Wydanie tymczasowe
OPINIA RZECZNIKA GENERALNEGO
ATHANASIOSA RANTOSA
przedstawiona w dniu 25 kwietnia 2024 r.(1).
Sprawa C‑446/21
Maximilian Schrems
przeciwko
Meta Platforms Ireland Limited, dawniej Facebook Ireland Limited
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Oberster Gerichtshof (sąd najwyższy, Austria)]
Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Sieci społecznościowe – Artykuł 5 ust. 1 lit. b) – Zasada „ograniczenia celów” – Artykuł 5 ust. 1 lit. e) – Zasada „minimalizacji danych” – Artykuł 9 ust. 1 i 2 lit. e) – Przetwarzanie szczególnych kategorii danych osobowych – Dane osobowe w sposób oczywisty upublicznione przez osobę, której dane dotyczą – Reklama spersonalizowana – Dane dotyczące orientacji seksualnej
Wprowadzenie
1. Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym został złożony przez Oberster Gerichtshof (sąd najwyższy, Austria) w ramach sporu, jaki został zapoczątkowany pomiędzy Maximilianem Schremsem (zwanym dalej „powodem”), użytkownikiem sieci społecznościowej „Facebook”, a Meta Platforms Ireland Limited, dawniej Facebook Ireland Limited (zwaną dalej „Meta Platforms Ireland” lub „pozwaną”) powództwem dotyczącym przetwarzania przez wspomnianą spółkę jego danych osobowych, którego zgodność z prawem jest kwestionowana.
2. Pytania prejudycjalne przedstawione w ramach niniejszej sprawy dotyczą, z jednej strony, stosowania zasady „minimalizacji danych”, wyrażonej w art. 5 ust. 1 lit. c) rozporządzenia (UE) 2016/679(2) oraz, z drugiej strony, wykładni sformułowania „przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą”, o którym mowa w art. 9 ust. 2 lit. e) wspomnianego rozporządzenia w związku z art. 5 ust. 1 lit. b) tego rozporządzenia, w którym ustanowiono zasadę „ograniczenia celów”. Sąd odsyłający wnosi w istocie, z jednej strony, o ustalenie, czy zasada minimalizacji danych pozwala na przetwarzanie danych osobowych bez ograniczenia w czasie lub w zależności od charakteru danych oraz, z drugiej strony, czy stwierdzenia dotyczące orientacji seksualnej danej osoby poczynione przez nią podczas dyskusji panelowej pozwalają na przetwarzanie innych danych dotyczących orientacji seksualnej tej osoby do celów spersonalizowanej reklamy.
Ramy prawne
3. Artykuł 4 RODO, zatytułowany „Definicje”, stanowi w pkt 11:
„Na użytek niniejszego rozporządzenia:
[…]
11) »zgoda« osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”.
4. Artykuł 5 wspomnianego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi w ust. 1 i 2:
„1. Dane osobowe muszą być:
a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);
b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; […]
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);
[…]
2. Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”.
5. Artykuł 6 wspomnianego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, stanowi w ust. 1 i 3:
„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
[…]
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
[…]
3. Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
a) w prawie Unii; lub,
b) w prawie państwa członkowskiego, któremu podlega administrator.
[…]
[…] Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu”.
6. Artykuł 7 tego rozporządzenia, zatytułowany „Warunki wyrażenia zgody”, ma następujące brzmienie:
„1. Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
[…]
3. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
4. Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy”.
7. Artykuł 9 ust. 1 i 2 RODO, zatytułowany „Przetwarzanie szczególnych kategorii danych osobowych”, stanowi:
„1. Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
2. Ustęp 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;
b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;
[…]
e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
[…] »
8. Artykuł 13 wspomnianego rozporządzenia, zatytułowany „Informacje podawane w przypadku zbierania danych od osoby, której dane dotyczą”, stanowi w ust. 1:
„Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje:
[…]
c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
[…]”
Spór w postępowaniu głównym, pytania prejudycjalne oraz postępowanie przed Trybunałem
9. Meta Platforms Ireland, spółka prawa irlandzkiego, zarządza zamkniętą siecią komunikacyjną „Facebook”, która w istocie stanowi internetową sieć społecznościową pozwalającą na dzielenie się treściami(3). Jej model biznesowy opiera się w istocie na oferowaniu bezpłatnych usług sieci społecznościowej swoim prywatnym użytkownikom i sprzedaży reklam internetowych, w tym reklam skierowanych do jej użytkowników(4). Wspomniana reklama opiera się głównie na zautomatyzowanym tworzeniu stosunkowo szczegółowych profili użytkowników tej sieci społecznościowej(5).
10. W 2018 r., po wejściu w życie RODO, Meta Platforms Ireland przedstawiła swoim użytkownikom w Unii Europejskiej nowe warunki korzystania z Facebooka w celu uzyskania ich zgody, której udzielenie jest zresztą wymagane do tego, aby móc się zarejestrować lub uzyskać dostęp do kont i usług świadczonych przez Facebooka(6). Wspomniane nowe warunki korzystania umożliwiają również użytkownikom wgląd do przechowywanych danych i kontrolę nad nimi(7).
11. Powód jest użytkownikiem Facebooka, który zaakceptował przedstawione przez Facebooka nowe warunki korzystania. Jak wynika z postanowienia odsyłającego, oświadczył on publicznie, że jest homoseksualistą, ale nigdy nie wspomniał o swojej orientacji seksualnej i nie opublikował żadnych danych wrażliwych na swoim profilu na Facebooku(8). Jak twierdzi powód, nie upoważnił on również pozwanej do wykorzystywania, dla celów reklamy ukierunkowanej, tych pól w jego profilu, które dotyczą jego relacji uczuciowych, pracodawcy, zatrudnienia lub wykształcenia.
12. Niemniej jednak, jak wskazuje powód, otrzymał on materiały promocyjne pewnej polityk, które zostały doń skierowane w oparciu o analizę, na podstawie której miałby on być podobny do innych „klientów”, którzy „polubili” tę polityk oraz regularnie otrzymywał reklamy skierowane do osób orientacji homoseksualnej i zaproszenia na odpowiednie wydarzenia, mimo że nigdy wcześniej nie wykazywał zainteresowania wspomnianymi wydarzeniami i nie znał nawet miejsc, w których te miałyby się odbyć. Rzeczone reklamy lub zaproszenia nie były opierane bezpośrednio na orientacji seksualnej powoda i jego „znajomych” w sieci społecznościowej, lecz na przeprowadzonej analizie ich zainteresowań(9). Ponadto Meta Platforms Ireland rejestrowała wszystkie dane dotyczące powoda, w tym dane uzyskane za pośrednictwem stron trzecich lub wtyczek, i przechowywała je przez czas nieokreślony.
