Foreløbig udgave
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
A. RANTOS
fremsat den 25. april 2024 (1)
Sag C-446/21
Maximilian Schrems
mod
Meta Platforms Ireland Limited, tidligere Facebook Ireland Limited
(anmodning om præjudiciel afgørelse indgivet af Oberster Gerichtshof (øverste domstol, Østrig))
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – sociale netværk – artikel 5, stk. 1, litra b) – princippet om »formålsbegrænsning« – artikel 5, stk. 1, litra e) – princippet om »dataminimering« – artikel 9, stk. 1, og artikel 9, stk. 2, litra e) – behandling af særlige kategorier af personoplysninger – personoplysninger, som tydeligvis er offentliggjort af den registrerede – personligt tilpasset reklame – oplysninger om seksuel orientering«
Indledning
1. Den foreliggende anmodning om præjudiciel afgørelse er indgivet af Oberster Gerichtshof (øverste domstol, Østrig) i forbindelse med en tvist mellem Maximilian Schrems (herefter »sagsøgeren«), som er bruger af det sociale netværk »Facebook«, og Meta Platforms Ireland Limited, tidligere Facebook Ireland Limited (herefter »Meta Platforms Ireland« eller »sagsøgte«) vedrørende en angiveligt ulovlig behandling, som dette selskab har foretaget af sagsøgerens personoplysninger.
2. De præjudicielle spørgsmål vedrørende den foreliggende sag gælder dels anvendelsen af princippet om »dataminimering« som omhandlet i artikel 5, stk. 1, litra c), i forordning (EU) 2016/679 (2), dels fortolkningen af begrebet »personoplysninger, som tydeligvis er offentliggjort af den registrerede« som omhandlet i denne forordnings artikel 9, stk. 2, litra e), sammenholdt med den nævnte forordnings artikel 5, stk. 1, litra b), hvorved princippet om »formålsbegrænsning« er indført. Den forelæggende ret ønsker nærmere bestemt oplyst, dels om princippet om dataminimering muliggør behandling af personoplysninger uden begrænsninger med hensyn til tid eller oplysningernes art, dels om en persons tilkendegivelse af sin seksuelle orientering under en paneldiskussion muliggør behandling af andre oplysninger om denne persons seksuelle orientering med henblik på personligt tilpasset reklame.
Retsforskrifter
3. Databeskyttelsesforordningens artikel 4 med overskriften »Definitioner« bestemmer i nr. 11):
»I denne forordning forstås ved:
[…]
11) »samtykke« fra den registrerede: enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.«
4. Denne forordnings artikel 5 med overskriften »Principper for behandling af personoplysninger« bestemmer i stk. 1 og 2:
»1. Personoplysninger skal:
a) behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«)
b) indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål; […]
c) være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«)
[…]
2. Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«
5. Den nævnte forordnings artikel 6 med overskriften »Lovlig behandling« fastsætter i stk. 1 og 3:
»1. Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
b) Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.
[…]
f) Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.
Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.
[…]
3. Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:
a) EU-retten, eller
b) medlemsstaternes nationale ret, som den dataansvarlige er underlagt.
[…]
[…] EU-retten eller medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.«
6. Samme forordnings artikel 7 med overskriften »Betingelser for samtykke« har følgende ordlyd:
»1. Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.
[…]
3. Den registrerede har til enhver tid ret til at trække sit samtykke tilbage. Tilbagetrækning af samtykke berører ikke lovligheden af den behandling, der er baseret på samtykke inden tilbagetrækningen. Inden der gives samtykke, skal den registrerede oplyses om, at samtykket kan trækkes tilbage. Det skal være lige så let at trække sit samtykke tilbage som at give det.
4. Ved vurdering af, om samtykke er givet frit, tages der størst muligt hensyn til, bl.a. om opfyldelse af en kontrakt, herunder om en tjenesteydelse, er gjort betinget af samtykke til behandling af personoplysninger, som ikke er nødvendig for opfyldelse af denne kontrakt.«
7. Databeskyttelsesforordningens artikel 9 med overskriften »Behandling af særlige kategorier af personoplysninger« bestemmer i stk. 1 og 2:
»1. Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.
2. Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:
a) Den registrerede har givet udtrykkeligt samtykke til behandling af sådanne personoplysninger til et eller flere specifikke formål, medmindre det i EU-retten eller medlemsstaternes nationale ret er fastsat, at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke.
b) Behandling er nødvendig for at overholde den dataansvarliges eller den registreredes arbejds-, sundheds- og socialretlige forpligtelser og specifikke rettigheder, for så vidt den har hjemmel i EU-retten eller medlemsstaternes nationale ret eller en kollektiv overenskomst i medfør af medlemsstaternes nationale ret, som giver fornødne garantier for den registreredes grundlæggende rettigheder og interesser.
[…]
e) Behandling vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede.
[…]«
8. Denne forordnings artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« bestemmer i stk. 1:
»Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:
[…]
c) formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen
d) de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på artikel 6, stk. 1, litra f)
[…]«
Tvisten i hovedsagen, de præjudicielle spørgsmål og retsforhandlingerne for Domstolen
9. Det irske selskab Meta Platforms Ireland driver det lukkede kommunikationsnetværk »Facebook«, som i det væsentlige er et socialt onlinenetværk til deling af indhold (3). Den økonomiske model består i det væsentlige i at tilbyde de private kunder gratis sociale netværkstjenester og at sælge onlinemarkedsføring, herunder reklamer målrettet mod brugerne (4). Denne reklametype er baseret på den automatiske oprettelse af detaljerede profiler for brugerne af dette sociale netværk (5).
10. I løbet af 2018 efter ikrafttrædelsen af databeskyttelsesforordningen forelagde Meta Platforms Ireland nye vilkår for brug af Facebooks tjenester for sine brugere i EU med henblik på at indhente deres samtykke, hvilket i øvrigt er nødvendigt for at kunne oprette en profil eller tilgå de konti og tjenester, som Facebook leverer (6). Disse nye tjenestevilkår gør det ligeledes muligt for brugerne at få en oversigt over deres gemte oplysninger og opnå kontrol med dem (7).
11. Sagsøgeren er Facebook-bruger og accepterede de nye tjenestevilkår, som Facebook forelagde til godkendelse. Som det fremgår af forelæggelsesafgørelsen har han offentligt tilkendegivet, at han er homoseksuel, men har aldrig nævnt sin seksuelle orientering eller offentliggjort følsomme oplysninger på sin Facebook-profil (8). Sagsøgeren har heller ikke givet sagsøgte tilladelse til med henblik på målrettet reklame at anvende de profiloplysninger, der vedrører hans forholdsstatus, arbejdsgiver, stilling eller uddannelse.
12. Sagsøgeren blev imidlertid vist en reklame for en kvindelig politiker, som var baseret på den analyse, at han lignede andre »kunder«, som havde markeret denne politiker med »Synes godt om«, og modtog regelmæssigt reklame, der var rettet til homoseksuelle personer, og invitationer til arrangementer med tilsvarende indhold, selv om han aldrig havde vist interesse for disse arrangementer og ikke kendte de steder, hvor disse blev afholdt. Disse reklamer og invitationer tog ikke direkte udgangspunkt i sagsøgerens eller hans »Facebook-venners« seksuelle orientering, men i en analyse af deres interesser (9). Endvidere registrerede Meta Platforms Ireland alle oplysninger om sagsøgeren, herunder dem, der hidrørte fra tredjeparter eller plugins, og opbevarede dem på ubestemt tid.
13. Sagsøgeren anlagde følgelig søgsmål ved Landesgericht für Zivilrechtssachen Wien (den regionale domstol for civile sager i Wien, Østrig) med henblik på fuldbyrdelse, konstatering og standsning af en angiveligt ulovlig behandling, som Meta Platforms Ireland foretog af hans personoplysninger (10).
14. Efterfølgende deltog sagsøgeren i en paneldiskussion, som Europa-Kommissionens repræsentation i Wien (Østrig) afholdt den 12. februar 2019 (11), hvor han nævnte sin seksuelle orientering under et indlæg, hvori han kritiserede Meta Platforms Irelands angiveligt ulovlige behandling af oplysninger om denne seksuelle orientering (12).
