EUROOPA KOHTU OTSUS (neljas koda)

4. oktoober 2024 ( *1 )

Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Veebipõhised suhtlusvõrgustikud – Kasutamise tüüptingimused, mis käsitlevad digiplatvormi ja kasutaja vahel sõlmitud lepinguid – Isikupärastatud reklaam – Artikli 5 lõike 1 punkt b – Eesmärgi piirangu põhimõte – Artikli 5 lõike 1 punkt c – Võimalikult väheste andmete kogumise põhimõte – Artikli 9 lõiked 1 ja 2 – Isikuandmete eriliikide töötlemine – Andmed seksuaalse sättumuse kohta – Andmesubjekti avalikustatud andmed

Kohtuasjas C‑446/21,

mille ese on ELTL artikli 267 alusel Oberster Gerichtshofi (Austria kõrgeim üldkohus) 23. juuni 2021. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 20. juulil 2021, menetluses

Maximilian Schrems

versus

Meta Platforms Ireland Ltd, endine Facebook Ireland Ltd,

EUROOPA KOHUS (neljas koda),

koosseisus: koja president C. Lycourgos, kohtunikud O. Spineanu‑Matei, J.‑C. Bonichot, S. Rodin ja L.S. Rossi (ettekandja),

kohtujurist: A. Rantos,

kohtusekretär: ametnik N. Mundhenke,

arvestades kirjalikku menetlust ja 8. veebruari 2024. aasta kohtuistungil esitatut,

arvestades seisukohti, mille esitasid:

–	Maximilian Schrems, esindajad: Rechtsanwalt A. Egger ja Rechtsanwältin K. Raabe‑Stuppnig,

–	Meta Platforms Ireland Limited, endine Facebook Ireland Limited, esindajad: H.‑G. Kamann, Rechtsanwalt A. Natterer, K. Hanschitz, S. Khalil ja Rechtsanwältin B. Knötzl,

–	Austria valitsus, esindajad: A. Posch, C. Gabauer, Dr. G. Kunnert, E. Riedl ja J. Schmoll,

–	Prantsuse valitsus, esindajad: R. Bénard ja A.‑L. Desjonquères,

–	Itaalia valitsus, esindaja: G. Palmieri, keda abistas avvocato dello Stato E. De Bonis,

–	Portugali valitsus, esindajad: advogados P. Barros da Costa, A. Pimenta, J. Ramos ja C. Vieira Guerra,

–	Euroopa Komisjon, esindajad: A. Bouchagiar, F. Erlbacher, M. Heller ja H. Kranenborg,

olles 25. aprilli 2024. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,

on teinud järgmise

kohtuotsuse

Eelotsusetaotluses palutakse tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; parandus ELT 2018, L 127, lk 3) (edaspidi „isikuandmete kaitse üldmäärus“) artikli 5 lõike 1 punkte b ja c, artikli 6 lõike 1 punkte a ja b ning artikli 9 lõiget 1 ja lõike 2 punkti e.

2	Taotlus on esitatud Facebooki suhtlusvõrgustiku kasutaja M. Schremsi ( 1 ) ja Meta Platforms Ireland Ltd (endine Facebook Ireland Ltd), kelle registrijärgne asukoht on Iirimaal, vahelises kohtuvaidluses nimetatud kasutaja isikuandmete väidetavalt ebaseadusliku töötlemise üle selle äriühingu poolt.

Õiguslik raamistik

Liidu õigus

Isikuandmete kaitse üldmääruse põhjendustes 1, 4, 39, 42, 43, 50 ja 51 on märgitud:

„(1)	Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta („harta“) artikli 8 lõikes 1 ja [ELTL] artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele.

[…]

(4)

Isikuandmete töötlemine peaks olema mõeldud teenima inimesi. Õigus isikuandmete kaitsele ei ole absoluutne õigus, vaid seda tuleb kaaluda vastavalt selle ülesandele ühiskonnas ning tasakaalustada muude põhiõigustega vastavalt proportsionaalsuse põhimõttele. Käesolevas määruses austatakse kõiki põhiõigusi ning peetakse kinni aluslepingutes sätestatud ja hartas tunnustatud põhimõtetest, eelkõige õigusest era‑ ja perekonnaelu, kodu ja edastatavate sõnumite saladuse austamisele, isikuandmete kaitsest, mõtte‑, südametunnistuse‑ ja usuvabadusest, sõna‑ ja teabevabadusest, ettevõtlusvabadusest, õigusest tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele ning kultuurilisele, usulisele ja keelelisele mitmekesisusele.

[…]

(39)

Isikuandmete igasugune töötlemine peaks olema seaduslik ja õiglane. Füüsilisi isikuid puudutavate isikuandmete kogumine, kasutamine, lugemine või muu töötlemine ja nende andmete töötlemise ulatus praegu või tulevikus peaks olema nende jaoks läbipaistev. […] Füüsilisi isikuid tuleks teavitada isikuandmete töötlemisega seotud ohtudest, normidest, kaitsemeetmetest ja õigustest ning sellest, kuidas nad saavad sellise andmete töötlemisega seoses oma õigusi kasutada. Eelkõige peaksid olema selged ja õiguspärased isikuandmete töötlemise konkreetsed eesmärgid, mis tuleks kindlaks määrata andmete kogumise ajal. Isikuandmed peaksid olema asjakohased, piisavad ja piirduma sellega, mis on nende töötlemise otstarbe seisukohalt vajalik. See eeldab eelkõige, et tagatakse andmete säilitamise aja piirdumine rangelt minimaalsega. Isikuandmeid tuleks töödelda vaid juhul, kui nende töötlemise eesmärki ei ole mõistlikult võimalik saavutada muude vahendite abil. Selle tagamiseks, et isikuandmeid ei säilitataks vajalikust kauem, peaks vastutav töötleja kindlaks määrama tähtajad andmete kustutamiseks või perioodiliseks läbivaatamiseks. […]

[…]

(42)

Kui töödeldakse andmesubjekti nõusolekul, peaks vastutav töötleja suutma tõestada, et andmesubjekt on andnud isikuandmete töötlemise toiminguks oma nõusoleku. […] Teadliku nõusoleku andmiseks peaks andmesubjekt olema teadlik vähemalt sellest, kes on vastutav töötleja ja milleks kavatsetakse isikuandmeid töödelda. Nõusolekut ei tohiks lugeda vabatahtlikult antuks, kui andmesubjektil pole tõelist või vaba valikuvõimalust või ta ei saa kahjulike tagajärgedeta nõusoleku andmisest keelduda või seda tagasi võtta.

(43)

Selle tagamiseks, et nõusolek on antud vabatahtlikult, ei tohiks nõusolek anda isikuandmete töötlemiseks kehtivat õiguslikku alust konkreetsel juhul, kui andmesubjekt ja vastutav töötleja on selgelt ebavõrdses olukorras, eriti juhul kui vastutav töötleja on avaliku sektori asutus, ning seega on ebatõenäoline, et nõusolek anti selle konkreetse olukorra kõigi asjaolude puhul vabatahtlikult. Nõusolekut ei loeta vabatahtlikuks, kui ei ole võimalik anda erinevatele isikuandmete töötlemise toimingutele eraldi nõusolekut, ehkki see on üksikutel juhtudel asjakohane, või kui lepingu täitmine, sealhulgas teenuse osutamine, on pandud sõltuma sellisest nõusolekust, ehkki see ei ole lepingu täitmiseks vajalik.

