- Tlačové správy SDEÚ (vyhľadajte C-446/21 - Schrems)
- Úplné stanovisko AG
Katharina Raabe-Stuppnig, advokátka zastupujúca pána Schremsa: "Stanovisko nás veľmi teší, aj keď tento výsledok bol veľmi očakávaný."
Používanie údajov na reklamu musí byť časovo, druhovo a zdrojovo obmedzené. Spoločnosť Meta zatiaľ používa na reklamu všetky údaje, ktoré kedy zhromaždila. Napríklad údaje o používateľoch Facebooku môžu siahať až do roku 2004. Na zabránenie takýmto praktikám sa v článku 5 ods. 1 písm. c) nariadenia GDPR zaviedla zásada "minimalizácie údajov". Spoločnosť Meta to doteraz jednoducho ignorovala a nepredpokladala žiadne lehoty na vymazanie. Uplatňovanie "zásady minimalizácie údajov" radikálne obmedzuje používanie osobných údajov na reklamu - a to aj v prípade, že používatelia s reklamou súhlasili. Uplatňuje sa bez ohľadu na právny základ použitý na spracovanie, takže ani používateľ, ktorý súhlasí s personalizovanou reklamou, nemôže svoje osobné údaje používať donekonečna. Hoci AG uvádza, že o podrobnostiach by musel rozhodnúť vnútroštátny súd, faktormi môžu byť typ osobných údajov (napríklad vek -v- údaje o správaní), zdroj (napríklad aktívne poskytnuté údaje -v- pasívne technické sledovanie) alebo kontext zberu (napríklad na sociálnej sieti -v- na tretích stránkach).
Katharina Raabe-Stuppnig: "Meta v podstate už 20 rokov buduje obrovský fond údajov o používateľoch, ktorý sa každým dňom rozrastá. Právo EÚ však vyžaduje "minimalizáciu údajov". Ak sa Súdny dvor bude riadiť týmto stanoviskom, len malá časť tohto fondu sa bude môcť použiť na reklamu - aj keď s reklamou súhlasili."
Obmedzenia týkajúce sa "škrabania" osobných údajov - aj keď sú "zjavne zverejnené". V súvislosti s vysoko osobnými údajmi, ktoré Meta zhromažďovala o pánovi Schremsovi (prostredníctvom reklamných partnerov), vznikla diskusia o tom, či následná verejná kritika takýchto postupov povedie k "vzdaniu sa" práva pána Schremsa na súkromie v súvislosti s pôvodne nezákonným spracovaním. Pán Schrems vždy súhlasil s tým, že takéto informácie zverejnil a vo všeobecnosti spadajú pod článok 9 ods. 2 písm. e) GDPR ("hlavné zverejnenie") - zatiaľ čo niektoré členské štáty pred SDEÚ tento prvok spochybňovali. Hoci ide o veľmi špecifickú situáciu jedného používateľa, výklad zákona je relevantný v širšom kontexte "web scrapingu", keď sa verejne dostupné informácie jednoducho preberajú a spracúvajú na iné účely. Pán Schrems tvrdil, že zásada "obmedzenia účelu" v článku 5 ods. 1 GDPR sa tu musí uplatňovať súbežne. To teraz tvrdí aj generálny advokát.
Katharina Raabe-Stuppnig: "To, že sú niektoré informácie verejné, neznamená, že sa môžu použiť na iné účely. Ak na sociálnych sieťach napíšete politický komentár, nemôže sa použiť na cielenie politickej reklamy na vás. Ak by používatelia stratili všetky svoje práva na zverejnené informácie, malo by to obrovský ochromujúci účinok na slobodu prejavu."
