Максимилиан „Макс“ Шремс () е австрийски правозащитник, адвокат и автор, станал известен с активизма си за защита на правата на неприкосновеност на личния живот и защитата на данните на европейските граждани.
Негова е заслугата американската компания „Мета“ да бъде принудена с решение на Съда на Европейския съюз да спре да прехвърля данни от своите европейски потребители в Съединените щати и да бъде глобена с 1,2 млрд. евро през 2023 г. за нарушение на правилата за международно предаване на лични данни съгласно Общия регламент за защита на данните.
Жалбите, които завежда, довеждат до обявяването на транснационалните споразумения между ЕС и САЩ „Щит за поверителност“ и „Безопасно пристанище“ за невалидни с решения на Съда на ЕС, наричани Шремс I и Шремс II, които са възприемани като силен сигнал за защита на основните права в Европа.
Шремс е основател и председател на Европейския център за цифрови права NOYB (от None Of Your Business), който се ангажира с отстояването на правата и прилагането на правилата за защита на данните.
През 2017 г. Forbes го обявява за един от тридесетте най-влиятелни млади хора под 30 години в Европа в областта на правото.Maximilian Schrems 30 Under 30 - Europe - Law & Policy (Forbes, 2017)
Знакови правни казуси Жалби до ирландския комисар по защита на данните (2011 г.) Докато следва право в университета „Санта Клара“ в Силициевата долина Шремс решава да напише курсов проект за липсата на осведоменост във „Фейсбук“ за европейското право за неприкосновеност на личния живот. Той е провокиран да се заеме с изследване по този въпрос от изказване на един от адвокатите по поверителността на компанията, Ед Палмиери, пред неговия курс.
По-късно отправя искане съгласно Европейското право на достъп до личните данни съгласно Регламент (ЕО) № 45/2001. за предоставяне на записите на компанията за него и получава компактдиск, съдържащ над 1200 страници с данни, които публикува на europe-v-facebook.org с редактирана лична информация. През 2011 г. подава жалби срещу компанията до ирландския комисар по защита на данните (DPC) и през 2012 г. се среща с Ричард Алън и друг изпълнителен директор на компанията, дошли специално по този повод във Виена, за да обсъдят с оплакванията му. Разговорите продължават шест часа.
„Фейсбук“ е одитирана съгласно европейското законодателство, в резултат на което е издадено разпореждане да изтрие някои файлове и да деактивира софтуера си за лицево разпознаване. През 2014 г. Шремс оттегля жалбите си с обяснението, че така и не е му е била предоставена справедлива процедура пред ирландския комисар по защита на данните, нито е получавал официално решение от DPC, а освен това му е отказан достъп до всички изявления от „Фейсбук“ и досиетата на случая. Той изтъква, че според много наблюдатели „това може да се дължи на политически и икономически съображения в Ирландия“.
Шремс I
През 2013 г. Шремс подава жалба до ирландския орган за защита на личните данни във връзка с направените разкрития от Едуард Сноудън относно дейността на разузнавателните служби на САЩ (по-специално Националната агенция за сигурност), от които става ясно, че САЩ не предоставят фактическа защита срещу наблюдението от страна на американската държавна администрация на прехвърляните към тази страна данни.
Ирландският орган отхвърля жалбата на основание решението на Европейската комисия от 26 юли 2000 г., според което в рамките на т.нар. схема за „сфера на неприкосновеност на личния живот“ САЩ гарантират достатъчна степен на защита на прехвърляните лични данни. Върховният съд на Ирландия е сезиран със случая.
Съдът иска да се установи дали посоченото решение на Комисията създава препятствие пред националния надзорен орган да проведе разследване по жалба, в която се твърди, че определена трета страна не гарантира достатъчна степен за защита, и при необходимост да преустанови оспорваното прехвърляне на данни. Съдът отправя преюдициално запитване до Съда на ЕС.
