Predbežné znenie
NÁVRHY GENERÁLNEHO ADVOKÁTA
ATHANASIOS RANTOS
prednesené 25. apríla 2024 (1)
Vec C‑446/21
Maximilian Schrems
proti
Meta Platforms Ireland Limited, predtým Facebook Ireland Limited
[návrh na začatie prejudiciálneho konania, ktorý položil Oberster Gerichtshof (Najvyšší súd, Rakúsko)]
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Sociálne siete – Článok 5 ods. 1 písm. b) – Zásada ,obmedzenia účelu‘ – Článok 5 ods. 1 písm. e) – Zásada ,minimalizácie údajov‘ – Článok 9 ods. 1 a článok 9 ods. 2 písm. e) – Spracúvanie osobitných kategórií osobných údajov – Osobné údaje, ktoré dotknutá osoba preukázateľne zverejnila – Personalizovaná reklama – Údaje o sexuálnej orientácii“
Úvod
1. Prejednávaný návrh na začatie prejudiciálneho konania podal Oberster Gerichtshof (Najvyšší súd, Rakúsko) v rámci sporu medzi pánom Maximilianom Schremsom (ďalej len „žalobca“), používateľom sociálnej siete Facebook, a spoločnosťou Meta Platforms Ireland Limited, predtým Facebook Ireland Limited (ďalej len „Meta Platforms Ireland“ alebo „žalovaná“), ktorý sa týka údajne protiprávneho spracúvania jeho osobných údajov touto spoločnosťou.
2. Prejudiciálne otázky položené v prejednávanej veci sa na jednej strane týkajú uplatnenia zásady „minimalizácie údajov“ stanovenej v článku 5 ods. 1 písm. c) nariadenia (EÚ) 2016/679(2) a na druhej strane výkladu pojmu „osobné údaje, ktoré dotknutá osoba preukázateľne zverejnila“, uvedeného v článku 9 ods. 2 písm. e) tohto nariadenia, v spojení s článkom 5 ods. 1 písm. b) tohto nariadenia, ktorý zavádza zásadu „obmedzenia účelu“. Vnútroštátny súd sa v podstate na jednej strane pýta, či zásada minimalizácie údajov umožňuje spracúvať osobné údaje bez akéhokoľvek obmedzenia z hľadiska času alebo v závislosti od povahy údajov, a na druhej strane, či vyjadrenia osoby týkajúce sa jej vlastnej sexuálnej orientácie počas pódiovej diskusie znamenajú súhlas so spracúvaním ďalších údajov o sexuálnej orientácii tejto osoby na účely personalizovanej reklamy.
Právny rámec
3. Článok 4 GDPR, nazvaný „Vymedzenie pojmov“, v bode 11 stanovuje:
„Na účely tohto nariadenia:
…
11. ,súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;“
4. Článok 5 tohto nariadenia s názvom „Zásady spracúvania osobných údajov“ v odsekoch 1 a 2 stanovuje:
„1. Osobné údaje musia byť:
a) spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (,zákonnosť, spravodlivosť a transparentnosť‘);
b) získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi;…
c) primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (,minimalizácia údajov‘);
…
2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (,zodpovednosť‘).“
5. Článok 6 tohto nariadenia, nazvaný „Zákonnosť spracúvania“, v odsekoch 1 a 3 stanovuje:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
b) spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;
…
f) spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa.
Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.
…
3. Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:
a) v práve Únie alebo
b) v práve členského štátu vzťahujúcom sa na prevádzkovateľa.
…
… Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.“
6. Článok 7 tohto nariadenia s názvom „Podmienky vyjadrenia súhlasu“ znie:
„1. Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.
…
3. Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním. Pred poskytnutím súhlasu musí byť dotknutá osoba o tejto skutočnosti informovaná. Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.
4. Pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný.“
7. Článok 9 GDPR, nazvaný „Spracúvanie osobitných kategórií osobných údajov“, v odsekoch 1 a 2 stanovuje:
„1. Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
2. Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:
a) dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;
b) spracúvanie je nevyhnutné na účely plnenia povinností a výkonu osobitných práv prevádzkovateľa alebo dotknutej osoby v oblasti pracovného práva a práva sociálneho zabezpečenia a sociálnej ochrany, pokiaľ je to povolené právom Únie alebo právom členského štátu alebo kolektívnou zmluvou podľa práva členského štátu poskytujúcimi primerané záruky ochrany základných práv a záujmov dotknutej osoby;
…
e) spracúvanie sa týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila;
…“
8. Článok 13 tohto nariadenia, ktorý sa týka „informáci[í], ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“, v odseku 1 stanovuje:
„V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:
…
c) účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;
d) ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;
…“
Spor vo veci samej, prejudiciálne otázky a konanie na Súdnom dvore
9. Meta Platforms Ireland, spoločnosť založená podľa írskeho práva, spravuje uzavretú komunikačnú sieť Facebook, ktorá je v podstate sociálnou sieťou na zdieľanie obsahu online.(3) Jej obchodný model je v podstate zameraný na poskytovanie bezplatných služieb sociálnych sietí súkromným používateľom a na predaj online reklamy vrátane reklamy zameranej na jej používateľov.(4) Táto reklama je založená hlavne na automatizovanom vytváraní pomerne podrobných profilov používateľov tejto sociálnej siete.(5)
10. V roku 2018, po nadobudnutí účinnosti GDPR, spoločnosť Meta Platforms Ireland predstavila svojim používateľom v Európskej únii nové podmienky používania Facebooku na získanie ich súhlasu, ktorý je potrebný aj na registráciu alebo prístup k účtom a službám poskytovaným sieťou Facebook.(6) Tieto nové podmienky používania tiež umožňujú používateľom získať prehľad uložených údajov a kontrolu nad nimi.(7)
11. Žalobca je používateľom Facebooku, ktorý súhlasil s novými podmienkami poskytovania služieb predloženými sieťou Facebook. Ako vyplýva z návrhu na začatie prejudiciálneho konania, verejne vyhlásil, že je homosexuál, ale nikdy nespomenul svoju sexuálnu orientáciu a nezverejnil nijaké citlivé údaje na svojom profile na Facebooku.(8) Žalobca zároveň nepovolil žalovanej používať kolónky vo svojom profile, ktoré sa týkajú jeho vzťahu, zamestnávateľa, zamestnania alebo vzdelania, na účely cielenej reklamy.