13. W tych okolicznościach powód wniósł do Landesgericht für Zivilsachen Wien (sąd okręgowy ds. spraw cywilnych w Wiedniu, Austria), powództwo o wykonanie, stwierdzenie i zaprzestanie przetwarzania jego danych osobowych przez Meta Platforms Ireland, którego zgodność z prawem jest przezeń kwestionowana (10).
14. Następnie, podczas dyskusji panelowej zorganizowanej przez Przedstawicielstwo Komisji Europejskiej w Wiedniu (Austria)(11), która odbyła się 12 lutego 2019 r., powód wspomniał o swojej orientacji seksualnej podczas wystąpienia mającego na celu potępienie przetwarzania danych dotyczących tej orientacji seksualnej przez Meta Platforms Ireland, którego zgodność z prawem jest przezeń kwestionowana(12).
15. Po tym, jak jego powództwo zostało oddalone w pierwszej instancji wyrokiem z dnia 30 czerwca 2020 r. oraz w postępowaniu odwoławczym przez Oberlandesgericht Wien (wyższy sąd krajowy w Wiedniu, Austria) wyrokiem z dnia 7 grudnia 2020 r.(13), powód wniósł następnie skargę rewizyjną do Oberster Gerichtshof (sąd najwyższy), czyli sądu odsyłającego.
16. W tym kontekście Oberster Gerichtshof (sąd najwyższy) zawiesił postępowanie i skierował do Trybunału cztery pytania prejudycjalne(14). Z uwagi na okoliczność, że pierwsze i trzecie pytanie prejudycjalne zostały wycofane w związku z wydaniem wyroku z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej)(15), przedmiotem niniejszej sprawy są: drugie i czwarte pytanie, które mają następujące brzmienie:
„2) Czy art. 5 ust. 1 lit. c) RODO (minimalizacja danych) należy interpretować w ten sposób, że wszystkie dane osobowe, którymi dysponuje platforma taka jak ta rozpatrywana w postępowaniu głównym (w szczególności pochodzące od osoby, której dane dotyczą, lub od osób trzecich na tej platformie i poza nią) mogą być, bez ograniczeń co do czasu lub rodzaju danych, agregowane, analizowane i przetwarzane dla celów reklamy ukierunkowanej?
4) Czy art. 5 ust. 1 lit. b) w zw. z art. 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, że dotycząca własnej orientacji seksualnej wypowiedź poczyniona dla celów dyskusji panelowej zezwala na przetwarzanie innych danych dotyczących orientacji seksualnej w celu agregacji i analizy danych na potrzeby reklamy spersonalizowanej?”
17. Uwagi na piśmie zostały złożone przez powoda, Meta Platforms Ireland, rządy austriacki, francuski, włoski i portugalski oraz przez Komisję Europejską. Uwagi ustne zostały przedstawione przez powoda, Meta Platforms Ireland, rząd austriacki, oraz Komisję Europejską podczas rozprawy, która odbyła się w dniu 8 lutego 2024 r.
Analiza
W przedmiocie drugiego pytania prejudycjalnego
18. Poprzez swoje drugie pytanie prejudycjalne sąd odsyłający zmierza w istocie do ustalenia, czy art. 5 ust. 1 lit. c) rozporządzenia RODO, który ustanawia zasadę minimalizacji danych, należy interpretować w ten sposób, że wszystkie dane osobowe dostępne dla sieci takiej jak Facebook, w szczególności za pośrednictwem osoby, której te dane dotyczą, lub podmiotów trzecich na tej platformie i poza nią, mogą być agregowane, analizowane i przetwarzane dla celów reklamy ukierunkowanej, bez ograniczenia w czasie lub w zależności od charakteru danych.
19. Na wstępie należy zwrócić uwagę, że każde przetwarzanie danych osobowych powinno, z jednej strony, być zgodne z zasadami dotyczącymi przetwarzania danych określonymi w art. 5 RODO, i, z drugiej strony, odpowiadać jednej z wymienionych w art. 6 tego rozporządzenia zasad dotyczących zgodności tego przetwarzania z prawem(16).
20. Jeśli chodzi, bardziej konkretnie rzecz ujmując, o zasady dotyczące przetwarzania danych osobowych, Trybunał Sprawiedliwości w szczególności stwierdził, że zawarta w art. 5 ust. 1 lit. c) RODO zasada minimalizacji danych stanowi, że dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co jest niezbędne do celów, w jakich są one przetwarzane, co stanowi w istocie wyraz wspomnianej zasady proporcjonalności(17). Celem ustanowienia tej zasady minimalizacji danych jest bowiem zminimalizowanie ograniczeń tego prawa do ochrony danych osobowych, które byłyby spowodowane daną operacją przetwarzania.
21. W niniejszej sprawie wydaje mi się oczywiste, że założony sąd odsyłający ewentualny brak wszelkich ograniczeń byłby z definicji sprzeczny z zastosowaniem zasady minimalizacji danych. Z kolei w aktach sprawy przedstawionych Trybunałowi Sprawiedliwości nie ma żadnego dowodu, który by potwierdzał lub wykluczał takie założenie, które w każdym razie pozostawione jest ocenie sądu odsyłającego. Niemniej jednak postaram się udzielić temu sądowi pewnych użytecznych wskazówek co do wykładni rozpatrywanego przepisu, które pozwolą mu na rozstrzygnięcie zawisłej przed nim sprawy.
22. Jeśli chodzi, po pierwsze, o ograniczenie przetwarzania danych osobowych w czasie, uważam, że, wobec braku zawarcia w ramach RODO konkretnego przepisu w tym zakresie, sąd państwa Unii nie może określić w sposób wiążący tego, jakie jest ograniczenie w czasie przechowywania takich danych. Ponadto Trybunał Sprawiedliwości orzekł, że początkowo zgodne z prawem przetwarzanie dokładnych danych może z czasem stać się niezgodne, w szczególności z art. 5 ust. 1 lit. c)-e) RODO, jeżeli dane te nie są już niezbędne do celów, dla których były gromadzone lub przetwarzane(18). Do sądu odsyłającego należy zatem przeprowadzenie, z uwzględnieniem okoliczności sprawy i z zastosowaniem zasady proporcjonalności(19), oceny tego, jaki okres przechowywania danych osobowych przez Meta Platforms Ireland jest uzasadniony w odniesieniu do celu uzasadnionego przetwarzaniem takich danych dla celów spersonalizowanej reklamy.
23. Po drugie, w odniesieniu do ograniczenia przetwarzania danych osobowych ze względu na charakter danych, do sądu odsyłającego należy również ustalenie, w okolicznościach danej sprawy, danych osobowych, przetwarzanie których można uznać za prawnie uzasadnione, przy poszanowaniu zasady proporcjonalności.
