Wydanie tymczasowe
OPINIA RZECZNIKA GENERALNEGO
ATHANASIOSA RANTOSA
przedstawiona w dniu 25 kwietnia 2024 r.(1).
Sprawa C‑446/21
Maximilian Schrems
przeciwko
Meta Platforms Ireland Limited, dawniej Facebook Ireland Limited
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Oberster Gerichtshof (sąd najwyższy, Austria)]
Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Sieci społecznościowe – Artykuł 5 ust. 1 lit. b) – Zasada „ograniczenia celów” – Artykuł 5 ust. 1 lit. e) – Zasada „minimalizacji danych” – Artykuł 9 ust. 1 i 2 lit. e) – Przetwarzanie szczególnych kategorii danych osobowych – Dane osobowe w sposób oczywisty upublicznione przez osobę, której dane dotyczą – Reklama spersonalizowana – Dane dotyczące orientacji seksualnej
Wprowadzenie
1. Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym został złożony przez Oberster Gerichtshof (sąd najwyższy, Austria) w ramach sporu, jaki został zapoczątkowany pomiędzy Maximilianem Schremsem (zwanym dalej „powodem”), użytkownikiem sieci społecznościowej „Facebook”, a Meta Platforms Ireland Limited, dawniej Facebook Ireland Limited (zwaną dalej „Meta Platforms Ireland” lub „pozwaną”) powództwem dotyczącym przetwarzania przez wspomnianą spółkę jego danych osobowych, którego zgodność z prawem jest kwestionowana.
2. Pytania prejudycjalne przedstawione w ramach niniejszej sprawy dotyczą, z jednej strony, stosowania zasady „minimalizacji danych”, wyrażonej w art. 5 ust. 1 lit. c) rozporządzenia (UE) 2016/679(2) oraz, z drugiej strony, wykładni sformułowania „przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą”, o którym mowa w art. 9 ust. 2 lit. e) wspomnianego rozporządzenia w związku z art. 5 ust. 1 lit. b) tego rozporządzenia, w którym ustanowiono zasadę „ograniczenia celów”. Sąd odsyłający wnosi w istocie, z jednej strony, o ustalenie, czy zasada minimalizacji danych pozwala na przetwarzanie danych osobowych bez ograniczenia w czasie lub w zależności od charakteru danych oraz, z drugiej strony, czy stwierdzenia dotyczące orientacji seksualnej danej osoby poczynione przez nią podczas dyskusji panelowej pozwalają na przetwarzanie innych danych dotyczących orientacji seksualnej tej osoby do celów spersonalizowanej reklamy.
Ramy prawne
3. Artykuł 4 RODO, zatytułowany „Definicje”, stanowi w pkt 11:
„Na użytek niniejszego rozporządzenia:
[…]
11) »zgoda« osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”.
4. Artykuł 5 wspomnianego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi w ust. 1 i 2:
„1. Dane osobowe muszą być:
a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);
b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; […]
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);
[…]
2. Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”.
5. Artykuł 6 wspomnianego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, stanowi w ust. 1 i 3:
„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
[…]
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
[…]
3. Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
a) w prawie Unii; lub,
b) w prawie państwa członkowskiego, któremu podlega administrator.
[…]
[…] Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu”.
6. Artykuł 7 tego rozporządzenia, zatytułowany „Warunki wyrażenia zgody”, ma następujące brzmienie:
„1. Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
[…]
3. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
4. Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy”.
7. Artykuł 9 ust. 1 i 2 RODO, zatytułowany „Przetwarzanie szczególnych kategorii danych osobowych”, stanowi:
„1. Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
2. Ustęp 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;
b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;
[…]
e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
[…] »
8. Artykuł 13 wspomnianego rozporządzenia, zatytułowany „Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą”, stanowi w ust. 1:
„Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje:
[…]
c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
[…]”
Spór w postępowaniu głównym, pytania prejudycjalne oraz postępowanie przed Trybunałem
9. Meta Platforms Ireland, spółka prawa irlandzkiego, zarządza zamkniętą siecią komunikacyjną „Facebook”, która w istocie stanowi internetową sieć społecznościową pozwalającą na dzielenie się treściami(3). Jej model biznesowy opiera się w istocie na oferowaniu bezpłatnych usług sieci społecznościowej swoim prywatnym użytkownikom i sprzedaży reklam internetowych, w tym reklam skierowanych do jej użytkowników(4). Wspomniana reklama opiera się głównie na zautomatyzowanym tworzeniu stosunkowo szczegółowych profili użytkowników tej sieci społecznościowej(5).