15. Da sagsøgeren ved dom af 30. juni 2020 ikke fik medhold i første instans, og hans appel heller ikke blev taget til følge af Oberlandesgericht Wien (den øverste regionale domstol i Wien, Østrig) ved dom af 7. december 2020 (13), har han iværksat revisionsanke ved Oberster Gerichtshof (øverste domstol), som er den forelæggende ret.
16. På denne baggrund har Oberster Gerichtshof (øverste domstol) besluttet at udsætte sagen og forelægge Domstolen fire præjudicielle spørgsmål (14). Da det første og det tredje præjudicielle spørgsmål blev trukket tilbage efter dommen af 4. juli 2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk) (15), er det det andet og det fjerde spørgsmål, der er genstand for den foreliggende sag, og de lyder som følger:
»2) Skal databeskyttelsesforordningens artikel 5, stk. 1, litra c), (dataminimering) fortolkes således, at alle personoplysninger, som en platform som den i hovedsagen omhandlede har til rådighed (navnlig gennem den registrerede eller gennem tredjeparter på eller uden for platformen), uden begrænsninger med hensyn til tid eller oplysningernes art kan indsamles, analyseres og behandles med henblik på målrettet reklame?
4) Skal databeskyttelsesforordningens artikel 5, stk. 1, litra b), sammenholdt med artikel 9, stk. 2, litra e), [heri,] fortolkes således, at en persons ytring om sin egen seksuelle orientering i forbindelse med en paneldiskussion tillader behandling af andre oplysninger om den seksuelle orientering med henblik på indsamling og analyse af oplysninger med henblik på personaliseret reklame?«
17. Der er indgivet skriftlige indlæg af sagsøgeren, Meta Platforms Ireland, den østrigske, den franske, den italienske og den portugisiske regering samt Kommissionen. I retsmødet den 8. februar 2024 blev der afgivet mundtlige indlæg af sagsøgeren, Meta Platforms Ireland, den østrigske regering samt Kommissionen.
Bedømmelse
Om det andet præjudicielle spørgsmål
18. Med det andet præjudicielle spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 5, stk. 1, litra c), der fastlægger princippet om dataminimering, skal fortolkes således, at alle personoplysninger, som et netværk som Facebook har til rådighed, navnlig gennem den registrerede eller gennem tredjeparter i eller uden for netværket, uden begrænsninger med hensyn til tid eller oplysningernes art kan indsamles, analyseres og behandles med henblik på målrettet reklame.
19. Det skal indledningsvis påpeges, at enhver behandling af personoplysninger både skal foregå i overensstemmelse med de principper for behandling af oplysninger, der er opregnet i databeskyttelsesforordningens artikel 5, og overholde en af de betingelser om behandlingens lovlighed, som er opstillet i denne forordnings artikel 6 (16).
20. Hvad nærmere bestemt angår principperne for behandling af personoplysninger har Domstolen bl.a. præciseret princippet om dataminimering, der er fastlagt i databeskyttelsesforordningens artikel 5, stk. 1, litra c), hvorefter personoplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles, hvilket i det væsentlige er udtryk for proportionalitetsprincippet (17). Princippet om dataminimering har således til formål at minimere den hindring for retten til beskyttelse af personoplysninger, der forårsages af den pågældende behandling.
21. I den foreliggende sag forekommer det mig indlysende, at det i overensstemmelse med den forelæggende rets formodning pr. definition er i strid med anvendelsen af princippet om dataminimering, hvis der slet ingen begrænsninger er. Indholdet af de sagsakter, der er fremlagt for Domstolen, kan imidlertid hverken be- eller afkræfte en sådan formodning, og det er under alle omstændigheder overladt den forelæggende ret at skønne herom. Jeg vil ikke desto mindre bestræbe mig på at give denne ret nogle nyttige anvisninger på fortolkningen af den undersøgte bestemmelse, som kan sætte den i stand til at træffe afgørelse i den sag, der verserer for den.
