null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
ATHANASIA RANTOSE
přednesené dne 25. dubna 2024(1)
C‑446/21
Maximilian Schrems
proti
Meta Platforms Ireland Limited, dříve Facebook Ireland Limited
[žádost o rozhodnutí o předběžné otázce, kterou podal Oberster Gerichtshof (Nejvyšší soud, Rakousko)]
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Sociální sítě – Článek 5 odst. 1 písm. b) – Zásada ‚účelového omezení‘ – Článek 5 odst. 1 písm. e) – Zásada ‚minimalizace údajů‘ – Článek 9 odst. 1 a 2 písm. e) – Zpracování zvláštních kategorií osobních údajů – Osobní údaje zjevně zveřejněné subjektem údajů – Personalizovaná reklama – Údaje o sexuální orientaci“
Úvod
1. Projednávanou žádost o rozhodnutí o předběžné otázce předložil Oberster Gerichtshof (Nejvyšší soud, Rakousko) v rámci sporu mezi Maximilianem Schremsem (dále jen „navrhovatel“), uživatelem sociální sítě „Facebook“, a společností Meta Platforms Ireland Limited, dříve Facebook Ireland Limited (dále jen „Meta Platforms Ireland“ nebo „odpůrkyně“), který se týká údajně protiprávního zpracování jeho osobních údajů touto společností.
2. Předběžné otázky položené v rámci projednávané věci se týkají zaprvé použití zásady „minimalizace údajů“ zavedené v čl. 5 odst. 1 písm. c) nařízení (EU) 2016/679(2) a zadruhé výkladu pojmu „osobní údaje zjevně zveřejněné subjektem údajů“ uvedeného v čl. 9 odst. 2 písm. e) tohoto nařízení ve spojení s jeho čl. 5 odst. 1 písm. b), který zavádí zásadu „účelového omezení“. Podstatou otázky předkládajícího soudu je to, zda zásada minimalizace údajů umožňuje zpracovávat osobní údaje bez časového omezení nebo v závislosti na povaze údajů, a dále to, zda tvrzení osoby týkající se její vlastní sexuální orientace pronesená v průběhu kulatých stolů umožňují zpracování dalších údajů týkajících se sexuální orientace této osoby pro účely personalizované reklamy.
Právní rámec
3. Článek 4 GDPR, nadepsaný „Definice“, v bodě 11 stanoví:
„Pro účely tohoto nařízení se rozumí:
[...]
11) ‚souhlasem‘ subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.“
4. Článek 5 tohoto nařízení, nadepsaný „Zásady zpracování osobních údajů“, v odstavcích 1 a 2 stanoví:
„1. Osobní údaje musí být:
a) ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
b) shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; [...]
c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
[...]
2. Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“
5. Článek 6 uvedeného nařízení, nadepsaný „Zákonnost zpracování“, v odstavcích 1 a 3 stanoví:
„1. Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy;
[...]
f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.
První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.
[...]
3. Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:
a) právem Unie nebo
b) právem členského státu, které se na správce vztahuje.
[...]
[...] Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.“
6. Článek 7 téhož nařízení, nadepsaný „Podmínky vyjádření souhlasu“, uvádí následující:
„1. Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.
[...]
3. Subjekt údajů má právo svůj souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním. Před udělením souhlasu o tom bude subjekt údajů informován. Odvolat souhlas musí být stejně snadné jako jej poskytnout.
4. Při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.“
7. Článek 9 odst. 1 a 2 GDPR, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví:
„1. Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.
2. Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:
a) subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie nebo členského státu stanoví, že zákaz uvedený v odstavci 1 nemůže být subjektem údajů zrušen;
b) zpracování je nezbytné pro účely plnění povinností a výkon zvláštních práv správce nebo subjektu údajů v oblasti pracovního práva a práva v oblasti sociálního zabezpečení a sociální ochrany, pokud je povoleno právem Unie nebo členského státu nebo kolektivní dohodou podle práva členského státu, v němž se stanoví vhodné záruky týkající se základních práv a zájmů subjektu údajů;
[...]
e) zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů;
[...]“
8. Článek 13 tohoto nařízení, který se týká „informací poskytovaných v případě, že osobní údaje jsou získány od subjektu údajů“, v odstavci 1 stanoví:
„Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:
[...]
c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;
d) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);
[...]“
Spor v původním řízení, předběžné otázky a řízení před Soudním dvorem
9. Meta Platforms Ireland, společnost založená podle irského práva, spravuje uzavřenou komunikační síť „Facebook“, která je v podstatě sociální sítí pro sdílení obsahu on-line(3). Hlavním cílem jejího obchodního modelu je nabízet bezplatné služby sociální sítě svým soukromým uživatelům a prodávat on-line reklamu, včetně reklamy cílené na své uživatele(4). Tato reklama je založena především na automatizovaném vytváření relativně podrobných profilů uživatelů této sociální sítě(5).
10. V průběhu roku 2018, po vstupu GDPR v platnost, předložila Meta Platforms Ireland nové podmínky pro používání Facebooku jeho uživatelům v Evropské unii za účelem získání jejich souhlasu, který je kromě toho nezbytný k tomu, aby se mohli zaregistrovat nebo získat přístup k účtům a službám poskytovaným Facebookem(6). Tyto nové podmínky používání uživatelům rovněž umožňují získat přehled o uložených údajích a kontrolu nad nimi(7).
11. Navrhovatel je uživatelem Facebooku, který přijal jím stanovené nové podmínky používání. Jak vyplývá z předkládacího rozhodnutí, navrhovatel veřejně zmínil svou homosexualitu, ale nikdy neuvedl svou sexuální orientaci a nezveřejnil žádný citlivý údaj na svém facebookovém profilu(8). Navrhovatel rovněž nepovolil odpůrkyni, aby pro účely cílené reklamy používala oblasti jeho profilu týkající se jeho osobních citových vztahů, jeho zaměstnavatele, zaměstnání nebo vzdělání.
