Eerste verklaring. De AG Opinion (C-446/21) is zojuist gepubliceerd. Ververs deze pagina voor eventuele updates. Hoewel we de details nog aan het analyseren zijn, hopen we dat de eerste reactie hieronder de belangrijkste punten weergeeft.
- Persberichten van het HvJEU (zoek naar C-446/21 - Schrems)
- Volledige AG Opinie (verschijnt mogelijk pas in de loop van de dag)
Eerste verklaring. De conclusie van de AG (C-446/21) is zojuist gepubliceerd. Ververs deze pagina voor eventuele updates. Hoewel we de details nog aan het analyseren zijn, hopen we dat de eerste reactie hieronder de belangrijkste punten weergeeft:
Katharina Raabe-Stuppnig, advocaat van de heer Schrems: "We zijn erg blij met het advies, ook al was dit resultaat erg verwacht."
Het gebruik van gegevens voor reclame moet worden beperkt in tijd, type en bron. Tot nu toe gebruikt Meta alle gegevens die het ooit heeft verzameld voor advertenties. Gebruikersgegevens van Facebook kunnen bijvoorbeeld teruggaan tot 2004. Om dergelijke praktijken te voorkomen, heeft de GDPR het principe van "dataminimalisatie" vastgelegd in artikel 5(1)(c) GDPR. Tot nu toe heeft Meta dit eenvoudigweg genegeerd en geen verwijderingsperioden voorzien. De toepassing van het 'dataminimalisatieprincipe' beperkt het gebruik van persoonlijke gegevens voor advertenties radicaal - zelfs als gebruikers toestemming hebben gegeven voor advertenties. Het is van toepassing ongeacht de rechtsgrondslag die is gebruikt voor de verwerking, dus zelfs een gebruiker die toestemming geeft voor gepersonaliseerde reclame kan niet onbeperkt gebruik blijven maken van zijn persoonlijke gegevens. Hoewel de AG zegt dat de nationale rechter moet beslissen over de details, kunnen factoren het type persoonlijke gegevens zijn (zoals leeftijd -v- gedragsgegevens), de bron (zoals actief verstrekte gegevens -v- passieve technische tracking) of de context van de verzameling (zoals op een sociaal netwerk -v- op pagina's van derden).
Katharina Raabe-Stuppnig: "Meta is in feite al 20 jaar bezig met het opbouwen van een enorme gegevensbank over gebruikers, en die wordt elke dag groter. De EU-wetgeving vereist echter 'dataminimalisatie'. Als het Hof het advies volgt, zal slechts een klein deel van deze pool gebruikt mogen worden voor advertenties - zelfs als de gebruiker toestemming heeft gegeven voor advertenties."
Beperkingen op het "schrapen" van persoonlijke gegevens - zelfs als deze "duidelijk openbaar zijn gemaakt". In de context van de zeer persoonlijke informatie die Meta verzamelde over de heer Schrems (via reclamepartners), ontstond er een discussie over de vraag of de latere publieke kritiek op dergelijke praktijken zou leiden tot een "verklaring van afstand" van het recht op privacy van de heer Schrems met betrekking tot de aanvankelijk onrechtmatige verwerking. De heer Schrems is het er altijd mee eens geweest dat hij dergelijke informatie openbaar heeft gemaakt en dit valt over het algemeen onder artikel 9, lid 2, onder e) GDPR ("in hoofdzaak openbaar gemaakt") - terwijl sommige lidstaten voor het HvJEU dit element in twijfel trokken. Hoewel dit een zeer specifieke situatie is van een enkele gebruiker, is de interpretatie van de wet relevant in de bredere context van "web scraping", waarbij openbaar beschikbare informatie eenvoudigweg wordt meegenomen en verwerkt voor andere doeleinden. De heer Schrems betoogde dat het beginsel van "doelbinding" in artikel 5, lid 1, GDPR hier parallel moet worden toegepast. Dit wordt nu ook betoogd door de advocaat-generaal.
Katharina Raabe-Stuppnig: "Het feit dat bepaalde informatie openbaar is, betekent niet dat het voor andere doeleinden kan worden gebruikt. Als je een politieke opmerking maakt op sociale media, kan deze niet worden gebruikt om politieke reclame op je te richten. Als gebruikers al hun rechten op gepubliceerde informatie verliezen, zou dat een enorm chilling effect hebben op de vrijheid van meningsuiting."
