null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
ATHANASIA RANTOSE
přednesené dne 25. dubna 2024(1)
C‑446/21
Maximilian Schrems
proti
Meta Platforms Ireland Limited, dříve Facebook Ireland Limited
[žádost o rozhodnutí o předběžné otázce, kterou podal Oberster Gerichtshof (Nejvyšší soud, Rakousko)]
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Sociální sítě – Článek 5 odst. 1 písm. b) – Zásada ‚účelového omezení‘ – Článek 5 odst. 1 písm. e) – Zásada ‚minimalizace údajů‘ – Článek 9 odst. 1 a 2 písm. e) – Zpracování zvláštních kategorií osobních údajů – Osobní údaje zjevně zveřejněné subjektem údajů – Personalizovaná reklama – Údaje o sexuální orientaci“
Úvod
1. Projednávanou žádost o rozhodnutí o předběžné otázce předložil Oberster Gerichtshof (Nejvyšší soud, Rakousko) v rámci sporu mezi Maximilianem Schremsem (dále jen „navrhovatel“), uživatelem sociální sítě „Facebook“, a společností Meta Platforms Ireland Limited, dříve Facebook Ireland Limited (dále jen „Meta Platforms Ireland“ nebo „odpůrkyně“), který se týká údajně protiprávního zpracování jeho osobních údajů touto společností.
2. Předběžné otázky položené v rámci projednávané věci se týkají zaprvé použití zásady „minimalizace údajů“ zavedené v čl. 5 odst. 1 písm. c) nařízení (EU) 2016/679(2) a zadruhé výkladu pojmu „osobní údaje zjevně zveřejněné subjektem údajů“ uvedeného v čl. 9 odst. 2 písm. e) tohoto nařízení ve spojení s jeho čl. 5 odst. 1 písm. b), který zavádí zásadu „účelového omezení“. Podstatou otázky předkládajícího soudu je to, zda zásada minimalizace údajů umožňuje zpracovávat osobní údaje bez časového omezení nebo v závislosti na povaze údajů, a dále to, zda tvrzení osoby týkající se její vlastní sexuální orientace pronesená v průběhu kulatých stolů umožňují zpracování dalších údajů týkajících se sexuální orientace této osoby pro účely personalizované reklamy.
Právní rámec
3. Článek 4 GDPR, nadepsaný „Definice“, v bodě 11 stanoví:
„Pro účely tohoto nařízení se rozumí:
[...]
11) ‚souhlasem‘ subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.“
4. Článek 5 tohoto nařízení, nadepsaný „Zásady zpracování osobních údajů“, v odstavcích 1 a 2 stanoví:
„1. Osobní údaje musí být:
a) ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
b) shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; [...]
c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
[...]
2. Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“
5. Článek 6 uvedeného nařízení, nadepsaný „Zákonnost zpracování“, v odstavcích 1 a 3 stanoví:
„1. Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy;
[...]
f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.
První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.
[...]
3. Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:
a) právem Unie nebo
b) právem členského státu, které se na správce vztahuje.
[...]
[...] Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.“
6. Článek 7 téhož nařízení, nadepsaný „Podmínky vyjádření souhlasu“, uvádí následující:
„1. Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.
[...]
3. Subjekt údajů má právo svůj souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním. Před udělením souhlasu o tom bude subjekt údajů informován. Odvolat souhlas musí být stejně snadné jako jej poskytnout.
4. Při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.“
7. Článek 9 odst. 1 a 2 GDPR, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví:
„1. Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.
2. Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:
a) subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie nebo členského státu stanoví, že zákaz uvedený v odstavci 1 nemůže být subjektem údajů zrušen;
b) zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů;
[...]
e) zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů;
[...]“
8. Článek 13 tohoto nařízení, který se týká „informací poskytovaných v případě, že osobní údaje jsou získány od subjektu údajů“, v odstavci 1 stanoví:
„Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:
[...]
c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;
d) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);
[...]“
Spor v původním řízení, předběžné otázky a řízení před Soudním dvorem
9. Meta Platforms Ireland, společnost založená podle irského práva, spravuje uzavřenou komunikační síť „Facebook“, která je v podstatě sociální sítí pro sdílení obsahu on-line(3). Hlavním cílem jejího obchodního modelu je nabízet bezplatné služby sociální sítě svým soukromým uživatelům a prodávat on-line reklamu, včetně reklamy cílené na své uživatele(4). Tato reklama je založena především na automatizovaném vytváření relativně podrobných profilů uživatelů této sociální sítě(5).