12. Navrhovatel nicméně obdržel reklamu týkající se političky, která mu byla zaslána na základě analýzy, podle níž se podobá jiným „klientům“, kteří jí dali hodnocení „to se mi líbí“; pravidelně dostával reklamy zacílené na homosexuální osoby a pozvání na odpovídající události, i když se o tyto události nikdy nezajímal, a dokonce ani neznal místa, kde se tyto události konaly. Tyto reklamy nebo pozvánky údajně nebyly přímo založeny na sexuální orientaci navrhovatele a jeho „přátel“ na sociální síti, ale na analýze jejich hlavních zájmů(9). Kromě toho Meta Platforms Ireland podle navrhovatele zaznamenává všechny údaje, jež se ho týkají, včetně údajů získaných prostřednictvím třetích osob nebo pluginů, a uchovává je po dobu neurčitou.
13. Za těchto okolností podal navrhovatel k Landesgericht für Zivilsachen Wien (zemský soud pro občanskoprávní věci ve Vídni, Rakousko) žalobu na výkon povinnosti, určení a zdržení se údajně protiprávního zpracování svých osobních údajů společností Meta Platforms Ireland(10).
14. Následně při příležitosti kulatého stolu, který zorganizovalo zastoupení Evropské komise ve Vídni (Rakousko)(11) a který se uskutečnil dne 12. února 2019, navrhovatel zmínil svou sexuální orientaci v rámci vyjádření, jehož cílem bylo oznámit údajně protiprávní zpracování údajů týkajících se této sexuální orientace společností Meta Platforms Ireland(12).
15. Vzhledem k tomu, že v prvním stupni byla žaloba navrhovatele zamítnuta rozsudkem ze dne 30. června 2020 a v odvolacím řízení bylo toto zamítnutí potvrzeno rozsudkem Oberlandesgericht Wien (vrchní zemský soud ve Vídni, Rakousko) ze dne 7. prosince 2020(13), podal navrhovatel opravný prostředek Revision k Oberster Gerichtshof (Nejvyšší soud), který je předkládajícím soudem.
16. Za těchto okolností se Oberster Gerichtshof (Nejvyšší soud) rozhodl přerušit řízení a zaslat Soudnímu dvoru čtyři předběžné otázky(14). Vzhledem k tomu, že první a třetí předběžná otázka byly vzaty zpět v návaznosti na rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě)(15), je předmětem projednávané věci druhá a čtvrtá otázka, které jsou formulovány následovně:
„2) Musí být čl. 5 odst. 1 písm. c) GDPR (minimalizace údajů) vykládán v tom smyslu, že veškeré osobní údaje, které byly (zejména dotčenou osobou nebo třetími subjekty v rámci dané platformy a mimo ní) poskytnuty takové platformě, jako je platforma dotčená v původním řízení, lze časově neomezeně nebo s ohledem na povahu daných údajů agregovat, analyzovat a zpracovávat pro účely cílené reklamy?
4) Musí být ustanovení čl. 5 odst. 1 písm. b) GDPR ve spojení s jeho čl. 9 odst. 2 písm. e) vykládány v tom smyslu, že vyjádření o vlastní sexuální orientaci pro účely kulatého stolu umožňuje zpracování jiných údajů týkajících se sexuální orientace za účelem agregace a analýzy údajů pro účely personalizované reklamy?“
17. Písemná vyjádření předložili navrhovatel, Meta Platforms Ireland, rakouská, francouzská, italská a portugalská vláda, jakož i Komise. Na jednání konaném dne 8. února 2024 přednesli ústní vyjádření navrhovatel, Meta Platforms Ireland, rakouská vláda a Komise.
Analýza
Ke druhé předběžné otázce
18. Podstatou druhé předběžné otázky předkládajícího soudu je, zda čl. 5 odst. 1 písm. c) GDPR, který zakotvuje zásadu minimalizace údajů, musí být vykládán v tom smyslu, že veškeré osobní údaje, které získá taková síť, jako je Facebook, zejména prostřednictvím subjektu údajů nebo třetích osob na této platformě nebo mimo ni, mohou být časově neomezeně nebo s ohledem na povahu daných údajů agregovány, analyzovány a zpracovávány pro účely cílené reklamy.
19. Úvodem je třeba připomenout, že každé zpracování osobních údajů musí být v souladu se zásadami týkajícími se zpracování údajů, které jsou uvedeny v článku 5 GDPR, a musí odpovídat některé z podmínek týkajících se zákonnosti zpracování, které jsou vyjmenovány v článku 6 tohoto nařízení(16).
20. Pokud jde konkrétně o zásady týkající se zpracování osobních údajů, Soudní dvůr mimo jiné upřesnil, že zásada minimalizace údajů uvedená v čl. 5 odst. 1 písm. c) GDPR stanoví, že osobní údaje musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, což v podstatě odráží zásadu proporcionality(17). Cílem zásady minimalizace údajů je tak minimalizovat omezení práva na ochranu osobních údajů způsobená dotčeným zpracováním.
21. V projednávané věci mi připadá zjevné, že případná neexistence jakéhokoli omezení, jak ji předpokládá předkládající soud, by byla z podstaty věci v rozporu s uplatněním zásady minimalizace údajů. Ze spisu předloženého Soudnímu dvoru přitom nevyplývá žádná skutečnost, která by mohla takový předpoklad, jehož posouzení v každém případě přísluší předkládajícímu soudu, potvrdit nebo vyloučit. Pokusím se nicméně poskytnout tomuto soudu několik užitečných vodítek k výkladu posuzovaného ustanovení, které mu umožní ve věci, kterou projednává, rozhodnout.
22. Pokud jde na jedné straně o časové omezení zpracování osobních údajů, domnívám se, že při neexistenci zvláštního ustanovení GDPR v tomto ohledu nemůže unijní soud kogentně omezit dobu pro uchovávání těchto údajů. Kromě toho Soudní dvůr rozhodl, že i zpracování přesných údajů, které bylo původně v souladu s právními předpisy, může být po určité době neslučitelné zejména s čl. 5 odst. 1 písm. c) až e) GDPR, pokud tyto údaje již nejsou nezbytné pro účely, pro které byly shromážděny či zpracovány(18). Vnitrostátnímu soudu tedy přísluší, aby s ohledem na okolnosti případu a za použití zásady proporcionality(19) posoudil, do jaké míry je doba uchovávání osobních údajů společností Meta Platforms Ireland odůvodněná ve vztahu k legitimnímu cíli zpracování těchto údajů pro účely personalizované reklamy.