[…]

(50)

Isikuandmete töötlemine muudel eesmär[kide]l kui need, milleks isikuandmed algselt koguti, peaks olema lubatud üksnes juhul, kui töötlemine on kooskõlas eesmärkidega, mille jaoks isikuandmed algselt koguti. Sellisel juhul ei ole nõutav, et õiguslik alus oleks erinev õiguslikust alusest, mis võimaldas isikuandmete kogumist. […]

(51)

Sellist laadi isikuandmed, mis on oma olemuselt põhiõiguste ja ‑vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib põhiõigusi ja ‑vabadusi olulisel määral ohustada. […] Selliseid isikuandmeid ei tohiks töödelda, välja arvatud käesolevas määruses sätestatud konkreetsetel juhtudel, kui töötlemine on lubatud […]. Lisaks sellise töötlemise erinõuetele tuleks kohaldada käesoleva määruse üldpõhimõtteid ja muid eeskirju, eelkõige seoses seadusliku töötlemise tingimustega. Erandid selliste isikuandmete eriliikide töötlemise üldisest keelust peaksid olema sõnaselgelt sätestatud, muu hulgas, kui andmesubjekt annab selleks oma selgesõnalise nõusoleku, või konkreetse vajaduse korral […]“.

Määruse artiklis 4 on ette nähtud:

„Käesolevas määruses kasutatakse järgmisi mõisteid:

1)	„isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; […]

„isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine;

[…]

„vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses;

[…]

11)	andmesubjekti „nõusolek“ – vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega;

[…]

23)

„isikuandmete piiriülene töötlemine“ – kas

a)	isikuandmete töötlemine, mis toimub liidus olukorras, kus vastutava töötleja või volitatud töötleja, kelle tegevuskoht on enamas kui ühes liikmesriigis, tegevus toimub rohkem kui ühes liikmesriigis, või

b)	isikuandmete töötlemine, mis toimub liidus olukorras, kus vastutava töötleja või volitatud töötleja tegevus toimub ühes kohas, kuid see mõjutab oluliselt või võib tõenäoliselt oluliselt mõjutada andmesubjekte rohkem kui ühes liikmesriigis;

[…]“.

Määruse artikli 5 „Isikuandmete töötlemise põhimõtted“ lõigetes 1 ja 2 on sätestatud:

„1. Isikuandmete töötlemisel tagatakse, et:

a)	töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“);

b)	isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus; […] („eesmärgi piirang“);

c)	isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“);

[…]

e)	isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse; […] („säilitamise piirang“);

2. Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“

Määruse artikkel 6 „Isikuandmete töötlemise seaduslikkus“ on sõnastatud järgmiselt:

„1. Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:

a)	andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil;

b)	isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele;

[…]

4. Kui isikuandmete töötlemine muul eesmärgil kui see, milleks isikuandmeid koguti, ei põhine andmesubjekti nõusolekul või liidu või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada artikli 23 lõikes 1 osutatud eesmärkide täitmine, võtab vastutav töötleja selle kindlakstegemiseks, kas muul eesmärgil töötlemine on kooskõlas eesmärgiga, mille jaoks isikuandmeid algselt koguti, muu hulgas arvesse

a)	seost nende eesmärkide, mille jaoks isikuandmeid koguti, ja kavandatava edasise töötlemise eesmärkide vahel;

b)	isikuandmete kogumise konteksti, eelkõige andmesubjektide ja vastutava töötleja vahelist seost;

c)	isikuandmete laadi, eelkõige seda, kas töödeldakse isikuandmete eriliike vastavalt artiklile 9 või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid vastavalt artiklile 10;

d)	kavandatava edasise töötlemise võimalikke tagajärgi andmesubjektide jaoks;

e)	asjakohaste kaitsemeetmete olemasolu, milleks võivad olla näiteks krüpteerimine ja pseudonümiseerimine.“

Määruse artiklis 7 „Nõusoleku andmise tingimused“ on ette nähtud:

„1. Kui töötlemine põhineb nõusolekul, peab vastutaval töötlejal olema võimalik tõendada, et andmesubjekt on nõustunud oma isikuandmete töötlemisega.

[…]

3. Andmesubjektil on õigus oma nõusolek igal ajal tagasi võtta. Nõusoleku tagasivõtmine ei mõjuta enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust. Andmesubjekti teavitatakse sellest enne nõusoleku andmist. Nõusoleku tagasivõtmine on sama lihtne kui selle andmine.

4. Selle hindamisel, kas nõusolek anti vabatahtlikult, tuleb võimalikult suurel määral võtta arvesse asjaolu, kas lepingu täitmise, sealhulgas teenuse osutamise tingimuseks on muu hulgas seatud nõusoleku isikuandmine andmete töötlemiseks, mis ei ole vajalik kõnealuse lepingu täitmiseks.“

Määruse artiklis 9 „Isikuandmete eriliikide töötlemine“ on sätestatud:

„1. Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.

2. Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:

a)	andmesubjekt on andnud selgesõnalise nõusoleku nende isikuandmete töötlemiseks ühel või mitmel konkreetsel eesmärgil, välja arvatud juhul, kui liidu või liikmesriigi õiguse kohaselt ei saa andmesubjekt lõikes 1 nimetatud keeldu tühistada;

[…]

e)	töödeldakse isikuandmeid, mille andmesubjekt on ilmselgelt avalikustanud;

[…]“.

Määruse artiklis 13, mis käsitleb „[t]eave[t], mis tuleb anda juhul, kui isikuandmed on kogutud andmesubjektilt“, on ette nähtud:

„1. Kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teeb vastutav töötleja isikuandmete saamise ajal andmesubjektile teatavaks kogu järgmise teabe:

[…]

c)	isikuandmete töötlemise eesmärk ja õiguslik alus;

[…]

3. Kui vastutav töötleja kavatseb isikuandmeid edasi töödelda muul eesmärgil kui see, milleks isikuandmeid koguti, esitab vastutav töötleja andmesubjektile enne edasist isikuandmete töötlemist teabe kõnealuse muu eesmärgi kohta ja muu asjakohase lõikes 2 osutatud täiendava teabe.

[…]“.

Määruse artikli 25 lõikes 2 on sätestatud:

„Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise konkreetse eesmärgi saavutamiseks. See kehtib kogutud isikuandmete hulga, nende töötlemise ulatuse, nende säilitamise aja ja nende kättesaadavuse suhtes. Nende meetmetega tagatakse eelkõige see, et isikuandmeid ei tehta vaikimisi ilma asjaomase isiku sekkumiseta määramata füüsiliste isikute ringile kättesaadavaks.“

Põhikohtuasi ja eelotsuse küsimused

Meta Platforms Ireland, kes haldab liidus veebipõhise suhtlusvõrgustiku Facebook teenuste pakkumist, on selle suhtlusvõrgustiku kasutajate isikuandmete töötlemise eest vastutav töötleja liidus. Tal ei ole Austrias filiaali. Meta Platforms Ireland edendab eelkõige aadressil www.facebook.com teenuseid, mida kuni 5. novembrini 2023 pakuti erakasutajatele tasuta. Alates 6. novembrist 2023 olid need teenused jätkuvalt tasuta ainult kasutajatele, kes andsid nõusoleku selleks, et nende isikuandmeid kogutakse ja kasutatakse neile isikupärastatud reklaami saatmiseks; kasutajatel oli võimalus sõlmida tasuline tellimus, et saada ligipääs kõnealuste teenuste versioonile ilma suunatud reklaamita.

