Ideiglenes változat
ATHANASIOS RANTOS
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2024. április 25.(1)
C‑446/21. sz. ügy
Maximilian Schrems
kontra
Meta Platforms Ireland Limited, korábban Facebook Ireland Limited
(az Oberster Gerichtshof [legfelsőbb bíróság, Ausztria] által benyújtott előzetes döntéshozatal iránti kérelem)
„Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/679 rendelet – Közösségi hálózatok – Az 5. cikk (1) bekezdésének b) pontja – A »célhoz kötöttség« elve– Az 5. cikk (1) bekezdésének e) pontja – Az »adattakarékosság« elve– A 9. cikk (1) bekezdése és (2) bekezdésének e) pontja – A személyes adatok különleges kategóriáinak kezelése – Az érintett által kifejezetten nyilvánosságra hozott személyes adatok – Személyre szabott hirdetés – Szexuális irányultságra vonatkozó adatok”
Bevezetés
1. A jelen előzetes döntéshozatal iránti kérelmet az Oberster Gerichtshof (legfelsőbb bíróság, Ausztria) terjesztette elő a Maximilian Schrems (a továbbiakban: felperes), a „Facebook” közösségi hálózat felhasználója, és a Meta Platforms Ireland Limited, korábban Facebook Ireland Limited (a továbbiakban: Meta Platforms Ireland vagy alperes) között a személyes adatainak e társaság általi állítólagosan jogellenes kezelése tárgyában.
2. A jelen ügyben előzetes döntéshozatalra előterjesztett kérdések egyrészt az (EU) 2016/679 rendelet(2) 5. cikke (1) bekezdésének c) pontjában előírt „adattakarékosság” elvének alkalmazására, másrészt pedig az e rendelet 9. cikke (2) bekezdésének az említett rendelet 5. cikke (1) bekezdésének a „célhoz kötöttség” elvét bevezető b) pontjával összefüggésben értelmezett e) pontjában szereplő, „az érintett által kifejezetten nyilvánosságra hozott személyes adatok” fogalmának értelmezésére vonatkoznak. A kérdést előterjesztő bíróság lényegében arra vár választ, hogy egyrészt az adattakarékosság elve lehetővé teszi‑e a személyes adatok időbeli és az adatok típusa szerinti korlátozás nélkül történő kezelését, másrészt pedig valamely személynek a saját szexuális irányultságára vonatkozó, egy pódiumbeszélgetés során tett állítása megengedi‑e az e személy szexuális irányultságára vonatkozó egyéb adatoknak személyre szabott hirdetés céljából történő kezelését.
Jogi háttér
3. Az általános adatvédelmi rendelet „Fogalommeghatározások” című 4. cikke a 11. pontjában a következőket mondja ki:
„E rendelet alkalmazásában:
[…]
11. »az érintett hozzájárulása«: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.”
4. E rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke az (1) és (2) bekezdésében a következőket írja elő:
„(1) A személyes adatok:
a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni (»jogszerűség, tisztességes eljárás és átláthatóság«);
b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon;
c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk (»adattakarékosság«);
[…]
(2) Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására (»elszámoltathatóság«).”
5. Az említett rendelet „Az adatkezelés jogszerűsége” című 6. cikke az (1) és (3) bekezdésében a következőképpen rendelkezik:
„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
[…]
f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.
Az első albekezdés f) pontja nem alkalmazandó a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.
[…]
(3) Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:
a) az uniós jog, vagy
b) azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.
[…]
[…] Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.”
6. Ugyanezen rendelet „A hozzájárulás feltételei” című 7. cikkének szövege a következő:
„(1) Ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.
[…]
(3) Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás megadása előtt az érintettet erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.
(4) Annak megállapítása során, hogy a hozzájárulás önkéntes‑e, a lehető legnagyobb mértékben figyelembe kell venni többek között azt, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását is – feltételéül szabták‑e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek az említett szerződés teljesítéséhez.”
7. Az általános adatvédelmi rendelet „A személyes adatok különleges kategóriáinak kezelése” című 9. cikkének (1) és (2) bekezdése kimondja:
„(1) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.
