Laikina versija
GENERALINIO ADVOKATO
ATHANASIOS RANTOS IŠVADA,
pateikta 2024 m. balandžio 25 d.(1)
Byla C‑446/21
Maximilian Schrems
prieš
Meta Platforms Ireland Limited, anksčiau – Facebook Ireland Limited
(Oberster Gerichtshof (Aukščiausiasis Teismas, Austrija) pateiktas prašymas priimti prejudicinį sprendimą)
„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – Socialiniai tinklai – 5 straipsnio 1 dalies b punktas – „Tikslų ribojimo“ principas – 5 straipsnio 1 dalies e punktas – „Duomenų kiekio mažinimo“ principas – 9 straipsnio 1 dalis ir 2 dalies e punktas – Specialių kategorijų asmens duomenų tvarkymas – Asmens duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai – Suasmeninta reklama – Duomenys apie lytinę orientaciją“
Įvadas
1. Šį prašymą priimti prejudicinį sprendimą pateikė Oberster Gerichtshof (Aukščiausiasis Teismas, Austrija), nagrinėdamas socialinio tinklo „Facebook“ naudotojo Maximilian Schrems (toliau – ieškovas) ir Meta Platforms Ireland Limited, buvusios Facebook Ireland Limited (toliau – Meta Platforms Ireland arba atsakovė), ginčą dėl to, kad ši bendrovė tariamai neteisėtai tvarkė jo asmens duomenis.
2. Šioje byloje pateikti prejudiciniai klausimai susiję, pirma, su Reglamento (ES) 2016/679(2) 5 straipsnio 1 dalies c punkte numatyto „duomenų kiekio mažinimo“ principo taikymu ir, antra, su šio reglamento 9 straipsnio 2 dalies e punkte, siejamame su to paties reglamento 5 straipsnio 1 dalies b punktu, kuriame įtvirtintas „tikslų apribojimo“ principas, vartojamos sąvokos „asmens duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai“ išaiškinimu. Iš esmės prašymą priimti prejudicinį sprendimą pateikęs teismas klausia, pirma, ar pagal duomenų kiekio mažinimo principą asmens duomenis leidžiama tvarkyti neribojant duomenų tvarkymo laiko požiūriu arba pagal duomenų pobūdį, ir, antra, ar asmens teiginiai apie lytinę orientaciją, išsakyti per podiumo diskusiją, leidžia tvarkyti kitus duomenis apie šio asmens lytinę orientaciją suasmenintos reklamos tikslais.
Teisinis pagrindas
3. BDAR 4 straipsnio „Apibrėžtys“ 11 punkte nustatyta:
„Šiame reglamente:
<...>
11) duomenų subjekto sutikimas – bet koks laisva valia duotas, konkretus ir nedviprasmiškas tinkamai informuoto duomenų subjekto valios išreiškimas pareiškimu arba vienareikšmiais veiksmais, kuriais jis sutinka, kad būtų tvarkomi su juo susiję asmens duomenys.“
4. Minėto reglamento 5 straipsnio „Su asmens duomenų tvarkymu susiję principai“ 1 ir 2 dalyse nustatyta:
„1. Asmens duomenys turi būti:
a) duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);
b) renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu; <...>
c) adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas);
<...>
2. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“
5. Minėto reglamento 6 straipsnio „Tvarkymo teisėtumas“ 1 ir 3 dalyse nustatyta:
„1. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:
a) duomenų subjektas davė sutikimą, kad jo asmens duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais;
b) tvarkyti duomenis būtina siekiant įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį;
<...>
f) tvarkyti duomenis būtina siekiant teisėtų duomenų valdytojo arba trečiosios šalies interesų, išskyrus atvejus, kai tokie duomenų subjekto interesai arba pagrindinės teisės ir laisvės, dėl kurių būtina užtikrinti asmens duomenų apsaugą, yra už juos viršesni, ypač kai duomenų subjektas yra vaikas.
Šios pastraipos f punktas netaikomas duomenų tvarkymui, kurį valdžios institucijos atlieka vykdydamos savo užduotis.
<...>
3. 1 dalies c ir e punktuose nurodytas duomenų tvarkymo pagrindas nustatomas:
a) Sąjungos teisėje, arba
b) duomenų valdytojui taikomoje valstybės narės teisėje.
<...>
<...> Sąjungos arba valstybės narės teisė atitinka viešojo intereso tikslą ir yra proporcinga teisėtam tikslui, kurio siekiama.“
6. To paties reglamento 7 straipsnis „Sutikimo sąlygos“ suformuluotas taip:
„1. Kai duomenys tvarkomi remiantis sutikimu, duomenų valdytojas turi galėti įrodyti, kad duomenų subjektas davė sutikimą, kad būtų tvarkomi jo asmens duomenys.
<...>
3. Duomenų subjektas turi teisę bet kuriuo metu atšaukti savo sutikimą. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui. Duomenų subjektas apie tai informuojamas prieš jam duodant sutikimą. Atšaukti sutikimą turi būti taip pat lengva kaip jį duoti.
4. Vertinant, ar sutikimas duotas laisva valia, labiausiai atsižvelgiama į tai, ar, inter alia, sutarties vykdymui, įskaitant paslaugos teikimą, yra nustatyta sąlyga, kad turi būti duotas sutikimas tvarkyti asmens duomenis, kurie nėra būtini tai sutarčiai vykdyti.“
7. BDAR 9 straipsnio „Specialių kategorijų asmens duomenų tvarkymas“ 1 ir 2 dalyse nustatyta:
„1. Draudžiama tvarkyti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją.
2. 1 dalis netaikoma, jei taikoma viena iš toliau nurodytų sąlygų:
a) duomenų subjektas aiškiai sutiko, kad tokie asmens duomenys būtų tvarkomi vienu ar keliais nurodytais tikslais, išskyrus atvejus, kai Sąjungos arba valstybės narės teisėje numatyta, kad 1 dalyje nurodyto draudimo duomenų subjektas negali panaikinti;
b) tvarkyti duomenis būtina, kad duomenų valdytojas arba duomenų subjektas galėtų įvykdyti prievoles ir naudotis specialiomis teisėmis darbo ir socialinės apsaugos teisės srityje, kiek tai leidžiama Sąjungos arba valstybės narės teisėje arba pagal valstybės narės teisę sudaryta kolektyvine sutartimi, kuri[o]se nustatytos tinkamos duomenų subjekto pagrindinių teisių ir interesų apsaugos priemonės;
<...>
e) tvarkomi asmens duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai;
<...>“
8. Reglamento 13 straipsnio, susijusio su „[i]nformacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto“, 1 dalyje numatyta:
„Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:
<...>
c) duomenų tvarkymo tikslus, dėl kurių ketinama tvarkyti asmens duomenis, taip pat duomenų tvarkymo teisinį pagrindą;
d) kai duomenų tvarkymas atliekamas pagal 6 straipsnio 1 dalies f punktą, teisėtus duomenų valdytojo arba trečiosios šalies interesus;
<...>“
Ginčas pagrindinėje byloje, prejudiciniai klausimai ir procesas Teisingumo Teisme
9. Pagal Airijos teisę įsteigta bendrovė Meta Platforms Ireland valdo uždarą socialinį tinklą „Facebook“, kuris iš esmės yra internetinis socialinis dalijimosi turiniu tinklas(3). Jo ekonominis modelis iš esmės grindžiamas nemokamų socialinio tinklo paslaugų siūlymu jo privatiems naudotojams ir internetinės reklamos pardavimu, įskaitant jo naudotojams skirtą tikslinę reklamą(4). Ši reklama daugiausia grindžiama gana išsamių šio socialinio tinklo naudotojų profilių automatizuotu kūrimu(5).
