Ideiglenes változat
ATHANASIOS RANTOS
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2024. április 25.(1)
C‑446/21. sz. ügy
Maximilian Schrems
kontra
Meta Platforms Ireland Limited, korábban Facebook Ireland Limited
(az Oberster Gerichtshof [legfelsőbb bíróság, Ausztria] által benyújtott előzetes döntéshozatal iránti kérelem)
„Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/679 rendelet – Közösségi hálózatok – Az 5. cikk (1) bekezdésének b) pontja – A »célhoz kötöttség« elve– Az 5. cikk (1) bekezdésének e) pontja – Az »adattakarékosság« elve– A 9. cikk (1) bekezdése és (2) bekezdésének e) pontja – A személyes adatok különleges kategóriáinak kezelése – Az érintett által kifejezetten nyilvánosságra hozott személyes adatok – Személyre szabott hirdetés – Szexuális irányultságra vonatkozó adatok”
Bevezetés
1. A jelen előzetes döntéshozatal iránti kérelmet az Oberster Gerichtshof (legfelsőbb bíróság, Ausztria) terjesztette elő a Maximilian Schrems (a továbbiakban: felperes), a „Facebook” közösségi hálózat felhasználója, és a Meta Platforms Ireland Limited, korábban Facebook Ireland Limited (a továbbiakban: Meta Platforms Ireland vagy alperes) között a személyes adatainak e társaság általi állítólagosan jogellenes kezelése tárgyában.
2. A jelen ügyben előzetes döntéshozatalra előterjesztett kérdések egyrészt az (EU) 2016/679 rendelet(2) 5. cikke (1) bekezdésének c) pontjában előírt „adattakarékosság” elvének alkalmazására, másrészt pedig az e rendelet 9. cikke (2) bekezdésének az említett rendelet 5. cikke (1) bekezdésének a „célhoz kötöttség” elvét bevezető b) pontjával összefüggésben értelmezett e) pontjában szereplő, „az érintett által kifejezetten nyilvánosságra hozott személyes adatok” fogalmának értelmezésére vonatkoznak. A kérdést előterjesztő bíróság lényegében arra vár választ, hogy egyrészt az adattakarékosság elve lehetővé teszi‑e a személyes adatok időbeli és az adatok típusa szerinti korlátozás nélkül történő kezelését, másrészt pedig valamely személynek a saját szexuális irányultságára vonatkozó, egy pódiumbeszélgetés során tett állítása megengedi‑e az e személy szexuális irányultságára vonatkozó egyéb adatoknak személyre szabott hirdetés céljából történő kezelését.
Jogi háttér
3. Az általános adatvédelmi rendelet „Fogalommeghatározások” című 4. cikke a 11. pontjában a következőket mondja ki:
„E rendelet alkalmazásában:
[…]
11. »az érintett hozzájárulása«: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez.”
4. E rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke az (1) és (2) bekezdésében a következőket írja elő:
„(1) A személyes adatok:
a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni (»jogszerűség, tisztességes eljárás és átláthatóság«);
b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon;
c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk (»adattakarékosság«);
[…]
(2) Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására (»elszámoltathatóság«).”
5. Az említett rendelet „Az adatkezelés jogszerűsége” című 6. cikke az (1) és (3) bekezdésében a következőképpen rendelkezik:
„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
[…]
f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.
Az első albekezdés f) pontja nem alkalmazandó a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.
[…]
(3) Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:
a) az uniós jog, vagy
b) azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.
[…]
[…] Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.”
6. Ugyanezen rendelet „A hozzájárulás feltételei” című 7. cikkének szövege a következő:
„(1) Ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.
[…]
(3) Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás megadása előtt az érintettet erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.
(4) Annak megállapítása során, hogy a hozzájárulás önkéntes‑e, a lehető legnagyobb mértékben figyelembe kell venni többek között azt, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását is – feltételéül szabták‑e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek az említett szerződés teljesítéséhez.”
7. Az általános adatvédelmi rendelet „A személyes adatok különleges kategóriáinak kezelése” című 9. cikkének (1) és (2) bekezdése kimondja:
„(1) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.
(2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha:
a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával;
b) az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi;
[…]
e) az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott;
[…]”
8. E rendelet 13. cikke – amelynek tárgya: a „[r]endelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik” –, az (1) bekezdésében a következőket írja elő:
„Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
[…]
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;
[…]”
Az alapeljárás, az előzetes döntéshozatalra előterjesztett kérdések és a Bíróság előtti eljárás
9. A Meta Platforms Ireland, egy ír jog szerinti társaság, üzemelteti a „Facebook” zárt kommunikációs hálózatot, amely lényegében online tartalommegosztó közösségi hálózatnak minősül.(3) Üzleti modellje alapvetően arra irányul, hogy a magánfelhasználók számára ingyenes közösségi hálózati szolgáltatásokat kínál, és online reklámokat értékesít, beleértve a felhasználóira irányuló hirdetéseket is.(4) Az ilyen hirdetés elsősorban e közösségi hálózat felhasználói viszonylag részletes profiljainak automatizált kialakításán alapul.(5)
10. 2018‑ban, az általános adatvédelmi rendelet hatálybalépését követően a Meta Platforms Ireland a Facebook Európai Unión belüli felhasználói számára új feltételeket írt elő a Facebook használatára vonatkozóan, a hozzájárulásuk megszerzése érdekében, amely egyébként szükséges a Facebook által nyújtott fiókokhoz és szolgáltatásokhoz való regisztrációhoz vagy az azokhoz való hozzáféréshez.(6) Ezek az új felhasználási feltételek azt is lehetővé teszik a felhasználók számára, hogy áttekintést szerezzenek és ellenőrzést gyakoroljanak a tárolt adatok felett.(7)
11. A felperes Facebook‑felhasználó, aki elfogadta a Facebook által ajánlott új felhasználási feltételeket. Amint az az előzetes döntéshozatalra utaló határozatból kitűnik, nyilvánosan hivatkozott homoszexualitására, de a Facebook‑profilján soha nem említette szexuális irányultságát, és semmilyen különleges adatot nem tett itt közzé.(8) A felperes azt sem engedélyezte az alperesnek, hogy célzott hirdetés céljából használja profilja kapcsolati állapotára, munkáltatójára, munkahelyére vagy képzésére vonatkozó mezőit.
12. Ugyanakkor a felperes egy politikusnőre vonatkozó hirdetést kapott, amelyet azon elemzés alapján címeztek neki, amely szerint más olyan „ügyfelekhez” hasonlított, akik a politikusnőt „lájkolták”, és rendszeresen kapott homoszexuális személyeket célzó reklámokat, valamint a megfelelő eseményekre vonatkozó meghívókat, noha korábban soha nem érdeklődött ezen események iránt, és még csak nem is ismerte azokat a helyszíneket, ahol azok folytak. E reklámok, illetve meghívók nem közvetlenül a felperes és „barátai” szexuális irányultságán alapultak, hanem érdeklődési fókuszuk elemzésén.(9) Egyébiránt a Meta Platforms Ireland rögzíti a felperesre vonatkozó valamennyi adatot, beleértve a harmadik személyek vagy pluginok közvetítésével szerzett adatokat is, annak érdekében, hogy azokat határozatlan ideig megőrizze.