22. For så vidt angår for det første den tidsmæssige begrænsning af behandlingen af personoplysninger er det min opfattelse, at Unionens retsinstanser i mangel af en specifik bestemmelse i denne henseende i databeskyttelsesforordningen ikke bindende kan fastsætte en bestemt tidsgrænse for opbevaring af disse oplysninger. Endvidere har Domstolen fastslået, at selv en behandling af korrekte oplysninger, der oprindeligt var lovlig, med tiden kan blive uforenelig med databeskyttelsesforordningens artikel 5, stk. 1, litra c)-e), når disse oplysninger ikke længere er nødvendige af hensyn til de formål, hvortil de er blevet indsamlet, eller i forbindelse med hvilke de er blevet behandlet (18). Det tilkommer derfor den forelæggende ret under hensyntagen til omstændighederne i den foreliggende sag og under anvendelse af proportionalitetsprincippet (19) at vurdere, i hvor høj grad den periode, hvori Meta Platforms Ireland opbevarer personoplysninger, er begrundet i forhold til det legitime formål, der forfølges, nemlig at behandle disse oplysninger med henblik på personligt tilpasset reklame.
23. For så vidt angår for det andet den begrænsning af behandlingen af personoplysninger, der afhænger af oplysningernes art, tilkommer det ligeledes den forelæggende ret at fastslå, hvilke personoplysninger det under omstændighederne i den foreliggende sag kan anses for legitimt at behandle, idet den fortsat skal iagttage proportionalitetsprincippet.
24. Det er endvidere min opfattelse, at ordlyden af databeskyttelsesforordningens artikel 5, stk. 1, litra c), som indeholder en række meget generiske betingelser som »tilstrækkelighed«, »relevans« og »nødvendighed«, viser, at EU-lovgiver har ønsket at overlade de kompetente myndigheder en bred skønsmargen ved anvendelsen af denne bestemmelse, idet disse betingelser nødvendigvis skal fortolkes fra sag til sag i betragtning af omstændighederne i det pågældende tilfælde.
25. Når dette er præciseret, er jeg enig med Kommissionen i det, som denne har påpeget i sine skriftlige indlæg, nemlig at der kan sondres alt efter graden af det indgreb, som forskellige former for behandling af den registreredes oplysninger udgør. Den forelæggende ret kunne derfor, når den finder det hensigtsmæssigt i det foreliggende tilfælde, for det første foretage en sondring mellem anvendelsen af »statiske« oplysninger om den registrerede (f.eks. alder (20) eller køn) og anvendelsen af »adfærdsmæssige« oplysninger (f.eks. brugernes navigationsvaner), idet sidstnævnte anvendelse sædvanligvis er mere indgribende over for den registreredes rettigheder. For så vidt angår nærmere bestemt de »adfærdsmæssige« oplysninger kunne der efterfølgende sondres mellem indsamling af oplysninger om en »aktiv« adfærd (f.eks. klik på »Synes godt om«-knappen) og indsamling af oplysninger om en »passiv« adfærd (f.eks. besøg på et websted), idet sidstnævnte normalt er mindre indgribende over for brugeren. For det andet kunne der ligeledes foretages en sondring mellem behandlingen af de personoplysninger, der indsamles på Facebooks platform, og dem, der indsamles andetsteds, nemlig på internetsider, andre applikationer end Facebook eller på brugernes enheder, idet sidstnævnte er mere indgribende end førstnævnte (21).
26. I forbindelse med denne bedømmelse finder jeg det ligeledes vigtigt at tage hensyn til de berørte personers rimelige forventninger (22).
