Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
A. RANTOS
van 25 april 2024 (1)
Zaak C‑446/21
Maximilian Schrems
tegen
Meta Platforms Ireland Limited, voorheen Facebook Ireland Limited
[verzoek van het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Sociale netwerken – Artikel 5, lid 1, onder b) – Beginsel van ‚doelbinding’ – Artikel 5, lid 1, onder e) – Beginsel van ‚minimale gegevensverwerking’ – Artikel 9, leden 1 en 2, onder e) – Verwerking van bijzondere categorieën van persoonsgegevens – Persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt – Gepersonaliseerde reclame – Gegevens betreffende de seksuele geaardheid”
Inleiding
1. Het onderhavige verzoek om een prejudiciële beslissing werd toegezonden door het Oberste Gerichtshof (hoogste federale rechter in civiele en strafzaken, Oostenrijk) in het kader van een rechtsgeding tussen Maximilian Schrems (hierna: „verzoeker”), een gebruiker van het sociale netwerk „Facebook”, en Meta Platforms Ireland Limited, voorheen Facebook Ireland Limited (hierna: „Meta Platforms Ireland” of „verweerster”), met betrekking tot de gestelde onrechtmatige verwerking door deze onderneming van zijn persoonsgegevens.
2. De prejudiciële vragen in de onderhavige zaak betreffen de toepassing van het in artikel 5, lid 1, onder c), van verordening (EU) 2016/679(2) neergelegde beginsel van „minimale gegevensverwerking” en de uitlegging van het begrip „persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt” als bedoeld in artikel 9, lid 2, onder e), van deze verordening, gelezen in samenhang met artikel 5, lid 1, onder b), van deze verordening, dat het beginsel van „doelbinding” introduceert. In wezen vraagt de verwijzende rechter of het beginsel van minimale gegevensverwerking toestaat dat persoonsgegevens worden verwerkt zonder beperking in de tijd of naar de aard van de gegevens, en of de opmerkingen van een persoon over zijn eigen seksuele geaardheid tijdens een rondetafelgesprek toestaan dat andere gegevens over zijn seksuele geaardheid worden verwerkt voor het aanbieden van gepersonaliseerde reclame.
Toepasselijke bepalingen
3. Artikel 4 („Definities”), lid 11, AVG luidt:
„Voor de toepassing van deze verordening wordt verstaan onder:
[...]
11) ‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt”.
4. Artikel 5 („Beginselen inzake verwerking van persoonsgegevens”) van deze verordening bepaalt in de leden 1 en 2:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; [...]
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);
[...]
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
5. Artikel 6 („Rechtmatigheid van de verwerking”) van voornoemde verordening bepaalt in de leden 1 en 3 het volgende:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
[...]
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
[...]
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
[...] Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.”
6. Artikel 7 („Voorwaarden voor toestemming”) van diezelfde verordening luidt als volgt:
„1. Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.
[...]
3. De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het geven ervan.
4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.”
7. Artikel 9 („Verwerking van bijzondere categorieën van persoonsgegevens”) van die verordening bepaalt in de leden 1 en 2:
„1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;
b) de verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij een collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedt;
[...]
e) de verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt;
[...]”
8. Artikel 13 („Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”), lid 1, van de genoemde verordening luidt:
„Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
[...]
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
[...]”
