W dzisiejszym orzeczeniu w sprawie C-446/21 (Schrems przeciwko Meta) Trybunał Sprawiedliwości Unii Europejskiej (TSUE) w pełni poparł pozew wniesiony przeciwko firmie Meta w związku z jej usługą na Facebooku. Trybunał rozstrzygnął dwie kwestie: Po pierwsze, masowe ograniczenie wykorzystywania danych osobowych do reklam internetowych. Po drugie, ograniczenie wykorzystania publicznie dostępnych danych osobowych do pierwotnie zamierzonych celów publikacji.
- Komunikat prasowy TSUE
- Pełny wyrok
- Streszczenie orzeczenia na stronie GDPRhub
Katharina Raabe-Stuppnig, prawniczka reprezentująca pana Schremsa:"Jesteśmy bardzo zadowoleni z orzeczenia, mimo że taki wynik był bardzo oczekiwany"
Pierwsze pytanie: Wykorzystanie danych do celów reklamowych musi być "zminimalizowane". Jak dotąd, Meta wykorzystuje wszystkie dane osobowe, jakie kiedykolwiek zebrała do celów reklamowych. Na przykład dane użytkowników Facebooka mogą sięgać nawet 2004 roku i obejmować dane wprowadzone przez użytkownika, innych użytkowników lub dane zebrane za pośrednictwem śledzenia online lub śledzenia w aplikacjach mobilnych. Aby zapobiec takim praktykom, RODO ustanowiło zasadę "minimalizacji danych" w art. 5 ust. 1 lit. c) RODO, wymagającą ograniczenia przetwarzania do ściśle niezbędnych danych. Do tej pory Meta i wielu innych graczy w internetowej przestrzeni reklamowej po prostu ignorowało tę zasadę i nie przewidywało żadnych okresów usuwania lub ograniczeń w oparciu o rodzaj danych osobowych. Zastosowanie "zasady minimalizacji danych" radykalnie ogranicza wykorzystanie danych osobowych do celów reklamowych. Zasada minimalizacji danych ma zastosowanie niezależnie od podstawy prawnej przetwarzania, więc nawet użytkownik, który wyraża zgodę na spersonalizowaną reklamę, nie może wykorzystywać swoich danych osobowych w nieskończoność. Zgodnie z powszechną praktyką TSUE, Trybunał pozostawił szczegóły dotyczące sposobu wdrożenia zasady minimalizacji danych sądom krajowym.
Katharina Raabe-Stuppnig: "Meta w zasadzie od 20 lat buduje ogromną pulę danych o użytkownikach i rośnie ona z każdym dniem. Prawo UE wymaga jednak "minimalizacji danych". Po tym orzeczeniu tylko niewielka część puli danych Meta będzie mogła być wykorzystywana do celów reklamowych - nawet jeśli użytkownicy wyrażą na to zgodę. Orzeczenie to dotyczy również każdej innej firmy zajmującej się reklamą online, która nie stosuje rygorystycznych praktyk usuwania danych"
Drugie pytanie: Krytyka publiczna nie pozwala na przetwarzanie danych. Zgodnie z art. 9 ust. 2 lit. e) RODO informacje, które są "wyraźnie upublicznione", mogą być przetwarzane przez firmę, ponieważ ustawodawca zakłada, że osoba, której dane dotyczą, wyraziła zgodę na ich wykorzystanie. Pan Schrems argumentował, że jego publiczne komentarze miały miejsce wiele lat po przetworzeniu innych informacji. Jego późniejsze komentarze nie mogły być postrzegane jako zgoda na przetwarzanie innych informacji sprzed lat i nie mogły "cofnąć się" w czasie. Inne strony postępowania również kwestionowały, czy samo wspomnienie o fakcie podczas publicznej dyskusji oznacza, że taka informacja staje się "wyraźnie publiczna".
Katharina Raabe-Stuppnig: " Miałoby to ogromny mrożący wpływ na wolność słowa, gdybyś stracił prawo do ochrony danych w momencie, gdy publicznie krytykujesz niezgodne z prawem przetwarzanie danych osobowych. Cieszymy się, że TSUE odrzucił tę koncepcję."