10. V průběhu roku 2018, po vstupu GDPR v platnost, předložila Meta Platforms Ireland nové podmínky pro používání Facebooku jeho uživatelům v Evropské unii za účelem získání jejich souhlasu, který je kromě toho nezbytný k tomu, aby se mohli zaregistrovat nebo získat přístup k účtům a službám poskytovaným Facebookem(6). Tyto nové podmínky používání uživatelům rovněž umožňují získat přehled o uložených údajích a kontrolu nad nimi(7).
11. Navrhovatel je uživatelem Facebooku, který přijal jím stanovené nové podmínky používání. Jak vyplývá z předkládacího rozhodnutí, navrhovatel veřejně zmínil svou homosexualitu, ale nikdy neuvedl svou sexuální orientaci a nezveřejnil žádný citlivý údaj na svém facebookovém profilu(8). Navrhovatel rovněž nepovolil odpůrkyni, aby pro účely cílené reklamy používala oblasti jeho profilu týkající se jeho osobních citových vztahů, jeho zaměstnavatele, zaměstnání nebo vzdělání.
12. Navrhovatel nicméně obdržel reklamu týkající se političky, která mu byla zaslána na základě analýzy, podle níž se podobá jiným „klientům“, kteří jí dali hodnocení „to se mi líbí“; pravidelně dostával reklamy zacílené na homosexuální osoby a pozvání na odpovídající události, i když se o tyto události nikdy nezajímal, a dokonce ani neznal místa, kde se tyto události konaly. Tyto reklamy nebo pozvánky údajně nebyly přímo založeny na sexuální orientaci navrhovatele a jeho „přátel“ na sociální síti, ale na analýze jejich hlavních zájmů(9). Kromě toho Meta Platforms Ireland podle navrhovatele zaznamenává všechny údaje, jež se ho týkají, včetně údajů získaných prostřednictvím třetích osob nebo pluginů, a uchovává je po dobu neurčitou.
13. Za těchto okolností podal navrhovatel k Landesgericht für Zivilsachen Wien (zemský soud pro občanskoprávní věci ve Vídni, Rakousko) žalobu na výkon povinnosti, určení a zdržení se údajně protiprávního zpracování svých osobních údajů společností Meta Platforms Ireland(10).
14. Následně při příležitosti kulatého stolu, který zorganizovalo zastoupení Evropské komise ve Vídni (Rakousko)(11) a který se uskutečnil dne 12. února 2019, navrhovatel zmínil svou sexuální orientaci v rámci vyjádření, jehož cílem bylo oznámit údajně protiprávní zpracování údajů týkajících se této sexuální orientace společností Meta Platforms Ireland(12).
15. Vzhledem k tomu, že v prvním stupni byla žaloba navrhovatele zamítnuta rozsudkem ze dne 30. června 2020 a v odvolacím řízení bylo toto zamítnutí potvrzeno rozsudkem Oberlandesgericht Wien (vrchní zemský soud ve Vídni, Rakousko) ze dne 7. prosince 2020(13), podal navrhovatel opravný prostředek Revision k Oberster Gerichtshof (Nejvyšší soud), který je předkládajícím soudem.
16. Za těchto okolností se Oberster Gerichtshof (Nejvyšší soud) rozhodl přerušit řízení a zaslat Soudnímu dvoru čtyři předběžné otázky(14). Vzhledem k tomu, že první a třetí předběžná otázka byly vzaty zpět v návaznosti na rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě)(15), je předmětem projednávané věci druhá a čtvrtá otázka, které jsou formulovány následovně:
„2) Musí být čl. 5 odst. 1 písm. c) GDPR (minimalizace údajů) vykládán v tom smyslu, že veškeré osobní údaje, které byly (zejména dotčenou osobou nebo třetími subjekty v rámci dané platformy a mimo ní) poskytnuty takové platformě, jako je platforma dotčená v původním řízení, lze časově neomezeně nebo s ohledem na povahu daných údajů agregovat, analyzovat a zpracovávat pro účely cílené reklamy?