Hoofdgeding, prejudiciële vragen en procedure bij het Hof
9. Meta Platforms Ireland, een vennootschap naar Iers recht, beheert het gesloten communicatienetwerk „Facebook”, dat in wezen een online sociaal netwerk is voor het delen van inhoud.(3) Haar bedrijfsmodel bestaat voornamelijk uit het aanbieden van gratis socialenetwerkdiensten aan haar particuliere gebruikers en het verkopen van onlinereclame, waaronder reclame die op haar gebruikers is gericht.(4) Deze reclame is voornamelijk gebaseerd op de geautomatiseerde aanmaak van relatief gedetailleerde profielen van gebruikers van dit sociale netwerk.(5)
10. In de loop van 2018, na de inwerkingtreding van de AVG, heeft Meta Platforms Ireland nieuwe gebruiksvoorwaarden voor Facebook aan haar gebruikers in de Europese Unie voorgelegd opdat zij daarmee konden instemmen, hetgeen overigens vereist is om zich te kunnen registreren voor of toegang te krijgen tot de door Facebook aangeboden accounts en diensten(6). Deze nieuwe gebruiksvoorwaarden geven gebruikers ook de mogelijkheid om een overzicht te krijgen van de opgeslagen gegevens en ze te controleren.(7)
11. Verzoeker is een Facebookgebruiker die de nieuwe gebruiksvoorwaarden van Facebook heeft aanvaard. Zoals uit de verwijzingsbeslissing blijkt, heeft hij zich publiekelijk geout als homoseksueel, maar heeft hij op zijn Facebookprofiel nooit zijn seksuele geaardheid vermeld of gevoelige gegevens gepubliceerd.(8) Verzoeker heeft verweerster ook geen toestemming verleend om de velden in zijn profiel met betrekking tot zijn liefdesleven, zijn werkgever, zijn baan of zijn opleiding te gebruiken voor gerichte reclame.
12. Verzoeker heeft niettemin een advertentie voor een politica ontvangen die aan hem was gericht op basis van de analyse die aangaf dat hij leek op andere „klanten” die haar een vind-ik-leukje hadden gegeven; hij heeft regelmatig op homoseksuelen gerichte advertenties en uitnodigingen voor overeenkomstige evenementen ontvangen, hoewel hij nooit eerder belangstelling voor dergelijke evenementen had getoond en niet eens de locaties kende waar ze plaatsvonden. Deze advertenties en uitnodigingen zouden niet rechtstreeks op verzoekers seksuele geaardheid en zijn „vrienden” op het sociale netwerk gebaseerd zijn, maar op een analyse van hun interesses.(9) Bovendien zou Meta Platforms Ireland alle gegevens met betrekking tot verzoeker, met inbegrip van via derden of plug-ins verkregen gegevens, voor onbepaalde tijd opslaan.
13. Gelet hierop heeft verzoeker bij het Landesgericht für Zivilrechtssachen Wien (rechter in eerste aanleg voor burgerrechtelijke zaken Wenen, Oostenrijk) een vordering tot tenuitvoerlegging, vaststelling en staking ingesteld wegens de gestelde onrechtmatige verwerking van zijn persoonsgegevens door Meta Platforms Ireland(10).
14. Vervolgens heeft verzoeker tijdens een op 12 februari 2019 door de vertegenwoordiging van de Europese Commissie in Wenen (Oostenrijk) georganiseerde rondetafelbijeenkomst(11) zijn seksuele geaardheid ter sprake gebracht bij een tussenkomst waarmee hij de gestelde onrechtmatige verwerking door Meta Platforms Ireland van gegevens met betrekking tot deze seksuele geaardheid aan de kaak wilde stellen(12).
15. Nadat verzoekers vordering in eerste aanleg bij vonnis van 30 juni 2020 en in hoger beroep bij arrest van 7 december 2020(13) door het Oberlandesgericht Wien (hoogste rechterlijke instantie Wenen, Oostenrijk) was verworpen, heeft hij bij het Oberste Gerichtshof, de verwijzende rechter, beroep in Revision ingesteld.
16. In deze omstandigheden heeft het Oberste Gerichtshof de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vier vragen.(14) Aangezien de eerste en de derde prejudiciële vraag zijn ingetrokken als gevolg van het arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk)(15), betreft de onderhavige zaak de tweede en de vierde vraag, die als volgt luiden:
„2) Moet artikel 5, lid 1, onder c), AVG (minimale gegevensverwerking) aldus worden uitgelegd dat alle persoonsgegevens waarover een platform als in het hoofdgeding beschikt (met name via de betrokkene of via derden op en buiten het platform), mogen worden samengevoegd, geanalyseerd en verwerkt met het oog op gerichte reclame, zonder enige beperking met betrekking tot de duur of de aard van de gegevens?
