Väliaikainen versio
JULKISASIAMIEHEN RATKAISUEHDOTUS
ATHANASIOS RANTOS
25 päivänä huhtikuuta 2024 (1)
Asia C‑446/21
Maximilian Schrems
vastaan
Meta Platforms Ireland Limited, aiemmin Facebook Ireland Limited
(Ennakkoratkaisupyyntö – Oberster Gerichtshof (ylin tuomioistuin, Itävalta))
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – Yhteisöpalvelut – 5 artiklan 1 kohdan b alakohta – Käyttötarkoitussidonnaisuuden periaate – 5 artiklan 1 kohdan e alakohta – Tietojen minimoinnin periaate – 9 artiklan 1 kohta ja 2 kohdan e alakohta – Erityisiä henkilötietoryhmiä koskeva käsittely – Henkilötiedot, jotka rekisteröity on nimenomaisesti saattanut julkisiksi – Personoitu mainonta – Seksuaalista suuntautumista koskevat tiedot
Johdanto
1. Tämän ennakkoratkaisupyynnön on esittänyt Oberster Gerichtshof (ylin tuomioistuin, Itävalta) asiassa, jossa ovat vastakkain Facebook-yhteisöpalvelua käyttävä Maximilian Schrems (jäljempänä valittaja) ja Meta Platforms Ireland Limited, aiemmin Facebook Ireland Limited, (jäljempänä Meta Platforms Ireland tai vastapuoli) ja joka koskee sitä, että kyseinen yhtiö on käsitellyt väitetysti laittomasti Schremsin henkilötietoja.
2. Käsiteltävässä asiassa esitetyt ennakkoratkaisukysymykset koskevat yhtäältä asetuksen (EU) 2016/679(2) 5 artiklan 1 kohdan c alakohdassa säädetyn tietojen minimoinnin periaatteen soveltamista ja toisaalta kyseisen asetuksen 9 artiklan 2 kohdan e alakohdassa, luettuna yhdessä kyseisen asetuksen 5 artiklan 1 kohdan b alakohdan kanssa, jossa otetaan käyttöön käyttötarkoitussidonnaisuuden periaate, tarkoitetun käsitteen ”henkilötiedot, jotka rekisteröity on nimenomaisesti saattanut julkisiksi” tulkintaa. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä yhtäältä, mahdollistaako tietojen minimoinnin periaate henkilötietojen käsittelyn ilman ajallista tai tietojen luonteeseen perustuvaa rajoitusta, ja toisaalta, mahdollistaako henkilön paneelikeskustelun aikana antama lausuma omasta seksuaalisesta suuntautumisestaan sen, että muita hänen seksuaaliseen suuntautumiseensa liittyviä tietoja käsitellään personoidun mainonnan tarkoituksiin.
Asiaa koskevat oikeussäännöt
3. Yleisen tietosuoja-asetuksen 4 artiklan, jonka otsikko on ”Määritelmät”, 11 alakohdassa säädetään seuraavaa:
”Tässä asetuksessa tarkoitetaan
– –
11) rekisteröidyn ’suostumuksella’ mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen.”
4. Kyseisen asetuksen 5 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 ja 2 kohdassa säädetään seuraavaa:
”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);
b) ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; – –
c) niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (’tietojen minimointi’);
– –
2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”
5. Kyseisen asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1 ja 3 kohdassa säädetään seuraavaa:
”1. Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
a) rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;
b) käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä;
– –
f) käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.
Ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.
– –
3. Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko:
a) unionin oikeudessa; tai
b) rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.
– –
– – Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.”
6. Saman asetuksen 7 artiklassa, jonka otsikko on ”Suostumuksen edellytykset”, säädetään seuraavaa:
”1. Jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn.
– –
3. Rekisteröidyllä on oikeus peruuttaa suostumuksensa milloin tahansa. Suostumuksen peruuttaminen ei vaikuta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen. Ennen suostumuksen antamista rekisteröidylle on ilmoitettava tästä. Suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antaminen.
4. Arvioitaessa suostumuksen vapaaehtoisuutta on otettava mahdollisimman kattavasti huomioon muun muassa se, onko sopimuksen täytäntöönpanon, mukaan lukien palvelun tarjoamisen, ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten.”
7. Yleisen tietosuoja-asetuksen 9 artiklan, jonka otsikko on ”Erityisiä henkilötietoryhmiä koskeva käsittely”, 1 ja 2 kohdassa säädetään seuraavaa:
”1. Sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, sekä geneettisten tietojen käsittely, biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely on kiellettyä.