(2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha:
a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával;
b) az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi;
[…]
e) az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott;
[…]”
8. E rendelet 13. cikke – amelynek tárgya: a „[r]endelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik” –, az (1) bekezdésében a következőket írja elő:
„Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
[…]
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;
[…]”
Az alapeljárás, az előzetes döntéshozatalra előterjesztett kérdések és a Bíróság előtti eljárás
9. A Meta Platforms Ireland, egy ír jog szerinti társaság, üzemelteti a „Facebook” zárt kommunikációs hálózatot, amely lényegében online tartalommegosztó közösségi hálózatnak minősül.(3) Üzleti modellje alapvetően arra irányul, hogy a magánfelhasználók számára ingyenes közösségi hálózati szolgáltatásokat kínál, és online reklámokat értékesít, beleértve a felhasználóira irányuló hirdetéseket is.(4) Az ilyen hirdetés elsősorban e közösségi hálózat felhasználói viszonylag részletes profiljainak automatizált kialakításán alapul.(5)
10. 2018‑ban, az általános adatvédelmi rendelet hatálybalépését követően a Meta Platforms Ireland a Facebook Európai Unión belüli felhasználói számára új feltételeket írt elő a Facebook használatára vonatkozóan, a hozzájárulásuk megszerzése érdekében, amely egyébként szükséges a Facebook által nyújtott fiókokhoz és szolgáltatásokhoz való regisztrációhoz vagy az azokhoz való hozzáféréshez.(6) Ezek az új felhasználási feltételek azt is lehetővé teszik a felhasználók számára, hogy áttekintést szerezzenek és ellenőrzést gyakoroljanak a tárolt adatok felett.(7)
11. A felperes Facebook‑felhasználó, aki elfogadta a Facebook által ajánlott új felhasználási feltételeket. Amint az az előzetes döntéshozatalra utaló határozatból kitűnik, nyilvánosan hivatkozott homoszexualitására, de a Facebook‑profilján soha nem említette szexuális irányultságát, és semmilyen különleges adatot nem tett itt közzé.(8) A felperes azt sem engedélyezte az alperesnek, hogy célzott hirdetés céljából használja profilja kapcsolati állapotára, munkáltatójára, munkahelyére vagy képzésére vonatkozó mezőit.
12. Ugyanakkor a felperes egy politikusnőre vonatkozó hirdetést kapott, amelyet azon elemzés alapján címeztek neki, amely szerint más olyan „ügyfelekhez” hasonlított, akik a politikusnőt „lájkolták”, és rendszeresen kapott homoszexuális személyeket célzó reklámokat, valamint a megfelelő eseményekre vonatkozó meghívókat, noha korábban soha nem érdeklődött ezen események iránt, és még csak nem is ismerte azokat a helyszíneket, ahol azok folytak. E reklámok, illetve meghívók nem közvetlenül a felperes és „barátai” szexuális irányultságán alapultak, hanem érdeklődési fókuszuk elemzésén.(9) Egyébiránt a Meta Platforms Ireland rögzíti a felperesre vonatkozó valamennyi adatot, beleértve a harmadik személyek vagy pluginok közvetítésével szerzett adatokat is, annak érdekében, hogy azokat határozatlan ideig megőrizze.
13. A felperes e körülmények között indított végrehajtási, megállapítási és a jogellenes magatartástól való eltiltás iránti keresetet a Landesgericht für Zivilrechtssachen Wien (polgári jogi ügyekben eljáró bécsi regionális bíróság, Ausztria) előtt személyes adatainak a Meta Platforms Ireland általi állítólagos jogellenes kezelése miatt.(10)
14. Ezt követően az Európai Bizottság bécsi (Ausztria) képviselete által szervezett, 2019. február 12‑i pódiumbeszélgetés(11) alkalmával a felperes egy olyan felszólalásban említette szexuális irányultságát, amelyben azt kifogásolta, hogy a Meta Platforms Ireland állítólag jogellenesen kezelte az ezen irányultságra vonatkozó adatokat.(12)
15. Mivel keresetét első fokon a 2020. június 30‑i ítélet, majd fellebbezést követően az Oberlandesgericht Wien (bécsi regionális felsőbíróság, Ausztria) 2020. december 7‑i ítélete elutasította,(13) a felperes felülvizsgálati kérelmet nyújtott be az Oberster Gerichtshofhoz (legfelsőbb bíróság), a kérdést előterjesztő bírósághoz.