Veebipõhise suhtlusvõrgustiku Facebook majandusmudel põhineb rahastamisel internetireklaami kaudu, mis on suunatud sihipäraselt suhtlusvõrgustiku üksikkasutajatele muu hulgas nende tarbimiskäitumise, huvide ja isikliku olukorra põhjal. Sellise reklaami teevad tehniliselt võimalikuks võrgustiku kasutajate üksikasjalike profiilide automatiseeritud koostamine ja Meta kontserni tasandil pakutavad veebipõhised teenused.

Suhtlusvõrgustiku Facebook kasutajate isikuandmete töötlemisel tugineb Meta Platforms Ireland kasutuslepingule, mille kasutajad sõlmivad, vajutades nuppu „Registreeri“, ja mille abil nad nõustuvad selle äriühingu koostatud tüüptingimustega. Põhikohtuasja asjaolude asetleidmise ajal oli suhtlusvõrgustiku Facebook kasutamiseks vaja nende tingimustega nõustuda. Kasutajate isikuandmete töötlemise osas viitavad tüüptingimused selle äriühingu kehtestatud andmete ja küpsiste (cookies) kasutamise poliitikale. Viimase kohaselt kogub Meta Platforms Ireland kasutajate ja kasutajate seadmete kohta andmeid, mis puudutavad nende tegevust nii suhtlusvõrgustikus kui ka sellest väljaspool, ning seob need andmed asjasse puutuvate kasutajate Facebooki kontodega. Andmed, mis puudutavad tegevust väljaspool suhtlusvõrgustikku (edaspidi ka „off Facebooki andmed“), pärinevad esiteks Facebookiga programmiliideste kaudu seotud kolmandate isikute veebisaitide ja rakenduste külastamisest ning teiseks teiste Meta kontserni kuuluvate veebipõhiste teenuste, sealhulgas Instagrami ja WhatsAppi kasutamisest.

Enne isikuandmete kaitse üldmääruse jõustumist andsid Facebooki kasutajad oma sõnaselge nõusoleku oma andmete töötlemiseks vastavalt vastustaja kasutustingimustele, mis sel ajal kehtisid. Tulenevalt isikuandmete kaitse üldmääruse jõustumisest 25. mail 2018 võttis Meta Platforms Ireland 19. aprillil 2018 vastu uued kasutustingimused ja esitas need kasutajatele nõusoleku saamiseks. Kuna M. Schremsi konto oli blokeeritud, nõustus ta uute kasutustingimustega, et ta saaks jätkata Facebooki kasutamist. Nõusolek oli vajalik, et säilitada kontole ligipääs ja kasutada vastavaid teenuseid.

Meta Platforms Ireland võttis kasutusele erinevad tööriistad (tools), et anda kasutajatele võimalus tutvuda nende kohta salvestatud andmetega ja neid andmeid kontrollida. Nende tööriistade abil ei ole nähtavad kõik töödeldavad andmed, vaid ainult need andmed, mis on äriühingu hinnangul kasutajatele huvipakkuvad ja olulised. Nii on kasutajal taotluse korral võimalik näiteks näha, et ta on avanud Facebooki profiili kaudu teatava rakenduse, külastanud konkreetset veebisaiti, midagi otsinud või ostnud või klõpsanud teatavale reklaamile.

Meta Platforms Ireland kasutab küpsiseid (cookies), sotsiaalpluginaid ja piksleid, nagu nähtub tema kasutustingimustest ja juhistest. Küpsiste abil saab ta kindlaks teha, kuidas veebisaiti kasutatakse. Ilma küpsiste funktsiooni aktiveerimiseta ei ole Meta Platforms Irelandi paljud teenused kasutatavad. Kolmandate isikute veebisaitide käitajad „integreerivad“ Facebooki sotsiaalpluginad oma saitidesse. Kõige laiemalt on levinud Facebooki nupp „Meeldib“. Iga kord, kui seda nuppu sisaldavaid veebisaite külastatakse, edastatakse Meta Platforms Irelandile kasutatud seadmesse salvestatud küpsised, külastatud saidi URL ja muud andmed, näiteks IP‑aadressid või kellaaeg. Seejuures ei pea kasutaja klõpsama nupule „Meeldib“, kuna ainuüksi sellist pluginat sisaldava veebilehe vaatamisest piisab, et need andmed seejärel äriühingule edastataks.

Eelotsusetaotlusest nähtub, et pluginaid kasutatakse ka poliitiliste parteide veebilehtedel ja homoseksuaalsetele isikutele mõeldud lehekülgedel, mida M. Schrems külastas. Nende pluginate kasutamisega sai Meta Platforms Ireland jälgida M. Schremsi käitumist internetis, mis tõi kaasa teatavate delikaatsete isikuandmete kogumise.

Samamoodi nagu sotsiaalpluginaid saab ka piksleid integreerida veebisaiti ja need võimaldavad koguda veebisaidi külastajate kohta teavet, et mõõta ja optimeerida saidil pakutavat reklaami. Näiteks, kui veebisaitide käitajad integreerivad oma veebisaiti Facebooki piksli, on neil võimalik saada Meta Platforms Irelandilt teavet, kui palju inimesi on vaadanud nende reklaami Facebookis ja läinud seejärel käitaja enda veebisaidile, et sellega tutvuda või ostu sooritada.

Sotsiaalpluginad ja pikslid koos küpsistega on seega internetireklaami oluline osa, kuna valdavat osa internetis pakutavast sisust rahastatakse reklaami kaudu. Eelkõige saab pluginate abil edastada kasutajatele asjakohaseid reklaamsõnumeid ning reklaamijad saavad kasutada piksleid reklaamikampaaniate tulemuslikkuse mõõtmiseks ja kasutajate sihtrühmade kohta teabe saamiseks.

Käesoleval juhul nähtub eelotsusetaotlusest, et M. Schrems ei andnud Meta Platforms Irelandile luba töödelda isikupärastatud reklaami eesmärgil tema isikuandmeid, mida ta saab reklaamijatelt ja teistelt partneritelt M. Schremsi tegevuse kohta väljaspool Facebooki. Meta Platforms Ireland sai küpsiste, sotsiaalpluginate ja samaväärsete kolmandate isikute veebisaitidesse integreeritud tehnoloogiate abil M. Schremsi kohta siiski teatud andmed ja kasutas neid Facebooki toodete täiustamiseks ja M. Schremsile isikupärastatud reklaami saatmiseks.

Lisaks nähtub eelotsusetaotlusest, et M. Schrems ei näidanud Facebooki profiilis mingeid delikaatseid andmeid, tema tegevust või postitusi tema ajajoonel võivad näha ainult tema „sõbrad“ ning tema „sõprade nimekiri“ ei ole avalik. Lisaks tegi M. Schrems valiku mitte lubada Meta Platforms Irelandil kasutada suunatud reklaami eesmärgil tema profiili valdkondi, mis on seotud tema suhtestaatuse, tööandja või haridusega.

Meta Platforms Ireland saab tema käsutuses olevate andmete põhjal siiski kindlaks teha ka M. Schremsi huvi selliste delikaatsete teemade vastu nagu tervis, seksuaalne sättumus, rahvusrühmad ja poliitilised parteid, mis võimaldab edastada talle suunatud reklaami, mis on seotud näiteks niisuguse seksuaalse sättumuse või niisuguste poliitiliste veendumustega.