13. A felperes e körülmények között indított végrehajtási, megállapítási és a jogellenes magatartástól való eltiltás iránti keresetet a Landesgericht für Zivilrechtssachen Wien (polgári jogi ügyekben eljáró bécsi regionális bíróság, Ausztria) előtt személyes adatainak a Meta Platforms Ireland általi állítólagos jogellenes kezelése miatt.(10)
14. Ezt követően az Európai Bizottság bécsi (Ausztria) képviselete által szervezett, 2019. február 12‑i pódiumbeszélgetés(11) alkalmával a felperes egy olyan felszólalásban említette szexuális irányultságát, amelyben azt kifogásolta, hogy a Meta Platforms Ireland állítólag jogellenesen kezelte az ezen irányultságra vonatkozó adatokat.(12)
15. Mivel keresetét első fokon a 2020. június 30‑i ítélet, majd fellebbezést követően az Oberlandesgericht Wien (bécsi regionális felsőbíróság, Ausztria) 2020. december 7‑i ítélete elutasította,(13) a felperes felülvizsgálati kérelmet nyújtott be az Oberster Gerichtshofhoz (legfelsőbb bíróság), a kérdést előterjesztő bírósághoz.
16. E körülmények között az Oberster Gerichtshof (legfelsőbb bíróság, Ausztria) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából négy kérdést terjeszt a Bíróság elé.(14) Mivel az előzetes döntéshozatalra előterjesztett első és harmadik kérdést a 2023. július 4-i Meta Platforms és társai (Közösségi hálózat általános felhasználási feltételei) ítéletet(15) követően visszavonták, a jelen ügy tárgya a második és a negyedik kérdés, amelyek a következőképpen szólnak:
„2) Úgy kell‑e értelmezni az általános adatvédelmi rendelet 5. cikke (1) bekezdésének c) pontját (adattakarékosság), hogy valamennyi olyan személyes adat, amellyel az alapeljárásban szóban forgóhoz hasonló platform (különösen az érintett vagy a platformot használó és a platformon kívüli harmadik személyek révén) rendelkezik, személyre szabott hirdetések céljából időbeli és az adatok típusa szerinti korlátozás nélkül összesíthető, elemezhető és kezelhető?
4) Az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontjával összefüggésben úgy kell‑e értelmezni e rendelet 5. cikke (1) bekezdésének b) pontját, hogy a saját szexuális irányultsággal kapcsolatos, egy pódiumbeszélgetés céljára elhangzott nyilatkozat lehetővé teszi, hogy a szexuális irányultságra vonatkozó más adatokat az adatok személyre szabott hirdetések céljából történő összesítése és elemzése érdekében kezeljék?”
17. Írásbeli észrevételeket a felperes, a Meta Platforms Ireland, az osztrák, a francia, az olasz és a portugál kormány, valamint a Bizottság nyújtott be. A felperes, a Meta Platforms Ireland, az osztrák kormány, valamint a Bizottság a 2024. február 8-án tartott tárgyaláson előterjesztette szóbeli észrevételeit.
Elemzés
Az előzetes döntéshozatalra előterjesztett második kérdésről
18. Előzetes döntéshozatalra előterjesztett második kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy az általános adatvédelmi rendelet adattakarékosság elvét rögzítő 5. cikke (1) bekezdésének c) pontját úgy kell‑e értelmezni, hogy a Facebookhoz hasonló hálózat – többek között az érintett személy, vagy az e platformon jelen lévő vagy azon kívüli harmadik személyek révén – rendelkezésére álló valamennyi személyes adat személyre szabott hirdetések céljából időbeli és az adatok típusa szerinti korlátozás nélkül összesíthető, elemezhető és kezelhető.
19. Előzetesen emlékeztetni kell arra, hogy a személyes adatok bármely kezelésének egyrészt meg kell felelnie az általános adatvédelmi rendelet 5. cikkében kifejtett, az adatkezelésre vonatkozó elveknek, másrészt pedig teljesítenie kell az említett rendelet 6. cikkében felsorolt, az adatkezelés jogszerűségére vonatkozó feltételek valamelyikét.(16)
20. Ami közelebbről a személyes adatok kezelésére vonatkozó elveket illeti, a Bíróság többek között pontosította, hogy az általános adatvédelmi rendelet 5. cikke (1) bekezdésének c) pontjában szereplő adattakarékosság elve előírja, hogy a személyes adatoknak az adatkezelés céljai szempontjából megfelelőnek és relevánsnak kell lenniük, és a szükségesre kell korlátozódniuk, ami lényegében az arányosság elvét fejezi ki.(17) Így az adattakarékosság elvének az a célja, hogy minimalizálja a személyes adatok védelméhez való jognak a szóban forgó adatkezelés által okozott akadályozását.
21. A jelen ügyben számomra nyilvánvalónak tűnik, hogy a korlátozásoknak a kérdést előterjesztő bíróság által feltételezett esetleges hiánya fogalmilag ellentétes lenne az adattakarékosság elvének alkalmazásával. Márpedig a Bíróság elé terjesztett iratokból nem tűnik ki olyan körülmény, amely megerősítené vagy kizárhatná ezt a feltételezést, amely mindenesetre a kérdést előterjesztő bíróság mérlegelésére tartozik. Mindazonáltal szeretnék e bíróság számára néhány hasznos útmutatást adni a vizsgált rendelkezés értelmezését illetően, amelyek lehetővé tehetik számára, hogy az előtte folyamatban lévő ügyben határozzon.
22. Ami egyrészt a személyes adatok kezelésének időbeli korlátozását illeti, úgy vélem, hogy mivel az általános adatvédelmi rendelet nem tartalmaz erre vonatkozó különös rendelkezést, az uniós bíróság nem állapíthat meg kötelező jelleggel határidőt ezen adatok megőrzésére. Egyébiránt a Bíróság megállapította, hogy idővel még a pontos adatok eredetileg jogszerű kezelése is összeegyeztethetetlenné válhat többek között az általános adatvédelmi rendelet 5. cikke (1) bekezdésének c)–e) pontjával, ha ezen adatok gyűjtésük vagy kezelésük céljára tekintettel már nem szükségesek.(18) A kérdést előterjesztő bíróság feladata tehát, hogy a jelen ügy körülményeire tekintettel és az arányosság elvének alkalmazásával értékelje,(19) hogy a személyes adatok Meta Platforms Ireland általi megőrzésének időtartama mennyiben igazolható ezen adatoknak a személyre szabott hirdetés céljából történő kezelésének jogszerű céljával.