16. E körülmények között az Oberster Gerichtshof (legfelsőbb bíróság, Ausztria) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából négy kérdést terjeszt a Bíróság elé.(14) Mivel az előzetes döntéshozatalra előterjesztett első és harmadik kérdést a 2023. július 4-i Meta Platforms és társai (Közösségi hálózat általános felhasználási feltételei) ítéletet(15) követően visszavonták, a jelen ügy tárgya a második és a negyedik kérdés, amelyek a következőképpen szólnak:
„2) Úgy kell‑e értelmezni az általános adatvédelmi rendelet 5. cikke (1) bekezdésének c) pontját (adattakarékosság), hogy valamennyi olyan személyes adat, amellyel az alapeljárásban szóban forgóhoz hasonló platform (különösen az érintett vagy a platformot használó és a platformon kívüli harmadik személyek révén) rendelkezik, személyre szabott hirdetések céljából időbeli és az adatok típusa szerinti korlátozás nélkül összesíthető, elemezhető és kezelhető?
4) Az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontjával összefüggésben úgy kell‑e értelmezni e rendelet 5. cikke (1) bekezdésének b) pontját, hogy a saját szexuális irányultsággal kapcsolatos, egy pódiumbeszélgetés céljára elhangzott nyilatkozat lehetővé teszi, hogy a szexuális irányultságra vonatkozó más adatokat az adatok személyre szabott hirdetések céljából történő összesítése és elemzése érdekében kezeljék?”
17. Írásbeli észrevételeket a felperes, a Meta Platforms Ireland, az osztrák, a francia, az olasz és a portugál kormány, valamint a Bizottság nyújtott be. A felperes, a Meta Platforms Ireland, az osztrák kormány, valamint a Bizottság a 2024. február 8-án tartott tárgyaláson előterjesztette szóbeli észrevételeit.
Elemzés
Az előzetes döntéshozatalra előterjesztett második kérdésről
18. Előzetes döntéshozatalra előterjesztett második kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy az általános adatvédelmi rendelet adattakarékosság elvét rögzítő 5. cikke (1) bekezdésének c) pontját úgy kell‑e értelmezni, hogy a Facebookhoz hasonló hálózat – többek között az érintett személy, vagy az e platformon jelen lévő vagy azon kívüli harmadik személyek révén – rendelkezésére álló valamennyi személyes adat személyre szabott hirdetések céljából időbeli és az adatok típusa szerinti korlátozás nélkül összesíthető, elemezhető és kezelhető.
19. Előzetesen emlékeztetni kell arra, hogy a személyes adatok bármely kezelésének egyrészt meg kell felelnie az általános adatvédelmi rendelet 5. cikkében kifejtett, az adatkezelésre vonatkozó elveknek, másrészt pedig teljesítenie kell az említett rendelet 6. cikkében felsorolt, az adatkezelés jogszerűségére vonatkozó feltételek valamelyikét.(16)
20. Ami közelebbről a személyes adatok kezelésére vonatkozó elveket illeti, a Bíróság többek között pontosította, hogy az általános adatvédelmi rendelet 5. cikke (1) bekezdésének c) pontjában szereplő adattakarékosság elve előírja, hogy a személyes adatoknak az adatkezelés céljai szempontjából megfelelőnek és relevánsnak kell lenniük, és a szükségesre kell korlátozódniuk, ami lényegében az arányosság elvét fejezi ki.(17) Így az adattakarékosság elvének az a célja, hogy minimalizálja a személyes adatok védelméhez való jognak a szóban forgó adatkezelés által okozott akadályozását.
21. A jelen ügyben számomra nyilvánvalónak tűnik, hogy a korlátozásoknak a kérdést előterjesztő bíróság által feltételezett esetleges hiánya fogalmilag ellentétes lenne az adattakarékosság elvének alkalmazásával. Márpedig a Bíróság elé terjesztett iratokból nem tűnik ki olyan körülmény, amely megerősítené vagy kizárhatná ezt a feltételezést, amely mindenesetre a kérdést előterjesztő bíróság mérlegelésére tartozik. Mindazonáltal szeretnék e bíróság számára néhány hasznos útmutatást adni a vizsgált rendelkezés értelmezését illetően, amelyek lehetővé tehetik számára, hogy az előtte folyamatban lévő ügyben határozzon.
