SDEÚ: Meta musí "minimalizovať" používanie osobných údajov pre reklamy

• Tlačová správa SDEÚ
• Úplné znenie rozsudku
• Zhrnutie rozsudku na stránke GDPRhub

Katharina Raabe-Stuppnig, advokátka zastupujúca pána Schremsa:"Rozsudok nás veľmi teší, aj keď tento výsledok bol veľmi očakávaný."

Prvá otázka: Meta doteraz využíva všetky osobné údaje, ktoré kedy zhromaždila, nareklamu. Napríklad údaje o používateľoch Facebooku môžu siahať až do roku 2004 a zahŕňajú údaje zadané používateľom, inými používateľmi alebo údaje získané prostredníctvom online sledovania alebo sledovania v mobilných aplikáciách. Na zabránenie takýmto praktikám sa v článku 5 ods. 1 písm. c) nariadenia GDPR zaviedla zásada "minimalizácie údajov", ktorá vyžaduje obmedziť spracúvanie na nevyhnutne potrebné údaje. Spoločnosť Meta a mnohí ďalší hráči v oblasti online reklamy toto pravidlo doteraz jednoducho ignorovali a nepredpokladali žiadne lehoty na vymazanie alebo obmedzenie na základe typu osobných údajov. Uplatňovanie "zásady minimalizácie údajov" radikálne obmedzuje používanie osobných údajov na účely reklamy. Zásada minimalizácie údajov sa uplatňuje bez ohľadu na právny základ použitý na spracovanie, takže ani používateľ, ktorý súhlasí s personalizovanou reklamou, nemôže mať svoje osobné údaje používané neobmedzene dlho. V súlade s bežnou praxou SDEÚ Súdny dvor ponechal podrobnosti o spôsobe uplatňovania zásady minimalizácie údajov na vnútroštátne súdy.

Katharina Raabe-Stuppnig: "Meta v podstate už 20 rokov buduje obrovský fond údajov o používateľoch, ktorý sa každým dňom rozrastá. Právo EÚ však vyžaduje "minimalizáciu údajov". Po tomto rozhodnutí sa bude môcť na reklamu používať len malá časť fondu údajov spoločnosti Meta - a to aj v prípade, že používatelia s reklamou súhlasia. Toto rozhodnutie sa vzťahuje aj na všetky ostatné online reklamné spoločnosti, ktoré nemajú prísne postupy na vymazávanie údajov."

Druhá otázka: Verejná kritika nepovoľuje spracovanie. Podľa článku 9 ods. 2 písm. e) GDPR informácie, ktoré sú "zjavne zverejnené", môže spoločnosť spracúvať, pretože zákonodarca predpokladá, že dotknutá osoba s použitím súhlasila. Pán Schrems tvrdil, že jeho verejné pripomienky boli zverejnené roky po tom, ako došlo k spracúvaniu iných informácií. Jeho neskoršie komentáre nemožno považovať za súhlas so spracovaním iných informácií pred rokmi a nemôžu "cestovať" späť v čase. Aj ostatní účastníci konania spochybňovali, či samotná zmienka o skutočnosti počas verejnej diskusie znamená, že sa takáto informácia stala "zjavne verejnou".

Katharina Raabe-Stuppnig: "Malo by to obrovský ochromujúci účinok na slobodu prejavu, ak by ste stratili právo na ochranu údajov v momente, keď verejne kritizujete nezákonné spracúvanie osobných údajov. Vítame, že SDEÚ túto predstavu odmietol."