Waar gaat deze zaak over? De zaak betreft een civiele procedure tussen Max Schrems, als individu, en Meta Ireland Platforms Limited (als de exploitant van "Facebook") voor de Oostenrijkse rechtbanken. De zaak werd voor het eerst volledig behandeld in Oostenrijk in 2020 en betreft een groot aantal GDPR-schendingen, waaronder het ontbreken van een rechtsgrondslag voor reclame en dergelijke. Het Oostenrijkse Hooggerechtshof heeft vier vragen voorgelegd aan het HvJEU in 2021. Maar omdat een andere zaak (C-252/21 Bundeskartellamt) deels over vergelijkbare vragen ging, heeft het HvJEU de zaak tussen Schrems en Meta "gepauzeerd" tot 2024. De oorspronkelijke vragen 1 en 3 werden (indirect) "gewonnen" omdat het HvJEU in C-252/21 Bundeskartellamt de kant van Schrems koos. De rest van de zaak werd vervolgens behandeld in Luxemburg op 8 februari 2024, maar beperkt tot twee resterende vragen (oorspronkelijke vragen 2 en 4) waarover nog niet was beslist in C-252/21 Bundeskartellamt. De resterende vragen zijn:
- Oorspronkelijke vraag 2: Moet artikel 5, lid 1, sub c, van de GDPR (gegevensminimalisatie) aldus worden uitgelegd dat alle persoonsgegevens waarover een platform als dat in het hoofdgeding beschikt (via met name de betrokkene of derden op en buiten het platform), mogen worden samengevoegd, geanalyseerd en verwerkt met het oog op gerichte reclame, zonder beperking qua tijdstip of soort gegevens?
- Oorspronkelijke vraag 4: Moet artikel 5, lid 1, sub b, GDPR, gelezen in samenhang met artikel 9, lid 2, sub e, GDPR, aldus worden uitgelegd dat een verklaring van een persoon over zijn of haar eigen seksuele geaardheid ten behoeve van een paneldiscussie de verwerking van andere gegevens betreffende de seksuele geaardheid toestaat met het oog op de aggregatie en analyse van de gegevens ten behoeve van gepersonaliseerde reclame?
Gegevensminimalisatie. De oorspronkelijke vraag 2 betreft de aanpak van Meta die beweert dat alle persoonlijke gegevens in wezen in een grote "datapool" gaan en voor onbepaalde tijd - zonder enige beperking - kunnen worden gebruikt voor persoonlijke reclame, aangezien dit een duidelijke schending van het beginsel van gegevensminimalisering lijkt te zijn. Terwijl er in sommige gevallen een duidelijke limiet is voor het wissen van gegevens (bijv. wanneer een wettelijke verplichting om gegevens te bewaren eindigt), is de kwestie complexer als het gaat om reclame.
Katharina Raabe-Stuppnig: "Op dit moment slaat de online reclame-industrie gewoon alles voor altijd op. De wet is duidelijk dat de verwerking na een paar dagen of weken moet stoppen. Voor Meta zou dit betekenen dat een groot deel van de informatie die ze de afgelopen tien jaar hebben verzameld taboe wordt voor reclame."
Verder gebruik van gevoelige gegevens. Oorspronkelijke vraag 4 betreft een argument van het Gerecht van eerste aanleg (en deels van Meta) dat de heer Schrems zijn seksuele geaardheid heeft genoemd tijdens een evenement in Wenen en daarom mogelijk (impliciet) heeft ingestemd met de verwerking van persoonsgegevens met betrekking tot seksuele geaardheid (en inderdaad seksleven, dat apart wordt beschermd in artikel 9 GDPR) voor reclame die jaren voor de openbare verklaring plaatsvond. Men is het erover eens dat deze verklaringen openbaar zijn gemaakt. De heer Schrems ontkent echter dat Meta daarom andere - zeer persoonlijke - gegevens kan hebben verwerkt in de jaren daarvoor. De heer Schrems benadrukt dat het principe van "doelbinding" parallel van toepassing is en dat informatie die wordt gedeeld om kritiek te leveren op onrechtmatige verwerking door Meta niet (met terugwerkende kracht) het gebruik van persoonsgegevens voor een heel ander doel, zoals reclame, kan toestaan.
Katharina Raabe-Stuppnig: "Deze kwestie is zeer relevant voor iedereen die een publieke verklaring aflegt. Doe je met terugwerkende kracht afstand van je recht op privacy voor zelfs totaal ongerelateerde informatie, of mag alleen de uitspraak zelf worden gebruikt voor het doel dat de spreker voor ogen had? Als het Hof dit interpreteert als een algemene 'verklaring van afstand' van je rechten, dan zou het elke online uiting op Instagram, Facebook of Twitter de kop indrukken."