Неокончателна редакция
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
A. RANTOS
представено на 25 април 2024 година(1)
Дело C‑446/21
Maximilian Schrems
срещу
Meta Platforms Ireland Limited, по-рано Facebook Ireland Limited
(Преюдициално запитване, отправено от Oberster Gerichtshof (Върховен съд, Австрия)
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Социални мрежи — Член 5, параграф 1, буква б) — Принцип на „ограничение на целите“ — Член 5, параграф 1, буква д) — Принцип на „свеждане на данните до минимум“ — Член 9, параграф 1 и параграф 2, буква д) — Обработване на специални категории лични данни — Лични данни, които явно са направени обществено достояние от субекта на данните — Персонализирана реклама — Данни за сексуалната ориентация“
Въведение
1. Настоящото преюдициално запитване е отправено от Oberster Gerichtshof (Върховен съд, Австрия) в рамките на спор между г‑н Maximilian Schrems (наричан по-нататък „ищецът“), ползвател на социалната мрежа „Facebook“, и Meta Platforms Ireland Limited, по-рано Facebook Ireland Limited (наричано по-нататък „Meta Platforms Ireland“ или „ответникът“), във връзка с твърдяното незаконосъобразно обработване от това дружество на неговите лични данни.
2. Поставените по настоящото дело преюдициални въпроси се отнасят, от една страна, до прилагането на принципа на „свеждане на данните до минимум“, предвиден в член 5, параграф 1, буква в) от Регламент (ЕС) 2016/679(2), и от друга страна, до тълкуването на понятието „лични данни, които явно са направени обществено достояние от субекта на данните“, по член 9, параграф 2, буква д) от този регламент във връзка с член 5, параграф 1, буква б) от посочения регламент, с който се въвежда принципът на „ограничение на целите“. По същество запитващата юрисдикция иска да установи, от една страна, дали принципът на свеждане на данните до минимум позволява личните данни да се обработват без ограничение в зависимост от време или вид на данните, и от друга страна, дали думите на лице относно неговата сексуална ориентация в рамките на дискусионна група позволяват обработването на други данни, свързани със сексуалната ориентация на това лице, за целите на персонализираната реклама.
Правна уредба
3. Член 4 от ОРЗД, озаглавен „Определения“, гласи в точка 11:
„За целите на настоящия регламент:
[…]
11) „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени“.
4. Член 5 от този регламент, озаглавен „Принципи, свързани с обработването на лични данни“, предвижда в параграфи 1 и 2:
„1. „Личните данни са:
а) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);
б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; […]
в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);
[…]
2. Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.
5. Член 6 от посочения регламент, озаглавен „Законосъобразност на обработването“, предвижда в параграфи 1 и 3:
„1. Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;
[…]
е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.
[…]
3. Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:
а) правото на Съюза или
б) правото на държавата членка, което се прилага спрямо администратора.
[…]
[…] Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел“.
6. Член 7 от същия регламент, озаглавен „Условия за даване на съгласие“, има следния текст:
„1. Когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни.
[…]
3. Субектът на данни има правото да оттегли съгласието си по всяко време. Оттеглянето на съгласието не засяга законосъобразността на обработването, основано на дадено съгласие преди неговото оттегляне. Преди да даде съгласие, субектът на данни бива информиран за това. Оттеглянето на съгласие е също толкова лесно, колкото и даването му.
4. Когато се прави оценка дали съгласието е било свободно изразено, се отчита най-вече дали, inter alia, изпълнението на даден договор, включително предоставянето на дадена услуга, е поставено в зависимост от съгласието за обработване на лични данни, което не е необходимо за изпълнението на този договор“.
7. Член 9 от ОРЗД е озаглавен „Обработване на специални категории лични данни“ и параграфи 1 и 2 от него гласят:
„1. Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице.
2. Параграф 1 не се прилага, ако е налице едно от следните условия:
а) субектът на данни е дал своето изрично съгласие за обработването на тези лични данни за една или повече конкретни цели, освен когато в правото на Съюза или правото на държава членка се предвижда, че посочената в параграф 1 забрана не може да бъде отменена от субекта на данни;
б) обработването е необходимо за целите на изпълнението на задълженията и упражняването на специалните права на администратора или на субекта на данните по силата на трудовото право и правото в областта на социалната сигурност и социалната закрила, дотолкова, доколкото това е разрешено от правото на Съюза или правото на държава членка, или съгласно колективна договореност в съответствие с правото на държава членка, в което се предвиждат подходящи гаранции за основните права и интересите на субекта на данните;
[…]
д) обработването е свързано с лични данни, които явно са направени обществено достояние от субекта на данните;
[…]“.
8. Член 13 от този регламент, отнасящ се до „[и]нформация[та], предоставяна при събиране на лични данни от субекта на данните“, предвижда в параграф 1:
„Когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните цялата посочена по-долу информация:
[…]
в) целите на обработването, за което личните данни са предназначени, както и правното основание за обработването;
г) когато обработването се извършва въз основа на член 6, параграф 1, буква е), законните интереси, преследвани от администратора или от трета страна;
[…]“.
Спорът в главното производство, преюдициалните въпроси и производството пред Съда
9. Meta Platforms Ireland, дружество по ирландското право, управлява мрежата за затворена комуникация „Facebook“, която по същество представлява социална онлайн мрежа за споделяне на съдържание(3). В същността си неговият икономически модел се изразява в предлагане на безплатни услуги на социална мрежа на частните му ползватели и в продажба на онлайн реклама, включително на целева реклама към ползвателите(4). Тази реклама се основава главно на автоматизираното изготвяне на сравнително подробни профили на ползвателите на тази социална мрежа(5).