12. Žalobcovi však údajne bola zobrazená reklama na političku, pričom táto reklama mu bola adresovaná na základe analýzy, podľa ktorej sa podobá iným „zákazníkom“, ktorí túto političku označili symbolom „páči sa mi to“; pravidelne sa mu zobrazovali reklamy určené homosexuálnym osobám a pozvánky na príslušné podujatia, hoci sa o tieto udalosti nikdy predtým nezaujímal a dokonca ani nepoznal miesta, kde sa odohrávajú. Tieto reklamy alebo pozvánky nie sú priamo založené na sexuálnej orientácii žalobcu a jeho „priateľov“ na sociálnej sieti, ale na analýze ich záujmov.(9) Okrem toho Meta Platforms Ireland zapisuje všetky údaje týkajúce sa žalobcu vrátane údajov získaných prostredníctvom tretích strán alebo pluginov a uchováva ich na dobu neurčitú.
13. Za týchto podmienok žalobca podal na Landesgericht für Zivilsachen Wien (Krajinský súd pre občianskoprávne veci Viedeň, Rakúsko) žalobu o výkone, určovaciu žalobu a žalobu o zdržanie sa konania, ktorej predmetom bolo údajne protiprávne spracúvanie jeho osobných údajov spoločnosťou Meta Platforms Ireland.(10)
14. Následne pri príležitosti pódiovej diskusie, ktorú zorganizovalo zastúpenie Európskej komisie vo Viedni (Rakúsko)(11) 12. februára 2019, žalobca spomenul svoju sexuálnu orientáciu v prejave, ktorého cieľom bolo poukázať na údajne protiprávne spracúvanie údajov týkajúcich sa jeho sexuálnej orientácie spoločnosťou Meta Platforms Ireland.(12)
15. Keďže jeho žaloba bola v prvostupňovom konaní zamietnutá rozsudkom z 30. júna 2020 a v odvolacom konaní rozsudkom Oberlandesgericht Wien (Vyšší krajinský súd Viedeň, Rakúsko) zo 7. decembra 2020,(13) žalobca podal opravný prostriedok „Revision“ na Oberster Gerichtshof (Najvyšší súd), ktorý podal návrh na začatie prejudiciálneho konania.
16. Za týchto podmienok sa Oberster Gerichtshof (Najvyšší súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru štyri prejudiciálne otázky.(14) Keďže prvá a tretia otázka boli vzaté späť v nadväznosti na rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete),(15)predmetom prejednávanej veci sú druhá a štvrtá otázka, ktoré znejú takto:
„2. Má sa článok 5 ods. 1 písm. c) GDPR (minimalizácia údajov) vykladať v tom zmysle, že všetky osobné údaje, ktoré získala platforma, o akú ide v konaní vo veci samej (najmä prostredníctvom dotknutej osoby alebo tretích osôb v rámci platformy alebo mimo nej), sa môžu bez obmedzenia týkajúceho sa času alebo druhu údajov agregovať, analyzovať a spracúvať na účely cielenej reklamy?
4. Má sa článok 5 ods. 1 písm. b) v spojení s článkom 9 ods. 2 písm. e) GDPR vykladať v tom zmysle, že vyjadrenie o vlastnej sexuálnej orientácii na účely pódiovej diskusie dovoľuje spracúvanie iných údajov o sexuálnej orientácii pre potreby agregácie a analýzy údajov na účely personalizovanej reklamy?“
17. Písomné pripomienky predložil žalobca, Meta Platforms Ireland, rakúska, francúzska, talianska a portugalská vláda, ako aj Komisia. Žalobca, Meta Platforms Ireland, rakúska vláda a Komisia predniesli ústne pripomienky na pojednávaní, ktoré sa konalo 8. februára 2024.
Analýza
O druhej prejudiciálnej otázke
18. Druhou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 5 ods. 1 písm. c) GDPR, ktorý zakotvuje zásadu minimalizácie údajov, vykladať v tom zmysle, že všetky osobné údaje, ktoré má k dispozícii taká sieť, akou je Facebook, najmä prostredníctvom dotknutej osoby alebo tretích osôb na tejto platforme a mimo nej, môžu byť agregované, analyzované a spracúvané na účely cielenej reklamy bez časového obmedzenia alebo obmedzenia v závislosti od povahy údajov.
19. Na úvod treba pripomenúť, že každé spracúvanie osobných údajov musí byť jednak v súlade so zásadami týkajúcimi sa spracúvania údajov uvedenými v článku 5 GDPR a jednak musí zodpovedať jednej z podmienok týkajúcich sa legitímnosti spracúvania údajov vymenovaných v článku 6 tohto nariadenia.(16)
20. Pokiaľ ide konkrétnejšie o zásady týkajúce sa spracúvania osobných údajov, Súdny dvor okrem iného uviedol, že zásada minimalizácie údajov uvedená v článku 5 ods. 1 písm. c) GDPR stanovuje, že osobné údaje musia byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú, čo v podstate vyjadruje zásadu proporcionality.(17) Cieľom zásady minimalizácie údajov je teda minimalizovať obmedzenia práva na ochranu osobných údajov spôsobené predmetným spracúvaním.
21. V prejednávanej veci sa mi zdá jasné, že prípadná neexistencia akéhokoľvek obmedzenia, ktorú predpokladá vnútroštátny súd, by bola už zo svojej podstaty v rozpore s uplatnením zásady minimalizácie údajov. V spise predloženom Súdnemu dvoru však nič nepotvrdzuje ani nevylučuje takýto predpoklad, ktorý v každom prípade musí posúdiť vnútroštátny súd. Pokúsim sa však poskytnúť tomuto súdu užitočné informácie týkajúce sa výkladu posudzovaného ustanovenia, ktoré mu umožnia rozhodnúť vo veci, ktorú prejednáva.
22. Pokiaľ ide na jednej strane o obmedzenie spracúvania osobných údajov v čase, domnievam sa, že vzhľadom na neexistenciu osobitného ustanovenia v tejto súvislosti v GDPR súd Únie nemôže záväzne stanoviť maximálnu dobu uchovávania týchto údajov. Okrem toho Súdny dvor rozhodol, že aj spracúvanie správnych údajov, ktoré bolo pôvodne v súlade s právnymi predpismi, sa môže časom stať nezlučiteľným najmä s článkom 5 ods. 1 písm. c) až e) GDPR, pokiaľ tieto údaje už nie sú potrebné vzhľadom na účely, na ktoré boli zhromaždené alebo spracúvané.(18) Prináleží teda vnútroštátnemu súdu, aby vzhľadom na okolnosti prejednávanej veci a pri uplatnení zásady proporcionality(19) posúdil, v akom rozsahu je doba uchovávania osobných údajov spoločnosťou Meta Platforms Ireland odôvodnená vo vzťahu k legitímnemu účelu spracúvania takýchto údajov na účely personalizovanej reklamy.