4) Moet artikel 5, lid 1, onder b), juncto artikel 9, lid 2, onder e), AVG aldus worden uitgelegd dat een verklaring over de eigen seksuele gerichtheid in het kader van een rondetafelgesprek de verwerking van andere gegevens over de seksuele gerichtheid toestaat met het oog op de samenvoeging en analyse van gegevens met het oog op gepersonaliseerde reclame?”
17. Schriftelijke opmerkingen zijn ingediend door verzoeker, Meta Platforms Ireland, de Oostenrijkse, de Franse, de Italiaanse en de Portugese regering en de Commissie. Verzoeker, Meta Platforms Ireland, de Oostenrijkse regering en de Commissie hebben mondelinge opmerkingen gemaakt tijdens de pleitzitting van 8 februari 2024.
Analyse
Tweede prejudiciële vraag
18. Met zijn tweede prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 1, onder c), AVG, waarin het beginsel van minimale gegevensverwerking is neergelegd, aldus moet worden uitgelegd dat alle persoonsgegevens die een netwerk zoals Facebook ter beschikking krijgt, met name via de betrokkene of via derden zowel op als buiten dit platform, mogen worden samengevoegd, geanalyseerd en verwerkt voor het aanbieden van gerichte reclame, zonder enige beperking in de tijd of naar de aard van de gegevens.
19. Vooraf moet in herinnering worden gebracht dat elke verwerking van persoonsgegevens in overeenstemming moet zijn met de in artikel 5 van deze verordening neergelegde beginselen inzake gegevensverwerking en moet beantwoorden aan een van de in artikel 6 van de verordening genoemde voorwaarden inzake de rechtmatigheid van de verwerking.(16)
20. Wat meer in het bijzonder de beginselen inzake de verwerking van persoonsgegevens betreft, heeft het Hof met name vastgesteld dat het in artikel 5, lid 1, onder c), AVG neergelegde beginsel van minimale gegevensverwerking bepaalt dat persoonsgegevens toereikend en ter zake dienend moeten zijn, alsook beperkt moeten blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt, hetgeen in wezen neerkomt op het evenredigheidsbeginsel(17). Zo beoogt het beginsel van minimale gegevensverwerking de aantasting van het recht op bescherming van persoonsgegevens door de verwerking in kwestie tot een minimum te beperken.
21. In de onderhavige zaak lijkt het mij duidelijk dat het eventuele ontbreken van enige beperking, zoals verondersteld door de verwijzende rechter, per definitie in strijd is met de toepassing van het beginsel van minimale gegevensverwerking. Het bij het Hof ingediende dossier bevat echter geen bewijs om een dergelijke veronderstelling te bevestigen of uit te sluiten, hetgeen hoe dan ook ter beoordeling van de verwijzende rechter staat. Niettemin zal ik pogen deze rechter een aantal nuttige aanwijzingen voor de uitlegging van de onderzochte bepaling te geven, die hem in staat kunnen stellen over de bij hem aanhangige zaak te beslissen.
22. Wat in de eerste plaats de beperking van de verwerking van persoonsgegevens in de tijd betreft, ben ik van mening dat de Unierechter, bij gebreke van een specifieke bepaling dienaangaande in de AVG, geen dwingende termijn voor de bewaring van dergelijke gegevens kan vaststellen. Bovendien heeft het Hof geoordeeld dat zelfs een aanvankelijk rechtmatige verwerking van juiste gegevens na verloop van tijd onverenigbaar kan worden met artikel 5, lid 1, onder c) tot en met e), AVG, wanneer deze gegevens niet langer noodzakelijk zijn voor de doeleinden waarvoor zij zijn verzameld of verwerkt.(18) Het staat derhalve aan de verwijzende rechter om, gelet op de omstandigheden van het geval en met toepassing van het evenredigheidsbeginsel(19), te beoordelen in hoeverre de door Meta Platforms Ireland toegepaste bewaringstermijn voor persoonsgegevens gerechtvaardigd is in verhouding tot het rechtmatige doel van de verwerking van deze gegevens voor het aanbieden van gepersonaliseerde reclame.