2. Edellä olevaa 1 kohtaa ei sovelleta, jos sovelletaan jotakin seuraavista:
a) rekisteröity on antanut nimenomaisen suostumuksensa kyseisten henkilötietojen käsittelyyn yhtä tai useampaa tiettyä tarkoitusta varten, paitsi jos unionin oikeudessa tai jäsenvaltion lainsäädännössä säädetään, että 1 kohdassa tarkoitettua kieltoa ei voida kumota rekisteröidyn suostumuksella;
b) käsittely on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä tai jäsenvaltion lainsäädännön mukaisessa työehtosopimuksessa, jossa säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista;
– –
e) käsittely koskee henkilötietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi;
– –”
8. Kyseisen asetuksen 13 artiklan, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, 1 kohdassa säädetään seuraavaa:
”Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:
– –
c) henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste;
d) rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut, jos käsittely perustuu 6 artiklan 1 kohdan f alakohtaan;
– –”
Pääasia, ennakkoratkaisukysymykset ja asian käsittelyn vaiheet unionin tuomioistuimessa
9. Meta Platforms Ireland, joka on Irlannin oikeuden mukaan perustettu yhtiö, hallinnoi suljettua Facebook-viestintäverkostoa, joka koostuu lähinnä sisältöjen jakamiseen tarkoitetusta verkkoyhteisöpalvelusta.(3) Sen liiketoimintamalli koostuu lähinnä ilmaisten yhteisöpalvelujen tarjoamisesta sen yksityisille käyttäjille ja verkkomainonnan, myös sen käyttäjille kohdennetun mainonnan, myymisestä.(4) Tämä mainonta perustuu pääasiallisesti kyseisten yhteisöpalvelujen käyttäjien varsin yksityiskohtaisten profiilien automatisoituun laatimiseen.(5)
10. Meta Platforms Ireland asetti vuonna 2018 yleisen tietosuoja-asetuksen voimaantulon jälkeen käyttäjilleen Euroopan unionissa uusia Facebookin käyttöehtoja hankkiakseen heidän suostumuksensa, jota Facebookin tileille ja palveluihin rekisteröityminen tai niiden käyttäminen edellyttävät.(6) Nämä uudet käyttöehdot antavat käyttäjille myös mahdollisuuden tarkastella ja valvoa tallennettuja tietoja.(7)
11. Valittaja on Facebookin käyttäjä, joka on hyväksynyt Facebookin asettamat uudet käyttöehdot. Kuten ennakkoratkaisupyynnöstä ilmenee, hän on julkisesti viitannut homoseksuaalisuuteensa mutta ei ole koskaan maininnut seksuaalista suuntautumistaan eikä julkaissut mitään arkaluonteisia tietoja Facebook-profiilissaan.(8) Valittaja ei ole myöskään antanut vastaajalle lupaa käyttää kohdennettua mainontaa varten profiilinsa kenttiä, jotka koskevat hänen rakkauselämäänsä, työnantajaansa, työpaikkaansa tai koulutustaan.
12. Valittaja sai kuitenkin erään naispoliitikon mainoksen sellaisen analyysin perusteella, jonka mukaan hän muistutti muita ”asiakkaita”, jotka olivat ”tykänneet” siitä, ja hän sai säännöllisesti homoseksuaaleille suunnattuja mainoksia ja kutsuja vastaaviin tapahtumiin, vaikka hän ei ollut koskaan aiemmin ollut kiinnostunut tällaisista tilaisuuksista eikä edes tuntenut paikkoja, joissa niitä järjestettiin. Nämä mainokset tai kutsut eivät perustuneet suoraan valittajan ja hänen yhteisöpalvelun ”kavereidensa” seksuaaliseen suuntautumiseen vaan heidän kiinnostuksen kohteidensa analyysiin.(9) Lisäksi Meta Platforms Ireland rekisteröi kaikki valittajaa koskevat tiedot, myös kolmansien osapuolten tai liitännäisten kautta saadut tiedot, ja säilytti ne ennalta määrittelemättömän ajan.
