Preliminär utgåva

FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT

ATHANASIOS RANTOS

föredraget den 25 april 2024(1)

Mål C‑446/21

Maximilian Schrems

mot

Meta Platforms Ireland Limited, tidigare Facebook Ireland Limited

(begäran om förhandsavgörande från Oberster Gerichtshof (Högsta domstolen, Österrike))

”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Sociala nätverk – Artikel 5.1 b – Principen om ’ändamålsbegränsning’ – Artikel 5.1[c] – Principen om ’uppgiftsminimering’ – Artikel 9.1 och 9.2 e – Behandling av särskilda kategorier av personuppgifter – Personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade – Personanpassade annonser – Uppgifter om sexuell läggning”

 Inledning

1.        Förevarande begäran om förhandsavgörande har framställts av Oberster Gerichtshof (Högsta domstolen, Österrike) i ett mål mellan Maximilian Schrems (nedan kallad klaganden), som är användare av det sociala nätverket Facebook, och Meta Platforms Ireland Limited, tidigare Facebook Ireland Limited (nedan kallat Meta Platforms Ireland eller motparten), i vilket bolaget påstås ha behandlat klagandens personuppgifter på ett olagligt sätt.

2.        De tolkningsfrågor som har ställts inom ramen för förevarande mål avser dels tillämpningen av principen om ”uppgiftsminimering” i artikel 5.1 c i förordning (EU) 2016/679,(2) dels tolkningen av begreppet ”personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade” i artikel 9.2 e i den förordningen, jämförd med artikel 5.1 b i denna, genom vilken principen om ”ändamålsbegränsning” har införts. Den hänskjutande domstolen vill i huvudsak få klarhet i dels huruvida principen om uppgiftsminimering innebär att personuppgifter får behandlas utan inskränkning i tid eller till typen av uppgifter, dels huruvida ett uttalande av en person om sin egen sexuella läggning inom ramen för en paneldiskussion möjliggör behandling av andra uppgifter angående den personens sexuella läggning för personanpassning av annonser.

 Tillämpliga bestämmelser

3.        I artikel 4 i dataskyddsförordningen, med rubriken ”Definitioner”, föreskrivs följande i led 11:

”I denna förordning avses med

…

11.      samtycke av den registrerade: varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne[.]”

4.        I artikel 5 i den förordningen, med rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande i punkterna 1 och 2:

”1.      Vid behandling av personuppgifter ska följande gälla:

a)      Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).

b)      De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. …

c)      De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).

…

2.      Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”

5.        I artikel 6 i nämnda förordning, med rubriken ”Laglig behandling av personuppgifter”, föreskrivs följande i punkterna 1 och 3:

”1.      Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

a)      Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.

b)      Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.

…

f)      Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

Led f första stycket ska inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.

…

3.      Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med

a)      unionsrätten, eller

b)      en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

…

… Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.”

6.        Artikel 7 i samma förordning, med rubriken ”Villkor för samtycke”, har följande lydelse:

”1.      Om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter.

…

3.      De registrerade ska ha rätt att när som helst återkalla sitt samtycke. Återkallandet av samtycket ska inte påverka lagligheten av behandling som grundar sig på samtycke, innan detta återkallas. Innan samtycke lämnas ska den registrerade informeras om detta. Det ska vara lika lätt att återkalla som att ge sitt samtycke.

4.      Vid bedömning av huruvida samtycke är frivilligt ska största hänsyn bland annat tas till huruvida genomförandet av ett avtal, inbegripet tillhandahållandet av en tjänst, har gjorts beroende av samtycke till sådan behandling av personuppgifter som inte är nödvändig för genomförandet av det avtalet.”

7.        I artikel 9 i dataskyddsförordningen, med rubriken ”Behandling av särskilda kategorier av personuppgifter”, föreskrivs följande i punkterna 1 och 2:

”1.      Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.

2.      Punkt 1 ska inte tillämpas om något av följande gäller:

a)      Den registrerade har uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.

b)      Behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstaternas nationella rätt eller ett kollektivavtal som antagits med stöd av medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intressen fastställs.

…

e)      Behandlingen rör personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade.

…”

8.        I artikel 13 i den förordningen, som rör ”[i]nformation som ska tillhandahållas om personuppgifterna samlas in från den registrerade”, föreskrivs följande i punkt 1:

”Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:

…

c)      Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.

d)      Om behandlingen är baserad på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.

…”

 Målet vid den nationella domstolen, tolkningsfrågorna och förfarandet vid EU-domstolen

9.        Meta Platforms Ireland, ett bolag bildat enligt irländsk rätt, hanterar det slutna kommunikationsnätverket ”Facebook”, som i huvudsak är ett digitalt socialt nätverk för delning av innehåll.(3) Bolagets affärsmodell går i allt väsentligt ut på att erbjuda privata användare sociala nätverkstjänster utan kostnad och att sälja annonser på nätet, inbegripet riktade annonser till sina användare.(4) Dessa annonser bygger i huvudsak på att relativt detaljerade användarprofiler skapas automatiskt för användarna av det sociala nätverket.(5)

10.      Under år 2018, efter det att dataskyddsförordningen hade trätt i kraft, införde Meta Platforms Ireland nya användningsvillkor för Facebook för sina användare i Europeiska unionen för att inhämta deras samtycke, som för övrigt måste ges för att kunna registrera sig eller få tillgång till Facebooks konton och tjänster.(6) Dessa nya användarvillkor innebär dessutom att användarna kan få en överblick och kontroll över de uppgifter som lagras.(7)

11.      Klaganden är en Facebook-användare som har godkänt Facebooks nya användarvillkor. Såsom framgår av beslutet om hänskjutande har klaganden offentligt gått ut med att han är homosexuell, men aldrig nämnt sin sexuella läggning eller lagt ut några känsliga uppgifter på sin Facebook-profil.(8) Klaganden har inte heller gett motparten tillstånd att, med syftet att skapa riktade annonser, använda de delar av hans profil som avser hans relationsstatus, arbetsgivare, sysselsättning eller utbildning.