Nii sai M. Schrems ühelt poolt reklaami ühe Austria poliitiku kohta, mis põhines Meta Platforms Irelandi analüüsil, millest nähtus, et tal on ühiseid omadusi teiste kasutajatega, kes olid selle poliitiku meeldivaks märkinud. Teiselt poolt sai M. Schrems ka regulaarselt homoseksuaalsetele isikutele suunatud reklaame ja kutseid vastavatele üritustele, kuigi ta ei olnud varem kunagi olnud neist üritustest huvitatud ega teadnud, kus need toimuvad. Need reklaamid või kutsed ei lähtunud otseselt põhikohtuasja kaebaja ja tema „sõprade“ seksuaalsest sättumusest, vaid nende huvide analüüsist, s.o käesoleval juhul asjaolust, et üks tema sõpradest oli märkinud meeldivaks ühe toote.

M. Schrems palus koostada analüüsi selle kohta, mida on võimalik järeldada tema sõprade nimekirja alusel, ning sellest nähtus, et ta oli läbinud tsiviilajateenistuse Salzburgis Punases Ristis ja et ta oli homoseksuaal. Lisaks on Meta Platforms Irelandil loetelu tema tegevusest väljaspool Facebooki ja see sisaldab muu hulgas homoseksuaalide tutvumisrakendusi või veebisaite ning ühe Austria erakonna veebisaiti. Põhikohtuasja kaebaja kohta säilitatavate andmete hulgas on ka üks e‑posti aadress, mida ei ole tema Facebooki profiilil näidatud, kuid mida ta kasutas Meta Platforms Irelandile päringute saatmiseks.

25	Eelotsusetaotlusest nähtub veel, et M. Schrems on avalikult teatanud, et ta on homoseksuaalne. Oma Facebooki profiilis ei ole ta siiski oma seksuaalset sättumust kunagi maininud.

M. Schrems väitis Landesgericht für Zivilrechtssachen Wienis (Viini esimese astme tsiviilkohus, Austria), et tema isikuandmete töötlemine Meta Platforms Irelandi poolt rikub mitut isikuandmete kaitse üldmääruse sätet. Ta leidis sellega seoses, et tema nõustumus põhikohtuasja vastustaja digiplatvormi kasutustingimustega ei vastanud selle määruse artikli 6 lõike 1 ja artikli 7 nõuetele. Lisaks töötleb Meta Platforms Ireland põhikohtuasja kaebaja delikaatseid andmeid määruse artikli 9 tähenduses ilma artikli 7 kohaselt selleks vajaliku nõusolekuta. Samuti puudub kehtiv nõusolek nende M. Schremsi isikuandmete töötlemiseks, mille Meta Platforms Ireland sai kolmandatelt isikutelt. Sellega seoses palus M. Schrems muu hulgas, et vastustajat kohustataks lõpetama tema isikuandmete töötlemine isikupärastatud reklaami eesmärgil ning nende andmete kasutamine, mis tulenevad kolmandate isikute veebisaitide külastamisest ja mis on saadud kolmandate isikute kaudu.

Meta Platforms Ireland leidis seevastu, et M. Schremsi andmeid töödeldi vastavalt suhtlusvõrgustiku kasutustingimustele, mis on kooskõlas isikuandmete kaitse üldmääruse nõuetega. Selline andmete töötlemine on seaduslik ega põhine määruse artikli 6 lõike 1 punktis a nõutud põhikohtuasja kaebaja nõusolekul, vaid muudel põhjendustel, sealhulgas peamiselt sellel, kas töötlemine on vajalik põhikohtuasja kaebaja ja vastustaja vahel sõlmitud lepingu täitmiseks määruse artikli 6 lõike 1 punkti b tähenduses.

Põhikohtuasjas on Euroopa Kohtule juba esitatud eelotsusetaotlus, mille kohta tehti 25. jaanuari 2018. aasta kohtuotsus Schrems, C‑498/16, EU:C:2018:37. Pärast seda kohtuotsust jättis Landesgericht für Zivilrechtssachen Wien (Viini esimese astme tsiviilkohus, Austria) 30. juuni 2020. aasta kohtuotsusega M. Schremsi nõuded rahuldamata. Samuti jättis Oberlandesgericht Wien (liidumaa kõrgeim kohus Viinis, Austria), kellele esitati apellatsioonkaebus, selle kohtuotsuse peale M. Schremsi esitatud apellatsioonkaebuse rahuldamata, tuues muu hulgas põhjuseks, et M. Schremsi kui digiplatvormi kasutaja isikuandmete töötlemine, sealhulgas isikupärastatud reklaam, on selle platvormi kasutamiseks poolte vahel sõlmitud lepingu lahutamatu osa. Nende andmete töötlemine on seega vajalik lepingu täitmiseks isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti b tähenduses.

Oberster Gerichtshof (Austria kõrgeim üldkohus), kellele M. Schrems esitas kassatsioonkaebuse, märgib, et Meta Platforms Irelandi majandusmudel seisneb tulu teenimises suunatud reklaamilt ja kaubanduslikult sisult, mis põhineb Facebooki kasutajate eelistustel ja huvidel, töödeldes nende kasutajate isikuandmeid. Kuna selline töötlemine võimaldab Facebookil pakkuda oma kasutajatele tasuta teenuseid, võib seda pidada vajalikuks kasutajatega sõlmitud lepingu täitmiseks isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti b tähenduses.

30	Eelotsusetaotluse esitanud kohus leiab, et nimetatud säte, mida tuleb tõlgendada kitsalt, ei tohiks siiski lubada sellist andmete töötlemist ilma andmesubjekti nõusolekuta.

31	Lisaks märgib eelotsusetaotluse esitanud kohus, et Meta Platforms Ireland töötleb isikuandmeid, mida võib isikuandmete kaitse üldmääruse artikli 9 lõike 1 alusel pidada „delikaatseks“.

Käesoleval juhul töötleb Meta Plaforms Ireland andmeid M. Schremsi poliitiliste veendumuste ja seksuaalse sättumuse kohta. Oberster Gerichtshofi (Austria kõrgeim üldkohus) tuvastatud asjaolude kohaselt on M. Schrems teinud avalikuks oma seksuaalse sättumuse. Täpsemalt viitas M. Schrems paneeldiskussioonil, kus ta 12. veebruaril 2019 Euroopa Komisjoni Austrias asuva esinduse kutsel osales, oma seksuaalsele sättumusele, kritiseerides seda, kuidas Facebook töötleb isikuandmeid, sealhulgas tema andmeid. Kuid nagu M. Schrems paneeldiskussioonil märkis, ei ole ta seda eraelu aspekti oma Facebooki profiilis kunagi maininud.

33	Eelotsusetaotluse esitanud kohtu hinnangul tekib seega küsimus, kas asjaomane kasutaja on ilmselgelt avalikustanud teda puudutavad delikaatsed isikuandmed ja lubanud seega neid andmeid töödelda isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti e alusel.