10. През 2018 г., след влизането в сила на ОРЗД, Meta Platforms Ireland представя нови условия за ползване на Facebook на потребителите си в Европейския съюз за получаване на съгласието им, което освен това е необходимо, за да могат да се регистрират или да имат достъп до акаунтите и услугите, предоставяни от Facebook(6). Новите условия за ползване също така дават възможност на ползвателите да се запознаят със съхраняваните данни и да ги контролират(7).
11. Ищецът е потребител на Facebook, който е приел новите условия за ползване, представени от Facebook. Както е видно от акта за преюдициално запитване, той е направил обществено достояние това, че е хомосексуален, но никога не е посочвал своята сексуална ориентация и не е публикувал чувствителни данни в профила си във Facebook(8). Ищецът не е разрешил също така на ответника използването за целева реклама на информация от профила му в областите: статус на връзката, работодател, професия и образование.
12. Ищецът обаче получил реклама на жена политик и тази реклама му е показана въз основа на анализ, че е налице сходство между него и други „клиенти“, които са отбелязали този политик с „Харесвам“; той редовно получавал реклами, насочени към хомосексуални лица, и покани за съответни събития, въпреки че никога преди това не се е интересувал от тези събития и дори не е знаел местата, в които те се провеждат. Тези реклами или тези покани не са били основани директно на сексуалната ориентация на ищеца или неговите „приятели“ в социалната мрежа, а на анализа на техните интереси(9). От друга страна, Meta Platforms Ireland регистрирало всички данни, отнасящи се до ищеца, включително данни, получени посредством трети страни или плъгини, и ги съхранявало за неопределен период от време.
13. При тези обстоятелства ищецът предявява пред Landesgericht für Zivilsachen Wien (Областен съд по граждански дела Виена, Австрия) иск за принудително изпълнение, за установяване и за преустановяване на твърдяното незаконосъобразно обработване на неговите лични данни от Meta Platforms Ireland(10).
14. Впоследствие, по повод на групова дискусия, организирана от представителството на Европейската комисия във Виена (Австрия)(11) и проведена на 12 февруари 2019 г., ищецът посочва сексуалната си ориентация по време на изявление, целящо да оповести твърдяното незаконосъобразно обработване от страна на Meta Platforms Ireland на данни, свързани с тази сексуална ориентация(12).
15. След като искът на ищеца е отхвърлен на първа инстанция с решение от 30 юни 2020 г., а във въззивното производство от Oberlandesgericht Wien (Висш областен съд Виена, Австрия) — с решение от 7 декември 2020 г.(13), той подава ревизионна жалба пред запитващата юрисдикция Oberster Gerichtshof (Върховен съд, Австрия).
16. В този контекст Oberster Gerichtshof (Върховен съд) решава да спре производството и да отправи до Съда четири преюдициални въпроса(14). Тъй като първият и третият преюдициален въпрос са оттеглени след постановяването на решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа)(15), настоящото дело се отнася до втория и четвъртия въпрос, формулирани, както следва:
„2) Трябва ли член 5, параграф 1, буква в) от ОРЗД (свеждане на данните до минимум) да се тълкува в смисъл, че всички лични данни, с които разполага платформа, като тази в главното производство (по-специално от субекта на данни или от трети страни на и извън платформата), могат да се събират, анализират и обработват за целите на целевата реклама без ограничение в зависимост от време или вид на данните?
4) Трябва ли член 5, параграф 1, буква б) във връзка с член 9, параграф 2, буква д) от ОРЗД да се тълкува в смисъл, че изразяване на собствената сексуална ориентация за целите на дискусионна група позволява обработването на други данни за сексуалната ориентация с оглед на събирането и анализирането на данни за целите на персонализираната реклама?“.
17. Писмени становища представят ищецът, Meta Platforms Ireland, австрийското, френското, италианското и португалското правителство, както и Комисията. В съдебното заседание за изслушване на устните състезания, проведено на 8 февруари 2024 г., устни становища представят ищецът, Meta Platforms Ireland, австрийското правителство и Комисията.
Анализ
По втория преюдициален въпрос
18. С втория си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 5, параграф 1, буква в) от ОРЗД, в който е закрепен принципът на свеждане на данните до минимум, трябва да се тълкува в смисъл, че всички лични данни, с които разполага мрежа като Facebook, по-специално посредством субекта на данни или трети страни на и извън тази платформа, могат да се събират, анализират и обработват за целите на целевата реклама без ограничение в зависимост от време или вид на данните.
19. В самото начало е важно да се припомни, че всяко обработване на лични данни трябва, от една страна, да съответства на принципите относно обработването на данни, прогласени в член 5 от ОРЗД, и от друга страна, да отговаря на едно от условията, свързани със законосъобразността на обработването, изброени в член 6 от този регламент(16).
20. Що се отнася по-конкретно до принципите, свързани с обработването на лични данни, Съдът по-специално уточнява, че съдържащият се в член 5, параграф 1, буква в) от ОРЗД принцип на свеждане на данните до минимум предвижда, че личните данни трябва да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват, което по същество отразява принципа на пропорционалност(17). Следователно принципът на свеждане на данните до минимум цели да сведе до минимум ограниченията на правото на защита на личните данни, причинени от въпросното обработване.
21. В случая ми се струва очевидно, че евентуалната липса на каквото и да е ограничение, както предполага запитващата юрисдикция, по дефиниция би била в противоречие с прилагането на принципа за свеждане на данните до минимум. В преписката, с която е сезиран Съдът, обаче липсват доказателства, които да потвърждават или изключват подобно предположение, което във всеки случай попада в обхвата на преценката на запитващата юрисдикция. Въпреки това ще се постарая да дам на тази юрисдикция някои полезни насоки относно тълкуването на разглежданата разпоредба, които могат да ѝ позволят да се произнесе по висящото пред нея дело.