23. Másrészt, ami a személyes adatok kezelésének az adatok jellegétől függő korlátozását illeti, szintén a kérdést előterjesztő bíróság feladata, hogy a jelen ügy körülményei között – az arányosság elvének alkalmazásával – megállapítsa, hogy melyek azok a személyes adatok, amelyek kezelése jogszerűnek tekinthető.
24. Egyébiránt az általános adatvédelmi rendelet 5. cikke (1) bekezdése c) pontjának szövegében az olyan rendkívül általános feltételekre való hivatkozások, mint a „megfelelőség”, a „relevancia” és a „szükségesség”, véleményem szerint azt mutatják, hogy az uniós jogalkotó széles mérlegelési mozgásteret kívánt biztosítani az illetékes hatóságok számára e rendelkezés alkalmazása során, mivel e feltételek az ügy körülményeire tekintettel csak esetről esetre értelmezhetők.
25. Ennek pontosítását követően úgy vélem, hogy – amint azt a Bizottság írásbeli észrevételeiben megjegyzi – bizonyos megkülönböztetéseket lehet tenni az érintett személy jogaiba az egyes kezelési formák révén való beavatkozás mértékei alapján. A kérdést előterjesztő bíróság tehát, amennyiben azt megfelelőnek ítéli, különbséget tehet egyrészt az érintett személy „statikus” adatainak (mint például az életkor(20) vagy a nem) felhasználása és a „magatartási” adatok felhasználása (mint például a felhasználók navigációs szokásainak nyomon követése) között, mivel ez utóbbi felhasználás főszabály szerint jobban beavatkozik az érintett jogaiba. Ami közelebbről a „magatartási” adatokat illeti, utólagos különbséget lehet tenni az „aktív” magatartásra vonatkozó adatok gyűjtése (mint például a „tetszik” gombra kattintás) és a „passzív” magatartásra vonatkozó adatgyűjtés (mint például egy internetes oldal puszta látogatása) között, mivel ez utóbbi általában nagyobb fokú beavatkozást jelent a felhasználó számára. Másrészt különbséget lehet tenni a Facebook platformon és azon kívül, vagyis internetes oldalakon, a Facebooktól eltérő alkalmazásokon vagy a felhasználók készülékein gyűjtött személyes adatok kezelése között is, mivel ez utóbbi nagyobb beavatkozással jár, mint az előbbi.(21)
26. Ezen elemzés keretében véleményem szerint figyelembe kell venni az érintett személyek észszerű elvárásait is.(22)
27. Egyébiránt az általános adatvédelmi rendelet hatálybalépése előtt fennállóhoz hasonló helyzetben, amelyben a Facebook‑platformon kívül gyűjtött adatok kezelése nem a hozzájáruláson alapult, hanem az e rendelet 6. cikke (1) bekezdésének b) pontja szerinti, a szerződés teljesítéséhez szükséges adatkezelés szükségességén,(23) figyelembe kell venni e rendelkezés Bíróság általi szigorú értelmezését.(24) Következésképpen, amint azt az olasz kormány írásbeli észrevételeiben hangsúlyozza, fontos elkerülni, hogy az említett rendelet 5. cikke szerinti adattakarékosság elvének tág értelmezése lehetővé tegye az adatkezelők számára, hogy kiterjesszék az ugyanezen rendelet 6. cikke (1) bekezdésének b) pontja értelmében a szerződés teljesítéséhez szükségesnek tekintett személyes adatok kategóriáit.
28. A fentiekre tekintettel azt javaslom, hogy a Bíróság az előzetes döntéshozatalra előterjesztett második kérdésre azt a választ adja, hogy az általános adatvédelmi rendelet 5. cikke (1) bekezdésének c) pontját úgy kell értelmezni, hogy azzal ellentétes, ha a személyes adatokat személyre szabott hirdetések céljából időbeli és az adatok típusa szerinti korlátozás nélkül lehet kezelni, és a kérdést előterjesztő bíróság feladata annak az ügy körülményeire tekintettel és az arányosság elvének alkalmazásával történő értékelése, hogy az adatmegőrzési időszak és a kezelt adatok mennyisége mennyiben igazolható az ezen adatok személyre szabott hirdetés céljából történő kezelésének jogszerű céljához képest.
A negyedik kérdésről
29. Az előzetes döntéshozatalra előterjesztett negyedik kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontjával összefüggésben értelmezett 5. cikke (1) bekezdésének b) pontját úgy kell‑e értelmezni, hogy az a körülmény, hogy valamely személy a szexuális irányultságáról egy pódiumbeszélgetés alkalmával nyilatkozott, lehetővé teszi, hogy a Meta Platforms Ireland a szexuális irányultságára vonatkozó egyéb adatokat kezelje abból a célból, hogy személyre szabott hirdetést kínáljon számára. E bíróság ennél általánosabban arra vár választ, hogy mi az utóbbi rendelkezés hatálya, és konkrétan azt a kérdést veti fel, hogy a nyilvánosságnak milyen módon kell megismernie e személy különleges adatait ahhoz, hogy az általános adatvédelmi rendelet 9. cikkének (2) bekezdése alkalmazható legyen.
Az előzetes döntéshozatalra előterjesztett kérdés relevanciájáról
30. A Meta Platforms Ireland írásbeli és szóbeli beadványaiban – anélkül, hogy a többi fél ezt a tárgyaláson vitatta volna – kijelentette, hogy a nemzeti bíróságok előtti eljárás során soha nem hivatkozott az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontjában előírt kivételre a szóban forgó adatkezelés jogalapjaként.(25)
31. Márpedig ilyen esetben az előzetes döntéshozatalra előterjesztett negyedik kérdés egyértelműen irrelevánsnak tűnik, mivel e kivétel a jelen ügyben nem alkalmazható.(26)
32. Mindemellett emlékeztetni kell arra, hogy a Bíróság állandó ítélkezési gyakorlata szerint az EUMSZ 267. cikkben említett eljárás keretében, amely a nemzeti bíróságok és a Bíróság feladatainak világos szétválasztásán alapul, a nemzeti bíróság által saját felelősségére meghatározott jogszabályi és ténybeli háttér alapján(27) – amelynek helytállóságát a Bíróság nem vizsgálhatja – az uniós jog értelmezésére vonatkozóan előterjesztett kérdések releváns voltát vélelmezni kell.(28)
33. Ennélfogva a következő pontokban a kérdést előterjesztő bíróság által előzetes döntéshozatalra előterjesztett negyedik kérdés megválaszolását fogom javasolni, a Bíróság e kérdés relevanciájára vonatkozó határozatának sérelme nélkül.