4) Musí být ustanovení čl. 5 odst. 1 písm. b) GDPR ve spojení s jeho čl. 9 odst. 2 písm. e) vykládány v tom smyslu, že vyjádření o vlastní sexuální orientaci pro účely kulatého stolu umožňuje zpracování jiných údajů týkajících se sexuální orientace za účelem agregace a analýzy údajů pro účely personalizované reklamy?“
17. Písemná vyjádření předložili navrhovatel, Meta Platforms Ireland, rakouská, francouzská, italská a portugalská vláda, jakož i Komise. Na jednání konaném dne 8. února 2024 přednesli ústní vyjádření navrhovatel, Meta Platforms Ireland, rakouská vláda a Komise.
Analýza
Ke druhé předběžné otázce
18. Podstatou druhé předběžné otázky předkládajícího soudu je, zda čl. 5 odst. 1 písm. c) GDPR, který zakotvuje zásadu minimalizace údajů, musí být vykládán v tom smyslu, že veškeré osobní údaje, které získá taková síť, jako je Facebook, zejména prostřednictvím subjektu údajů nebo třetích osob na této platformě nebo mimo ni, mohou být časově neomezeně nebo s ohledem na povahu daných údajů agregovány, analyzovány a zpracovávány pro účely cílené reklamy.
19. Úvodem je třeba připomenout, že každé zpracování osobních údajů musí být v souladu se zásadami týkajícími se zpracování údajů, které jsou uvedeny v článku 5 GDPR, a musí odpovídat některé z podmínek týkajících se zákonnosti zpracování, které jsou vyjmenovány v článku 6 tohoto nařízení(16).
20. Pokud jde konkrétně o zásady týkající se zpracování osobních údajů, Soudní dvůr mimo jiné upřesnil, že zásada minimalizace údajů uvedená v čl. 5 odst. 1 písm. c) GDPR stanoví, že osobní údaje musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, což v podstatě odráží zásadu proporcionality(17). Cílem zásady minimalizace údajů je tak minimalizovat omezení práva na ochranu osobních údajů způsobená dotčeným zpracováním.
21. V projednávané věci mi připadá zjevné, že případná neexistence jakéhokoli omezení, jak ji předpokládá předkládající soud, by byla z podstaty věci v rozporu s uplatněním zásady minimalizace údajů. Ze spisu předloženého Soudnímu dvoru přitom nevyplývá žádná skutečnost, která by mohla takový předpoklad, jehož posouzení v každém případě přísluší předkládajícímu soudu, potvrdit nebo vyloučit. Pokusím se nicméně poskytnout tomuto soudu několik užitečných vodítek k výkladu posuzovaného ustanovení, které mu umožní ve věci, kterou projednává, rozhodnout.
22. Pokud jde na jedné straně o časové omezení zpracování osobních údajů, domnívám se, že při neexistenci zvláštního ustanovení GDPR v tomto ohledu nemůže unijní soud kogentně omezit dobu pro uchovávání těchto údajů. Kromě toho Soudní dvůr rozhodl, že i zpracování přesných údajů, které bylo původně v souladu s právními předpisy, může být po určité době neslučitelné zejména s čl. 5 odst. 1 písm. c) až e) GDPR, pokud tyto údaje již nejsou nezbytné pro účely, pro které byly shromážděny či zpracovány(18). Vnitrostátnímu soudu tedy přísluší, aby s ohledem na okolnosti případu a za použití zásady proporcionality(19) posoudil, do jaké míry je doba uchovávání osobních údajů společností Meta Platforms Ireland odůvodněná ve vztahu k legitimnímu cíli zpracování těchto údajů pro účely personalizované reklamy.
23. Pokud jde na druhé straně o omezení zpracování osobních údajů v závislosti na povaze údajů, je rovněž na předkládajícím soudu, aby za okolností projednávané věci určil osobní údaje, jejichž zpracování lze za dodržení zásady proporcionality považovat za legitimní.
24. Ostatně odkazy ve znění čl. 5 odst. 1 písm. c) GDPR na takové velmi obecné podmínky, jako je „přiměřenost“, „relevantnost“ a „nezbytnost“, podle mého názoru prokazují, že unijní normotvůrce zamýšlel ponechat příslušným orgánům široký prostor pro uvážení při uplatňování tohoto ustanovení, přičemž tyto podmínky musí být vykládány případ od případu s ohledem na okolnosti projednávané věci.