23. Pokiaľ ide na druhej strane o obmedzenie spracúvania osobných údajov v závislosti od povahy údajov, vnútroštátnemu súdu tiež prináleží, aby vzhľadom na okolnosti veci určil, spracúvanie ktorých osobných údajov možno považovať za legitímne pri dodržaní zásady proporcionality.
24. Okrem toho odkazy v znení článku 5 ods. 1 písm. c) GDPR na veľmi všeobecné podmienky, akými sú „primeranosť“, „relevantnosť“ a „nevyhnutnosť“, podľa môjho názoru preukazujú, že normotvorca Únie mal v úmysle ponechať príslušným orgánom širokú mieru voľnej úvahy pri uplatňovaní tohto ustanovenia, keďže tieto podmienky možno vykladať len v každom jednotlivom prípade vzhľadom na okolnosti veci.
25. Napriek tomu sa domnievam, že ako uvádza Komisia vo svojich písomných pripomienkach, možno rozlišovať podľa stupňa zásahu do práv dotknutej osoby rôznymi formami spracúvania. Vnútroštátny súd by preto mohol, ak to považuje za vhodné, na jednej strane rozlišovať medzi použitím „statických“ údajov dotknutej osoby (akým je vek(20) alebo pohlavie) a použitím údajov „týkajúcich sa správania“ (akým je sledovanie zvykov používateľov pri prehliadaní), pričom posledné uvedené použitie vo všeobecnosti viac zasahuje do práv dotknutej osoby. Pokiaľ ide konkrétnejšie o údaje „týkajúce sa správania“, bolo by možné ďalej rozlišovať medzi zhromažďovaním údajov o „aktívnom“ správaní (akým je kliknutie na tlačidlo „páči sa mi to“) a zhromažďovaním údajov o „pasívnom“ správaní (akým je obyčajná návšteva internetovej stránky), pričom zhromažďovanie údajov o pasívnom správaní je pre používateľa zvyčajne rušivejšie. Na druhej strane by sa tiež mohlo rozlišovať medzi spracúvaním osobných údajov zhromaždených na platforme Facebook a mimo nej, a to na internetových stránkach, v iných aplikáciách ako Facebook alebo v zariadeniach používateľov, pričom posledné uvedené spracúvanie je rušivejšie ako prvé.(21)
26. V tejto analýze je podľa môjho názoru dôležité zohľadniť aj dôvodné očakávania dotknutých osôb.(22)
27. Okrem toho v situácii, aká existovala pred nadobudnutím účinnosti GDPR, keď spracúvanie údajov zhromaždených mimo platformy Facebook nebolo založené na súhlase, ale na nevyhnutnosti spracúvania na plnenie zmluvy podľa článku 6 ods. 1 písm. b) tohto nariadenia,(23) treba zohľadniť reštriktívny výklad tohto ustanovenia, ktorý poskytol Súdny dvor.(24) Ako zdôrazňuje talianska vláda vo svojich písomných pripomienkach, je teda dôležité zabezpečiť, aby široký výklad zásady minimalizácie údajov podľa článku 5 tohto nariadenia neumožňoval prevádzkovateľom rozšíriť kategórie osobných údajov, ktoré sa považujú za nevyhnutné na plnenie zmluvy podľa článku 6 ods. 1 písm. b) tohto nariadenia.
28. Vzhľadom na vyššie uvedené navrhujem odpovedať na druhú prejudiciálnu otázku tak, že článok 5 ods. 1 písm. c) GDPR sa má vykladať v tom zmysle, že bráni tomu, aby sa osobné údaje spracúvali na účely cielenej reklamy bez akéhokoľvek časového obmedzenia alebo obmedzenia v závislosti od povahy údajov, a že vnútroštátnemu súdu prináleží s prihliadnutím na okolnosti prípadu a v súlade so zásadou proporcionality posúdiť rozsah, v akom sú doba uchovávania údajov a množstvo spracúvaných údajov odôvodnené vo vzťahu k legitímnemu účelu spracúvania takýchto údajov na účely personalizovanej reklamy.
O štvrtej prejudiciálnej otázke
29. Štvrtou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 5 ods. 1 písm. b) v spojení s článkom 9 ods. 2 písm. e) GDPR vykladať v tom zmysle, že skutočnosť, že určitá osoba sa vyjadrila k svojej sexuálnej orientácii v rámci pódiovej diskusie, umožňuje spoločnosti Meta Platforms Ireland spracúvať ďalšie údaje týkajúce sa jej sexuálnej orientácie s cieľom ponúkať jej personalizovanú reklamu. Vo všeobecnosti sa tento súd pýta na pôsobnosť posledného uvedeného ustanovenia a konkrétnejšie sa pýta, akým spôsobom musí verejnosť získať citlivé údaje tejto osoby na to, aby sa mohol uplatniť článok 9 ods. 2 GDPR.
O relevantnosti prejudiciálnej otázky
30. Meta Platforms Ireland vo svojich písomných a ústnych pripomienkach uviedla, pričom ostatní účastníci konania to na pojednávaní nespochybnili, že počas konania na vnútroštátnych súdoch sa nikdy neodvolávala na výnimku stanovenú v článku 9 ods. 2 písm. e) GDPR ako na právny základ spracúvania predmetných údajov.(25)
31. V takom prípade sa však štvrtá prejudiciálna otázka zdá byť zjavne irelevantná, keďže táto výnimka sa v prejednávanej veci neuplatňuje.(26)
32. Treba však pripomenúť, že podľa ustálenej judikatúry Súdneho dvora v rámci konania zakotveného v článku 267 ZFEÚ, založeného na jasnom rozdelení úloh medzi vnútroštátnymi súdmi a Súdnym dvorom, sa na otázky týkajúce sa výkladu práva Únie položené vnútroštátnym súdom v legislatívnom a skutkovom rámci, ktorý tento súd vymedzí na vlastnú zodpovednosť(27) a ktorého správnosť Súdnemu dvoru neprináleží skúmať, vzťahuje domnienka relevantnosti.(28)
33. Preto v nasledujúcich bodoch navrhnem odpoveď na štvrtú prejudiciálnu otázku položenú vnútroštátnym súdom bez toho, aby bolo dotknuté rozhodnutie Súdneho dvora o relevantnosti tejto otázky.