23. Wat in de tweede plaats de beperking van de verwerking van persoonsgegevens naar de aard van de gegevens betreft, staat het eveneens aan de verwijzende rechter om in de omstandigheden van het geval vast te stellen van welke persoonsgegevens de verwerking als rechtmatig kan worden beschouwd, met inachtneming van het evenredigheidsbeginsel.
24. Bovendien blijkt naar mijn mening uit het feit dat in de bewoordingen van artikel 5, lid 1, onder c), AVG naar zeer algemene voorwaarden, zoals „toereikendheid”, „relevantie” en „noodzakelijkheid”, wordt verwezen, dat de Uniewetgever de bevoegde autoriteiten een ruime beoordelingsmarge heeft willen laten bij de toepassing van deze bepaling, aangezien deze voorwaarden slechts van geval tot geval kunnen worden uitgelegd, rekening houdend met de omstandigheden van het geval.
25. Dit gezegd zijnde, ben ik van mening dat, zoals de Commissie in haar schriftelijke opmerkingen heeft aangegeven, bepaalde onderscheiden kunnen worden gemaakt naar gelang van de mate waarin de verschillende vormen van verwerking inbreuk maken op de rechten van de betrokkene. De verwijzende rechter kan dus, wanneer hij dat passend acht, een onderscheid maken tussen het gebruik van „statische” gegevens over de betrokkene (zoals leeftijd(20) of geslacht) en het gebruik van „gedragsgegevens” (zoals het volgen van het surfgedrag van de gebruiker), waarbij laatstgenoemd gebruik in de regel ingrijpender is wat de rechten van de betrokkene betreft. Wat meer in het bijzonder de „gedragsgegevens” betreft, kan een verder onderscheid worden gemaakt tussen het verzamelen van gegevens in verband met „actief” gedrag (zoals het klikken op de „vind-ik-leuk-knop”) en het verzamelen van gegevens in verband met „passief” gedrag (zoals het bezoeken van een website), waarbij dit laatste normaliter ingrijpender is voor de gebruiker. Daarnaast kan ook een onderscheid worden gemaakt tussen de verwerking van op het Facebookplatform verzamelde persoonsgegevens en de verwerking van persoonsgegevens die daarbuiten worden verzameld, namelijk op internetpagina’s, andere applicaties dan Facebook of de apparaten van de gebruikers, waarbij laatstgenoemde verwerking ingrijpender is dan eerstgenoemde.(21)
26. Bij deze analyse is het naar mijn mening ook belangrijk om rekening te houden met de redelijke verwachtingen van de betrokkenen.(22)
27. Bovendien moet in een situatie zoals die bestond vóór de inwerkingtreding van de AVG, waarin de verwerking van buiten het Facebookplatform verzamelde gegevens niet was gebaseerd op toestemming, maar veeleer op het noodzakelijke karakter van deze verwerking voor de uitvoering van de overeenkomst in de zin van artikel 6, lid 1, onder b), van deze verordening(23), rekening worden gehouden met de strikte uitlegging die het Hof aan deze bepaling heeft gegeven(24). Derhalve dient te worden vermeden, zoals de Italiaanse regering in haar schriftelijke opmerkingen aangeeft, dat door een ruime uitlegging van het in artikel 5 van de genoemde verordening neergelegde beginsel van minimale gegevensverwerking de verwerkingsverantwoordelijken de categorieën van persoonsgegevens die noodzakelijk worden geacht voor de uitvoering van de overeenkomst in de zin van artikel 6, lid 1, onder b), van deze verordening zouden kunnen uitbreiden.