10. W 2018 r., po wejściu w życie RODO, Meta Platforms Ireland przedstawiła swoim użytkownikom w Unii Europejskiej nowe warunki korzystania z Facebooka w celu uzyskania ich zgody, której udzielenie jest zresztą wymagane do tego, aby móc się zarejestrować lub uzyskać dostęp do kont i usług świadczonych przez Facebooka(6). Wspomniane nowe warunki korzystania umożliwiają również użytkownikom wgląd do przechowywanych danych i kontrolę nad nimi(7).
11. Powód jest użytkownikiem Facebooka, który zaakceptował przedstawione przez Facebooka nowe warunki korzystania. Jak wynika z postanowienia odsyłającego, oświadczył on publicznie, że jest homoseksualistą, ale nigdy nie wspomniał o swojej orientacji seksualnej i nie opublikował żadnych danych wrażliwych na swoim profilu na Facebooku(8). Jak twierdzi powód, nie upoważnił on również pozwanej do wykorzystywania, dla celów reklamy ukierunkowanej, tych pól w jego profilu, które dotyczą jego relacji uczuciowych, pracodawcy, zatrudnienia lub wykształcenia.
12. Niemniej jednak, jak wskazuje powód, otrzymał on materiały promocyjne pewnej polityk, które zostały doń skierowane w oparciu o analizę, na podstawie której miałby on być podobny do innych „klientów”, którzy „polubili” tę polityk oraz regularnie otrzymywał reklamy skierowane do osób orientacji homoseksualnej i zaproszenia na odpowiednie wydarzenia, mimo że nigdy wcześniej nie wykazywał zainteresowania wspomnianymi wydarzeniami i nie znał nawet miejsc, w których te miałyby się odbyć. Rzeczone reklamy lub zaproszenia nie były opierane bezpośrednio na orientacji seksualnej powoda i jego „znajomych” w sieci społecznościowej, lecz na przeprowadzonej analizie ich zainteresowań(9). Ponadto Meta Platforms Ireland rejestrowała wszystkie dane dotyczące powoda, w tym dane uzyskane za pośrednictwem stron trzecich lub wtyczek, i przechowywała je przez czas nieokreślony.
13. W tych okolicznościach powód wniósł do Landesgericht für Zivilsachen Wien (sąd okręgowy ds. spraw cywilnych w Wiedniu, Austria), powództwo o wykonanie, stwierdzenie i zaprzestanie przetwarzania jego danych osobowych przez Meta Platforms Ireland, którego zgodność z prawem jest przezeń kwestionowana (10).
14. Następnie, podczas dyskusji panelowej zorganizowanej przez Przedstawicielstwo Komisji Europejskiej w Wiedniu (Austria)(11), która odbyła się 12 lutego 2019 r., powód wspomniał o swojej orientacji seksualnej podczas wystąpienia mającego na celu potępienie przetwarzania danych dotyczących tej orientacji seksualnej przez Meta Platforms Ireland, którego zgodność z prawem jest przezeń kwestionowana(12).
15. Po tym, jak jego powództwo zostało oddalone w pierwszej instancji wyrokiem z dnia 30 czerwca 2020 r. oraz w postępowaniu odwoławczym przez Oberlandesgericht Wien (wyższy sąd krajowy w Wiedniu, Austria) wyrokiem z dnia 7 grudnia 2020 r.(13), powód wniósł następnie skargę rewizyjną do Oberster Gerichtshof (sąd najwyższy), czyli sądu odsyłającego.
