I dagens dom i mål C-446/21 (Schrems v. Meta) har Europeiska unionens domstol (EU-domstolen) gett fullt stöd åt en stämning som väckts mot Meta angående dess Facebook-tjänst. Domstolen tog ställning till två frågor: För det första en kraftig begränsning av användningen av personuppgifter för reklam på nätet. För det andra begränsning av användningen av offentligt tillgängliga personuppgifter till de ursprungligen avsedda syftena för publicering.
- Pressmeddelande från EU-domstolen
- Domen i sin helhet
- Sammanfattning av domen på GDPRhub
Katharina Raabe-Stuppnig, advokat som företräder Schrems:"Vi är mycket nöjda med avgörandet, även om detta resultat var mycket väntat."
Första frågan: Användningen av uppgifter för reklam måste "minimeras". Hittills har Meta använt alla personuppgifter som någonsin samlats in för reklam. Till exempel kan Facebook-användardata gå tillbaka så långt som till 2004 och inkludera data som matats in av användaren, av andra användare eller data som samlats in via onlinespårning eller spårning i mobilappar. För att förhindra sådana metoder fastställde GDPR principen om "dataminimering" i artikel 5.1 c GDPR, vilket kräver att behandlingen begränsas till strikt nödvändiga uppgifter. Hittills har Meta och många andra aktörer i onlineannonseringsutrymmet helt enkelt ignorerat denna regel och inte förutsett några raderingsperioder eller begränsningar baserat på typen av personuppgifter. Tillämpningen av "principen om uppgiftsminimering" begränsar radikalt användningen av personuppgifter för reklam. Principen om uppgiftsminimering gäller oavsett vilken rättslig grund som används för behandlingen, vilket innebär att inte ens en användare som samtycker till personlig reklam kan få sina personuppgifter använda på obestämd tid. I linje med EU-domstolens praxis överlät domstolen åt de nationella domstolarna att närmare fastställa hur principen om uppgiftsminimering ska tillämpas.
Katharina Raabe-Stuppnig: "Meta har i princip byggt upp en enorm datapool om användare i 20 år nu, och den växer för varje dag. EU-lagstiftningen kräver dock "dataminimering". Efter detta beslut kommer endast en liten del av Metas datapool att få användas för reklam - även när användarna samtycker till annonser. Detta beslut gäller också för alla andra företag som sysslar med onlineannonsering och som inte har strikta rutiner för radering av uppgifter."
Den andra frågan: Offentlig kritik tillåter inte behandling. Enligt artikel 9.2 e i GDPR får information som "uppenbarligen offentliggörs" behandlas av ett företag, eftersom lagstiftaren utgår från att den registrerade har samtyckt till användningen. Schrems hävdade att hans offentliga kommentarer gjordes flera år efter det att behandlingen av annan information ägt rum. Hans senare kommentarer kunde inte ses som ett samtycke till behandlingen av annan information för flera år sedan och kan inte ha "rest" bakåt i tiden. Andra parter i förfarandet ifrågasatte också om blotta omnämnandet av ett faktum under en offentlig diskussion skulle innebära att sådan information görs "uppenbart offentlig".
Katharina Raabe-Stuppnig: "Det skulle ha en enormt hämmande effekt på yttrandefriheten om man skulle förlora sin rätt till dataskydd i samma ögonblick som man kritiserar olaglig behandling av personuppgifter offentligt. Vi välkomnar att EU-domstolen har avvisat denna uppfattning."
Bakgrund till målet:
Målets bakgrund. Målet rör ett civilrättsligt förfarande mellan Max Schrems, som enskild person, och Meta Ireland Platforms Limited (som operatör av "Facebook") inför österrikiska domstolar. Målet inleddes 2014 och prövades första gången i sin helhet i Österrike 2020 och rör ett stort antal överträdelser av GDPR, bland annat avsaknad av rättslig grund för annonsering och liknande. Österrikes högsta domstol har hänskjutit fyra frågor till EU-domstolen under 2021. Men eftersom ett annat mål (C-252/21 Bundeskartellamt) delvis omfattade liknande frågor "pausade" EU-domstolen målet mellan Schrems och Meta fram till 2024. De ursprungliga frågorna 1 och 3 "vanns" (indirekt) eftersom EU-domstolen ställde sig bakom Schrems uppfattning i C-252/21 Bundeskartellamt. Resterande del av målet prövades därefter i Luxemburg den 8 februari 2024, men begränsades till två kvarstående frågor (de ursprungliga frågorna 2 och 4) som inte redan hade avgjorts i C-252/21 Bundeskartellamt. De återstående frågorna var
- Ursprunglig fråga 2: "Ska artikel 5.1 c i dataskyddsförordningen (uppgiftsminimering) tolkas så, att alla personuppgifter som finns hos en sådan plattform som den i det nationella målet (bland annat hos den registrerade eller hos tredje man på och utanför plattformen) får sammanställas, analyseras och behandlas i syfte att rikta reklam utan begränsning i tid eller typ av uppgifter?"
- Ursprunglig fråga 4: "Ska artikel 5.1 b i dataskyddsförordningen, jämförd med artikel 9.2 e i samma förordning, tolkas så, att ett uttalande som en person gör om sin egen sexuella läggning i samband med en paneldiskussion gör det tillåtet att behandla andra uppgifter om sexuell läggning i syfte att sammanställa och analysera uppgifterna för personanpassad reklam?"
Minimering av uppgifter. Den ursprungliga fråga 2 gäller Metas tillvägagångssätt att hävda att alla personuppgifter i huvudsak hamnar i en stor "datapool" och kan användas för personlig reklam på obestämd tid - utan någon begränsning - eftersom detta verkar vara ett uppenbart brott mot principen om uppgiftsminimering. Även om det i vissa fall finns en tydlig gräns för radering (t.ex. när en lagstadgad skyldighet att föra register upphör) är frågan mer komplex när det gäller reklam. Företagen måste utveckla datahanteringsprotokoll för att gradvis radera onödiga uppgifter eller sluta använda dem
Ytterligare användning av känsliga uppgifter. Den ursprungliga frågan 4 gäller ett argument från förstainstansrätten (och delvis från Meta) om att Schrems nämnde sin sexuella läggning vid ett evenemang i Wien och därför (underförstått) kan ha samtyckt till behandling av personuppgifter som rör sexuell läggning (och även sexliv, som skyddas separat i artikel 9 i GDPR) för reklam som ägde rum flera år före det offentliga uttalandet. Det råder enighet om att dessa uttalanden offentliggjordes. Schrems förnekar dock att Meta därför kan ha behandlat andra - mycket personliga - uppgifter under åren dessförinnan. Schrems understryker att principen om "ändamålsbegränsning" gäller parallellt och att information som delas i syfte att kritisera olaglig behandling av Meta inte (retroaktivt) kan tillåta användning av personuppgifter för ett helt annat syfte, t.ex. reklam.