13. Tässä tilanteessa valittaja nosti Landesgericht für Zivilsachen Wienissä (Wienin osavaltion siviilituomioistuin, Itävalta) suoritus-, vahvistus- ja kieltokanteen, joka koski Meta Platforms Irelandin hänen henkilötietojensa lainvastaiseksi väitettyä käsittelyä.(10)
14. Valittaja mainitsi sittemmin seksuaalisen suuntautumisensa Euroopan komission Wienin (Itävalta) edustuston 12.2.2019 järjestämässä paneelikeskustelussa(11) pitämässään puheenvuorossa, jonka tarkoituksena oli paljastaa Meta Platforms Irelandin käsitelleen tätä seksuaalista suuntautumista koskevia tietoja lainvastaisesti.(12)
15. Koska hänen kanteensa hylättiin ensimmäisessä oikeusasteessa 30.6.2020 annetulla tuomiolla ja koska myös Oberlandesgericht Wien (Wienin osavaltion ylioikeus, Itävalta) hylkäsi tästä tuomiosta tehdyn valituksen muutoksenhakuasteessa 7.12.2020 antamallaan tuomiolla,(13) valittaja teki Revision-valituksen ennakkoratkaisua pyytäneeseen Oberster Gerichtshofiin.
16. Tässä tilanteessa Oberster Gerichtshof on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle neljä ennakkoratkaisukysymystä.(14) Koska ensimmäinen ja kolmas ennakkoratkaisukysymys on peruutettu 4.7.2023 annetun tuomion Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot)(15)johdosta, nyt käsiteltävä asia koskee toista ja neljättä kysymystä, jotka on muotoiltu seuraavasti:
”2) Onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa (tietojen minimointi) tulkittava siten, että kaikkia henkilötietoja, joita pääasian oikeudenkäynnissä kyseessä olevan kaltaisella alustalla on käytettävissään (etenkin rekisteröidyn tai kolmansien välityksellä alustalla ja sen ulkopuolella), voidaan kerätä, analysoida ja käsitellä ilman ajallisia rajoituksia tai tietojen luonnetta koskevia rajoituksia kohdennetun mainonnan tarkoituksiin?
4) Onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä 9 artiklan 2 kohdan e alakohdan kanssa, tulkittava siten, että oman seksuaalisen suuntautumisen kertominen paneelikeskustelua varten mahdollistaa seksuaalista suuntautumista koskevien muiden tietojen käsittelyn, jolla on tarkoitus kerätä ja analysoida tietoja personoidun mainonnan tarkoituksiin?”
17. Valittaja, Meta Platforms Ireland, Itävallan, Ranskan, Italian ja Portugalin hallitukset sekä komissio ovat esittäneet kirjallisia huomautuksia. Valittaja, Meta Platforms Ireland, Itävallan hallitus ja komissio esittivät suullisia huomautuksia 8.2.2024 pidetyssä istunnossa.
Asian tarkastelu
Toinen ennakkoratkaisukysymys
18. Toisella ennakkoratkaisukysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa, jossa vahvistetaan tietojen minimoinnin periaate, tulkittava siten, että kaikkia henkilötietoja, joita Facebookin kaltaisella yhteisöpalvelulla on käytettävissään etenkin rekisteröidyn tai kolmansien välityksellä kyseisellä alustalla ja sen ulkopuolella, voidaan kerätä, analysoida ja käsitellä ilman ajallisia tai tietojen luonnetta koskevia rajoituksia kohdennetun mainonnan tarkoituksiin.
19. Aluksi on muistutettava, että kaikessa henkilötietojen käsittelyssä on yhtäältä noudatettava tietojen käsittelyä koskevia periaatteita, jotka mainitaan yleisen tietosuoja-asetuksen 5 artiklassa, ja toisaalta sen osalta on täytyttävä jokin tietojen käsittelyn laillisuutta koskevista periaatteista, jotka luetellaan kyseisen asetuksen 6 artiklassa.(16)
20. Unionin tuomioistuin on täsmentänyt erityisesti henkilötietojen käsittelyä koskevista periaatteista, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa mainitun tietojen minimoinnin periaatteen mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja ne on rajattava siihen, mikä on tarpeen niitä tarkoituksia varten, joita varten niitä käsitellään, mikä on ilmaus lähinnä suhteellisuusperiaatteesta.(17) Tietojen minimoinnin periaatteella pyritään siten minimoimaan kyseisestä käsittelystä aiheutuvat henkilötietojen suojaa koskevan oikeuden rajoitukset.