25. Vzhledem k uvedenému se domnívám, že, jak uvádí Komise ve svém písemném vyjádření, lze zjistit určité rozdíly v závislosti na stupni zásahu do práv subjektu údajů, jaký představují různé způsoby zpracování. Předkládající soud by tedy mohl, považuje-li to v projednávané věci za vhodné, na jedné straně rozlišovat mezi používáním „statických“ údajů subjektu údajů (jako je věk(20) nebo pohlaví) a používáním údajů „o chování“ (jako je sledování zvyklostí uživatelů při prohlížení internetu), přičemž posledně uvedené používání obecně vzato více zasahuje do práv uživatele. Co se týče konkrétně údajů „o chování“, bylo by možné následně rozlišovat mezi shromažďováním údajů, které se týkají „aktivního“ chování (jako je kliknutí na tlačítko „to se mi líbí“), a shromažďováním údajů, které se týkají „pasivního“ chování (jako je pouhá návštěva internetové stránky), přičemž druhé z nich je pro uživatele obvykle více invazivní. Na druhé straně by bylo možné rozlišovat rovněž mezi zpracováním osobních údajů shromážděných na platformě Facebook a mimo ni, a sice na internetových stránkách, v jiných aplikacích než na Facebooku nebo v zařízeních uživatelů, přičemž druhé z nich je více invazivní než první(21).
26. V rámci této analýzy je podle mého názoru rovněž důležité zohlednit rozumná očekávání subjektů údajů(22).
27. Kromě toho v takové situaci, jaká existovala před vstupem GDPR v platnost, kdy zpracování údajů shromážděných mimo platformu Facebook nebylo založeno na souhlasu, ale spíše na tom, že zpracování bylo nezbytné pro plnění smlouvy podle čl. 6 odst. 1 písm. b) tohoto nařízení(23), je třeba zohlednit restriktivní výklad tohoto ustanovení Soudním dvorem(24). Proto je důležité, jak zdůrazňuje italská vláda ve svém písemném vyjádření, zabránit tomu, aby široký výklad zásady minimalizace údajů podle článku 5 uvedeného nařízení mohl správcům umožnit rozšířit kategorie osobních údajů, které jsou považovány za nezbytné pro plnění smlouvy podle čl. 6 odst. 1 písm. b) téhož nařízení.
28. S ohledem na výše uvedené navrhuji odpovědět na druhou předběžnou otázku tak, že čl. 5 odst. 1 písm. c) GDPR musí být vykládán v tom smyslu, že brání tomu, aby osobní údaje mohly být časově neomezeně nebo s ohledem na povahu daných údajů zpracovávány pro účely cílené reklamy, a přísluší předkládajícímu soudu, aby s ohledem na okolnosti projednávané věci a při uplatnění zásady proporcionality posoudil, do jaké míry jsou doba uchovávání a množství zpracovávaných údajů odůvodněné ve vztahu k legitimnímu cíli zpracování těchto údajů pro účely personalizované reklamy.
Ke čtvrté předběžné otázce
29. Podstatou čtvrté předběžné otázky předkládajícího soudu je, zda ustanovení čl. 5 odst. 1 písm. b) GDPR ve spojení s jeho čl. 9 odst. 2 písm. e) musí být vykládány v tom smyslu, že okolnost, že se osoba vyjádřila ke své sexuální orientaci v rámci kulatého stolu, umožňuje, aby společnost Meta Platforms Ireland zpracovávala další údaje týkající se její sexuální orientace s cílem nabídnout jí personalizovanou reklamu. V obecnější rovině se tento soud zabývá dosahem posledně uvedeného ustanovení a konkrétně vznáší otázku, jakým způsobem se musí veřejnost citlivé údaje této osoby dozvědět, aby byl čl. 9 odst. 2 GDPR použitelný.
K relevanci předběžné otázky
30. Meta Platforms Ireland ve svých písemných a ústných vyjádřeních upřesnila, aniž to ostatní zúčastněné strany na jednání zpochybnily, že během řízení před vnitrostátními soudy nikdy neuplatnila výjimku stanovenou v čl. 9 odst. 2 písm. e) GDPR jako právní základ pro zpracování dotčených údajů(25).