10. 2018 m., įsigaliojus BDAR, Meta Platforms Ireland pristatė naujas Facebook naudojimo sąlygas savo naudotojams Europos Sąjungoje, kad gautų jų sutikimą, kuris, be kita ko, būtinas norint užsiregistruoti Facebook arba gauti prieigą prie Facebook teikiamų paskyrų ir paslaugų(6). Šios naujos naudojimo sąlygos taip pat suteikia naudotojams galimybę peržvelgti saugomus duomenis ir juos kontroliuoti(7).
11. Ieškovas yra Facebook naudotojas, kuris sutiko su naujomis Facebook nustatytomis naudojimo sąlygomis. Kaip matyti iš nutarties dėl prašymo priimti prejudicinį sprendimą, jis yra viešai užsiminęs apie homoseksualumą, tačiau niekada nebuvo paminėjęs savo lytinės orientacijos ir nebuvo paskelbęs jokių jautrių duomenų Facebook profilyje(8). Ieškovas taip pat nebuvo leidęs atsakovei tikslinės reklamos tikslais naudoti savo profilio skilčių, susijusių su jo santykiais, darbdaviu, darbu ar išsilavinimu.
12. Vis dėlto ieškovas gavo politikės reklamą, kuri buvo jam skirta atlikus analizę, pagal kurią jis atrodė panašus į kitus „klientus“, spustelėjusius jos mygtuką „Patinka“; jis reguliariai gaudavo reklamą, skirtą homoseksualiems asmenims, ir kvietimus į atitinkamus renginius, nors prieš tai niekada nesidomėjo tokiais renginiais ir net nežinojo, kur jie vyks. Šios reklamos arba šie kvietimai nebuvo tiesiogiai grindžiami ieškovo ir jo „draugų“ socialiniame tinkle lytine orientacija, tačiau buvo grindžiami jų domėjimosi sritimis(9). Be to, Meta Platforms Ireland registravo visus su ieškovu susijusius duomenis, įskaitant tuos, kurie buvo gauti per trečiuosius asmenis arba papildinius, ir saugojo juos neribotą laiką.
13. Tokiomis aplinkybėmis ieškovas pareiškė ieškinį Landesgericht für Zivilsachen Wien (Vienos apygardos civilinių bylų teismas, Austrija) dėl pareigos įvykdymo, pripažinimo ir veiksmų nutraukimo, kiek tai susiję su Meta Platforms Ireland atliekamu tariamai neteisėtu jo asmens duomenų tvarkymu(10).
14. Vėliau, per 2019 m. vasario 12 d. Europos Komisijos atstovybės Vienoje (Austrija) surengtą podiumo diskusiją(11) ieškovas paminėjo savo lytinę orientaciją, kritikuodamas tai, kad Meta Platforms Ireland tariamai neteisėtai tvarkė duomenis apie šią lytinę orientaciją(12).
15. Jo ieškinys pirmojoje instancijoje buvo atmestas 2020 m. birželio 30 d. sprendimu, o apeliacinėje instancijoje – 2020 m. gruodžio 7 d. Oberlandesgericht Wien (Vienos aukštesnysis apygardos teismas, Austrija)(13) sprendimu; tada ieškovas padavė kasacinį skundą Oberster Gerichtshof (Aukščiausiasis Teismas), t. y. prašymą priimti prejudicinį sprendimą pateikusiam teismui.
16. Šiomis aplinkybėmis Oberster Gerichtshof (Aukščiausiasis Teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui keturis prejudicinius klausimus(14). Kadangi pirmasis ir trečiasis prejudiciniai klausimai buvo atsiimti po 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos)(15), šioje byloje bus nagrinėjami antrasis ir ketvirtasis klausimai, kurie suformuluoti taip:
„2. Ar BDAR 5 straipsnio 1 dalies c punktą (duomenų kiekio mažinimas) reikia aiškinti taip, kad visi tokioje platformoje, kokia nagrinėjama pagrindinėje byloje, esantys (visų pirma atsiradę dėl duomenų subjekto ar trečiųjų asmenų veiklos platformoje ir už platformos ribų) asmens duomenys gali būti be laiko ar duomenų pobūdžio apribojimų agreguojami, analizuojami ir tvarkomi tikslinės reklamos tikslais?
4. Ar BDAR 5 straipsnio 1 dalies b punktą, siejamą su 9 straipsnio 2 dalies e punktu, reikia aiškinti taip, kad pasisakymas apie savo lytinę orientaciją per podiumo diskusiją suteikia galimybę tvarkyti kitus duomenis apie lytinę orientaciją, siekiant agreguoti ir analizuoti duomenis suasmenintos reklamos tikslais?“
17. Rašytines pastabas pateikė ieškovas, Meta Platforms Ireland, Austrijos, Prancūzijos, Italijos, Portugalijos vyriausybės ir Komisija. Ieškovas, Meta Platforms Ireland, Austrijos vyriausybė ir Komisija per 2024 m. vasario 8 d. posėdį pateikė žodines pastabas.
Analizė
Dėl antrojo prejudicinio klausimo
18. Antruoju prejudiciniu klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 5 straipsnio 1 dalies c punktas, kuriame įtvirtintas duomenų kiekio mažinimo principas, turi būti aiškinamas taip, kad visi asmens duomenys, kuriuos turi toks tinklas, kaip Facebook, be kita ko, per duomenų subjektą arba per trečiuosius asmenis šioje platformoje ir už jos ribų, gali būti agreguojami, analizuojami ir tvarkomi tikslinės reklamos tikslais, netaikant jokių laiko ar duomenų pobūdžio apribojimų.
19. Pirmiausia reikia priminti, kad bet koks asmens duomenų tvarkymas turi, pirma, atitikti BDAR 5 straipsnyje nustatytus duomenų tvarkymo principus ir, antra, tenkinti vieną iš šio reglamento 6 straipsnyje išvardytų sąlygų, susijusių su duomenų tvarkymo teisėtumu(16).
20. Konkrečiai dėl principų, susijusių su asmens duomenų tvarkymu, Teisingumo Teismas visų pirma yra nurodęs, kad pagal BDAR 5 straipsnio 1 dalies c punkte įtvirtintą duomenų kiekio mažinimo principą asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kokių reikia siekiant tikslų, dėl kurių jie tvarkomi, taip pat kuriuo išreiškiamas minėtas proporcingumo principas(17). Taigi duomenų kiekio mažinimo principu siekiama kuo labiau sumažinti teisės į asmens duomenų apsaugą apribojimus, kylančius dėl atitinkamo duomenų tvarkymo.