Neil asjaoludel peatas Oberster Gerichtshof (Austria kõrgeim üldkohus) menetluse ja esitas Euroopa Kohtule järgmised eelotsuse küsimused:

„1. Kas isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktide a ja b sätteid tuleb tõlgendada nii, et selleks, et hinnata, kas sellises platvormilepingus nagu käesoleva põhikohtuasja esemeks olev leping sisalduvad lepingutingimused (eelkõige sellised lepingutingimused nagu „Tasu maksmise asemel annad […] kõnealuste kasutustingimustega hõlmatud Facebooki toodete kasutamisega nõusoleku selleks, et näitame sulle reklaame […] Kasutame sinu isikuandmeid […], et näidata sulle sinu jaoks asjakohasemaid reklaame“), mis hõlmavad isikuandmete töötlemist andmete kogumiseks ja analüüsimiseks individualiseeritud reklaami eesmärgil, on seaduslikud, tuleb lähtuda isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti a nõuetest koostoimes artikliga 7, mida ei või asendada tuginemisega isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktile b?

2. Kas isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti c („võimalikult väheste andmete kogumine“) tuleb tõlgendada nii, et kõiki käesolevas asjas kõne all oleva platvormi käsutuses olevaid isikuandmeid (saadud eelkõige andmesubjektilt või kolmandatelt isikutelt platvormil ja väljaspool platvormi) võib suunatud reklaami eesmärgil koguda, analüüsida ja töödelda ilma ajaliste või andmeliigi suhtes kehtivate piiranguteta?

3. Kas isikuandmete kaitse üldmääruse artikli 9 lõiget 1 tuleb tõlgendada nii, et see on kohaldatav andmetöötlusele, millega on võimalik (näiteks reklaami eesmärgil) sihipäraselt filtreerida isikuandmete eriliike, millest ilmnevad näiteks poliitilised veendumused või seksuaalne sättumus, isegi kui vastutav töötleja ei tee nende andmete vahel vahet?

4. Kas isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti b koostoimes artikli 9 lõike 2 punktiga e tuleb tõlgendada nii, et enda seksuaalse sättumuse väljendamine paneeldiskussioonidel lubab andmete kogumiseks ja analüüsimiseks isikupärastatud reklaami eesmärgil töödelda muid andmeid seksuaalse sättumuse kohta?“

Menetlus Euroopa Kohtus

35	Euroopa Kohtu president peatas 7. aprilli 2022. aasta otsusega käesoleva menetluse kuni menetlust lõpetava otsuse tegemiseni kohtuasjas C‑252/21, Meta Platforms jt.

Euroopa Kohtu president tegi 7. juuli 2023. aasta otsusega käesolevas kohtuasjas eelotsusetaotluse esitanud kohtule teatavaks 4. juuli 2023. aasta kohtuotsuse Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused) (C‑252/21, EU:C:2023:537), küsides viimaselt, kas seda kohtuotsust arvestades soovib ta jääda tervikuna või osaliselt oma eelotsusetaotluse juurde, ning palus eelotsusetaotluse osalise tagasivõtmise korral esitada põhjused selle osaliseks allesjätmiseks.

Eelotsusetaotluse esitanud kohus võttis 19. juuli 2023. aasta kohtumäärusega, mis saabus Euroopa Kohtu kantseleisse 9. augustil 2023, oma esimese ja kolmanda eelotsuse küsimuse tagasi, väites, et nimetatud kohtuotsuses vastati nendele küsimustele. Seevastu jäi kohus oma teise ja neljanda eelotsuse küsimuse juurde, väites, et samas kohtuotsuses ei vastatud nendele küsimustele täielikult.

Teine küsimus

Teise küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti c tuleb tõlgendada nii, et selles sättes ette nähtud „võimalikult väheste andmete“ põhimõttega on vastuolus see, kui kõiki isikuandmeid, mille selline vastutav töötleja nagu suhtlusvõrgustiku veebiplatvormi haldaja on saanud andmesubjektilt või kolmandatelt isikutelt ja mis on kogutud nii sellel platvormil kui ka väljaspool seda, koondatakse, analüüsitakse ja töödeldakse suunatud reklaami eesmärgil ilma ajalise piiranguta ja andmeliigi alusel vahet tegemata.

Vastuvõetavus

Põhikohtuasja vastustaja väidab, et see küsimus on vastuvõetamatu, kuna ühelt poolt ei ole eelotsusetaotluse esitanud kohus selgitanud põhjusi, miks vastus sellele küsimusele on põhikohtuasja lahendamiseks tarvilik, ja teiselt poolt tugines kohus ebatäpsele faktilisele eeldusele, leides ekslikult, et põhikohtuasja vastustaja kasutab kõiki tema käsutuses olevaid isikuandmeid reklaami eesmärgil ilma ajalise piiranguta ja andmeliigi alusel vahet tegemata.

Mis puudutab esiteks argumenti, et eelotsusetaotluse esitanud kohus ei ole esitanud põhjusi, miks ta leiab, et vastus teisele küsimusele on põhikohtuasja lahendamiseks tarvilik, siis tuleb rõhutada, kui oluline on liikmesriigi kohtul esitada täpsed põhjused, miks tal tekkisid küsimused liidu õiguse tõlgendamise kohta ja miks ta peab vajalikuks esitada Euroopa Kohtule eelotsuse küsimused (6. detsembri 2005. aasta kohtuotsus ABNA jt, C‑453/03, C‑11/04, C‑12/04 ja C‑194/04, EU:C:2005:741, punkt 46, ning 29. veebruari 2024. aasta kohtuotsus Staatssecretaris van Justitie en Veiligheid (vastastikune usaldus üleandmise korral), C‑392/22, EU:C:2024:195, punkt 85). Käesoleval juhul nähtub eelotsusetaotluse põhjendustest siiski, et eelotsusetaotluse esitanud kohus soovib kindlaks teha, kas juhul, kui põhikohtuasjas kõne all olev andmete töötlemine reklaami eesmärgil on isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkti b alusel põhjendatud, vastab põhikohtuasja vastustaja selliselt töödeldavate andmete ulatus võimalikult väheste andmete kogumise põhimõttele, või kas nii ulatuslik töötlemine on hoopis vastuolus vastutava töötleja kohustustega, mis tulenevad isikuandmete kaitse üldmääruse artiklist 5. Seega nähtuvad eelotsusetaotlusest piisavalt selgelt põhjused, miks vastus sellele küsimusele on põhikohtuasja lahendamiseks tarvilik.

Mis puudutab teiseks argumenti, et eelotsusetaotluse esitanud kohus tugines ebatäpsele faktilisele eeldusele, siis vastab tõele, et teine eelotsuse küsimus põhineb esiteks eeldusel, nagu on märgitud käesoleva kohtuotsuse punktis 20, et kuigi M. Schrems ei andnud Meta Platforms Irelandile luba töödelda oma isikuandmeid, mis puudutavad tema tegevust väljaspool Facebooki, töötles see äriühing siiski osa neist andmetest, mille ta oli saanud kolmandast isikust partneritelt suhtlusvõrgustiku kasutamise tüüptingimustele M. Schremsi antud heakskiidu alusel, eelkõige kolmandate isikute veebisaitidesse integreeritud küpsiste ja Facebooki pluginate abil, ning teiseks eeldusel, et Meta Platforms Ireland töötleb neid isikuandmeid ilma ajalise piiranguta ja andmeliigi alusel vahet tegemata.