24. Ponadto, zawarte w art. 5 ust. 1 lit. c) RODO odniesienia do bardzo rodzajowo określonych warunków, takich jak „adekwatne”, „stosowne” i „niezbędne”, świadczą moim zdaniem o tym, że prawodawca Unii zmierzał do pozostawienia właściwym organom szerokiego zakresu uznania przy stosowaniu wspomnianego przepisu, a wspomniane warunki muszą być interpretowane w każdym przypadku odrębnie, z uwzględnieniem okoliczności danej sprawy.
25. Mając na uwadze powyższe okoliczności, uważam, tak jak wskazuje Komisja Europejska w swoich pisemnych uwagach, że można dokonać pewnych rozróżnień ze względu na różny stopień ingerencji, jaką stanowią poszczególne formy przetwarzania, w prawa osoby, której dane dotyczą. Sąd odsyłający może zatem, jeżeli uzna to za stosowne w niniejszej sprawie, z jednej strony, dokonać rozróżnienia między wykorzystaniem danych „statystycznych” danej osoby (takich jak wiek(20) lub płeć) a wykorzystaniem dotyczących jej danych „behawioralnych” (takich jak śledzenie nawyków użytkowników w zakresie przeglądania stron internetowych), przy czym to drugie zastosowanie jest, co do zasady, bardziej inwazyjne w odniesieniu do praw osoby, której dane dotyczą. W szczególności w odniesieniu do danych „behawioralnych” można dokonać dalszego rozróżnienia między gromadzeniem danych, które dotyczą „czynnego” zachowania (takiego jak kliknięcie przycisku „Lubię to”) a gromadzeniem danych związanych z zachowaniem „biernym” (takim jak samo tylko odwiedzanie danej strony internetowej), przy czym to drugie zwykle jest bardziej inwazyjne dla użytkownika. Można również dokonać rozróżnienia między przetwarzaniem danych osobowych gromadzonych na platformie Facebook i poza nią, a mianowicie na stronach internetowych, w aplikacjach innych niż Facebook lub na urządzeniach użytkowników, przy czym ta druga forma przetwarzania jest bardziej inwazyjna niż pierwsza(21).
26. W ramach tej analizy równie ważne jest, moim zdaniem, uwzględnienie uzasadnionych oczekiwań osób, których to przetwarzanie dotyczy(22).
27. Ponadto, w sytuacji takiej jak istniejąca przed wejściem w życie RODO, w której podstawą przetwarzania danych zebranych poza platformą Facebooka była nie zgoda, ale raczej to, że przetwarzanie jest konieczne w celu wykonania umowy zgodnie z art. 6 ust. 1 lit. b) wspomnianego rozporządzenia(23), należy wziąć pod uwagę przyjętą przez Trybunał Sprawiedliwości ścisłą interpretację tego przepisu(24). W rezultacie istotne jest, jak podkreśla rząd włoski w swoich uwagach na piśmie, aby zapobiec sytuacji, w której szeroka interpretacja zasady minimalizacji danych, o której mowa w art. 5 RODO, pozwoliłaby administratorom danych na rozszerzanie kategorii danych osobowych uznanych za niezbędne dla wykonania umowy zgodnie z art. 6 ust. 1 lit. b) wspomnianego rozporządzenia.
28. W świetle powyższych rozważań proponuję, aby Trybunał odpowiedział na drugie pytanie prejudycjalne w taki sposób, że art. 5 ust. 1 lit. c) RODO należy interpretować w ten sposób, iż stoi on na przeszkodzie temu, aby dane osobowe mogły być przetwarzane dla celów reklamy ukierunkowanej bez ograniczeń co do czasu lub rodzaju danych oraz że to do sądu odsyłającego należy dokonanie, z uwzględnieniem okoliczności sprawy i przy zastosowaniu zasady proporcjonalności, oceny zakresu, w jakim okres przechowywania i ilość przetworzonych danych są uzasadnione prawnie uzasadnionym celem przetwarzania wspomnianych danych dla celów reklamy spersonalizowanej.
W przedmiocie czwartego pytania prejudycjalnego
29. W swoim czwartym pytaniu prejudycjalnym sąd odsyłający zmierza w istocie do ustalenia, czy art. 5 ust. 1 lit. b) w związku z art. 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, że okoliczność polegająca na tym, iż dana osoba wypowiedziała się w ramach dyskusji panelowej w przedmiocie własnej orientacji seksualnej, pozwala Meta Platforms Ireland na przetwarzanie innych danych dotyczących orientacji seksualnej tej osoby w celu adresowania do niej reklamy spersonalizowanej. Bardziej ogólnie rzecz ujmując, sąd ten zastanawia się nad zakresem zastosowania tego ostatniego przepisu, a w szczególności podnosi kwestię ustalenia tego, w jaki sposób te dane wrażliwe wspomnianej osoby muszą przedostać się do wiadomości publicznej, aby miał zastosowanie art. 9 ust. 2 RODO.
W przedmiocie znaczenia pytania prejudycjalnego
30. Meta Platforms Ireland uściśliła w swoich uwagach na piśmie oraz ustnie, co nie zostało zakwestionowane przez inne strony na rozprawie, że w żadnym momencie postępowania przed sądami krajowymi nie powołała się na określony w art. 9 ust. 2 lit. e) RODO wyjątek jako podstawę przetwarzania przedmiotowych danych(25).
31. W takim przypadku czwarte pytanie byłoby w sposób oczywisty pozbawione znaczenia, ponieważ wspomniany wyjątek nie miałby zastosowania w niniejszej sprawie(26).
32. W tym względzie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem Trybunału, w ramach procedury ustanowionej w art. 267 TFUE, która opiera się na wyraźnym rozdziale funkcji między sądami krajowymi a Trybunałem, pytania dotyczące wykładni prawa Unii przedstawione przez sąd krajowy w ramach stanu prawnego i faktycznego, za którego ustalenie jest on odpowiedzialny(27), i którego prawidłowość nie podlega ocenie Trybunału, korzystają z domniemania, że mają znaczenie dla sprawy(28).
33. W poniższych punktach zaproponuję zatem odpowiedź na czwarte z przedstawionych przez sąd odsyłający pytań, pozostawiając Trybunałowi Sprawiedliwości rozstrzygnięcie w przedmiocie znaczenia tego pytania dla sprawy.
Co do istoty pytania prejudycjalnego
34. W pierwszej kolejności należy przypomnieć, że zgodnie z art. 5 ust. 1 lit. b) RODO, ustanawiającym zasadę „ograniczenia celów”, dane osobowe powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Zgodnie z brzmieniem art. 9 ust. 1 tego rozporządzenia, przetwarzanie danych osobowych dotyczących w szczególności życia seksualnego lub orientacji seksualnej osoby fizycznej jest zakazane, chyba, że takie przetwarzanie mieści się w zakresie stosowania jednego z wyjątków określonych w art. 9 ust. 2 wspomnianego rozporządzenia(29).