21. Šiuo atveju man atrodo akivaizdu, kad galimas bet kokio apribojimo nebuvimas, dėl kurio daro prielaidą prašymą priimti prejudicinį sprendimą pateikęs teismas, iš esmės prieštarautų duomenų kiekio mažinimo principo taikymui. Vis dėlto Teisingumo Teismui pateiktoje bylos medžiagoje nėra jokios informacijos, galinčios patvirtinti arba paneigti tokią prielaidą, kurią bet kuriuo atveju turi įvertinti prašymą priimti prejudicinį sprendimą pateikęs teismas. Vis dėlto pasistengsiu šiam teismui pateikti tam tikros naudingos informacijos dėl nagrinėjamos nuostatos aiškinimo, kuri leistų jam priimti sprendimą jo nagrinėjamoje byloje.
22. Pirma, dėl asmens duomenų tvarkymo apribojimo laiko atžvilgiu manau, kad, nesant konkrečios nuostatos šiuo klausimu BDAR, Sąjungos teismas negali privalomai nustatyti riboto šių duomenų saugojimo laikotarpio. Be to, Teisingumo Teismas yra nusprendęs, kad net iš pradžių teisėtas tikslių duomenų tvarkymas, praėjus tam tikram laikui, gali nebeatitikti, be kita ko, BDAR 5 straipsnio 1 dalies c–e punktų, jei šie duomenys nebereikalingi tais tikslais, dėl kurių buvo surinkti arba tvarkomi(18). Taigi prašymą priimti prejudicinį sprendimą pateikęs teismas, atsižvelgdamas į bylos aplinkybes ir taikydamas proporcingumo principą(19), turi įvertinti, kiek asmens duomenų saugojimo Meta Platforms Ireland laikotarpis yra pateisinamas atsižvelgiant į teisėtą tikslą tvarkyti šiuos duomenis suasmenintos reklamos tikslais.
23. Antra, dėl asmens duomenų tvarkymo apribojimo atsižvelgiant į duomenų pobūdį pažymėtina, kad prašymą priimti prejudicinį sprendimą pateikęs teismas šios bylos aplinkybėmis taip pat turi nustatyti asmens duomenis, kurių tvarkymas gali būti laikomas teisėtu, laikydamasis proporcingumo principo.
24. Be to, BDAR 5 straipsnio 1 dalies c punkto tekste esančios nuorodos į labai bendras sąlygas, kaip antai „adekvatumą“, „tinkamumą“ ir „būtinumą“, mano nuomone, įrodo, kad Sąjungos teisės aktų leidėjas ketino kompetentingoms institucijoms suteikti didelę diskreciją taikant šią nuostatą, nes šios sąlygos gali būti aiškinamos tik kiekvienu konkrečiu atveju, atsižvelgiant į bylos aplinkybes.
25. Atsižvelgdamas į tai, manau, kad, kaip savo rašytinėse pastabose pažymi Komisija, tam tikri skirtumai gali būti nustatomi pagal duomenų subjekto teisių suvaržymo laipsnį taikant įvairias duomenų tvarkymo formas. Taigi, jei prašymą priimti prejudicinį sprendimą pateikęs teismas manytų, kad tai tinkama, jis galėtų, viena vertus, duomenų subjekto „statiškų“ duomenų (pavyzdžiui, amžius(20) ar lytis) naudojimą atskirti nuo „elgsenos“ duomenų (pavyzdžiui, naudotojų naršymo įpročių stebėjimas) naudojimo, nes pastarasis paprastai labiau riboja duomenų subjekto teises. Konkrečiai dėl „elgsenos“ duomenų pažymėtina, kad vėliau duomenų, susijusių su „aktyviu“ elgesiu (pavyzdžiui, mygtuko „Patinka“ spustelėjimas), rinkimą būtų galima atskirti nuo duomenų, susijusių su „pasyviu“ elgesiu (pavyzdžiui, paprasčiausias apsilankymas interneto svetainėje), rinkimo, nes jis paprastai labiau varžo vartotoją. Kita vertus, taip pat galėtų būti daromas skirtumas tarp asmens duomenų tvarkymo, kai šie duomenys surinkti Facebook platformoje ir už jos ribų, t. y. interneto tinklalapiuose, kitose programėlėse nei Facebook ar naudotojų prietaisuose, nes pastarasis duomenų rinkimo būdas yra labiau suvaržantis nei pirmasis(21).
26. Atliekant šią analizę, manau, taip pat svarbu atsižvelgti į pagrįstus duomenų subjektų lūkesčius(22).
27. Be to, reikia atsižvelgti į dar prieš įsigaliojant BDAR, kai už Facebook platformos ribų surinktų duomenų tvarkymas buvo grindžiamas ne sutikimu, o duomenų tvarkymo būtinumu sutarčiai vykdyti pagal šio reglamento 6 straipsnio 1 dalies b punktą(23), Teisingumo Teismo pateiktą siaurą šios nuostatos išaiškinimą(24). Taigi, kaip savo rašytinėse pastabose pabrėžia Italijos vyriausybė, svarbu neleisti, kad platus duomenų kiekio mažinimo principo aiškinimas pagal minėto reglamento 5 straipsnį galėtų leisti duomenų valdytojams išplėsti asmens duomenų kategorijas, laikomas būtinomis sutarčiai vykdyti pagal to paties reglamento 6 straipsnio 1 dalies b punktą.
28. Atsižvelgdamas į tai, kas išdėstyta, siūlau į antrąjį prejudicinį klausimą atsakyti, kad BDAR 5 straipsnio 1 dalies c punktas turi būti aiškinamas taip: pagal jį draudžiama asmens duomenis tvarkyti tikslinės reklamos tikslais netaikant jokių laiko arba duomenų pobūdžio apribojimų, ir kad prašymą priimti prejudicinį sprendimą pateikęs teismas, atsižvelgdamas į bylos aplinkybes ir taikydamas proporcingumo principą, turi įvertinti, kiek duomenų saugojimo laikotarpis ir tvarkomų duomenų kiekis yra pateisinami atsižvelgiant į teisėtą tikslą tvarkyti šiuos duomenis suasmenintos reklamos tikslais.
Dėl ketvirtojo prejudicinio klausimo
29. Ketvirtuoju prejudiciniu klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 5 straipsnio 1 dalies b punktas, siejamas su jo 9 straipsnio 2 dalies e punktu, turi būti aiškinamas taip, kad aplinkybė, jog asmuo pareiškė apie savo lytinę orientaciją per podiumo diskusiją, leidžia Meta Platforms Ireland tvarkyti kitus su jo lytine orientacija susijusius duomenis, siekiant pasiūlyti jam suasmenintą reklamą. Apskritai šiam teismui kyla klausimas dėl pastarosios nuostatos taikymo srities ir konkrečiai kaip visuomenė turi būti gavusi šio asmens jautrius duomenis, kad būtų taikoma BDAR 9 straipsnio 2 dalis.
Dėl prejudicinio klausimo svarbos
30. Meta Platforms Ireland savo rašytinėse ir žodinėse pastabose patikslino, ir kitos šalys per teismo posėdį to neginčijo, kad vykstant procesui nacionaliniuose teismuose ji niekada nesirėmė BDAR 9 straipsnio 2 dalies e punkte numatyta išimtimi kaip nagrinėjamo duomenų tvarkymo teisiniu pagrindu(25).
31. Vis dėlto tokiu atveju ketvirtasis prejudicinis klausimas atrodytų akivaizdžiai nereikšmingas, nes šioje byloje ši išimtis nebūtų taikoma(26).