23. Pokud jde na druhé straně o omezení zpracování osobních údajů v závislosti na povaze údajů, je rovněž na předkládajícím soudu, aby za okolností projednávané věci určil osobní údaje, jejichž zpracování lze za dodržení zásady proporcionality považovat za legitimní.
24. Ostatně odkazy ve znění čl. 5 odst. 1 písm. c) GDPR na takové velmi obecné podmínky, jako je „přiměřenost“, „relevantnost“ a „nezbytnost“, podle mého názoru prokazují, že unijní normotvůrce zamýšlel ponechat příslušným orgánům široký prostor pro uvážení při uplatňování tohoto ustanovení, přičemž tyto podmínky musí být vykládány případ od případu s ohledem na okolnosti projednávané věci.
25. Vzhledem k uvedenému se domnívám, že, jak uvádí Komise ve svém písemném vyjádření, lze zjistit určité rozdíly v závislosti na stupni zásahu do práv subjektu údajů, jaký představují různé způsoby zpracování. Předkládající soud by tedy mohl, považuje-li to v projednávané věci za vhodné, na jedné straně rozlišovat mezi používáním „statických“ údajů subjektu údajů (jako je věk(20) nebo pohlaví) a používáním údajů „o chování“ (jako je sledování zvyklostí uživatelů při prohlížení internetu), přičemž posledně uvedené používání obecně vzato více zasahuje do práv uživatele. Co se týče konkrétně údajů „o chování“, bylo by možné následně rozlišovat mezi shromažďováním údajů, které se týkají „aktivního“ chování (jako je kliknutí na tlačítko „to se mi líbí“), a shromažďováním údajů, které se týkají „pasivního“ chování (jako je pouhá návštěva internetové stránky), přičemž druhé z nich je pro uživatele obvykle více invazivní. Na druhé straně by bylo možné rozlišovat rovněž mezi zpracováním osobních údajů shromážděných na platformě Facebook a mimo ni, a sice na internetových stránkách, v jiných aplikacích než na Facebooku nebo v zařízeních uživatelů, přičemž druhé z nich je více invazivní než první(21).
26. V rámci této analýzy je podle mého názoru rovněž důležité zohlednit rozumná očekávání subjektů údajů(22).
27. Kromě toho v takové situaci, jaká existovala před vstupem GDPR v platnost, kdy zpracování údajů shromážděných mimo platformu Facebook nebylo založeno na souhlasu, ale spíše na tom, že zpracování bylo nezbytné pro plnění smlouvy podle čl. 6 odst. 1 písm. b) tohoto nařízení(23), je třeba zohlednit restriktivní výklad tohoto ustanovení Soudním dvorem(24). Proto je důležité, jak zdůrazňuje italská vláda ve svém písemném vyjádření, zabránit tomu, aby široký výklad zásady minimalizace údajů podle článku 5 uvedeného nařízení mohl správcům umožnit rozšířit kategorie osobních údajů, které jsou považovány za nezbytné pro plnění smlouvy podle čl. 6 odst. 1 písm. b) téhož nařízení.
28. S ohledem na výše uvedené navrhuji odpovědět na druhou předběžnou otázku tak, že čl. 5 odst. 1 písm. c) GDPR musí být vykládán v tom smyslu, že brání tomu, aby osobní údaje mohly být časově neomezeně nebo s ohledem na povahu daných údajů zpracovávány pro účely cílené reklamy, a přísluší předkládajícímu soudu, aby s ohledem na okolnosti projednávané věci a při uplatnění zásady proporcionality posoudil, do jaké míry jsou doba uchovávání a množství zpracovávaných údajů odůvodněné ve vztahu k legitimnímu cíli zpracování těchto údajů pro účely personalizované reklamy.
Ke čtvrté předběžné otázce
29. Podstatou čtvrté předběžné otázky předkládajícího soudu je, zda ustanovení čl. 5 odst. 1 písm. b) GDPR ve spojení s jeho čl. 9 odst. 2 písm. e) musí být vykládány v tom smyslu, že okolnost, že se osoba vyjádřila ke své sexuální orientaci v rámci kulatého stolu, umožňuje, aby společnost Meta Platforms Ireland zpracovávala další údaje týkající se její sexuální orientace s cílem nabídnout jí personalizovanou reklamu. V obecnější rovině se tento soud zabývá dosahem posledně uvedeného ustanovení a konkrétně vznáší otázku, jakým způsobem se musí veřejnost citlivé údaje této osoby dozvědět, aby byl čl. 9 odst. 2 GDPR použitelný.
K relevanci předběžné otázky
30. Meta Platforms Ireland ve svých písemných a ústných vyjádřeních upřesnila, aniž to ostatní zúčastněné strany na jednání zpochybnily, že během řízení před vnitrostátními soudy nikdy neuplatnila výjimku stanovenou v čl. 9 odst. 2 písm. e) GDPR jako právní základ pro zpracování dotčených údajů(25).
31. V takovém případě se přitom čtvrtá předběžná otázka jeví jako zjevně irelevantní, jelikož tato výjimka by nebyla v projednávané věci použitelná(26).
32. Je však třeba připomenout, že podle ustálené judikatury Soudního dvora platí, že v řízení podle článku 267 SFEU, které je založeno na jasné dělbě funkcí mezi vnitrostátní soudy a Soudní dvůr, se na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí na vlastní odpovědnost(27) a jehož správnost nepřísluší Soudnímu dvoru ověřovat, vztahuje domněnka relevance(28).
33. V následujících bodech proto navrhnu odpověď na čtvrtou předběžnou otázku položenou předkládajícím soudem nijak nepředjímající rozhodnutí Soudního dvora o relevanci této otázky.
K meritu předběžné otázky
34. Úvodem připomínám, že podle čl. 5 odst. 1 písm. b) GDPR, který zakotvuje zásadu účelového omezení, musí být osobní údaje shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmí být dále zpracovávány způsobem, který je s těmito účely neslučitelný. Podle čl. 9 odst. 1 tohoto nařízení se zakazuje zpracování osobních údajů, které vypovídají mimo jiné o sexuálním životě nebo sexuální orientaci fyzické osoby, ledaže se na takové zpracování vztahuje některá z výjimek stanovených v čl. 9 odst. 2 uvedeného nařízení(29).