35. W szczególności, zgodnie z art. 9 ust. 2 lit. e) RODO, zakaz przetwarzania wrażliwych danych osobowych nie ma zastosowania, jeżeli przetwarzanie to dotyczy danych w sposób oczywisty upublicznionych, przez osobę, której te dane dotyczą. Jak wskazałem w mojej opinii w sprawie Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej)(30), zastosowanie, w brzmieniu wspomnianego przepisu wyrażenia przyimkowego „w sposób oczywisty” oraz okoliczność, że wspomniany przepis stanowi wyjątek od zasady ogólnego zakazu przetwarzania wrażliwych danych osobowych, wymagają szczególnie ścisłego stosowania wspomnianego wyjątku ze względu na istotne zagrożenie dla praw podstawowych i podstawowych wolności danych osób(31). Aby wyjątek ten mógł mieć zastosowanie, użytkownik musi mieć moim zdaniem pełną świadomość tego, że za pomocą wyraźnej i jednoznacznej czynności udostępnia swe dane osobowe wszystkim, którzy są nimi zainteresowani (32).
36. W postępowaniu głównym dane wrażliwe dotyczące orientacji seksualnej powoda zostały ujawnione poza platformą Facebook („poza witryną”) i jakąkolwiek inną platformą lub aplikacją komputerową, w ramach dyskusji panelowej zorganizowanej przez Komisję(33) oraz w celu ujawnienia przetwarzania przez Meta Platforms Ireland danych dotyczących tej orientacji seksualnej, którego to przetwarzania zgodność z prawem jest kwestionowana(34).
37. W tym zakresie Trybunał Sprawiedliwości miał już sposobność wypowiedzieć się w przedmiocie wykorzystywania danych „spoza witryny” w ramach innych platform w wyroku Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej)(35). W tamtej sprawie Trybunał orzekł, że art. 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, iż w przypadku gdy użytkownik internetowej sieci społecznościowej przegląda strony internetowe lub aplikacje powiązane z jedną lub kilkoma kategoriami danych, o których mowa w art. 9 ust. 1 RODO, nie upublicznia on w sposób oczywisty, w rozumieniu pierwszego z tych przepisów, dotyczących tego przeglądania danych zbieranych przez operatora tej internetowej sieci społecznościowej za pomocą plików cookie lub podobnych technologii rejestracji oraz że w przypadku, gdy zamieszcza dane na takich stronach internetowych lub w takich aplikacjach lub też gdy aktywuje zintegrowane z tymi stronami i aplikacjami przyciski wyboru, takie jak przyciski „Lubię to” lub „Udostępnij”, lub też przyciski umożliwiające użytkownikowi zidentyfikowanie się na tych stronach lub w tych aplikacjach za pomocą identyfikatorów połączenia związanych z jego kontem użytkownika w internetowej sieci społecznościowej, z jego numerem telefonu lub jego adresem elektronicznym, upublicznia on w oczywisty sposób, w rozumieniu tego art. 9 ust. 2 lit. e) RODO, dane zamieszczone w ten sposób lub wynikające z aktywowania tych przycisków jedynie w przypadku, gdy uprzednio wyraźnie wyraził swój wybór – w stosownym przypadku poprzez indywidualne zdefiniowanie z pełną znajomością rzeczy parametrów – publicznego udostępnienia dotyczących go danych nieograniczonej liczbie osób(36).
38. W tych okolicznościach sąd odsyłający uznał za konieczne podtrzymanie swojego czwartego pytania prejudycjalnego z tego względu, że działania badane przez Trybunał w tej ostatniej sprawie dotyczyły przeglądania stron internetowych lub aplikacji oraz aktywacji zintegrowanych z nimi przycisków, podczas gdy w niniejszej sprawie chodzi o oświadczenie złożone przez osobę, której dane dotyczą, na temat jej orientacji seksualnej dla celów dyskusji panelowej. W związku z tym sąd uważa, że z takiego oświadczenia nie można wywnioskować zgody w rozumieniu art. 9 ust. 2 lit. e) RODO.
39. W tym zakresie uważam za właściwe dokonanie rozróżnienia między, z jednej strony, wstępnym pytaniem dotyczącym ustalenia, czy oświadczenie powoda o jego orientacji seksualnej stanowi działanie, poprzez które w sposób oczywisty upublicznia on tę orientację, w rozumieniu art. 9 ust. 2 lit. e) RODO, a z drugiej strony, w razie odpowiedzi twierdzącej na wspomniane pytanie, kwestią ustalenia, czy okoliczność upublicznienia w sposób oczywisty jego orientacji seksualnej upoważnia do przetwarzania danych dotyczących tej orientacji seksualnej dla celów reklamy spersonalizowanej w rozumieniu w szczególności art. 5 i 6 wspomnianego rozporządzenia.
40. Po pierwsze, jeśli chodzi o zakwalifikowanie oświadczenia skarżącego w rozumieniu art. 9 ust. 2 lit. a) RODO, wobec braku jakichkolwiek użytecznych wskazówek wynikających z genezy tego przepisu i jego stosowania w orzecznictwie(37), należy podnieść, że wyjątek określony w art. 9 ust. 2 lit. e) wspomnianego rozporządzenia wymaga w istocie kumulatywnego spełnienia dwóch przesłanek, a mianowicie, z jednej strony, warunku, który można by określić jako „obiektywny”, aby przedmiotowe dane osobowe były „w sposób oczywisty upublicznione” oraz, z drugiej strony, warunku, który można określić jako „subiektywny”, a mianowicie, aby to „osoba, której dane dotyczą”, upubliczniła dane w sposób oczywisty.
41. W postępowaniu głównym, i z zastrzeżeniem ustaleń, których powinien dokonać sąd odsyłający, wydaje mi się, że wspomniane dwa warunki zostały spełnione. Uważam bowiem, że mimo iż ujawnione przypadkowo w kontekście szerszej i krytycznej wobec przetwarzania danych wrażliwych przez Meta Platforms Ireland wypowiedzi, oświadczenie złożone przez powoda stanowi akt, poprzez który, z pełną świadomością, w sposób oczywisty upublicznił on swoją orientację seksualną.
42. Jeśli chodzi o pierwszy warunek, wydaje mi się wysoce prawdopodobne, że, ze względu na otwarty charakter dyskusji panelowej, która była transmitowana na żywo, a następnie retransmitowana przez streaming(38) oraz zainteresowanie opinii publicznej omawianą w jej trakcie tematyką, oświadczenie powoda mogło dotrzeć do znacznie szerszej publiczności, o nieokreślonej w porównaniu z publicznością obecną w Sali tożsamości(39).