Kontekst:
Historia sprawy. Sprawa dotyczy postępowania cywilnego pomiędzy Maxem Schremsem, jako osobą fizyczną, a Meta Ireland Platforms Limited (jako operatorem "Facebooka") przed sądami austriackimi. Sprawa została wniesiona po raz pierwszy w 2014 r., a po raz pierwszy w pełni rozpatrzona w Austrii w 2020 r. i dotyczy dużej liczby naruszeń RODO, w tym braku podstawy prawnej dla reklam itp. Austriacki Sąd Najwyższy skierował cztery pytania do TSUE w 2021 roku. Ponieważ jednak inna sprawa (C-252/21 Bundeskartellamt) częściowo obejmowała podobne pytania, TSUE "wstrzymał" sprawę między panem Schremsem a Metą do 2024 roku. Pierwotne pytania 1 i 3 zostały (pośrednio) "wygrane", ponieważ TSUE stanął po stronie pana Schremsa w sprawie C-252/21 Bundeskartellamt. Pozostała część sprawy została następnie rozpatrzona w Luksemburgu w dniu 8 lutego 2024 r., ale ograniczała się do dwóch pozostałych pytań (pierwotne pytania 2 i 4), które nie zostały jeszcze rozstrzygnięte w sprawie C-252/21 Bundeskartellamt. Pozostałe pytania były następujące
- Pytanie pierwotne nr 2: "Czy art. 5 ust. 1 lit. c) RODO (minimalizacja danych) należy interpretować w ten sposób, że wszystkie dane osobowe będące w posiadaniu platformy takiej jak ta w postępowaniu głównym (w szczególności osoby, której dane dotyczą, lub osób trzecich na platformie i poza nią) mogą być agregowane, analizowane i przetwarzane do celów reklamy ukierunkowanej bez ograniczeń co do czasu lub rodzaju danych?"
- Pytanie pierwotne nr 4: "Czy art. 5 ust. 1 lit. b) RODO w związku z art. 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, że oświadczenie złożone przez osobę na temat własnej orientacji seksualnej do celów dyskusji panelowej zezwala na przetwarzanie innych danych dotyczących orientacji seksualnej w celu agregowania i analizowania danych do celów spersonalizowanej reklamy?"
Minimalizacja danych. Pierwotne pytanie nr 2 dotyczy podejścia firmy Meta polegającego na twierdzeniu, że wszystkie dane osobowe trafiają zasadniczo do dużej "puli danych" i mogą być wykorzystywane do celów reklamy osobistej w nieskończoność - bez żadnych ograniczeń - ponieważ wydaje się to oczywistym naruszeniem zasady minimalizacji danych. Podczas gdy w niektórych przypadkach istnieje wyraźny limit usuwania danych (np. gdy kończy się prawny obowiązek prowadzenia dokumentacji), kwestia ta jest bardziej złożona, jeśli chodzi o reklamę. Firmy muszą opracować protokoły zarządzania danymi, aby stopniowo usuwać niepotrzebne dane lub zaprzestać ich wykorzystywania
Dalsze wykorzystanie danych wrażliwych. Pierwotne pytanie nr 4 dotyczy argumentu Sądu Pierwszej Instancji (i częściowo Meta), że pan Schrems wspomniał o swojej orientacji seksualnej podczas wydarzenia w Wiedniu, a zatem mógł (w sposób dorozumiany) wyrazić zgodę na przetwarzanie wszelkich danych osobowych związanych z orientacją seksualną (a nawet życiem seksualnym, które jest oddzielnie chronione w art. 9 RODO) w celach reklamowych, które miały miejsce wiele lat przed publicznym oświadczeniem. Istnieje zgoda co do tego, że oświadczenia te zostały upublicznione. Pan Schrems zaprzecza jednak, że Meta mogła w związku z tym przetwarzać inne - wysoce osobiste - dane w poprzednich latach. Pan Schrems podkreśla, że zasada "ograniczenia celu" obowiązuje równolegle i że informacje udostępniane w celu krytyki niezgodnego z prawem przetwarzania danych przez Meta nie mogą (z mocą wsteczną) zezwalać na wykorzystywanie danych osobowych do zupełnie innych celów, takich jak reklama.