31. V takovém případě se přitom čtvrtá předběžná otázka jeví jako zjevně irelevantní, jelikož tato výjimka by nebyla v projednávané věci použitelná(26).
32. Je však třeba připomenout, že podle ustálené judikatury Soudního dvora platí, že v řízení podle článku 267 SFEU, které je založeno na jasné dělbě funkcí mezi vnitrostátní soudy a Soudní dvůr, se na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí na vlastní odpovědnost(27) a jehož správnost nepřísluší Soudnímu dvoru ověřovat, vztahuje domněnka relevance(28).
33. V následujících bodech proto navrhnu odpověď na čtvrtou předběžnou otázku položenou předkládajícím soudem nijak nepředjímající rozhodnutí Soudního dvora o relevanci této otázky.
K meritu předběžné otázky
34. Úvodem připomínám, že podle čl. 5 odst. 1 písm. b) GDPR, který zakotvuje zásadu účelového omezení, musí být osobní údaje shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmí být dále zpracovávány způsobem, který je s těmito účely neslučitelný. Podle čl. 9 odst. 1 tohoto nařízení se zakazuje zpracování osobních údajů, které vypovídají mimo jiné o sexuálním životě nebo sexuální orientaci fyzické osoby, ledaže se na takové zpracování vztahuje některá z výjimek stanovených v čl. 9 odst. 2 uvedeného nařízení(29).
35. Konkrétně, podle čl. 9 odst. 2 písm. e) GDPR se zákaz zpracování citlivých osobních údajů nepoužije, pokud se zpracování týká osobních údajů zjevně zveřejněných subjektem údajů. Jak jsem uvedl ve svém stanovisku ve věci Meta Platforms a další (Všeobecné podmínky používání sociální sítě)(30), použití příslovce „zjevně“ ve znění tohoto ustanovení a skutečnost, že toto ustanovení představuje výjimku ze zásady zákazu zpracování citlivých osobních údajů, ukládají zvláště striktní použití této výjimky z důvodu značných rizik ohrožujících základní práva a svobody subjektů údajů(31). Aby se uvedená výjimka mohla použít, musí si být uživatel dle mého názoru plně vědom toho, že explicitním aktem zpřístupňuje své osobní údaje komukoli(32).
36. Ve věci v původním řízení byly citlivé údaje týkající se sexuální orientace navrhovatele zveřejněny mimo platformu Facebook („mimo její internetové stránky“) a mimo jakoukoli jinou platformu nebo počítačovou aplikaci, a to v rámci kulatého stolu organizovaného Komisí(33), s cílem poukázat na údajně protiprávní zpracovávání údajů týkajících se této sexuální orientace společností Meta Platforms Ireland(34).
37. V tomto ohledu měl Soudní dvůr možnost vyjádřit se k používání údajů „mimo internetové stránky“ v rámci jiných platforem již v rozsudku Meta Platforms a další (Všeobecné podmínky používání sociální sítě)(35). Při této příležitostí Soudní dvůr rozhodl, že čl. 9 odst. 2 písm. e) GDPR musí být vykládán v tom smyslu, že pokud uživatel sociální sítě zobrazí internetové stránky nebo aplikace, které mají spojitost s jednou nebo více kategoriemi údajů uvedenými v čl. 9 odst. 1 GDPR, nezveřejňuje zjevně údaje týkající se tohoto zobrazení shromážděné provozovatelem této sociální sítě prostřednictvím souborů „cookies“ nebo podobných technologií pro ukládání dat ve smyslu prvně uvedeného ustanovení, a pokud takový uživatel zadává údaje na takových internetových stránkách nebo v takovýchto aplikacích nebo klikne-li na tlačítka začleněná do těchto stránek nebo aplikací, jako jsou tlačítka „to se mi líbí“ nebo „sdílet“ nebo tlačítka umožňující uživateli identifikovat se na těchto stránkách nebo v těchto aplikacích pomocí přihlašovacích údajů spojených s jeho uživatelským účtem na sociální síti, telefonním číslem nebo e-mailovou adresou, zjevně zveřejňuje ve smyslu tohoto čl. 9 odst. 2 písm. e) takto zadané údaje nebo údaje vyplývající z kliknutí na tato tlačítka pouze v případě, že předem výslovně vyjádřil, případně na základě individuálního nastavení provedeného s plnou znalostí věci, svou volbu zpřístupnit údaje, které se ho týkají, neomezenému počtu osob(36).
