A C-446/21 (Schrems kontra Meta) ügyben hozott mai ítéletében az Európai Unió Bírósága (EUB) teljes mértékben támogatta a Meta ellen a Facebook szolgáltatása miatt indított pert. A Bíróság két kérdésben döntött: Először is a személyes adatok online hirdetésekhez való felhasználásának tömeges korlátozásáról. Másodszor, a nyilvánosan elérhető személyes adatok felhasználásának a közzététel eredeti céljaira való korlátozása.
- Az EUB sajtóközleménye
- Teljes ítélet
- Az ítélet összefoglalása a GDPRhubon
Katharina Raabe-Stuppnig, a Schrems urat képviselő ügyvéd:"Nagyon örülünk az ítéletnek, még ha ez az eredmény nagyon is várható volt"
Első kérdés: Az adatok reklámcélú felhasználását "minimalizálni" kell. A Meta eddig minden általa valaha gyűjtött személyes adatot reklámcélokra használt fel. A Facebook felhasználói adatok például egészen 2004-ig visszamenőleg tartalmazhatnak a felhasználó által megadott adatokat, más felhasználók által megadott adatokat, illetve az online nyomkövetés vagy a mobilalkalmazásokon végzett nyomkövetés révén gyűjtött adatokat. Az ilyen gyakorlatok megakadályozása érdekében a GDPR a GDPR 5. cikke (1) bekezdésének c) pontjában rögzítette az "adatminimalizálás" elvét, amely előírja, hogy a feldolgozást a feltétlenül szükséges adatokra kell korlátozni. Eddig a Meta és az online hirdetési terület számos más szereplője egyszerűen figyelmen kívül hagyta ezt a szabályt, és nem irányzott elő törlési határidőket vagy a személyes adatok típusa alapján történő korlátozást. Az "adatminimalizálás elvének" alkalmazása radikálisan korlátozza a személyes adatok reklámcélú felhasználását. Az adatminimalizálás elve az adatkezelés jogalapjától függetlenül alkalmazandó, így még a személyre szabott reklámhoz hozzájáruló felhasználó sem használhatja személyes adatait a végtelenségig. Az EUB általános gyakorlatának megfelelően a Bíróság a nemzeti bíróságokra bízta az adatminimalizálás elvének végrehajtásának részleteit.
Katharina Raabe-Stuppnig: " A Meta alapvetően már 20 éve hatalmas adathalmazt épít a felhasználókról, és ez napról napra nő. Az uniós jog azonban előírja az "adatminimalizálást". Ezt a döntést követően a Meta adatállományának csak egy kis része használható fel reklámozásra - még akkor is, ha a felhasználók beleegyeznek a hirdetésekbe. Ez a döntés minden más online hirdető cégre is vonatkozik, amely nem alkalmaz szigorú adattörlési gyakorlatot."
Második kérdés: A nyilvános kritika nem teszi lehetővé a feldolgozást. A GDPR 9. cikk (2) bekezdésének e) pontja szerint a "nyilvánvalóan nyilvánosságra hozott" információkat egy vállalat feldolgozhatja, mert a jogalkotó feltételezi, hogy az érintett hozzájárult a felhasználáshoz. Schrems úr azzal érvelt, hogy nyilvános megjegyzései évekkel azután születtek, hogy más információk feldolgozására sor került. Későbbi megjegyzései nem tekinthetők más információk évekkel ezelőtti feldolgozásához való hozzájárulásnak, és nem "utazhatott" vissza az időben. Az eljárásban részt vevő más felek azt is megkérdőjelezték, hogy egy ténynek egy nyilvános vita során történő puszta említése felér-e azzal, hogy az ilyen információ "nyilvánvalóan nyilvánossá" válik.
Katharina Raabe-Stuppnig: "Óriási visszatartó erővel hatna a szólásszabadságra, ha az ember elveszítené az adatvédelemhez való jogát abban a pillanatban, amikor a nyilvánosság előtt bírálja a személyes adatok jogellenes feldolgozását. Üdvözöljük, hogy az EUB elutasította ezt a felfogást."