28. Gelet op het voorgaande stel ik voor om op de tweede prejudiciële vraag te antwoorden dat artikel 5, lid 1, onder c), AVG aldus moet worden uitgelegd dat deze bepaling zich verzet tegen de verwerking van persoonsgegevens voor het aanbieden van gerichte reclame zonder beperking in de tijd of naar de aard van de gegevens, en dat het aan de verwijzende rechter is om, gelet op de omstandigheden van de zaak en met toepassing van het evenredigheidsbeginsel, te beoordelen in hoeverre de bewaringstermijn van de gegevens en de hoeveelheid verwerkte gegevens gerechtvaardigd zijn in verhouding tot de legitieme doelstelling van de verwerking van deze gegevens voor het aanbieden van gepersonaliseerde reclame.
Vierde prejudiciële vraag
29. Met zijn vierde prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 1, onder b), juncto artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat de omstandigheid dat een persoon zijn seksuele geaardheid ter sprake heeft gebracht tijdens een rondetafelbijeenkomst, Meta Platforms Ireland toestemming verleent om andere gegevens betreffende zijn seksuele geaardheid te verwerken teneinde hem gepersonaliseerde reclame aan te bieden. Meer in het algemeen stelt deze rechter de reikwijdte van laatstgenoemde bepaling aan de orde en wenst hij te vernemen op welke wijze de gevoelige gegevens van deze persoon openbaar moeten zijn gemaakt opdat artikel 9, lid 2, AVG van toepassing zou zijn.
Relevantie van de prejudiciële vraag
30. Meta Platforms Ireland heeft in haar schriftelijke en mondelinge opmerkingen verklaard, zonder dat de andere partijen dit ter terechtzitting hebben betwist, dat zij zich op geen enkel moment tijdens de procedure voor de nationale rechters heeft beroepen op de uitzondering van artikel 9, lid 2, onder e), AVG als rechtsgrond voor de verwerking van de betrokken gegevens.(25)
31. In een dergelijk geval zou de vierde prejudiciële vraag kennelijk irrelevant zijn, aangezien deze uitzondering in het onderhavige geval niet van toepassing zou zijn.(26)
32. Ik wil er niettemin aan herinneren dat volgens vaste rechtspraak van het Hof, in het kader van de procedure van artikel 267 VWEU, die op een duidelijke taakverdeling tussen de nationale rechterlijke instanties en het Hof berust, er een vermoeden van relevantie geldt voor de vragen over de uitlegging van het Unierecht die door de nationale rechter worden gesteld binnen het onder zijn eigen verantwoordelijkheid vastgestelde wettelijke en feitelijke kader(27), ten aanzien waarvan het niet aan het Hof staat om de juistheid ervan na te gaan.(28)
33. Derhalve zal ik in de volgende punten een antwoord voorstellen op de vierde prejudiciële vraag van de verwijzende rechter, onverminderd de beslissing van het Hof over de relevantie van deze vraag.