16. W tym kontekście Oberster Gerichtshof (sąd najwyższy) zawiesił postępowanie i skierował do Trybunału cztery pytania prejudycjalne(14). Z uwagi na okoliczność, że pierwsze i trzecie pytanie prejudycjalne zostały wycofane w związku z wydaniem wyroku z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej)(15), przedmiotem niniejszej sprawy są: drugie i czwarte pytanie, które mają następujące brzmienie:
„2) Czy art. 5 ust. 1 lit. c) RODO (minimalizacja danych) należy interpretować w ten sposób, że wszystkie dane osobowe, którymi dysponuje platforma taka jak ta rozpatrywana w postępowaniu głównym (w szczególności pochodzące od osoby, której dane dotyczą, lub od osób trzecich na tej platformie i poza nią) mogą być, bez ograniczeń co do czasu lub rodzaju danych, agregowane, analizowane i przetwarzane dla celów reklamy ukierunkowanej?
4) Czy art. 5 ust. 1 lit. b) w zw. z art. 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, że dotycząca własnej orientacji seksualnej wypowiedź poczyniona dla celów dyskusji panelowej zezwala na przetwarzanie innych danych dotyczących orientacji seksualnej w celu agregacji i analizy danych na potrzeby reklamy spersonalizowanej?”
17. Uwagi na piśmie zostały złożone przez powoda, Meta Platforms Ireland, rządy austriacki, francuski, włoski i portugalski oraz przez Komisję Europejską. Uwagi ustne zostały przedstawione przez powoda, Meta Platforms Ireland, rząd austriacki, oraz Komisję Europejską podczas rozprawy, która odbyła się w dniu 8 lutego 2024 r.
Analiza
W przedmiocie drugiego pytania prejudycjalnego
18. Poprzez swoje drugie pytanie prejudycjalne sąd odsyłający zmierza w istocie do ustalenia, czy art. 5 ust. 1 lit. c) rozporządzenia RODO, który ustanawia zasadę minimalizacji danych, należy interpretować w ten sposób, że wszystkie dane osobowe dostępne dla sieci takiej jak Facebook, w szczególności za pośrednictwem osoby, której te dane dotyczą, lub podmiotów trzecich na tej platformie i poza nią, mogą być agregowane, analizowane i przetwarzane dla celów reklamy ukierunkowanej, bez ograniczenia w czasie lub w zależności od charakteru danych.
19. Na wstępie należy zwrócić uwagę, że każde przetwarzanie danych osobowych powinno, z jednej strony, być zgodne z zasadami dotyczącymi przetwarzania danych określonymi w art. 5 RODO, i, z drugiej strony, odpowiadać jednej z wymienionych w art. 6 tego rozporządzenia zasad dotyczących zgodności tego przetwarzania z prawem(16).
20. Jeśli chodzi, bardziej konkretnie rzecz ujmując, o zasady dotyczące przetwarzania danych osobowych, Trybunał Sprawiedliwości w szczególności stwierdził, że zawarta w art. 5 ust. 1 lit. c) RODO zasada minimalizacji danych stanowi, że dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co jest niezbędne do celów, w jakich są one przetwarzane, co stanowi w istocie wyraz wspomnianej zasady proporcjonalności(17). Celem ustanowienia tej zasady minimalizacji danych jest bowiem zminimalizowanie ograniczeń tego prawa do ochrony danych osobowych, które byłyby spowodowane daną operacją przetwarzania.
21. W niniejszej sprawie wydaje mi się oczywiste, że założony sąd odsyłający ewentualny brak wszelkich ograniczeń byłby z definicji sprzeczny z zastosowaniem zasady minimalizacji danych. Z kolei w aktach sprawy przedstawionych Trybunałowi Sprawiedliwości nie ma żadnego dowodu, który by potwierdzał lub wykluczał takie założenie, które w każdym razie pozostawione jest ocenie sądu odsyłającego. Niemniej jednak postaram się udzielić temu sądowi pewnych użytecznych wskazówek co do wykładni rozpatrywanego przepisu, które pozwolą mu na rozstrzygnięcie zawisłej przed nim sprawy.