Решението на Съда на ЕС става известно на 6 октомври 2015 г. и потвърждава изводите на генералния адвокат Ив Бот, а именно, че наличието на решение на ЕК, с което се констатира, че дадена трета страна гарантира достатъчна степен за защита на прехвърляните лични данни, не само не може да отнеме, а не ограничава правомощията, с които разполагат националните надзорни органи по силата на директивата за обработването на лични данни (Директива 95/46/ЕО — Членове 25 и 28 — Прехвърляне на лични данни към трети страни). Решението на Комисията (2000/520/EC, с което е утвърдена юридическата рамка Safe Harbor („Безопасно пристанище“) за трансфера на лични данни между Европейския съюз и САЩ), е обявено за невалидно.Решение по дело C‑362/14 с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Върховен съд, Ирландия, с акт от 17 юли 2014 г., постъпил в Съда на 25 юли 2014 г., в рамките на производство по дело Maximillian Schrems срещу Data Protection Commissioner, в присъствието на: Digital Rights Ireland Ltd.
Колективен иск в австрийски съдилища през 2014 г. На 1 август 2014 г. Шремс завежда дело срещу ирландския филиал на „Фейсбук“ в местните съдилища във Виена. На всеки потребител на платформата е предоставена възможността да прехвърли иска си на Шремс чрез уеб страницата fbclaim.com. Поради твърде много регистрации в рамките на шест дни броят на ищците в делото е ограничен до 25 хил. потребители на „Фейсбук“, въпреки че други потребители все още могат да заявят интерес като се регистрират. Шремс съди компанията за символичната сума от 500 евро обезщетение на участник. В пресата делото е квалифицирано като Давид срещу Голиат и оценено като вероятно най-големият колективен иск за поверителност, завеждан някога в Европа.
Делото е финансирано от германския спонсор на съдебни спорове ROLAND ProzessFinanz, докато самият Шремс се ангажира pro bono и не получава никаква финансова изгода от колективния иск. Съгласно условията на fbclaim.com цялата сума, присъдена от съда, следва да бъде разпределена между отделните участници в колективния иск, прехвърлили правата си.
На 1 юли 2015 г. Окръжният съд на Виена отхвърля груповия иск на основание липса на юрисдикция. Решението на съда зависи от това дали Шремс е просто потребител на „Фейсбук“, тъй като именно на тази основа е успял да заведе дело в австрийски граждански съд по местоживеене. „Фейсбук“ обвинява Шремс, че има търговски интерес в многобройните си правни действия срещу „Фейсбук“. Съдия Марго Слански-Йост намира, че Шремс може да се възползва от огромния медиен интерес към случая за своята бъдеща кариера като адвокат и Съдът постановява на процедурни основания, че Шремс не може да бъде квалифициран като потребител. Това означава, че той не може да подаде жалбата в съд в родния си град.
През октомври 2015 г. Висшият окръжен съд на Виена отменя решението на окръжния съд от по-долна инстанция, като установява, че Шремс е потребител и действията му не са породени от търговски интерес. Висшият окръжен съд постановява, че Шремс може да заведе дело срещу Facebook Ireland във Виена, но то трябва да бъде ограничено до предявяването на неговите собствени права, което представлява 20 от 22-та иска в делото, и не може да включва предявяването на права, прехвърлени му от други потребители. Решението подлежи на обжалване пред австрийския Върховен съд по ключовия въпрос за образуване на групов иск съгласно правото на ЕС и австрийското право и Шремс се възползва, подавайки жалба на 2 ноември 2015 г.
Висшият окръжен съд на Виена потвърждава решението на Регионалния съд по гражданскоправни въпроси и на Шремс е присъдено символично парично обезщетение от „Фейсбук“ в размер на 500 евро за причинени емоционални щети (тъй като компанията не е предоставила пълен достъп до данните му). Присъда за обезщетението е потвърдена от Върховния съд. Шремс обявява, че битката продължава, тъй като по думите му регионалните съдилища „всъщност не са се справили с много от проблемите, които този случай повдига“. По-конкретно, макар да са установили, че е налице нарушение на директивата от страна на „Фейсбук“, те не са се противопоставили на твърдението на компанията, че може да използва договори за общи условия, с които определя границите на техните задължения за обработка на данни съгласно директивата.