22. Ami egyrészt a személyes adatok kezelésének időbeli korlátozását illeti, úgy vélem, hogy mivel az általános adatvédelmi rendelet nem tartalmaz erre vonatkozó különös rendelkezést, az uniós bíróság nem állapíthat meg kötelező jelleggel határidőt ezen adatok megőrzésére. Egyébiránt a Bíróság megállapította, hogy idővel még a pontos adatok eredetileg jogszerű kezelése is összeegyeztethetetlenné válhat többek között az általános adatvédelmi rendelet 5. cikke (1) bekezdésének c)–e) pontjával, ha ezen adatok gyűjtésük vagy kezelésük céljára tekintettel már nem szükségesek.(18) A kérdést előterjesztő bíróság feladata tehát, hogy a jelen ügy körülményeire tekintettel és az arányosság elvének alkalmazásával értékelje,(19) hogy a személyes adatok Meta Platforms Ireland általi megőrzésének időtartama mennyiben igazolható ezen adatoknak a személyre szabott hirdetés céljából történő kezelésének jogszerű céljával.
23. Másrészt, ami a személyes adatok kezelésének az adatok jellegétől függő korlátozását illeti, szintén a kérdést előterjesztő bíróság feladata, hogy a jelen ügy körülményei között – az arányosság elvének alkalmazásával – megállapítsa, hogy melyek azok a személyes adatok, amelyek kezelése jogszerűnek tekinthető.
24. Egyébiránt az általános adatvédelmi rendelet 5. cikke (1) bekezdése c) pontjának szövegében az olyan rendkívül általános feltételekre való hivatkozások, mint a „megfelelőség”, a „relevancia” és a „szükségesség”, véleményem szerint azt mutatják, hogy az uniós jogalkotó széles mérlegelési mozgásteret kívánt biztosítani az illetékes hatóságok számára e rendelkezés alkalmazása során, mivel e feltételek az ügy körülményeire tekintettel csak esetről esetre értelmezhetők.
25. Ennek pontosítását követően úgy vélem, hogy – amint azt a Bizottság írásbeli észrevételeiben megjegyzi – bizonyos megkülönböztetéseket lehet tenni az érintett személy jogaiba az egyes kezelési formák révén való beavatkozás mértékei alapján. A kérdést előterjesztő bíróság tehát, amennyiben azt megfelelőnek ítéli, különbséget tehet egyrészt az érintett személy „statikus” adatainak (mint például az életkor(20) vagy a nem) felhasználása és a „magatartási” adatok felhasználása (mint például a felhasználók navigációs szokásainak nyomon követése) között, mivel ez utóbbi felhasználás főszabály szerint jobban beavatkozik az érintett jogaiba. Ami közelebbről a „magatartási” adatokat illeti, utólagos különbséget lehet tenni az „aktív” magatartásra vonatkozó adatok gyűjtése (mint például a „tetszik” gombra kattintás) és a „passzív” magatartásra vonatkozó adatgyűjtés (mint például egy internetes oldal puszta látogatása) között, mivel ez utóbbi általában nagyobb fokú beavatkozást jelent a felhasználó számára. Másrészt különbséget lehet tenni a Facebook platformon és azon kívül, vagyis internetes oldalakon, a Facebooktól eltérő alkalmazásokon vagy a felhasználók készülékein gyűjtött személyes adatok kezelése között is, mivel ez utóbbi nagyobb beavatkozással jár, mint az előbbi.(21)
26. Ezen elemzés keretében véleményem szerint figyelembe kell venni az érintett személyek észszerű elvárásait is.(22)
27. Egyébiránt az általános adatvédelmi rendelet hatálybalépése előtt fennállóhoz hasonló helyzetben, amelyben a Facebook‑platformon kívül gyűjtött adatok kezelése nem a hozzájáruláson alapult, hanem az e rendelet 6. cikke (1) bekezdésének b) pontja szerinti, a szerződés teljesítéséhez szükséges adatkezelés szükségességén,(23) figyelembe kell venni e rendelkezés Bíróság általi szigorú értelmezését.(24) Következésképpen, amint azt az olasz kormány írásbeli észrevételeiben hangsúlyozza, fontos elkerülni, hogy az említett rendelet 5. cikke szerinti adattakarékosság elvének tág értelmezése lehetővé tegye az adatkezelők számára, hogy kiterjesszék az ugyanezen rendelet 6. cikke (1) bekezdésének b) pontja értelmében a szerződés teljesítéséhez szükségesnek tekintett személyes adatok kategóriáit.