43. Jeśli chodzi o drugi warunek, moim zdaniem, możliwe jest przyjęcie założenia, że otwarcie wspominając o swojej orientacji seksualnej w okolicznościach niniejszej sprawy (zwłaszcza, że było to wydarzenie otwarte i dostępne dla prasy), powód miał, jeśli nie zamiar, to przynajmniej pełną świadomość upublicznienia tej orientacji „w sposób oczywisty” w rozumieniu orzecznictwa przytoczonego w pkt 35 niniejszej opinii(40).
44. Ponadto, celem ochrony przyznanej na mocy art. 9 ust. 1 RODO jest, moim zdaniem, uniknięcie narażenia osoby, której dane dotyczą, na niekorzystne konsekwencje (takie jak publiczne potępienie lub akty dyskryminacji) wynikające w szczególności z negatywnego postrzegania, ze społecznego lub gospodarczego punktu widzenia, sytuacji wymienionych w tym artykule(41). Wspomniany przepis ustanawia zatem szczególną ochronę takich danych osobowych za pomocą zakazu niemającego co do zasady absolutnego charakteru, którego zastosowanie w danym przypadku podlega ocenie osoby, której dane dotyczą, która jest w stanie najlepiej ocenić niekorzystne konsekwencje, jakie mogłyby wyniknąć z ujawnienia przedmiotowych danych i która może, w stosownych przypadkach, zrzec się tej ochrony lub nie skorzystać z niej, z pełną świadomością faktów, poprzez upublicznienie w sposób oczywisty, w rozumieniu art. 9 ust. 2 lit. e) tego rozporządzenia, swojej sytuacji, a w szczególności swojej orientacji seksualnej.
45. Jeśli chodzi, w drugiej kolejności, o ocenę konsekwencji wynikających z faktu upublicznienia w sposób oczywisty swojej orientacji seksualnej w kontekście przetwarzania tych danych wrażliwych przez Meta Platforms Ireland w rozumieniu art. 5 i 6 RODO, uważam, że okoliczność polegająca na tym, iż doszło do upublicznienia w sposób oczywisty danych w rozumieniu art. 9 ust. 2 lit. e) wspomnianego rozporządzenia nie pozwala, sama w sobie, na dokonywanie przetwarzania tych danych w rozumieniu wspomnianego rozporządzenia.
46. Zastosowanie bowiem tego ostatniego przepisu skutkuje po prostu zniesieniem „szczególnej ochrony” przyznanej niektórym szczególnie wrażliwym danym osobowym. Po świadomym usunięciu tej ochrony przez samą osobę, której dane dotyczą (która je upubliczniła w sposób oczywisty), te pierwotnie „chronione” dane osobowe stają się „zwykłymi” (to znaczy niewrażliwymi) danymi, które, podobnie jak inne dane osobowe, będą mogły być przetwarzane zgodnie z prawem wyłącznie na warunkach określonych w szczególności w art. 6 i 7 RODO oraz z poszanowaniem zasad odnoszących się do przetwarzania tych samych danych, ustanowionych w szczególności w art. 5 wspomnianego rozporządzenia(42), w tym z zasadą ograniczenia celów ustanowioną w art. 5 ust. 1 lit. b) tego rozporządzenia, ustanawiającego wymóg, aby dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, których wykazanie, zgodnie z ust. 2 przedmiotowego przepisu, jest obowiązkiem administratora danych(43).
47. A zatem okoliczność, że powód wypowiedział się w przedmiocie swojej orientacji seksualnej w ramach dyskusji panelowej, mimo, iż jej zaistnienie może prowadzić do wniosku, iż w okolicznościach niniejszej sprawy, wspomniana osoba „w sposób oczywisty” upubliczniła te dane w rozumieniu art. 9 ust. 2 lit. e) RODO, nie może sama w sobie uzasadniać przetwarzania danych osobowych, które ujawniają orientację seksualną tejże osoby(44).
48. W świetle powyższych rozważań, proponuję, aby na czwarte pytanie prejudycjalne Trybunał udzielił odpowiedzi, że art. 6 ust. 1 lit. b) w związku z art., 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, że okoliczność, iż dana osoba wypowiedziała się w przedmiocie własnej orientacji seksualnej dla celów dyskusji panelowej otwartej dla publiczności, mimo, że może stanowić akt, poprzez który osoba, której dane dotyczą, „w oczywisty sposób upubliczniła” wspomniane dane w rozumieniu art. 9 ust. 2 lit. e) rzeczonego rozporządzenia, nie zezwala, sama w sobie, na przetwarzanie wspomnianych danych lub innych danych dotyczących jej orientacji seksualnej w celu agregacji i analizy danych na potrzeby reklamy spersonalizowanej.
Wniosek
49. W świetle powyższych rozważań, proponuję, aby na drugie i czwarte pytanie prejudycjalne przedstawione przez Oberster Gerichtshof (sąd najwyższy, Austria) Trybunał odpowiedział w następujący sposób:
1) Artykuł 5 ust. 1 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
należy interpretować w ten sposób, że:
– stoi na przeszkodzie temu, aby dane osobowe mogły być przetwarzane w celu reklamy ukierunkowanej bez ograniczenia w czasie lub w związku z charakterem danych i
– do sądu odsyłającego należy ocena, z uwzględnieniem okoliczności sprawy i przy zastosowaniu zasady proporcjonalności, w jakim zakresie okres przechowywania danych i ilość przetwarzanych danych są uzasadnione zgodnym z prawem celem przetwarzania wspomnianych danych dla celów reklamy spersonalizowanej.
2) Artykuł 5 ust. 1 lit. b) w związku z art. 9 ust. 2 lit. e) rozporządzenia 2016/679
należy interpretować w ten sposób, że:
– okoliczność, iż dana osoba wypowiedziała się na temat własnej orientacji seksualnej dla celów dyskusji panelowej otwartej dla publiczności, mimo iż może stanowić akt poprzez który dane te zostały „w sposób oczywisty” upublicznione w rozumieniu art. 9 ust. 2 lit. e) wspomnianego rozporządzenia, nie zezwala, sama w sobie, na przetwarzanie wspomnianych danych lub innych danych dotyczących jej orientacji seksualnej w celu agregacji i analizy danych na potrzeby reklamy spersonalizowanej.
1 Język oryginału: francuski.
2 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1, oraz sprostowanie Dz.U. 2018, L 127, s. 2, zwane dalej „RODO”).
3 Wspomniana sieć społecznościowa pozwala na pobieranie i dzielenie się treściami w sposób spersonalizowany w zależności od wybranych wcześniej przez użytkownika ustawień, jak również na bezpośrednie komunikowanie się z innymi użytkownikami oraz wymianę z nimi danych.