O podstate prejudiciálnej otázky
34. Na úvod pripomínam, že podľa článku 5 ods. 1 písm. b) GDPR, ktorý zakotvuje zásadu obmedzenia účelu, sa osobné údaje musia zhromažďovať na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi. Podľa článku 9 ods. 1 tohto nariadenia je spracúvanie osobných údajov týkajúcich sa najmä sexuálneho života alebo sexuálnej orientácie fyzickej osoby zakázané, pokiaľ sa na takéto spracúvanie nevzťahuje niektorá z výnimiek stanovených v článku 9 ods. 2 tohto nariadenia.(29)
35. Konkrétne podľa článku 9 ods. 2 písm. e) GDPR sa zákaz spracúvania citlivých osobných údajov neuplatňuje, ak sa spracúvanie týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila. Ako som uviedol vo svojich návrhoch prednesených vo veci Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete),(30) použitie príslovky „preukázateľne“ v znení tohto ustanovenia a skutočnosť, že toto ustanovenie predstavuje výnimku zo zásady všeobecného zákazu spracúvania citlivých osobných údajov, si vyžaduje osobitne striktné uplatňovanie tejto výnimky z dôvodu významných rizík pre základné práva a slobody dotknutých osôb.(31) Na to, aby sa táto výnimka mohla uplatniť, si musí byť používateľ podľa môjho názoru plne vedomý toho, že výslovným aktom sprístupňuje osobné údaje, ktoré sa ho týkajú, komukoľvek.(32)
36. Vo veci samej boli citlivé údaje týkajúce sa sexuálnej orientácie žalobcu sprístupnené mimo platformy Facebook („off-site“) a akejkoľvek inej IT platformy alebo aplikácie v rámci pódiovej diskusie organizovanej Komisiou(33) a s cieľom poukázať na údajne nezákonné spracúvanie údajov týkajúcich sa tejto sexuálnej orientácie spoločnosťou Meta Platforms Ireland.(34)
37. V tejto súvislosti Súdny dvor už mal príležitosť vyjadriť sa k používaniu údajov „off-site“ v kontexte iných platforiem v rozsudku Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete).(35) Pri tejto príležitosti Súdny dvor rozhodol, že článok 9 ods. 2 písm. e) GDPR sa má vykladať v tom zmysle, že keď používateľ online sociálnej siete navštívi webové stránky alebo aplikácie, ktoré majú spojitosť s jednou alebo viacerými kategóriami údajov uvedených v článku 9 ods. 1 GDPR, v zmysle prvého z týchto ustanovení preukázateľne nezverejnil údaje týkajúce sa tejto návštevy, ktoré zhromaždil prevádzkovateľ tejto online sociálnej siete prostredníctvom súborov „cookie“ alebo podobných technológií ukladania údajov, a že keď zadáva údaje do takýchto webových stránok alebo aplikácií alebo keď klikne na tlačidlá výberu na takýchto webových stránkach a v takýchto aplikáciách, akými sú tlačidlá „páči sa mi to“ alebo „zdieľať“ alebo tlačidlá, ktoré umožňujú používateľovi identifikovať sa na takýchto webových stránkach alebo v aplikáciách pomocou prihlasovacích údajov prepojených s jeho používateľským účtom na sociálnej sieti, jeho telefónnym číslom alebo e-mailovou adresou, takýto používateľ v zmysle článku 9 ods. 2 písm. e) GDPR preukázateľne zverejnil takto zadané údaje alebo údaje, ktoré vyplývajú z kliknutia na tieto tlačidlá, iba ak vopred výslovne vyjadril svoju voľbu, v prípade potreby na základe individuálneho nastavenia vykonaného s úplnou znalosťou veci, aby údaje, ktoré sa ho týkajú, boli verejne prístupné neobmedzenému počtu osôb.(36)
38. Vnútroštátny súd však považoval za potrebné zachovať svoju štvrtú prejudiciálnu otázku z dôvodu, že akty skúmané Súdnym dvorom v poslednej uvedenej veci sa týkali navštevovania internetových stránok alebo aplikácií a klikania na tlačidlá na týchto stránkach a v týchto aplikáciách, zatiaľ čo v prejednávanej veci ide o vyhlásenie dotknutej osoby o jej sexuálnej orientácii vykonané počas pódiovej diskusie. V tejto súvislosti sa uvedený súd domnieva, že z takéhoto vyhlásenia nemožno vyvodiť súhlas v zmysle článku 9 ods. 2 písm. e) GDPR.
39. V tejto súvislosti považujem za vhodné rozlišovať na jednej strane medzi tým, či vyhlásenie žalobcu o jeho sexuálnej orientácii predstavuje akt, ktorým preukázateľne zverejnil túto orientáciu v zmysle článku 9 ods. 2 písm. e) GDPR, a na druhej strane, ak je odpoveď na túto otázku kladná, či preukázateľné zverejnenie sexuálnej orientácie oprávňuje na spracúvanie údajov týkajúcich sa tejto sexuálnej orientácie na účely personalizovanej reklamy najmä v zmysle článkov 5 a 6 tohto nariadenia.
40. Pokiaľ ide po prvé o kvalifikáciu vyhlásenia žalobcu v zmysle článku 9 ods. 2 písm. a) GDPR, keďže chýbajú užitočné informácie, ktoré by vyplynuli z histórie vzniku tohto ustanovenia a jeho uplatňovania v judikatúre,(37) chcem poukázať na to, že výnimka stanovená v článku 9 ods. 2 písm. e) tohto nariadenia v podstate požaduje, aby boli kumulatívne splnené dve podmienky, a to na jednej strane „objektívna“ podmienka „preukázateľného zverejnenia“ dotknutých osobných údajov a na druhej strane „subjektívna“ podmienka, podľa ktorej musí tieto údaje preukázateľne zverejniť práve „dotknutá osoba“.
41. Vo veci samej sa s výhradou overení, ktoré prináleží vykonať vnútroštátnemu súdu, domnievam, že tieto dve podmienky sú splnené. Hoci totiž žalobca urobil svoje vyhlásenie mimochodom v rámci širšej diskusie kritickej voči spracúvaniu citlivých údajov spoločnosťou Meta Platforms Ireland, domnievam sa, že predstavuje akt, ktorým s úplnou znalosťou veci preukázateľne zverejnil svoju sexuálnu orientáciu.