De prejudiciële vraag ten gronde
34. Vooraf wil ik eraan herinneren dat, krachtens artikel 5, lid 1, onder b), AVG, waarin het beginsel van doelbinding is neergelegd, persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld en vervolgens niet op een met die doeleinden onverenigbare wijze mogen worden verwerkt. Krachtens artikel 9, lid 1, van deze verordening is de verwerking van persoonsgegevens over met name het seksuele leven of de seksuele geaardheid van een natuurlijke persoon verboden, tenzij die verwerking onder een van de uitzonderingen valt waarin artikel 9, lid 2, van de genoemde verordening voorziet.(29)
35. Met name bepaalt artikel 9, lid 2, onder e), AVG dat het verbod op de verwerking van gevoelige persoonsgegevens niet van toepassing is indien de verwerking betrekking heeft op persoonsgegevens die door de betrokkene kennelijk openbaar zijn gemaakt. Zoals ik in mijn conclusie in de zaak Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk)(30) heb opgemerkt, nopen het gebruik van het bijwoord „kennelijk” in de bewoordingen van deze bepaling en het feit dat deze bepaling een uitzondering vormt op het beginsel dat de verwerking van gevoelige persoonsgegevens in het algemeen verboden is, bovendien tot een bijzonder strikte toepassing van deze uitzondering, wegens de aanzienlijke risico’s voor de grondrechten en de fundamentele vrijheden van de betrokkenen(31). Opdat deze uitzondering van toepassing zou zijn, moet de gebruiker zich er, naar mijn mening, volledig van bewust zijn dat hij door een expliciete handeling hem betreffende persoonsgegevens voor wie dan ook toegankelijk maakt.(32)
36. In het hoofdgeding zijn de gevoelige gegevens betreffende verzoekers seksuele geaardheid openbaar gemaakt buiten het Facebookplatform („offsite”) en buiten alle andere platforms of computerapplicaties, in het kader van een door de Commissie georganiseerde rondetafelbijeenkomst(33), met de bedoeling om de gestelde onrechtmatige verwerking door Meta Platforms Ireland van gegevens betreffende die seksuele geaardheid aan te klagen(34).
37. In dit verband heeft het Hof, in zijn arrest Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk)(35), reeds de gelegenheid gehad om zich uit te spreken over het gebruik van offsitegegevens in de context van andere platforms. Bij die gelegenheid heeft het Hof geoordeeld dat artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat een gebruiker van een online sociaal netwerk die websites of applicaties bezoekt die met een of meer van de in artikel 9, lid 1, AVG bedoelde categorieën verband houden, de gegevens over deze bezoeken die door de exploitant van dit online sociale netwerk via cookies of soortgelijke registratietechnologieën worden verzameld niet kennelijk openbaar maakt in de zin van eerstgenoemde bepaling, en dat een dergelijke gebruiker, wanneer hij op dergelijke websites of applicaties gegevens invoert of wanneer hij op die websites en in die applicaties geïntegreerde selectieknoppen aanklikt, zoals de knoppen „Vind ik leuk” of „Delen”, of de knoppen waarmee hij zich op deze websites of applicaties kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn gebruikersaccount van het online sociale netwerk, zijn telefoonnummer of zijn e-mailadres, de aldus ingevoerde of uit het aanklikken van deze knoppen voortvloeiende gegevens slechts kennelijk openbaar maakt in de zin van artikel 9, lid 2, onder e), AVG wanneer hij vooraf uitdrukkelijk zijn keuze kenbaar heeft gemaakt, in voorkomend geval op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie, om de hem betreffende gegevens openbaar te maken voor een onbeperkt aantal personen.(36)
38. In deze omstandigheden heeft de verwijzende rechter het noodzakelijk geacht om zijn vierde prejudiciële vraag te handhaven op grond dat de door het Hof in laatstgenoemde zaak onderzochte handelingen betrekking hadden op de raadpleging van websites of applicaties en het aanklikken van daarin geïntegreerde knoppen, terwijl het in de onderhavige zaak gaat om een verklaring die de betrokkene tijdens een rondetafelbijeenkomst heeft afgelegd over zijn seksuele geaardheid. Dienaangaande is deze rechter van oordeel dat uit een dergelijke verklaring geen toestemming in de zin van artikel 9, lid 2, onder e), AVG kan worden afgeleid.
39. In dit verband lijkt het mij passend om een onderscheid te maken tussen enerzijds de prealabele vraag of verzoekers verklaring over zijn seksuele geaardheid een handeling is waarmee hij deze geaardheid kennelijk openbaar maakt in de zin van artikel 9, lid 2, onder e), AVG en anderzijds, indien deze prealabele vraag bevestigend wordt beantwoord, de vraag of het feit dat hij zijn seksuele geaardheid kennelijk openbaar heeft gemaakt, de verwerking van gegevens betreffende deze seksuele geaardheid voor het aanbieden van gepersonaliseerde reclame rechtvaardigt in de zin van met name de artikelen 5 en 6 van deze verordening.