12.      Klaganden har dock fått reklam för en kvinnlig politiker, och denna reklam baserades på analysen att han liknade andra ”kunder” som hade gillamarkerat denna politiker. Han har regelbundet fått annonser som riktar sig till homosexuella och inbjudningar till motsvarande evenemang, trots att han aldrig tidigare har angett att han är intresserad av sådana evenemang och inte ens känt till de platser på vilka dessa ägde rum. Annonserna och inbjudningarna baseras inte direkt på den sexuella läggning som han eller hans ”vänner” på det sociala nätverket har, utan på en analys av deras huvudsakliga intressen.(9) Meta Platforms Ireland har dessutom registrerat alla personuppgifter avseende klaganden, inbegripet sådana som har erhållits från tredje part eller insticksprogram, för att lagra dem på obestämd tid.

13.      Klaganden har mot denna bakgrund väckt talan vid Landesgericht für Zivilsachen Wien (Regionala domstolen för tvistemål i Wien, Österrike) med yrkande om verkställighet, fastställelse och upphörande med avseende på Meta Platforms Irelands påstått olagliga behandling av hans personuppgifter.(10)

14.      Vid ett senare tillfälle nämnde klaganden, vid en paneldiskussion och som hade anordnats av Europeiska kommissionens representation i Wien (Österrike),(11) den 12 februari 2019 sin sexuella läggning under ett anförande som syftade till att avslöja den påstått olagliga behandling som Meta Platforms Ireland gjort av uppgifter om den sexuella läggningen.(12)

15.      Klagandens talan ogillades av domstolen i första instans genom dom av den 30 juni 2020 och, i andra instans, av Oberlandesgericht Wien (Regionöverdomstolen i Wien, Österrike) genom dom av den 7 december 2020.(13) Klaganden överklagade därför till Oberster Gerichtshof (Högsta domstolen), som är den hänskjutande domstolen.

16.      Mot denna bakgrund beslutade Oberster Gerichtshof (Högsta domstolen) att vilandeförklara målet och att hänskjuta fyra frågor till EU-domstolen för förhandsavgörande.(14) Med tanke på att den första och den tredje tolkningsfrågan återkallades till följd av domen av den 4 juli 2023, Meta Platforms m.fl. (Allmänna användarvillkor för ett socialt nätverk),(15)avser förevarande mål den andra och den fjärde frågan, som har följande lydelse:

”2.      Ska artikel 5.1 c i dataskyddsförordningen (uppgiftsminimering) tolkas så, att samtliga personuppgifter som en plattform likt den i det nationella målet förfogar över (särskilt genom den registrerade eller genom tredje part på eller utanför plattformen) kan sammanställas, analyseras och bearbetas med syftet att skapa riktade annonser utan inskränkning i tid eller till typen av uppgifter?

4.      Ska artikel 5.1 b jämförd med artikel 9.2 e i dataskyddsförordningen tolkas så, att ett uttalande om den egna sexuella läggningen inom ramen för en paneldiskussion möjliggör behandling av andra uppgifter angående den sexuella läggningen i syfte att sammanställa och analysera personuppgifter för personanpassning av annonser?”

17.      Skriftliga yttranden har inkommit från klaganden, Meta Platforms Ireland, den österrikiska, den franska, den italienska och den portugisiska regeringen samt från kommissionen. Klaganden, Meta Platforms Ireland, den österrikiska regeringen och kommissionen yttrade sig vid den muntliga förhandlingen den 8 februari 2024.

 Bedömning

 Den andra frågan

18.      Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 5.1 c i dataskyddsförordningen, där principen om uppgiftsminimering stadfästs, ska tolkas så, att samtliga personuppgifter som ett nätverk såsom Facebook förfogar över, särskilt genom den registrerade eller genom tredje part på eller utanför den plattformen, får sammanställas, analyseras och bearbetas med syftet att skapa riktade annonser utan inskränkning i tid eller till typen av uppgifter.

19.      Det ska inledningsvis erinras om att all behandling av personuppgifter dels måste överensstämma med de principer om uppgiftsbehandling som anges i artikel 5 i dataskyddsförordningen, dels måste svara mot någon av de i artikel 6 uppräknade principer som gör att behandlingen kan tillåtas.(16)

20.      Vad närmare bestämt gäller principerna om behandling av personuppgifter har EU-domstolen bland annat påpekat att enligt principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen ska personuppgifter vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, vilket i huvudsak ger uttryck för proportionalitetsprincipen.(17) Principen om uppgiftsminimering syftar således till att minimera de inskränkningar av rätten till skydd av personuppgifter som behandlingen i fråga innebär.

21.      I förevarande fall är det enligt min mening uppenbart att en sådan eventuell avsaknad av begränsningar som den hänskjutande domstolen antar föreligger, per definition, strider mot tillämpningen av principen om uppgiftsminimering. Det finns emellertid inte några uppgifter i de handlingar som har ingetts till EU-domstolen som kan bekräfta eller utesluta ett sådant antagande, vilket det under alla omständigheter ankommer på den hänskjutande domstolen att bedöma. Jag kommer dock att försöka ge den hänskjutande domstolen viss användbar vägledning om hur den granskade bestämmelsen ska tolkas, vilken den hänskjutande domstolen kan behöva för att avgöra det mål som är anhängigt vid den.

22.      Vad för det första gäller inskränkningen i tid av behandling av personuppgifter anser jag att unionsdomstolen inte på ett tvingande sätt kan fastställa en tidsgräns för lagring av sådana uppgifter, eftersom det inte finns någon specifik bestämmelse i dataskyddsförordningen i det avseendet. EU-domstolen har för övrigt slagit fast att även en behandling av riktiga uppgifter som inledningsvis är laglig med tiden kan bli oförenlig med bland annat artikel 5.1 c–e i dataskyddsförordningen, när de uppgifterna inte längre är nödvändiga med hänsyn till de ändamål för vilka de samlats in eller behandlats.(18) Det ankommer således på den hänskjutande domstolen att, med beaktande av omständigheterna i det enskilda fallet och med tillämpning av proportionalitetsprincipen,(19) bedöma i vilken mån den tid under vilken Meta Platforms Ireland lagrar personuppgifter är motiverad med hänsyn till det legitima målet att behandla uppgifterna för personanpassning av annonser.