22. Що се отнася, от една страна, до ограничението във времето на обработването на лични данни, считам, че при липсата на конкретна разпоредба в това отношение в ОРЗД съдът на Съюза не може императивно да определи срок за съхраняването на тези данни. От друга страна, Съдът е постановил, че дори обработване на точни данни, което първоначално е било законосъобразно, може с времето да стане несъвместимо по-специално с член 5, параграф 1, букви в)—д) от ОРЗД, когато данните вече не са необходими за целите, за които са събирани или обработвани(18). Следователно запитващата юрисдикция следва да прецени, като вземе предвид обстоятелствата по случая и приложи принципа на пропорционалност(19), доколко срокът за съхраняване на личните данни от Meta Platforms Ireland е обоснован с оглед на легитимната цел за обработване на тези данни за целите на персонализираната реклама.
23. От друга страна, що се отнася до ограничението на обработването на лични данни в зависимост от вида на данните, запитващата юрисдикция следва също така да определи, при обстоятелствата в конкретния случай, личните данни, чието обработване може да се счита за законосъобразно, при спазване на принципа на пропорционалност.
24. Впрочем позоваванията в текста на член 5, параграф 1, буква в) от ОРЗД на твърде общи условия, като „адекватност“, „релевантност“ и „необходимост“, според мен показват, че законодателят на Съюза е възнамерявал да остави широка свобода на преценка на компетентните органи при прилагането на тази разпоредба, доколкото тези условия могат да се тълкуват само за всеки отделен случай, като се вземат предвид конкретните обстоятелства.
25. След това уточнение считам, както посочва Комисията в писменото си становище, че могат да се направят някои разграничения, в зависимост от степента на намеса на отделните форми на обработване в правата на субекта на данни. Следователно запитващата юрисдикция би могла, когато счете за уместно, от една страна, да направи разграничение между използването на „статични“ данни за субекта на данните (като възраст(20) или пол) и използването на „поведенчески“ данни (като наблюдение на навиците на потребителите за сърфиране), като последното по принцип представлява по-голямо вмешателство по отношение на правата на субекта на данни. Що се отнася по-специално до „поведенческите“ данни, би могло да се направи допълнително разграничение между събирането на данни, отнасящи се до „активно“ поведение (като натискането на бутона „Харесвам“), и събирането на данни, отнасящи се до „пасивно“ поведение (като простото посещение на уебсайт), което обикновено е по-голямо вмешателство за потребителя. От друга страна, би могло да се направи разграничение и между обработването на лични данни, събирани на платформата Facebook, и извън нея, т.е. на интернет страници, на приложения, различни от Facebook, или на устройствата на потребителите, като последното представлява по-голямо вмешателство от първото(21).
26. Според мен в рамките на този анализ е важно да се вземат предвид и разумните очаквания на субектите на данни(22).
27. От друга страна, в ситуация като съществуващата преди влизането в сила на ОРЗД, при която обработването на данните, събрани извън платформата Facebook, не се е основавало на съгласие, а по-скоро на необходимостта от обработване за изпълнението на договора съгласно член 6, параграф 1, буква б) от този регламент(23), трябва да се вземе предвид стриктното тълкуване на тази разпоредба, дадено от Съда(24). Ето защо е важно, както подчертава италианското правителство в писменото си становище, да се избегне възможността разширително тълкуване на принципа за свеждане до минимум на данните на основание член 5 от посочения регламент да позволи на администраторите да разширят категориите лични данни, считани за необходими за изпълнението на договора на основание член 6, параграф 1, буква б) от същия регламент.
28. С оглед на гореизложеното предлагам на втория преюдициален въпрос да се отговори, че член 5, параграф 1, буква в) от ОРЗД трябва да се тълкува в смисъл, че не допуска лични данни да се обработват за целите на целевата реклама без ограничение в зависимост от време или вид на данните, и че запитващата юрисдикция следва да прецени, като вземе предвид обстоятелствата по случая и приложи принципа на пропорционалност, доколко срокът за съхраняване на данните и обемът обработвани данни са обосновани с оглед на легитимната цел за обработване на тези данни за целите на персонализираната реклама.
По четвъртия преюдициален въпрос
29. С четвъртия си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 5, параграф 1, буква б) във връзка с член 9, параграф 2, буква д) от ОРЗД трябва да се тълкува в смисъл, че обстоятелството, че дадено лице е изразило сексуалната си ориентация в рамките на дискусионна група, позволява обработването от Meta Platforms Ireland на други данни за сексуалната му ориентация с цел да му предложи персонализирана реклама. В по-общ план запитващата юрисдикция иска да се установи какъв е обхватът на последната разпоредба и по-точно, повдига въпроса как обществеността трябва да се е сдобила с чувствителните данни на това лице, за да се приложи член 9, параграф 2 от ОРЗД.
По релевантността на преюдициалния въпрос
30. В писменото и устното си становище Meta Platforms Ireland уточнява — без останалите страни да оспорват това в съдебното заседание — че в нито един момент по време на производството пред националните съдилища не се е позовало на изключението, предвидено в член 9, параграф 2, буква д) от ОРЗД като правно основание за разглежданото обработване на данни(25).
31. В такъв случай обаче четвъртият преюдициален въпрос изглеждал очевидно ирелевантен, след като това изключение не би било приложимо в настоящото дело(26).
32. Следва обаче да се припомни, че според постоянната практика на Съда в рамките на предвиденото в член 267 ДФЕС производство, основано на ясно разделение на правомощията между националните юрисдикции и Съда, въпросите, които са свързани с тълкуването на правото на Съюза и са поставени от националния съд в нормативната и фактическа рамка, която той определя съгласно своите собствени правомощия(27) и проверката на чиято точност не е задача на Съда, се ползват с презумпция за релевантност(28).