32. Atsižvelgiant į tai, reikia priminti, kad pagal suformuotą Teisingumo Teismo jurisprudenciją vykstant SESV 267 straipsnyje nustatytai procedūrai, grindžiamai aiškiu nacionalinių teismų ir Teisingumo Teismo funkcijų atskyrimu, nacionalinio teismo pateiktiems klausimams dėl Sąjungos teisės išaiškinimo, atsižvelgiant į jo paties nurodytas faktines aplinkybes ir teisinius pagrindus(27), kurių tikslumo Teisingumo Teismas neprivalo tikrinti, taikoma svarbos prezumpcija(28).
33. Taigi tolesniuose punktuose pasiūlysiu atsakymą į prašymą priimti prejudicinį sprendimą pateikusio teismo ketvirtąjį prejudicinį klausimą, nepaveikdamas Teisingumo Teismo sprendimo dėl šio klausimo svarbos bylai.
Dėl prejudicinio klausimo esmės
34. Pirmiausia primenu, kad pagal BDAR 5 straipsnio 1 dalies b punktą, kuriame įtvirtintas tikslų ribojimo principas, asmens duomenys turi būti renkami nustatytais, aiškiai apibrėžtais ir teisėtais tikslais, o vėliau negali būti tvarkomi su šiais tikslais nesuderinamu būdu. Pagal šio reglamento 9 straipsnio 1 dalį draudžiama tvarkyti asmens duomenis, be kita ko, apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją, išskyrus atvejus, kai toks duomenų tvarkymas patenka į vienos iš šio reglamento 9 straipsnio 2 dalyje numatytų išimčių taikymo sritį(29).
35. Konkrečiau kalbant, pagal BDAR 9 straipsnio 2 dalies e punktą draudimas tvarkyti jautrius asmens duomenis netaikomas, jeigu tvarkomi asmens duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai. Kaip jau pažymėjau savo išvadoje byloje Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos)(30), prieveiksmio „akivaizdžiai“ vartojimas šioje nuostatoje ir tai, kad minėta nuostata yra draudimo tvarkyti jautrius asmens duomenis išimtis, reiškia, kad reikalaujama itin griežtai taikyti šią išimtį dėl didelio pavojaus pagrindinėms duomenų subjektų teisėms ir laisvėms(31). Tam, kad ši išimtis galėtų būti taikoma, mano nuomone, reikia, kad naudotojas visiškai suvoktų tai, kad dėl eksplicitinio veiksmo jo asmens duomenys tampa prieinami bet kam(32).
36. Pagrindinėje byloje jautrūs duomenys apie ieškovo lytinę orientaciją buvo atskleisti ne Facebook platformoje (už šios svetainės ribų) ir ne kurioje nors kitoje platformoje ar IT programėlėje, o per Komisijos surengtą podiumo diskusiją(33), siekiant kritikuoti tai, kad Meta Platforms Ireland tariamai neteisėtai tvarkė duomenis apie šią lytinę orientaciją(34).
37. Šiuo klausimu Teisingumo Teismas jau turėjo galimybę pareikšti savo poziciją dėl duomenų naudojimo „už interneto svetainės ribų“, kiek tai susiję su kitomis platformomis, 2023 m. liepos 4 d. Sprendime Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos)(35). Šiuo aspektu Teisingumo Teismas nusprendė, jog BDAR 9 straipsnio 2 dalies e punktas turi būti aiškinamas taip, kad internetinio socialinio tinklo naudotojas, lankydamasis interneto svetainėse ar naudodamasis taikomosiomis programėlėmis, susijusiomis su viena ar keliomis BDAR 9 straipsnio 1 dalyje nurodytomis kategorijomis, akivaizdžiai viešai neskelbia, kaip tai suprantama pagal šio reglamento 9 straipsnio 2 dalies e punktą, su tokiu lankymusi ar naudojimusi susijusių duomenų, kuriuos šio internetinio socialinio tinklo operatorius surinko naudodamas slapukus ar panašias įrašymo technologijas, ir kad naudotojas, įkeldamas duomenis į tokias interneto svetaines arba į taikomąsias programėles ar aktyvuodamas į šias interneto svetaines ir taikomąsias programėles integruotus atrankos mygtukus, kaip antai mygtukus „Patinka“ ar „Bendrinti“ arba mygtukus, leidžiančius naudotojui save identifikuoti šiose svetainėse ar taikomosiose programėlėse, naudojant prisijungimo identifikatorius, susijusius su jo, kaip socialinio tinklo naudotojo, paskyra, telefono numerį ar elektroninio pašto adresą, akivaizdžiai viešai paskelbia, kaip tai suprantama pagal BDAR 9 straipsnio 2 dalies e punktą, tokius įkeltus arba aktyvavus minėtus mygtukus gautus duomenis tik tuo atveju, jeigu jis aiškiai išreiškė savo išankstinį pasirinkimą, prireikus remdamasis individualiai pasirinktais nustatymais ir žinodamas tokių veiksmų pasekmes, padaryti viešai prieinamus su juo susijusius duomenis neribotam asmenų skaičiui(36).
38. Atsižvelgdamas į tai, prašymą priimti prejudicinį sprendimą pateikęs teismas nusprendė, kad būtina palikti ketvirtąjį prejudicinį klausimą, nes minėtoje byloje Teisingumo Teismo nagrinėti veiksmai buvo susiję su lankymusi interneto svetainėse arba programėlėse ir jose integruotų mygtukų aktyvavimu, o šioje byloje nagrinėjamas duomenų subjekto pareiškimas apie jo lytinę orientaciją per podiumo diskusiją. Šiuo atžvilgiu tas teismas mano, kad iš tokio pareiškimo negalima daryti išvados apie sutikimą, kaip jis suprantamas pagal BDAR 9 straipsnio 2 dalies e punktą.
39. Šiuo klausimu manau, kad tikslinga atskirti, viena vertus, klausimą, ar ieškovo pareiškimas apie jo lytinę orientaciją yra veiksmas, kuriuo jis akivaizdžiai viešai paskelbia apie šią orientaciją, kaip tai suprantama pagal BDAR 9 straipsnio 2 dalies e punktą, ir, kita vertus, jeigu į šį klausimą būtų atsakyta teigiamai, kyla klausimas, ar, asmeniui akivaizdžiai viešai paskelbus apie savo lytinę orientaciją, duomenis apie šią lytinę orientaciją leidžiama tvarkyti suasmenintos reklamos tikslais, kaip tai suprantama, be kita ko, pagal šio reglamento 5 ir 6 straipsnius.
40. Pirma, dėl ieškovo pareiškimo kvalifikavimo pagal BDAR 9 straipsnio 2 dalies a punktą, nesant naudingos informacijos, kuri būtų matyti iš šios nuostatos genezės ir jos taikymo jurisprudencijoje(37), pažymiu, kad pagal šio reglamento 9 straipsnio 2 dalies e punkte įtvirtintą išimtį iš esmės reikalaujama, kad būtų įvykdytos dvi kumuliacinės sąlygos, t. y. „objektyvioji“ sąlyga, pagal kurią aptariami asmens duomenys turi būti „akivaizdžiai paskelbti viešai“, ir, antra, „subjektyvioji“ sąlyga, pagal kurią būtent „duomenų subjektas“ turi akivaizdžiai viešai paskelbti šiuos duomenis.
