Predbežné znenie
NÁVRHY GENERÁLNEHO ADVOKÁTA
ATHANASIOS RANTOS
prednesené 25. apríla 2024 (1)
Vec C‑446/21
Maximilian Schrems
proti
Meta Platforms Ireland Limited, predtým Facebook Ireland Limited
[návrh na začatie prejudiciálneho konania, ktorý položil Oberster Gerichtshof (Najvyšší súd, Rakúsko)]
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Sociálne siete – Článok 5 ods. 1 písm. b) – Zásada ,obmedzenia účelu‘ – Článok 5 ods. 1 písm. e) – Zásada ,minimalizácie údajov‘ – Článok 9 ods. 1 a článok 9 ods. 2 písm. e) – Spracúvanie osobitných kategórií osobných údajov – Osobné údaje, ktoré dotknutá osoba preukázateľne zverejnila – Personalizovaná reklama – Údaje o sexuálnej orientácii“
Úvod
1. Prejednávaný návrh na začatie prejudiciálneho konania podal Oberster Gerichtshof (Najvyšší súd, Rakúsko) v rámci sporu medzi pánom Maximilianom Schremsom (ďalej len „žalobca“), používateľom sociálnej siete Facebook, a spoločnosťou Meta Platforms Ireland Limited, predtým Facebook Ireland Limited (ďalej len „Meta Platforms Ireland“ alebo „žalovaná“), ktorý sa týka údajne protiprávneho spracúvania jeho osobných údajov touto spoločnosťou.
2. Prejudiciálne otázky položené v prejednávanej veci sa na jednej strane týkajú uplatnenia zásady „minimalizácie údajov“ stanovenej v článku 5 ods. 1 písm. c) nariadenia (EÚ) 2016/679(2) a na druhej strane výkladu pojmu „osobné údaje, ktoré dotknutá osoba preukázateľne zverejnila“, uvedeného v článku 9 ods. 2 písm. e) tohto nariadenia, v spojení s článkom 5 ods. 1 písm. b) tohto nariadenia, ktorý zavádza zásadu „obmedzenia účelu“. Vnútroštátny súd sa v podstate na jednej strane pýta, či zásada minimalizácie údajov umožňuje spracúvať osobné údaje bez akéhokoľvek obmedzenia z hľadiska času alebo v závislosti od povahy údajov, a na druhej strane, či vyjadrenia osoby týkajúce sa jej vlastnej sexuálnej orientácie počas pódiovej diskusie znamenajú súhlas so spracúvaním ďalších údajov o sexuálnej orientácii tejto osoby na účely personalizovanej reklamy.
Právny rámec
3. Článok 4 GDPR, nazvaný „Vymedzenie pojmov“, v bode 11 stanovuje:
„Na účely tohto nariadenia:
…
11. ,súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;“
4. Článok 5 tohto nariadenia s názvom „Zásady spracúvania osobných údajov“ v odsekoch 1 a 2 stanovuje:
„1. Osobné údaje musia byť:
a) spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (,zákonnosť, spravodlivosť a transparentnosť‘);
b) získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi;…
c) primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (,minimalizácia údajov‘);
…
2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (,zodpovednosť‘).“
5. Článok 6 tohto nariadenia, nazvaný „Zákonnosť spracúvania“, v odsekoch 1 a 3 stanovuje:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
b) spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;
…
f) spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa.
Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.
…
3. Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:
a) v práve Únie alebo
b) v práve členského štátu vzťahujúcom sa na prevádzkovateľa.
…
… Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.“
6. Článok 7 tohto nariadenia s názvom „Podmienky vyjadrenia súhlasu“ znie:
„1. Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.
…
3. Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním. Pred poskytnutím súhlasu musí byť dotknutá osoba o tejto skutočnosti informovaná. Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.
4. Pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný.“
7. Článok 9 GDPR, nazvaný „Spracúvanie osobitných kategórií osobných údajov“, v odsekoch 1 a 2 stanovuje:
„1. Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
2. Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:
a) dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;
b) spracúvanie je nevyhnutné na účely plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva a práva sociálneho zabezpečenia a sociálnej ochrany, pokiaľ je to povolené právom Únie alebo právom členského štátu alebo kolektívnou zmluvou podľa práva členského štátu poskytujúcimi primerané záruky ochrany základných práv a záujmov dotknutej osoby;
…
e) spracúvanie sa týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila;
…“
8. Článok 13 tohto nariadenia, ktorý sa týka „informáci[í], ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“, v odseku 1 stanovuje:
„V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:
…
c) účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;
d) ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;
…“
Spor vo veci samej, prejudiciálne otázky a konanie na Súdnom dvore
9. Meta Platforms Ireland, spoločnosť založená podľa írskeho práva, spravuje uzavretú komunikačnú sieť Facebook, ktorá je v podstate sociálnou sieťou na zdieľanie obsahu online.(3) Jej obchodný model je v podstate zameraný na poskytovanie bezplatných služieb sociálnych sietí súkromným používateľom a na predaj online reklamy vrátane reklamy zameranej na jej používateľov.(4) Táto reklama je založená hlavne na automatizovanom vytváraní pomerne podrobných profilov používateľov tejto sociálnej siete.(5)
10. V roku 2018, po nadobudnutí účinnosti GDPR, spoločnosť Meta Platforms Ireland predstavila svojim používateľom v Európskej únii nové podmienky používania Facebooku na získanie ich súhlasu, ktorý je potrebný aj na registráciu alebo prístup k účtom a službám poskytovaným sieťou Facebook.(6) Tieto nové podmienky používania tiež umožňujú používateľom získať prehľad uložených údajov a kontrolu nad nimi.(7)
11. Žalobca je používateľom Facebooku, ktorý súhlasil s novými podmienkami poskytovania služieb predloženými sieťou Facebook. Ako vyplýva z návrhu na začatie prejudiciálneho konania, verejne vyhlásil, že je homosexuál, ale nikdy nespomenul svoju sexuálnu orientáciu a nezverejnil nijaké citlivé údaje na svojom profile na Facebooku.(8) Žalobca zároveň nepovolil žalovanej používať kolónky vo svojom profile, ktoré sa týkajú jeho vzťahu, zamestnávateľa, zamestnania alebo vzdelania, na účely cielenej reklamy.
12. Žalobcovi však údajne bola zobrazená reklama na političku, pričom táto reklama mu bola adresovaná na základe analýzy, podľa ktorej sa podobá iným „zákazníkom“, ktorí túto političku označili symbolom „páči sa mi to“; pravidelne sa mu zobrazovali reklamy určené homosexuálnym osobám a pozvánky na príslušné podujatia, hoci sa o tieto udalosti nikdy predtým nezaujímal a dokonca ani nepoznal miesta, kde sa odohrávajú. Tieto reklamy alebo pozvánky nie sú priamo založené na sexuálnej orientácii žalobcu a jeho „priateľov“ na sociálnej sieti, ale na analýze ich záujmov.(9) Okrem toho Meta Platforms Ireland zapisuje všetky údaje týkajúce sa žalobcu vrátane údajov získaných prostredníctvom tretích strán alebo pluginov a uchováva ich na dobu neurčitú.
13. Za týchto podmienok žalobca podal na Landesgericht für Zivilsachen Wien (Krajinský súd pre občianskoprávne veci Viedeň, Rakúsko) žalobu o výkone, určovaciu žalobu a žalobu o zdržanie sa konania, ktorej predmetom bolo údajne protiprávne spracúvanie jeho osobných údajov spoločnosťou Meta Platforms Ireland.(10)
14. Následne pri príležitosti pódiovej diskusie, ktorú zorganizovalo zastúpenie Európskej komisie vo Viedni (Rakúsko)(11) 12. februára 2019, žalobca spomenul svoju sexuálnu orientáciu v prejave, ktorého cieľom bolo poukázať na údajne protiprávne spracúvanie údajov týkajúcich sa jeho sexuálnej orientácie spoločnosťou Meta Platforms Ireland.(12)
15. Keďže jeho žaloba bola v prvostupňovom konaní zamietnutá rozsudkom z 30. júna 2020 a v odvolacom konaní rozsudkom Oberlandesgericht Wien (Vyšší krajinský súd Viedeň, Rakúsko) zo 7. decembra 2020,(13) žalobca podal opravný prostriedok „Revision“ na Oberster Gerichtshof (Najvyšší súd), ktorý podal návrh na začatie prejudiciálneho konania.