O čo v tomto prípade ide? Vec sa týka občianskoprávneho konania medzi Maxom Schremsom ako fyzickou osobou a spoločnosťou Meta Ireland Platforms Limited (ako prevádzkovateľom "Facebooku") pred rakúskymi súdmi. Prípad bol prvýkrát v plnom rozsahu prejednaný v Rakúsku v roku 2020 a týka sa veľkého počtu porušení GDPR vrátane neexistencie právneho základu pre reklamu a podobne. Rakúsky najvyšší súd sa v roku 2021 obrátil na Súdny dvor EÚ so štyrmi otázkami. Keďže sa však iný prípad (C-252/21 Bundeskartellamt) čiastočne týkal podobných otázok, SDEÚ "pozastavil" konanie vo veci medzi pánom Schremsom a spoločnosťou Meta do roku 2024. Pôvodné otázky 1 a 3 boli (nepriamo) "vyhrané", pretože SDEÚ sa vo veci C-252/21 Bundeskartellamt priklonil k názoru pána Schremsa. Zvyšok veci sa potom prejednával 8. februára 2024 v Luxemburgu, ale obmedzil sa na dve zostávajúce otázky (pôvodné otázky 2 a 4), o ktorých ešte nebolo rozhodnuté vo veci C-252/21 Bundeskartellamt. Zostávajúce otázky sú tieto:
- Pôvodná otázka č. 2: Má sa článok 5 ods. 1 písm. c) všeobecného nariadenia o ochrane údajov (minimalizácia údajov) vykladať v tom zmysle, že všetky osobné údaje, ktorými disponuje platforma, akou je platforma vo veci samej (najmä prostredníctvom dotknutej osoby alebo tretích osôb na platforme a mimo nej), sa môžu zhromažďovať, analyzovať a spracúvať na účely cielenej reklamy bez časového obmedzenia alebo obmedzenia druhu údajov?
- Pôvodná otázka č. 4: Má sa článok 5 ods. 1 písm. b) všeobecného nariadenia o ochrane údajov v spojení s jeho článkom 9 ods. 2 písm. e) vykladať v tom zmysle, že vyhlásenie osoby o jej vlastnej sexuálnej orientácii na účely panelovej diskusie umožňuje spracúvanie ďalších údajov týkajúcich sa sexuálnej orientácie s cieľom ich agregácie a analýzy na účely cielenej reklamy?
Minimalizácia údajov. Pôvodná otázka č. 2 sa týka prístupu spoločnosti Meta, ktorá tvrdí, že všetky osobné údaje sa v podstate dostávajú do veľkého "dátového fondu" a môžu sa používať na osobnú reklamu neobmedzene - bez akéhokoľvek obmedzenia -, pretože sa zdá, že ide o zjavné porušenie zásady minimalizácie údajov. Zatiaľ čo v niektorých prípadoch existuje jasný limit pre vymazanie (napr. keď sa skončí zákonná povinnosť uchovávať záznamy), v prípade reklamy je táto otázka zložitejšia.
Katharina Raabe-Stuppnig: "V súčasnosti odvetvie online reklamy jednoducho ukladá všetko navždy. Zákon jasne hovorí, že spracovanie sa musí ukončiť po niekoľkých dňoch alebo týždňoch. Pre spoločnosť Meta by to znamenalo, že veľká časť informácií, ktoré zhromaždili za posledné desaťročie, by sa stala pre reklamu tabu."
Ďalšie využívanie citlivých údajov. Pôvodná otázka č. 4 sa týka argumentu Súdu prvého stupňa (a čiastočne aj spoločnosti Meta), že pán Schrems spomenul svoju sexuálnu orientáciu na podujatí vo Viedni, a preto mohol (implicitne) súhlasiť so spracovaním akýchkoľvek osobných údajov týkajúcich sa sexuálnej orientácie (a vlastne aj sexuálneho života, ktorý je osobitne chránený v článku 9 GDPR) na účely reklamy, ktorá sa uskutočnila roky pred týmto verejným vyhlásením. Existuje zhoda v tom, že tieto vyhlásenia boli zverejnené. Pán Schrems však odmieta, že by spoločnosť Meta preto mohla v predchádzajúcich rokoch spracúvať iné - veľmi osobné - údaje. Pán Schrems zdôrazňuje, že zásada "obmedzenia účelu" sa uplatňuje súbežne a že informácie zdieľané na účely kritiky nezákonného spracúvania údajov spoločnosťou Meta nemôžu (so spätnou platnosťou) umožniť použitie osobných údajov na úplne iný účel, ako je reklama.
Katharina Raabe-Stuppnig: "Táto otázka je veľmi dôležitá pre každého, kto robí verejné vyhlásenia. Vzdávate sa spätne svojho práva na súkromie aj v prípade úplne nesúvisiacich informácií, alebo možno na účel, ktorý hovorca zamýšľal, použiť len samotné vyhlásenie? Ak to súd vyloží ako všeobecné 'zrieknutie sa' vašich práv, ochladí to akýkoľvek online prejav na Instagrame, Facebooku alebo Twitteri."