27. Endvidere bør der i en situation som den, der forelå før databeskyttelsesforordningens ikrafttræden, hvor behandlingen af personoplysninger, der var indsamlet uden for Facebooks platform, ikke hvilede på samtykke, men snarere på nødvendigheden af behandlingen af hensyn til opfyldelsen af kontrakten som omhandlet i denne forordnings artikel 6, stk. 1, litra b) (23), tages hensyn til den snævre fortolkning, som Domstolen har anlagt af denne bestemmelse (24). Det er følgelig vigtigt, således som den italienske regering har fremhævet i sine skriftlige indlæg, at undgå, at en bred fortolkning af princippet om dataminimering i henhold til den nævnte fortolknings artikel 5 kan sætte den dataansvarlige i stand til at udvide de kategorier af personoplysninger, der anses for nødvendige for opfyldelsen af kontrakten som omhandlet i denne forordnings artikel 6, stk. 1, litra b).
28. På baggrund af det ovenstående foreslår jeg, at det andet præjudicielle spørgsmål besvares med, at databeskyttelsesforordningens artikel 5, stk. 1, litra c), skal fortolkes således, at denne bestemmelse er til hinder for, at personoplysninger kan behandles med henblik på målrettet reklame uden begrænsninger med hensyn til tid eller oplysningernes art, og at det tilkommer den forelæggende ret under hensyntagen til omstændighederne i den foreliggende sag og under anvendelse af proportionalitetsprincippet at vurdere, i hvor høj grad perioden for opbevaring af personoplysninger og mængden af behandlede oplysninger er begrundet i forhold til det legitime formål, der forfølges, nemlig at behandle disse oplysninger med henblik på personligt tilpasset reklame.
Om det fjerde præjudicielle spørgsmål
29. Med det fjerde præjudicielle spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 5, stk. 1, litra b), sammenholdt med forordningens artikel 9, stk. 2, litra e), skal fortolkes således, at en persons ytring om sin seksuelle orientering i forbindelse med en paneldiskussion tillader Meta Platforms Ireland at behandle andre oplysninger om den pågældendes seksuelle orientering med henblik på at vise vedkommende personligt tilpasset reklame. Denne ret ønsker i almindelighed oplysning om rækkevidden af sidstnævnte bestemmelse og har i særdeleshed rejst spørgsmålet om, hvordan denne persons følsomme personoplysninger skal være kommet til offentlighedens kendskab, for at databeskyttelsesforordningens artikel 9, stk. 2, kan finde anvendelse.
Det præjudicielle spørgsmåls relevans
30. Meta Platforms Ireland har i sine skriftlige og mundtlige indlæg præciseret, uden at andre parter har anfægtet dette i retsmødet, at selskabet i løbet af sagens behandling ved de nationale domstole på intet tidspunkt har gjort databeskyttelsesforordningens artikel 9, stk. 2, litra e), gældende som retsgrundlag for behandlingen af de omhandlede oplysninger (25).
31. I en sådan situation fremstår det fjerde præjudicielle spørgsmål imidlertid klart uden relevans, eftersom denne undtagelse ikke kan finde anvendelse på den foreliggende sag (26).
32. Når dette er sagt, skal det erindres, at der ifølge Domstolens faste praksis inden for rammerne af proceduren i artikel 267 TEUF, som er baseret på en klar adskillelse mellem de nationale retters og Domstolens funktioner, gælder en formodning for, at de spørgsmål om EU-rettens fortolkning, som den nationale ret har forelagt på baggrund af de retlige og faktiske omstændigheder, som den har ansvaret for at fastlægge (27) – og hvis rigtighed det ikke tilkommer Domstolen at efterprøve – er relevante (28).
33. Følgelig vil jeg nedenfor foreslå en besvarelse af det fjerde af den forelæggende rets præjudicielle spørgsmål uanset Domstolens afgørelse for så vidt angår relevansen af dette spørgsmål.
Realiteten med hensyn til det præjudicielle spørgsmål
34. Indledningsvis gør jeg opmærksom på, at i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra b), der opstiller princippet om formålsbegrænsning, skal personoplysninger indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål. I henhold til denne forordnings artikel 9, stk. 1, er det forbudt at behandle personoplysninger om navnlig en fysisk persons seksuelle forhold eller seksuelle orientering, medmindre en sådan behandling falder ind under en af undtagelserne i den nævnte forordnings artikel 9, stk. 2 (29).