През юли 2021 г. Шремс съобщава в сайта на NOYB, че Върховният съд на Австрия е приел искането му да отнесе редица въпроси до Съда на Европейския съюз, които пораждат фундаментални съмнения относно законността на използването на данни от „Фейсбук“ за всички потребители в ЕС. Сред въпросите е и този дали „Фейсбук“ извършва нарушение на ОРЗД, като бърка „съгласие“ с т.нар. „договор“.
Жалби, подадени съгласно ОРЗД през 2018 – 19 г. Малко след влизането в сила на Общия регламент за защита на данните (ОРЗД) на 25 май 2018 г. Шремс завежда дело в Ирландия срещу „Гугъл“ и „Фейсбук“ заради политиките им за събиране на данните на техните потребители, които последните са принудени да приемат. Трите подадени от него жалби са на обща стойност над 3,9 млрд. евро.
На 18 януари 2019 г. Шремс подава допълнителни жалби по ОРЗД срещу „Амазон“, „Епъл Мюзик“, DAZN, Filmmit, „Нетфликс“, „Саундклауд“, „Спотифай“ и „Ютюб“. В тях се посочва, че те не са отговорили, не са включили достатъчно основна информация или са предоставили недостатъчни или неразбираеми необработени данни. Прогнозата на NOYB за общия размер на глобите, които може да бъдат наложени на изброените компании, е 18,8 млрд. евро.
Шремс II Два месеца след произнасянето на Съда на ЕС по дело C-362/14 през декември 2015 г. Шремс подава отново първоначалната си жалба срещу „Фейсбук“ до ирландския комисар по защита на данните и изпраща подобни жалби до хамбургския и белгийските органи за защита на данните, които претендират за юрисдикция над „Фейсбук“. Жалбите са предназначени да приведат в изпълнение решението на Съда на ЕС спрямо „Фейсбук“, след като в този момент компанията не разчита на отмененото решение Safe Harbor за своите трансфери на данни. Вместо това „Фейсбук“ претендира да урежда практиките си чрез предварително одобрени договорни споразумения, съдържащи т.нар. „типови клаузи“. Шремс твърди, че тези споразумения също включват изключения за случаи на незаконно масово наблюдение и по този начин решението на Съда на ЕС се прилага и за тези споразумения.
Ирландският комисар по защита на данните приема, че Шремс е повдигнал „добре обосновани“ възражения, но за да вземе решение по жалбата, е необходимо Съдът на ЕС да издаде допълнителни насоки.
След производството през февруари/март 2017 г. съдия Костело от Върховния съд на Ирландия представя обобщението на 3 октомври 2017 г., отнасяйки случая (C-311/18 Data Protection Commissioner/Maximillian Schrems et Facebook Ireland) до Съда на ЕС, заедно с единадесет въпроса за разглежданеThe high court commercial [2016 no. 4809 p.] between the Data Protection Commissioner (plaintiff) and Facebook Ireland Limited and Maximilian Schrems (defendants). Request for a preliminary ruling (Article 267 TFEU), свързани с валидността на стандартните договорни клаузи. И Шремс, и „Фейсбук“ са против – за Шремс уредбата е ясна, а според „Фейсбук“ предоставяната защита на гражданите на ЕС е адекватна. Решението е публикувано на 16 юли 2020 г.
Въпросите на ирландския съд всъщност се отнасят до личните данни, прехвърлени от ЕС в САЩ съгласно решението на ЕК за новия механизъм от 2016 г. – заменилият Safe Harbor Privacy Shield): има ли нарушение на правата на гражданите на ЕС по чл. 7 (Зачитане на личния и семейния живот) и 8 (Защита на личните данни) от Хартата на основните права на ЕС; и дали ограниченията, пред които са изправени гражданите на ЕС в САЩ, са пропорционални или строго необходими по смисъла на чл. 52, параграф 1 от Хартата (Обхват и тълкуване на правата и принципите).Харта на основните права на Европейския съюз