28. A fentiekre tekintettel azt javaslom, hogy a Bíróság az előzetes döntéshozatalra előterjesztett második kérdésre azt a választ adja, hogy az általános adatvédelmi rendelet 5. cikke (1) bekezdésének c) pontját úgy kell értelmezni, hogy azzal ellentétes, ha a személyes adatokat személyre szabott hirdetések céljából időbeli és az adatok típusa szerinti korlátozás nélkül lehet kezelni, és a kérdést előterjesztő bíróság feladata annak az ügy körülményeire tekintettel és az arányosság elvének alkalmazásával történő értékelése, hogy az adatmegőrzési időszak és a kezelt adatok mennyisége mennyiben igazolható az ezen adatok személyre szabott hirdetés céljából történő kezelésének jogszerű céljához képest.
A negyedik kérdésről
29. Az előzetes döntéshozatalra előterjesztett negyedik kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontjával összefüggésben értelmezett 5. cikke (1) bekezdésének b) pontját úgy kell‑e értelmezni, hogy az a körülmény, hogy valamely személy a szexuális irányultságáról egy pódiumbeszélgetés alkalmával nyilatkozott, lehetővé teszi, hogy a Meta Platforms Ireland a szexuális irányultságára vonatkozó egyéb adatokat kezelje abból a célból, hogy személyre szabott hirdetést kínáljon számára. E bíróság ennél általánosabban arra vár választ, hogy mi az utóbbi rendelkezés hatálya, és konkrétan azt a kérdést veti fel, hogy a nyilvánosságnak milyen módon kell megismernie e személy különleges adatait ahhoz, hogy az általános adatvédelmi rendelet 9. cikkének (2) bekezdése alkalmazható legyen.
Az előzetes döntéshozatalra előterjesztett kérdés relevanciájáról
30. A Meta Platforms Ireland írásbeli és szóbeli beadványaiban – anélkül, hogy a többi fél ezt a tárgyaláson vitatta volna – kijelentette, hogy a nemzeti bíróságok előtti eljárás során soha nem hivatkozott az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontjában előírt kivételre a szóban forgó adatkezelés jogalapjaként.(25)
31. Márpedig ilyen esetben az előzetes döntéshozatalra előterjesztett negyedik kérdés egyértelműen irrelevánsnak tűnik, mivel e kivétel a jelen ügyben nem alkalmazható.(26)
32. Mindemellett emlékeztetni kell arra, hogy a Bíróság állandó ítélkezési gyakorlata szerint az EUMSZ 267. cikkben említett eljárás keretében, amely a nemzeti bíróságok és a Bíróság feladatainak világos szétválasztásán alapul, a nemzeti bíróság által saját felelősségére meghatározott jogszabályi és ténybeli háttér alapján(27) – amelynek helytállóságát a Bíróság nem vizsgálhatja – az uniós jog értelmezésére vonatkozóan előterjesztett kérdések releváns voltát vélelmezni kell.(28)
33. Ennélfogva a következő pontokban a kérdést előterjesztő bíróság által előzetes döntéshozatalra előterjesztett negyedik kérdés megválaszolását fogom javasolni, a Bíróság e kérdés relevanciájára vonatkozó határozatának sérelme nélkül.