Háttérinformációk:
Az ügy előzményei. Az ügy tárgya egy Max Schrems, mint magánszemély és a Meta Ireland Platforms Limited (mint a "Facebook" üzemeltetője) között az osztrák bíróságok előtt folyó polgári eljárás. Az ügyet először 2014-ben nyújtották be, és először 2020-ban tárgyalták teljes körűen Ausztriában, és számos GDPR-szabálysértést érint, többek között a reklámozás jogalapjának hiányát és hasonlókat. Az osztrák legfelsőbb bíróság 2021-ben négy kérdést terjesztett az EUB elé. Mivel azonban egy másik ügy (C-252/21 Bundeskartellamt) részben hasonló kérdéseket érintett, az EUB 2024-ig "szüneteltette" a Schrems úr és a Meta közötti ügyet. Az eredeti 1. és 3. kérdést (közvetve) "megnyerték", mivel az EUB a C-252/21 Bundeskartellamt ügyben Schrems úr álláspontja mellé állt. Az ügy fennmaradó részét ezután 2024. február 8-án Luxemburgban tárgyalták, de csak két fennmaradó kérdésre (az eredeti 2. és 4. kérdésre) korlátozva, amelyekről a C-252/21 Bundeskartellamt ügyben még nem született döntés. A fennmaradó kérdések a következők voltak
- Eredeti 2. kérdés: "Úgy kell-e értelmezni a GDPR 5. cikke (1) bekezdésének c) pontját (adatminimalizálás), hogy az alapügyhöz hasonló platform által tárolt valamennyi személyes adat (különösen az érintett vagy a platformon belüli és kívüli harmadik személyek által) összesíthető, elemezhető és feldolgozható célzott reklámozás céljából, az adatok idejére vagy típusára vonatkozó korlátozás nélkül?"
- Eredeti kérdés: "Úgy kell-e értelmezni a GDPR 5. cikke (1) bekezdésének b) pontját, összefüggésben a 9. cikke (2) bekezdésének e) pontjával, hogy egy személy által egy panelbeszélgetés céljából a saját szexuális irányultságáról tett nyilatkozat lehetővé teszi a szexuális irányultságra vonatkozó egyéb adatok feldolgozását a személyre szabott reklám céljára történő összesítés és elemzés céljából?"
Adatminimalizálás. Az eredeti 2. kérdés a Meta azon megközelítését érinti, amely szerint minden személyes adat lényegében egy nagy "adathalmazba" kerül, és korlátlanul - minden korlátozás nélkül - felhasználható személyre szabott reklámozásra, mivel ez nyilvánvalóan sérti az adatminimalizálás elvét. Míg egyes esetekben a törlésnek egyértelmű határa van (pl. amikor a nyilvántartás vezetésére vonatkozó jogi kötelezettség megszűnik), a reklámozás esetében a kérdés összetettebb. A vállalatoknak adatkezelési protokollokat kell kidolgozniuk a nem szükséges adatok fokozatos törlésére vagy használatuk beszüntetésére.
Az érzékeny adatok további felhasználása. A 4. eredeti kérdés az Elsőfokú Bíróság (és részben a Meta) azon érvelésére vonatkozik, hogy Schrems úr egy bécsi rendezvényen említette szexuális irányultságát, és ezért (hallgatólagosan) hozzájárulhatott a szexuális irányultsággal (és valójában a nemi élettel kapcsolatos személyes adatok feldolgozásához, amelyet az általános adatvédelmi rendelet 9. cikke külön véd) a nyilvános nyilatkozatot évekkel megelőzően történt reklámozáshoz. Egyetértés van abban, hogy ezeket a nyilatkozatokat nyilvánosságra hozták. Schrems úr azonban tagadja, hogy a Meta ezért más - nagyon személyes - adatokat is feldolgozhatott volna az azt megelőző években. Schrems úr hangsúlyozza, hogy a "célhoz kötöttség" elve párhuzamosan érvényesül, és hogy a Meta által végzett jogellenes adatkezelés bírálata céljából megosztott információk nem teszik lehetővé (visszamenőlegesen) a személyes adatok teljesen más célra, például reklámozásra történő felhasználását.