40. Wat in de eerste plaats de kwalificatie van verzoekers verklaring in de zin van artikel 9, lid 2, onder a), AVG betreft, merk ik op – bij gebreke van nuttige aanwijzingen uit de totstandkomingsgeschiedenis van deze bepaling en de toepassing ervan in de rechtspraak(37) – dat de uitzondering van artikel 9, lid 2, onder e), van deze verordening in wezen vereist dat aan twee cumulatieve voorwaarden is voldaan, namelijk de als „objectieve” voorwaarde dat de betrokken persoonsgegevens „kennelijk [...] openbaar zijn gemaakt”, en de als „subjectieve” voorwaarde dat het de „betrokkene” is die deze gegevens kennelijk openbaar maakt.
41. In het hoofdgeding lijkt mij, onder voorbehoud van de door de verwijzende rechter te verrichten controles, aan deze twee voorwaarden te zijn voldaan. Hoewel verzoekers verklaring incidenteel openbaar is gemaakt in het kader van een breder kritisch discours over de verwerking van gevoelige gegevens door Meta Platforms Ireland, ben ik van mening dat deze verklaring een handeling is waarmee hij, met volledige kennis van zaken, zijn seksuele geaardheid kennelijk openbaar heeft gemaakt.
42. Wat de eerste voorwaarde betreft, lijkt het mij, gezien het open karakter van de rondetafel, die rechtstreeks werd uitgezonden en vervolgens kon worden gestreamd(38) en de publieke belangstelling voor het daar besproken thema, zeer waarschijnlijk dat verzoekers verklaring een onbeperkt publiek kon bereiken dat veel groter was dan het in de zaal aanwezige publiek(39).
43. Wat de tweede voorwaarde betreft, is het naar mijn mening goed mogelijk dat verzoeker, door in de omstandigheden van het geval (met name in het kader van een open en voor de pers toegankelijk evenement) openlijk melding te maken van zijn seksuele geaardheid, zo hij al niet de bedoeling had om deze seksuele geaardheid „kennelijk openbaar” te maken in de zin van de in punt 35 van deze conclusie aangehaalde rechtspraak, zich er althans volledig van bewust was dat hij dit deed.(40)
44. Bovendien is het doel van de door artikel 9, lid 1, AVG verleende bescherming naar mijn mening te voorkomen dat de betrokkene wordt blootgesteld aan schadelijke gevolgen (zoals met name publieke afkeuring of discriminerende handelingen) die met name voortvloeien uit een negatieve perceptie, uit sociaal of economisch oogpunt, van de daarin genoemde situaties.(41) Deze bepaling voorziet derhalve in een bijzondere bescherming van dergelijke persoonsgegevens door middel van een niet-absoluut principieel verbod, waarvan de toepassing op het betrokken geval afhankelijk is van de beoordeling door de betrokkene, die zich in de beste positie bevindt om de nadelige gevolgen in te schatten die kunnen voortvloeien uit de openbaarmaking van de gegevens in kwestie en die, in voorkomend geval, met volledige kennis van zaken kan afzien van deze bescherming of er geen gebruik van kan maken door zijn situatie, en met name zijn seksuele geaardheid, kennelijk openbaar te maken in de zin van artikel 9, lid 2, onder e), van de genoemde verordening.
45. Wat in de tweede plaats het onderzoek betreft van de gevolgen die voortvloeien uit het feit dat verzoeker zijn seksuele geaardheid kennelijk openbaar heeft gemaakt, voor de verwerking van die gevoelige gegevens door Meta Platforms Ireland in de zin van de artikelen 5 en 6 AVG, ben ik van mening dat de omstandigheid dat gegevens kennelijk openbaar zijn gemaakt in de zin van artikel 9, lid 2, onder e), van deze verordening, op zich geen rechtvaardiging vormt voor de verwerking van deze gegevens in de zin van de genoemde verordening.