Tuleb meenutada, et Euroopa Kohtu väljakujunenud praktika kohaselt näeb ELTL artikkel 267 ette otsese koostöö Euroopa Kohtu ja liikmesriikide kohtute vahel. Selles menetluses, mis põhineb liikmesriikide kohtute ja Euroopa Kohtu ülesannete selgel eristamisel, on igasugune faktiliste asjaolude hindamine liikmesriigi kohtu pädevuses, kellel tuleb konkreetse kohtuasja eripära arvestades hinnata nii eelotsuse vajalikkust asjas otsuse langetamiseks kui ka Euroopa Kohtule esitatavate küsimuste asjakohasust, samas kui Euroopa Kohus on pädev otsustama üksnes liidu õigusnormide tõlgenduse või kehtivuse üle, lähtudes talle liikmesriigi kohtu poolt esitatud asjaoludest (25. oktoobri 2017. aasta kohtuotsus Polbud–Wykonawstwo, C‑106/16, EU:C:2017:804, punkt 27 ja seal viidatud kohtupraktika).

43	Seetõttu tuleb vastata küsimusele, mis on esitatud selle eelduse alusel, mille põhjendatust peab siiski kontrollima eelotsusetaotluse esitanud kohus.

44	Järelikult on teine eelotsuse küsimus vastuvõetav.

Sisulised küsimused

Esimesena tuleb meenutada, et isikuandmete kaitse üldmääruse eesmärk, mis tuleneb artiklist 1 ning põhjendustest 1 ja 10, on eelkõige tagada füüsiliste isikute põhiõiguste ja ‑vabaduste ning eelkõige nende õiguse eraelu puutumatusele kõrgetasemeline kaitse, kui töödeldakse neid puudutavaid isikuandmeid, mida kaitsevad harta artikli 8 lõige 1 ja ELTL artikli 16 lõige 1 (7. märtsi 2024. aasta kohtuotsus IAB Europe, C‑604/22, EU:C:2024:214, punkt 53 ja seal viidatud kohtupraktika).

Selleks on kõnealuse määruse II peatükis ette nähtud isikuandmete töötlemise põhimõtted ja III peatükis andmesubjekti õigused, mida tuleb igasugusel isikuandmete töötlemisel järgida. Kui määruse artiklis 23 ette nähtud eranditest ei tulene teisiti, peab igasugune isikuandmete töötlemine ühelt poolt olema kooskõlas määruse artikli 5 kohaste selliste andmete töötlemise põhimõtetega ja vastama artiklis 6 loetletud seaduslikkuse tingimustele ning teiselt poolt austama andmesubjekti õigusi, mis on sätestatud määruse artiklites 12–22 (11. juuli 2024. aasta kohtuotsus Meta Platforms Ireland (esindushagi), C‑757/22, EU:C:2024:598, punkt 49 ja seal viidatud kohtupraktika).

47	Nagu Euroopa Kohus on varem täpsustanud, on isikuandmete kaitse üldmääruse artiklis 5 sätestatud isikuandmete töötlemise põhimõtted kohaldatavad kumulatiivselt (20. oktoobri 2022. aasta kohtuotsus Digi, C‑77/21, EU:C:2022:805, punkt 47).

Sellega seoses tuleb märkida, et isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti a kohaselt tuleb isikuandmeid töödelda seaduslikult, õiglaselt ja andmesubjektile läbipaistvalt ning artikli 5 lõike 1 punkti b kohaselt tuleb neid andmeid koguda täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus.

Lisaks on selle määruse artikli 5 lõike 1 punktis c, kus on tagatud „võimalikult väheste andmete kogumise“ põhimõte, sätestatud, et isikuandmed peavad olema „asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt“ (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 109 ja seal viidatud kohtupraktika).

Nagu Euroopa Kohus on varem otsustanud, väljendab see põhimõte proportsionaalsuse põhimõtet (vt selle kohta 22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (karistuspunktid), C‑439/19, EU:C:2021:504, punkt 98 ja seal viidatud kohtupraktika ning 30. jaanuari 2024. aasta kohtuotsus Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkt 41).

Isikuandmete kaitse üldmääruse artikli 5 lõikes 2 sätestatud vastutuse põhimõtte kohaselt peab vastutaval töötlejal olema võimalik tõendada, et isikuandmeid kogutakse ja töödeldakse selle artikli lõikes 1 sätestatud põhimõtteid järgides (vt selle kohta 20. oktoobri 2022. aasta kohtuotsus Digi, C‑77/21, EU:C:2022:805, punkt 24). Lisaks on vastavalt kõnealuse määruse artikli 13 lõike 1 punktile c vastutava töötleja kohustus juhul, kui isikuandmeid kogutakse andmesubjektilt, viimast teavitada nende andmete töötlemise eesmärgist ja sellise töötlemise õiguslikust alusest (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 95).

Teisena, mis puudutab sellise isikuandmete töötlemise ajalist piirangut, nagu on kõne all põhikohtuasjas, siis tuleb märkida, et Euroopa Kohus on varem otsustanud, et võimalikult väheste andmete kogumise põhimõtet silmas pidades on vastutav töötleja kohustatud piirama ka kõnealuste isikuandmete kogumise aja sellega, mis on tingimata vajalik töötlemistoimingu eesmärgi saavutamiseks (24. veebruari 2022. aasta kohtuotsus Valsts ieņēmumu dienests (isikuandmete töötlemine maksustamise eesmärgil), C‑175/20, EU:C:2022:124, punkt 79).

Nimelt, mida kauem neid andmeid säilitatakse, seda suurem on mõju andmesubjekti huvidele ja eraelule ning seda rangemad on selle teabe säilitamise seaduslikkuse nõuded (vt selle kohta 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 95).

54	Lisaks tuleb märkida, et isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti e kohaselt tuleb isikuandmeid säilitada kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik nende töötlemise eesmärkide saavutamiseks.

Selle artikli sõnastusest nähtub seega üheselt, et sellega tagatud säilitamise piirangu põhimõte nõuab, et vastutav töötleja saaks kooskõlas käesoleva kohtuotsuse punktis 51 meelde tuletatud vastutuse põhimõttega tõendada, et isikuandmeid säilitatakse üksnes ajavahemikul, mis on vajalik andmete kogumise või edasise töötlemise eesmärkide saavutamiseks (vt selle kohta 20. oktoobri 2022. aasta kohtuotsus Digi, C‑77/21, EU:C:2022:805, punkt 53).

Sellest tuleneb, nagu Euroopa Kohus on varem otsustanud, et isegi alguses seaduslik andmete töötlemine võib aja möödudes minna isikuandmete kaitse üldmääruse sätetega vastuollu, kui neid andmeid ei ole enam vaja eesmärgil, milleks neid koguti või hiljem töödeldi, ning need andmed tuleb nimetatud eesmärkide saavutamisel kustutada (vt selle kohta 20. oktoobri 2022. aasta kohtuotsus Digi, C‑77/21, EU:C:2022:805, punkt 54 ja seal viidatud kohtupraktika).

Neil asjaoludel, nagu kohtujurist oma ettepaneku punktis 22 sisuliselt märkis, peab eelotsusetaotluse esitanud kohus kõiki asjasse puutuvaid asjaolusid arvestades ja isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis c osutatud proportsionaalsuse põhimõtet kohaldades hindama, kas vastutava töötleja poolt isikuandmete säilitamise tähtaeg on mõistlikult põhjendatud, võttes arvesse eesmärki võimaldada edastada isikupärastatud reklaami.

