Tänään antamassaan tuomiossa asiassa C-446/21 (Schrems v. Meta) Euroopan unionin tuomioistuin (EUT) on tukenut täysin Metaa vastaan sen Facebook-palvelusta nostettua kannetta. Tuomioistuin ratkaisi kaksi kysymystä: Ensinnäkin henkilötietojen käytön massiivinen rajoittaminen verkkomainoksissa. Toiseksi julkisesti saatavilla olevien henkilötietojen käytön rajoittaminen alun perin tarkoitettuihin julkaisutarkoituksiin.
- EU:n tuomioistuimen lehdistötiedote
- Täydellinen tuomio
- Yhteenveto tuomiosta GDPRhubissa
Schremsiä edustava asianajaja Katharina Raabe-Stuppnig:"Olemme erittäin tyytyväisiä tuomioon, vaikka tämä tulos olikin hyvin odotettu."
Ensimmäinen kysymys: Tietojen käyttö mainontaan on "minimoitava". Tähän mennessä Meta on käyttänyt kaikkia koskaan keräämiään henkilötietoja mainontaan. Esimerkiksi Facebookin käyttäjätiedot voivat ulottua aina vuoteen 2004 asti, ja niihin voi sisältyä käyttäjän itse syöttämiä tietoja, muiden käyttäjien syöttämiä tietoja tai verkkoseurannan tai mobiilisovellusten seurannan avulla kerättyjä tietoja. Tällaisten käytäntöjen estämiseksi tietosuoja-asetuksessa vahvistettiin 5 artiklan 1 kohdan c alakohdassa "tietojen minimoinnin" periaate, jonka mukaan käsittely on rajoitettava ehdottoman välttämättömiin tietoihin. Toistaiseksi Meta ja monet muut verkkomainonnan toimijat ovat yksinkertaisesti jättäneet tämän säännön huomiotta eivätkä ole varautuneet poistoaikoihin tai henkilötietojen tyyppiin perustuviin rajoituksiin. Tietojen minimointiperiaatteen soveltaminen rajoittaa radikaalisti henkilötietojen käyttöä mainonnassa. Tietojen minimointiperiaatetta sovelletaan käsittelyn oikeusperustasta riippumatta, joten edes käyttäjän, joka antaa suostumuksensa henkilökohtaiseen mainontaan, henkilötietoja ei voida käyttää loputtomiin. EUT:n yleisen käytännön mukaisesti tuomioistuin jätti tietojen minimoinnin periaatteen täytäntöönpanon yksityiskohdat kansallisten tuomioistuinten ratkaistavaksi.
Katharina Raabe-Stuppnig: "Meta on periaatteessa kerännyt valtavaa tietovarantoa käyttäjistä jo 20 vuoden ajan, ja se kasvaa joka päivä. EU:n lainsäädännössä edellytetään kuitenkin tietojen minimointia. Tämän tuomion jälkeen vain pientä osaa Metan tietovarannosta saa käyttää mainontaan - myös silloin, kun käyttäjät antavat siihen suostumuksensa. Tämä päätös koskee myös kaikkia muita verkkomainosyrityksiä, joilla ei ole tiukkoja tietojen poistokäytäntöjä."
Toinen kysymys: Julkinen kritiikki ei salli käsittelyä. Yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdan mukaan yritys voi käsitellä tietoja, jotka ovat "ilmeisen julkisia", koska lainsäätäjä olettaa, että rekisteröity on antanut suostumuksensa tietojen käyttöön. Schrems väitti, että hänen julkiset kommenttinsa annettiin vuosia sen jälkeen, kun muita tietoja oli käsitelty. Hänen myöhempiä kommenttejaan ei voitu pitää suostumuksena muiden tietojen käsittelyyn vuosia sitten, eikä niitä voitu pitää ajassa taaksepäin siirtyneinä. Muut menettelyn osapuolet kyseenalaistivat myös sen, onko pelkkä tosiseikan mainitseminen julkisessa keskustelussa sellainen tieto, joka on "ilmeisen julkinen".
Katharina Raabe-Stuppnig: "Sananvapautta heikentäisi suuresti se, että menettäisi oikeutensa tietosuojaan sillä hetkellä, kun kritisoi henkilötietojen lainvastaista käsittelyä julkisesti. Olemme tyytyväisiä siihen, että EUT on hylännyt tämän käsityksen."