23.      Vad för det andra gäller inskränkning av behandling av personuppgifter till typen av uppgifter ankommer det även på den hänskjutande domstolen att, med beaktande av omständigheterna i det enskilda fallet, fastställa vilka personuppgifter vars behandling kan anses vara berättigad, med beaktande av proportionalitetsprincipen.

24.      De hänvisningar som görs i ordalydelsen i artikel 5.1 c i dataskyddsförordningen till mycket allmänna villkor, såsom ”adekvans”, ”relevans” och ”nödvändighet”, visar enligt min mening att unionslagstiftaren har haft för avsikt att ge de behöriga myndigheterna ett stort utrymme för skönsmässig bedömning vid tillämpningen av den bestämmelsen, eftersom de villkoren endast kan tolkas från fall till fall, med beaktande av omständigheterna i det enskilda fallet.

25.      Med hänsyn härtill anser jag att, såsom kommissionen har påpekat i sina skriftliga yttranden, en viss åtskillnad kan göras utifrån de olika grader av ingrepp som de olika behandlingstyperna innebär i den registrerades rättigheter. Den hänskjutande domstolen kan således, om den anser det lämpligt i det enskilda fallet, göra åtskillnad mellan användning av ”statiska” uppgifter om den registrerade (såsom ålder(20) eller kön) och användning av ”beteendemässiga” uppgifter (såsom kartläggning av användarnas surfvanor), där den sistnämnda användningen, i allmänhet, är mer inkräktande på den registrerades rättigheter. Vad särskilt gäller ”beteendemässiga” uppgifter kan en ytterligare åtskillnad göras mellan insamling av uppgifter om ett ”aktivt” beteende (såsom att klicka på gilla-knappen) och insamling av uppgifter om ett ”passivt” beteende (till exempel att bara besöka en webbplats), där den sistnämnda i regel är mer inkräktande för användaren. Åtskillnad kan dessutom även göras mellan behandling av personuppgifter som insamlats på och utanför Facebook-plattformen, det vill säga på webbplatser, andra applikationer än Facebook eller på användarnas utrustning, där den sistnämnda är mer inkräktande än den förstnämnda.(21)

26.      Inom ramen för den här bedömningen är det, enligt min mening, också viktigt att beakta de registrerades rimliga förväntningar.(22)

27.      I en sådan situation som den som förelåg innan dataskyddsförordningen trädde i kraft, där behandling av personuppgifter som hade inhämtats utanför Facebook-plattformen inte grundade sig på samtycke utan snarare på den omständigheten att behandlingen var nödvändig för att fullgöra avtalet i den mening som avses i artikel 6.1 b i den förordningen,(23) ska dessutom hänsyn tas till den restriktiva tolkning som EU-domstolen har gjort av den bestämmelsen.(24) Det är följaktligen viktigt att undvika, såsom den italienska regeringen har påpekat i sina skriftliga yttranden, att en vid tolkning av principen om uppgiftsminimering i den mening som avses i artikel 5 i nämnda förordning kan innebära att de personuppgiftsansvariga får utöka de kategorier av personuppgifter som anses vara nödvändiga för att fullgöra avtalet i den mening som avses i artikel 6.1 b i den förordningen.

28.      Mot bakgrund av ovanstående föreslår jag att svaret på den andra tolkningsfrågan blir att artikel 5.1 c i dataskyddsförordningen ska tolkas så, att den utgör hinder för att personuppgifter behandlas med syftet att skapa riktade annonser utan inskränkning i tid eller till typen av uppgifter och att det ankommer på den hänskjutande domstolen att bedöma, med beaktande av omständigheterna i det enskilda fallet och med tillämpning av proportionalitetsprincipen, i vilken utsträckning lagringstiden för uppgifterna och mängden av de uppgifter som behandlas är motiverade med hänsyn till det legitima målet att behandla de uppgifterna för personanpassning av annonser.

 Den fjärde tolkningsfrågan

29.      Genom sin fjärde tolkningsfråga vill den hänskjutande domstolen få klarhet i huruvida artikel 5.1 b, jämförd med artikel 9.2 e, i dataskyddsförordningen ska tolkas så, att ett uttalande av en person om sin sexuella läggning inom ramen för en paneldiskussion möjliggör behandling från Meta Platforms Irelands sida av andra uppgifter angående vederbörandes sexuella läggning i syfte att visa denne personanpassade annonser. Mer allmänt vill den domstolen få klarhet i räckvidden av den sistnämnda bestämmelsen och har, närmare bestämt, tagit upp frågan hur allmänheten ska ha erhållit känsliga uppgifter om denna person för att artikel 9.2 i dataskyddsförordningen ska vara tillämplig.

 Huruvida tolkningsfrågan är relevant

30.      Meta Platforms Ireland har i sina skriftliga och muntliga yttranden förtydligat, vilket var något som inte bestreds av de övriga parterna under förhandlingen, att bolaget inte vid något tillfälle under förfarandet vid de nationella domstolarna har åberopat det undantag som föreskrivs i artikel 9.2 e i dataskyddsförordningen som rättslig grund för den aktuella behandlingen av uppgifterna.(25)

31.      I en sådan situation är det emellertid uppenbart att den fjärde tolkningsfrågan saknar relevans, eftersom det undantaget inte är tillämpligt i förevarande mål.(26)

32.      Sedan detta klargjorts ska det erinras om att i ett förfarande enligt artikel 267 FEUF, vilket grundar sig på en tydlig uppdelning mellan de nationella domstolarnas och EU-domstolens uppgifter, ska nationella domstolars frågor om tolkningen av unionsrätten enligt EU-domstolens fasta praxis presumeras vara relevanta. Dessa frågor ställs mot bakgrund av den beskrivning av omständigheterna i målet och tillämplig lagstiftning som den nationella domstolen på eget ansvar har lämnat(27) och vars riktighet det inte ankommer på EU-domstolen att pröva.(28)

33.      I följande punkter kommer jag därför att föreslå ett svar på den hänskjutande domstolens fjärde tolkningsfråga, utan att detta påverkar EU-domstolens ställningstagande till huruvida den frågan är relevant.