35. Konkrétně, podle čl. 9 odst. 2 písm. e) GDPR se zákaz zpracování citlivých osobních údajů nepoužije, pokud se zpracování týká osobních údajů zjevně zveřejněných subjektem údajů. Jak jsem uvedl ve svém stanovisku ve věci Meta Platforms a další (Všeobecné podmínky používání sociální sítě)(30), použití příslovce „zjevně“ ve znění tohoto ustanovení a skutečnost, že toto ustanovení představuje výjimku ze zásady zákazu zpracování citlivých osobních údajů, ukládají zvláště striktní použití této výjimky z důvodu značných rizik ohrožujících základní práva a svobody subjektů údajů(31). Aby se uvedená výjimka mohla použít, musí si být uživatel dle mého názoru plně vědom toho, že explicitním aktem zpřístupňuje své osobní údaje komukoli(32).
36. Ve věci v původním řízení byly citlivé údaje týkající se sexuální orientace navrhovatele zveřejněny mimo platformu Facebook („mimo její internetové stránky“) a mimo jakoukoli jinou platformu nebo počítačovou aplikaci, a to v rámci kulatého stolu organizovaného Komisí(33), s cílem poukázat na údajně protiprávní zpracovávání údajů týkajících se této sexuální orientace společností Meta Platforms Ireland(34).
37. V tomto ohledu měl Soudní dvůr možnost vyjádřit se k používání údajů „mimo internetové stránky“ v rámci jiných platforem již v rozsudku Meta Platforms a další (Všeobecné podmínky používání sociální sítě)(35). Při této příležitostí Soudní dvůr rozhodl, že čl. 9 odst. 2 písm. e) GDPR musí být vykládán v tom smyslu, že pokud uživatel sociální sítě zobrazí internetové stránky nebo aplikace, které mají spojitost s jednou nebo více kategoriemi údajů uvedenými v čl. 9 odst. 1 GDPR, nezveřejňuje zjevně údaje týkající se tohoto zobrazení shromážděné provozovatelem této sociální sítě prostřednictvím souborů „cookies“ nebo podobných technologií pro ukládání dat ve smyslu prvně uvedeného ustanovení, a pokud takový uživatel zadává údaje na takových internetových stránkách nebo v takovýchto aplikacích nebo klikne-li na tlačítka začleněná do těchto stránek nebo aplikací, jako jsou tlačítka „to se mi líbí“ nebo „sdílet“ nebo tlačítka umožňující uživateli identifikovat se na těchto stránkách nebo v těchto aplikacích pomocí přihlašovacích údajů spojených s jeho uživatelským účtem na sociální síti, telefonním číslem nebo e-mailovou adresou, zjevně zveřejňuje ve smyslu tohoto čl. 9 odst. 2 písm. e) takto zadané údaje nebo údaje vyplývající z kliknutí na tato tlačítka pouze v případě, že předem výslovně vyjádřil, případně na základě individuálního nastavení provedeného s plnou znalostí věci, svou volbu zpřístupnit údaje, které se ho týkají, neomezenému počtu osob(36).
38. Předkládající soud však považoval za nezbytné setrvat na své čtvrté předběžné otázce z důvodu, že akty zkoumané Soudním dvorem v posledně uvedené věci se týkaly prohlížení internetových stránek nebo aplikací, jakož i aktivace tlačítek, které jsou do nich začleněny, zatímco v projednávaném případě se jedná o prohlášení subjektu údajů o jeho sexuální orientaci při příležitosti kulatého stolu. V tomto ohledu má uvedený soud za to, že z takového prohlášení nelze vyvodit souhlas ve smyslu uvedeného čl. 9 odst. 2 písm. e) GDPR.
39. V tomto ohledu považuji za vhodné rozlišovat mezi na jedné straně primární otázkou, zda prohlášení navrhovatele o jeho sexuální orientaci představuje akt, kterým tento tuto orientaci zjevně zveřejňuje ve smyslu čl. 9 odst. 2 písm. e) GDPR, a na druhé straně, v případě kladné odpovědi na tuto otázku, otázkou zda skutečnost, že navrhovatel zjevně zveřejnil svou sexuální orientaci, umožňuje zpracování údajů týkajících se této sexuální orientace pro účely personalizované reklamy ve smyslu zejména článků 5 a 6 tohoto nařízení.
40. Pokud jde zaprvé o vlastnosti, které musí mít prohlášení navrhovatele ve smyslu čl. 9 odst. 2 písm. a) GDPR, vzhledem k nedostatku užitečných údajů, které by vyplývaly z historie vzniku tohoto ustanovení a z jeho použití v judikatuře(37), bych podotkl, že výjimka uvedená v čl. 9 odst. 2 písm. e) tohoto nařízení v podstatě vyžaduje splnění dvou kumulativních podmínek, a sice zaprvé „objektivní“ podmínky, podle které musí být dotčené osobní údaje „zjevně zveřejněny“, a zadruhé „subjektivní“ podmínky, podle níž je to „subjekt údajů“, kdo musí tyto údaje zjevně zveřejnit.
41. Ve věci v původním řízení se mi, s výhradou ověření, která přísluší učinit předkládajícímu soudu, jeví, že obě tyto podmínky jsou splněny. Ačkoli tak bylo učiněno pouze pro dokreslení v rámci širšího a kritického projevu ohledně zpracovávání citlivých údajů společností Meta Platforms Ireland, mám za to, že prohlášení učiněné navrhovatelem představuje akt, kterým tento s plnou znalostí věci zjevně zveřejňuje svou sexuální orientaci.
42. Pokud jde o první podmínku, zdá se mi velmi pravděpodobné, že s ohledem na otevřenou povahu kulatého stolu, vysílaného v přímém přenosu a poté reprízovaného na streamu(38), a na zájem veřejnosti o téma, kterým se zabýval, mohlo prohlášení navrhovatele zasáhnout neohraničený okruh veřejnosti, mnohem širší, než byl přítomen v sále(39).