16. Za týchto podmienok sa Oberster Gerichtshof (Najvyšší súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru štyri prejudiciálne otázky.(14) Keďže prvá a tretia otázka boli vzaté späť v nadväznosti na rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete),(15)predmetom prejednávanej veci sú druhá a štvrtá otázka, ktoré znejú takto:
„2. Má sa článok 5 ods. 1 písm. c) GDPR (minimalizácia údajov) vykladať v tom zmysle, že všetky osobné údaje, ktoré získala platforma, o akú ide v konaní vo veci samej (najmä prostredníctvom dotknutej osoby alebo tretích osôb v rámci platformy alebo mimo nej), sa môžu bez obmedzenia týkajúceho sa času alebo druhu údajov agregovať, analyzovať a spracúvať na účely cielenej reklamy?
4. Má sa článok 5 ods. 1 písm. b) v spojení s článkom 9 ods. 2 písm. e) GDPR vykladať v tom zmysle, že vyjadrenie o vlastnej sexuálnej orientácii na účely pódiovej diskusie dovoľuje spracúvanie iných údajov o sexuálnej orientácii pre potreby agregácie a analýzy údajov na účely personalizovanej reklamy?“
17. Písomné pripomienky predložil žalobca, Meta Platforms Ireland, rakúska, francúzska, talianska a portugalská vláda, ako aj Komisia. Žalobca, Meta Platforms Ireland, rakúska vláda a Komisia predniesli ústne pripomienky na pojednávaní, ktoré sa konalo 8. februára 2024.
Analýza
O druhej prejudiciálnej otázke
18. Druhou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 5 ods. 1 písm. c) GDPR, ktorý zakotvuje zásadu minimalizácie údajov, vykladať v tom zmysle, že všetky osobné údaje, ktoré má k dispozícii taká sieť, akou je Facebook, najmä prostredníctvom dotknutej osoby alebo tretích osôb na tejto platforme a mimo nej, môžu byť agregované, analyzované a spracúvané na účely cielenej reklamy bez časového obmedzenia alebo obmedzenia v závislosti od povahy údajov.
19. Na úvod treba pripomenúť, že každé spracúvanie osobných údajov musí byť jednak v súlade so zásadami týkajúcimi sa spracúvania údajov uvedenými v článku 5 GDPR a jednak musí zodpovedať jednej z podmienok týkajúcich sa legitímnosti spracúvania údajov vymenovaných v článku 6 tohto nariadenia.(16)
20. Pokiaľ ide konkrétnejšie o zásady týkajúce sa spracúvania osobných údajov, Súdny dvor okrem iného uviedol, že zásada minimalizácie údajov uvedená v článku 5 ods. 1 písm. c) GDPR stanovuje, že osobné údaje musia byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú, čo v podstate vyjadruje zásadu proporcionality.(17) Cieľom zásady minimalizácie údajov je teda minimalizovať obmedzenia práva na ochranu osobných údajov spôsobené predmetným spracúvaním.
21. V prejednávanej veci sa mi zdá jasné, že prípadná neexistencia akéhokoľvek obmedzenia, ktorú predpokladá vnútroštátny súd, by bola už zo svojej podstaty v rozpore s uplatnením zásady minimalizácie údajov. V spise predloženom Súdnemu dvoru však nič nepotvrdzuje ani nevylučuje takýto predpoklad, ktorý v každom prípade musí posúdiť vnútroštátny súd. Pokúsim sa však poskytnúť tomuto súdu užitočné informácie týkajúce sa výkladu posudzovaného ustanovenia, ktoré mu umožnia rozhodnúť vo veci, ktorú prejednáva.