21. Käsiteltävässä asiassa on mielestäni selvää, että ennakkoratkaisua pyytäneen tuomioistuimen olettaman kaltainen rajoituksen mahdollinen puuttuminen olisi lähtökohtaisesti ristiriidassa tietojen minimoinnin periaatteen soveltamisen kanssa. Unionin tuomioistuimelle toimitetusta asiakirja-aineistosta ei kuitenkaan ilmene mitään seikkaa, joka voisi vahvistaa tai sulkea pois tällaisen oletuksen, joka kuuluu joka tapauksessa ennakkoratkaisua pyytäneen tuomioistuimen arvioinnin piiriin. Pyrin kuitenkin antamaan kyseiselle tuomioistuimelle joitakin tarkasteltavana olevan säännöksen tulkintaa koskevia hyödyllisiä ohjeita, joiden avulla se voi ratkaista siinä vireillä olevan asian.
22. Katson yhtäältä henkilötietojen käsittelyn ajallisesta rajoittamisesta, että koska yleisessä tietosuoja-asetuksessa ei ole tätä koskevaa erityissäännöstä, unionin tuomioistuimet eivät voi asettaa pakottavaa aikarajaa tällaisten tietojen säilyttämiselle. Unionin tuomioistuin on lisäksi todennut, että jopa paikkansapitävien tietojen alun perin laillinen käsittely voi ajan myötä muuttua yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c ja e alakohdan kanssa yhteensopimattomaksi, jos kyseiset tiedot eivät ole enää tarpeen siihen tarkoitukseen, johon ne on kerätty ja jossa niitä on käsitelty.(18) Ennakkoratkaisua pyytäneen tuomioistuimen asiana on arvioida käsiteltävän asian olosuhteet huomioon ottaen ja suhteellisuusperiaatetta soveltaen,(19) missä määrin Meta Platforms Irelandin noudattama henkilötietojen säilyttämisaika on perusteltu, kun otetaan huomioon näiden tietojen personoidun mainonnan tarkoituksiin tehtävän käsittelyn oikeutettu päämäärä.
23. Katson toisaalta henkilötietojen käsittelyn rajoittamisesta tietojen luonteen perusteella, että ennakkoratkaisua pyytäneen tuomioistuimen asiana on myös käsiteltävän asian olosuhteissa määrittää, minkä henkilötietojen käsittelyä voidaan suhteellisuusperiaatteen mukaan pitää oikeutettuna.
24. Lisäksi yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan sanamuotoon sisältyvät viittaukset hyvin yleisiin edellytyksiin, kuten ”asianmukaisuuteen”, ”olennaisuuteen” ja ”tarpeellisuuteen”, osoittavat mielestäni, että unionin lainsäätäjän tarkoituksena on ollut jättää toimivaltaisille viranomaisille laaja harkintavalta kyseisen säännöksen soveltamisessa, koska näitä edellytyksiä voidaan tulkita vain tapauskohtaisesti siten, että otetaan huomioon käsiteltävän asian olosuhteet.
25. Tämän täsmennyksen jälkeen katson, että kuten komissio totesi kirjallisissa huomautuksissaan, tiettyjä erotteluja voidaan tehdä sen mukaan, missä määrin eri käsittelymuodoilla puututaan rekisteröidyn oikeuksiin. Jos ennakkoratkaisua pyytänyt tuomioistuin pitää sitä asianmukaisena, se voisi siis yhtäältä erottaa toisistaan rekisteröidyn ”staattisten” tietojen (kuten iän(20) tai sukupuolen) käytön ja ”käyttäytymistietojen” (kuten käyttäjien selaustottumusten seurannan) käytön, koska jälkimmäisellä puututaan yleensä enemmän rekisteröidyn oikeuksiin. Erityisesti ”käyttäytymistietojen” osalta voitaisiin myöhemmin erottaa toisistaan ”aktiivista” toimintaa (kuten ”tykkää”-painikkeen klikkaamista) koskevien tietojen kerääminen ja ”passiivista” käyttäytymistä (kuten pelkkää verkkosivustolla käyntiä) koskevien tietojen kerääminen, koska jälkimmäinen on yleensä käyttäjän kannalta intrusiivisempaa. Toisaalta voitaisiin erottaa toisistaan myös Facebook-alustalla kerättyjen henkilötietojen käsittely ja sen ulkopuolella, nimittäin verkkosivustoilla, muissa sovelluksissa kuin Facebookissa tai käyttäjien laitteissa, kerättyjen henkilötietojen käsittely, koska jälkimmäinen on intrusiivisempaa.(21)
26. Tässä tarkastelussa on mielestäni tärkeää ottaa huomioon myös rekisteröityjen kohtuulliset odotukset.(22)
27. Lisäksi ennen yleisen tietosuoja-asetuksen voimaantuloa vallinneen tilanteen kaltaisessa tilanteessa, jossa Facebook-alustan ulkopuolella kerättyjen tietojen käsittely ei perustunut suostumukseen vaan pikemminkin siihen, että käsittely oli tarpeen kyseisen asetuksen 6 artiklan 1 kohdan b alakohdassa tarkoitettua sopimuksen täyttämistä varten,(23) on otettava huomioon unionin tuomioistuimen esittämä kyseisen säännöksen suppea tulkinta.(24) Kuten Italian hallitus korostaa kirjallisissa huomautuksissaan, on siksi tärkeää välttää se, että kyseisen asetuksen 5 artiklassa säädetyn tietojen minimoinnin periaatteen laaja tulkinta voisi antaa rekisterinpitäjille mahdollisuuden laajentaa niitä henkilötietoryhmiä, joita pidetään tarpeellisina kyseisen asetuksen 6 artiklan 1 kohdan b alakohdassa tarkoitetun sopimuksen täyttämiseksi.