41. Pagrindinėje byloje nagrinėjamu atveju man atrodo, kad šios dvi sąlygos yra įvykdytos, tačiau tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas. Nors atskleistas netiesiogiai, per platesnę kritinę diskusiją dėl Meta Platforms Ireland vykdomo jautrių duomenų tvarkymo ieškovo pareiškimas, manau, yra veiksmas, kuriuo jis, žinodamas visas aplinkybes, akivaizdžiai viešai paskelbė apie savo lytinę orientaciją.
42. Kalbant apie pirmąją sąlygą, man atrodo labai tikėtina, kad, atsižvelgiant į podiumo diskusijos, kuri buvo transliuojama tiesiogiai, o vėliau retransliuojama internetu(38), atvirumą ir į visuomenės susidomėjimą joje aptarinėta tema, ieškovo pareiškimas galėjo pasiekti neapibrėžtą visuomenės dalį, daug didesnę nei vien buvusioji salėje(39).
43. Kiek tai susiję su antrąja sąlyga, manau, visai tikėtina, kad šios bylos aplinkybėmis atvirai nurodydamas savo lytinę orientaciją (visų pirma per atvirą ir spaudai prieinamą renginį) ieškovas bent jau visiškai suvokė, kad paskelbia apie šią orientaciją „akivaizdžiai viešai“, kaip tai suprantama pagal šios išvados 35 punkte nurodytą jurisprudenciją, net jei ir neketino to daryti(40).
44. Be to, mano nuomone, pagal BDAR 9 straipsnio 1 dalį suteikiamos apsaugos tikslas yra neleisti, kad duomenų subjektas patirtų neigiamų pasekmių (pavyzdžiui, be kita ko, visuomenės pasmerkimo ar diskriminacinių veiksmų), kylančių dėl joje išvardytų situacijų neigiamo suvokimo socialiniu ar ekonominiu požiūriais(41). Taigi šioje nuostatoje numatyta ypatinga šių asmens duomenų apsauga, nustatant neabsoliutų principinį draudimą, kurio taikymą konkrečiu atveju turi įvertinti duomenų subjektas, kuris gali geriausiai įvertinti neigiamas pasekmes, galinčių kilti atskleidus nagrinėjamus duomenis, ir kuris prireikus gali atsisakyti šios apsaugos arba, žinodamas visas aplinkybes, ja nesiremti, akivaizdžiai paskelbdamas viešai, kaip tai suprantama pagal šio reglamento 9 straipsnio 2 dalies e punktą, savo situaciją, visų pirma apie savo lytinę orientaciją.
45. Antra, dėl pasekmių, kurių kyla dėl to, kad ieškovas akivaizdžiai viešai paskelbė apie savo lytinę orientaciją, kiek tai susiję su Meta Platforms Ireland atliekamu šių jautrių duomenų tvarkymu, kaip tai suprantama pagal BDAR 5 ir 6 straipsnius, manau, kad vien tai, jog duomenys buvo paskelbti akivaizdžiai viešai, kaip tai suprantama pagal šio reglamento 9 straipsnio 2 dalies e punktą, savaime neleidžia tvarkyti šių duomenų, kaip nustatyta minėtame reglamente.
46. Taikant pastarąją nuostatą paprasčiausiai panaikinama tam tikriems ypač jautriems asmens duomenims suteikta „speciali apsauga“. Pačiam duomenų subjektui sąmoningai atmetus šią apsaugą (nes jis juos akivaizdžiai paskelbė viešai), šie iš pradžių „apsaugoti“ asmens duomenys tampa „įprasti“ (t. y. nebe jautrūs) ir, kaip ir visi kiti asmens duomenys, gali būti teisėtai tvarkomi tik laikantis visų pirma BDAR 6 ir 7 straipsniuose numatytų sąlygų ir duomenų tvarkymo principų, įtvirtintų, be kita ko, šio reglamento 5 straipsnyje(42), įskaitant tikslų apribojimo principą, įtvirtintą to paties reglamento 5 straipsnio 1 dalies b punkte, – minėtame reglamente nustatyta, kad asmens duomenys turi būti renkami nustatytais, aiškiai apibrėžtais ir teisėtais tikslais, o tai pagal nagrinėjamos nuostatos 2 dalį turi įrodyti duomenų valdytojas(43).
47. Vadinasi, tai, kad ieškovas per podiumo diskusiją pareiškė apie savo lytinę orientaciją, nors tai galėtų lemti išvadą, kad šios bylos aplinkybėmis šis asmuo „akivaizdžiai viešai paskelbė“ šiuos duomenis, kaip tai suprantama pagal BDAR 9 straipsnio 2 dalies e punktą, savaime negali pateisinti asmens duomenų, atskleidžiančių šio asmens lytinę orientaciją, tvarkymo(44).
48. Atsižvelgdamas į tai, kas išdėstyta, siūlau į ketvirtąjį prejudicinį klausimą atsakyti, kad BDAR 5 straipsnio 1 dalies b punktas, siejamas su jo 9 straipsnio 2 dalies e punktu, turi būti aiškinamas taip: tai, kad asmuo per visuomenei atvirą podiumo diskusiją pareiškė apie savo lytinę orientaciją, nors tai ir gali būti veiksmas, kuriuo suinteresuotasis asmuo „akivaizdžiai viešai paskelbė“ šiuos duomenis, kaip tai suprantama pagal šio reglamento 9 straipsnio 2 dalies e punktą, savaime neleidžia tvarkyti minėtų duomenų ar kitų duomenų, susijusių su šio asmens lytine orientacija, siekiant agreguoti ir analizuoti duomenis suasmenintos reklamos tikslais.
Išvada
49. Atsižvelgdamas į tai, kas išdėstyta, siūlau Teisingumo Teismui taip atsakyti į Oberster Gerichtshof (Aukščiausiasis Teismas, Austrija) pateiktus antrąjį ir ketvirtąjį prejudicinius klausimus:
1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 5 straipsnio 1 dalies c punktas
turi būti aiškinamas taip:
– pagal jį draudžiama asmens duomenis tvarkyti tikslinės reklamos tikslais neribojant jų tvarkymo laiko arba duomenų pobūdžio požiūriu, ir
– prašymą priimti prejudicinį sprendimą pateikęs teismas, atsižvelgdamas į bylos aplinkybes ir taikydamas proporcingumo principą, turi nustatyti, kiek duomenų saugojimo laikotarpis ir tvarkomų duomenų kiekis yra pateisinami atsižvelgiant į teisėtą tikslą tvarkyti šiuos duomenis suasmenintos reklamos tikslais.
2. Reglamento 2016/679 5 straipsnio 1 dalies b punktas, siejamas su šio reglamento 9 straipsnio 2 dalies e punktu,
turi būti aiškinamas taip:
– tai, kad asmuo per visuomenei atvirą podiumo diskusiją pareiškė apie savo lytinę orientaciją, nors tai ir gali būti veiksmas, kuriuo suinteresuotasis asmuo „akivaizdžiai viešai paskelbė“ šiuos duomenis, kaip tai suprantama pagal šio reglamento 9 straipsnio 2 dalies e punktą, savaime neleidžia tvarkyti minėtų duomenų ar kitų duomenų, susijusių su šio asmens lytine orientacija, siekiant agreguoti ir analizuoti duomenis suasmenintos reklamos tikslais.