Az előzetes döntéshozatalra előterjesztett kérdés érdeméről
34. Előzetesen emlékeztetek arra, hogy az általános adatvédelmi rendelet 5. cikke (1) bekezdése b) pontjának megfelelően, amely a célhoz kötöttség elvét rögzíti, a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azok nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon. E rendelet 9. cikkének (1) bekezdése értelmében tilos többek között a természetes személy szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése, kivéve ha az ilyen adatkezelés az említett rendelet 9. cikkének (2) bekezdésében felsorolt kivételek valamelyikének hatálya alá tartozik.(29)
35. Közelebbről, az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében a különleges személyes adatok kezelésének tilalma nem alkalmazandó, ha az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott. Amint azt a Meta Platforms és társai (Közösségi hálózat használatának általános feltételei) ügyre vonatkozó indítványomban(30) megjegyeztem, az e rendelkezés szövegében szereplő „kifejezetten” határozószó használata, valamint az a tény, hogy az említett rendelkezés kivételt képez a különleges személyes adatok kezelésének tilalma alól, e kivétel különösen szigorú alkalmazását követeli meg az érintettek alapvető jogait és szabadságait érintő jelentős kockázatok miatt.(31) Ahhoz, hogy e kivétel alkalmazható legyen, a felhasználónak véleményem szerint teljes mértékben tisztában kell lennie azzal, hogy kifejezett cselekvése útján személyes adatokat hoz nyilvánosságra bárki számára.(32)
36. Az alapügyben a felperes szexuális irányultságára vonatkozó különleges adatokat a Facebook platformon („oldalon kívül”) és bármely más informatikai platformon vagy alkalmazáson kívül, a Bizottság által szervezett pódiumbeszélgetés(33) keretében közölték azzal a céllal, hogy kifogásolják az e szexuális irányultságra vonatkozó adatok Meta Platforms Ireland általi állítólagos jogellenes kezelését.(34)
37. E tekintetben a Bíróságnak már volt alkalma állást foglalni a „oldalon kívüli” adatok más platformok összefüggésében történő felhasználásáról a Meta Platforms és társai (Közösségi hálózat használatának általános feltételei) ítéletében.(35) Ennek kapcsán a Bíróság kimondta, hogy az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontját úgy kell értelmezni, hogy amennyiben valamely online közösségi hálózat felhasználója olyan weboldalakat vagy alkalmazásokat nyit meg, amelyek az általános adatvédelmi rendelet 9. cikkének (1) bekezdésében említett egy vagy több adatkategóriával kapcsolatos információkra utalhatnak, nem hozza az előbbi rendelkezés értelmében véve kifejezetten nyilvánosságra az e megnyitásra vonatkozó, az ezen online közösségi hálózat üzemeltetője által „cookie‑k” vagy hasonló adatrögzítési technológiák révén gyűjtött adatokat, és amennyiben ilyen weboldalakon vagy ilyen alkalmazásokban adatokat visz be, vagy ha az e weboldalakba és alkalmazásokba beépített olyan kiválasztási gombokra kattint mint például a „tetszik”, a „megosztás”, vagy azon gombok, amelyek lehetővé teszik a felhasználó számára, hogy magát ezen oldalakon vagy alkalmazásokban a közösségi hálózat felhasználói fiókjához kapcsolódó csatlakozási azonosítók, a telefonszáma vagy az e‑mail‑címe használatával azonosítsa, az ilyen felhasználó csak abban az esetben hozza az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében kifejezetten nyilvánosságra az így bevitt vagy az e gombokra való kattintásból származó adatokat, kivéve ha előzetesen – adott esetben a tények teljes ismeretében végzett egyéni beállítás alapján – kifejezetten kinyilvánította azon döntését, hogy a rá vonatkozó adatokat korlátlan számú személy számára nyilvánosan hozzáférhetővé teszi.(36)
38. Mindemellett az előterjesztő bíróság szükségesnek tartotta az előzetes döntéshozatalra előterjesztett negyedik kérdés fenntartását, azzal az indokkal, hogy a Bíróság által ez utóbbi ügyben vizsgált jogi aktusok internetes oldalak vagy alkalmazások megtekintésére, valamint az e weboldalakba beépített gombok aktiválására vonatkoztak, míg a jelen ügyben az érintett személy által a szexuális irányultságáról egy pódiumbeszélgetés során tett nyilatkozatról van szó. E tekintetben e bíróság úgy véli, hogy az ilyen nyilatkozatból nem vezethető le az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében vett hozzájárulás.
