Österreichische Datenschutzbehörde (DSB) anser att en advokatbyrå haft en rättslig grund för att lägga fram en registrerads personuppgifter som bevis i ett domstolsförfarande enligt artikel 6.1 (f) i dataskyddsförordningen (GDPR), eftersom det berättigade intresset av att göra detta vägde tyngre än den registrerades intresse av att hålla sina personuppgifter konfidentiella.
Av beslutet framgår att den registrerade deltagit i onlinespel på en webbplats tillhörandes ett spelföretag (nedan kallat företag B) som är etablerat på Malta. När den registrerade förlorade pengar krävde han återbetalning från företag B och hävdade att företagets onlinespeltjänster var olagliga, åtminstone i Österrike, varifrån den registrerade hade tillgång till onlinekasinot. Företag B återbetalade då pengarna.
Den registrerade öppnade senare ett konto hos ett annat onlinespelföretag (nedan kallat företag C), som ingick i samma företagsgrupp som företag B. Den registrerade krävde återigen återbetalning av sina förluster. Han grundade det på samma krav som tidigare, dvs. påstådd olaglighet. Företag C vägrade dock att ge återbetalning. Den registrerade tog då tvisten till domstol.
Företag C ville försvara sig i det rättsliga förfarandet genom att visa att den registrerade missbrukade sina rättigheter genom att kräva återbetalning varje gång han förlorade pengar. Därför överförde företag B den registrerades personuppgifter till företag C. Personuppgifterna gällde den registrerades tidigare återbetalningskrav hos företag B. Företag C överförde sedan dessa uppgifter till den advokatbyrå som företrädde företaget i det rättsliga förfarandet.
Den registrerade lämnade därefter in ett klagomål till DSB mot advokatbyrån om användningen av hans personuppgifter i domstolsförfarandet. Han uppgav att utbytet av personuppgifter från företag B till företag C varken omfattades av företag B:s integritetspolicy eller att han gav sitt samtycke till det. Uppgifterna behandlades därför olagligt av advokatbyrån i domstolsförfarandet mot företag C.
DSB ansåg att advokatbyråns behandling av personuppgifterna var laglig enligt artikel 6.1 (f) GDPR eftersom den var nödvändig för att tillgodose ett berättigat intresse som den personuppgiftsansvarige eller en tredje part har. Domstolen använde artikel 9.2 (f) GDPR för att tolka det berättigade intresset enligt artikel 6.1 (f) GDPR som att de omfattar fastställande, utövande eller försvar av rättsliga anspråk.
När DSB genomförde avvägningstestet enligt artikel 6.1 (f) GDPR påpekade den registrerade att denne hade ett intresse av att uppgifterna skulle vara konfidentiella och att advokatbyrån inte skulle kunna göra en sakframställning som kunde skada dennes egen framgång i förfarandet. Dessa intressen hos den registrerade måste vägas mot det berättigade intresse som advokatbyrån eller en tredje part har, dvs. intresset av att få tillgång till bevis och rätten att lägga fram dem.
I det aktuella fallet drog DSB slutsatsen att advokatbyråns intresse väger tyngre än den registrerades intresse. Följaktligen kunde advokatbyrån åberopa artikel 6.1 (f) GDPR som rättslig grund för behandlingen.