33. Ето защо в следващите точки ще предложа отговор на четвъртия преюдициален въпрос, поставен от запитващата юрисдикция, без да се засяга решението на Съда относно релевантността на този въпрос.
По съществото на преюдициалния въпрос
34. В самото начало припомням, че съгласно член 5, параграф 1, буква б) от ОРЗД, който закрепва принципа на ограничение на целите, личните данни са събирани за конкретни, изрично указани и легитимни цели и не трябва да се обработват по-нататък по начин, несъвместим с тези цели. Съгласно член 9, параграф 1 от този регламент се забранява обработването на лични данни по-специално за сексуалния живот или сексуалната ориентация на физическото лице, освен ако такова обработване не попада в обхвата на някое от изключенията, предвидени в член 9, параграф 2 от посочения регламент(29).
35. По-конкретно, по силата на член 9, параграф 2, буква д) от ОРЗД забраната за обработване на чувствителни лични данни не се прилага, ако обработването се отнася до лични данни, които явно са направени обществено достояние от субекта на данните. Както посочих в заключението си по дело Meta Platforms и др. (Общи условия за използване на социална мрежа)(30), употребата в текста на тази разпоредба на наречието „явно“ и фактът, че посочената разпоредба представлява изключение от принципа на обща забрана на обработването на чувствителни лични данни, налагат това изключение да се прилага особено стриктно поради значителните рискове за основните права и свободи на субектите на данни(31). За да може да се приложи това изключение, ползвателят според мен трябва да има пълното съзнание, че с изричен акт прави лични данни, отнасящи се до него, достъпни за всеки(32).
36. В главното производство чувствителните данни, свързани със сексуалната ориентация на ищеца, са били разпространени извън платформата на Facebook („извън сайта“) и всяка друга платформа или компютърно приложение, в рамките на дискусионна група, организирана от Комисията(33), с цел да се обяви обработването от Meta Platforms Ireland на данни за тази сексуална ориентация, за което се твърди, че е незаконосъобразно(34).
37. В това отношение Съдът е имал вече повод да се произнесе по използването на данни „извън сайта“, в контекста на други платформи, в решението Meta Platforms и др. (Общи условия за използване на социална мрежа)(35). По този повод Съдът постановява, че член 9, параграф 2, буква д) от ОРЗД трябва да се тълкува в смисъл, че когато ползвател на социална онлайн мрежа посещава уебсайтове или приложения, свързани с една или повече от упоменатите в член 9, параграф 1 от ОРЗД категории данни, той не прави явно обществено достояние по смисъла на първата от тези разпоредби данните за това посещаване, събрани от оператора на тази социална онлайн мрежа чрез „бисквитки“ или подобни технологии за записване, и че когато въвежда данни в такива уебсайтове или приложения или натиска вградени в тези сайтове или приложения бутони, като бутоните „Харесвам“ или „Споделяне“, или бутоните, които позволяват на ползвателя да се идентифицира на тези сайтове или приложения, като използва идентификаторите за връзка, свързани с потребителския му акаунт в социалната мрежа, телефонния му номер или имейла му, такъв ползвател явно прави обществено достояние по смисъла на член 9, параграф 2, буква д) от ОРЗД така въведените данни или данните, резултат от натискането на тези бутони, само в случай че изрично е изразил предварително решението си, евентуално след напълно информирано извършване на индивидуални настройки, да направи свързаните с него данни публично достъпни за неограничен брой лица(36)
38. Запитващата юрисдикция обаче счита за необходимо да продължи да поддържа четвъртия си преюдициален въпрос, с мотива, че действията, разгледани от Съда по последното дело, са свързани с посещаването на уебсайтове или приложения, както и с натискането на вградени в тях бутони, докато в случая става въпрос за направено от субекта на данни изявление относно неговата сексуална ориентация, по повод групова дискусия. В това отношение посочената юрисдикция счита, че от такова изявление не може да се направи извод за съгласие по смисъла на член 9, параграф 2, буква д) от ОРЗД.
39. В това отношение считам за уместно да се направи разграничение между, от една страна, преюдициалния въпрос дали изявлението на ищеца за неговата сексуална ориентация представлява действие, с което той явно прави обществено достояние тази сексуална ориентация по смисъла на член 9, параграф 2, буква д) от ОРЗД, и от друга страна, при утвърдителен отговор на този въпрос, въпроса дали фактът, че явно е направил обществено достояние сексуалната си ориентация, позволява обработването на данни относно тази сексуална ориентация за целите на персонализираната реклама по смисъла по-специално на членове 5 и 6 от този регламент.
40. Що се отнася, на първо място, до квалификацията, която следва да получи изявлението на ищеца по смисъла на член 9, параграф 2, буква а) от ОРЗД, при липсата на полезни указания, които биха могли да произтекат от генезиса на тази разпоредба и прилагането ѝ в съдебната практика(37), отбелязвам, че изключението по член 9, параграф 2, буква д) от този регламент по същество изисква да са изпълнени две кумулативни условия, а именно, от една страна, „обективно“ условие, че въпросните лични данни трябва да са „явно направени обществено достояние“, и от друга страна, „субективно“ условие, че „субектът на данните“ е този, който трябва да направи тези данни обществено достояние.
41. В главното производство, освен ако запитващата юрисдикция не установи друго, ми се струва, че тези две условия са изпълнени. Всъщност, макар да е инцидентно разпространено в рамките на по-широка и критична по отношение на обработването на чувствителни данни от страна на Meta Platforms Ireland реч, считам, че направеното от ищеца изявление представлява действие, с което той напълно съзнателно явно прави обществено достояние сексуалната си ориентация.