35. Det følger nærmere bestemt af databeskyttelsesforordningens artikel 9, stk. 2, litra e), at forbuddet mod behandling af følsomme personoplysninger ikke finder anvendelse, hvis behandlingen vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede. Som jeg forklarede i mit forslag til afgørelse i sagen Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk) (30), foreskriver henvisningen i affattelsen af denne bestemmelse til adverbiet »tydeligvis« og den omstændighed, at nævnte bestemmelse udgør en undtagelse fra princippet om et generelt forbud mod behandling af følsomme personoplysninger, desuden en særligt streng anvendelse af denne undtagelse på grund af de betydelige risici, som den registreredes grundlæggende rettigheder og frihedsrettigheder er omfattet af (31). For at den nævnte undtagelse kan finde anvendelse, skal brugeren efter min opfattelse have fuld bevidsthed om ved en udtrykkelig handling at have gjort personoplysninger om sig selv tilgængelige for hvem som helst (32).
36. I den foreliggende sag er følsomme oplysninger om sagsøgerens seksuelle orientering blevet videregivet uden for Facebooks platform (»off-oplysninger«) og uden for enhver anden digital platform eller applikation i forbindelse med en paneldiskussion arrangeret af Kommissionen (33) og med det formål at kritisere Meta Platforms Irelands angiveligt ulovlige behandling af oplysninger om denne seksuelle orientering (34).
37. I denne henseende har Domstolen allerede haft anledning til at tage stilling til anvendelsen af »off-oplysninger« i forbindelse med andre platforme i dommen i sagen Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk) (35). Ved denne lejlighed fastslog Domstolen, at databeskyttelsesforordningens artikel 9, stk. 2, litra e), skulle fortolkes således, at når en bruger af et socialt onlinenetværk besøger websteder eller anvender applikationer i forbindelse med en eller flere af de kategorier, der er omhandlet i databeskyttelsesforordningens artikel 9, stk. 1, kan vedkommende ikke anses for tydeligvis at have offentliggjort de oplysninger om dette besøg, som operatøren af det sociale onlinenetværk har indsamlet gennem »cookies« eller lignende lagringsteknologier, og at når brugeren indtaster oplysninger på sådanne websteder eller applikationer eller trykker på valgknapper på disse websteder og applikationer, såsom knapperne »synes godt om«, »del«, eller på knapper, som giver brugeren mulighed for at identificere sig på disse websteder eller applikationer ved anvendelse af de loginoplysninger, der er tilknyttet brugerens konto på det sociale netværk, telefonnummer eller e-mailadresse, har en sådan bruger kun tydeligvis offentliggjort de således indtastede oplysninger eller oplysninger fra tryk på disse knapper som omhandlet i artikel 9, stk. 2, litra e), når denne bruger udtrykkeligt på forhånd har tilkendegivet sit valg, eventuelt på grundlag af en personlig tilpasning, der er foretaget med fuldt kendskab til sagen, om at gøre oplysningerne om den pågældende offentligt tilgængelige for et ubegrænset antal personer (36).
38. Når dette er sagt, har den forelæggende ret fundet det nødvendigt at fastholde sit fjerde præjudicielle spørgsmål med den begrundelse, at de handlinger, som Domstolen undersøgte i sidstnævnte sag, vedrørte besøg på websteder eller anvendelse af applikationer samt aktivering af deri integrerede knapper, mens det i den foreliggende sag drejer sig om en erklæring, som den registrerede afgav om sin seksuelle orientering under en paneldiskussion. I denne henseende er den forelæggende ret af den opfattelse, at det ikke kan udledes af en sådan erklæring, at afsenderen har afgivet et samtykke som omhandlet i databeskyttelsesforordningens artikel 9, stk. 2, litra e).
39. På denne baggrund finder jeg det hensigtsmæssigt at foretage en sondring mellem på den ene side det foregående spørgsmål om, hvorvidt sagsøgerens erklæring om sin seksuelle orientering udgør en handling, hvorved han tydeligvis har offentliggjort denne seksuelle orientering som omhandlet i databeskyttelsesforordningens artikel 9, stk. 2, litra e), og på den anden side, hvis dette spørgsmål besvares bekræftende, spørgsmålet om, hvorvidt det forhold, at en person tydeligvis har offentliggjort sin seksuelle orientering, tillader behandling af oplysninger om denne seksuelle orientering med henblik på personligt tilpasset reklame som omhandlet i navnlig denne forordnings artikel 5 og 6.