22. Jeśli chodzi, po pierwsze, o ograniczenie przetwarzania danych osobowych w czasie, uważam, że, wobec braku zawarcia w ramach RODO konkretnego przepisu w tym zakresie, sąd państwa Unii nie może określić w sposób wiążący tego, jakie jest ograniczenie w czasie przechowywania takich danych. Ponadto Trybunał Sprawiedliwości orzekł, że początkowo zgodne z prawem przetwarzanie dokładnych danych może z czasem stać się niezgodne, w szczególności z art. 5 ust. 1 lit. c)-e) RODO, jeżeli dane te nie są już niezbędne do celów, dla których były gromadzone lub przetwarzane(18). Do sądu odsyłającego należy zatem przeprowadzenie, z uwzględnieniem okoliczności sprawy i z zastosowaniem zasady proporcjonalności(19), oceny tego, jaki okres przechowywania danych osobowych przez Meta Platforms Ireland jest uzasadniony w odniesieniu do celu uzasadnionego przetwarzaniem takich danych dla celów spersonalizowanej reklamy.
23. Po drugie, w odniesieniu do ograniczenia przetwarzania danych osobowych ze względu na charakter danych, do sądu odsyłającego należy również ustalenie, w okolicznościach danej sprawy, danych osobowych, przetwarzanie których można uznać za prawnie uzasadnione, przy poszanowaniu zasady proporcjonalności.
24. Ponadto, zawarte w art. 5 ust. 1 lit. c) RODO odniesienia do bardzo rodzajowo określonych warunków, takich jak „adekwatne”, „stosowne” i „niezbędne”, świadczą moim zdaniem o tym, że prawodawca Unii zmierzał do pozostawienia właściwym organom szerokiego zakresu uznania przy stosowaniu wspomnianego przepisu, a wspomniane warunki muszą być interpretowane w każdym przypadku odrębnie, z uwzględnieniem okoliczności danej sprawy.
25. Mając na uwadze powyższe okoliczności, uważam, tak jak wskazuje Komisja Europejska w swoich pisemnych uwagach, że można dokonać pewnych rozróżnień ze względu na różny stopień ingerencji, jaką stanowią poszczególne formy przetwarzania, w prawa osoby, której dane dotyczą. Sąd odsyłający może zatem, jeżeli uzna to za stosowne w niniejszej sprawie, z jednej strony, dokonać rozróżnienia między wykorzystaniem danych „statystycznych” danej osoby (takich jak wiek(20) lub płeć) a wykorzystaniem dotyczących jej danych „behawioralnych” (takich jak śledzenie nawyków użytkowników w zakresie przeglądania stron internetowych), przy czym to drugie zastosowanie jest, co do zasady, bardziej inwazyjne w odniesieniu do praw osoby, której dane dotyczą. W szczególności w odniesieniu do danych „behawioralnych” można dokonać dalszego rozróżnienia między gromadzeniem danych, które dotyczą „czynnego” zachowania (takiego jak kliknięcie przycisku „Lubię to”) a gromadzeniem danych związanych z zachowaniem „biernym” (takim jak samo tylko odwiedzanie danej strony internetowej), przy czym to drugie zwykle jest bardziej inwazyjne dla użytkownika. Można również dokonać rozróżnienia między przetwarzaniem danych osobowych gromadzonych na platformie Facebook i poza nią, a mianowicie na stronach internetowych, w aplikacjach innych niż Facebook lub na urządzeniach użytkowników, przy czym ta druga forma przetwarzania jest bardziej inwazyjna niż pierwsza(21).
26. W ramach tej analizy równie ważne jest, moim zdaniem, uwzględnienie uzasadnionych oczekiwań osób, których to przetwarzanie dotyczy(22).
27. Ponadto, w sytuacji takiej jak istniejąca przed wejściem w życie RODO, w której podstawą przetwarzania danych zebranych poza platformą Facebooka była nie zgoda, ale raczej to, że przetwarzanie jest konieczne w celu wykonania umowy zgodnie z art. 6 ust. 1 lit. b) wspomnianego rozporządzenia(23), należy wziąć pod uwagę przyjętą przez Trybunał Sprawiedliwości ścisłą interpretację tego przepisu(24). W rezultacie istotne jest, jak podkreśla rząd włoski w swoich uwagach na piśmie, aby zapobiec sytuacji, w której szeroka interpretacja zasady minimalizacji danych, o której mowa w art. 5 RODO, pozwoliłaby administratorom danych na rozszerzanie kategorii danych osobowych uznanych za niezbędne dla wykonania umowy zgodnie z art. 6 ust. 1 lit. b) wspomnianego rozporządzenia.