28. Edellä esitetyn perusteella ehdotan, että toiseen ennakkoratkaisukysymykseen vastataan, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa on tulkittava siten, että se on esteenä sille, että henkilötietoja voidaan käsitellä ilman ajallisia tai tietojen luonnetta koskevia rajoituksia kohdennetun mainonnan tarkoituksiin, ja että ennakkoratkaisua pyytäneen tuomioistuimen asiana on arvioida käsiteltävän asian olosuhteet huomioon ottaen ja suhteellisuusperiaatetta soveltaen, missä määrin henkilötietojen säilyttämisaika ja käsiteltävien tietojen määrä ovat perusteltuja, kun otetaan huomioon personoidun mainonnan tarkoituksiin tehtävän näiden tietojen käsittelyn oikeutettu päämäärä.
Neljäs ennakkoratkaisukysymys
29. Neljännellä ennakkoratkaisukysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä 9 artiklan 2 kohdan e alakohdan kanssa, tulkittava siten, että jos henkilö kertoo oman seksuaalisen suuntautumisensa paneelikeskustelussa, Meta Platforms Ireland voi käsitellä muita hänen seksuaalista suuntautumistaan koskevia tietoja, jotta häneen voidaan kohdistaa personoitua mainontaa. Yleisemmällä tasolla kyseinen tuomioistuin pohtii viimeksi mainitun säännöksen ulottuvuutta ja tuo täsmällisemmin esiin kysymyksen siitä, millä tavoin yleisön on täytynyt saada tämän henkilön arkaluonteiset tiedot, jotta yleisen tietosuoja-asetuksen 9 artiklan 2 kohtaa voidaan soveltaa.
Ennakkoratkaisukysymyksen merkityksellisyys
30. Meta Platforms Ireland täsmensi kirjallisissa ja suullisissa lausumissaan, ettei se ole missään vaiheessa kansallisissa tuomioistuimissa käydyn oikeudenkäyntimenettelyn aikana vedonnut yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa säädettyyn poikkeukseen kyseessä olevien tietojen käsittelyn oikeusperusteena, eivätkä muut osapuolet kiistäneet tätä istunnossa.(25)
31. Tällaisessa tapauksessa neljännellä ennakkoratkaisukysymyksellä ei kuitenkaan selvästikään ole merkitystä, koska tätä poikkeusta ei voida soveltaa käsiteltävässä asiassa.(26)
32. On kuitenkin muistutettava, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan SEUT 267 artiklassa määrätyssä menettelyssä, joka perustuu kansallisten tuomioistuinten ja unionin tuomioistuimen tehtävien selkeään jakoon, olettamana on, että kansallisen tuomioistuimen sen säännöstön ja niiden tosiseikkojen perusteella, joiden määrittämisestä se vastaa(27) ja joiden paikkansapitävyyden selvittäminen ei ole unionin tuomioistuimen tehtävä, esittämillä unionin oikeuden tulkintaan liittyvillä kysymyksillä on merkitystä asian ratkaisun kannalta.(28)
33. Näin ollen ehdotan seuraavissa kohdissa ennakkoratkaisua pyytäneen tuomioistuimen neljänteen ennakkoratkaisukysymykseen annettavaa vastausta, sanotun kuitenkaan rajoittamatta unionin tuomioistuimen ratkaisua tämän kysymyksen merkityksellisyydestä.