42. Що се отнася до първото условие, струва ми се твърде вероятно — предвид открития характер на груповата дискусия, която е била излъчена на живо, а след това препредадена отново в streaming(38), както и интереса на обществеността към обсъжданата на нея тема — изявлението на ищеца да е успяло да достигне неопределена публика, доста по-многобройна от тази, намираща се в залата(39).
43. Що се отнася до второто условие, напълно възможно е според мен да се предположи, че като е споменал открито сексуалната си ориентация при обстоятелствата в конкретния случай (по-специално, в рамките на открито и достъпно за пресата събитие), ищецът е имал ако не намерение, то поне пълното съзнание „явно“ да направи тази ориентация „обществено достояние“ по смисъла на съдебната практика, цитирана в точка 35 от настоящото заключение(40).
44. Впрочем според мен целта на предоставената с член 9, параграф 1 от ОРЗД защита е да се предотврати излагането на субекта на данни на неблагоприятни последици (като например публично опозоряване или дискриминационни действия), произтичащи по-специално от негативно от социална или икономическа гледна точка възприемане на изброените в него случаи(41). Следователно тази разпоредба предвижда специална защита на тези лични данни чрез принципна неабсолютна забрана, чието прилагане в конкретния случай подлежи на преценка от субекта на данни, който най-добре може да прецени неблагоприятните последици, които биха могли да произтекат от разпространението на въпросните данни, и който може евентуално да се откаже от тази защита или да не се позове на нея напълно съзнателно, като явно направи обществено достояние по смисъла на член 9, параграф 2, буква д) от този регламент своето положение, и по-специално сексуалната си ориентация.
45. Що се отнася, на второ място, до анализа на последиците, произтичащи от обстоятелството, че явно е направил обществено достояние сексуалната си ориентация, по отношение на обработването на тези чувствителни данни от Meta Platforms Ireland по смисъла на членове 5 и 6 от ОРЗД, считам, че фактът, че някои данни явно са направени обществено достояние по смисъла на член 9, параграф 2, буква д) от този регламент, сам по себе си не позволява да се извърши обработване на тези данни по смисъла на посочения регламент.
46. Всъщност прилагането на последната разпоредба просто води до премахване на „специалната защита“, предоставена на някои особено чувствителни лични данни. След като тази защита съзнателно е отхвърлена от самия субект на данните (който явно ги е направил обществено достояние), тези първоначално „защитени“ лични данни се превръщат в „обикновени“ (т.е. нечувствителни) данни, които, подобно на всички други лични данни, могат да бъдат законосъобразно обработвани само при условията, предвидени по-специално в членове 6 и 7 от ОРЗД, и при спазване на принципите, залегнали по-специално в член 5 от този регламент(42), включително на принципа на ограничение на целите, установен в член 5, параграф 1, буква б) от посочения регламент, който изисква личните данни да са събирани за конкретни, изрично указани и легитимни цели, което администраторът следва да докаже по силата на параграф 2 от въпросната разпоредба(43).
47. Следователно фактът, че ищецът е изразил сексуалната си ориентация в рамките на дискусионна група, въпреки че това може да доведе до заключението, че при обстоятелствата в случая това лице „явно е направило обществено достояние“ тези данни по смисъла на член 9, параграф 2, буква д) от ОРЗД, сам по себе си не може да обоснове обработването на лични данни, разкриващи сексуалната ориентация на това лице(44).
48. С оглед на гореизложеното предлагам на четвъртия преюдициален въпрос да се отговори, че член 5, параграф 1, буква б) във връзка с член 9, параграф 2, буква д) от ОРЗД трябва да се тълкува в смисъл, че изразяване на собствената сексуална ориентация за целите на дискусионна група, отворена за обществеността, макар да може да представлява действие, с което заинтересованото лице „явно е направило обществено достояние“ тези данни по смисъла на член 9, параграф 2, буква д) от този регламент, само по себе си не позволява обработването на посочените данни или на други данни за сексуалната ориентация на това лице с оглед на събирането и анализирането на данни за целите на персонализираната реклама.
Заключение
49. С оглед на изложените по-горе съображения предлагам на Съда да отговори на втория и четвъртия преюдициален въпрос, отправени от Oberster Gerichtshof (Върховен съд, Австрия), по следния начин:
1) Член 5, параграф 1, буква в) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че:
– не допуска лични данни да се обработват за целите на целевата реклама без ограничение в зависимост от време или вид на данните, и
– запитващата юрисдикция следва да прецени, като вземе предвид обстоятелствата по случая и приложи принципа на пропорционалност, доколко срокът за съхраняване на данните и обемът обработвани данни са обосновани с оглед на легитимната цел за обработване на тези данни за целите на персонализираната реклама.
2) Член 5, параграф 1, буква б) във връзка с член 9, параграф 2, буква д) от Регламент 2016/679
трябва да се тълкува в смисъл, че
– изразяване на собствената сексуална ориентация за целите на дискусионна група, отворена за обществеността, макар да може да представлява действие, с което заинтересованото лице „явно е направило обществено достояние“ тези данни по смисъла на член 9, параграф 2, буква д) от този регламент, само по себе си не позволява обработването на посочените данни или на други данни за сексуалната ориентация на това лице с оглед на събирането и анализирането на данни за целите на персонализираната реклама.
1 Език на оригиналния текст: френски.
2 Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, и поправка в ОВ L 127, 2018 г., стр. 2, наричан по-нататък „ОРЗД“).