28. W świetle powyższych rozważań proponuję, aby Trybunał odpowiedział na drugie pytanie prejudycjalne w taki sposób, że art. 5 ust. 1 lit. c) RODO należy interpretować w ten sposób, iż stoi on na przeszkodzie temu, aby dane osobowe mogły być przetwarzane dla celów reklamy ukierunkowanej bez ograniczeń co do czasu lub rodzaju danych oraz że to do sądu odsyłającego należy dokonanie, z uwzględnieniem okoliczności sprawy i przy zastosowaniu zasady proporcjonalności, oceny zakresu, w jakim okres przechowywania i ilość przetworzonych danych są uzasadnione prawnie uzasadnionym celem przetwarzania wspomnianych danych dla celów reklamy spersonalizowanej.
W przedmiocie czwartego pytania prejudycjalnego
29. W swoim czwartym pytaniu prejudycjalnym sąd odsyłający zmierza w istocie do ustalenia, czy art. 5 ust. 1 lit. b) w związku z art. 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, że okoliczność polegająca na tym, iż dana osoba wypowiedziała się w ramach dyskusji panelowej w przedmiocie własnej orientacji seksualnej, pozwala Meta Platforms Ireland na przetwarzanie innych danych dotyczących orientacji seksualnej tej osoby w celu adresowania do niej reklamy spersonalizowanej. Bardziej ogólnie rzecz ujmując, sąd ten zastanawia się nad zakresem zastosowania tego ostatniego przepisu, a w szczególności podnosi kwestię ustalenia tego, w jaki sposób te dane wrażliwe wspomnianej osoby muszą przedostać się do wiadomości publicznej, aby miał zastosowanie art. 9 ust. 2 RODO.
W przedmiocie znaczenia pytania prejudycjalnego
30. Meta Platforms Ireland uściśliła w swoich uwagach na piśmie oraz ustnie, co nie zostało zakwestionowane przez inne strony na rozprawie, że w żadnym momencie postępowania przed sądami krajowymi nie powołała się na określony w art. 9 ust. 2 lit. e) RODO wyjątek jako podstawę przetwarzania przedmiotowych danych(25).
31. W takim przypadku czwarte pytanie byłoby w sposób oczywisty pozbawione znaczenia, ponieważ wspomniany wyjątek nie miałby zastosowania w niniejszej sprawie(26).
32. W tym względzie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem Trybunału, w ramach procedury ustanowionej w art. 267 TFUE, która opiera się na wyraźnym rozdziale funkcji między sądami krajowymi a Trybunałem, pytania dotyczące wykładni prawa Unii przedstawione przez sąd krajowy w ramach stanu prawnego i faktycznego, za którego ustalenie jest on odpowiedzialny(27), i którego prawidłowość nie podlega ocenie Trybunału, korzystają z domniemania, że mają znaczenie dla sprawy(28).
33. W poniższych punktach zaproponuję zatem odpowiedź na czwarte z przedstawionych przez sąd odsyłający pytań, pozostawiając Trybunałowi Sprawiedliwości rozstrzygnięcie w przedmiocie znaczenia tego pytania dla sprawy.
Co do istoty pytania prejudycjalnego
34. W pierwszej kolejności należy przypomnieć, że zgodnie z art. 5 ust. 1 lit. b) RODO, ustanawiającym zasadę „ograniczenia celów”, dane osobowe powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Zgodnie z brzmieniem art. 9 ust. 1 tego rozporządzenia, przetwarzanie danych osobowych dotyczących w szczególności życia seksualnego lub orientacji seksualnej osoby fizycznej jest zakazane, chyba, że takie przetwarzanie mieści się w zakresie stosowania jednego z wyjątków określonych w art. 9 ust. 2 wspomnianego rozporządzenia(29).