Súvislosti:

História prípadu. Vec sa týka občianskoprávneho konania medzi Maxom Schremsom ako fyzickou osobou a spoločnosťou Meta Ireland Platforms Limited (ako prevádzkovateľom "Facebooku") pred rakúskymi súdmi. Vec bola prvýkrát podaná v roku 2014 a prvýkrát sa v plnom rozsahu prejednala v Rakúsku v roku 2020 a týka sa veľkého počtu porušení GDPR vrátane neexistencie právneho základu pre reklamu a podobne. Rakúsky najvyšší súd sa v roku 2021 obrátil na Súdny dvor EÚ so štyrmi otázkami. Keďže sa však iný prípad (C-252/21 Bundeskartellamt) čiastočne týkal podobných otázok, SDEÚ "pozastavil" konanie vo veci medzi pánom Schremsom a spoločnosťou Meta do roku 2024. Pôvodné otázky 1 a 3 boli (nepriamo) "vyhrané", pretože SDEÚ sa vo veci C-252/21 Bundeskartellamt priklonil k názoru pána Schremsa. Zvyšok veci sa potom prejednával 8. februára 2024 v Luxemburgu, ale obmedzil sa na dve zostávajúce otázky (pôvodné otázky 2 a 4), o ktorých ešte nebolo rozhodnuté vo veci C-252/21 Bundeskartellamt. Zostávajúce otázky boli

• Pôvodná otázka č. 2: "Má sa článok 5 ods. 1 písm. c) všeobecného nariadenia o ochrane údajov (minimalizácia údajov) vykladať v tom zmysle, že všetky osobné údaje, ktorými disponuje platforma, akou je platforma vo veci samej (najmä prostredníctvom dotknutej osoby alebo tretích osôb na platforme a mimo nej), sa môžu sústreďovať, analyzovať a spracúvať na účely cielenej reklamy bez časového obmedzenia alebo obmedzenia druhu údajov?"
  
• Pôvodná otázka č. 4: "Má sa článok 5 ods. 1 písm. b) všeobecného nariadenia o ochrane údajov v spojení s jeho článkom 9 ods. 2 písm. e) vykladať v tom zmysle, že vyhlásenie osoby o jej vlastnej sexuálnej orientácii na účely panelovej diskusie umožňuje spracúvanie ďalších údajov týkajúcich sa sexuálnej orientácie s cieľom ich agregácie a analýzy na účely cielenej reklamy?"
  

Minimalizácia údajov. Pôvodná otázka č. 2 sa týka prístupu spoločnosti Meta, ktorá tvrdí, že všetky osobné údaje sa v podstate dostávajú do veľkého "dátového fondu" a môžu sa používať na osobnú reklamu neobmedzene - bez akéhokoľvek obmedzenia -, pretože sa zdá, že ide o zjavné porušenie zásady minimalizácie údajov. Zatiaľ čo v niektorých prípadoch existuje jasný limit pre vymazanie (napr. keď sa skončí zákonná povinnosť uchovávať záznamy), v prípade reklamy je táto otázka zložitejšia. Spoločnosti musia vypracovať protokoly o správe údajov s cieľom postupne vymazať nepotrebné údaje alebo ich prestať používať

Ďalšie používanie citlivých údajov. Pôvodná otázka č. 4 sa týka argumentu Súdu prvého stupňa (a čiastočne aj spoločnosti Meta), že pán Schrems spomenul svoju sexuálnu orientáciu na podujatí vo Viedni, a preto mohol (implicitne) súhlasiť so spracovaním akýchkoľvek osobných údajov týkajúcich sa sexuálnej orientácie (a vlastne aj sexuálneho života, ktorý je osobitne chránený v článku 9 GDPR) pre reklamu, ktorá sa uskutočnila roky pred týmto verejným vyhlásením. Existuje zhoda v tom, že tieto vyhlásenia boli zverejnené. Pán Schrems však popiera, že by spoločnosť Meta preto mohla v predchádzajúcich rokoch spracúvať iné - veľmi osobné - údaje. Pán Schrems zdôrazňuje, že zásada "obmedzenia účelu" sa uplatňuje súbežne a že informácie zdieľané na účely kritiky nezákonného spracúvania údajov spoločnosťou Meta nemôžu (so spätnou platnosťou) umožniť použitie osobných údajov na úplne iný účel, napríklad na reklamu.