39. E tekintetben helyénvalónak tűnik számomra különbséget tenni egyrészt azon előzetes kérdés között, hogy a felperesnek a szexuális irányultságára vonatkozó nyilatkozata olyan cselekménynek minősül‑e, amellyel az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében kifejezetten nyilvánosságra hozza ezen irányultságát, és másrészt, az e kérdésre adott igenlő válasz esetén, hogy a szexuális irányultságának kifejezett nyilvánosságra hozatala lehetővé teszi‑e az e szexuális irányultságra vonatkozó adatoknak az e rendelet 5. és 6. cikke szerinti, személyre szabott reklám céljára történő kezelését.
40. Először is, ami a felperes általános adatvédelmi rendelet 9. cikke (2) bekezdésének a) pontja értelmében vett nyilatkozatának minősítését illeti, olyan hasznos információk hiányában, amelyek e rendelkezés keletkezéstörténetéből és annak ítélkezési gyakorlatbeli alkalmazásából(37) következnének, megjegyzem, hogy az e rendelet 9. cikke (2) bekezdésének e) pontjában foglalt kivétel lényegében két feltétel együttes teljesülését követeli meg, nevezetesen egyrészt egy „objektív” feltételét, amely szerint a szóban forgó személyes adatokat „kifejezetten nyilvánosságra hozzák”, másrészt egy „szubjektív” feltételét, amely szerint az „érintett” az, akinek ezeket az adatokat kifejezetten nyilvánosságra kell hoznia.
41. Az alapügyben – a kérdést előterjesztő bíróság által elvégzendő vizsgálatra is figyelemmel – úgy tűnik számomra, hogy e két feltétel teljesül. Ugyanis, noha azt a Meta Platforms Ireland által végzett különlegesadat‑kezeléssel kapcsolatos átfogóbb és kritikusabb megszólalás keretében, mellékesen hozták nyilvánosságra, úgy vélem, hogy a felperes által tett nyilatkozat olyan cselekménynek minősül, amellyel a tények teljes ismeretében kifejezetten nyilvánosságra hozta szexuális irányultságát.
42. Ami az első feltételt illeti, számomra igen valószínűnek tűnik, hogy a pódiumbeszélgetés nyílt jellegére figyelemmel, amelyet élőben sugároztak, majd streamingben közvetítettek,(38) valamint a nyilvánosság érdeklődésére az ott tárgyalt téma iránt, a felperes nyilatkozata jóval nagyobb, meghatározatlan méretű közönséget érhet el, mint a teremben jelen lévő közönség.(39)
43. Ami a második feltételt illeti, véleményem szerint feltehető, hogy a felperes azáltal, hogy a jelen ügy körülményei között nyíltan megemlítette szexuális irányultságát (többek között egy nyitott és a sajtó számára hozzáférhető esemény keretében), ha nem is kívánta, de legalábbis teljes mértékben tudatában volt annak, hogy a jelen indítvány 35. pontjában hivatkozott ítélkezési gyakorlat értelmében „kifejezetten nyilvánossá” teszi ezen irányultságát.(40)
44. Egyébiránt az általános adatvédelmi rendelet 9. cikkének (1) bekezdése által biztosított védelem célja véleményem szerint annak elkerülése, hogy az érintett olyan káros következményeknek legyen kitéve (mint például a nyilvános helytelenítés vagy a hátrányosan megkülönböztető cselekmények), amelyek többek között az ott felsorolt helyzetek negatív társadalmi vagy gazdasági észleléséből erednek.(41) E rendelkezés tehát e személyes adatok különös védelmét írja elő egy nem abszolút elvi tilalom révén, amelynek a jelen ügyben való alkalmazása az érintett személy mérlegelésétől függ, aki a legalkalmasabb helyzetben van a szóban forgó adatok hozzáférhetővé tételéből eredő esetleges hátrányos következmények megítélésére, és aki adott esetben lemondhat e védelemről, vagy az ügy teljes ismeretében az arra való hivatkozásról, e rendelet 9. cikke (2) bekezdésének e) pontja értelmében véve kifejezetten nyilvánosságra hozva helyzetét, különösen szexuális irányultságát.
45. Másodszor, ami a szexuális irányultság kifejezett nyilvánosságra hozatalából következő, e különleges adatoknak a Meta Platforms Ireland általi, az általános adatvédelmi rendelet 5. és 6. cikke értelmében vett kezelésére gyakorolt hatásokat illeti, úgy vélem, hogy az adatoknak az e rendelet 9. cikke (2) bekezdésének e) pontja értelmében vett kifejezett nyilvánosságra hozatala önmagában nem teszi jogszerűvé ezen adatoknak az említett rendelet értelmében vett kezelését.