22. Pokiaľ ide na jednej strane o obmedzenie spracúvania osobných údajov v čase, domnievam sa, že vzhľadom na neexistenciu osobitného ustanovenia v tejto súvislosti v GDPR súd Únie nemôže záväzne stanoviť maximálnu dobu uchovávania týchto údajov. Okrem toho Súdny dvor rozhodol, že aj spracúvanie správnych údajov, ktoré bolo pôvodne v súlade s právnymi predpismi, sa môže časom stať nezlučiteľným najmä s článkom 5 ods. 1 písm. c) až e) GDPR, pokiaľ tieto údaje už nie sú potrebné vzhľadom na účely, na ktoré boli zhromaždené alebo spracúvané.(18) Prináleží teda vnútroštátnemu súdu, aby vzhľadom na okolnosti prejednávanej veci a pri uplatnení zásady proporcionality(19) posúdil, v akom rozsahu je doba uchovávania osobných údajov spoločnosťou Meta Platforms Ireland odôvodnená vo vzťahu k legitímnemu účelu spracúvania takýchto údajov na účely personalizovanej reklamy.
23. Pokiaľ ide na druhej strane o obmedzenie spracúvania osobných údajov v závislosti od povahy údajov, vnútroštátnemu súdu tiež prináleží, aby vzhľadom na okolnosti veci určil, spracúvanie ktorých osobných údajov možno považovať za legitímne pri dodržaní zásady proporcionality.
24. Okrem toho odkazy v znení článku 5 ods. 1 písm. c) GDPR na veľmi všeobecné podmienky, akými sú „primeranosť“, „relevantnosť“ a „nevyhnutnosť“, podľa môjho názoru preukazujú, že normotvorca Únie mal v úmysle ponechať príslušným orgánom širokú mieru voľnej úvahy pri uplatňovaní tohto ustanovenia, keďže tieto podmienky možno vykladať len v každom jednotlivom prípade vzhľadom na okolnosti veci.
25. Napriek tomu sa domnievam, že ako uvádza Komisia vo svojich písomných pripomienkach, možno rozlišovať podľa stupňa zásahu do práv dotknutej osoby rôznymi formami spracúvania. Vnútroštátny súd by preto mohol, ak to považuje za vhodné, na jednej strane rozlišovať medzi použitím „statických“ údajov dotknutej osoby (akým je vek(20) alebo pohlavie) a použitím údajov „týkajúcich sa správania“ (akým je sledovanie zvykov používateľov pri prehliadaní), pričom posledné uvedené použitie vo všeobecnosti viac zasahuje do práv dotknutej osoby. Pokiaľ ide konkrétnejšie o údaje „týkajúce sa správania“, bolo by možné ďalej rozlišovať medzi zhromažďovaním údajov o „aktívnom“ správaní (akým je kliknutie na tlačidlo „páči sa mi to“) a zhromažďovaním údajov o „pasívnom“ správaní (akým je obyčajná návšteva internetovej stránky), pričom zhromažďovanie údajov o pasívnom správaní je pre používateľa zvyčajne rušivejšie. Na druhej strane by sa tiež mohlo rozlišovať medzi spracúvaním osobných údajov zhromaždených na platforme Facebook a mimo nej, a to na internetových stránkach, v iných aplikáciách ako Facebook alebo v zariadeniach používateľov, pričom posledné uvedené spracúvanie je rušivejšie ako prvé.(21)
26. V tejto analýze je podľa môjho názoru dôležité zohľadniť aj dôvodné očakávania dotknutých osôb.(22)
27. Okrem toho v situácii, aká existovala pred nadobudnutím účinnosti GDPR, keď spracúvanie údajov zhromaždených mimo platformy Facebook nebolo založené na súhlase, ale na nevyhnutnosti spracúvania na plnenie zmluvy podľa článku 6 ods. 1 písm. b) tohto nariadenia,(23) treba zohľadniť reštriktívny výklad tohto ustanovenia, ktorý poskytol Súdny dvor.(24) Ako zdôrazňuje talianska vláda vo svojich písomných pripomienkach, je teda dôležité zabezpečiť, aby široký výklad zásady minimalizácie údajov podľa článku 5 tohto nariadenia neumožňoval prevádzkovateľom rozšíriť kategórie osobných údajov, ktoré sa považujú za nevyhnutné na plnenie zmluvy podľa článku 6 ods. 1 písm. b) tohto nariadenia.