35. W szczególności, zgodnie z art. 9 ust. 2 lit. e) RODO, zakaz przetwarzania wrażliwych danych osobowych nie ma zastosowania, jeżeli przetwarzanie to dotyczy danych w sposób oczywisty upublicznionych, przez osobę, której te dane dotyczą. Jak wskazałem w mojej opinii w sprawie Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej)(30), zastosowanie, w brzmieniu wspomnianego przepisu wyrażenia przyimkowego „w sposób oczywisty” oraz okoliczność, że wspomniany przepis stanowi wyjątek od zasady ogólnego zakazu przetwarzania wrażliwych danych osobowych, wymagają szczególnie ścisłego stosowania wspomnianego wyjątku ze względu na istotne zagrożenie dla praw podstawowych i podstawowych wolności danych osób(31). Aby wyjątek ten mógł mieć zastosowanie, użytkownik musi mieć moim zdaniem pełną świadomość tego, że za pomocą wyraźnej i jednoznacznej czynności udostępnia swe dane osobowe wszystkim, którzy są nimi zainteresowani (32).
36. W postępowaniu głównym dane wrażliwe dotyczące orientacji seksualnej powoda zostały ujawnione poza platformą Facebook („poza witryną”) i jakąkolwiek inną platformą lub aplikacją komputerową, w ramach dyskusji panelowej zorganizowanej przez Komisję(33) oraz w celu ujawnienia przetwarzania przez Meta Platforms Ireland danych dotyczących tej orientacji seksualnej, którego to przetwarzania zgodność z prawem jest kwestionowana(34).
37. W tym zakresie Trybunał Sprawiedliwości miał już sposobność wypowiedzieć się w przedmiocie wykorzystywania danych „spoza witryny” w ramach innych platform w wyroku Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej)(35). W tamtej sprawie Trybunał orzekł, że art. 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, iż w przypadku gdy użytkownik internetowej sieci społecznościowej przegląda strony internetowe lub aplikacje powiązane z jedną lub kilkoma kategoriami danych, o których mowa w art. 9 ust. 1 RODO, nie upublicznia on w sposób oczywisty, w rozumieniu pierwszego z tych przepisów, dotyczących tego przeglądania danych zbieranych przez operatora tej internetowej sieci społecznościowej za pomocą plików cookie lub podobnych technologii rejestracji oraz że w przypadku, gdy zamieszcza dane na takich stronach internetowych lub w takich aplikacjach lub też gdy aktywuje zintegrowane z tymi stronami i aplikacjami przyciski wyboru, takie jak przyciski „Lubię to” lub „Udostępnij”, lub też przyciski umożliwiające użytkownikowi zidentyfikowanie się na tych stronach lub w tych aplikacjach za pomocą identyfikatorów połączenia związanych z jego kontem użytkownika w internetowej sieci społecznościowej, z jego numerem telefonu lub jego adresem elektronicznym, upublicznia on w oczywisty sposób, w rozumieniu tego art. 9 ust. 2 lit. e) RODO, dane zamieszczone w ten sposób lub wynikające z aktywowania tych przycisków jedynie w przypadku, gdy uprzednio wyraźnie wyraził swój wybór – w stosownym przypadku poprzez indywidualne zdefiniowanie z pełną znajomością rzeczy parametrów – publicznego udostępnienia dotyczących go danych nieograniczonej liczbie osób(36).
38. W tych okolicznościach sąd odsyłający uznał za konieczne podtrzymanie swojego czwartego pytania prejudycjalnego z tego względu, że działania badane przez Trybunał w tej ostatniej sprawie dotyczyły przeglądania stron internetowych lub aplikacji oraz aktywacji zintegrowanych z nimi przycisków, podczas gdy w niniejszej sprawie chodzi o oświadczenie złożone przez osobę, której dane dotyczą, na temat jej orientacji seksualnej dla celów dyskusji panelowej. W związku z tym sąd uważa, że z takiego oświadczenia nie można wywnioskować zgody w rozumieniu art. 9 ust. 2 lit. e) RODO.
39. W tym zakresie uważam za właściwe dokonanie rozróżnienia między, z jednej strony, wstępnym pytaniem dotyczącym ustalenia, czy oświadczenie powoda o jego orientacji seksualnej stanowi działanie, poprzez które w sposób oczywisty upublicznia on tę orientację, w rozumieniu art. 9 ust. 2 lit. e) RODO, a z drugiej strony, w razie odpowiedzi twierdzącej na wspomniane pytanie, kwestią ustalenia, czy okoliczność upublicznienia w sposób oczywisty jego orientacji seksualnej upoważnia do przetwarzania danych dotyczących tej orientacji seksualnej dla celów reklamy spersonalizowanej w rozumieniu w szczególności art. 5 i 6 wspomnianego rozporządzenia.
