abandonné son point de vue selon lequel le traitement des données en cause était légal. Par conséquent, l’OGH a considéré qu’il y avait un danger de répétition et a confirmé l’injonction.

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)