42. Pokiaľ ide o prvú podmienku, zdá sa mi veľmi pravdepodobné, že vzhľadom na otvorenú povahu pódiovej diskusie, ktorá bola vysielaná naživo a potom streamovaná,(38) ako aj na záujem verejnosti o tému, ktorej bola venovaná, sa vyhlásenie žalobcu mohlo dostať k nevymedzenému publiku, ktoré bolo oveľa väčšie ako publikum prítomné v sále.(39)
43. Pokiaľ ide o druhú podmienku, podľa môjho názoru je celkom možné predpokladať, že otvorenou zmienkou o svojej sexuálnej orientácii za okolností prejednávanej veci (najmä v kontexte otvoreného podujatia, ktoré je prístupné tlači) žalobca ak nie úmyselne, tak aspoň úplne vedome „preukázateľne zverejnil“ túto orientáciu v zmysle judikatúry citovanej v bode 35 vyššie.(40)
44. Okrem toho cieľom ochrany priznanej článkom 9 ods. 1 GDPR je podľa môjho názoru zabrániť tomu, aby dotknutá osoba bola vystavená nepriaznivým dôsledkom (akými sú najmä verejné osočovanie alebo diskriminačné konanie) vyplývajúcim predovšetkým z negatívneho vnímania situácií, ktoré sú v ňom vymenované, zo sociálneho alebo hospodárskeho hľadiska.(41) Toto ustanovenie teda upravuje osobitnú ochranu takýchto osobných údajov prostredníctvom zásadného, nie absolútneho zákazu, ktorého uplatnenie v konkrétnom prípade závisí od posúdenia dotknutej osoby, ktorá je v najlepšom postavení na to, aby posúdila škodlivé dôsledky, ktoré môžu vyplynúť zo zverejnenia predmetných údajov, a ktorá sa prípadne môže vzdať tejto ochrany alebo sa jej nedovolávať s plnou znalosťou veci tým, že v zmysle článku 9 ods. 2 písm. e) tohto nariadenia preukázateľne zverejní svoju situáciu, najmä svoju sexuálnu orientáciu.
45. Pokiaľ ide po druhé o preskúmanie dôsledkov vyplývajúcich zo skutočnosti, že osoba preukázateľne zverejnila svoju sexuálnu orientáciu, z hľadiska spracúvania týchto citlivých údajov spoločnosťou Meta Platforms Ireland v zmysle článkov 5 a 6 GDPR, domnievam sa, že preukázateľné zverejnenie údajov v zmysle článku 9 ods. 2 písm. e) tohto nariadenia samo osebe neumožňuje spracúvanie týchto údajov v zmysle uvedeného nariadenia.
46. Uplatnenie posledného uvedeného ustanovenia má totiž za následok len zrušenie „osobitnej ochrany“ priznanej niektorým osobitne citlivým osobným údajom. Po vedomom zrušení tejto ochrany samotnou dotknutou osobou (ktorá ich preukázateľne zverejnila) sa tieto osobné údaje, pôvodne „chránené“, stávajú „bežnými“ (t. j. nie citlivými) údajmi, ktoré sa rovnako ako všetky ostatné osobné údaje môžu zákonne spracúvať len za podmienok stanovených najmä v článkoch 6 a 7 GDPR a v súlade so zásadami zakotvenými najmä v článku 5 tohto nariadenia(42) vrátane zásady obmedzenia účelu zakotvenej v článku 5 ods. 1 písm. b) tohto nariadenia, ktorá si vyžaduje, aby sa osobné údaje zhromažďovali na konkrétne určené, výslovne uvedené a legitímne účely, čo musí prevádzkovateľ preukázať podľa odseku 2 predmetného ustanovenia.(43)
47. Preto skutočnosť, že žalobca vyjadril svoju sexuálnu orientáciu v rámci pódiovej diskusie, síce môže viesť k záveru, že za okolností prejednávanej veci táto osoba „preukázateľne zverejnila“ tieto údaje v zmysle článku 9 ods. 2 písm. e) GDPR, nemôže však sama osebe odôvodniť spracúvanie osobných údajov, ktoré odhaľujú sexuálnu orientáciu tejto osoby.(44)
48. Vzhľadom na vyššie uvedené navrhujem odpovedať na štvrtú prejudiciálnu otázku tak, že ustanovenia článku 5 ods. 1 písm. b) v spojení s článkom 9 ods. 2 písm. e) GDPR sa majú vykladať v tom zmysle, že vyjadrenie vlastnej sexuálnej orientácie pre potreby verejnosti otvorenej pódiovej diskusie síce môže predstavovať akt, ktorým dotknutá osoba „preukázateľne zverejnila“ tieto údaje v zmysle článku 9 ods. 2 písm. e) tohto nariadenia, samo osebe však nepovoľuje spracúvanie týchto údajov alebo iných údajov týkajúcich sa sexuálnej orientácie tejto osoby s cieľom zhromažďovať a analyzovať tieto údaje na účely personalizovanej reklamy.
Návrh
49. Vzhľadom na predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na druhú a štvrtú prejudiciálnu otázku, ktoré položil Oberster Gerichtshof (Najvyšší súd, Rakúsko), takto:
1. Článok 5 ods. 1 písm. c) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
– bráni tomu, aby sa osobné údaje spracúvali na účely cielenej reklamy bez akéhokoľvek časového obmedzenia alebo obmedzenia v závislosti od povahy údajov, a
– vnútroštátnemu súdu prináleží s prihliadnutím na okolnosti prípadu a v súlade so zásadou proporcionality posúdiť rozsah, v akom sú doba uchovávania údajov a množstvo spracúvaných údajov odôvodnené vo vzťahu k legitímnemu účelu spracúvania takýchto údajov na účely personalizovanej reklamy.
2. Ustanovenia článku 5 ods. 1 písm. b) v spojení s článkom 9 ods. 2 písm. e) nariadenia 2016/679
sa majú vykladať v tom zmysle, že:
– vyjadrenie vlastnej sexuálnej orientácie pre potreby verejnosti otvorenej pódiovej diskusie síce môže predstavovať akt, ktorým dotknutá osoba „preukázateľne zverejnila“ tieto údaje v zmysle článku 9 ods. 2 písm. e) tohto nariadenia, samo osebe však nepovoľuje spracúvanie týchto údajov alebo iných údajov týkajúcich sa sexuálnej orientácie tejto osoby s cieľom zhromažďovať a analyzovať tieto údaje na účely personalizovanej reklamy.
1 Jazyk prednesu: francúzština.
2 Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1) (ďalej len „GDPR“).
3 Táto sociálna sieť umožňuje nahrávať a zdieľať obsah personalizovaným spôsobom podľa parametrov, ktoré si používateľ predtým zvolil, ako aj priamo komunikovať s ostatnými používateľmi alebo si s nimi vymieňať údaje.