43. Co se týče druhé podmínky, je podle mého názoru velmi dobře možné předpokládat, že navrhovatel tím, že za okolností projednávané věci otevřeně zmínil svou sexuální orientaci (zejména v rámci otevřené akce přístupné tisku), jednal ne-li v úmyslu, pak přinejmenším s plným vědomím toho, že tuto orientaci „zjevně zveřejní“ ve smyslu judikatury citované v bodě 35 tohoto stanoviska(40).
44. Ostatně cílem ochrany přiznané čl. 9 odst. 1 GDPR je podle mého názoru zabránit tomu, aby byl subjekt údajů vystaven škodlivým důsledkům (jako je zejména veřejná potupa nebo diskriminační jednání) vyplývajícím zejména z negativního vnímání situací, které jsou v něm vyjmenovány, ze sociálního nebo ekonomického hlediska(41). Toto ustanovení tedy stanoví zvláštní ochranu těchto osobních údajů prostřednictvím principiálního zákazu, který není absolutní a jehož použití na projednávaný případ podléhá posouzení subjektu údajů, který má nejlepší předpoklady k posouzení škodlivých následků, které by mohly vyplynout ze zveřejnění dotčených údajů, a který se případně může s plnou znalostí věci této ochrany vzdát nebo ji neuplatnit tím, že svou situaci, a zejména svou sexuální orientaci, zjevně zveřejní ve smyslu čl. 9 odst. 2 písm. e) tohoto nařízení.
45. Pokud jde zadruhé o posouzení důsledků vyplývajících ze zjevného zveřejnění sexuální orientace na zpracování těchto citlivých údajů společností Meta Platforms Ireland ve smyslu článků 5 a 6 GDPR, mám za to, že skutečnost, že údaje byly zjevně zveřejněny ve smyslu čl. 9 odst. 2 písm. e) tohoto nařízení, sama o sobě neumožňuje povést zpracování těchto údajů ve smyslu uvedeného nařízení.
46. Použití posledně uvedeného ustanovení má totiž za následek pouze neuplatnění „speciální ochrany“ přiznané některým zvláště citlivým osobním údajům. Jakmile je tato ochrana vědomě odstraněna samotným subjektem údajů (který je zjevně zveřejnil), stávají se tyto původně „chráněné“ osobní údaje údaji „běžnými“ (tedy nikoli citlivými), které mohou být stejně jako všechny ostatní osobní údaje zákonně zpracovávány pouze za podmínek stanovených zejména v článcích 6 a 7 GDPR a v souladu se zásadami zakotvenými zejména v článku 5 tohoto nařízení(42), včetně zásady účelového omezení stanovené v čl. 5 odst. 1 písm. b) uvedeného nařízení, který vyžaduje, aby osobní údaje byly shromažďovány pro určité, výslovně vyjádřené a legitimní účely, což musí podle odstavce 2 dotčeného ustanovení prokázat správce(43).
47. Proto skutečnost, že se navrhovatel vyjádřil ke své sexuální orientaci v rámci kulatého stolu, sice může vést k závěru, že za okolností projednávané věci tato osoba „zjevně zveřejnila“ tyto údaje ve smyslu čl. 9 odst. 2 písm. e) GDPR, avšak nemůže sama o sobě odůvodnit zpracování osobních údajů, které odhalují sexuální orientaci této osoby(44).
48. S ohledem na výše uvedené navrhuji odpovědět na čtvrtou předběžnou otázku tak, že ustanovení čl. 5 odst. 1 písm. b) GDPR ve spojení s jeho čl. 9 odst. 2 písm. e) musí být vykládáno v tom smyslu, že skutečnost, že se dotyčná osoba vyjádřila ke své sexuální orientaci v rámci veřejného kulatého stolu, sice může představovat akt, kterým tato osoba tento údaj „zjevně zveřejnila“ ve smyslu čl. 9 odst. 2 písm. e) uvedeného nařízení, avšak sama o sobě nepovoluje zpracování uvedeného nebo jiných údajů týkajících se sexuální orientace této osoby za účelem agregace a analýzy údajů pro účely personalizované reklamy.
Závěry
49. S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na druhou a čtvrtou předběžnou otázku, kterou položil Oberster Gerichtshof (Nejvyšší soud, Rakousko), následovně:
„1) Článek 5 odst. 1 písm. c) nařízení Evropského parlamentu a Rady 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
– brání tomu, aby osobní údaje mohly být časově neomezeně nebo s ohledem na povahu daných údajů zpracovávány pro účely cílené reklamy, a
– že přísluší předkládajícímu soudu, aby s ohledem na okolnosti projednávané věci a při uplatnění zásady proporcionality posoudil, do jaké míry jsou doba uchovávání a množství zpracovávaných údajů odůvodněné ve vztahu k legitimnímu cíli zpracování těchto údajů pro účely personalizované reklamy.
2) Ustanovení čl. 5 odst. 1 písm. b) nařízení 2016/679 ve spojení s jeho čl. 9 odst. 2 písm. e)
musí být vykládáno v tom smyslu, že
– skutečnost, že se dotyčná osoba vyjádřila ke své sexuální orientaci v rámci veřejného kulatého stolu, sice může představovat akt, kterým tato osoba tento údaj ,zjevně zveřejnila‘ ve smyslu čl. 9 odst. 2 písm. e) uvedeného nařízení, avšak sama o sobě nepovoluje zpracování uvedeného nebo jiných údajů týkajících se sexuální orientace této osoby za účelem agregace a analýzy údajů pro účely personalizované reklamy.“
1 Původní jazyk: francouzština.
2 Nařízení Evropského parlamentu a Rady 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a oprava Úř. věst. 2018, L 127, s. 2, a Úř. věst. 2021, L 074, s. 35, dále jen „GDPR“).
3 Tato sociální síť umožňuje nahrávat a sdílet obsahy personalizovaným způsobem, v závislosti na nastavení předem zvoleném uživatelem, a přímo komunikovat s ostatními uživateli nebo si s nimi vyměňovat údaje.