4 W szczególności, wspomniana reklama ma na celu prezentowanie użytkownikom mogących ich zainteresować produktów i usług, w szczególności w oparciu o ich osobiste postawy konsumenckie, zainteresowania, siłę nabywczą i sytuację osobistą (lokalizacja, wiek, płeć, itp.). Jednocześnie „Facebook business tools” („narzędzia marketingowe Facebooka”) umożliwiają reklamodawcom tworzenie ukierunkowanych reklam i sprawdzanie ich skuteczności za pomocą systemów analitycznych opartych na algorytmach, które szukają korelacji i modeli, aby wyprowadzić z nich odpowiednie wnioski.
5 W tym celu pozwana wykorzystuje technologie takie jak „pliki cookie”, które umożliwiają korzystanie z „social plug-ins” („wtyczek społecznościowych”) (takich jak przycisk „Lubię to”) lub „pikseli”, które są narzędziami komputerowymi instalowanymi na stronie Facebooka, na stronach internetowych i aplikacjach stron trzecich. Narzędzia te umożliwiają w istocie zbieranie określonych danych od użytkownika odwiedzającego takie strony internetowe lub korzystającego z zawierających je aplikacji i agregowanie ich, tworząc w ten sposób profil użytkownika, na podstawie którego można oferować spersonalizowane reklamy.
6 Meta Platforms Ireland wyjaśniła w swoich uwagach złożonych ustnie i na piśmie, że w okresie przed wejściem w życie RODO, z jednej strony, przetwarzanie dla celów spersonalizowanej reklamy danych osobowych zebranych na jej platformie nie opierało się na wyrażonej przez użytkownika zgodzie, ale na uzasadnieniu, że przetwarzanie wspomnianych danych było niezbędne dla wykonania umowy oraz, z drugiej strony, że przetwarzanie danych osobowych zebranych w witrynach lub aplikacjach spoza jej sieci opierało się na zgodzie wyrażonej przez użytkownika w ten sposób, że mógł on wyłączyć te ostatnie dane z przetwarzania nie rezygnując jednak z usług Facebooka. W niniejszej sprawie, jak twierdzi pozwana spółka, nie przetwarzała ona danych osobowych powoda zebranych poza jej platformą z tego względu, że w chwili rejestracji w portalu społecznościowym Facebook w 2008 r. powód nie wyraził zgody w tym zakresie. Od momentu zaś wejścia w życie RODO Facebook pozyskiwał zgodę na przetwarzanie dla celów spersonalizowanej reklamy danych osobowych zgromadzonych w jego sieci lub na zewnętrznych stronach lub w aplikacjach, a w przypadku braku udzielenia takiej zgody dawał użytkownikowi możliwość nieudzielenia zezwolenia na przetwarzanie wszystkich jego danych dla celów spersonalizowanej reklamy w zamian za uiszczenie opłaty. Wydaje się, że zgodność tych nowych warunków korzystania z RODO jest obecnie przedmiotem kontroli organów ochrony danych niektórych państw członkowskich.
7 Jak wynika z postanowienia odsyłającego, Meta Platforms Ireland nie zapewnia dostępu do wszystkich przetwarzanych przez siebie danych, a jedynie do tych, które uważa za interesujące i istotne dla użytkowników. Ponadto Meta Platforms Ireland umożliwia usunięcie niektórych treści (takich jak wiadomości, zdjęcia lub publikacje) z konta na Facebooku.
8 Ponadto, tylko jego „znajomi”, których lista nie została upubliczniona, mogli zobaczyć wypowiedzi umieszczane w jego dzienniku lub jego przyszłe wypowiedzi.
9 Powód miał zlecił analizę, po przeprowadzeniu której można było wyciągnąć wnioski w oparciu o jego listę znajomych; wynikało z niej, że pełnił służbę zastępczą w Czerwonym Krzyżu w Salzburgu (Austria) i że jest homoseksualistą. Lista stron, które go interesowały poza Facebookiem, obejmowała aplikacje randkowe i strony internetowe dla osób homoseksualnych, a także stronę internetową jednej z austriackich partii politycznej. Do przechowywanych danych powoda miały należeć w szczególności nieistniejący adres mailowy i inny adres, który nie był wskazany na jego profilu na Facebooku, ale którego używał do wysyłania zapytań do pozwanej.
10 Powód w istocie w pierwszej instancji wnosił, po pierwsze, o zobowiązanie pozwanej do zawarcia pisemnej umowy dotyczącej wykorzystania jego danych osobowych w sieci Facebook i, tytułem żądania ewentualnego, o stwierdzenie, że pozwana nie zawarła takiej umowy i że nie wyraził on zgody na warunki korzystania; po drugie, o zobowiązanie pozwanej do zaniechania przetwarzania jego danych osobowych dla celów spersonalizowanej reklamy lub agregacji i analizy danych dla celów reklamowych; po trzecie, o stwierdzenie, że nie udzielił on ważnej zgody na przetwarzanie, dla celów wynikających z wcześniej obowiązującej wersji dyrektyw o przetwarzaniu danych, jego danych osobowych, które pozwana otrzymała od osób trzecich; i, po czwarte, o zobowiązanie pozwanej do zaniechania wykorzystywania lub przetwarzania jego danych dotyczących odwiedzin względnie korzystania ze stron osób trzecich w przypadku braku udzielenia ważnej zgody na przetwarzanie. Powód w istocie argumentował, że akceptacja warunków korzystania i związanych z nimi wytycznych dotyczących wykorzystywania danych nie stanowi udzielonej administratorowi danych zgody na przetwarzanie danych osobowych. Wskazał on również na fakt, że Meta Platforms Ireland przetwarza dane wrażliwe na jego temat, takie jak dane dotyczące jego przekonań politycznych i orientacji seksualnej, mimo że dane te nie są wymienione na jego profilu na Facebooku.
11 Jak wynika z uwag przedstawionych przez strony na piśmie i ustnie, wspomniana dyskusja panelowa była dostępna dla publiczności, która mogła uzyskać bezpłatny bilet, w zależności od dostępności miejsc, na platformie Eventbrite (ostatecznie zarejestrowało się 189 osób) i była transmitowana na żywo. Ponadto, nagranie z dyskusji panelowej zostało następnie opublikowane w formie podcastu i na kanale YouTube Komisji.
12 Jak wynika z postanowienia odsyłającego oraz przedstawionych przez powoda uwag na piśmie, złożył on następujące oświadczenie: „Podam Państwu teraz bardzo banalny przykład: to, jakiej jestem orientacji seksualnej, można wywnioskować na podstawie listy moich znajomych. Nigdy nie wspomniałem na Facebooku, że jestem gejem. O czternastego roku życia jest to dla mnie sprawa, z którą „wyszedłem z szafy” i która nie jest dla mnie źródłem stresu ani czegokolwiek w tym rodzaju. Ale nie jest to sprawa, o której wszędzie i przez cały czas publicznie opowiadam, ponieważ mówię sobie: mów raczej o ochronie danych, bo przeciwnym razie wrócisz do punktu wyjścia. To zaś odwraca uwagę od kwestii ochrony danych”.