46. Ez utóbbi rendelkezés alkalmazása ugyanis pusztán azzal a következménnyel jár, hogy megszünteti az egyes különösen érzékeny személyes adatoknak biztosított „különleges védelmet”. Miután maga az érintett (aki az adatokat kifejezetten nyilvánosságra hozta) erről a védelemről tudatosan lemondott, ezek az eredetileg „védett” személyes adatok „rendes” (vagyis nem különleges) adatokká válnak, amelyeket – minden egyéb személyes adathoz hasonlóan – csak az általános adatvédelmi rendelet 6. és 7. cikkében előírt, az adatkezelés jogszerűségére vonatkozó feltételek mellett és különösen az e rendelet 5. cikkében rögzített elvek tiszteletben tartása mellett lehet jogszerűen kezelni,(42) ideértve a célhoz kötöttség 5. cikk (1) bekezdésének b) pontjában foglalt elvét is, amely szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, amit a szóban forgó rendelkezés (2) bekezdése értelmében az adatkezelőnek kell bizonyítania.(43)
47. Következésképpen az, hogy a felperes pódiumbeszélgetés keretében nyilatkozott szexuális irányultságáról, jóllehet arra a következtetésre vezethet, hogy az adott ügy körülményei között e személy ezeket az adatokat az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében véve „kifejezetten nyilvánosságra hozta”, önmagában nem igazolhatja az e személy szexuális irányultságára utaló személyes adatok kezelését.(44)
48. A fentiekre tekintettel azt javaslom, hogy a Bíróság az előzetes döntéshozatalra előterjesztett negyedik kérdésre azt a választ adja, hogy az általános adatvédelmi rendelet 5. cikke (1) bekezdésének b) pontját és 9. cikke (2) bekezdésének e) pontját egymással összefüggésben úgy kell értelmezni, hogy noha az a tény, hogy az érintett a saját szexuális irányultságával kapcsolatban egy nyilvános pódiumbeszélgetés során nyilatkozott, olyan cselekménynek minősülhet, amellyel ezt e személy az adatot e rendelet 9. cikke (2) bekezdésének e) pontja értelmében véve „kifejezetten nyilvánosságra hozta”, e rendelet alapján önmagában nem megengedett az említett adatoknak vagy e személy szexuális irányultságára vonatkozó más adatoknak személyre szabott hirdetések céljából történő összesítése és elemzése érdekében történő kezelése.
Végkövetkeztetés
49. A fenti megfontolásokra tekintettel azt javaslom, hogy a Bíróság az Oberster Gerichtshof (legfelsőbb bíróság, Ausztria) által előzetes döntéshozatalra előterjesztett második és negyedik kérdésre a következő választ adja:
1) A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 5. cikke (1) bekezdésének c) pontját
a következőképpen kell értelmezni:
– azzal ellentétes, ha a személyes adatok személyre szabott hirdetések céljából, időbeli és az adatok típusa szerinti korlátozás nélkül kezelhetők,
– a kérdést előterjesztő bíróság feladata, hogy az ügy körülményeire tekintettel és az arányosság elvének alkalmazásával értékelje, hogy az adatmegőrzési időszak és a kezelt adatok mennyisége mennyiben igazolható az ezen adatok személyre szabott hirdetés céljából történő kezelésének jogszerű céljához képest.
2) A 2016/679 rendelet 5. cikke (1) bekezdésének b) pontját és 9. cikke (2) bekezdésének e) pontját egymással összefüggésben
a következőképpen kell értelmezni:
– noha az a tény, hogy az érintett a saját szexuális irányultságával kapcsolatban egy nyilvános pódiumbeszélgetés során nyilatkozott, minősülhet olyan cselekménynek, amellyel ezt az adatot e személy e rendelet 9. cikke (2) bekezdésének e) pontja értelmében véve „kifejezetten nyilvánosságra hozta”, e rendelet alapján önmagában nem megengedett az említett adatoknak vagy e személy szexuális irányultságára vonatkozó más adatoknak személyre szabott hirdetések céljából történő összesítése és elemzése érdekében történő kezelése.