40. Hvad i første række angår den kvalificering, som sagsøgerens erklæring skal have, som omhandlet i databeskyttelsesforordningens artikel 9, stk. 2, litra a), påpeger jeg, at i mangel af nyttige anvisninger, der kunne udledes af denne bestemmelses tilblivelseshistorie og af dens anvendelse i retspraksis (37), kræver undtagelsen i denne forordnings artikel 9, stk. 2, litra e), i det væsentlige opfyldelsen af to kumulative betingelser, nemlig dels den betingelse, som kunne defineres som »objektiv«, om, at de pågældende personoplysninger »tydeligvis er offentliggjort«, dels den betingelse, som kunne defineres som »subjektiv«, om, at det er »den registrerede«, der tydeligvis har offentliggjort disse oplysninger.
41. I hovedsagen er disse to betingelser efter min opfattelse opfyldt, med forbehold af den efterprøvning, som det påhviler den forelæggende ret at foretage. Selv om sagsøgerens erklæring blev viderebragt indirekte i forbindelse med et generelt og kritisk indlæg om Meta Platforms Irelands behandling af følsomme oplysninger, er det nemlig min vurdering, at denne erklæring udgør en handling, hvorved han med fuldt kendskab til sagen tydeligvis offentliggjorde sin seksuelle orientering.
42. For så vidt angår den første betingelse finder jeg det stærkt sandsynligt, at sagsøgerens erklæring i betragtning af paneldiskussionens åbne karakter, idet den blev streamet direkte (38), og offentlighedens interesse for det tema, der her var til diskussion, kunne nå ud til et meget større publikum end det antal personer, der var til stede i salen (39).
43. For så vidt angår den anden betingelse finder jeg det helt plausibelt at antage, at sagsøgeren ved åbent at nævne sin seksuelle orientering under omstændighederne i den foreliggende sag (navnlig i forbindelse med et arrangement, der var åbent og tilgængeligt for pressen) har om ikke haft til hensigt, så dog været bevidst om »tydeligvis« at offentliggøre sin seksuelle orientering som omhandlet i den retspraksis, der er nævnt i punkt 35 i dette forslag til afgørelse (40).
44. Endvidere er formålet med den beskyttelse, som databeskyttelsesforordningens artikel 9, stk. 1, yder, efter min opfattelse at undgå, at den registrerede udsættes for skadelige konsekvenser (såsom offentlig udskamning eller diskriminerende handlinger), der navnlig udspringer af en socialt eller økonomisk set negativ opfattelse af de situationer, der er opregnet i denne bestemmelse (41). Denne bestemmelse fastsætter således en særlig beskyttelse af disse personoplysninger i kraft af et ikke absolut principielt forbud, hvis anvendelse på den foreliggende sag er betinget af den bedømmelse, der foretages af den registrerede, som er bedst egnet til at vurdere de potentielt skadelige konsekvenser af videregivelsen af de omhandlede oplysninger og i givet fald kan give afkald på denne beskyttelse eller, med fuldt kendskab til følgerne, undlade at gøre den gældende ved tydeligvis at offentliggøre sin situation og navnlig sin seksuelle orientering som omhandlet i denne forordnings artikel 9, stk. 2, litra e).
45. Hvad i anden række angår undersøgelsen af konsekvenserne af, at en person tydeligvis har offentliggjort sin seksuelle orientering, for Meta Platforms Irelands behandling af disse følsomme oplysninger som omhandlet i databeskyttelsesforordningens artikel 5 og 6, er jeg af den opfattelse, at det forhold, at oplysningerne tydeligvis er offentliggjort som omhandlet i denne forordnings artikel 9, stk. 2, litra e), ikke i sig selv begrunder en behandling af disse oplysninger i den nævnte forordnings forstand.