13 Te dwa sądy krajowe uznały w istocie, że przetwarzanie danych osobowych przez Meta Platforms Ireland było niezbędne do wykonania umowy w rozumieniu art. 6 ust. 1 lit. b) RODO.
14 Należy zauważyć, że w postępowaniu głównym sąd krajowy zwrócił się już do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym w przedmiocie wyroku z dnia 25 stycznia 2018 r. Schrems (C‑498/16, EU:C:2018:37).
15 Wyrok w sprawie C‑252/21, zwany dalej „wyrokiem w sprawie Meta Platforms i in.” (Ogólne warunki korzystania z sieci społecznościowej) EU:C:2023:537. Niniejsze postępowanie prejudycjalne zostało zawieszone do czasu wydania tego wyroku. Na zadane przez Trybunał Sprawiedliwości pytanie sąd krajowy odparł, że w wyroku tym udzielił od odpowiedzi w przedmiocie przedstawionych przez ten sąd pytań prejudycjalnych pierwszego i trzeciego oraz że sąd ten podtrzymuje swój wniosek w odniesieniu do pytań prejudycjalnych drugiego i czwartego.
16 Zobacz wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) (C‑439/19, EU:C:2021:504, pkt 96 i przytoczone tam orzecznictwo).
17 Zobacz podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) (C‑439/19, EU:C:2021:504, pkt 98 i przytoczone tam orzecznictwo).
18 Ma to miejsce w szczególności wówczas, gdy należy uznać je za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, w jakich są one przetwarzane, czy też ze względu na upływ czasu [zobacz wyrok z dnia 24 września 2019 r., GC i in. (Usunięcie linków do danych wrażliwych) (C‑136/17, EU:C:2019:773, pkt 74 i przytoczone tam orzecznictwo)].
19 Zobacz orzecznictwo przytoczone w przypisie dolnym na stronie 17 niniejszej opinii.
20 Z tym zastrzeżeniem, że, zgodnie z art. 8 RODO, dzieci, które nie ukończyły 16 lat, nie mogą same wyrazić zgody w świetle art. 6 ust. 1 lit. a) wspomnianego rozporządzenia w przypadku usług społeczeństwa informacyjnego.
21 W tym zakresie należy przypomnieć, że w kontekście pojęcia „zgoda” w rozumieniu art. 6 ust. 1 akapit pierwszy lit. a) oraz art. 9 ust. 2 lit. a) RODO Trybunał Sprawiedliwości w szczególności podniósł, że użytkownik nie może racjonalnie spodziewać się tego, że operator sieci społecznościowej będzie przetwarzał dane inne niż te dotyczące jego zachowania w ramach tej sieci (w tym przypadku Facebook) i orzekł, że stosowne jest udzielenie odrębnej zgody na przetwarzanie, z jednej strony, tych właśnie danych oraz, z drugiej strony, innych danych niż powyższe [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej) (C‑252/21, EU:C:2023:537, pkt 151)]. Podobnie w mojej opinii w tej samej sprawie wyraziłem wątpliwości co do tego, czy gromadzenie i wykorzystywanie danych osobowych poza Facebookiem mogło być konieczne do świadczenia usług oferowanych w ramach tej sieci społecznościowej, tak aby zgoda udzielona początkowo w celu uzyskania dostępu do tej sieci społecznościowej (czyli stworzenia profilu na Facebooku) mogła w sposób ważny obejmować przetwarzanie danych osobowych użytkownika poza Facebookiem [opinia w sprawie Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej) (C‑252/21, EU:C:2022:704, pkt 56, przypis nr 81)].
22 Na przykład w odniesieniu do uzasadnionych interesów administratora danych jako podstawy prawnej przetwarzania danych, motyw 47 RODO stanowi, iż aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu.
23 Zobacz przypis 11 niniejszej opinii.
24 Trybunał Sprawiedliwości w istocie orzekł, że niezależnie od tego, czy przewidziane przez taki przepis przetwarzanie danych osobowych jest wymienione w umowie, elementem decydującym o zastosowaniu uzasadnienia, o którym mowa we wspomnianym przepisie, jest to, że to przetwarzanie danych przez administratora ma istotne znaczenie dla prawidłowego wykonania umowy zawartej między administratorem danych a osobą, której dane dotyczą, i co za tym idzie, że nie istnieją inne dające się zastosować, mniej inwazyjne, rozwiązania [zobacz podobnie wyrok Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), pkt 99)].
25 Zobacz przypis 11 niniejszej opinii. Jak wynika z ustaleń poczynionych na rozprawie, wydaje się, że w postępowaniu głównym Meta Platforms Ireland powołuje się na dyskusję panelową w celu obalenia argumentu powoda dotyczącego krzywdy, której w swym odczuciu doznał wskutek cierpienia psychicznego doświadczonego w wyniku spersonalizowanej reklamy, aby wykazać, że nie miał on żadnych trudności co do publicznego zadeklarowania swojej homoseksualności. Sąd odsyłający zdaje się zatem skierować pytanie dotyczące interpretacji art. 9 ust. 2 RODO nie w celu wyjaśnienia wyjątku określonego we wspomnianym przepisie, ale w kontekście zgoła innym, a mianowicie zbadania szkody, której zaistnienie podnosi powód, w świetle argumentów przywołanych przez Meta Platforms Ireland w celu uniknięcia odpowiedzialności.
26 Zgodnie bowiem z art. 5 ust. 2 RODO, to na administratorze spoczywa ciężar wykazania, że dane osobowe są przetwarzane zgodnie ze wspomnianym rozporządzeniem.
27 Zobacz na zasadzie analogii wyrok z dnia 4 maja 2023 r., Glavna direktsia „Pozharna bezopasnost i zashtita na naselenieto” (Praca w porze nocnej) (od C‑529/21 do C‑536/21 i od C‑732/21 do C‑738/21, EU:C:2023:374, pkt 57).
28 Zobacz podobnie wyrok z dnia 13 lipca 2023 r., Ferrovienord (C‑363/21 i C‑364/21, EU:C:2023:563, pkt 52–55 i przytoczone tam orzecznictwo).
29 Jak uściślone to zostało w motywie 51 tego rozporządzenia, dane osobowe, które z racji swego charakteru są szczególnie wrażliwe w świetle podstawowych praw i wolności, wymagają szczególnej ochrony, gdyż kontekst ich przetwarzania może powodować poważne ryzyko dla podstawowych praw i wolności.
