SDEU: Meta musí "minimalizovat" používání osobních údajů pro reklamy

• Tisková zpráva Soudního dvora EU
• Úplné znění rozsudku
• Shrnutí rozsudku na GDPRhub

Katharina Raabe-Stuppnig, advokátka zastupující pana Schremse:"Rozsudek nás velmi těší, i když tento výsledek byl velmi očekávaný."

První otázka: Meta dosud používá všechny osobní údaje, které kdy shromáždila, kreklamě. Například údaje o uživatelích Facebooku mohou sahat až do roku 2004 a zahrnují údaje zadané uživatelem, jinými uživateli nebo údaje shromážděné prostřednictvím online sledování nebo sledování v mobilních aplikacích. Aby se takovým praktikám zabránilo, zavedlo nařízení GDPR v čl. 5 odst. 1 písm. c) zásadu "minimalizace údajů", která vyžaduje omezit zpracování na nezbytně nutné údaje. Společnost Meta a mnoho dalších hráčů v oblasti online reklamy toto pravidlo dosud jednoduše ignorovalo a nepředpokládalo žádné lhůty pro výmaz nebo omezení na základě typu osobních údajů. Uplatnění "zásady minimalizace údajů" radikálně omezuje používání osobních údajů pro reklamu. Zásada minimalizace údajů se uplatňuje bez ohledu na právní základ použitý pro zpracování, takže ani uživatel, který souhlasí s personalizovanou reklamou, nemůže své osobní údaje používat donekonečna. V souladu s běžnou praxí Soudního dvora EU ponechal Soudní dvůr podrobnosti o tom, jak zásadu minimalizace údajů provádět, na vnitrostátních soudech.

Katharina Raabe-Stuppnig: "Meta v podstatě již 20 let vytváří obrovský fond údajů o uživatelích, který se každým dnem rozrůstá. Právní předpisy EU však vyžadují "minimalizaci údajů". Na základě tohoto rozhodnutí bude moci být pro reklamu použita pouze malá část datového fondu společnosti Meta - a to i v případě, že uživatelé s reklamou souhlasí. Toto rozhodnutí se vztahuje i na všechny ostatní společnosti poskytující online reklamu, které nemají přísné postupy pro mazání údajů."

Druhá otázka: Veřejná kritika neumožňuje zpracování. Podle čl. 9 odst. 2 písm. e) GDPR může společnost zpracovávat informace, které jsou "zjevně zveřejněny", protože zákonodárce předpokládá, že subjekt údajů s použitím souhlasil. Pan Schrems tvrdil, že jeho veřejné komentáře byly učiněny až několik let poté, co došlo ke zpracování jiných informací. Jeho pozdější komentáře nelze považovat za souhlas se zpracováním jiných informací před lety a nemohly "cestovat" zpět v čase. Ostatní účastníci řízení rovněž zpochybňovali, zda pouhá zmínka o skutečnosti během veřejné diskuse znamená, že se taková informace stala "zjevně veřejnou".

Katharina Raabe-Stuppnig: "Mělo by to obrovský ochromující účinek na svobodu projevu, pokud byste ztratili právo na ochranu údajů v okamžiku, kdy veřejně kritizujete nezákonné zpracování osobních údajů. Vítáme, že Soudní dvůr EU tuto představu odmítl."

Souvislosti: V souvislosti s tím, že v roce 2015 bylo v České republice zahájeno řízení o ochraně osobních údajů, bylo v roce 2015 zahájeno řízení o ochraně osobních údajů:

Historie případu. Věc se týká občanskoprávního řízení mezi Maxem Schremsem jako fyzickou osobou a společností Meta Ireland Platforms Limited (jako provozovatelem "Facebooku") před rakouskými soudy. Věc byla poprvé podána v roce 2014 a poprvé plně projednána v Rakousku v roce 2020 a týká se velkého počtu porušení GDPR, včetně neexistence právního základu pro reklamu apod. Rakouský nejvyšší soud předložil Soudnímu dvoru EU v roce 2021 čtyři otázky. Protože se však jiná věc (C-252/21 Bundeskartellamt) částečně týkala podobných otázek, SDEU "pozastavil" řízení mezi panem Schremsem a společností Meta do roku 2024. Původní otázky 1 a 3 byly (nepřímo) "vyhrány", protože SDEU se ve věci C-252/21 Bundeskartellamt postavil na stranu názoru pana Schremse. Zbytek věci byl poté projednán v Lucemburku dne 8. února 2024, ale omezil se na dvě zbývající otázky (původní otázky 2 a 4), o kterých ještě nebylo rozhodnuto ve věci C-252/21 Bundeskartellamt. Zbývající otázky zněly

• Původní otázka č. 2: "Má být čl. 5 odst. 1 písm. c) obecného nařízení o ochraně osobních údajů (minimalizace údajů) vykládán v tom smyslu, že veškeré osobní údaje, které má taková platforma, jako je platforma ve věci v původním řízení, k dispozici (zejména prostřednictvím subjektu údajů nebo třetích osob na platformě i mimo ni), mohou být shromažďovány, analyzovány a zpracovávány pro účely cílené reklamy bez časového omezení nebo omezení druhu údajů?"
  
• Původní otázka č. 4: "Má být čl. 5 odst. 1 písm. b) obecného nařízení o ochraně osobních údajů ve spojení s čl. 9 odst. 2 písm. e) tohoto nařízení vykládán v tom smyslu, že prohlášení osoby o její vlastní sexuální orientaci pro účely panelové diskuse umožňuje zpracování dalších údajů týkajících se sexuální orientace za účelem agregace a analýzy údajů pro účely cílené reklamy?"
  

Minimalizace údajů. Původní otázka č. 2 se týká přístupu společnosti Meta, která tvrdí, že všechny osobní údaje jdou v podstatě do velkého "datového fondu" a lze je používat pro osobní reklamu neomezeně - bez jakéhokoli omezení -, neboť se to jeví jako zjevné porušení zásady minimalizace údajů. Zatímco v některých případech existuje jasný limit pro výmaz (např. když skončí zákonná povinnost uchovávat záznamy), v případě reklamy je tato otázka složitější. Společnosti musí vypracovat protokoly o správě údajů, aby mohly nepotřebné údaje postupně vymazat nebo je přestat používat.

Další využití citlivých údajů. Původní otázka č. 4 se týká argumentu soudu prvního stupně (a částečně i společnosti Meta), že pan Schrems zmínil svou sexuální orientaci na akci ve Vídni, a proto mohl (implicitně) souhlasit se zpracováním veškerých osobních údajů týkajících se sexuální orientace (a vlastně i sexuálního života, který je samostatně chráněn v článku 9 GDPR) pro reklamu, která se uskutečnila několik let před tímto veřejným prohlášením. Existuje shoda v tom, že tato prohlášení byla zveřejněna. Pan Schrems však popírá, že by tedy společnost Meta mohla v předchozích letech zpracovávat jiné - vysoce osobní - údaje. Pan Schrems zdůrazňuje, že souběžně platí zásada "omezení účelu" a že informace sdílené za účelem kritiky protiprávního zpracování ze strany společnosti Meta nemohou (zpětně) umožnit použití osobních údajů pro zcela jiný účel, například pro reklamu.