28. Vzhľadom na vyššie uvedené navrhujem odpovedať na druhú prejudiciálnu otázku tak, že článok 5 ods. 1 písm. c) GDPR sa má vykladať v tom zmysle, že bráni tomu, aby sa osobné údaje spracúvali na účely cielenej reklamy bez akéhokoľvek časového obmedzenia alebo obmedzenia v závislosti od povahy údajov, a že vnútroštátnemu súdu prináleží s prihliadnutím na okolnosti prípadu a v súlade so zásadou proporcionality posúdiť rozsah, v akom sú doba uchovávania údajov a množstvo spracúvaných údajov odôvodnené vo vzťahu k legitímnemu účelu spracúvania takýchto údajov na účely personalizovanej reklamy.
O štvrtej prejudiciálnej otázke
29. Štvrtou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 5 ods. 1 písm. b) v spojení s článkom 9 ods. 2 písm. e) GDPR vykladať v tom zmysle, že skutočnosť, že určitá osoba sa vyjadrila k svojej sexuálnej orientácii v rámci pódiovej diskusie, umožňuje spoločnosti Meta Platforms Ireland spracúvať ďalšie údaje týkajúce sa jej sexuálnej orientácie s cieľom ponúkať jej personalizovanú reklamu. Vo všeobecnosti sa tento súd pýta na pôsobnosť posledného uvedeného ustanovenia a konkrétnejšie sa pýta, akým spôsobom musí verejnosť získať citlivé údaje tejto osoby na to, aby sa mohol uplatniť článok 9 ods. 2 GDPR.
O relevantnosti prejudiciálnej otázky
30. Meta Platforms Ireland vo svojich písomných a ústnych pripomienkach uviedla, pričom ostatní účastníci konania to na pojednávaní nespochybnili, že počas konania na vnútroštátnych súdoch sa nikdy neodvolávala na výnimku stanovenú v článku 9 ods. 2 písm. e) GDPR ako na právny základ spracúvania predmetných údajov.(25)
31. V takom prípade sa však štvrtá prejudiciálna otázka zdá byť zjavne irelevantná, keďže táto výnimka sa v prejednávanej veci neuplatňuje.(26)
32. Treba však pripomenúť, že podľa ustálenej judikatúry Súdneho dvora v rámci konania zakotveného v článku 267 ZFEÚ, založeného na jasnom rozdelení úloh medzi vnútroštátnymi súdmi a Súdnym dvorom, sa na otázky týkajúce sa výkladu práva Únie položené vnútroštátnym súdom v legislatívnom a skutkovom rámci, ktorý tento súd vymedzí na vlastnú zodpovednosť(27) a ktorého správnosť Súdnemu dvoru neprináleží skúmať, vzťahuje domnienka relevantnosti.(28)
33. Preto v nasledujúcich bodoch navrhnem odpoveď na štvrtú prejudiciálnu otázku položenú vnútroštátnym súdom bez toho, aby bolo dotknuté rozhodnutie Súdneho dvora o relevantnosti tejto otázky.