38. Předkládající soud však považoval za nezbytné setrvat na své čtvrté předběžné otázce z důvodu, že akty zkoumané Soudním dvorem v posledně uvedené věci se týkaly prohlížení internetových stránek nebo aplikací, jakož i aktivace tlačítek, které jsou do nich začleněny, zatímco v projednávaném případě se jedná o prohlášení subjektu údajů o jeho sexuální orientaci při příležitosti kulatého stolu. V tomto ohledu má uvedený soud za to, že z takového prohlášení nelze vyvodit souhlas ve smyslu uvedeného čl. 9 odst. 2 písm. e) GDPR.
39. V tomto ohledu považuji za vhodné rozlišovat mezi na jedné straně primární otázkou, zda prohlášení navrhovatele o jeho sexuální orientaci představuje akt, kterým tento tuto orientaci zjevně zveřejňuje ve smyslu čl. 9 odst. 2 písm. e) GDPR, a na druhé straně, v případě kladné odpovědi na tuto otázku, otázkou zda skutečnost, že navrhovatel zjevně zveřejnil svou sexuální orientaci, umožňuje zpracování údajů týkajících se této sexuální orientace pro účely personalizované reklamy ve smyslu zejména článků 5 a 6 tohoto nařízení.
40. Pokud jde zaprvé o vlastnosti, které musí mít prohlášení navrhovatele ve smyslu čl. 9 odst. 2 písm. a) GDPR, vzhledem k nedostatku užitečných údajů, které by vyplývaly z historie vzniku tohoto ustanovení a z jeho použití v judikatuře(37), bych podotkl, že výjimka uvedená v čl. 9 odst. 2 písm. e) tohoto nařízení v podstatě vyžaduje splnění dvou kumulativních podmínek, a sice zaprvé „objektivní“ podmínky, podle které musí být dotčené osobní údaje „zjevně zveřejněny“, a zadruhé „subjektivní“ podmínky, podle níž je to „subjekt údajů“, kdo musí tyto údaje zjevně zveřejnit.
41. Ve věci v původním řízení se mi, s výhradou ověření, která přísluší učinit předkládajícímu soudu, jeví, že obě tyto podmínky jsou splněny. Ačkoli tak bylo učiněno pouze pro dokreslení v rámci širšího a kritického projevu ohledně zpracovávání citlivých údajů společností Meta Platforms Ireland, mám za to, že prohlášení učiněné navrhovatelem představuje akt, kterým tento s plnou znalostí věci zjevně zveřejňuje svou sexuální orientaci.
42. Pokud jde o první podmínku, zdá se mi velmi pravděpodobné, že s ohledem na otevřenou povahu kulatého stolu, vysílaného v přímém přenosu a poté reprízovaného na streamu(38), a na zájem veřejnosti o téma, kterým se zabýval, mohlo prohlášení navrhovatele zasáhnout neohraničený okruh veřejnosti, mnohem širší, než byl přítomen v sále(39).
43. Co se týče druhé podmínky, je podle mého názoru velmi dobře možné předpokládat, že navrhovatel tím, že za okolností projednávané věci otevřeně zmínil svou sexuální orientaci (zejména v rámci otevřené akce přístupné tisku), jednal ne-li v úmyslu, pak přinejmenším s plným vědomím toho, že tuto orientaci „zjevně zveřejní“ ve smyslu judikatury citované v bodě 35 tohoto stanoviska(40).
44. Ostatně cílem ochrany přiznané čl. 9 odst. 1 GDPR je podle mého názoru zabránit tomu, aby byl subjekt údajů vystaven škodlivým důsledkům (jako je zejména veřejná potupa nebo diskriminační jednání) vyplývajícím zejména z negativního vnímání situací, které jsou v něm vyjmenovány, ze sociálního nebo ekonomického hlediska(41). Toto ustanovení tedy stanoví zvláštní ochranu těchto osobních údajů prostřednictvím principiálního zákazu, který není absolutní a jehož použití na projednávaný případ podléhá posouzení subjektu údajů, který má nejlepší předpoklady k posouzení škodlivých následků, které by mohly vyplynout ze zveřejnění dotčených údajů, a který se případně může s plnou znalostí věci této ochrany vzdát nebo ji neuplatnit tím, že svou situaci, a zejména svou sexuální orientaci, zjevně zveřejní ve smyslu čl. 9 odst. 2 písm. e) tohoto nařízení.