Ennakkoratkaisukysymyksen asiasisällön tarkastelu
34. Aluksi on muistutettava, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan, jossa vahvistetaan käyttötarkoitussidonnaisuuden periaate, mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Kyseisen asetuksen 9 artiklan 1 kohdan mukaan muun muassa luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien henkilötietojen käsittely on kiellettyä, ellei tällainen käsittely kuulu jonkin asetuksen 9 artiklan 2 kohdassa säädetyn poikkeuksen soveltamisalaan.(29)
35. Erityisesti yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdan nojalla arkaluonteisten henkilötietojen käsittelyn kieltoa ei sovelleta, jos käsittely koskee henkilötietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi. Kuten huomautin ratkaisuehdotuksessani Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot),(30) adverbin ”nimenomaisesti” käyttö kyseisen säännöksen sanamuodossa ja se, että kyseinen säännös on poikkeus periaatteesta, jonka mukaan arkaluonteisten henkilötietojen käsittely on yleisesti kiellettyä, edellyttävät, että tätä poikkeusta sovelletaan erityisen tiukasti rekisteröityjen perusoikeuksiin ja ‑vapauksiin kohdistuvien merkittävien riskien vuoksi.(31) Jotta tätä poikkeusta voidaan voitaisiin soveltaa, käyttäjän on mielestäni oltava täysin tietoinen siitä, että hän saattaa nimenomaisella toimella henkilötietojaan kenen tahansa saataville.(32)
36. Pääasiassa valittajan seksuaalista suuntautumista koskevat arkaluonteiset tiedot paljastettiin Facebook-alustan ulkopuolella (off-site) ja kaikkien muiden alustojen tai tietoteknisten sovellusten ulkopuolella komission järjestämän paneelikeskustelun yhteydessä(33) sen esiin tuomiseksi, että Meta Platforms Ireland oli käsitellyt lainvastaisesti tätä seksuaalista suuntautumista koskevia tietoja.(34)
37. Unionin tuomioistuimella oli tuomiossa Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot)(35) jo tilaisuus lausua muihin alustoihin liittyvien Facebookin ulkopuolisten tietojen käytöstä. Unionin tuomioistuin totesi tässä yhteydessä, että yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohtaa on tulkittava siten, että kun verkkoyhteisöpalvelun käyttäjä käy verkkosivustoilla tai sovelluksissa, joilla on liittymä yhteen tai useampaan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuun henkilötietoryhmään, hän ei nimenomaisesti saata julkiseksi tämän artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä kyseiseen vierailuun liittyviä tietoja, jotka kyseisen verkkoyhteisöpalvelun ylläpitäjä kerää evästeiden tai vastaavien tallennusteknologioiden avulla, ja että kun käyttäjä syöttää tietoja tällaisille verkkosivustoille tai sovelluksiin tai kun hän käyttää niihin sisältyviä valintapainikkeita, kuten ”tykkää”- ja ”jaa”-painikkeita tai painikkeita, joiden avulla hän voi tunnistautua näille sivustoille tai sovelluksiin käyttämällä verkkoyhteisöpalvelun käyttäjätiliinsä, puhelinnumeroonsa tai sähköpostiosoitteeseensa liittyviä kirjautumistunnuksia, hän ei nimenomaisesti saata yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä näin syötettyjä tai näiden painikkeiden käyttämisestä lähtöisin olevia tietoja julkisiksi, ellei hän nimenomaisesti ilmaise etukäteen, tarvittaessa täysin tietoisesti tehdyn yksilöllisten asetusten säätämisen avulla, valintansa saattaa häntä koskevat tiedot rajoittamattoman henkilöjoukon saataville julkisesti.(36)
38. Ennakkoratkaisua pyytäneen tuomioistuimen mielestä sen neljäs ennakkoratkaisukysymys oli kuitenkin tarpeen pysyttää sillä perusteella, että unionin tuomioistuimen viimeksi mainitussa asiassa tarkastelemat toimet liittyivät verkkosivustojen tai sovellusten käyttöön sekä niihin sisällytettyjen painikkeiden aktivointiin, kun taas käsiteltävässä asiassa on kyse rekisteröidyn paneelikeskustelun yhteydessä antamasta seksuaalista suuntautumistaan koskevasta lausumasta. Ennakkoratkaisua pyytäneen tuomioistuimen mielestä tällaisesta lausumasta ei voida päätellä yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitettua suostumusta.