4 Cílem této reklamy je konkrétně prezentovat uživateli výrobky a služby, které by jej mohly zajímat, zejména v závislosti na jeho osobních spotřebitelských postojích, jeho zájmech, kupní síle a jeho osobní situaci (místo, věk, pohlaví atd.) Zároveň „Facebook business tools“ (nástroje Facebooku pro podniky) inzerentům umožňují vypracovávat cílená reklamní sdělení a ověřovat účinnost jejich reklamy prostřednictvím analytických systémů založených na algoritmech, které vyhledávají korelace a modely, aby z nich vyvodili odpovídající důsledky.
5 Pro tyto účely odpůrkyně používá takové technologie, jako jsou „cookies“ (záznamy), které umožňují používání „social plug-ins“ (modulů společenského šíření, jako je tlačítko „to se mi líbí“) nebo „pixelů“, které jsou počítačovými nástroji umístěnými na internetových stránkách Facebooku, internetových stránkách a aplikacích třetích osob. Tyto nástroje v podstatě umožňují shromažďovat určité údaje o uživateli, který navštíví takové internetové stránky nebo používá takové aplikace, které je obsahují, a agregovat je, a vytvořit tak profil uživatele, na jehož základě mu může být nabízena personalizovaná reklama.
6 Společnost Meta Platforms Ireland ve svých písemných a ústních vyjádřeních upřesnila, že v období před vstupem GDPR v platnost bylo zpracování osobních údajů shromážděných na její platformě pro účely personalizované reklamy založeno nikoli na souhlasu žadatele, ale hlavně na odůvodnění vycházejícím z toho, že zpracování těchto údajů bylo nezbytné pro plnění smlouvy, a zpracování osobních údajů shromážděných na internetových stránkách nebo aplikacích mimo její síť bylo založeno na souhlasu uživatele, takže uživatel mohl vyloučit posledně uvedené údaje ze zpracování, aniž by se vzdal služeb Facebooku. V projednávané věci tato společnost nezpracovávala osobní údaje navrhovatele shromážděné mimo svoji platformu z důvodu, že navrhovatel při své registraci na sociální síti Facebook v roce 2008 neposkytl v tomto ohledu svůj souhlas. Naproti tomu od vstupu GDPR v platnost požadovala společnost Facebook souhlas se zpracováním osobních údajů shromážděných buď na její síti, nebo na externích internetových stránkách či aplikacích pro účely personalizované reklamy, a nebyl-li tento souhlas udělen, umožnila uživateli nepovolit za úplatu zpracování všech jeho údajů pro účely personalizované reklamy. Zdá se, že legalitu nových podmínek používání ve smyslu GDPR v současné době posuzují úřady pro ochranu údajů v některých členských státech.
7 Jak vyplývá z předkládacího rozhodnutí, společnost Meta Platforms Ireland neposkytuje přístup ke všem zpracovávaným údajům, ale pouze k údajům, které jsou podle jejího posouzení pro uživatele zajímavé a relevantní. Tato společnost kromě toho umožňuje odstranit určitý obsah (např. zprávy, fotografie nebo publikace) z účtu na Facebooku.
8 Kromě toho, příspěvky uvedené v jeho deníku nebo jeho budoucí příspěvky mohli vidět pouze jeho „přátelé“, jejichž seznam není veřejný.
9 Navrhovatel si údajně nechal provést analýzu týkající se toho, co je možno vyvodit z jeho seznamu přátel, ze které vyplynulo, že vykonával civilní službu u Červeného kříže v Salcburku (Rakousko) a je homosexuální. Na seznamu internetových stránek, o které se zajímá vedle Facebooku, jsou mimo jiné uvedeny aplikace nebo internetové stránky zaměřené na setkávání homosexuálů, jakož i internetové stránky jedné rakouské politické strany. Mezi uloženými údaji navrhovatele je mj. neexistující e-mailová adresa a jiná adresa, která není uvedena na jeho facebookovém profilu, ale kterou použil pro zasílání žádostí odpůrkyni.
10 Navrhovatel v podstatě navrhoval, zaprvé, aby soud prvního stupně uložil odpůrkyni povinnost uzavřít písemnou smlouvu týkající se používání jeho osobních údajů na síti Facebook, a, podpůrně, aby konstatoval neexistenci takové smlouvy a jeho souhlasu s podmínkami používání; zadruhé, aby odpůrkyni uložil, aby se zdržela zpracovávání jeho osobních údajů pro účely personalizované reklamy nebo agregace a analýzy údajů pro reklamní účely; zatřetí, aby konstatoval neexistenci platného souhlasu se zpracováním údajů pro účely popsané v původním znění směrnic v oblasti zpracování údajů, pokud jde o jeho osobní údaje, které odpůrkyně získala od třetích stran, a začtvrté, aby uložil odpůrkyni, aby se zdržela používání nebo zpracování jeho údajů týkajících se navštěvování a používání stránek třetích osob bez platného souhlasu se zpracováním. Navrhovatel v podstatě tvrdil, že přijetí podmínek použití, jakož i souvisejících směrnic týkajících se používání údajů nepředstavuje souhlas se zpracováním osobních údajů řádně poskytnutý správci. Rovněž poukázal na skutečnost, že Meta Platforms Ireland zpracovává citlivé údaje, které se jej týkají, jako jsou údaje týkající se jeho politického přesvědčení a sexuální orientace, ačkoli tyto údaje nejsou uvedeny na jeho facebookovém profilu.
11 Jak vyplývá z písemných a ústních vyjádření zúčastněných stran, tento kulatý stůl byl přístupný veřejnosti, která mohla v rámci dostupných míst získat zdarma vstupenku na platformě Eventbrite (nakonec se zapsalo 189 osob), a byl vysílaný živě. Kromě toho byl následně zveřejněn záznam z tohoto kulatého stolu ve formě podcastu a na kanálu Komise na YouTube.
12 Jak vyplývá z předkládacího rozhodnutí a z písemností předložených navrhovatelem, tento prohlásil následující: „Nyní Vám dám velmi banální příklad: moji sexuální orientaci můžete odvodit ze seznamu mých přátel. Na Facebooku jsem nikdy neuvedl, že jsem homosexuál. Ve svých 14 letech jsem s touto věcí „šel na trh“ a nijak mne nestresuje či cokoli jiného. Ale není to něco, co bych říkal všude a pořád na veřejnosti, protože si říkám, mluv raději o ochraně údajů, jinak se znovu ocitneš v této škatulce. A to odvádí pozornost od ochrany údajů“.