Taustaa:
Tapauksen historia. Asia koskee yksityishenkilön Max Schremsin ja Meta Ireland Platforms Limitedin (Facebookin" ylläpitäjänä) välistä siviilioikeudellista menettelyä Itävallan tuomioistuimissa. Asia jätettiin ensimmäisen kerran vuonna 2014 ja sitä käsiteltiin kokonaisuudessaan Itävallassa ensimmäisen kerran vuonna 2020, ja se koskee lukuisia GDPR:n rikkomuksia, kuten mainonnan oikeusperustan puuttumista ja muuta vastaavaa. Itävallan korkein oikeus on esittänyt neljä kysymystä Euroopan unionin tuomioistuimelle vuonna 2021. Koska toisessa asiassa (C-252/21 Bundeskartellamt) käsiteltiin kuitenkin osittain samankaltaisia kysymyksiä, EUT "keskeytti" Schremsin ja Metan välisen asian käsittelyn vuoteen 2024 saakka. Alkuperäiset kysymykset 1 ja 3 "voitettiin" (epäsuorasti), koska EUT asettui asiassa C-252/21 Bundeskartellamt Schremsin kannalle. Asian loppuosa käsiteltiin sitten Luxemburgissa 8. helmikuuta 2024, mutta se rajoittui kahteen jäljellä olevaan kysymykseen (alkuperäiset kysymykset 2 ja 4), joita ei ollut jo ratkaistu asiassa C-252/21 Bundeskartellamt. Jäljellä olevat kysymykset olivat
- Alkuperäinen kysymys 2: "Onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa (tietojen minimointi) tulkittava siten, että kaikki pääasian oikeudenkäynnin kaltaisen alustan hallussa olevat henkilötiedot (erityisesti rekisteröidyn tai alustalla ja sen ulkopuolella olevien kolmansien osapuolten kautta) voidaan koota yhteen, analysoida ja käsitellä kohdennettua mainontaa varten ilman ajallista tai tietolajiin liittyvää rajoitusta?"
- Alkuperäinen kysymys 4: "Onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä sen 9 artiklan 2 kohdan e alakohdan kanssa, tulkittava siten, että henkilön paneelikeskustelua varten antama lausunto omasta seksuaalisesta suuntautumisestaan sallii muiden sukupuoliseen suuntautumiseen liittyvien tietojen käsittelyn tietojen yhdistämiseksi ja analysoimiseksi kohdennettua mainontaa varten?"
Tietojen minimointi. Alkuperäinen kysymys 2 koskee Metan lähestymistapaa, jossa väitetään, että kaikki henkilötiedot menevät pohjimmiltaan suureen "data-altaaseen" ja niitä voidaan käyttää henkilökohtaiseen mainontaan loputtomiin - ilman mitään rajoituksia - koska tämä vaikuttaa olevan ilmeinen tietojen minimoinnin periaatteen rikkominen. Vaikka joissakin tapauksissa on olemassa selkeä raja tietojen poistamiselle (esim. kun lakisääteinen velvollisuus säilyttää tietoja päättyy), mainonnan osalta asia on monimutkaisempi. Yritysten on kehitettävä tiedonhallintaprotokollia, jotta tarpeettomat tiedot voidaan poistaa asteittain tai lopettaa niiden käyttö.
Arkaluonteisten tietojen jatkokäyttö. Alkuperäinen kysymys 4 koskee ensimmäisen oikeusasteen tuomioistuimen (ja osittain myös Metan) väitettä, jonka mukaan Schrems mainitsi seksuaalisen suuntautumisensa Wienissä järjestetyssä tapahtumassa ja saattoi näin ollen (implisiittisesti) antaa suostumuksensa seksuaaliseen suuntautumiseen (ja itse asiassa sukupuolielämään, joka on erikseen suojattu yleisen tietosuoja-asetuksen 9 artiklassa) liittyvien henkilötietojen käsittelyyn mainonnassa, joka tapahtui vuosia ennen julkista lausuntoa. On sovittu, että nämä lausunnot julkistettiin. Schrems kuitenkin kiistää, että Meta olisi näin ollen saattanut käsitellä muita - erittäin henkilökohtaisia - tietoja edeltävinä vuosina. Schrems korostaa, että "käyttötarkoituksen rajoittamisen" periaatetta sovelletaan rinnakkain ja että tiedot, jotka on jaettu Meta:n lainvastaisen käsittelyn arvostelemiseksi, eivät voi (takautuvasti) sallia henkilötietojen käyttämistä täysin muuhun tarkoitukseen, kuten mainontaan.