Az előzetes döntéshozatalra előterjesztett kérdés érdeméről
34. Előzetesen emlékeztetek arra, hogy az általános adatvédelmi rendelet 5. cikke (1) bekezdése b) pontjának megfelelően, amely a célhoz kötöttség elvét rögzíti, a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azok nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon. E rendelet 9. cikkének (1) bekezdése értelmében tilos többek között a természetes személy szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése, kivéve ha az ilyen adatkezelés az említett rendelet 9. cikkének (2) bekezdésében felsorolt kivételek valamelyikének hatálya alá tartozik.(29)
35. Közelebbről, az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében a különleges személyes adatok kezelésének tilalma nem alkalmazandó, ha az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott. Amint azt a Meta Platforms és társai (Közösségi hálózat használatának általános feltételei) ügyre vonatkozó indítványomban(30) megjegyeztem, az e rendelkezés szövegében szereplő „kifejezetten” határozószó használata, valamint az a tény, hogy az említett rendelkezés kivételt képez a különleges személyes adatok kezelésének tilalma alól, e kivétel különösen szigorú alkalmazását követeli meg az érintettek alapvető jogait és szabadságait érintő jelentős kockázatok miatt.(31) Ahhoz, hogy e kivétel alkalmazható legyen, a felhasználónak véleményem szerint teljes mértékben tisztában kell lennie azzal, hogy kifejezett cselekvése útján személyes adatokat hoz nyilvánosságra bárki számára.(32)
36. Az alapügyben a felperes szexuális irányultságára vonatkozó különleges adatokat a Facebook platformon („oldalon kívül”) és bármely más informatikai platformon vagy alkalmazáson kívül, a Bizottság által szervezett pódiumbeszélgetés(33) keretében közölték azzal a céllal, hogy kifogásolják az e szexuális irányultságra vonatkozó adatok Meta Platforms Ireland általi állítólagos jogellenes kezelését.(34)
37. E tekintetben a Bíróságnak már volt alkalma állást foglalni a „oldalon kívüli” adatok más platformok összefüggésében történő felhasználásáról a Meta Platforms és társai (Közösségi hálózat használatának általános feltételei) ítéletében.(35) Ennek kapcsán a Bíróság kimondta, hogy az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontját úgy kell értelmezni, hogy amennyiben valamely online közösségi hálózat felhasználója olyan weboldalakat vagy alkalmazásokat nyit meg, amelyek az általános adatvédelmi rendelet 9. cikkének (1) bekezdésében említett egy vagy több adatkategóriával kapcsolatos információkra utalhatnak, nem hozza az előbbi rendelkezés értelmében véve kifejezetten nyilvánosságra az e megnyitásra vonatkozó, az ezen online közösségi hálózat üzemeltetője által „cookie‑k” vagy hasonló adatrögzítési technológiák révén gyűjtött adatokat, és amennyiben ilyen weboldalakon vagy ilyen alkalmazásokban adatokat visz be, vagy ha az e weboldalakba és alkalmazásokba beépített olyan kiválasztási gombokra kattint mint például a „tetszik”, a „megosztás”, vagy azon gombok, amelyek lehetővé teszik a felhasználó számára, hogy magát ezen oldalakon vagy alkalmazásokban a közösségi hálózat felhasználói fiókjához kapcsolódó csatlakozási azonosítók, a telefonszáma vagy az e‑mail‑címe használatával azonosítsa, az ilyen felhasználó csak abban az esetben hozza az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében kifejezetten nyilvánosságra az így bevitt vagy az e gombokra való kattintásból származó adatokat, kivéve ha előzetesen – adott esetben a tények teljes ismeretében végzett egyéni beállítás alapján – kifejezetten kinyilvánította azon döntését, hogy a rá vonatkozó adatokat korlátlan számú személy számára nyilvánosan hozzáférhetővé teszi.(36)
38. Mindemellett az előterjesztő bíróság szükségesnek tartotta az előzetes döntéshozatalra előterjesztett negyedik kérdés fenntartását, azzal az indokkal, hogy a Bíróság által ez utóbbi ügyben vizsgált jogi aktusok internetes oldalak vagy alkalmazások megtekintésére, valamint az e weboldalakba beépített gombok aktiválására vonatkoztak, míg a jelen ügyben az érintett személy által a szexuális irányultságáról egy pódiumbeszélgetés során tett nyilatkozatról van szó. E tekintetben e bíróság úgy véli, hogy az ilyen nyilatkozatból nem vezethető le az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében vett hozzájárulás.
39. E tekintetben helyénvalónak tűnik számomra különbséget tenni egyrészt azon előzetes kérdés között, hogy a felperesnek a szexuális irányultságára vonatkozó nyilatkozata olyan cselekménynek minősül‑e, amellyel az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében kifejezetten nyilvánosságra hozza ezen irányultságát, és másrészt, az e kérdésre adott igenlő válasz esetén, hogy a szexuális irányultságának kifejezett nyilvánosságra hozatala lehetővé teszi‑e az e szexuális irányultságra vonatkozó adatoknak az e rendelet 5. és 6. cikke szerinti, személyre szabott reklám céljára történő kezelését.
40. Először is, ami a felperes általános adatvédelmi rendelet 9. cikke (2) bekezdésének a) pontja értelmében vett nyilatkozatának minősítését illeti, olyan hasznos információk hiányában, amelyek e rendelkezés keletkezéstörténetéből és annak ítélkezési gyakorlatbeli alkalmazásából(37) következnének, megjegyzem, hogy az e rendelet 9. cikke (2) bekezdésének e) pontjában foglalt kivétel lényegében két feltétel együttes teljesülését követeli meg, nevezetesen egyrészt egy „objektív” feltételét, amely szerint a szóban forgó személyes adatokat „kifejezetten nyilvánosságra hozzák”, másrészt egy „szubjektív” feltételét, amely szerint az „érintett” az, akinek ezeket az adatokat kifejezetten nyilvánosságra kell hoznia.
41. Az alapügyben – a kérdést előterjesztő bíróság által elvégzendő vizsgálatra is figyelemmel – úgy tűnik számomra, hogy e két feltétel teljesül. Ugyanis, noha azt a Meta Platforms Ireland által végzett különlegesadat‑kezeléssel kapcsolatos átfogóbb és kritikusabb megszólalás keretében, mellékesen hozták nyilvánosságra, úgy vélem, hogy a felperes által tett nyilatkozat olyan cselekménynek minősül, amellyel a tények teljes ismeretében kifejezetten nyilvánosságra hozta szexuális irányultságát.