1 Originalo kalba – prancūzų.
2 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; klaidų ištaisymai OL L 127, 2018, p. 2 ir OL L 74, 2021, p. 35) (toliau – BDAR).
3 Šis socialinis tinklas suteikia galimybę suasmenintai parsisiųsti turinį ir juo dalytis pagal naudotojo iš anksto pasirinktus parametrus, taip pat tiesiogiai bendrauti su kitais naudotojais arba keistis duomenimis su jais.
4 Konkrečiau kalbant, šia reklama siekiama vartotojui pristatyti prekes ir paslaugas, kurios galėtų jį dominti, be kita ko, atsižvelgiant į jo asmeninį vartojimo elgesį, interesus, perkamąją galią ir asmeninę padėtį (vietą, amžių, lytį ir t. t.). Be to, „Facebook business tools“ (Facebook verslo įrankiai) leidžia reklamuotojams kurti tikslinius reklaminius skelbimus ir patikrinti savo reklamos veiksmingumą naudojant analizės sistemas, grindžiamas algoritmais, kuriais ieškoma koreliacijų ir modelių, iš kurių padaromos atitinkamos išvados.
5 Šiuo tikslu atsakovė naudoja tokias technologijas, kaip „cookies“ (slapukai), kurios leidžia naudoti „social plug-ins“ (socialiniai papildiniai, pavyzdžiui, mygtukas „Patinka“) arba „pixels“ – Facebook interneto svetainėje, trečiųjų asmenų interneto svetainėse ir programėlėse įdiegtas informacinių technologijų priemones. Šios priemonės iš esmės leidžia rinkti tam tikrus naudotojo, kuris lankosi tokiose interneto svetainėse arba naudoja tokių priemonių turinčias ir jas apibendrinančias programėles, duomenis, taip sukuriant naudotojo profilį, kuriuo remiantis jam galima siūlyti suasmenintą reklamą.
6 Meta Platforms Ireland savo rašytinėse ir žodinėse pastabose patikslino, kad iki BDAR įsigaliojimo, pirma, jos platformoje surinktų asmens duomenų tvarkymas suasmenintos reklamos tikslais buvo grindžiamas ne prašymo teikėjo sutikimu, bet iš esmės pateisinimu, grindžiamu tuo, kad šiuos duomenis būtina tvarkyti sutarties vykdymo tikslais, ir, antra, asmens duomenų, surinktų interneto svetainėse ar programėlėse už jos tinklo ribų, tvarkymas buvo grindžiamas naudotojo sutikimu, todėl jis galėjo neleisti tvarkyti šių duomenų, neatsisakydamas Facebook paslaugų. Nagrinėjamu atveju ši bendrovė netvarkė ieškovo asmens duomenų, surinktų už jos platformos ribų, motyvuodama tuo, kad 2008 m. užsiregistravęs socialiniame tinkle Facebook ieškovas nedavė savo sutikimo šiuo klausimu. Vis dėlto nuo BDAR įsigaliojimo Facebook gavo sutikimą suasmenintos reklamos tikslais tvarkyti jos tinkle arba išorinėse svetainėse ar programėlėse surinktus asmens duomenis ir, nesant šio sutikimo, suteikė galimybę naudotojui neleisti tvarkyti visų jo asmens duomenų suasmenintos reklamos tikslais mainais už mokestį. Atrodo, kad naujų naudojimo sąlygų teisėtumą pagal BDAR šiuo metu nagrinėja kai kurių valstybių narių duomenų apsaugos institucijos.
7 Kaip matyti iš nutarties dėl prašymo priimti prejudicinį sprendimą, Meta Platforms Ireland suteikia prieigą ne prie visų tvarkomų duomenų, o tik prie tų, kurie, jos vertinimu, domina naudotojus ir yra jiems svarbūs. Be to, ši bendrovė leidžia pašalinti tam tikrą Facebook paskyros turinį (pavyzdžiui, žinutes, nuotraukas arba publikacijas).
8 Be to, tik jo „draugai“, kurių sąrašas viešai neskelbiamas, galėjo matyti jo sklaidos kanale esančią informaciją arba būsimus įrašus.
9 Pareiškėjas atliko analizę dėl išvadų, kurias galima padaryti iš jo draugų sąrašo, ir iš jos paaiškėjo, kad jis atliko civilinę tarnybą Raudonajame Kryžiuje Zalcburge (Austrija) ir kad yra homoseksualus. Jį dominančių svetainių, be Facebook, sąraše dar yra programėlių ar pažinčių svetainės, skirtos homoseksualams, taip pat Austrijos politinės partijos interneto svetainė. Tarp ieškovo saugomų duomenų buvo, be kita ko, neegzistuojantis e. pašto adresas ir kitas adresas, nenurodytas jo Facebook profilyje, tačiau jis naudojosi juo teikdamas užklausas atsakovei.
10 Iš esmės ieškovas prašė pirmosios instancijos teismo, pirma, įpareigoti atsakovę sudaryti rašytinę sutartį dėl jo asmens duomenų naudojimo Facebook tinkle arba, nepatenkinus šio reikalavimo, konstatuoti, kad nėra tokios sutarties ir jo sutikimo dėl naudojimo sąlygų; antra, įpareigoti atsakovę susilaikyti nuo jo asmens duomenų tvarkymo suasmenintos reklamos ar duomenų kaupimo ir analizės reklamos tikslais, trečia, pripažinti, kad nebuvo galiojančio sutikimo tvarkyti duomenis ankstesnės redakcijos duomenų tvarkymo direktyvose aprašytais tikslais, kiek tai susiję su ieškovo asmens duomenimis, kuriuos atsakovė gavo iš trečiųjų asmenų ir, ketvirta, įpareigoti atsakovę nenaudoti ar netvarkyti ieškovo duomenų, susijusių su apsilankymais trečiųjų asmenų puslapiuose ir jų naudojimu, nesant galiojančio sutikimo tvarkyti duomenis. Ieškovas iš esmės teigė, kad sutikimas su naudojimo sąlygomis ir susijusiomis duomenų naudojimo gairėmis nėra duomenų valdytojui tinkamai duotas sutikimas tvarkyti asmens duomenis. Jis taip pat pažymėjo, kad Meta Platforms Ireland tvarko su juo susijusius jautrius duomenis, pavyzdžiui, duomenis apie jo politinius įsitikinimus ir lytinę orientaciją, nors šie duomenys nenurodyti jo Facebook profilyje.
11 Kaip matyti iš šalių rašytinių ir žodinių pastabų, ši podiumo diskusija buvo atvira visuomenei, kuri, neviršijant turimų vietų, galėjo nemokamai gauti bilietus Eventbrite platformoje (galiausiai užsiregistravo 189 asmenys), ir buvo transliuojama tiesiogiai. Be to, jos įrašas vėliau buvo paskelbtas kaip tinklalaidė, taip pat Komisijos YouTube kanale.