O podstate prejudiciálnej otázky
34. Na úvod pripomínam, že podľa článku 5 ods. 1 písm. b) GDPR, ktorý zakotvuje zásadu obmedzenia účelu, sa osobné údaje musia zhromažďovať na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi. Podľa článku 9 ods. 1 tohto nariadenia je spracúvanie osobných údajov týkajúcich sa najmä sexuálneho života alebo sexuálnej orientácie fyzickej osoby zakázané, pokiaľ sa na takéto spracúvanie nevzťahuje niektorá z výnimiek stanovených v článku 9 ods. 2 tohto nariadenia.(29)
35. Konkrétne podľa článku 9 ods. 2 písm. e) GDPR sa zákaz spracúvania citlivých osobných údajov neuplatňuje, ak sa spracúvanie týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila. Ako som uviedol vo svojich návrhoch prednesených vo veci Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete),(30) použitie príslovky „preukázateľne“ v znení tohto ustanovenia a skutočnosť, že toto ustanovenie predstavuje výnimku zo zásady všeobecného zákazu spracúvania citlivých osobných údajov, si vyžaduje osobitne striktné uplatňovanie tejto výnimky z dôvodu významných rizík pre základné práva a slobody dotknutých osôb.(31) Na to, aby sa táto výnimka mohla uplatniť, si musí byť používateľ podľa môjho názoru plne vedomý toho, že výslovným aktom sprístupňuje osobné údaje, ktoré sa ho týkajú, komukoľvek.(32)
36. Vo veci samej boli citlivé údaje týkajúce sa sexuálnej orientácie žalobcu sprístupnené mimo platformy Facebook („off-site“) a akejkoľvek inej IT platformy alebo aplikácie v rámci pódiovej diskusie organizovanej Komisiou(33) a s cieľom poukázať na údajne nezákonné spracúvanie údajov týkajúcich sa tejto sexuálnej orientácie spoločnosťou Meta Platforms Ireland.(34)
37. V tejto súvislosti Súdny dvor už mal príležitosť vyjadriť sa k používaniu údajov „off-site“ v kontexte iných platforiem v rozsudku Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete).(35) Pri tejto príležitosti Súdny dvor rozhodol, že článok 9 ods. 2 písm. e) GDPR sa má vykladať v tom zmysle, že keď používateľ online sociálnej siete navštívi webové stránky alebo aplikácie, ktoré majú spojitosť s jednou alebo viacerými kategóriami údajov uvedených v článku 9 ods. 1 GDPR, v zmysle prvého z týchto ustanovení preukázateľne nezverejnil údaje týkajúce sa tejto návštevy, ktoré zhromaždil prevádzkovateľ tejto online sociálnej siete prostredníctvom súborov „cookie“ alebo podobných technológií ukladania údajov, a že keď zadáva údaje do takýchto webových stránok alebo aplikácií alebo keď klikne na tlačidlá výberu na takýchto webových stránkach a v takýchto aplikáciách, akými sú tlačidlá „páči sa mi to“ alebo „zdieľať“ alebo tlačidlá, ktoré umožňujú používateľovi identifikovať sa na takýchto webových stránkach alebo v aplikáciách pomocou prihlasovacích údajov prepojených s jeho používateľským účtom na sociálnej sieti, jeho telefónnym číslom alebo e-mailovou adresou, takýto používateľ v zmysle článku 9 ods. 2 písm. e) GDPR preukázateľne zverejnil takto zadané údaje alebo údaje, ktoré vyplývajú z kliknutia na tieto tlačidlá, iba ak vopred výslovne vyjadril svoju voľbu, v prípade potreby na základe individuálneho nastavenia vykonaného s úplnou znalosťou veci, aby údaje, ktoré sa ho týkajú, boli verejne prístupné neobmedzenému počtu osôb.(36)
38. Vnútroštátny súd však považoval za potrebné zachovať svoju štvrtú prejudiciálnu otázku z dôvodu, že akty skúmané Súdnym dvorom v poslednej uvedenej veci sa týkali navštevovania internetových stránok alebo aplikácií a klikania na tlačidlá na týchto stránkach a v týchto aplikáciách, zatiaľ čo v prejednávanej veci ide o vyhlásenie dotknutej osoby o jej sexuálnej orientácii vykonané počas pódiovej diskusie. V tejto súvislosti sa uvedený súd domnieva, že z takéhoto vyhlásenia nemožno vyvodiť súhlas v zmysle článku 9 ods. 2 písm. e) GDPR.