42. Ami az első feltételt illeti, számomra igen valószínűnek tűnik, hogy a pódiumbeszélgetés nyílt jellegére figyelemmel, amelyet élőben sugároztak, majd streamingben közvetítettek,(38) valamint a nyilvánosság érdeklődésére az ott tárgyalt téma iránt, a felperes nyilatkozata jóval nagyobb, meghatározatlan méretű közönséget érhet el, mint a teremben jelen lévő közönség.(39)
43. Ami a második feltételt illeti, véleményem szerint feltehető, hogy a felperes azáltal, hogy a jelen ügy körülményei között nyíltan megemlítette szexuális irányultságát (többek között egy nyitott és a sajtó számára hozzáférhető esemény keretében), ha nem is kívánta, de legalábbis teljes mértékben tudatában volt annak, hogy a jelen indítvány 35. pontjában hivatkozott ítélkezési gyakorlat értelmében „kifejezetten nyilvánossá” teszi ezen irányultságát.(40)
44. Egyébiránt az általános adatvédelmi rendelet 9. cikkének (1) bekezdése által biztosított védelem célja véleményem szerint annak elkerülése, hogy az érintett olyan káros következményeknek legyen kitéve (mint például a nyilvános helytelenítés vagy a hátrányosan megkülönböztető cselekmények), amelyek többek között az ott felsorolt helyzetek negatív társadalmi vagy gazdasági észleléséből erednek.(41) E rendelkezés tehát e személyes adatok különös védelmét írja elő egy nem abszolút elvi tilalom révén, amelynek a jelen ügyben való alkalmazása az érintett személy mérlegelésétől függ, aki a legalkalmasabb helyzetben van a szóban forgó adatok hozzáférhetővé tételéből eredő esetleges hátrányos következmények megítélésére, és aki adott esetben lemondhat e védelemről, vagy az ügy teljes ismeretében az arra való hivatkozásról, e rendelet 9. cikke (2) bekezdésének e) pontja értelmében véve kifejezetten nyilvánosságra hozva helyzetét, különösen szexuális irányultságát.
45. Másodszor, ami a szexuális irányultság kifejezett nyilvánosságra hozatalából következő, e különleges adatoknak a Meta Platforms Ireland általi, az általános adatvédelmi rendelet 5. és 6. cikke értelmében vett kezelésére gyakorolt hatásokat illeti, úgy vélem, hogy az adatoknak az e rendelet 9. cikke (2) bekezdésének e) pontja értelmében vett kifejezett nyilvánosságra hozatala önmagában nem teszi jogszerűvé ezen adatoknak az említett rendelet értelmében vett kezelését.
46. Ez utóbbi rendelkezés alkalmazása ugyanis pusztán azzal a következménnyel jár, hogy megszünteti az egyes különösen érzékeny személyes adatoknak biztosított „különleges védelmet”. Miután maga az érintett (aki az adatokat kifejezetten nyilvánosságra hozta) erről a védelemről tudatosan lemondott, ezek az eredetileg „védett” személyes adatok „rendes” (vagyis nem különleges) adatokká válnak, amelyeket – minden egyéb személyes adathoz hasonlóan – csak az általános adatvédelmi rendelet 6. és 7. cikkében előírt, az adatkezelés jogszerűségére vonatkozó feltételek mellett és különösen az e rendelet 5. cikkében rögzített elvek tiszteletben tartása mellett lehet jogszerűen kezelni,(42) ideértve a célhoz kötöttség 5. cikk (1) bekezdésének b) pontjában foglalt elvét is, amely szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, amit a szóban forgó rendelkezés (2) bekezdése értelmében az adatkezelőnek kell bizonyítania.(43)
47. Következésképpen az, hogy a felperes pódiumbeszélgetés keretében nyilatkozott szexuális irányultságáról, jóllehet arra a következtetésre vezethet, hogy az adott ügy körülményei között e személy ezeket az adatokat az általános adatvédelmi rendelet 9. cikke (2) bekezdésének e) pontja értelmében véve „kifejezetten nyilvánosságra hozta”, önmagában nem igazolhatja az e személy szexuális irányultságára utaló személyes adatok kezelését.(44)
48. A fentiekre tekintettel azt javaslom, hogy a Bíróság az előzetes döntéshozatalra előterjesztett negyedik kérdésre azt a választ adja, hogy az általános adatvédelmi rendelet 5. cikke (1) bekezdésének b) pontját és 9. cikke (2) bekezdésének e) pontját egymással összefüggésben úgy kell értelmezni, hogy noha az a tény, hogy az érintett a saját szexuális irányultságával kapcsolatban egy nyilvános pódiumbeszélgetés során nyilatkozott, olyan cselekménynek minősülhet, amellyel ezt e személy az adatot e rendelet 9. cikke (2) bekezdésének e) pontja értelmében véve „kifejezetten nyilvánosságra hozta”, e rendelet alapján önmagában nem megengedett az említett adatoknak vagy e személy szexuális irányultságára vonatkozó más adatoknak személyre szabott hirdetések céljából történő összesítése és elemzése érdekében történő kezelése.
Végkövetkeztetés
49. A fenti megfontolásokra tekintettel azt javaslom, hogy a Bíróság az Oberster Gerichtshof (legfelsőbb bíróság, Ausztria) által előzetes döntéshozatalra előterjesztett második és negyedik kérdésre a következő választ adja:
1) A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 5. cikke (1) bekezdésének c) pontját
a következőképpen kell értelmezni:
– azzal ellentétes, ha a személyes adatok személyre szabott hirdetések céljából, időbeli és az adatok típusa szerinti korlátozás nélkül kezelhetők,
– a kérdést előterjesztő bíróság feladata, hogy az ügy körülményeire tekintettel és az arányosság elvének alkalmazásával értékelje, hogy az adatmegőrzési időszak és a kezelt adatok mennyisége mennyiben igazolható az ezen adatok személyre szabott hirdetés céljából történő kezelésének jogszerű céljához képest.
2) A 2016/679 rendelet 5. cikke (1) bekezdésének b) pontját és 9. cikke (2) bekezdésének e) pontját egymással összefüggésben
a következőképpen kell értelmezni:
– noha az a tény, hogy az érintett a saját szexuális irányultságával kapcsolatban egy nyilvános pódiumbeszélgetés során nyilatkozott, minősülhet olyan cselekménynek, amellyel ezt az adatot e személy e rendelet 9. cikke (2) bekezdésének e) pontja értelmében véve „kifejezetten nyilvánosságra hozta”, e rendelet alapján önmagában nem megengedett az említett adatoknak vagy e személy szexuális irányultságára vonatkozó más adatoknak személyre szabott hirdetések céljából történő összesítése és elemzése érdekében történő kezelése.
1 Eredeti nyelv: francia.
2 A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i európai parlamenti és tanácsi rendelet (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: általános adatvédelmi rendelet).
3 Ez a közösségi hálózat lehetővé teszi a tartalmak személyre szabott letöltését és megosztását, a felhasználó által előzetesen kiválasztott paraméterektől függően, valamint a más felhasználókkal való közvetlen kommunikációt vagy adatcserét.
4 Közelebbről, e hirdetés célja olyan áruk és szolgáltatások bemutatása a felhasználó számára, amelyek őt többek között személyes fogyasztási attitűdje, érdekei, vásárlóereje és személyes helyzete (hely, kor, nem stb.) alapján érdekelhetik. Ugyanakkor a „Facebook business tools” (a vállalkozásoknak szánt Facebook‑eszköz) lehetővé teszi a hirdetők számára, hogy célzott hirdetéseket alakítsanak ki, és a korrelációkat és modelleket kereső algoritmusokon alapuló elemzési rendszereken keresztül ellenőrizzék hirdetéseik hatékonyságát annak érdekében, hogy azokból levonják a megfelelő következtetéseket.
