- EU-domstolens pressmeddelanden (sök efter C-446/21 - Schrems)
- Yttrande från generaladvokaten i sin helhet
Katharina Raabe-Stuppnig, advokat som företräder Schrems: "Vi är mycket nöjda med yttrandet, även om detta resultat var mycket väntat."
Användning av data för reklam måste begränsas av tid, typ och källa. Hittills har Meta använt all data som någonsin samlats in för annonsering. Till exempel kan Facebook-användardata gå tillbaka så långt som till 2004. För att förhindra sådana metoder fastställde GDPR principen om "dataminimering" i artikel 5.1 c GDPR. Hittills har Meta helt enkelt ignorerat detta och har inte planerat några raderingsperioder. Tillämpningen av "principen om uppgiftsminimering" begränsar radikalt användningen av personuppgifter för reklam - även om användarna har samtyckt till annonser. Principen gäller oavsett vilken rättslig grund som används för behandlingen, så inte ens en användare som samtycker till personanpassad reklam kan få sina personuppgifter använda på obestämd tid. AG säger att den nationella domstolen måste besluta om detaljerna, men faktorer kan vara typen av personuppgifter (t.ex. ålder - kontra beteendedata), källan (t.ex. aktivt tillhandahållna uppgifter - kontra passiv teknisk spårning) eller sammanhanget för insamlingen (t.ex. på ett socialt nätverk - kontra på tredje sidor).
Katharina Raabe-Stuppnig: "Meta har i princip byggt upp en enorm datapool om användare i 20 år nu, och den växer varje dag. EU-lagstiftningen kräver dock 'uppgiftsminimering'. Om domstolen följer yttrandet kommer endast en liten del av denna pool att få användas för reklam - även om man har samtyckt till reklam."
Begränsningar av "skrapning" av personuppgifter - även om de "uppenbarligen offentliggjorts". I samband med den mycket personliga information som Meta samlade in om Schrems (via reklampartners) uppstod en diskussion om huruvida den efterföljande offentliga kritiken av sådana metoder skulle leda till ett "avstående" från Schrems rätt till integritet med avseende på den ursprungligen olagliga behandlingen. Schrems höll alltid med om att han offentliggjort sådan information och att den i allmänhet omfattas av artikel 9.2 e i GDPR ("huvudsakligen offentliggjort") - medan vissa medlemsstater inför EU-domstolen ifrågasatte denna del. Även om detta är en mycket specifik situation för en enskild användare är tolkningen av lagen relevant i det bredare sammanhanget med "webbskrapning", där allmänt tillgänglig information helt enkelt tas och behandlas för andra ändamål. Schrems hävdade att principen om "ändamålsbegränsning" i artikel 5.1 i GDPR måste tillämpas parallellt här. Detta hävdas nu även av generaladvokaten.
Katharina Raabe-Stuppnig: "Bara för att viss information är offentlig betyder det inte att den kan användas för andra syften. Om du gör en politisk kommentar på sociala medier kan den inte användas för att rikta politisk reklam mot dig. Om användarna förlorar alla sina rättigheter till publicerad information skulle det ha en enormt hämmande effekt på yttrandefriheten."
Vad handlar detta mål om? Målet rör ett civilrättsligt förfarande mellan Max Schrems, som enskild person, och Meta Ireland Platforms Limited (som operatör av "Facebook") vid de österrikiska domstolarna. Målet prövades i sin helhet i Österrike första gången 2020 och rör ett stort antal överträdelser av GDPR, bland annat avsaknad av rättslig grund för annonsering och liknande. Österrikes högsta domstol har hänskjutit fyra frågor till EU-domstolen under 2021. Men eftersom ett annat mål (C-252/21 Bundeskartellamt) delvis omfattade liknande frågor "pausade" EU-domstolen målet mellan Schrems och Meta fram till 2024. De ursprungliga frågorna 1 och 3 "vanns" (indirekt) eftersom EU-domstolen ställde sig bakom Schrems uppfattning i C-252/21 Bundeskartellamt. Resterande del av målet prövades därefter i Luxemburg den 8 februari 2024, men begränsades till två kvarstående frågor (de ursprungliga frågorna 2 och 4) som inte redan hade avgjorts i C-252/21 Bundeskartellamt. De återstående frågorna är följande:
- Den ursprungliga frågan 2: Ska artikel 5.1 c i dataskyddsförordningen (uppgiftsminimering) tolkas så, att alla personuppgifter som finns på en sådan plattform som den i det nationella målet (bland annat från den registrerade eller från tredje man på och utanför plattformen) får sammanställas, analyseras och behandlas i syfte att rikta reklam utan begränsning i tid eller typ av uppgifter?
- Ursprunglig fråga 4: Ska artikel 5.1 b i dataskyddsförordningen, jämförd med artikel 9.2 e i samma förordning, tolkas så, att ett uttalande som en person gör om sin egen sexuella läggning i samband med en paneldiskussion gör det möjligt att behandla andra uppgifter om sexuell läggning i syfte att sammanställa och analysera uppgifterna för att göra personlig reklam?
Minimering av uppgifter. Den ursprungliga fråga 2 gäller Metas tillvägagångssätt att hävda att alla personuppgifter i huvudsak hamnar i en stor "datapool" och kan användas för personlig reklam på obestämd tid - utan någon begränsning - eftersom detta verkar vara en uppenbar överträdelse av principen om uppgiftsminimering. Även om det i vissa fall finns en tydlig gräns för radering (t.ex. när en rättslig skyldighet att föra register upphör) är frågan mer komplex när det gäller reklam.
Katharina Raabe-Stuppnig: "För närvarande lagrar online-reklambranschen helt enkelt allt för alltid. Lagen är tydlig med att behandlingen måste upphöra efter några dagar eller veckor. För Meta skulle detta innebära att en stor del av den information som de har samlat in under det senaste decenniet skulle bli tabu för reklam."
Ytterligare användning av känsliga uppgifter. Ursprunglig fråga 4 gäller ett argument från förstainstansrätten (och delvis från Meta) att Schrems nämnde sin sexuella läggning vid ett evenemang i Wien och därför (implicit) kan ha samtyckt till behandling av personuppgifter som rör sexuell läggning (och faktiskt sexliv, som skyddas separat i artikel 9 i GDPR) för reklam som ägde rum flera år före det offentliga uttalandet. Det råder enighet om att dessa uttalanden offentliggjordes. Schrems förnekar dock att Meta därför kan ha behandlat andra - mycket personliga - uppgifter under åren dessförinnan. Schrems betonar att principen om "ändamålsbegränsning" gäller parallellt och att information som delas i syfte att kritisera olaglig behandling av Meta inte (retroaktivt) kan tillåta användning av personuppgifter för ett helt annat syfte, t.ex. reklam.
Katharina Raabe-Stuppnig: "Den här frågan är mycket relevant för alla som gör ett offentligt uttalande. Avstår man retroaktivt från sin rätt till privatliv även för helt orelaterad information, eller kan bara själva uttalandet användas för det syfte som talaren avsåg? Om domstolen tolkar detta som ett allmänt "avstående" från dina rättigheter, skulle det innebära att alla yttranden på Instagram, Facebook eller Twitter skulle tyglas."