58	Suhtlusvõrgustiku platvormi kasutajate isikuandmete piiramata ajaks säilitamist suunatud reklaami eesmärgil tuleb igal juhul pidada ebaproportsionaalseks sekkumiseks õigustesse, mis on neile kasutajatele isikuandmete kaitse üldmäärusega tagatud.

Kolmandana, mis puudutab asjaolu, et põhikohtuasjas kõne all olevaid isikuandmeid kogutakse, koondatakse, analüüsitakse ja töödeldakse suunatud reklaami eesmärgil, tegemata vahet andmeliigi alusel, siis tuleb meenutada, et Euroopa Kohus on varem otsustanud, et arvestades isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis c ette nähtud võimalikult väheste andmete kogumise põhimõtet, ei saa vastutav töötleja isikuandmeid koguda üldiselt ja vahet tegemata ning ta peab hoiduma selliste andmete kogumisest, mis ei ole töötlemise eesmärkide seisukohast tingimata vajalikud (24. veebruari 2022. aasta kohtuotsus Valsts ieņēmumu dienests (isikuandmete töötlemine maksustamise eesmärgil), C‑175/20, EU:C:2022:124, punkt 74).

Samuti tuleb märkida, et määruse artikli 25 lõige 2 nõuab, et vastutav töötleja rakendaks asjakohaseid meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult selliseid isikuandmeid, mis on vajalikud töötlemise konkreetse eesmärgi saavutamiseks. Selle sätte kohaselt kehtib selline nõue eelkõige kogutud isikuandmete hulga ja nende töötlemise ulatuse suhtes, aga ka nende säilitamise tähtaja suhtes.

Käesoleval juhul nähtub eelotsusetaotlusest, et Meta Platforms Ireland kogub Facebooki kasutajate, sealhulgas M. Schremsi isikuandmeid, mis puudutavad kasutajate tegevust nii selles suhtlusvõrgustikus kui ka väljaspool seda, sealhulgas andmeid veebiplatvormi ning kolmandate isikute veebilehtede külastamise ja rakenduste kasutamise kohta, ning jälgib ka asjaomastesse veebisaitidesse integreeritud sotsiaalpluginate ja pikslite abil kasutajate veebikäitumist nendel veebilehtedel.

Euroopa Kohus on varem otsustanud, et selline töötlemine on eriti ulatuslik, kuna see puudutab potentsiaalselt piiramatut hulka andmeid ja sellel on oluline mõju kasutajale, kelle tegevus veebis on suures osas kui mitte peaaegu täielikult Meta Platforms Irelandi jälgimise all, mis võib kasutajal tekitada tunde, et tema eraelu jälgitakse pidevalt (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 118).

Neil asjaoludel iseloomustab põhikohtuasjas kõne all olevat andmete töötlemist andmesubjektide põhiõiguste, eelkõige Euroopa Liidu põhiõiguste harta artiklitega 7 ja 8 tagatud õiguse eraelu puutumatusele ja isikuandmete kaitsele raske riive, mis ei näi olevat – kui eelotsusetaotluse esitanud kohtu läbiviidava kontrolli tulemusel ei ilmne vastupidist – mõistlikult põhjendatud, võttes arvesse eesmärki võimaldada edastada suunatud reklaami.

64	Igal juhul ei ilmne, et suhtlusvõrgustiku platvormil olevate kõigi isikuandmete vahet tegemata kasutamine reklaami eesmärgil olenemata sellest, kui delikaatsed on need andmed, oleks proportsionaalne sekkumine õigustesse, mis on selle platvormi kasutajatele isikuandmete kaitse üldmäärusega tagatud.

Eeltoodut arvestades tuleb teisele küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti c tuleb tõlgendada nii, et selles sättes ette nähtud „võimalikult väheste andmete“ põhimõttega on vastuolus see, kui kõiki isikuandmeid, mille selline vastutav töötleja nagu suhtlusvõrgustiku veebiplatvormi haldaja on saanud andmesubjektilt või kolmandatelt isikutelt ja mis on kogutud nii sellel platvormil kui ka väljaspool seda, koondatakse, analüüsitakse ja töödeldakse suunatud reklaami eesmärgil ilma ajalise piiranguta ja andmeliigi alusel vahet tegemata.

Neljas küsimus

Selle küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti e tuleb tõlgendada nii, et asjaolu, et isik on avalikustanud oma seksuaalse sättumuse üldsusele osalemiseks avatud paneeldiskussioonil, annab suhtlusvõrgustiku veebiplatvormi haldajale loa töödelda muid selle isiku seksuaalse sättumusega seotud andmeid, mis võivad olla saadud väljaspool seda platvormi kolmandatest isikutest partnerite rakenduste ja veebisaitide kaudu, nende andmete koondamiseks ja analüüsimiseks, et pakkuda sellele isikule isikupärastatud reklaami.

Täpsemalt soovib eelotsusetaotluse esitanud kohus teada, kas avalduse tõttu, mille M. Schrems paneeldiskussioonil tegi, ei ole tal enam õigust isikuandmete kaitse üldmääruse artikli 9 lõikes 1 tagatud kaitsele, ja kas seetõttu oli Facebookil õigus töödelda muid tema seksuaalse sättumusega seotud andmeid.

Kõigepealt tuleb märkida, et eelotsusetaotluse esitanud kohtu viidatud paneeldiskussioon, mille käigus M. Schrems tegi avalduse oma seksuaalse sättumuse kohta, toimus 12. veebruaril 2019, ning nagu eelotsusetaotlusest nähtub, sel kuupäeval Meta Platforms Ireland juba töötles M. Schremsi seksuaalse sättumusega seotud isikuandmeid, mistõttu on see avaldus andmete töötlemise algusest hilisem.

Sellest järeldub, et eelotsusetaotluse esitanud kohtu neljandat küsimust tuleb mõista nii, et see puudutab üksnes M. Schremsi seksuaalse sättumusega seotud andmete võimalikku töötlemist Meta Platforms Irelandi poolt pärast 12. veebruari 2019. Eelotsusetaotluse esitanud kohtu ülesanne on vastavalt käesoleva kohtuotsuse punktis 42 meenutatud kohtupraktikale siiski kontrollida, kas pärast seda kuupäeva niisugune töötlemine tegelikult aset leidis.

Sellele küsimusele vastamiseks tuleb esiteks meelde tuletada, et isikuandmete kaitse üldmääruse põhjenduses 51 on märgitud, et isikuandmed, mis on oma olemuselt põhiõiguste ja ‑vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib neid õigusi ja vabadusi olulisel määral ohustada. Selles põhjenduses on täpsustatud, et selliseid isikuandmeid ei tohiks töödelda, välja arvatud kõnealuses määruses sätestatud konkreetsetel juhtudel.

Selles kontekstis on isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud seal nimetatud isikuandmete eriliikide töötlemise keelu põhimõte. See hõlmab andmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated või usulised veendumused, samuti terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.

Isikuandmete kaitse üldmääruse artikli 9 lõike 1 kohaldamisel tuleb juhul, kui isikuandmeid töötleb veebipõhise suhtlusvõrgustiku operaator, kontrollida, kas nendest andmetest võib ilmsiks tulla teave, mis kuulub mõnda selles sättes nimetatud andmeliikidest, olenemata sellest, kas teave puudutab selle võrgustiku kasutajat või mõnda muud füüsilist isikut. Jaatava vastuse korral on selline isikuandmete töötlemine seega keelatud, kui isikuandmete kaitse üldmääruse artikli 9 lõikes 2 ette nähtud eranditest ei tulene teisiti.