5 E célból az alperes olyan technológiákat használ, mint a „cookie-k” (sütik), amelyek lehetővé teszik a „social plug-inok” (közösségi modulok, mint például a „Tetszik” gomb) vagy „pixelek” használatát, amelyek a Facebook honlapján, az internetes oldalakon és a harmadik felek alkalmazásain elhelyezett informatikai eszközök. Ezek az eszközök lényegében lehetővé teszik az ilyen weboldalakat megtekintő vagy az azokat tartalmazó ilyen alkalmazásokat használó felhasználó bizonyos adatainak gyűjtését és összesítését, ezáltal létrehozva a felhasználó profilját, amelyből kiindulva személyre szabott hirdetést kínálhatnak számára.
6 A Meta Platforms Ireland az írásbeli és szóbeli észrevételeiben kiemelte, hogy az általános adatvédelmi rendelet hatálybalépését megelőző időszakban egyrészt a platformján gyűjtött személyes adatoknak a személyes reklámtevékenység céljából történő kezelése nem a felperes hozzájárulásán alapult, hanem elsősorban az arra alapított igazoláson, hogy ezen adatok kezelése szükséges volt a szerződés teljesítéséhez, másrészt pedig a hálózatán kívül található honlapokon vagy alkalmazásokon gyűjtött személyes adatok kezelése a felhasználó hozzájárulásán alapult, így a felhasználó kizárhatta ezen adatokat a kezelésből anélkül, hogy lemondana a Facebook‑szolgáltatásokról. A jelen ügyben e társaság nem kezelte a felperes platformján kívül gyűjtött személyes adatait, mivel a felperes a Facebook közösségi hálózatába 2008‑ban történt regisztrációja során nem járult hozzá ehhez. Ezzel szemben az általános adatvédelmi rendelet hatálybalépésétől kezdve a Facebook hozzájárulást szerzett a hálózatán vagy külső honlapokon vagy alkalmazásokon gyűjtött személyes adatok személyre szabott hirdetés céljából történő kezeléséhez, és e hozzájárulás hiányában lehetővé tette a felhasználó számára, hogy ne engedélyezze valamennyi adatának személyre szabott hirdetés céljából, díjfizetés ellenében történő kezelését. Úgy tűnik, hogy az új felhasználási feltételek jogszerűségét az általános adatvédelmi rendelet értelmében jelenleg vizsgálják egyes tagállamok adatvédelmi hatóságai.
7 Amint az az előzetes döntéshozatalra utaló határozatból kitűnik, a Meta Platforms Ireland nem biztosít hozzáférést valamennyi kezelt adathoz, hanem csak azokhoz, amelyek értékelése szerint a felhasználók számára jelentőséggel és relevanciával bírnak. Ezenkívül ez a társaság lehetővé teszi bizonyos tartalmaknak (például üzeneteknek, fényképeknek vagy közleményeknek) a Facebook‑fiókból való eltávolítását.
8 Egyébiránt kizárólag a „barátai”, akiknek listája nem nyilvános, láthatták a hírfolyamában vagy jövőbeli megnyilvánulásaiban szereplő nyilatkozatokat.
9 A felperes elemzést végzett a baráti listájából levonható következtetésekre vonatkozóan, és ebből kitűnt, hogy polgári szolgálatát a salzburgi (Ausztria) Vöröskeresztnél töltötte, valamint hogy homoszexuális volt. A Facebookon kívüli tevékenységeinek listáján szerepelnek többek között homoszexuális alkalmazások vagy társkereső honlapok, valamint egy osztrák politikai párt honlapja. A felperes tárolt adatai között szerepel többek között egy nem létező email‑cím, valamint egy másik, a Facebook‑profilján nem szereplő email‑cím, amelyet ugyanakkor az alpereshez intézett kérelmek benyújtására használt.
10 A felperes lényegében először is azt kérte az első fokon eljáró bíróságtól, hogy kötelezze az alperest a személyes adatainak a Facebook‑hálózaton történő felhasználására vonatkozó írásbeli szerződés megkötésére, vagy másodlagosan állapítsa meg az ilyen szerződés és a felhasználási feltételekre vonatkozó hozzájárulásának hiányát; másodszor, kötelezze az alperest arra, hogy tartózkodjon személyes adatainak személyre szabott hirdetés céljából történő kezelésétől, illetve hirdetési célból történő összesítésétől és elemzésétől; harmadszor, állapítsa meg az adatkezelésről szóló irányelvek régi változatában leírt célokból történő adatkezeléshez való érvényes hozzájárulás hiányát az alperes által harmadik személyektől megszerzett személyes adatai tekintetében; negyedszer, kötelezze az alperest arra, hogy a kezeléshez való érvényes hozzájárulás hiányában tartózkodjon a harmadik oldalak látogatására és használatára vonatkozó adatainak felhasználásától vagy kezelésétől. A felperes lényegében azzal érvelt, hogy a felhasználási feltételek, valamint a kapcsolódó adatfelhasználási iránymutatások elfogadása nem minősül az adatkezelő részére a személyes adatok kezeléséhez adott érvényes hozzájárulásnak. Arra is rámutatott, hogy a Meta Platforms Ireland rá vonatkozó különleges adatokat kezel, mint például a politikai meggyőződésére és szexuális irányultságára vonatkozó adatokat, noha ezeket az adatokat a Facebook‑profiljában nem említi.
11 Amint az a felek írásbeli és szóbeli észrevételeiből kitűnik, e pódiumbeszélgetés a nyilvánosság számára hozzáférhető volt; a rendelkezésre álló helyek korlátain belül díjmentesen lehetett rá jegyet igényelni az Eventbrite platformon (189 személy jelentkezett végül), és azt élőben is sugározták. Ezenkívül az arról készült felvételt ezt követően podcast formájában, valamint a Bizottság YouTube csatornáján tették közzé.
12 Amint az az előzetes döntéshozatalra utaló határozatból és a felperes által benyújtott beadványokból kitűnik, a felperes a következő nyilatkozatot tette: „mondok egy nagyon banális példát: a szexuális irányultságom levezethető a barátaim listájából. Soha nem említettem a Facebookon, hogy meleg vagyok. Ez számomra 14 éves korom óta olyan dolog, amivel »kijöttem«, és ami nem stresszel vagy ilyesmi. De ez nem olyan dolog, amit mindenhol és mindig nyilvánosan elmondok, mert azt mondom magamnak, hogy inkább az adatvédelemről beszélj, különben megint ebben a fiókban találod magad. Ez pedig eltereli a figyelmet az adatvédelemről.”