39. V tejto súvislosti považujem za vhodné rozlišovať na jednej strane medzi tým, či vyhlásenie žalobcu o jeho sexuálnej orientácii predstavuje akt, ktorým preukázateľne zverejnil túto orientáciu v zmysle článku 9 ods. 2 písm. e) GDPR, a na druhej strane, ak je odpoveď na túto otázku kladná, či preukázateľné zverejnenie sexuálnej orientácie oprávňuje na spracúvanie údajov týkajúcich sa tejto sexuálnej orientácie na účely personalizovanej reklamy najmä v zmysle článkov 5 a 6 tohto nariadenia.
40. Pokiaľ ide po prvé o kvalifikáciu vyhlásenia žalobcu v zmysle článku 9 ods. 2 písm. a) GDPR, keďže chýbajú užitočné informácie, ktoré by vyplynuli z histórie vzniku tohto ustanovenia a jeho uplatňovania v judikatúre,(37) chcem poukázať na to, že výnimka stanovená v článku 9 ods. 2 písm. e) tohto nariadenia v podstate požaduje, aby boli kumulatívne splnené dve podmienky, a to na jednej strane „objektívna“ podmienka „preukázateľného zverejnenia“ dotknutých osobných údajov a na druhej strane „subjektívna“ podmienka, podľa ktorej musí tieto údaje preukázateľne zverejniť práve „dotknutá osoba“.
41. Vo veci samej sa s výhradou overení, ktoré prináleží vykonať vnútroštátnemu súdu, domnievam, že tieto dve podmienky sú splnené. Hoci totiž žalobca urobil svoje vyhlásenie mimochodom v rámci širšej diskusie kritickej voči spracúvaniu citlivých údajov spoločnosťou Meta Platforms Ireland, domnievam sa, že predstavuje akt, ktorým s úplnou znalosťou veci preukázateľne zverejnil svoju sexuálnu orientáciu.
42. Pokiaľ ide o prvú podmienku, zdá sa mi veľmi pravdepodobné, že vzhľadom na otvorenú povahu pódiovej diskusie, ktorá bola vysielaná naživo a potom streamovaná,(38) ako aj na záujem verejnosti o tému, ktorej bola venovaná, sa vyhlásenie žalobcu mohlo dostať k nevymedzenému publiku, ktoré bolo oveľa väčšie ako publikum prítomné v sále.(39)
43. Pokiaľ ide o druhú podmienku, podľa môjho názoru je celkom možné predpokladať, že otvorenou zmienkou o svojej sexuálnej orientácii za okolností prejednávanej veci (najmä v kontexte otvoreného podujatia, ktoré je prístupné tlači) žalobca ak nie úmyselne, tak aspoň úplne vedome „preukázateľne zverejnil“ túto orientáciu v zmysle judikatúry citovanej v bode 35 vyššie.(40)
44. Okrem toho cieľom ochrany priznanej článkom 9 ods. 1 GDPR je podľa môjho názoru zabrániť tomu, aby dotknutá osoba bola vystavená nepriaznivým dôsledkom (akými sú najmä verejné osočovanie alebo diskriminačné konanie) vyplývajúcim predovšetkým z negatívneho vnímania situácií, ktoré sú v ňom vymenované, zo sociálneho alebo hospodárskeho hľadiska.(41) Toto ustanovenie teda upravuje osobitnú ochranu takýchto osobných údajov prostredníctvom zásadného, nie absolútneho zákazu, ktorého uplatnenie v konkrétnom prípade závisí od posúdenia dotknutej osoby, ktorá je v najlepšom postavení na to, aby posúdila škodlivé dôsledky, ktoré môžu vyplynúť zo zverejnenia predmetných údajov, a ktorá sa prípadne môže vzdať tejto ochrany alebo sa jej nedovolávať s plnou znalosťou veci tým, že v zmysle článku 9 ods. 2 písm. e) tohto nariadenia preukázateľne zverejní svoju situáciu, najmä svoju sexuálnu orientáciu.
45. Pokiaľ ide po druhé o preskúmanie dôsledkov vyplývajúcich zo skutočnosti, že osoba preukázateľne zverejnila svoju sexuálnu orientáciu, z hľadiska spracúvania týchto citlivých údajov spoločnosťou Meta Platforms Ireland v zmysle článkov 5 a 6 GDPR, domnievam sa, že preukázateľné zverejnenie údajov v zmysle článku 9 ods. 2 písm. e) tohto nariadenia samo osebe neumožňuje spracúvanie týchto údajov v zmysle uvedeného nariadenia.