4 Konkrétnejšie je účelom tejto reklamy predstaviť používateľovi produkty a služby, ktoré by ho mohli zaujímať, najmä podľa jeho osobných spotrebiteľských postojov, záujmov, kúpnej sily a osobnej situácie (miesto, vek, pohlavie atď.). „Facebook business tools“ (obchodné nástroje Facebooku) zároveň umožňujú inzerentom vyvíjať cielené reklamy a overovať účinnosť svojej reklamy prostredníctvom analytických systémov založených na algoritmoch, ktoré hľadajú korelácie a vzorce s cieľom vyvodiť zodpovedajúce dôsledky.
5 Žalovaná na tieto účely používa technológie ako „súbory cookie“ (svedkovia), ktoré umožňujú používanie „sociálnych pluginov“ (zásuvné moduly sociálnych sietí, akým je tlačidlo „páči sa mi to“), alebo „pixely“, čo sú počítačové nástroje zabudované do stránky Facebook, do internetových stránok a aplikácií tretích osôb. Tieto nástroje v podstate umožňujú zbierať určité údaje od používateľa, ktorý navštevuje takéto internetové stránky alebo používa aplikácie, ktoré ich obsahujú, a zhromažďovať ich, čím vytvárajú profil používateľa, na základe ktorého je možné ponúkať mu personalizovanú reklamu.
6 Meta Platforms Ireland vo svojich písomných a ústnych pripomienkach uviedla, že v období pred nadobudnutím účinnosti GDPR sa na jednej strane spracúvanie osobných údajov zhromaždených na jej platforme na účely personalizovanej reklamy nezakladalo na súhlase žalobcu, ale najmä na odôvodnení, podľa ktorého spracúvanie týchto údajov bolo nevyhnutné na plnenie zmluvy, a na druhej strane spracúvanie osobných údajov zhromaždených na stránkach alebo v aplikáciách mimo jej siete bolo založené na súhlase používateľa, takže používateľ mohol tieto údaje vylúčiť zo spracúvania, pričom sa nemusel vzdať služieb Facebooku. V prejednávanej veci táto spoločnosť nespracúvala osobné údaje žalobcu zhromaždené mimo svojej platformy z dôvodu, že pri registrácii na sociálnej sieti Facebook v roku 2008 žalobca nedal v tejto súvislosti svoj súhlas. Na druhej strane od nadobudnutia účinnosti GDPR získal Facebook súhlas so spracúvaním osobných údajov zhromaždených buď na svojej sieti, alebo na externých stránkach či v externých aplikáciách, na účely personalizovanej reklamy a v prípade neposkytnutia takého súhlasu umožnil používateľovi nepovoliť spracúvanie všetkých svojich údajov na účely personalizovanej reklamy za určitý poplatok. Zdá sa, že zákonnosť nových podmienok používania v zmysle GDPR v súčasnosti skúmajú orgány na ochranu údajov niektorých členských štátov.
7 Ako vyplýva z návrhu na začatie prejudiciálneho konania, Meta Platforms Ireland neposkytuje prístup ku všetkým spracúvaným údajom, ale len k údajom, ktoré sú podľa nej zaujímavé a relevantné pre používateľov. Okrem toho táto spoločnosť umožňuje odstránenie určitého obsahu (napríklad správ, fotografií alebo príspevkov) z účtu na Facebooku.
8 Okrem toho iba jeho „priatelia“, ktorých zoznam nie je verejný, mohli vidieť príspevky na jeho časovej osi alebo budúce príspevky.
9 Žalobca si objednal analýzu, ktorej predmetom bolo, aké závery možno vyvodiť z jeho zoznamu priateľov, a vyplynulo z nej, že vykonával civilnú službu v Červenom kríži v Salzburgu (Rakúsko) a že je homosexuál. Zoznam stránok, o ktoré sa zaujíma, okrem Facebooku zahŕňa okrem iného zoznamovacie aplikácie alebo webové stránky pre homosexuálov a webovú stránku jednej rakúskej politickej strany. Medzi uloženými údajmi žalobcu je neexistujúca e-mailová adresa a ďalšia adresa, ktorá nie je uvedená v jeho profile na Facebooku, ale ktorú použil na zasielanie žiadostí žalovanej.
10 Žalobca v podstate navrhol, aby prvostupňový súd po prvé uložil žalovanej povinnosť uzavrieť písomnú zmluvu o používaní jeho osobných údajov v sieti Facebook a subsidiárne konštatoval neexistenciu takej zmluvy a jeho súhlasu s podmienkami používania; po druhé aby žalovanej uložil povinnosť zdržať sa spracúvania jeho osobných údajov na účely personalizovanej reklamy alebo zhromažďovania a analýzy údajov na reklamné účely; po tretie aby konštatoval, že neexistuje platný súhlas so spracúvaním na účely opísané v predchádzajúcom znení smerníc o spracovaní údajov, pokiaľ ide o jeho osobné údaje, ktoré žalovaná získala od tretích strán, a po štvrté aby uložil žalovanej povinnosť zdržať sa používania alebo spracúvania jeho údajov o návštevách a používaní stránok tretích osôb bez platného súhlasu so spracúvaním. Žalobca v podstate tvrdil, že prijatie podmienok používania a súvisiacich smerníc o používaní údajov nepredstavuje platne udelený súhlas prevádzkovateľovi so spracúvaním osobných údajov. Poukázal tiež na skutočnosť, že spoločnosť Meta Platforms Ireland spracúva citlivé údaje, ktoré sa ho týkajú, akými sú údaje o jeho politickom presvedčení a sexuálnej orientácii, hoci tieto údaje nie sú uvedené v jeho profile na Facebooku.
11 Ako vyplýva z písomných a ústnych pripomienok účastníkov konania, táto pódiová diskusia bola prístupná verejnosti, ktorá mohla získať prístup bezplatne, pričom počet miest bol obmedzený, na platforme Eventbrite (nakoniec sa zaregistrovalo 189 osôb) a vysielaná naživo. Okrem toho bola následne zverejnená jej nahrávka vo forme podcastu, ako aj na kanáli Komisie na platforme YouTube.
12 Ako vyplýva z návrhu na začatie prejudiciálneho konania a z písomných podaní žalobcu, žalobca vyhlásil: „Dovoľte mi teraz uviesť veľmi banálny príklad: moju sexuálnu orientáciu môžete odvodiť z môjho zoznamu priateľov. Nikdy som na Facebooku nespomenul, že som gay. Od mojich 14 rokov je to niečo, s čím som ,vyšiel von‘ a čo ma nestresuje ani nič podobné. Ale nie je to niečo, o čom hovorím všade a stále na verejnosti, lebo som si povedal, vieš čo, hovor radšej o ochrane údajov, lebo inak ťa znova takto zaškatuľkujú. A to odvádza pozornosť od ochrany údajov.“
13 Tieto dva vnútroštátne súdy v podstate konštatovali, že spracúvanie osobných údajov vykonávané spoločnosťou Meta Platforms Ireland je nevyhnutné na plnenie zmluvy v zmysle článku 6 ods. 1 písm. b) GDPR.