12 Kaip matyti iš nutarties dėl prašymo priimti prejudicinį sprendimą ir ieškovo pateiktų procesinių dokumentų, jis padarė tokį pareiškimą: „dabar pateiksiu jums labai banalų pavyzdį: apie mano lytinę orientaciją galite spręsti iš mano draugų sąrašo. Facebook niekada neminėjau, kad esu gėjus. Nuo tada, kai man suėjo 14 metų, tai nebėra paslaptis, man nekelia streso ar pan. Tačiau aš to viešai nekartoju visur ir visą laiką, nes sakau sau: gerai, vietoj to kalbėk apie duomenų apsaugą, antraip ir vėl įstrigsi tuose stereotipuose. O būtent tai nukreipia dėmesį nuo duomenų apsaugos“.
13 Šie du nacionaliniai teismai iš esmės laikėsi pozicijos, kad Meta Platforms Ireland atliekamas asmens duomenų tvarkymas buvo būtinas sutarčiai įvykdyti, kaip tai suprantama pagal BDAR 6 straipsnio 1 dalies b punktą.
14 Primenu, kad pagrindinėje byloje prašymą priimti prejudicinį sprendimą pateikęs teismas jau buvo pateikęs Teisingumo Teismui prašymą priimti prejudicinį sprendimą, dėl kurio priimtas 2018 m. sausio 25 d. Sprendimas Schrems (C‑498/16, EU:C:2018:37).
15 C‑252/21, toliau – Sprendimas Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos) EU:C:2023:537. Ši prejudicinio sprendimo priėmimo procedūra buvo sustabdyta, kol bus priimtas tas sprendimas. Paklaustas Teisingumo Teismo, prašymą priimti prejudicinį sprendimą pateikęs teismas atsakė, kad minėtame sprendime atsakoma į pirmąjį ir trečiąjį prejudicinius klausimus ir kad jis neatsisako prašymo dėl antrojo ir ketvirtojo prejudicinių klausimų.
16 Žr. 2021 m. birželio 22 d. Sprendimą Latvijas Republikas Saeima (Baudos taškai) (C‑439/19, EU:C:2021:504, 96 punktas ir jame nurodyta jurisprudencija).
17 Šiuo klausimu žr. 2021 m. birželio 22 d. Sprendimą Latvijas Republikas Saeima (Baudos taškai) (C‑439/19, EU:C:2021:504, 98 punktas ir jame nurodyta jurisprudencija).
18 Taip yra, be kita ko, tuo atveju, kai jie atrodo neadekvatūs, nereikšmingi ar nebereikšmingi arba kai jie pertekliniai atsižvelgiant į tuos tikslus ir praėjusį laiką (žr. 2019 m. rugsėjo 24 d. Sprendimą GC ir kt. (Nuorodų į jautrius duomenis panaikinimas) (C‑136/17, EU:C:2019:773, 74 punktas ir jame nurodyta jurisprudencija).
19 Žr. šios išvados 17 išnašoje nurodytą jurisprudenciją.
20 Nedarant poveikio tam, kad pagal BDAR 8 straipsnį jaunesni nei 16 metų vaikai patys negali duoti sutikimo pagal šio reglamento 6 straipsnio 1 dalies a punktą dėl informacinės visuomenės paslaugų teikimo.
21 Šiuo klausimu primenu, kad, kiek tai susiję su sąvoka „sutikimas“, kaip ji suprantama pagal BDAR 6 straipsnio 1 dalies pirmos pastraipos a punktą ir 9 straipsnio 2 dalies a punktą, Teisingumo Teismas, be kita ko, yra pažymėjęs, jog naudotojas negali pagrįstai tikėtis, kad socialinio tinklo operatorius (šiuo atveju – Facebook) tvarkys kitus duomenis, nesusijusius su jų elgesiu socialiniame tinkle, ir nusprendė, kad dėl pastarųjų duomenų tvarkymo ir kitų duomenų gali būti duotas atskiras sutikimas (Sprendimas Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos), 151 punktas). Be to, savo išvadoje toje pačioje byloje išreiškiau abejones dėl to, ar asmens duomenų rinkimas ir naudojimas už socialinio tinklo Facebook ribų gali būti būtinas šiame tinkle siūlomoms paslaugoms teikti ir todėl iš pradžių duotas sutikimas siekiant gauti prieigą prie šio tinklo (t. y. Facebook profilio sukūrimas) galėtų teisėtai apimti naudotojo asmens duomenų tvarkymą už to paties tinklo ribų (išvada byloje Meta Platforms ir kt. (Bendrosios naudojimosi socialiniu tinklu sąlygos) (C‑252/21, EU:C:2022:704, 56 punktas, 81 išnaša).
22 Pavyzdžiui, kiek tai susiję su duomenų valdytojo teisėtais interesais kaip duomenų tvarkymo teisiniu pagrindu, BDAR 47 konstatuojamojoje dalyje nurodyta, kad reikėtų atidžiai įvertinti, ar esama tokio teisėto intereso, visų pirma siekiant nustatyti, ar duomenų subjektas gali tuo metu, kai renkami asmens duomenys, arba asmens duomenų rinkimo kontekste pagrįstai tikėtis, kad jie bus tvarkomi tuo tikslu.
23 Žr. šios išvados 6 išnašą.
24 Teisingumo Teismas iš esmės nusprendė, kad, neatsižvelgiant į tai, jog tokioje nuostatoje numatytas asmens duomenų tvarkymas yra paminėtas sutartyje, lemiamas veiksnys taikant šioje nuostatoje nurodytą pagrindą yra tai, kad nagrinėjamas duomenų tvarkymas yra esminis, kad būtų galima tinkamai įvykdyti duomenų valdytojo ir duomenų subjekto sudarytą sutartį, taigi nėra kitų įmanomų ir mažiau ribojančių sprendimų (šiuo klausimu žr. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos) 99 punktą).
25 Žr. šios išvados 6 išnašą. Kaip matyti iš teismo posėdžio, atrodo, kad pagrindinėje byloje Meta Platforms Ireland rėmėsi podiumo diskusija, siekdama paneigti ieškovo argumentą dėl tariamos žalos, kilusios jam tariamai patyrus psichologinį stresą dėl suasmenintos reklamos, kad įrodytų, jog jam nekilo jokių sunkumų viešai pareikšti apie savo homoseksualumą. Taigi prašymą priimti prejudicinį sprendimą pateikęs teismas pateikė klausimą dėl BDAR 9 straipsnio 2 dalies išaiškinimo ne tam, kad būtų taikoma šioje nuostatoje numatyta išimtis, o visiškai kitu tikslu – kad ieškovo nurodyta žala būtų išnagrinėta atsižvelgiant į Meta Platforms Ireland gynybos argumentus.
26 Pagal BDAR 5 straipsnio 2 dalį būtent duomenų valdytojui tenka pareiga įrodyti, kad asmens duomenys tvarkomi pagal šį reglamentą.
27 Pagal analogiją žr. 2023 m. gegužės 4 d. Sprendimą Glavna direktsia „Pozharna bezopasnost i zashtita na naselenieto“ (Naktinis darbas) (C‑529/21–C‑536/21 ir C‑732/21–C‑738/21, EU:C:2023:374, 57 punktas).
28 Šiuo klausimu žr. 2023 m. liepos 13 d. Sprendimą Ferrovienord (C‑363/21 ir C‑364/21, EU:C:2023:563, 52–55 punktai ir juose nurodyta jurisprudencija).