 Tolkningsfrågan i sak

34.      Jag vill inledningsvis erinra om att enligt artikel 5.1 b i dataskyddsförordningen, i vilken principen om ändamålsbegränsning stadfästs, ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Enligt artikel 9.1 i den förordningen är det förbjudet att behandla personuppgifter om bland annat en fysisk persons sexualliv eller sexuella läggning, såvida inte sådan behandling omfattas av tillämpningsområdet för något av de undantag som föreskrivs i artikel 9.2 i nämnda förordning.(29)

35.      I artikel 9.2 e i dataskyddsförordningen anges närmare bestämt att förbudet mot behandling av känsliga personuppgifter inte ska gälla om behandlingen rör personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade. Såsom jag påpekade i mitt förslag till avgörande i målet Meta Platforms m.fl. (Allmänna användarvillkor för ett socialt nätverk),(30) innebär användningen av adverbialet ”på ett tydligt sätt” i bestämmelsens lydelse att bestämmelsen utgör ett undantag från det principiella förbudet mot behandling av känsliga uppgifter att detta undantag ska tillämpas synnerligen strikt, på grund av de betydande riskerna för de registrerades grundläggande fri- och rättigheter.(31) För att nämnda undantag ska vara tillämpligt krävs enligt min mening att användaren är fullt medveten om att han eller hon, genom en explicit handling, offentliggör personuppgifter för vem som helst.(32)

36.      I det nationella målet har känsliga uppgifter om klagandens sexuella läggning lämnats ut utanför Facebook-plattformen (”off-site”) och alla andra plattformar eller it-applikationer, inom ramen för en paneldiskussion som kommissionen anordnat(33) och i syfte att avslöja Meta Platforms Irelands påstått olagliga behandling av uppgifter om denna sexuella läggning.(34)

37.      EU-domstolen har, i detta hänseende, redan haft tillfälle att uttala sig om användningen av uppgifter ”off-site” i samband med andra plattformar, i domen, Meta Platforms m.fl. (Allmänna användarvillkor för ett socialt nätverk).(35) Vid det tillfället slog EU-domstolen fast att artikel 9.2 e i dataskyddsförordningen ska tolkas så, att när en användare av ett digitalt socialt nätverk besöker webbplatser eller applikationer som rör en eller flera av de kategorier av personuppgifter som avses i artikel 9.1 i dataskyddsförordningen, offentliggör inte användaren på ett tydligt sätt, i den mening som avses i den förstnämnda bestämmelsen, de uppgifter rörande besöket som operatören av det digitala sociala nätverket samlar in via ”cookies” eller liknande registreringstekniker. EU-domstolen slog även fast att när användaren för in uppgifter på sådana webbplatser eller i sådana applikationer eller när han eller hon klickar på knappar på sådana webbplatser eller i sådana applikationer, såsom ”Gilla” eller ”Dela” eller knappar som gör det möjligt för användaren att identifiera sig på webbplatsen eller i applikationen genom att använda inloggningsuppgifterna för dennes konto på det digitala sociala nätverket, dennes telefonnummer eller dennes e‑postadress, offentliggör användaren endast de uppgifter som sålunda införts eller genererats genom klickningen på knapparna på ett tydligt sätt, i den mening som anges i artikel 9.2 e i dataskyddsförordningen, om han eller hon på förhand klart gett uttryck för sitt val – i förekommande fall med stöd av individuella inställningar som gjorts på ett informerat sätt – att göra uppgifterna om vederbörande tillgängliga för ett obegränsat antal personer.(36)

38.      Den hänskjutande domstolen har emellertid ansett det nödvändigt att vidhålla sin fjärde tolkningsfråga, eftersom de handlingar som EU‑domstolen prövade i det sistnämnda målet avsåg besök på webbplatser eller applikationer samt klickning på knappar som är integrerade i dessa, medan det i förevarande fall rör sig om ett uttalande som den registrerade har gjort om sin sexuella läggning i samband med en paneldiskussion. Den hänskjutande domstolen anser härvidlag att ett sådant uttalande inte kan anses utgöra ett samtycke i den mening som avses i artikel 9.2 e i dataskyddsförordningen.

39.      Jag anser att en åtskillnad bör göras i detta hänseende mellan den föregående frågan huruvida klagandens uttalande om sin sexuella läggning utgör en handling genom vilken denne på ett tydligt sätt har offentliggjort denna läggning i den mening som avses i artikel 9.2 e i dataskyddsförordningen, å ena sidan, och frågan, för det fall den förstnämnda frågan besvaras jakande, huruvida den omständigheten att vederbörande på ett tydligt sätt har offentliggjort sin sexuella läggning möjliggör behandling av uppgifter angående den sexuella läggningen med syftet att skapa personanpassade annonser enligt bland annat artiklarna 5 och 6 i den förordningen, å andra sidan.

40.      Vad för det första gäller den kvalificering som bör göras av klagandens uttalande enligt artikel 9.2 a i dataskyddsförordningen, konstaterar jag, i avsaknad av användbar vägledning i förarbetena till den bestämmelsen och i tillämpningen av den i rättspraxis,(37) att undantaget i artikel 9.2 e i den förordningen, i huvudsak, kräver att två kumulativa villkor är uppfyllda, nämligen dels det ”objektiva” villkoret, att de aktuella personuppgifterna ”på ett tydligt sätt har offentliggjorts”, dels det ”subjektiva” villkoret, att det är den ”registrerade” som på ett tydligt sätt offentliggör dessa uppgifter.

41.      I det nationella målet anser jag, med förbehåll för de kontroller som det ankommer på den hänskjutande domstolen att göra, att båda dessa villkor är uppfyllda. Jag anser nämligen att det uttalande som klaganden har gjort utgör en handling genom vilken han, med full kännedom om omständigheterna, på ett tydligt sätt offentliggör sin sexuella läggning, även om detta gjordes i förbifarten inom ramen för en bredare diskussion där kritik riktades mot Meta Platforms Irelands behandling av känsliga personuppgifter.