14 Pripomínam, že v spore vo veci samej vnútroštátny súd už Súdnemu dvoru zaslal návrh na začatie prejudiciálneho konania, ktorý bol predmetom rozsudku z 25. januára 2018, Schrems (C-498/16, EU:C:2018:37).
15 C-252/21, EU:C:2023:537, ďalej len „rozsudok Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete)“. Toto prejudiciálne konanie bolo prerušené až do vydania uvedeného rozsudku. Vnútroštátny súd na otázku Súdneho dvora odpovedal, že uvedený rozsudok poskytol odpoveď na jeho prvú a tretiu prejudiciálnu otázku a že trvá na svojom návrhu, pokiaľ ide o druhú a štvrtú prejudiciálnu otázku.
16 Pozri rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (C‑439/19, EU:C:2021:504, bod 96 a citovaná judikatúra).
17 Pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (C-439/19, EU:C:2021:504, bod 98 a citovaná judikatúra).
18 To platí najmä v prípade, keď sa javia ako neadekvátne, sú nerelevantné alebo už nie sú relevantné, alebo sú neprimerané vo vzťahu k týmto účelom a k uplynutému času [pozri rozsudok z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje) (C-136/17, EU:C:2019:773, bod 74, ako aj citovaná judikatúra)].
19 Pozri judikatúru citovanú v poznámke pod čiarou 17 vyššie.
20 Pričom nie je dotknutá skutočnosť, že v súlade s článkom 8 GDPR deti mladšie ako 16 rokov nemôžu samy udeliť súhlas podľa článku 6 ods. 1 písm. a) uvedeného nariadenia v súvislosti s poskytovaním služieb informačnej spoločnosti.
21 V tejto súvislosti pripomínam, že v súvislosti s pojmom „súhlas“ v zmysle článku 6 ods. 1 prvého pododseku písm. a) a článku 9 ods. 2 písm. a) GDPR Súdny dvor najmä poukázal na to, že používateľ nemôže dôvodne očakávať, že prevádzkovateľ sociálnej siete bude spracúvať iné údaje ako tie, ktoré sa týkajú jeho správania na sociálnej sieti (v prejednávanej veci Facebook), a rozhodol, že možno udeliť samostatný súhlas na spracúvanie týchto údajov na jednej strane a iných údajov na druhej strane [rozsudok Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), bod 151]. Rovnako som vo svojich návrhoch v tej istej veci vyjadril pochybnosti o tom, či by zhromažďovanie a používanie osobných údajov mimo sociálnej siete Facebook mohlo byť nevyhnutné na poskytovanie služieb ponúkaných v rámci tejto siete, aby sa pôvodne udelený súhlas na účely prístupu k tejto sieti (konkrétne vytvorenie profilu na Facebooku) mohol platne vzťahovať na spracúvanie osobných údajov používateľa mimo tej istej siete [návrhy prednesené vo veci Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) (C-252/21, EU:C:2022:704, bod 56, poznámka pod čiarou 81)].
22 Napríklad pokiaľ ide o oprávnené záujmy prevádzkovateľa ako právny základ spracúvania, v odôvodnení 47 GDPR je uvedené, že existencia takéhoto oprávneného záujmu by sa mala starostlivo posúdiť najmä s cieľom určiť, či dotknutá osoba môže v čase získavania osobných údajov a v súvislosti s ním odôvodnene očakávať, že sa spracúvajú na daný účel.
23 Pozri poznámku pod čiarou 6 vyššie.
24 Súdny dvor totiž v podstate rozhodol, že bez ohľadu na skutočnosť, že spracúvanie osobných údajov stanovené takýmto ustanovením je uvedené v zmluve, rozhodujúcim prvkom na účely uplatnenia odôvodnenia uvedeného v dotknutom ustanovení je skutočnosť, že toto spracúvanie je zásadné na riadne plnenie zmluvy uzatvorenej medzi prevádzkovateľom a dotknutou osobou, a teda že neexistujú iné vykonateľné a menej obmedzujúce riešenia [pozri v tomto zmysle rozsudok Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), bod 99].
25 Pozri poznámku pod čiarou 6 vyššie. Ako vyplýva z pojednávania, zdá sa, že v spore vo veci samej sa Meta Platforms Ireland odvoláva na pódiovú diskusiu, aby vyvrátila tvrdenie žalobcu týkajúce sa údajnej ujmy vyplývajúcej z údajnej psychickej tiesne, v ktorej sa nachádzal v dôsledku personalizovanej reklamy, s cieľom preukázať, že nemal ťažkosti verejne vyhlásiť svoju homosexualitu. Vnútroštátny súd teda položil otázku týkajúcu sa výkladu článku 9 ods. 2 GDPR nie na účely uplatnenia výnimky stanovenej v tomto ustanovení, ale v úplne odlišnom kontexte skúmania ujmy tvrdenej žalobcom vzhľadom na obhajobu spoločnosti Meta Platforms Ireland.
26 Podľa článku 5 ods. 2 GDPR totiž bremeno preukázať, že osobné údaje sa spracúvajú v súlade s týmto nariadením, nesie prevádzkovateľ.
27 Pozri analogicky rozsudok zo 4. mája 2023, Glavna direkcija „Požarna bezopasnost i zaštita na naselenieto“ (Nočná práca) (C-529/21 až C‑536/21 a C‑732/21 až C‑738/21, EU:C:2023:374, bod 57).
28 Pozri v tomto zmysle rozsudok z 13. júla 2023, Ferrovienord (C-363/21 a C‑364/21, EU:C:2023:563, body 52 až 55, ako aj citovaná judikatúra).
29 Ako je uvedené v odôvodnení 51 tohto nariadenia, osobné údaje, ktoré sú svojou povahou osobitne citlivé z hľadiska základných práv a slobôd, si zasluhujú osobitnú ochranu, keďže kontext, v ktorom sa spracúvajú, by mohol pre tieto práva a slobody predstavovať značné riziká.
30 C-252/21, EU:C:2022:704, bod 42.
31 Pozri tiež v tomto zmysle rozsudok Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), bod 76, ako aj citovaná judikatúra.