29 Kaip nurodyta to paties reglamento 51 konstatuojamojoje dalyje, asmens duomenims, kurie dėl savo pobūdžio yra ypač jautrūs pagrindinių teisių ir laisvių atžvilgiu, turi būti užtikrinta ypatinga apsauga, nes atsižvelgiant į jų tvarkymo kontekstą galėtų kilti didelis pavojus šioms teisėms ir laisvėms.
30 C‑252/21, EU:C:2022:704, 42 punktas.
31 Taip pat žr. 2023 m. liepos 4 d. Sprendimo Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos) 76 punktą ir jame nurodytą jurisprudenciją).
32 Šiuo klausimu pažymiu, kad, kalbant apie frazę „akivaizdžiai paskelbęs viešai“, veiksmažodžio „paskelbti“ vartojimas reiškia aktyvų ir sąmoningą duomenų subjekto elgesį. Europos duomenų apsaugos valdybos (EDAV) teigimu, žodis „akivaizdžiai“ reiškia, kad nagrinėjama išimtimi galima remtis tik labai siaurai. Be to, EDAV pažymi, kad vieno elemento ne visada pakanka siekiant nustatyti, kad duomenų subjektas duomenis „akivaizdžiai“ paskelbė viešai. Praktiškai tam, kad duomenų valdytojas galėtų įrodyti, jog duomenų subjektas yra aiškiai išreiškęs ketinimą viešai paskelbti duomenis, gali tekti atsižvelgti į elementų derinį ir reikia įvertinti kiekvieną konkretų atvejį (EDAV gairių 8/2020 127 punktas). Kaip pavyzdį EDAV nurodo tokius veiksnius, kaip socialinės žiniasklaidos platformos numatytosios nuostatos, socialinės žiniasklaidos platformos pobūdis, puslapio, kuriame skelbiami jautrūs duomenys, prieinamumas, įspėjimo, kuriuo duomenų subjektui pranešama apie jo skelbiamos informacijos viešą pobūdį, matomumas, tai, ar pats duomenų subjektas paskelbė jautrius duomenis, ar, atvirkščiai, duomenis paskelbė trečiasis asmuo arba jie buvo nustatyti netiesiogiai. Taip pat žr. Georgieva, L. ir Kuner, C., „Article 9. Processing of special categories of personal data“, The EU General Data Protection Regulation (GDPR), Oksfordas, 2020, p. 378, kurie teigia: „In this context, „making public“ should be construed to include publishing the data in the mass media, putting them on online social network platforms or similar actions. However, the data must have been „manifestly“ made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result“ („Šiame kontekste „paskelbimas viešai“ turėtų būti aiškinamas kaip apimantis duomenų atskleidimą žiniasklaidoje, jų paviešinimą internetinėse socialinių tinklų platformose ar panašius veiksmus. Vis dėlto duomenys turi būti „akivaizdžiai“ paskelbti viešai, o tam duomenų subjektas turi atlikti patvirtinamąjį veiksmą ir suvokti, kad tai bus rezultatas“).
33 Žr. šios išvados 11 išnašą.
34 Žr. šios išvados 13 išnašą.
35 C‑252/21, EU:C:2023:537 (84 ir 85 punktai).
36 Taip pat žr. mano išvadą byloje Meta Platforms ir kt. (Bendrosios socialinio tinklo naudojimo sąlygos) (C‑252/21, EU:C:2022:704, 46 punktas).
37 Primenu, kad nagrinėjama nuostata identiškai pakartota 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355) 8 straipsnio 2 dalies e punkte ir kad, be to, įtraukiant šią nuostatą į 1995 m. vasario 20 d. priimtą Tarybos bendrąją poziciją (EB) Nr. 1/95 dėl <...> Europos Parlamento ir Tarybos direktyvos 95/<...>/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo priėmimo (OL C 93, 1995, p. 1), nebuvo pateikta jokio paaiškinimo.
38 Žr. šios išvados 11 išnašą.
39 Pavyzdžiui, kaip pats ieškovas pripažįsta savo rašytinėse pastabose, jo pareiškimas galėjo būti visiškai teisėtai atskleistas spaudoje, aptariamam renginiui skirtame straipsnyje.
40 Šiuo klausimu primenu, kad ieškovas buvo ilgų ir plataus masto ginčų su Meta Platforms Ireland (anksčiau – Facebook) dėl BDAR taikymo pagrindinis dalyvis, todėl pagrįsta daryti prielaidą, kad jis puikiai žinojo savo pareiškimų pasekmes atsižvelgiant į šį reglamentą. Turėdamas tai omenyje, pažymiu skirtumą tarp, viena vertus, noro leisti tvarkyti „jautrius“ duomenis, t. y. sutikimo tvarkyti šiuos duomenis, kaip tai suprantama pagal BDAR 9 straipsnio 2 dalies a punktą, ir, kita vertus, ketinimo ar visiško supratimo, kad šie duomenys bus akivaizdžiai paskelbti viešai, todėl nebus taikomas draudimas tvarkyti šiuos duomenis, kaip tai suprantama pagal šio reglamento 9 straipsnio 1 dalį, tačiau vien jo nepakanka, kad būtų leidžiama tvarkyti šiuos duomenis, kaip paaiškinsiu šios išvados 45–47 punktuose.
41 Pavyzdžiui, asmuo galėtų būti diskriminuojamas dėl savo politinių pažiūrų arba lytinės orientacijos ar patirti neteisingų ekonominių pasekmių dėl savo medicininės padėties (ypač dėl sveikatos draudimo ar kitų analogiškų situacijų).
42 Kaip priminta BDAR 51 konstatuojamojoje dalyje, kartu su konkrečiais ypač jautrių duomenų tvarkymo reikalavimais turėtų būti taikomi šiame reglamente numatyti bendrieji principai ir kitos taisyklės, visų pirma susijusios su teisėto duomenų tvarkymo sąlygomis. Be to, pagal minėto reglamento 22 straipsnio 4 dalį sprendimai, pagrįsti tik automatizuotu duomenų tvarkymu, negali būti grindžiami šio reglamento 9 straipsnio 1 dalyje nurodytais specialių kategorijų asmens duomenimis, nebent taikomi jo 9 straipsnio 2 dalies a arba g punktai ir yra nustatytos tinkamos priemonės duomenų subjekto teisėms bei laisvėms ir teisėtiems interesams apsaugoti.
43 Neseniai Teisingumo Teismas taip pat išreiškė poziciją dėl BDAR 9 straipsnio 2 dalies h punkto, siejamo su šio reglamento 5 straipsnio 1 dalies a punktu ir 6 straipsnio 1 dalimi, išaiškinimo ir pažymėjo, jog tam, kad sveikatos duomenų tvarkymas, grindžiamas minėto 9 straipsnio 2 dalies h punktu, būtų teisėtas, jis turi atitikti tiek iš šios nuostatos kylančius reikalavimus, tiek iš pastarųjų dviejų nuostatų kylančias pareigas, visų pirma tenkinti bent vieną iš minėto reglamento 6 straipsnio 1 dalyje nustatytų teisėtumo sąlygų (2023 m. gruodžio 21 d. Sprendimas Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, 78 punktas).
44 Juo labiau kad pagrindinėje byloje prašymą priimti prejudicinį sprendimą pateikęs teismas klausia, ar per aptariamą podiumo diskusiją padarytas pareiškimas leidžia tvarkyti kitus asmens duomenis, be kita ko, iš trečiųjų asmenų programėlių surinktus duomenis.