42.      Vad det första villkoret beträffar anser jag att det är högst sannolikt att klagandens uttalande, med hänsyn till att paneldiskussionen var öppen, direktsändes och därefter sändes via streaming(38) och till allmänhetens intresse av den fråga som togs upp under den, kan nå en mycket större publik, även en oändligt stor sådan, än bara den som var närvarande i salen.(39)

43.      Vad gäller det andra villkoret är det enligt min mening rimligt att anta att klaganden, genom att öppet nämna sin sexuella läggning under omständigheterna i det enskilda fallet (i synnerhet i samband med ett öppet evenemang vid vilket pressen fick närvara), kanske inte hade för avsikt men åtminstone var fullt medveten om att hans läggning ”på ett tydligt sätt offentliggjordes” enligt den rättspraxis som anges i punkt 35 i förevarande förslag till avgörande.(40)

44.      För övrigt är syftet med det skydd som ges genom artikel 9.1 i dataskyddsförordningen, enligt min mening, att undvika att den registrerade får utstå de skadliga konsekvenser (däribland offentlig vanära eller diskriminering) som, bland annat, härrör från en negativ uppfattning, ur social eller ekonomisk synvinkel, av de situationer som räknas upp i den artikeln.(41) I den bestämmelsen föreskrivs därför ett särskilt skydd av sådana personuppgifter genom ett principiellt förbud som inte är absolut, vars tillämpning i det aktuella fallet är beroende av den bedömning som den registrerade gör, som är den bäst som kan bedöma de skadliga konsekvenser som kan uppstå till följd av att ifrågavarande uppgifter röjs och som eventuellt kan avstå från skyddet eller åberopa detta, med full kännedom om omständigheterna, genom att på ett tydligt sätt offentliggöra sin situation, däribland sin sexuella läggning, enligt artikel 9.2 e i den förordningen.

45.      Vad för det andra gäller bedömningen av hur det faktum att klaganden på ett tydligt sätt har offentliggjort sin sexuella läggning har påverkat Meta Platforms Irelands behandling av dessa känsliga uppgifter i enlighet med artiklarna 5 och 6 i dataskyddsförordningen, anser jag att den omständigheten att uppgifterna på ett tydligt sätt har offentliggjorts i den mening som avses i artikel 9.2 e i den förordningen inte i sig rättfärdigar behandling av dessa uppgifter enligt nämnda förordning.

46.      Tillämpningen av den sistnämnda bestämmelsen får nämligen endast till följd att det ”särskilda skyddet” för vissa särskilt känsliga personuppgifter inte längre föreligger. När den registrerade själv (som på ett tydligt sätt har offentliggjort de känsliga personuppgifterna) medvetet har avstått från detta skydd blir dessa uppgifter, som ursprungligen var ”skyddade”, ”vanliga” (det vill säga icke-känsliga) uppgifter som, precis som alla andra personuppgifter, endast får behandlas på de villkor för laglig behandling som i synnerhet föreskrivs i artiklarna 6 och 7 i dataskyddsförordningen och med iakttagande av principerna för behandling av de uppgifterna, vilka i synnerhet stadfästs i artikel 5 i den förordningen,(42) däribland principen om ändamålsbegränsning i artikel 5.1 b i nämnda förordning, där det föreskrivs att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål, vilket det ankommer på den personuppgiftsansvarige att visa enligt punkt 2 i den bestämmelsen.(43)

47.      Den omständigheten att klaganden har uttalat sig om sin sexuella läggning inom ramen för en paneldiskussion kan således inte i sig motivera en behandling av personuppgifter som avslöjar den personens sexuella läggning, även om slutsatsen kan dras att personen, under i förevarande fall rådande omständigheter, ”på ett tydligt sätt har offentliggjort” uppgifterna i den mening som avses i artikel 9.2 e i dataskyddsförordningen.(44)

48.      Mot bakgrund av ovanstående föreslår jag att svaret på den fjärde tolkningsfrågan blir att artikel 5.1 b, jämförd med artikel 9.2 e, i dataskyddsförordningen, ska tolkas så, att ett uttalande om den egna sexuella läggningen inom ramen för en paneldiskussion, trots att detta kan utgöra en handling genom vilken personen i fråga ”på ett tydligt sätt har offentliggjort” denna uppgift i den mening som avses i artikel 9.2 e i den förordningen, inte i sig möjliggör behandling av dessa uppgifter eller av andra uppgifter angående den personens sexuella läggning i syfte att sammanställa och analysera personuppgifter för personanpassning av annonser.

 Förslag till avgörande

49.      Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen ska besvara den andra och den fjärde tolkningsfrågan från Oberster Gerichtshof (Högsta domstolen, Österrike) på följande sätt:

1)      Artikel 5.1 c i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)

ska tolkas så,

–        att den utgör hinder för att personuppgifter behandlas med syftet att skapa riktade annonser utan inskränkning i tid eller till typen av uppgifter, och

–        att det ankommer på den hänskjutande domstolen att bedöma, med beaktande av omständigheterna i det enskilda fallet och med tillämpning av proportionalitetsprincipen, i vilken utsträckning lagringstiden för uppgifterna och mängden av de uppgifter som behandlas är motiverade med hänsyn till det legitima målet att behandla de uppgifterna för personanpassning av annonser.

2)      Artikel 5.1 b, jämförd med 9.2 e, i förordning 2016/679

ska tolkas så,

–        att ett uttalande om den egna sexuella läggningen inom ramen för en paneldiskussion som är öppen för allmänheten, trots att detta kan utgöra en handling genom vilken personen i fråga ”på ett tydligt sätt har offentliggjort” denna uppgift i den mening som avses i artikel 9.2 e i den förordningen, inte i sig möjliggör behandling av dessa uppgifter eller av andra uppgifter angående den personens sexuella läggning i syfte att sammanställa och analysera personuppgifter för personanpassning av annonser.

1      Originalspråk: franska.

2      Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen).

3      Detta sociala nätverk möjliggör nedladdning och delning av innehåll på ett individanpassat sätt, utifrån de parametrar som användaren på förhand har valt, samt direktkommunikation med andra användare eller utbyte av uppgifter med dem.

