- Tiskové zprávy Soudního dvora EU (hledejte C-446/21 - Schrems)
- Úplné stanovisko AG
Katharina Raabe-Stuppnig, advokátka zastupující pana Schremse: "Stanovisko nás velmi těší, i když tento výsledek byl velmi očekávaný."
Použití údajů pro reklamu musí být omezeno časem, typem a zdrojem. Společnost Meta zatím používá k reklamě všechny údaje, které kdy shromáždila. Například údaje o uživatelích Facebooku mohou sahat až do roku 2004. Aby se takovým praktikám zabránilo, zavedlo GDPR v čl. 5 odst. 1 písm. c) zásadu "minimalizace údajů". Společnost Meta to dosud jednoduše ignorovala a nepředpokládala žádné lhůty pro vymazání. Uplatnění "zásady minimalizace údajů" radikálně omezuje používání osobních údajů pro reklamu - a to i v případě, že uživatelé s reklamou souhlasili. Uplatňuje se bez ohledu na právní základ použitý pro zpracování, takže ani uživatel, který souhlasí s personalizovanou reklamou, nemůže své osobní údaje používat donekonečna. AG sice uvádí, že o podrobnostech by musel rozhodnout vnitrostátní soud, ale faktory mohou být typ osobních údajů (např. věk -v- údaje o chování), zdroj (např. aktivně poskytnuté údaje -v- pasivní technické sledování) nebo kontext shromažďování (např. na sociální síti -v- na třetích stránkách).
Katharina Raabe-Stuppnig: "Meta v podstatě již 20 let vytváří obrovský fond dat o uživatelích, který se každým dnem rozrůstá. Právo EU však vyžaduje "minimalizaci údajů". Pokud se Soudní dvůr bude řídit tímto stanoviskem, bude moci být pro reklamu použita pouze malá část tohoto fondu - a to i v případě, že s reklamou souhlasili."
Omezení "shromažďování" osobních údajů - i když jsou "zjevně zveřejněny". V souvislosti s vysoce osobními údaji, které Meta shromažďovala o panu Schremsovi (prostřednictvím reklamních partnerů), se rozvinula diskuse o tom, zda následná veřejná kritika takových postupů povede ke "zřeknutí se" práva pana Schremse na soukromí, pokud jde o původně nezákonné zpracování. Pan Schrems vždy souhlasil s tím, že takové informace zveřejnil a obecně spadají pod čl. 9 odst. 2 písm. e) GDPR ("převážně zveřejněné") - zatímco některé členské státy před Soudním dvorem EU tento prvek zpochybňovaly. Ačkoli se jedná o velmi specifickou situaci jednoho uživatele, výklad práva je relevantní v širším kontextu "web scrapingu", kdy jsou veřejně dostupné informace jednoduše převzaty a zpracovány pro jiné účely. Pan Schrems tvrdil, že zde musí být souběžně uplatněna zásada "účelového omezení" podle čl. 5 odst. 1 GDPR. To nyní tvrdí i generální advokát.
Katharina Raabe-Stuppnig: "To, že jsou některé informace veřejné, ještě neznamená, že je lze použít k jiným účelům. Pokud na sociálních sítích napíšete politický komentář, nelze jej použít k cílení politické reklamy na vás. Pokud by uživatelé ztratili veškerá práva na zveřejněné informace, mělo by to obrovský ochlazující účinek na svobodu projevu."