39. Tässä yhteydessä on mielestäni tarkoituksenmukaista erottaa toisistaan yhtäältä alustava kysymys siitä, onko valittajan seksuaalista suuntautumistaan koskeva lausuma toimi, jolla hän nimenomaisesti saattaa tämän suuntautumisen julkiseksi yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä, ja toisaalta, jos tähän kysymykseen vastataan myöntävästi, kysymys siitä, mahdollistaako se, että henkilö on nimenomaisesti saattanut seksuaalisen suuntautumisensa julkiseksi, tätä seksuaalista suuntautumista koskevien tietojen käsittelyn personoidun mainonnan tarkoituksiin muun muassa kyseisen asetuksen 5 ja 6 artiklassa tarkoitetussa merkityksessä.
40. Ensinnäkin yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan a alakohdassa tarkoitetun valittajan lausuman luonnehdinnasta on todettava, että koska kyseisen säännöksen syntyhistoriasta ja sen soveltamista koskevasta oikeuskäytännöstä ei ilmene hyödyllisiä tietoja,(37) kyseisen asetuksen 9 artiklan 2 kohdan e alakohtaan sisältyvä poikkeus edellyttää lähinnä kahden kumulatiivisen edellytyksen täyttymistä samanaikaisesti, nimittäin yhtäältä sen ”objektiivisen” edellytyksen täyttymistä, jonka mukaan kyseisten henkilötietojen täytyy olla ”nimenomaisesti julkisiksi saatettuja”, ja toisaalta sen ”subjektiivisen” edellytyksen täyttymistä, jonka mukaan ”rekisteröidyn” on nimenomaisesti saatettava nämä tiedot julkisiksi.
41. Nämä kaksi edellytystä näyttävät täyttyvän pääasiassa, jollei selvityksistä, jotka ennakkoratkaisua pyytäneen tuomioistuimen on tehtävä, muuta johdu. Vaikka valittajan lausuma annettiin satunnaisesti Meta Platforms Irelandin käymän arkaluonteisten tietojen käsittelyä koskevan laajemman ja kriittisemmän keskustelun yhteydessä, pidän sitä nimittäin toimena, jolla hän täysin tietoisesti nimenomaisesti saattoi seksuaalisen suuntautumisensa julkiseksi.
42. Ensimmäisen edellytyksen kohdalla on mielestäni erittäin todennäköistä, että kun otetaan huomioon suorana lähetyksenä ja sen jälkeen suoratoistona lähetetyn paneelikeskustelun avoimuus(38) sekä yleisön kiinnostus käsiteltyä aihetta kohtaan, valittajan lausuma saattoi saavuttaa salissa läsnä ollutta yleisöä huomattavasti laajemman määrittelemättömän yleisön.(39)
43. Toisen edellytyksen kohdalla voidaan mielestäni täysin olettaa, että kun valittaja mainitsi avoimesti seksuaalisen suuntautumisensa käsiteltävän asian olosuhteissa (nimenomaan avoimessa tapahtumassa, johon lehdistöllä oli pääsy), hän teki, jos hänellä ei ollutkaan aikomusta nimenomaisesti saattaa tämä suuntautuminen julkiseksi, sen ainakin täysin tietoisesti edellä tämän ratkaisuehdotuksen 35 kohdassa mainitussa oikeuskäytännössä tarkoitetussa merkityksessä.(40)
44. Yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa annetulla suojalla pyritään nähdäkseni estämään lisäksi se, että rekisteröity altistuu haitallisille seurauksille (kuten julkiselle häpeälle tai syrjiville toimille), jotka johtuvat erityisesti siitä, että siinä luetelluista tilanteista vallitsee kielteinen käsitys yhteiskunnallisesta tai taloudellisesta näkökulmasta tarkasteltuina.(41) Tässä säännöksessä säädetään siten tällaisten henkilötietojen erityissuojasta periaatteellisella kiellolla, joka ei ole ehdoton ja jonka soveltaminen käsiteltävään asiaan riippuu rekisteröidyn arviosta, sillä hänellä on parhaat edellytykset arvioida kyseessä olevien tietojen ilmaisemisesta mahdollisesti aiheutuvia haitallisia seurauksia, ja hän voi tarvittaessa luopua tästä suojasta tai olla vetoamatta siihen täysin tietoisesti nimenomaisesti saattamalla tilanteensa ja etenkin seksuaalisen suuntautumisensa julkiseksi kyseisen asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä.