4      Dessa annonser syftar närmare bestämt till att för användaren presentera produkter och tjänster som denne kan vara intresserad av, bland annat baserat på vederbörandes personliga konsumtionsmönster, intressen, köpkraft och personliga situation (plats, ålder, kön osv.). Samtidigt kan annonsörer, genom ”Facebook Business Tools” (Facebook-affärsverktyg), skapa riktade annonser och kontrollera hur effektiv deras reklam är med hjälp av analyssystem som bygger på algoritmer som söker efter samband och mönster för att dra motsvarande slutsatser av dem.

5      För dessa ändamål använder motparten sig av tekniker som ”cookies” (kakor), som möjliggör användning av ”social plug-ins” (sociala insticksprogram, såsom gilla-knappen) eller ”pixels”, som är informationsverktyg som finns installerade på Facebooks webbplats, på webbplatser och på tredjepartsapplikationer. Med hjälp av dessa verktyg går det i praktiken att inhämta vissa uppgifter om en användare som besöker sådana webbplatser eller som använder sådana applikationer som innehåller dessa och att sammanställa dem och på så sätt skapa en användarprofil, utifrån vilken personanpassade annonser kan visas för användaren.

6      Meta Platforms Ireland har, i sina skriftliga och muntliga yttranden, närmare angett att under perioden före det att dataskyddsförordningen trädde i kraft grundade sig behandlingen av personuppgifter som hade insamlats på dess plattform för personanpassning av annonser inte på klagandens samtycke, utan huvudsakligen på motiveringen att behandlingen av de uppgifterna var nödvändig för att fullgöra avtalet. Behandlingen av personuppgifter som hade insamlats på webbplatser eller tillämpningar utanför dess nätverk grundade sig däremot på användarens samtycke, varvid denne kunde förhindra behandling av de uppgifterna, utan att för den skull avstå från Facebooks tjänster. I förevarande fall påstår sig bolaget inte ha behandlat personuppgifter avseende klaganden vilka har insamlats utanför dess plattform, på grund av att klaganden inte gav sitt samtycke till detta när han registrerade sig på det sociala nätverket Facebook år 2008. Från och med det att dataskyddsförordningen trädde i kraft har Facebook däremot inhämtat samtycke till behandling av personuppgifter som insamlats antingen på dess nätverk eller på externa webbplatser eller applikationer, med syftet att skapa personanpassade annonser. Genom att inte ge ett sådant samtycke kan användaren, mot betalning av en avgift, förhindra att personuppgifterna behandlas för personanpassning av annonser. Det förefaller som om dataskyddsmyndigheterna i vissa medlemsstater för närvarande är i färd med att undersöka huruvida de nya användningsvillkoren är förenliga med dataskyddsförordningen.

7      Såsom framgår av beslutet om hänskjutande ger Meta Platforms Ireland inte åtkomst till alla de uppgifter som behandlas, utan enbart till dem som, enligt bolagets uppfattning, är av intresse och relevans för användarna. Dessutom tillåter bolaget radering av vissa typer av innehåll (såsom meddelanden, bilder eller publikationer) från ett Facebook-konto.

8      Det var dessutom bara hans ”vänner”, på hans icke-officiella vänlista, som kunde se inläggen på hans tidslinje eller hans kommande inlägg.

9      Klaganden har dessutom låtit göra en analys av de slutsatser som kan dras av hans vänlista, av vilken det framgick att han hade gjort vapenfri tjänst vid Röda korset i Salzburg (Österrike) och att han var homosexuell. På listan över hans aktiviteter utanför Facebook finns dessutom bland annat applikationer eller möteswebbplatser för homosexuella samt en webbplats för ett österrikiskt politiskt parti. Bland de uppgifter som har lagrats om klaganden finns bland annat en obefintlig e‑postadress och en annan som inte finns angiven på hans Facebook-profil, men som han har använt för att skicka förfrågningar till motparten.

10      Klaganden har, för det första, vid domstolen i första instans, yrkat att motparten ska förpliktas att ingå ett skriftligt avtal om användningen av hans personuppgifter på nätverket Facebook och, i andra hand, att det ska fastställas att det inte finns något sådant avtal och att han inte har gått med på användarvillkoren, för det andra att motparten ska förpliktas att avstå från att behandla hans personuppgifter för personanpassning av annonser eller för aggregering och analys av uppgifter i reklamsyfte, för det tredje att det ska fastställas att det inte finns något giltigt samtycke till behandling för de ändamål som anges i de tidigare riktlinjerna om behandling av uppgifter, beträffande de personuppgifter om honom som motparten har erhållit från tredje part, och för det fjärde att motparten ska förpliktas att avstå från att använda eller behandla hans uppgifter om besök på och användning av tredje parts webbplatser utan ett giltigt samtycke till behandling. Klaganden har i allt väsentligt gjort gällande att godkännandet av användarvillkoren samt de tillhörande riktlinjerna för dataanvändning inte utgör ett samtycke till behandling av personuppgifter som på ett giltigt sätt har lämnats till den personuppgiftsansvarige. Han har även påpekat att Meta Platforms Ireland behandlar känsliga uppgifter om honom, såsom uppgifter om hans politiska övertygelse och sexuella läggning, även om dessa uppgifter inte anges på hans Facebook-profil.

11      Såsom framgår av parternas skriftliga och muntliga yttranden var paneldiskussionen öppen för allmänheten, som i mån av plats kunde få en biljett till den utan kostnad från plattformen Eventbrite (189 personer registrerade sig i slutändan), och paneldiskussionen direktsändes. Dessutom offentliggjordes en inspelning av denna i form av en podcast samt på kommissionens YouTube-kanal.

12      Såsom framgår av beslutet om hänskjutande och av klagandens skriftliga inlagor har klaganden gjort följande uttalande: ”Jag ska nu ge er ett mycket banalt exempel: Man kan härleda min sexuella läggning från min vänlista. Jag har aldrig nämnt att jag är homosexuell på Facebook. Sedan jag var 14 år gammal är det något som jag har ”outat” och som jag inte känner någon oro eller något annat över. Men det är inte något som jag pratar om var och när som helst i det offentliga, för jag säger till mig själv att ”prata nu om dataskydd istället, för annars kommer du att placeras i det facket igen. Och det skulle avleda uppmärksamheten från dataskyddet.”