Nagu Euroopa Kohus on varem otsustanud, ei sõltu isikuandmete kaitse üldmääruse artikli 9 lõikes 1 ette nähtud põhimõtteline keeld sellest, kas töötlemise käigus ilmsiks tulnud teave on õige või mitte ja kas vastutav töötleja tegutseb eesmärgiga saada teavet, mis kuulub ühte selles sättes nimetatud eriliikidest. Isikuandmete kaitse üldmääruse artikli 9 lõike 1 eesmärk on nimelt keelata niisugune töötlemine, sõltumata töötlemise väidetavast eesmärgist, võttes arvesse, et selles sättes nimetatud liikidesse kuuluvate isikuandmete mis tahes töötlemine kujutab endast märkimisväärset ohtu andmesubjektide põhiõigustele ja ‑vabadustele (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punktid 69 ja 70).

Kuigi määruse artikli 9 lõige 1 keelab üldjuhul muu hulgas seksuaalse sättumusega seotud andmete töötlemise, on selle artikli lõike 2 punktides a–j siiski ette nähtud kümme erandit, mis on üksteisest sõltumatud ja mida tuleb seega hinnata eraldiseisvalt. Sellest järeldub, et asjaolu, et mõne lõikes 2 ette nähtud erandi kohaldamise tingimused ei ole täidetud, ei takista vastutaval töötlejal tugineda mõnele teisele selles sättes nimetatud erandile (21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 47).

Mis puudutab eelkõige isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktis e ette nähtud erandit, siis tuleb meenutada, et selle sätte kohaselt ei kohaldata artikli 9 lõikes 1 sätestatud isikuandmete eriliikide töötlemise põhimõttelist keeldu juhul, kui töödeldakse isikuandmeid, mille „andmesubjekt on ilmselgelt avalikustanud“.

Kuna isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkt e näeb ette erandi isikuandmete eriliikide töötlemise keelu põhimõttest, tuleb seda sätet tõlgendada kitsalt (vt selle kohta 4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 76 ning seal viidatud kohtupraktika).

Sellest järeldub, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktis e ette nähtud erandi kohaldamiseks tuleb kontrollida, kas andmesubjekt soovis sõnaselgelt ja selge nõusolekut väljendava tegevusega teha kõnealused isikuandmed üldsusele kättesaadavaks (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 77).

Käesoleval juhul nähtub eelotsusetaotlusest, et 12. veebruaril 2019 Viinis korraldatud paneeldiskussioon, mille käigus M. Schrems tegi avalduse oma seksuaalse sättumuse kohta, oli avatud üldsusele, kellel oli võimalik saada seal osalemiseks vabade kohtade piires pilet, ning seda sai jälgida veebis. Lisaks avaldati hiljem paneeldiskussiooni salvestis netisaatena ja komisjoni YouTube’i kanalil.

Neil asjaoludel ja kui liikmesriigi kohtu kontrolli tulemusel ei ilmne vastupidist, ei saa välistada, et kuigi see avaldus on osa laiemaid teemasid käsitlenud kõnest ja tehti üksnes selleks, et kritiseerida isikuandmete töötlemist Facebooki poolt, kujutab see endast tegu, millega asjaomane isik on kõigist asjaoludest teadlikuna ilmselgelt avalikustanud oma seksuaalse sättumuse isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti e tähenduses.

Teiseks, kuigi asjaolu, et andmesubjekt on ilmselgelt avalikustanud andmed oma seksuaalse sättumuse kohta, toob kaasa selle, et neid andmeid võib erandina isikuandmete kaitse üldmääruse artikli 9 lõikes 1 sätestatud keelust töödelda kooskõlas selle määruse muudest sätetest tulenevate nõuetega (vt selle kohta 24. septembri 2019. aasta kohtuotsus GC jt (delikaatsetele andmetele viitavate linkide eemaldamine), C‑136/17, EU:C:2019:773, punkt 64), ei luba see asjaolu iseenesest – vastupidi sellele, mida väidab Meta Platforms Ireland – töödelda selle isiku seksuaalse sättumusega seotud muid isikuandmeid.

Seega oleks ühelt poolt isikuandmete kaitse üldmääruse artikli 9 lõike 2 punktile e antava kitsendava tõlgendusega vastuolus asuda seisukohale, et kõik andmed isiku seksuaalse sättumuse kohta jäävad selle artikli lõikest 1 tuleneva kaitse alt välja üksnes seetõttu, et andmesubjekt on ilmselgelt avalikustanud oma seksuaalse sättumusega seotud isikuandmed.

Teiselt poolt ei võimalda asjaolu, et isik on ilmselgelt avalikustanud andmed oma seksuaalse sättumuse kohta, asuda seisukohale, et see isik on andnud suhtlusvõrgustiku veebiplatvormi haldajale isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti a tähenduses nõusoleku muude tema seksuaalse sättumusega seotud andmete töötlemiseks.

Eeltoodut arvestades tuleb neljandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti e tuleb tõlgendada nii, et asjaolu, et isik on avalikustanud oma seksuaalse sättumuse paneeldiskussioonil, mis on üldsusele osalemiseks avatud, ei luba suhtlusvõrgustiku veebiplatvormi haldajal töödelda muid selle isiku seksuaalse sättumusega seotud andmeid, mis võivad olla saadud väljaspool seda platvormi kolmandatest isikutest partnerite rakenduste ja veebisaitide kaudu, nende andmete koondamiseks ja analüüsimiseks, et pakkuda sellele isikule isikupärastatud reklaami.

Kohtukulud

84	Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.

Esitatud põhjendustest lähtudes Euroopa Kohus (neljas koda) otsustab:

Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 5 lõike 1 punkti c

tuleb tõlgendada nii, et

selles sättes ette nähtud „võimalikult väheste andmete“ põhimõttega on vastuolus see, kui kõiki isikuandmeid, mille selline vastutav töötleja nagu suhtlusvõrgustiku veebiplatvormi haldaja on saanud andmesubjektilt või kolmandatelt isikutelt ja mis on kogutud nii sellel platvormil kui ka väljaspool seda, koondatakse, analüüsitakse ja töödeldakse suunatud reklaami eesmärgil ilma ajalise piiranguta ja andmeliigi alusel vahet tegemata.

Määruse 2016/679 artikli 9 lõike 2 punkti e

tuleb tõlgendada nii, et

asjaolu, et isik on avalikustanud oma seksuaalse sättumuse paneeldiskussioonil, mis on üldsusele osalemiseks avatud, ei anna suhtlusvõrgustiku veebiplatvormi haldajale luba töödelda muid selle isiku seksuaalse sättumusega seotud andmeid, mis võivad olla saadud väljaspool seda platvormi kolmandatest isikutest partnerite rakenduste ja veebisaitide kaudu, nende andmete koondamiseks ja analüüsimiseks, et pakkuda sellele isikule isikupärastatud reklaami.

Allkirjad

( *1 ) Kohtumenetluse keel: saksa.

( 1 ) Euroopa Kohtu kantselei võttis mitteametlikult ühendust põhikohtuasja kaebaja advokaatidega, kes pärast oma kliendiga konsulteerimist kinnitasid kirjalikult, et nende klient ei soovi anonüümseks muutmist.