3 Тази социална мрежа дава възможност персонализирано да се качва и споделя съдържание в зависимост от предварително избрани от потребителя настройки, както и да се комуникира директно с други потребители или да се обменят с тях данни.
4 По-специално, тази реклама има за цел да покаже на ползвателя стоките и услугите, които биха могли да го заинтересуват, по-конкретно, въз основа на личното му потребителско поведение, неговите интереси, покупателна способност и житейска ситуация (местоположение, възраст, пол и т.н.). Същевременно „Facebook business tools“ (Бизнес инструменти на Facebook) дават възможност на рекламодателите да създават целеви реклами и да проверяват ефективността на своята реклама с помощта на системи за анализ, използващи алгоритми, които търсят взаимовръзки и модели, и въз основа на тях да направят съответни изводи.
5 За тази цел ответникът използва технологии като „cookies“ (бисквитки), които позволяват използването на „social plug-ins“ (социални модули, като бутона „Харесвам“) или „pixels“ (пиксели), които са компютърни инструменти, вградени в сайта на Facebook, уебсайтовете и приложенията на трети лица. По същество тези инструменти позволяват да се събират определени данни от потребител, който посещава такива уебсайтове или използва такива съдържащи ги приложения, и те да се обобщават, като по този начин се създава профил на потребителя, въз основа на който е възможно да му се предлага персонализирана реклама.
6 В писменото и устното си становище Meta Platforms Ireland уточнява, че в периода преди влизането в сила на ОРЗД, от една страна, обработването с цел персонализирана реклама на събраните на платформата му лични данни не се основавало на съгласието на заявителя, а главно на обосновката, че обработването на тези данни е необходимо за изпълнението на договора, и от друга страна, обработването на лични данни, събрани на сайтове или приложения извън неговата мрежа, се основавало на съгласието на ползвателя, така че последният можел да изключи последните данни от обработването, без обаче да се отказва от услугите на Facebook. В конкретния случай дружеството не обработвало личните данни на заявителя, събрани извън неговата платформа, тъй като при регистрацията си в социалната мрежа Facebook през 2008 г. ищецът не е дал съгласието си в това отношение. От друга страна, считано от влизането в сила на ОРЗД, Facebook получава съгласие за обработването с цел персонализирана реклама на лични данни, събрани или в неговата мрежа, или на външни уебсайтове или приложения, а при липса на такова съгласие позволява на ползвателя да не разрешава обработването на всички свои данни с цел персонализирана реклама срещу заплащането на такса. Изглежда, понастоящем законосъобразността на новите условия за ползване по смисъла на ОРЗД е предмет на преценка от страна на органите за защита на данните на някои държави членки.
7 Както е видно от акта за преюдициално запитване, Meta Platforms Ireland не предоставя достъп до всички обработвани данни, а само до тези, които според него представляват интерес и са от значение за потребителите. Освен това дружеството дава възможност за изтриване на определено съдържание (като съобщения, снимки или публикации) от акаунт във Facebook.
8 Освен това само неговите „приятели“, чийто списък не е публично оповестен, можели да виждат публикациите, които се появяват в дневника му, или бъдещите му публикации.
9 Ищецът възлага извършването на анализ, въз основа на който могат да се направят изводи от неговия списък с приятели; от него следва, че той е полагал доброволчески труд към Червения кръст в Залцбург (Австрия) и че има хомосексуална ориентация. В списъка със сайтове, от които се интересува, извън Facebook, фигурирали, наред с другото, приложения или уебсайтове за хомосексуални срещи, както и уебсайт на австрийска политическа партия. Сред съхраняваните данни на ищеца се появяват по-специално несъществуващ електронен адрес и друг адрес, който не е посочен в профила му във Facebook, но който той е използвал, за да отправи искания до ответника.
10 По същество ищецът е поискал от първоинстанционния съд, първо, да се задължи ответникът да сключи писмен договор относно използването на личните му данни в мрежата Facebook, и при условията на евентуалност, да се установи липсата на такъв договор и на съгласието му с условията на ползване, второ, да се задължи ответникът да не обработва личните му данни за целите на персонализираната реклама или на събирането и анализа на данни за рекламни цели, трето, да се установи, че не е налице валидно съгласие за обработването за целите, описани в предишната редакция на директивите в областта на обработването на данни, що се отнася до личните му данни, които ответникът е получил от трети страни, и четвърто, да се задължи ответникът да не използва или обработва данните му, свързани с посещението и използването на страници на трети лица, при липсата на валидно съгласие за обработването. По същество ищецът твърди, че приемането на условията за ползване, както и на свързаните с тях директиви относно използването на данните не представлява съгласие за обработването на лични данни, надлежно дадено на администратора. Той изтъква също така факта, че Meta Platforms Ireland обработва отнасящи се до него чувствителни данни, като например данни за политическите му убеждения и сексуалната му ориентация, въпреки че тези данни не са упоменати в профила му във Facebook.
11 Както е видно от писмените и устните становища на страните, тази групова дискусия е била открита за потребителите, които в рамките на наличните места можели да получат безплатно билет от платформата Eventbrite (в крайна сметка са се регистрирали 189 души), и е била излъчвана на живо. Освен това записът от това събитие впоследствие е публикуван под формата на подкаст, както и в канала на Комисията в YouTube.
12 Както е видно от акта за преюдициално запитване и от представените от ищеца писмени становища, той е направил следното изявление: „Сега ще ви дам един много банален пример: от списъка с приятелите ми можете да направите извод за сексуалната ми ориентация. Никога не съм споменавал във Facebook, че съм хомосексуален. От 14‑годишна възраст това е нещо, което съм „признал публично“ и не изпитвам стрес или нещо подобно. Но това не е нещо, което говоря навсякъде и постоянно в публичното пространство, защото си казвам: ами, вместо това говори по-скоро за защита на данните, иначе отново ще се озовеш в това поле. И това отклонява вниманието от защитата на данните“.