13 Tyto dva vnitrostátní soudy měly v podstatě za to, že zpracování osobních údajů prováděné společností Meta Platforms Ireland bylo nezbytné pro plnění smlouvy ve smyslu čl. 6 odst. 1 písm. b) GDPR.
14 Připomínám, že ve věci v původním řízení již předkládající soud předložil Soudnímu dvoru žádost o rozhodnutí o předběžné otázce, která byla předmětem rozsudku ze dne 25. ledna 2018, Schrems (C‑498/16, EU:C:2018:37).
15 C‑252/21, dále jen „rozsudek Meta Platforms a další (Všeobecné podmínky používání sociální sítě)“, EU:C:2023:537. Řízení o předběžné otázce v projednávané věci bylo přerušeno do doby, než bude vydán tento rozsudek. Na otázku položenou Soudním dvorem předkládající soud odpověděl, že uvedený rozsudek poskytl odpověď na jeho první a třetí předběžnou otázku a trvá na své žádosti, pokud jde o druhou a čtvrtou předběžnou otázku.
16 Viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body) (C‑439/19, EU:C:2021:504, bod 96 a citovaná judikatura).
17 V tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body) (C‑439/19, EU:C:2021:504, bod 98 a citovaná judikatura).
18 To platí zejména v případě, že se jeví jako nepřiměřené, jsou nepodstatné nebo přestaly být podstatné či přesahují míru s ohledem na tyto účely a uplynulý čas [viz rozsudek ze dne 24. září 2019, GC a další (Odstranění odkazů na citlivé údaje) (C‑136/17, EU:C:2019:773, bod 74 a citovaná judikatura)].
19 Viz judikatura citovaná v poznámce pod čarou 17 tohoto stanoviska.
20 Bez ohledu na skutečnost, že podle článku 8 GDPR nemohou děti mladší 16 let samy udělit souhlas podle čl. 6 odst. 1 písm. a) tohoto nařízení, pokud jde o poskytování služeb informační společnosti.
21 V tomto ohledu připomínám, že v kontextu pojmu „souhlas“ ve smyslu čl. 6 odst. 1 prvního pododstavce písm. a) a čl. 9 odst. 2 písm. a) GDPR Soudní dvůr zejména uvedl, že uživatel nemůže rozumně očekávat, že provozovatel bude zpracovávat jiné údaje než údaje týkající se uživatelova chování v rámci sociální sítě (v projednávané věci Facebooku), a rozhodl, že může být udělen samostatný souhlas se zpracováním posledně uvedených údajů, na jedné straně, a se zpracováním jiných než těchto údajů, na druhé straně [rozsudek Meta Platforms a další (Všeobecné podmínky používání sociální sítě), bod 151]. Stejně tak jsem ve svém stanovisku v téže věci vyjádřil pochybnosti ohledně skutečnosti, že shromažďování a používání osobních údajů mimo sociální síť Facebook mohu být nezbytné pro poskytování služeb nabízených v rámci této sítě, takže původně udělený souhlas s přístupem na uvedenou síť (tedy vytvoření facebookového profilu) může platně pokrýt zpracování osobních údajů uživatele mimo tutéž síť [mé stanovisko ve věci Meta Platforms a další (Všeobecné podmínky používání sociální sítě) (C‑252/21, EU:C:2022:704, bod 56, poznámka pod čarou 81)].
22 Například co se týče oprávněných zájmů správce jako právního základu pro zpracování, bod 47 odůvodnění nařízení GDPR upřesňuje, že existenci takového oprávněného zájmu je třeba pečlivě posoudit, včetně toho, zda subjekt údajů může v okamžiku a v kontextu shromažďování osobních údajů důvodně očekávat, že ke zpracování pro daný účel může dojít.
23 Viz poznámka pod čarou 6 tohoto stanoviska.
24 Soudní dvůr totiž v podstatě rozhodl, že bez ohledu na to, zda je zpracování osobních údajů stanovené v takovém ustanovení zmíněno ve smlouvě, je pro účely uplatnění odůvodnění uvedeného v tomto ustanovení rozhodující, aby dotčené zpracování bylo zásadní pro řádné plnění smlouvy uzavřené správcem se subjektem údajů, a tudíž neexistují jiná proveditelná a méně omezující řešení [v tomto smyslu viz rozsudek Meta Platforms a další (Všeobecné podmínky používání sociální sítě), bod 99].
25 Viz poznámka pod čarou 6 tohoto stanoviska. V projednávané věci, jak vyplývá z jednání, se zdá, že ve věci v původním řízení Meta Platforms Ireland k tomu, aby vyvrátila argument navrhovatele týkající se údajné újmy vyplývající z údajné duševní úzkosti, ve které se nacházel z důvodu personalizované reklamy, odkázala na kulatý stůl za účelem prokázání, že neměl žádné potíže s veřejným přiznáním své homosexuality. Předkládající soud tedy položil otázku týkající se výkladu čl. 9 odst. 2 GDPR nikoli pro účely použití výjimky stanovené v tomto ustanovení, ale ve zcela odlišném kontextu zkoumání újmy uplatňované navrhovatelem ve světle obrany společnosti Meta Platforms Ireland.
26 Podle čl. 5 odst. 2 GDPR totiž nese odpovědnost za prokázání toho, že osobní údaje jsou zpracovávány v souladu s tímto nařízením, správce.
27 Obdobně viz rozsudek ze dne 4. května 2023, Glavna direkcia „Požarna bezopasnost i zaštita na naselenieto“ (Noční práce) (C‑529/21 až C‑536/21 a C‑732/21 až C‑738/21, EU:C:2023:374, bod 57).
28 V tomto smyslu viz rozsudek ze dne 13. července 2023, Ferrovienord (C‑363/21 a C‑364/21, EU:C:2023:563, body 52 až 55 a citovaná judikatura).
29 Jak upřesňuje bod 51 odůvodnění téhož nařízení, osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody.
30 C‑252/21, EU:C:2022:704, bod 42.
31 V tomto smyslu viz rovněž rozsudek Meta Platforms a další (Všeobecné podmínky používání sociální sítě), bod 76 a citovaná judikatura.
