СЪДЪТ НА ЕС: Meta трябва да "сведе до минимум" използването на лични данни за реклами

• Съобщение за медиите от Съда на ЕС
• Пълно решение
• Резюме на решението на GDPRhub

Катарина Раабе-Щупниг, адвокат, представляващ г-н Шремс:"Много сме доволни от решението, въпреки че този резултат беше много очакван."

Първи въпрос: Досега Meta използва всички лични данни, които някога е събирала, зареклама. Например данните за потребителите на Facebook могат да датират от 2004 г. и да включват данни, въведени от потребителя, от други потребители или данни, събрани чрез онлайн проследяване или проследяване на мобилни приложения. За да се предотвратят подобни практики, в член 5, параграф 1, буква в) от ОРЗД е установен принципът за "свеждане на данните до минимум", който изисква ограничаване на обработката до строго необходимите данни. Досега Meta и много други участници в онлайн рекламното пространство просто пренебрегваха това правило и не предвиждаха никакви срокове за изтриване или ограничаване в зависимост от вида на личните данни. Прилагането на "принципа за свеждане на данните до минимум" радикално ограничава използването на лични данни за реклама. Принципът за свеждане на данните до минимум се прилага независимо от правното основание, използвано за обработката, така че дори потребител, който се съгласява с персонализирана реклама, не може да използва личните си данни безкрайно. В съответствие с обичайната практика на Съда на ЕС Съдът оставя на националните съдилища подробностите за това как да прилагат принципа за свеждане на данните до минимум.

Катарина Раабе-Щупниг: "Meta на практика изгражда огромен фонд от данни за потребителите вече 20 години и той се увеличава всеки ден. Законодателството на ЕС обаче изисква "свеждане на данните до минимум". След това решение само малка част от масива от данни на Meta ще може да се използва за рекламиране - дори когато потребителите са съгласни с рекламите. Това решение се отнася и за всички други компании за онлайн реклама, които не прилагат строги практики за изтриване на данни."

Втори въпрос: Публичната критика не позволява обработката. Съгласно член 9, параграф 2, буква д) от ОРЗД информация, която е "явно публично оповестена", може да бъде обработвана от дружество, тъй като законодателят приема, че субектът на данните се е съгласил с използването. Г-н Шремс твърди, че публичните му коментари са направени години след като е извършена обработка на друга информация. Неговите по-късни коментари не могат да се разглеждат като съгласие с обработката на друга информация преди години и не могат да "пътуват" назад във времето. Другите страни в процедурата също така поставиха въпроса дали самото споменаване на даден факт по време на публично обсъждане би означавало тази информация да стане "явно публична".

Катарина Раабе-Щупниг: "Това би имало огромен смразяващ ефект върху свободата на словото, ако загубиш правото си на защита на данните в момента, в който критикуваш незаконно обработване на лични данни публично. Приветстваме факта, че Съдът на ЕС отхвърли това схващане."

Контекст: В края на 2012 г:

История на делото. Делото се отнася до гражданско производство между Max Schrems, в качеството му на физическо лице, и Meta Ireland Platforms Limited (в качеството му на оператор на "Facebook") пред австрийските съдилища. Делото е заведено за първи път през 2014 г. и за първи път е разгледано изцяло в Австрия през 2020 г. и се отнася до голям брой нарушения на ОРЗД, включително липсата на правно основание за реклама и други подобни. Австрийският върховен съд е отправил четири въпроса към Съда на ЕС през 2021 г. Тъй като обаче друго дело (C-252/21 Bundeskartellamt) отчасти обхващаше подобни въпроси, Съдът на ЕС "постави на пауза" делото между г-н Schrems и Meta до 2024 г. Първоначалните въпроси 1 и 3 бяха (косвено) "спечелени", тъй като СЕС застана на страната на становището на г-н Schrems по дело C-252/21 Bundeskartellamt. След това останалата част от делото беше разгледана в Люксембург на 8 февруари 2024 г., но ограничена до два оставащи въпроса (първоначални въпроси 2 и 4), по които все още не беше взето решение по дело C-252/21 Bundeskartellamt. Останалите въпроси бяха

• Първоначален въпрос 2: "Трябва ли член 5, параграф 1, буква в) от ОРЗД (свеждане на данните до минимум) да се тълкува в смисъл, че всички лични данни, с които разполага платформа като тази в главното производство (по-специално от субекта на данните или от трети лица във и извън платформата), могат да бъдат обобщавани, анализирани и обработвани за целите на целевата реклама без ограничение по отношение на времето или вида на данните?"
  
• Първоначален въпрос 4: "Трябва ли член 5, параграф 1, буква б) от ОРЗД във връзка с член 9, параграф 2, буква д) от него да се тълкува в смисъл, че изявление, направено от дадено лице относно собствената му сексуална ориентация за целите на дискусия, позволява обработването на други данни относно сексуалната ориентация с цел обобщаване и анализиране на данните за целите на персонализираната реклама?"
  

Минимизиране на данните. Първоначалният въпрос 2 се отнася до подхода на Meta, която твърди, че всички лични данни по същество отиват в голям "пул от данни" и могат да се използват за лична реклама неограничено време - без никакви ограничения - тъй като това изглежда очевидно нарушение на принципа за свеждане на данните до минимум. Въпреки че в някои случаи има ясна граница за изтриване (напр. когато приключва правното задължение за съхраняване на документация), въпросът е по-сложен, когато става въпрос за реклама. Дружествата трябва да разработят протоколи за управление на данните, за да изтриват постепенно ненужните данни или да спрат да ги използват

По-нататъшно използване на чувствителни данни. Първоначален въпрос 4 се отнася до аргумента на Първоинстанционния съд (и отчасти на Meta), че г-н Schrems е споменал сексуалната си ориентация на събитие във Виена и следователно може да е дал (имплицитно) съгласие за обработването на всякакви лични данни, свързани със сексуалната ориентация (и всъщност с половия живот, който е отделно защитен в член 9 от ОРЗД) за реклама, която е била направена години преди публичното изявление. Съществува съгласие, че тези изявления са били направени публично. Г-н Шремс обаче отрича, че поради това Meta може да е обработвала други - изключително лични - данни в годините преди това. Г-н Schrems подчертава, че принципът на "ограничаване на целите" се прилага паралелно и че информацията, споделена с цел да се критикува незаконното обработване от Meta, не може (със задна дата) да позволи използването на лични данни за съвсем различна цел, като например реклама.