45. Toiseksi tarkasteltaessa sitä, miten hänen seksuaalisen suuntautumisensa nimenomainen julkiseksi saattaminen vaikuttaa Meta Platforms Irelandin suorittamaan näiden arkaluonteisten tietojen yleisen tietosuoja-asetuksen 5 ja 6 artiklassa tarkoitettuun käsittelyyn, katson, että yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitettu tietojen nimenomaisesti julkisiksi saattaminen ei yksinään mahdollista näiden tietojen kyseisessä asetuksessa tarkoitettua käsittelyä.
46. Jälkimmäisen säännöksen soveltaminen nimittäin yksinkertaisesti poistaa tietyille erityisen arkaluonteisille henkilötiedoille myönnetyn ”erityissuojan”. Kun rekisteröity itse (joka on nimenomaisesti saattanut nämä tiedot julkisiksi) on tietoisesti luopunut tästä suojasta, näistä alun perin ”suojatuista” henkilötiedoista tulee ”tavanomaisia” (eli muita kuin arkaluonteisia) tietoja, joiden, kuten kaikkien muidenkin henkilötietojen, käsittely on lainmukaista ainoastaan erityisesti yleisen tietosuoja-asetuksen 6 ja 7 artiklassa säädettyjen edellytysten täyttyessä ja noudattaen erityisesti sen 5 artiklassa vahvistettuja periaatteita,(42) myös kyseisen asetuksen 5 artiklan 1 kohdan b alakohdassa vahvistettua käyttötarkoitussidonnaisuuden periaatetta, joka edellyttää, että henkilötietoja kerätään tiettyä, nimenomaista ja laillista tarkoitusta varten, mikä rekisterinpitäjän on osoitettava kyseisen säännöksen 2 kohdan nojalla.(43)
47. Vaikka siitä, että valittaja toi esiin seksuaalisen suuntautumisensa paneelikeskustelussa, voitaisiin päätellä, että käsiteltävän asian olosuhteissa kyseinen henkilö ”nimenomaisesti saattoi” nämä tiedot ”julkisiksi” yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä, se ei näin ollen sinänsä voi oikeuttaa sellaisten henkilötietojen käsittelyä, joista käy ilmi kyseisen henkilön seksuaalinen suuntautuminen.(44)
48. Edellä esitetyn perusteella ehdotan, että neljänteen ennakkoratkaisukysymykseen vastataan siten, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä 9 artiklan 2 kohdan e alakohdan kanssa, on tulkittava siten, että vaikka oman seksuaalisen suuntautumisen kertominen yleisölle avointa paneelikeskustelua varten voi olla toimi, jolla kyseinen henkilö ”nimenomaisesti saattoi” tämän tiedon ”julkiseksi” yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä, se ei sinänsä mahdollista kyseisten tietojen tai muiden kyseisen henkilön seksuaalista suuntautumista koskevien tietojen käsittelyä, jolla on tarkoitus kerätä ja analysoida tietoja personoidun mainonnan tarkoituksiin.
Ratkaisuehdotus
49. Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Oberster Gerichtshofin esittämiin toiseen ja neljänteen ennakkoratkaisukysymykseen seuraavasti:
1) Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 5 artiklan 1 kohdan c alakohtaa
on tulkittava siten, että
– se on esteenä sille, että henkilötietoja voidaan käsitellä ilman ajallisia tai tietojen luonnetta koskevia rajoituksia kohdennetun mainonnan tarkoituksiin
– ennakkoratkaisua pyytäneen tuomioistuimen asiana on arvioida käsiteltävän asian olosuhteet huomioon ottaen ja suhteellisuusperiaatetta soveltaen, missä määrin henkilötietojen säilyttämisaika ja käsiteltävien tietojen määrä ovat perusteltuja, kun otetaan huomioon personoidun mainonnan tarkoituksiin tehtävän näiden tietojen käsittelyn oikeutettu päämäärä.
2) Asetuksen 2016/679 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä 9 artiklan 2 kohdan e alakohdan kanssa,
on tulkittava siten, että
– vaikka oman seksuaalisen suuntautumisen kertominen yleisölle avointa paneelikeskustelua varten voi olla toimi, jolla kyseinen henkilö ”nimenomaisesti saattoi” tämän tiedon ”julkiseksi” yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä, se ei sinänsä mahdollista kyseisten tietojen tai muiden kyseisen henkilön seksuaalista suuntautumista koskevien tietojen käsittelyä, jolla on tarkoitus kerätä ja analysoida tietoja personoidun mainonnan tarkoituksiin.