13 Тези две национални юрисдикции приемат по същество, че обработването на лични данни, извършено от Meta Platforms Ireland, е било необходимо за изпълнението на договора по смисъла на член 6, параграф 1, буква б) от ОРЗД.
14 Припомням, че по делото в главното производство запитващата юрисдикция вече е отправила до Съда преюдициално запитване, предмет на решение от 25 януари 2018 г., Schrems (C‑498/16, EU:C:2018:37).
15 C‑252/21, наричано по-нататък „решението Meta Platforms и др. (Общи условия за използване на социална мрежа)“, EU:C:2023:537. Настоящото преюдициално производство е спряно до постановяване на това решение. На въпрос от страна на Съда запитващата юрисдикция отговаря, че посоченото решение дава отговор на първия и третия ѝ преюдициален въпрос, и поддържа искането си по отношение на втория и четвъртия преюдициален въпрос.
16 Вж. решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения) (C‑439/19, EU:C:2021:504, т. 96 и цитираната съдебна практика).
17 Вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения) (C‑439/19, EU:C:2021:504, т. 98 и цитираната съдебна практика).
18 Такъв е по-специално случаят, когато е видно, че тези данни не са адекватни, че не са или вече не са релевантни или че са прекомерни по отношение на целите и на изтеклия срок (вж. решение от 24 септември 2019 г., GC и др. (Премахване на чувствителни данни от резултатите при търсене) (C‑136/17, EU:C:2019:773, т. 74 и цитираната съдебна практика).
19 Вж. съдебната практика, посочена в бележка под линия 17 от настоящото заключение.
20 Без да се засяга фактът, че съгласно член 8 от ОРЗД децата под 16 години не могат сами да дадат съгласието си по член 6, параграф 1, буква а) от този регламент във връзка с предлагането на услуги на информационното общество.
21 В това отношение припомням, че в контекста на понятието „съгласие“ по смисъла на член 6, параграф 1, първа алинея, буква а) и член 9, параграф 2, буква а) от ОРЗД Съдът по-специално отбелязва, че няма основание ползвател да очаква, че данни, различни от свързаните с поведението му в рамките на социалната мрежа (в случая — Facebook), се обработват от оператора на тази мрежа, и постановява, че може да се даде отделно съгласие за обработването на последните данни, от една страна, и за данните, различни от тях, от друга (решение Meta Platforms и др. (Общи условия за използване на социална мрежа), т. 151). По същия начин в заключението си по същото дело изразих съмнения дали събирането и използването на лични данни извън социалната мрежа Facebook може да са необходими за предоставянето на услугите, предлагани в рамките на тази мрежа, така че първоначално даденото съгласие за достъп до посочената мрежа (а именно създаването на профил във Facebook) да може валидно да обхваща обработването на лични данни на ползвателя извън същата мрежа (заключение по дело Meta Platforms и др. (Общи условия за използване на социална мрежа) (C‑252/21, EU:C:2022:704, т. 56, бележка под линия 81).
22 Например, що се отнася до законните интереси на администратора като правно основание за обработването, в съображение 47 от ОРЗД се уточнява, че за установяването на такъв законен интерес би била необходима внимателна преценка, включително дали субектът на данни може по времето и в контекста на събирането на данни основателно да очаква, че може да се осъществи обработване на личните данни за тази цел.
23 Вж. бележка под линия 6 от настоящото заключение.
24 Всъщност Съдът е постановил по същество, че независимо дали предвиденото в такава разпоредба обработване на лични данни е споменато в договора, определящо за прилагането на основанието по тази разпоредба е, че въпросното обработване на лични данни е основополагащо за точното изпълнение на договора, сключен между администратора и субекта на данни, и че следователно не съществуват възможни алтернативни варианти, при които намесата е по-слаба (вж. в този смисъл решение Meta Platforms и др. (Общи условия за използване на социална мрежа), т. 99).
25 Вж. бележка под линия 6 от настоящото заключение. Както е видно от съдебното заседание, изглежда, че в главното производство Meta Platforms Ireland се е позовало на груповата дискусия, за да обори довода на ищеца относно претендираната вреда, произтичаща от твърдения психологически стрес, на който е бил подложен в резултат на персонализираната реклама, и то за да докаже, че той не е имал никакви затруднения да заяви публично своята хомосексуалност. Следователно запитващата юрисдикция поставя въпроса за тълкуването на член 9, параграф 2 от ОРЗД не с цел да приложи предвиденото в тази разпоредба изключение, а в съвсем различния контекст на разглеждане на твърдяната от ищеца вреда в светлината на защитата на Meta Platforms Ireland.
26 Всъщност съгласно член 5, параграф 2 от ОРЗД администраторът носи тежестта да докаже, че личните данни се обработват в съответствие с този регламент.
27 Вж. по аналогия решение от 4 май 2023 г., Главна дирекция „Пожарна безопасност и защита на населението“ (Нощен труд) (C‑529/21—C‑536/21 и C‑732/21—C‑738/21, EU:C:2023:374, т. 57).
28 Вж. в този смисъл решение от 13 юли 2023 г., Ferrovienord (C‑363/21 и C‑364/21, EU:C:2023:563, т. 52—55 и цитираната съдебна практика).
29 Както се уточнява в съображение 51 от същия регламент, на личните данни, които по своето естество са особено чувствителни от гледна точка на основните права и свободи, се полага специална защита, тъй като контекстът на тяхното обработване би могъл да създаде значителни рискове за основните права и свободи.