46. Anvendelsen af sidstnævnte bestemmelse har nemlig blot til følge, at »den særlige beskyttelse«, der ydes visse særligt følsomme personoplysninger, bortfalder. Når denne beskyttelse bevidst er fravalgt af den registrerede selv (som tydeligvis har offentliggjort visse oplysninger), bliver disse personoplysninger, der som udgangspunkt er »beskyttede«, til »almindelige« personoplysninger (dvs. ikke følsomme), der i lighed med alle andre personoplysninger kun vil kunne behandles på betingelse af behandlingens lovlighed som fastsat i bl.a. databeskyttelsesforordningens artikel 6 og 7 og under iagttagelse af principperne for behandling af de samme oplysninger, der bl.a. er defineret i denne forordnings artikel 5 (42), herunder princippet om formålsbegrænsning i den nævnte forordnings artikel 5, stk. 1, litra b), når dette princip kræver, at personoplysningerne indsamles til udtrykkeligt angivne og legitime formål, hvilket det som omhandlet i den pågældende bestemmelses stk. 2 påhviler den dataansvarlige at godtgøre (43).
47. Følgelig kan det forhold, at sagsøgeren har ytret sig om sin seksuelle orientering i forbindelse med en paneldiskussion, om end dette kunne føre til den konklusion, at den pågældende under omstændighederne i den foreliggende sag »tydeligvis har offentliggjort« disse oplysninger som omhandlet i databeskyttelsesforordningens artikel 9, stk. 2, litra e), ikke i sig selv begrunde behandlingen af personoplysninger, der afdækker den pågældendes seksuelle orientering (44).
48. På baggrund af det ovenstående foreslår jeg, at det fjerde præjudicielle spørgsmål besvares med, at databeskyttelsesforordningens artikel 5, stk. 1, litra b), sammenholdt med forordningens artikel 9, stk. 2, litra e), skal fortolkes således, at det forhold, at en person har ytret sig om sin seksuelle orientering i forbindelse med en offentlig paneldiskussion – om end dette kan udgøre en handling, hvorved den pågældende »tydeligvis har offentliggjort« denne oplysning som omhandlet i denne forordnings artikel 9, stk. 2, litra e) – ikke i sig selv tillader behandling af de nævnte oplysninger eller andre oplysninger om den pågældendes seksuelle orientering med henblik på aggregering og analyse af oplysningerne med henblik på personligt tilpasset reklame.
Forslag til afgørelse
49. På baggrund af ovenstående betragtninger foreslår jeg, at Domstolen besvarer det andet og det fjerde præjudicielle spørgsmål, som Oberster Gerichtshof (øverste domstol, Østrig) har forelagt, som følger:
»1) Artikel 5, stk. 1, litra c), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
skal fortolkes således, at
– denne bestemmelse er til hinder for, at personoplysninger kan behandles med henblik på målrettet reklame uden begrænsninger med hensyn til tid eller oplysningernes art, og
– det tilkommer den forelæggende ret under hensyntagen til omstændighederne i den foreliggende sag og under anvendelse af proportionalitetsprincippet at vurdere, i hvor høj grad perioden for opbevaring af personoplysninger og mængden af behandlede oplysninger er begrundet i forhold til det legitime formål, der forfølges, nemlig at behandle disse oplysninger med henblik på personligt tilpasset reklame.
2) Artikel 5, stk. 1, litra b), i forordning 2016/679, sammenholdt med forordningens artikel 9, stk. 2, litra e),
skal fortolkes således, at
– det forhold, at en person har ytret sig om sin seksuelle orientering i forbindelse med en offentlig paneldiskussion – om end dette kan udgøre en handling, hvorved den pågældende »tydeligvis har offentliggjort« denne oplysning som omhandlet i denne forordnings artikel 9, stk. 2, litra e) – ikke i sig selv tillader behandling af de nævnte oplysninger eller andre oplysninger om den pågældendes seksuelle orientering med henblik på aggregering og analyse af oplysningerne med henblik på personligt tilpasset reklame.«