13 E két nemzeti bíróság lényegében úgy ítélte meg, hogy a személyes adatok Meta Platforms Ireland általi kezelése az általános adatvédelmi rendelet 6. cikke (1) bekezdésének b) pontja értelmében szükséges volt a szerződés teljesítéséhez.
14 Emlékeztetek arra, hogy a kérdést előterjesztő bíróság az alapügyben már nyújtott be a Bírósághoz előzetes döntéshozatal iránti kérelmet, mégpedig a 2018. január 25‑i Schrems ítélet (C‑498/16, EU:C:2018:37) tárgyát képező kérelmet.
15 C‑252/21, EU:C:2023:537. A jelen előzetes döntéshozatali eljárást ezen ítélet meghozataláig felfüggesztették. A kérdést előterjesztő bíróság a Bíróság kérdésére azt a választ adta, hogy az említett ítélet választ ad az előzetes döntéshozatalra előterjesztett első és harmadik kérdésére, és fenntartja az előzetes döntéshozatalra előterjesztett második és negyedik kérdésre vonatkozó kérelmét.
16 Lásd: 2021. június 22‑i Latvijas Republikas Saeima (Büntetőpontok) ítélet (C‑439/19, EU:C:2021:504, 96. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
17 Lásd ebben az értelemben: 2021. június 22‑i Latvijas Republikas Saeima (Büntetőpontok) ítélet (C‑439/19, EU:C:2021:504, 98. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
18 Ez a helyzet többek között akkor, ha az adatok e célokra és az eltelt időre tekintettel nem pontosak, nem, vagy már nem relevánsak, illetve túlzó mértékűek (lásd: 2019. szeptember 24‑i GC és társai [Különleges adatokra mutató linkek törlése] ítélet, C‑136/17, EU:C:2019:773, 74. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
19 Lásd a jelen indítvány 17. lábjegyzetében hivatkozott ítélkezési gyakorlatot.
20 Annak sérelme nélkül, hogy az általános adatvédelmi rendelet 8. cikkének megfelelően a 16. életévüket be nem töltött gyermekek e rendelet 6. cikke (1) bekezdésének a) pontja alapján maguk nem adhatnak hozzájárulást az információs társadalommal összefüggő szolgáltatások nyújtásához.
21 E tekintetben emlékeztetek arra, hogy az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének a) pontja és 9. cikke (2) bekezdésének a) pontja értelmében vett „hozzájárulás” fogalmával összefüggésben a Bíróság többek között megállapította, hogy a felhasználó észszerűen számíthat arra, hogy a közösségi hálózat üzemeltetője a hálózaton (a jelen esetben a Facebookon) belüli magatartására vonatkozó adatoktól eltérő adatokat kezel, és úgy ítélte meg, hogy egyrészt ez utóbbi adatok, másrészt pedig az azoktól eltérő adatok kezeléséhez külön hozzájárulás adható (Meta Platforms és társai [Közösségi hálózat általános felhasználási feltételei] ítélet 151. pont). Hasonlóképpen, az ugyanezen ügyre vonatkozó indítványomban kétségeimnek adtam hangot azzal kapcsolatban, hogy a személyes adatoknak a Facebook közösségi hálózaton kívüli gyűjtése és felhasználása szükséges lehet‑e az e hálózat keretében kínált szolgáltatások nyújtásához, oly módon, hogy az említett hálózathoz való hozzáféréshez eredetileg adott hozzájárulás (vagyis a Facebook‑profil létrehozása) érvényesen kiterjedhet a felhasználó személyes adatainak ugyanazon hálózaton kívüli kezelésére (a Meta Platforms és társai [Közösségi hálózat általános felhasználási feltételei] ügyre vonatkozó indítvány) (C‑252/21, EU:C:2022:704, 56. pont, 81. lábjegyzet).
22 Ami például az adatkezelőnek az adatkezelés jogalapjaként fennálló jogos érdekeit illeti, az általános adatvédelmi rendelet (47) preambulumbekezdése pontosítja, hogy az ilyen jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat‑e észszerűen arra, hogy adatkezelésre az adott célból kerülhet sor.
23 Lásd a jelen indítvány 6. lábjegyzetét.
24 A Bíróság ugyanis lényegében úgy ítélte meg, hogy függetlenül attól, hogy a szerződés említi‑e a személyes adatok ilyen rendelkezésben előírt kezelését, az említett rendelkezés szerinti igazolás alkalmazása szempontjából a meghatározó tényező az, hogy a szóban forgó adatkezelés alapvető fontosságú az érintett személy és az adatkezelő között létrejött szerződés megfelelő teljesítésének lehetővé tétele szempontjából, és így nem állnak rendelkezésre más, a gyakorlatban megvalósítható és kisebb beavatkozást jelentő megoldások (Meta Platforms és társai [Közösségi hálózat általános felhasználási feltételei] ítélet 99. pont).
25 Lásd a jelen indítvány 6. lábjegyzetét. Amint az a tárgyaláson kiderült, úgy tűnik, hogy az alapügyben a Meta Platforms Ireland a pódiumbeszélgetésre hivatkozott annak érdekében, hogy megcáfolja a felperesnek a személyre szabott reklámok miatt állítólagosan őt ért pszichés szorongásból eredő állítólagos kárra vonatkozó érvét annak bizonyítása érdekében, hogy semmilyen nehézséget nem okozott homoszexualitásának nyilvános kinyilvánítása. Az előterjesztő bíróság tehát az általános adatvédelmi rendelet 9. cikke (2) bekezdésének értelmezésére vonatkozó kérdést nem az e rendelkezésben előírt kivétel alkalmazása céljából tette fel, hanem a felperes által hivatkozott kárnak a Meta Platforms Ireland védekezése fényében történő vizsgálatának teljesen eltérő összefüggésében.
26 Az általános adatvédelmi rendelet 5. cikke (2) bekezdésének megfelelően ugyanis az adatkezelőt terheli annak bizonyítása, hogy a személyes adatokat e rendeletnek megfelelően kezelik.
27 Lásd analógia útján: 2023. május 4‑i Glavna direktsia „Pozharna bezopasnost i zashtita na naselenieto” (Éjszakai munka) ítélet (C‑529/21–C‑536/21 és C‑732/21–C‑738/21, EU:C:2023:374, 57. pont).
28 Lásd ebben az értelemben: 2023. július 13‑i Ferrovienord ítélet (C‑363/21 és C‑364/21, EU:C:2023:563, 52–55. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
29 Amint azt ugyanezen rendelet (51) preambulumbekezdése kifejti, az alapvető jogok és szabadságok szempontjából a természetüknél fogva különösen érzékeny személyes adatok egyedi védelmet igényelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak.
30 C-252/21, EU:C:2022:704, 42. pont.
31 Lásd még ebben az értelemben: Meta Platforms és társai (Közösségi hálózat használatának általános feltételei) ítélet, 76. pont, valamint az ott hivatkozott ítélkezési gyakorlat.