46. Uplatnenie posledného uvedeného ustanovenia má totiž za následok len zrušenie „osobitnej ochrany“ priznanej niektorým osobitne citlivým osobným údajom. Po vedomom zrušení tejto ochrany samotnou dotknutou osobou (ktorá ich preukázateľne zverejnila) sa tieto osobné údaje, pôvodne „chránené“, stávajú „bežnými“ (t. j. nie citlivými) údajmi, ktoré sa rovnako ako všetky ostatné osobné údaje môžu zákonne spracúvať len za podmienok stanovených najmä v článkoch 6 a 7 GDPR a v súlade so zásadami zakotvenými najmä v článku 5 tohto nariadenia(42) vrátane zásady obmedzenia účelu zakotvenej v článku 5 ods. 1 písm. b) tohto nariadenia, ktorá si vyžaduje, aby sa osobné údaje zhromažďovali na konkrétne určené, výslovne uvedené a legitímne účely, čo musí prevádzkovateľ preukázať podľa odseku 2 predmetného ustanovenia.(43)
47. Preto skutočnosť, že žalobca vyjadril svoju sexuálnu orientáciu v rámci pódiovej diskusie, síce môže viesť k záveru, že za okolností prejednávanej veci táto osoba „preukázateľne zverejnila“ tieto údaje v zmysle článku 9 ods. 2 písm. e) GDPR, nemôže však sama osebe odôvodniť spracúvanie osobných údajov, ktoré odhaľujú sexuálnu orientáciu tejto osoby.(44)
48. Vzhľadom na vyššie uvedené navrhujem odpovedať na štvrtú prejudiciálnu otázku tak, že ustanovenia článku 5 ods. 1 písm. b) v spojení s článkom 9 ods. 2 písm. e) GDPR sa majú vykladať v tom zmysle, že vyjadrenie vlastnej sexuálnej orientácie pre potreby verejnosti otvorenej pódiovej diskusie síce môže predstavovať akt, ktorým dotknutá osoba „preukázateľne zverejnila“ tieto údaje v zmysle článku 9 ods. 2 písm. e) tohto nariadenia, samo osebe však nepovoľuje spracúvanie týchto údajov alebo iných údajov týkajúcich sa sexuálnej orientácie tejto osoby s cieľom zhromažďovať a analyzovať tieto údaje na účely personalizovanej reklamy.
Návrh
49. Vzhľadom na predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na druhú a štvrtú prejudiciálnu otázku, ktoré položil Oberster Gerichtshof (Najvyšší súd, Rakúsko), takto:
1. Článok 5 ods. 1 písm. c) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
– bráni tomu, aby sa osobné údaje spracúvali na účely cielenej reklamy bez akéhokoľvek časového obmedzenia alebo obmedzenia v závislosti od povahy údajov, a
– vnútroštátnemu súdu prináleží s prihliadnutím na okolnosti prípadu a v súlade so zásadou proporcionality posúdiť rozsah, v akom sú doba uchovávania údajov a množstvo spracúvaných údajov odôvodnené vo vzťahu k legitímnemu účelu spracúvania takýchto údajov na účely personalizovanej reklamy.
2. Ustanovenia článku 5 ods. 1 písm. b) v spojení s článkom 9 ods. 2 písm. e) nariadenia 2016/679
sa majú vykladať v tom zmysle, že:
– vyjadrenie vlastnej sexuálnej orientácie pre potreby verejnosti otvorenej pódiovej diskusie síce môže predstavovať akt, ktorým dotknutá osoba „preukázateľne zverejnila“ tieto údaje v zmysle článku 9 ods. 2 písm. e) tohto nariadenia, samo osebe však nepovoľuje spracúvanie týchto údajov alebo iných údajov týkajúcich sa sexuálnej orientácie tejto osoby s cieľom zhromažďovať a analyzovať tieto údaje na účely personalizovanej reklamy.