O co v tomto případě jde? Věc se týká občanskoprávního řízení mezi Maxem Schremsem jako fyzickou osobou a společností Meta Ireland Platforms Limited (jako provozovatelem "Facebooku") před rakouskými soudy. Případ byl poprvé v plném rozsahu projednán v Rakousku v roce 2020 a týká se velkého množství porušení GDPR, včetně neexistence právního základu pro reklamu apod. Rakouský nejvyšší soud předložil v roce 2021 Soudnímu dvoru EU čtyři otázky. Protože se však podobnými otázkami částečně zabýval jiný případ (C-252/21 Bundeskartellamt), SDEU "pozastavil" řízení mezi panem Schremsem a společností Meta do roku 2024. Původní otázky 1 a 3 byly (nepřímo) "vyhrány", protože SDEU se ve věci C-252/21 Bundeskartellamt postavil na stranu názoru pana Schremse. Zbytek věci byl poté projednán v Lucemburku dne 8. února 2024, ale omezil se na dvě zbývající otázky (původní otázky 2 a 4), o kterých ještě nebylo rozhodnuto ve věci C-252/21 Bundeskartellamt. Zbývající otázky jsou následující:
- Původní otázka 2: Má být čl. 5 odst. 1 písm. c) obecného nařízení o ochraně osobních údajů (minimalizace údajů) vykládán v tom smyslu, že všechny osobní údaje, které má taková platforma, jako je platforma ve věci v původním řízení, k dispozici (zejména prostřednictvím subjektu údajů nebo třetích osob na platformě i mimo ni), mohou být shromažďovány, analyzovány a zpracovávány pro účely cílené reklamy bez časového omezení nebo omezení druhu údajů?
- Původní otázka č. 4: Má být čl. 5 odst. 1 písm. b) ve spojení s čl. 9 odst. 2 písm. e) obecného nařízení o ochraně osobních údajů vykládán v tom smyslu, že prohlášení osoby o její vlastní sexuální orientaci učiněné pro účely panelové diskuse umožňuje zpracování dalších údajů týkajících se sexuální orientace za účelem jejich agregace a analýzy pro účely cílené reklamy?
Minimalizace údajů. Původní otázka č. 2 se týká přístupu společnosti Meta, která tvrdí, že všechny osobní údaje jdou v podstatě do velkého "datového fondu" a lze je používat pro osobní reklamu neomezeně - bez jakéhokoli omezení -, neboť se to jeví jako zjevné porušení zásady minimalizace údajů. Zatímco v některých případech existuje jasný limit pro výmaz (např. když skončí zákonná povinnost uchovávat záznamy), v případě reklamy je tato otázka složitější.
Katharina Raabe-Stuppnig: "V současné době odvětví online reklamy jednoduše ukládá vše navždy. Zákon jasně říká, že zpracování musí skončit po několika dnech nebo týdnech. Pro společnost Meta by to znamenalo, že velká část informací, které shromáždila za posledních deset let, by se stala pro reklamu tabu."
Další využití citlivých údajů. Původní otázka č. 4 se týká argumentu soudu prvního stupně (a částečně i společnosti Meta), že pan Schrems zmínil svou sexuální orientaci na akci ve Vídni, a proto mohl (implicitně) souhlasit se zpracováním veškerých osobních údajů týkajících se sexuální orientace (a vlastně i sexuálního života, který je samostatně chráněn v článku 9 GDPR) pro reklamu, která se uskutečnila několik let před tímto veřejným prohlášením. Existuje shoda v tom, že tato prohlášení byla zveřejněna. Pan Schrems však popírá, že by tedy společnost Meta mohla v předchozích letech zpracovávat jiné - vysoce osobní - údaje. Pan Schrems zdůrazňuje, že souběžně platí zásada "omezení účelu" a že informace sdílené za účelem kritiky protiprávního zpracování ze strany společnosti Meta nemohou (zpětně) umožnit použití osobních údajů pro zcela jiný účel, například pro reklamu.
Katharina Raabe-Stuppnig: "Tato otázka je velmi důležitá pro každého, kdo činí veřejná prohlášení. Vzdáváte se zpětně svého práva na soukromí i pro zcela nesouvisející informace, nebo lze k účelu, který řečník zamýšlel, použít pouze samotné prohlášení? Pokud soud vyloží tuto otázku jako obecné 'vzdání se' vašich práv, ochladí to jakýkoli online projev na Instagramu, Facebooku nebo Twitteru."