40. Po pierwsze, jeśli chodzi o zakwalifikowanie oświadczenia skarżącego w rozumieniu art. 9 ust. 2 lit. a) RODO, wobec braku jakichkolwiek użytecznych wskazówek wynikających z genezy tego przepisu i jego stosowania w orzecznictwie(37), należy podnieść, że wyjątek określony w art. 9 ust. 2 lit. e) wspomnianego rozporządzenia wymaga w istocie kumulatywnego spełnienia dwóch przesłanek, a mianowicie, z jednej strony, warunku, który można by określić jako „obiektywny”, aby przedmiotowe dane osobowe były „w sposób oczywisty upublicznione” oraz, z drugiej strony, warunku, który można określić jako „subiektywny”, a mianowicie, aby to „osoba, której dane dotyczą”, upubliczniła dane w sposób oczywisty.
41. W postępowaniu głównym, i z zastrzeżeniem ustaleń, których powinien dokonać sąd odsyłający, wydaje mi się, że wspomniane dwa warunki zostały spełnione. Uważam bowiem, że mimo iż ujawnione przypadkowo w kontekście szerszej i krytycznej wobec przetwarzania danych wrażliwych przez Meta Platforms Ireland wypowiedzi, oświadczenie złożone przez powoda stanowi akt, poprzez który, z pełną świadomością, w sposób oczywisty upublicznił on swoją orientację seksualną.
42. Jeśli chodzi o pierwszy warunek, wydaje mi się wysoce prawdopodobne, że, ze względu na otwarty charakter dyskusji panelowej, która była transmitowana na żywo, a następnie retransmitowana przez streaming(38) oraz zainteresowanie opinii publicznej omawianą w jej trakcie tematyką, oświadczenie powoda mogło dotrzeć do znacznie szerszej publiczności, o nieokreślonej w porównaniu z publicznością obecną w Sali tożsamości(39).
43. Jeśli chodzi o drugi warunek, moim zdaniem, możliwe jest przyjęcie założenia, że otwarcie wspominając o swojej orientacji seksualnej w okolicznościach niniejszej sprawy (zwłaszcza, że było to wydarzenie otwarte i dostępne dla prasy), powód miał, jeśli nie zamiar, to przynajmniej pełną świadomość upublicznienia tej orientacji „w sposób oczywisty” w rozumieniu orzecznictwa przytoczonego w pkt 35 niniejszej opinii(40).
44. Ponadto, celem ochrony przyznanej na mocy art. 9 ust. 1 RODO jest, moim zdaniem, uniknięcie narażenia osoby, której dane dotyczą, na niekorzystne konsekwencje (takie jak publiczne potępienie lub akty dyskryminacji) wynikające w szczególności z negatywnego postrzegania, ze społecznego lub gospodarczego punktu widzenia, sytuacji wymienionych w tym artykule(41). Wspomniany przepis ustanawia zatem szczególną ochronę takich danych osobowych za pomocą zakazu niemającego co do zasady absolutnego charakteru, którego zastosowanie w danym przypadku podlega ocenie osoby, której dane dotyczą, która jest w stanie najlepiej ocenić niekorzystne konsekwencje, jakie mogłyby wyniknąć z ujawnienia przedmiotowych danych i która może, w stosownych przypadkach, zrzec się tej ochrony lub nie skorzystać z niej, z pełną świadomością faktów, poprzez upublicznienie w sposób oczywisty, w rozumieniu art. 9 ust. 2 lit. e) tego rozporządzenia, swojej sytuacji, a w szczególności swojej orientacji seksualnej.
45. Jeśli chodzi, w drugiej kolejności, o ocenę konsekwencji wynikających z faktu upublicznienia w sposób oczywisty swojej orientacji seksualnej w kontekście przetwarzania tych danych wrażliwych przez Meta Platforms Ireland w rozumieniu art. 5 i 6 RODO, uważam, że okoliczność polegająca na tym, iż doszło do upublicznienia w sposób oczywisty danych w rozumieniu art. 9 ust. 2 lit. e) wspomnianego rozporządzenia nie pozwala, sama w sobie, na dokonywanie przetwarzania tych danych w rozumieniu wspomnianego rozporządzenia.