13      Dessa båda nationella domstolar ansåg, i huvudsak, att den behandling av personuppgifter som Meta Platforms Ireland hade gjort var nödvändig för att fullgöra avtalet i den mening som avses i artikel 6.1 b i dataskyddsförordningen.

14      Jag vill erinra om att den hänskjutande domstolen, i det nationella målet, redan har framställt den begäran om förhandsavgörande till EU-domstolen som var föremål för domen av den 25 januari 2018, Schrems (C‑498/16, EU:C:2018:37).

15      C‑252/21, EU:C:2023:537 (nedan kallad domen Meta Platforms m.fl. (Allmänna användarvillkor för ett socialt nätverk)). Målet om förhandsavgörande vilandeförklarades i avvaktan på den domen. Som svar på EU-domstolens fråga har den hänskjutande domstolen angett att nämnda dom gav svar på den första och den tredje tolkningsfrågan och att den vidhåller sin begäran när det gäller den andra och den fjärde tolkningsfrågan.

16      Se dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) (C‑439/19, EU:C:2021:504, punkt 96 och där angiven rättspraxis).

17      Se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) (C‑439/19, EU:C:2021:504, punkt 98 och där angiven rättspraxis).

18      Så är bland annat fallet när de inte är adekvata, eller inte längre är relevanta eller är för omfattande med hänsyn till dessa ändamål och den tid som gått (se dom av den 24 september 2019, GC m.fl. (Borttagande av länkar till känsliga uppgifter), C‑136/17, EU:C:2019:773, punkt 74 och där angiven rättspraxis).

19      Se den rättspraxis som anges i fotnot 17 i förevarande förslag till avgörande.

20      Utan att det påverkar det faktum att enligt artikel 8 i dataskyddsförordningen får barn under 16 år inte själva ge sitt samtycke enligt artikel 6.1 a i den förordningen vad gäller erbjudande av informationssamhällets tjänster.

21      Jag vill härvidlag erinra om att EU-domstolen, vad gäller begreppet samtycke i den mening som avses i artikel 6.1 första stycket a och artikel 9.2 a i dataskyddsförordningen, bland annat har påpekat att en användare inte rimligen kan förvänta sig att andra uppgifter än de uppgifter som rör deras aktivitet på det sociala nätverket (i förevarande fall Facebook) behandlas av nätverkets operatör och att det kan lämnas ett separat samtycke för behandlingen av sistnämnda uppgifter, å ena sidan, och för behandlingen av andra uppgifter än dessa, å andra sidan (domen Meta Platforms m.fl. (Allmänna användarvillkor för ett socialt nätverk), punkt 151). På samma sätt uttryckte jag, i mitt förslag till avgörande i det målet, tvivel om huruvida det kan vara nödvändigt att samla in och använda personuppgifter utanför det sociala nätverket Facebook för att tillhandahålla de tjänster som erbjuds inom ramen för det nätverket, så att det samtycke som en användare inledningsvis lämnar för att kunna gå med i nätverket (det vill säga skapa en Facebook-profil) på ett giltigt sätt kan omfatta behandling av användarens personuppgifter utanför nätverket (förslag till avgörande i målet Meta Platforms m.fl. (Allmänna användarvillkor för ett socialt nätverk), C‑252/21, EU:C:2022:704, punkt 56 och fotnot 81).

22      När det till exempel gäller den personuppgiftsansvariges berättigade intressen som rättslig grund för behandling, anges i skäl 47 i dataskyddsförordningen att ett sådant berättigat intresse kräver en noggrann bedömning, som inbegriper huruvida den registrerade vid tidpunkten för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en uppgiftsbehandling för detta ändamål kan komma att ske.

23      Se fotnot 6 i förevarande förslag till avgörande.

24      EU-domstolen har nämligen, i huvudsak, slagit fast att, oavsett om den behandling av personuppgifter som föreskrivs i en sådan bestämmelse nämns i avtalet, är den avgörande faktorn vid tillämpningen av den laglighetsgrund som avses i nämnda bestämmelse att den aktuella behandlingen är absolut nödvändig för det korrekta fullgörandet av det avtal som ingåtts mellan den personuppgiftsansvarige och den registrerade och, följaktligen, att det inte finns några andra praktiska lösningar som är mindre ingripande (se, för ett liknande resonemang, domen Meta Platforms m.fl. (Allmänna användarvillkor för ett socialt nätverk) , punkt 99).

25      Se fotnot 6 i detta förslag till avgörande. Såsom framgick vid förhandlingen förefaller Meta Platforms Ireland, i förevarande fall, i det nationella målet ha hänvisat till paneldiskussionen för att vederlägga klagandens argument avseende den påstådda skadan till följd av det psykiska lidande som de personanpassade annonserna orsakade honom och detta för att visa att han inte hade några svårigheter att offentligt tillkännage sin homosexualitet. Den hänskjutande domstolen har således inte ställt frågan om tolkningen av artikel 9.2 i dataskyddsförordningen för att tillämpa det undantag som föreskrivs i den bestämmelsen, utan i ett helt annat sammanhang, nämligen för att pröva den skada som klaganden har åberopat mot bakgrund av Meta Platforms Irelands svaromål.

26      Enligt artikel 5.2 i dataskyddsförordningen ankommer det nämligen på den personuppgiftsansvarige att bevisa att personuppgifterna behandlas i enlighet med den förordningen.

27      Se, analogt, dom av den 4 maj 2023, Glavna direktsia ”Pozharna bezopasnost i zashtita na naselenieto” (Nattarbete) (C‑529/21–C‑536/21 och C‑732/21–C‑738/21, EU:C:2023:374, punkt 57).

28      Se, för ett liknande resonemang, dom av den 13 juli 2023, Ferrovienord (C‑363/21 och C‑364/21, EU:C:2023:563, punkterna 52–55 och där angiven rättspraxis).

29      Såsom anges i skäl 51 i samma förordning bör personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för dessa rättigheter och friheter.