30 C‑252/21, EU:C:2022:704, pkt 42.
31 Zobacz również podobnie wyrok z dnia 4 lipca 2023 r., Meta Platforms i in.. (Ogólne warunki korzystania z sieci społecznościowej) (C‑252/21, EU:C:2023:537, pkt 76 i przytoczone tam orzecznictwo).
32 W tym zakresie należy podnieść, że w pojęciu „w sposób oczywisty upublicznionych” użycie imiesłowu „upublicznionych” oznacza aktywne i świadome zachowanie danej osoby. Zdaniem Europejskiej Rady Ochrony Danych (EROD), „[s]formułowanie »w sposób oczywisty« oznacza, że musi istnieć wysoki próg, aby można było powołać się na to wyłączenie. EROD zauważa, że wystąpienie jednego elementu nie zawsze wystarczy do ustalenia, że dane zostały »w sposób oczywisty« upublicznione przez osobę, której dane dotyczą. W praktyce niezbędne może być rozważenie połączenia poniższych lub innych elementów, aby administratorzy mogli wykazać, że osoba, której dane dotyczą, wyraźnie okazała zamiar upublicznienia danych, a także przeprowadzenie indywidualnej oceny (wytyczne EROD 8/2020, pkt 127). EROD wskazuje przykładowo takie elementy jak domyślne ustawienia platformy mediów społecznościowych, charakter platformy mediów społecznościowych, dostępność strony, na której dane wrażliwe są publikowane, widoczność komunikatu informującego osobę, której dane dotyczą, o publicznym charakterze publikowanych przez nią informacji, okoliczność, że osoba, której dane dotyczą, sama opublikowała dane wrażliwe czy też, przeciwnie, że dane te zostały opublikowane przez osobę trzecią lub przez nią wywnioskowane. Zobacz również Georgieva, L. i Kuner, C., „Article 9. Processing of special categories of personal data », The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 378, w świetle którego: „[i]n this context, »making public« should be construed to include publishing the data in the mass media, putting them on online social network platforms or similar actions. However, the data must have been »manifestly« made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result” („w tym konteście »upublicznienie« należy interpretować jako obejmujące publikację danych w mediach publicznych, ich zamieszczenie w internetowych platformach sieci społecznościowych czy też inne podobne działania. Niemniej jednak te dane winny zostać upublicznione »w sposób oczywisty«, co wymaga potwierdzającego działania ze strony osoby, której te dane dotyczą, a także zrozumienia przez nią, że taki będzie efekt tego działania”).
33 Zobacz przypis 11 niniejszej opinii.
34 Zobacz przypis na stronie 13 niniejszej opinii.
35 Punkty 84 i 85 tego wyroku.
36 Zobacz również moją opinię w sprawie Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej) (C‑252/21, EU:C:2022:704, pkt 46).
37 Należy przypomnieć, że przedmiotowy przepis został przejęty z art. 8 ust. 2 lit. e), dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31) oraz że ponadto nie podano żadnego wyjaśnienia, w czasie kiedy przepis ten został wprowadzony w ramach wspólnego stanowiska (WE) nr 1/95 wydanego przez Radę w dniu 20 lutego 1995 r. w celu przyjęcia dyrektywy 95/.../CE Parlamentu Europejskiego i Rady, z dnia …, w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, C 93, s. 1).
38 Zobacz przypis dolny na stronie 11 niniejszej opinii.
39 Przykładowo, jak sam powód przyznaje w swoich uwagach na piśmie, jego oświadczenie mogło zostać przekazane, w pełni uprawniony sposób, w artykule prasowym dotyczącym przedmiotowego wydarzenia.
40 W tym zakresie należy zauważyć, że powód był protagonistą długiego i poważnego sporu z Meta Platforms Ireland (dawniej Facebook) dotyczącego stosowania RODO, a zatem uzasadnione jest założenie, że był on w pełni świadomy konsekwencji swoich oświadczeń w świetle tego rozporządzenia. Powiedziawszy to, pragnę zwrócić uwagę na różnicę między, z jednej strony, wolą wyrażenia zgody na przetwarzanie danych „wrażliwych”, która stanowi zgodę na przetwarzanie takich danych w rozumieniu art. 9 ust. 2 lit. a) RODO, a, z drugiej strony, zamiarem lub pełną świadomością upublicznienia takich danych w sposób oczywisty, co pociąga za sobą niestosowanie zakazu przetwarzania tych danych w rozumieniu art. 9 ust. 1 tego rozporządzenia, ale nie wystarcza samo w sobie do wyrażenia zgody na przetwarzanie tych danych, jak zostanie to wyjaśnione w pkt 45–47 niniejszej opinii.
41 Na przykład dana osoba może być dyskryminowana ze względu na swoje poglądy polityczne lub orientację seksualną lub może być narażona na niekorzystne skutki finansowe ze względu na swoją sytuację w zakresie zdrowia (w szczególności w odniesieniu do ubezpieczenia zdrowotnego lub innych podobnych sytuacji).
42 Jak bowiem przypomniano w motywie 51 RODO, oprócz szczególnych wymagań, które mają zastosowanie do danych szczególnie wrażliwych, zasady ogólne i inne przepisy tego rozporządzenia powinny mieć zastosowanie, w szczególności jeżeli chodzi o warunki zgodności przetwarzania z prawem. Ponadto, w rozumieniu art. 22 ust. 4 wspomnianego rozporządzenia, decyzje, które opierają się wyłącznie na zautomatyzowanym przetwarzaniu nie mogą opierać się na szczególnych kategoriach danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia, chyba że zastosowanie ma art. 9 ust. 2 lit. a) lub g) tego rozporządzenia i istnieją właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą.
43 Trybunał ostatnio wypowiedział się podobnie w związku z wykładnią art. 9 ust. 2 lit. h) RODO w związku z art. 5 ust. 1 lit. a) i art. 6 ust. 1) wspomnianego rozporządzenia, podnosząc, że przetwarzanie danych dotyczących zdrowia, które opiera się na tym pierwszym przepisie, musi spełniać, aby było zgodne z prawem, zarówno wymogi wynikające z tego przepisu, jak i zapewnić wykonanie obowiązków wynikających z tych dwóch ostatnich przepisów, a w szczególności spełniać co najmniej jeden z warunków zgodności z prawem określonych w tym art. 6 ust. 1 rozporządzenia (wyrok z dnia 21 grudnia 2023 r., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, pkt 78).
44 Tym bardziej, że w niniejszej sprawie sąd odsyłający rozważa, czy oświadczenie złożone w ramach wspomnianej dyskusji panelowej upoważnia do przetwarzania innych danych osobowych, w szczególności tych zebranych z aplikacji osób trzecich.