32 E tekintetben megjegyzem, hogy a „kifejezetten nyilvánosságra hozott” kifejezésben a „hozott” ige használata az érintett személy tevőleges és tudatos magatartására utal. Az Európai Adatvédelmi Testület szerint „a »kifejezetten« kifejezés azt feltételezi, hogy e kivételre csak nagyon megszorítóan lehet hivatkozni. E Testület megjegyzi, hogy egyetlen elem megléte nem mindig elegendő annak megállapításához, hogy az érintett »kifejezetten« nyilvánosságra hozta az adatokat, és a gyakorlatban eseti értékelés útján [az elemek] kombinációját kell figyelembe venni ahhoz, hogy az adatkezelő megállapíthassa, hogy az érintett személy egyértelműen kinyilvánította az adatok nyilvánosságra hozatalára irányuló szándékát” (Európai Adatvédelmi Testület, 8/2020. sz. iránymutatás, 127. pont). A jelentés példaként olyan elemeket említ, mint a közösségimédia‑platform alapértelmezett paraméterei, a közösségimédia‑platform jellege, annak az oldalnak a hozzáférhetősége, ahol a különleges adatokat közzéteszik, az érintettet az általa közzétett információk nyilvános jellegéről tájékoztató figyelmeztetés láthatósága, hogy maga az érintett tette‑e közzé a különleges adatokat, vagy ellenkezőleg, az adatokat harmadik fél tette közzé vagy következtette ki. Lásd még: Georgieva, L. és Kuner, C., „Article 9. Processing of special categories of personal data”, The EU General Data Protection Regulation (GDPR), Oxford, 2020, 378. o., amely szerint: „In this context, »making public« should be construed to include publishing the data in the mass media, putting them on on social network platforms or similar actions. However, the data must have been »manifestly« made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result” („Ebben az összefüggésben a »nyilvánosságra hozatalt« úgy kell érteni, hogy e fogalom alá tartozik adatok médiában való közzététele, online közösségimédia-platformokon való megosztása, vagy hasonló cselekmények. Az adatot azonban »kifejezetten« nyilvánosságra kell hozni, amely az érintett személy részéről egyértelmű cselekményt igényel, valamint azt, hogy e személy tudatában legyen annak, hogy cselekményének ez lesz a következménye.”).
33 Lásd a jelen indítvány 11. lábjegyzetét.
34 Lásd a jelen indítvány 13. lábjegyzetét.
35 Ezen ítélet 84. és 85. pontja.
36 Lásd még: a Meta Platforms és társai (Közösségi hálózat használatának általános feltételei) ügyre vonatkozó indítványom (C‑252/21, EU:C:2022:704, 46. pont).
37 Szeretnék rámutatni, hogy a szóban forgó rendelkezés azonos módon került átvételre a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás: 13. fejezet, 15. kötet, 355. o.) 8. cikke (2) bekezdésének e) pontjából, és nem adtak magyarázatot e rendelkezésnek a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. február 20‑i 95/.../EK európai parlamenti és tanácsi irányelv elfogadására tekintettel a Tanács által elfogadott 1/95/EK közös álláspontba történő felvételekor (HL 1995. C 93., 1. o.).
38 Lásd a jelen indítvány 11. lábjegyzetét.
39 Például, amint azt a felperes maga is elismeri írásbeli észrevételeiben, nyilatkozatát teljes mértékben jogszerű módon közvetíthette a szóban forgó eseményről tudósító újságcikk.
40 E tekintetben emlékeztetek arra, hogy a felperes a Meta Platforms Irelanddel (korábban Facebook) szembeni, az általános adatvédelmi rendelet alkalmazásával kapcsolatos hosszadalmas és jelentős peres eljárás kezdeményezője volt, és ennélfogva észszerűen feltételezhető, hogy teljes mértékben tisztában volt nyilatkozatainak következményeivel e rendelet fényében. Ezzel együtt megjegyzem, hogy különbség áll fenn egyrészt a „különleges” adatok kezelésének engedélyezésére irányuló szándék, amely az általános adatvédelmi rendelet 9. cikke (2) bekezdésének a) pontja értelmében vett, ezen adatok kezeléséhez való hozzájárulásnak minősül, másrészt pedig az említett adatok kifejezett nyilvánosságra hozatalára irányuló szándék vagy az erre vonatkozó teljes tudomás között, amelynek következménye az ezen adatok kezelésére vonatkozó, az e rendelet 9. cikkének (1) bekezdése szerinti tilalom alkalmazhatatlansága, de önmagában nem elegendő az ezen adatok kezelésének engedélyezésére, amint azt a jelen indítvány 45–47. pontjában kifejtem.
41 Például az adott személyt politikai vagy szexuális irányultsága miatt hátrányos megkülönböztetés érheti, vagy egészségügyi helyzete miatt igazságtalan gazdasági következményekkel szembesülhet (különösen az egészségbiztosítás vagy más hasonló helyzetek tekintetében).
42 Amint ugyanis arra az általános adatvédelmi rendelet (51) preambulumbekezdése emlékeztet, a különösen érzékeny személyes adatok kezelésére vonatkozó különleges követelményeken kívül e rendelet általános elveit és egyéb szabályait is alkalmazni kell, különösen a jogszerű adatkezelés feltételei tekintetében. Egyébiránt az említett rendelet 22. cikkének (4) bekezdése értelmében a kizárólag automatizált adatkezelésen alapuló döntések nem alapulhatnak a személyes adatoknak az ugyanezen rendelet 9. cikkének (1) bekezdésében említett különleges kategóriáin, kivéve ha e rendelet 9. cikke (2) bekezdésének a) vagy g) pontja alkalmazandó, és az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében megfelelő intézkedések megtételére került sor.
43 A Bíróság nemrégiben ugyanebben a témában határozott az általános adatvédelmi rendelet 9. cikke (2) bekezdése h) pontjának az e rendelet 5. cikke (1) bekezdésének a) pontjával és 6. cikkének (1) bekezdésével összefüggésben végzett értelmezésével kapcsolatban, rámutatva arra, hogy az egészségügyi adatok első rendelkezésen alapuló kezelésének ahhoz, hogy jogszerű legyen, tiszteletben kell tartania mind az e rendelkezésből eredő követelményeket, mind az e két utóbbi rendelkezésből eredő kötelezettségeket, és különösen meg kell felelnie az e rendelet 6. cikkének (1) bekezdésében előírt jogszerűségi feltételek legalább egyikének (2023. december 21‑i Krankenversicherung Nordrhein ítélet [C‑667/21, EU:C:2023:1022, 78. pont]).
44 Annál is inkább, mivel az alapügyben a kérdést előterjesztő bíróság arra keresi a választ, hogy a szóban forgó pódiumbeszélgetés során tett nyilatkozat lehetővé teszi‑e más személyes adatok, különösen a harmadik felektől gyűjtött személyes adatok kezelését.