32 V tomto ohledu poukazuji na to, že použití pojmu „zveřejnit“ ve výrazu „zjevně zveřejněné“ vyjadřuje aktivní a vědomé jednání subjektu údajů. Podle Evropského sboru pro ochranu osobních údajů (EDPB) „výraz ‚zjevně‘ předpokládá, že tuto výjimku lze uplatnit pouze velmi restriktivně. EDPB poznamenává, že přítomnost jediného prvku nemusí vždy stačit k prokázání toho, že subjekt údajů dané údaje ‚zjevně‘ zveřejnil. V praxi může být nutné zvážit kombinaci [prvků] k tomu, aby správce mohl prokázat, že subjekt údajů jasně projevil úmysl údaje zveřejnit, a je třeba posoudit každý případ zvlášť “ (EDPB, pokyny 8/2020, bod 127). Sbor pro příklad uvádí prvky, jako jsou výchozí nastavení platformy sociálního média, povaha této platformy, přístupnost stránky, na které jsou citlivé údaje zveřejněny, viditelnost upozornění, jímž je subjekt údajů informován o veřejné povaze zveřejňovaných informací, skutečnost, zda subjekt údajů zveřejnil citlivé údaje sám, nebo zda je místo něho zveřejnila třetí strana nebo byly tyto údaje vyvozeny. Viz rovněž Georgieva, L., a Kuner, C., „Article 9. Processing of special categories of personal data“, The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 378, podle kterého, „[i]n this context, ‚making public‘ should be construed to include publishing the data in the mass media, putting them on on-line social network platforms or similar actions. However, the data must have been ‚manifestly‘ made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result“ („v tomto kontextu musí být ‚zveřejnění‘ vykládáno tak, že zahrnuje zveřejnění údajů v médiích, jejich umístění na platformy on-line sociálních sítí nebo podobné úkony. Údaje nicméně musí být ‚zjevně‘ zveřejněny, což vyžaduje afirmativní akt ze strany subjektu údajů, který musí zároveň porozumět, že nastane takový důsledek”).
33 Viz poznámka pod čarou 11 tohoto stanoviska.
34 Viz poznámka pod čarou 13 tohoto stanoviska.
35 Body 84 a 85 uvedeného rozsudku.
36 Viz rovněž mé stanovisko ve věci Meta Platforms a další (Všeobecné podmínky používání sociální sítě) (C‑252/21, EU:C:2022:704, bod 46).
37 Připomínám, že dotčené ustanovení bylo doslovně převzato z čl. 8 odst. 2 písm. e) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355) a ostatně při vložení tohoto ustanovení do společného postoje (ES) č. 1/95 přijatého Radou dne 20. února 1995 za účelem přijetí směrnice Evropského parlamentu a Rady 95/…/ES ze dne … o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, C 93, s. 1) nebylo poskytnuto žádné vysvětlení.
38 Viz poznámka pod čarou 11 tohoto stanoviska.
39 Jak například sám navrhovatel uznává ve svém písemném vyjádření, jeho prohlášení mohlo být zcela legitimním způsobem převzato novinovým článkem informujícím o dotčené akci.
40 V tomto ohledu připomínám, že navrhovatel byl protagonistou dlouhého a významného soudního řízení proti společnosti Meta Platforms Ireland (dříve Facebook) ohledně uplatňování GDPR, a je tudíž důvodné předpokládat, že si byl plně vědom důsledků svých prohlášení ve světle tohoto nařízení. Poukazuji však na rozdíl mezi vůlí povolit zpracování „citlivých“ údajů projevující se souhlasem se zpracováním těchto údajů ve smyslu čl. 9 odst. 2 písm. a) GDPR, a záměrem zveřejnění uvedených údajů nebo plným vědomím, že se tak stane, v důsledku čehož se zákaz zpracování těchto údajů ve smyslu čl. 9 odst. 1 tohoto nařízení nepoužije, ale který sám o sobě nestačí k povolení zpracování těchto údajů, jak vysvětlím v bodech 45 až 47 tohoto stanoviska.
41 Osoba by například mohla být diskriminována kvůli své politické nebo sexuální orientaci nebo by mohla být vystavena nespravedlivým finančním důsledkům z důvodu svého zdravotního stavu (zejména pokud jde o zdravotní pojištění nebo jiné podobné situace).
42 Jak totiž připomíná bod 51 odůvodnění GDPR, společně se zvláštními požadavky použitelnými na zpracování zvláště citlivých osobních údajů by se měly uplatňovat obecné zásady a další pravidla tohoto nařízení, zejména pokud jde o podmínky pro zákonné zpracování. Kromě toho, ve smyslu čl. 22 odst. 4 uvedeného nařízení se rozhodnutí založená výlučně na automatizovaném zpracování nemohou opírat o zvláštní kategorie osobních údajů uvedené v čl. 9 odst. 1 téhož nařízení, pokud se neuplatní čl. 9 odst. 2 písm. a) nebo g) tohoto nařízení a nejsou zavedena vhodná opatření pro zajištění práv a svobod a oprávněných zájmů subjektu údajů.
43 Soudní dvůr nedávno rozhodl v témže smyslu ohledně výkladu čl. 9 odst. 2 písm. h) GDPR ve spojení s jeho čl. 5 odst. 1 písm. a) a čl. 6 odst. 1 tak, že zpracování údajů o zdravotním stavu, které je založeno na tomto prvním ustanovení, musí k tomu, aby bylo zákonné, splňovat požadavky vyplývající z tohoto ustanovení i povinnosti vyplývající z těchto dvou posledně uvedených ustanovení, a zejména splňovat alespoň jednu z podmínek zákonnosti stanovených v čl. 6 odst. 1 uvedeného nařízení [rozsudek ze dne 21. prosince 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, bod 78)].
44 Tím spíše, že ve věci v původním řízení se předkládající soud zabývá tím, zda prohlášení učiněné u příležitosti dotčeného kulatého stolu povoluje zpracování jiných osobních údajů, zejména těch, které byly shromážděny s využitím aplikací třetích osob.