30 C‑252/21, EU:C:2022:704, точка 42.
31 Вж. също в този смисъл решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа) (C‑252/21, EU:C:2023:537, т. 76 и цитираната съдебна практика).
32 В това отношение отбелязвам, че употребата на глагола „правя“ в израза „явно направени обществено достояние“ подсказва активно и съзнателно поведение на субекта на данни. Според Европейския комитет по защита на данните (ЕКЗД) „терминът „явно“ предполага, че позоваване на това изключение може да се направи само много ограничително. ЕКЗД отбелязва, че наличието на един-единствен фактор невинаги е достатъчно, за да се установи, че данните са били „явно“ направени обществено достояние от субекта на данните. На практика може да се наложи да се вземе предвид съчетание [от фактори], за да могат администраторите да докажат, че субектът на данните ясно е изразил намерението си да направи данните обществено достояние, и да е нужна оценка на всеки отделен случай“ (ЕКЗД, Насоки 8/2020, точка 127). Той посочва като пример фактори като настройките по подразбиране на платформата на социални медии, естеството на платформата на социални медии, достъпността на страницата, на която са публикувани чувствителните данни, видимостта на предупреждението до субекта на данните за публичния характер на информацията, която той публикува, обстоятелството, че самият субект на данни е публикувал чувствителните данни, или обратно, че данните са публикувани от трета страна или са логически извлечени. Вж. също Georgieva, L., C. Kuner. Article 9. Processing of special categories of personal data. — The EU General Data Protection Regulation (GDPR), Oxford, 2020, р. 378, според които: „[i]n this context, „making public“ should be construed to include publishing the data in the mass media, putting them on online social network platforms or similar actions. However, the data must have been „manifestly“ made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result“ („в този контекст изразът „правя обществено достояние“ трябва да се тълкува като включващ публикуването на данните в медиите, качването им на онлайн платформите на социалните мрежи или подобни действия. Все пак данните трябва да са били „явно“ направени обществено достояние, което изисква потвърждаващо действие от страна на субекта на данните и той да е разбрал, че резултатът ще е такъв“).
33 Вж. бележка под линия 11 от настоящото заключение.
34 Вж. бележка под линия 13 от настоящото заключение.
35 Точки 84 и 85 от това решение.
36 Вж. също заключението ми по дело Meta Platforms и др. (Общи условия за използване на социална мрежа) (C 252/21, EU:C:2022:704, т. 46).
37 Припомням, че въпросната разпоредба е заимствана дословно от член 8, параграф 2, буква д) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10) и че впрочем не е дадено никакво обяснение при включването на тази разпоредба в рамките на Обща позиция (ЕО) № 1/95, приета от Съвета на 20 февруари 1995 година с оглед приемането на Директива 95/…/ЕО на Европейския парламент и на Съвета от … година за защита на физическите лица по отношение на личните данни и за свободното движение на тези данни (ОВ C 93, 1995 г., стр. 1).
38 Вж. бележка под линия 11 от настоящото заключение.
39 Например, както самият ищец признава в писменото си становище, изявлението му е можело да бъде напълно легитимно препредадено чрез статия в пресата, отразяваща въпросното събитие.
40 В това отношение припомням, че ищецът е участник в дълъг и важен спор с Meta Platforms Ireland (по-рано Facebook) във връзка с прилагането на ОРЗД и следователно е разумно да се предположи, че той е бил напълно наясно с последиците от своите изявления в светлината на този регламент. При това положение отбелязвам разликата между, от една страна, волята да разреши обработването на „чувствителни“ данни, която представлява съгласие за обработването на тези данни по смисъла на член 9, параграф 2, буква а) от ОРЗД, и от друга страна, намерението или пълното съзнание явно да направи посочените данни обществено достояние, което води до неприложимост на забраната за обработване на тези данни по смисъла на член 9, параграф 1 от този регламент, но само по себе си не е достатъчно, за да се разреши обработването на тези данни, както ще обясня в точки 45—47 от настоящото заключение.
41 Например дадено лице би могло да бъде дискриминирано поради своята политическа или сексуална ориентация или пък изправено пред несправедливи икономически последици поради здравословното си състояние (по-специално, по отношение на здравното осигуряване или други подобни случаи).
42 Всъщност, както се припомня в съображение 51 от ОРЗД, в допълнение към конкретните изисквания за обработването на особено чувствителни лични данни следва да се прилагат общите принципи и другите правила, залегнали в този регламент, по-специално по отношение на условията за законосъобразно обработване. Освен това по смисъла на член 22, параграф 4 от посочения регламент решенията, които се основават изключително на автоматизирано обработване, не се основават на специалните категории лични данни, посочени в член 9, параграф 1 от същия регламент, освен ако не се прилага член 9, параграф 2, буква а) или буква ж) от него и не са въведени подходящи мерки за защита на правата и свободите и легитимните интереси на субекта на данните.
43 Неотдавна Съдът се произнесе в същия смисъл във връзка с тълкуването на член 9, параграф 2, буква з) от ОРЗД във връзка с член 5, параграф 1, буква а) и член 6, параграф 1 от този регламент, като отбеляза, че за да бъде законосъобразно, обработването на данни за здравословното състояние, което се основава на първата разпоредба, трябва да спазва едновременно изискванията, произтичащи от нея, както и задълженията, произтичащи от последните две разпоредби, и по-специално да отговаря на поне едно от условията за законосъобразност, посочени в член 6, параграф 1 от споменатия регламент (решение от 21 декември 2023 г., Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, т. 78).
44 Още повече че в главното производство запитващата юрисдикция иска да се установи дали изявлението, направено по време на въпросната групова дискусия, позволява обработването на други лични данни, по-специално на тези, събрани чрез приложения на трети лица.