45. Pokud jde zadruhé o posouzení důsledků vyplývajících ze zjevného zveřejnění sexuální orientace na zpracování těchto citlivých údajů společností Meta Platforms Ireland ve smyslu článků 5 a 6 GDPR, mám za to, že skutečnost, že údaje byly zjevně zveřejněny ve smyslu čl. 9 odst. 2 písm. e) tohoto nařízení, sama o sobě neumožňuje povést zpracování těchto údajů ve smyslu uvedeného nařízení.
46. Použití posledně uvedeného ustanovení má totiž za následek pouze neuplatnění „speciální ochrany“ přiznané některým zvláště citlivým osobním údajům. Jakmile je tato ochrana vědomě odstraněna samotným subjektem údajů (který je zjevně zveřejnil), stávají se tyto původně „chráněné“ osobní údaje údaji „běžnými“ (tedy nikoli citlivými), které mohou být stejně jako všechny ostatní osobní údaje zákonně zpracovávány pouze za podmínek stanovených zejména v článcích 6 a 7 GDPR a v souladu se zásadami zakotvenými zejména v článku 5 tohoto nařízení(42), včetně zásady účelového omezení stanovené v čl. 5 odst. 1 písm. b) uvedeného nařízení, který vyžaduje, aby osobní údaje byly shromažďovány pro určité, výslovně vyjádřené a legitimní účely, což musí podle odstavce 2 dotčeného ustanovení prokázat správce(43).
47. Proto skutečnost, že se navrhovatel vyjádřil ke své sexuální orientaci v rámci kulatého stolu, sice může vést k závěru, že za okolností projednávané věci tato osoba „zjevně zveřejnila“ tyto údaje ve smyslu čl. 9 odst. 2 písm. e) GDPR, avšak nemůže sama o sobě odůvodnit zpracování osobních údajů, které odhalují sexuální orientaci této osoby(44).
48. S ohledem na výše uvedené navrhuji odpovědět na čtvrtou předběžnou otázku tak, že ustanovení čl. 5 odst. 1 písm. b) GDPR ve spojení s jeho čl. 9 odst. 2 písm. e) musí být vykládáno v tom smyslu, že skutečnost, že se dotyčná osoba vyjádřila ke své sexuální orientaci v rámci veřejného kulatého stolu, sice může představovat akt, kterým tato osoba tento údaj „zjevně zveřejnila“ ve smyslu čl. 9 odst. 2 písm. e) uvedeného nařízení, avšak sama o sobě nepovoluje zpracování uvedeného nebo jiných údajů týkajících se sexuální orientace této osoby za účelem agregace a analýzy údajů pro účely personalizované reklamy.
Závěry
49. S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na druhou a čtvrtou předběžnou otázku, kterou položil Oberster Gerichtshof (Nejvyšší soud, Rakousko), následovně:
„1) Článek 5 odst. 1 písm. c) nařízení Evropského parlamentu a Rady 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
– brání tomu, aby osobní údaje mohly být časově neomezeně nebo s ohledem na povahu daných údajů zpracovávány pro účely cílené reklamy, a
– že přísluší předkládajícímu soudu, aby s ohledem na okolnosti projednávané věci a při uplatnění zásady proporcionality posoudil, do jaké míry jsou doba uchovávání a množství zpracovávaných údajů odůvodněné ve vztahu k legitimnímu cíli zpracování těchto údajů pro účely personalizované reklamy.
2) Ustanovení čl. 5 odst. 1 písm. b) nařízení 2016/679 ve spojení s jeho čl. 9 odst. 2 písm. e)
musí být vykládáno v tom smyslu, že
– skutečnost, že se dotyčná osoba vyjádřila ke své sexuální orientaci v rámci veřejného kulatého stolu, sice může představovat akt, kterým tato osoba tento údaj ,zjevně zveřejnila‘ ve smyslu čl. 9 odst. 2 písm. e) uvedeného nařízení, avšak sama o sobě nepovoluje zpracování uvedeného nebo jiných údajů týkajících se sexuální orientace této osoby za účelem agregace a analýzy údajů pro účely personalizované reklamy.“