46. De toepassing van deze laatste bepaling heeft immers gewoon tot gevolg dat de „bijzondere bescherming” van bepaalde zeer gevoelige persoonsgegevens komt te vervallen. Zodra de betrokkene zelf bewust afstand heeft gedaan van deze bescherming (en hij zijn persoonsgegevens kennelijk openbaar heeft gemaakt), worden deze oorspronkelijk „beschermde” persoonsgegevens „gewone” (dus niet-gevoelige) gegevens die, net als alle andere persoonsgegevens, alleen rechtmatig kunnen worden verwerkt onder de voorwaarden die met name zijn uiteengezet in de artikelen 6 en 7 AVG, en in overeenstemming met de beginselen die met name zijn neergelegd in artikel 5 van deze verordening(42), met inbegrip van het in artikel 5, lid 1, onder b), van de genoemde verordening neergelegde doelbindingsbeginsel, dat bepaalt dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld, hetgeen volgens artikel 5, lid 2, van deze verordening door de verwerkingsverantwoordelijke moet worden aangetoond(43).
47. Derhalve kan het feit dat verzoeker zijn seksuele geaardheid ter sprake heeft gebracht in het kader van een rondetafelbijeenkomst, hoewel hieruit zou kunnen worden afgeleid dat deze gegevens door deze persoon in de omstandigheden van het geval „kennelijk [...] openbaar zijn gemaakt” in de zin van artikel 9, lid 2, onder e), AVG, op zich geen rechtvaardiging vormen voor de verwerking van persoonsgegevens waaruit zijn seksuele geaardheid blijkt.(44)
48. In het licht van het voorgaande stel ik voor om op de vierde prejudiciële vraag te antwoorden dat artikel 5, lid 1, onder b), juncto artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat het feit dat een persoon zijn seksuele geaardheid zelf ter sprake heeft gebracht tijdens een voor het publiek toegankelijke rondetafelbijeenkomst, hoewel dit een handeling kan vormen waarbij dit gegeven door de betrokkene „kennelijk openbaar [is] gemaakt” in de zin van artikel 9, lid 2, onder e), AVG, op zich geen rechtvaardiging vormt voor de verwerking van deze of andere gegevens betreffende zijn seksuele geaardheid met het oog op de samenvoeging en analyse van de gegevens voor het aanbieden van gepersonaliseerde reclame.
Conclusie
49. Gelet op een en ander geef ik het Hof in overweging om op de tweede en vierde prejudiciële vraag van het Oberste Gerichtshof te antwoorden als volgt:
„1) Artikel 5, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
– deze bepaling zich verzet tegen de verwerking van persoonsgegevens voor het aanbieden van gerichte reclame zonder beperking in de tijd of naar de aard van de gegevens, en
– het aan de verwijzende rechter is om, gelet op de omstandigheden van de zaak en met toepassing van het evenredigheidsbeginsel, te beoordelen in hoeverre de bewaringstermijn van de gegevens en de hoeveelheid verwerkte gegevens gerechtvaardigd zijn in verhouding tot de legitieme doelstelling van de verwerking van deze gegevens voor het aanbieden van gepersonaliseerde reclame.
2) Artikel 5, lid 1, onder b), juncto artikel 9, lid 2, onder e), van verordening 2016/679
moet aldus worden uitgelegd dat
– het feit dat een persoon zijn seksuele geaardheid zelf ter sprake heeft gebracht tijdens een voor het publiek toegankelijke rondetafelbijeenkomst, hoewel dit een handeling kan vormen waarbij dit gegeven door de betrokkene „kennelijk openbaar [is] gemaakt” in de zin van artikel 9, lid 2, onder e), van deze verordening, op zich geen rechtvaardiging vormt voor de verwerking van deze of andere gegevens betreffende zijn seksuele geaardheid met het oog op de samenvoeging en analyse van de gegevens voor het aanbieden van gepersonaliseerde reclame.”