32 V tejto súvislosti chcem poukázať na to, že vo výraze „preukázateľne zverejnila“ použitie slovesa „zverejniť“ zahŕňa aktívne a vedomé správanie dotknutej osoby. Podľa Európskeho výboru pre ochranu údajov (EDPB) „výraz ,preukázateľne‘ znamená, že na túto výnimku sa možno odvolávať len veľmi reštriktívnym spôsobom. EDPB poukazuje na to, že prítomnosť jedinej skutočnosti nie je vždy postačujúca na preukázanie toho, že dotknutá osoba ,preukázateľne‘ zverejnila údaje. V praxi môže byť potrebné zohľadniť kombináciu [skutočností], aby prevádzkovateľ mohol preukázať, že dotknutá osoba jasne vyjadrila svoj úmysel zverejniť údaje, a môže byť potrebné individuálne posúdenie.“ (EDPB, usmernenia 8/2020, bod 127). Ako príklad uvádza skutočnosti, akými sú štandardné nastavenia platformy sociálnych médií, povaha platformy sociálnych médií, dostupnosť stránky, na ktorej sa uverejňujú citlivé údaje, viditeľnosť upozornenia signalizujúceho dotknutej osobe verejnú povahu informácií, ktoré zverejňuje, skutočnosť, že dotknutá osoba sama zverejnila citlivé údaje, alebo, naopak, že údaje boli zverejnené treťou stranou alebo odvodené. Pozri tiež GEORGIEVA, L., KUNER, C.: Article 9. Processing of special categories of personal data. In: The EU General Data Protection Regulation (GDPR). Oxford, 2020, s. 378, podľa ktorých „in this context, ,making public‘ should be construed to include publishing the data in the mass media, putting them on online social network platforms or similar actions. However, the data must have been ,manifestly‘ made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result.“ („V tejto súvislosti by sa pojem ,zverejniť‘ mal vykladať tak, že zahŕňa uverejňovanie údajov v médiách, ich nahrávanie na online platformy sociálnych sietí alebo podobné činnosti. Údaje však musia byť ,preukázateľne‘ zverejnené, čo si vyžaduje potvrdzujúci úkon zo strany dotknutej osoby a dotknutá osoba musí chápať, aký bude výsledok.“)
33 Pozri poznámku pod čiarou 11 vyššie.
34 Pozri poznámku pod čiarou 13 vyššie.
35 Body 84 a 85 tohto rozsudku.
36 Pozri tiež návrhy, ktoré som predniesol vo veci Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) (C-252/21, EU:C:2022:704, bod 46).
37 Pripomínam, že predmetné ustanovenie bolo doslovne prevzaté z článku 8 ods. 2 písm. e) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355) a že okrem toho nebolo poskytnuté nijaké vysvetlenie pri príležitosti zavedenia tohto ustanovenia v rámci spoločnej pozície (ES) č. 1/95 prijatej Radou 20. februára 1995 na účely prijatia smernice Európskeho parlamentu a Rady 95/…/ES z… o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov [neoficiálny preklad] (Ú. v. ES C 93, 1995, s. 1).
38 Pozri poznámku pod čiarou 11 vyššie.
39 Napríklad, ako sám žalobca pripúšťa vo svojich písomných pripomienkach, jeho vyhlásenie mohlo byť celkom legitímne sprostredkované článkom v tlači venovaným predmetnému podujatiu.
40 V tejto súvislosti pripomínam, že žalobca bol protagonistom dlhého a dôležitého sporu proti spoločnosti Meta Platforms Ireland (predtým Facebook) týkajúceho sa uplatňovania GDPR, a preto možno dôvodne predpokladať, že si bol plne vedomý dôsledkov svojich vyhlásení vzhľadom na toto nariadenie. Chcem však poukázať na rozdiel medzi úmyslom povoliť spracúvanie „citlivých“ údajov, ktorý predstavuje súhlas so spracúvaním týchto údajov v zmysle článku 9 ods. 2 písm. a) GDPR, na jednej strane a úmyslom alebo úplnou vedomosťou o preukázateľnom zverejnení týchto údajov na druhej strane, čo má za následok neuplatnenie zákazu spracúvania týchto údajov v zmysle článku 9 ods. 1 tohto nariadenia, ale samo osebe nepostačuje na povolenie spracúvania týchto údajov, ako vysvetlím v bodoch 45 až 47 nižšie.
41 Napríklad určitá osoba môže byť diskriminovaná z dôvodu svojej politickej alebo sexuálnej orientácie alebo môže čeliť nespravodlivým ekonomickým dôsledkom z dôvodu svojho zdravotného stavu (najmä čo sa týka zdravotného poistenia alebo iných podobných situácií).
42 Ako totiž pripomína odôvodnenie 51 GDPR, okrem osobitných požiadaviek vzťahujúcich sa na spracúvanie obzvlášť citlivých osobných údajov by sa mali uplatňovať všeobecné zásady a ďalšie pravidlá uvedeného nariadenia, najmä pokiaľ ide o podmienky zákonnosti spracúvania. Okrem toho v zmysle článku 22 ods. 4 tohto nariadenia sa rozhodnutia založené výlučne na automatizovanom spracúvaní nesmú zakladať na osobitných kategóriách osobných údajov uvedených v článku 9 ods. 1 tohto nariadenia, pokiaľ sa neuplatní článok 9 ods. 2 písm. a) alebo g) tohto nariadenia a neprijmú sa vhodné opatrenia na ochranu práv, slobôd a oprávnených záujmov dotknutej osoby.
43 Súdny dvor nedávno rozhodol v rovnakom zmysle o výklade článku 9 ods. 2 písm. h) GDPR v spojení s článkom 5 ods. 1 písm. a) a článkom 6 ods. 1 tohto nariadenia, pričom pripomenul, že na to, aby spracúvanie údajov týkajúcich sa zdravia založené na prvom uvedenom ustanovení bolo zákonné, musí spĺňať tak požiadavky vyplývajúce z tohto nariadenia, ako aj povinnosti vyplývajúce z posledných dvoch ustanovení, a najmä musí spĺňať aspoň jednu z podmienok zákonnosti uvedených v článku 6 ods. 1 tohto nariadenia [rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein (C-667/21, EU:C:2023:1022, bod 78)].
44 Platí to o to viac, že vo veci samej sa vnútroštátny súd pýta, či vyhlásenie vykonané v predmetnej pódiovej diskusii oprávňuje na spracúvanie iných osobných údajov, najmä tých, ktoré boli zhromaždené z aplikácií tretích osôb.