46. Zastosowanie bowiem tego ostatniego przepisu skutkuje po prostu zniesieniem „szczególnej ochrony” przyznanej niektórym szczególnie wrażliwym danym osobowym. Po świadomym usunięciu tej ochrony przez samą osobę, której dane dotyczą (która je upubliczniła w sposób oczywisty), te pierwotnie „chronione” dane osobowe stają się „zwykłymi” (to znaczy niewrażliwymi) danymi, które, podobnie jak inne dane osobowe, będą mogły być przetwarzane zgodnie z prawem wyłącznie na warunkach określonych w szczególności w art. 6 i 7 RODO oraz z poszanowaniem zasad odnoszących się do przetwarzania tych samych danych, ustanowionych w szczególności w art. 5 wspomnianego rozporządzenia(42), w tym z zasadą ograniczenia celów ustanowioną w art. 5 ust. 1 lit. b) tego rozporządzenia, ustanawiającego wymóg, aby dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, których wykazanie, zgodnie z ust. 2 przedmiotowego przepisu, jest obowiązkiem administratora danych(43).
47. A zatem okoliczność, że powód wypowiedział się w przedmiocie swojej orientacji seksualnej w ramach dyskusji panelowej, mimo, iż jej zaistnienie może prowadzić do wniosku, iż w okolicznościach niniejszej sprawy, wspomniana osoba „w sposób oczywisty” upubliczniła te dane w rozumieniu art. 9 ust. 2 lit. e) RODO, nie może sama w sobie uzasadniać przetwarzania danych osobowych, które ujawniają orientację seksualną tejże osoby(44).
48. W świetle powyższych rozważań, proponuję, aby na czwarte pytanie prejudycjalne Trybunał udzielił odpowiedzi, że art. 6 ust. 1 lit. b) w związku z art., 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, że okoliczność, iż dana osoba wypowiedziała się w przedmiocie własnej orientacji seksualnej dla celów dyskusji panelowej otwartej dla publiczności, mimo, że może stanowić akt, poprzez który osoba, której dane dotyczą, „w oczywisty sposób upubliczniła” wspomniane dane w rozumieniu art. 9 ust. 2 lit. e) rzeczonego rozporządzenia, nie zezwala, sama w sobie, na przetwarzanie wspomnianych danych lub innych danych dotyczących jej orientacji seksualnej w celu agregacji i analizy danych na potrzeby reklamy spersonalizowanej.
Wniosek
49. W świetle powyższych rozważań, proponuję, aby na drugie i czwarte pytanie prejudycjalne przedstawione przez Oberster Gerichtshof (sąd najwyższy, Austria) Trybunał odpowiedział w następujący sposób:
1) Artykuł 5 ust. 1 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
należy interpretować w ten sposób, że:
– stoi na przeszkodzie temu, aby dane osobowe mogły być przetwarzane w celu reklamy ukierunkowanej bez ograniczenia w czasie lub w związku z charakterem danych i
– do sądu odsyłającego należy ocena, z uwzględnieniem okoliczności sprawy i przy zastosowaniu zasady proporcjonalności, w jakim zakresie okres przechowywania danych i ilość przetwarzanych danych są uzasadnione zgodnym z prawem celem przetwarzania wspomnianych danych dla celów reklamy spersonalizowanej.
2) Artykuł 5 ust. 1 lit. b) w związku z art. 9 ust. 2 lit. e) rozporządzenia 2016/679
należy interpretować w ten sposób, że:
– okoliczność, iż dana osoba wypowiedziała się na temat własnej orientacji seksualnej dla celów dyskusji panelowej otwartej dla publiczności, mimo iż może stanowić akt poprzez który dane te zostały „w sposób oczywisty” upublicznione w rozumieniu art. 9 ust. 2 lit. e) wspomnianego rozporządzenia, nie zezwala, sama w sobie, na przetwarzanie wspomnianych danych lub innych danych dotyczących jej orientacji seksualnej w celu agregacji i analizy danych na potrzeby reklamy spersonalizowanej.