30      C‑252/21, EU:C:2022:704, punkt 42.

31      Se även, för ett liknande resonemang, domen Meta Platforms m.fl. (Allmänna användarvillkor för ett socialt nätverk), punkt 76 och där angiven rättspraxis).

32      Jag vill i detta hänseende påpeka att användningen av verbet ”offentliggöra” i uttrycket ”på ett tydligt sätt har offentliggjorts” tyder på ett aktivt och medvetet agerande från den registrerades sida. Enligt Europeiska dataskyddsstyrelsen (EDPB) innebär ordet ”tydligt” att tröskeln måste vara hög för att det aktuella undantaget ska kunna åberopas. EDPB har vidare noterat att förekomsten av en enda faktor kanske inte alltid är tillräcklig för att fastställa att uppgifterna har offentliggjorts av den registrerade ”på ett tydligt sätt”. I praktiken kan en kombination av faktorer behöva övervägas för att den personuppgiftsansvarige ska kunna visa att den registrerade tydligt har gett uttryck för sin avsikt att offentliggöra uppgifterna och att en bedömning från fall till fall är nödvändig (EDPB, riktlinjer 8/2020, punkt 127). Som exempel nämner EDPB faktorer som standardinställningarna på plattformen för sociala medier, karaktären hos plattformen för sociala medier, hur tillgänglig den sida där de känsliga uppgifterna offentliggörs är, hur synlig den information är genom vilken den registrerade informeras om den offentliga karaktären hos den information som denne offentliggör och om den registrerade själv har offentliggjort de känsliga uppgifterna, eller om uppgifterna i stället har offentliggjorts av en tredje part eller härletts. Se, även, Georgieva, L. och Kuner, C., Article 9. Processing of special categories of personal data, The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 378, där följande anges: ”[i]n this context, ’making public’ should be construed to include publishing the data in the mass media, putting them on online social network platforms or similar actions. However, the data must have been ’manifestly’ made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result” (”I detta sammanhang bör ’offentliggörande’ tolkas så, att det innefattar publicering av uppgifter i massmedier, publicering av dem på sociala nätverksplattformar på internet eller liknande åtgärder. Uppgifterna måste dock ha offentliggjorts ’på ett tydligt sätt’, vilket kräver en bekräftande handling från den registrerades sida och att han eller hon har insett att detta skulle bli resultatet.”)

33      Se fotnot 11 i förevarande förslag till avgörande.

34      Se fotnot 13 i förevarande förslag till avgörande.

35      Punkterna 84 och 85 i denna dom.

36      Se, även, mitt förslag till avgörande i målet Meta Platforms m.fl. (Allmänna användarvillkor för ett socialt nätverk) (C‑252/21, EU:C:2022:704, punkt 46).

37      Jag vill erinra om att ifrågavarande bestämmelse är identisk med den i artikel 8.2 e i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31) och att ingen förklaring gjordes av den bestämmelsen i samband med införandet av den inom ramen för Gemensam ståndpunkt (EG) nr 1/95 antagen av rådet den 20 februari 1995 inför antagandet av Europaparlamentets och rådets direktiv 95/.../EG om skyddet för enskilda personer med avseende på behandlingen av personuppgifter och om det fria flödet av sådana uppgifter (EGT C 83, 1995, s. 1).

38      Se fotnot 11 i förevarande förslag till avgörande.

39      Såsom klaganden själv har medgett i sina skriftliga yttranden kunde hans uttalande till exempel återges på ett helt legitimt sätt i en tidningsartikel om det aktuella evenemanget.

40      Jag vill härvidlag erinra om att klaganden hade en ledande roll i en lång och betydelsefull rättegång mot Meta Platforms Ireland (tidigare Facebook) angående tillämpningen av dataskyddsförordningen och att det därför är rimligt att anta att han var fullt medveten om konsekvenserna av sina uttalanden mot bakgrund av den förordningen. Med hänsyn därtill erinrar jag om skillnaden mellan dels en vilja att tillåta behandling av ”känsliga” uppgifter vilken utgör ett samtycke till behandling av dessa uppgifter i den mening som avses i artikel 9.2 a i dataskyddsförordningen, dels en avsikt eller fullständig medvetenhet om att på ett tydligt sätt offentliggöra nämnda uppgifter, vilket innebär att förbudet mot behandling av de uppgifterna enligt artikel 9.1 i den förordningen inte är tillämpligt, men som inte är tillräcklig som ett godkännande för behandling av de uppgifterna, såsom jag kommer att förklara i punkterna 45–47 i förevarande förslag till avgörande.

41      En person kan till exempel diskrimineras på grund av sin politiska åskådning eller sexuella läggning eller dessutom få utstå orättvisa ekonomiska konsekvenser på grund av sitt hälsotillstånd (bland annat i fråga om sjukförsäkring eller andra liknande situationer).

42      Såsom det erinras om i skäl 51 i dataskyddsförordningen bör nämligen de allmänna principerna och andra bestämmelser i den förordningen tillämpas, utöver de särskilda kraven för behandling av personuppgifter, särskilt när det gäller villkoren för laglig behandling. Enligt artikel 22.4 i nämnda förordning får beslut som enbart grundas på automatisk behandling inte grunda sig på de särskilda kategorier av personuppgifter som avses i artikel 9.1 i den förordningen, såvida inte artikel 9.2 a eller g gäller och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits.

43      EU-domstolen uttalade sig nyligen på samma sätt när det gäller tolkningen av artikel 9.2 h i dataskyddsförordningen, jämförd med artiklarna 5.1 a och 6.1 i den förordningen, och påpekade att en behandling av uppgifter om hälsa med stöd av den förstnämnda bestämmelsen, för att vara laglig, måste uppfylla både de krav som följer av denna bestämmelse och de skyldigheter som följer av de två sistnämnda bestämmelserna samt, i synnerhet, uppfylla åtminstone ett av de laglighetsvillkor som anges i artikel 6.1 i nämnda förordning (dom av den 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 78).

44      Särskilt eftersom den hänskjutande domstolen i det nationella målet vill få klarhet i huruvida det uttalande som gjordes vid den aktuella paneldiskussionen möjliggör behandling av andra personuppgifter, i synnerhet sådana som har samlats in från tredjepartsapplikationer.