Väliaikainen versio

JULKISASIAMIEHEN RATKAISUEHDOTUS

ATHANASIOS RANTOS

25 päivänä huhtikuuta 2024 (1)

Asia C‑446/21

Maximilian Schrems

vastaan

Meta Platforms Ireland Limited, aiemmin Facebook Ireland Limited

(Ennakkoratkaisupyyntö – Oberster Gerichtshof (ylin tuomioistuin, Itävalta))

Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – Yhteisöpalvelut – 5 artiklan 1 kohdan b alakohta – Käyttötarkoitussidonnaisuuden periaate – 5 artiklan 1 kohdan e alakohta – Tietojen minimoinnin periaate – 9 artiklan 1 kohta ja 2 kohdan e alakohta – Erityisiä henkilötietoryhmiä koskeva käsittely – Henkilötiedot, jotka rekisteröity on nimenomaisesti saattanut julkisiksi – Personoitu mainonta – Seksuaalista suuntautumista koskevat tiedot

 Johdanto

1.        Tämän ennakkoratkaisupyynnön on esittänyt Oberster Gerichtshof (ylin tuomioistuin, Itävalta) asiassa, jossa ovat vastakkain Facebook-yhteisöpalvelua käyttävä Maximilian Schrems (jäljempänä valittaja) ja Meta Platforms Ireland Limited, aiemmin Facebook Ireland Limited, (jäljempänä Meta Platforms Ireland tai vastapuoli) ja joka koskee sitä, että kyseinen yhtiö on käsitellyt väitetysti laittomasti Schremsin henkilötietoja.

2.        Käsiteltävässä asiassa esitetyt ennakkoratkaisukysymykset koskevat yhtäältä asetuksen (EU) 2016/679(2) 5 artiklan 1 kohdan c alakohdassa säädetyn tietojen minimoinnin periaatteen soveltamista ja toisaalta kyseisen asetuksen 9 artiklan 2 kohdan e alakohdassa, luettuna yhdessä kyseisen asetuksen 5 artiklan 1 kohdan b alakohdan kanssa, jossa otetaan käyttöön käyttötarkoitussidonnaisuuden periaate, tarkoitetun käsitteen ”henkilötiedot, jotka rekisteröity on nimenomaisesti saattanut julkisiksi” tulkintaa. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä yhtäältä, mahdollistaako tietojen minimoinnin periaate henkilötietojen käsittelyn ilman ajallista tai tietojen luonteeseen perustuvaa rajoitusta, ja toisaalta, mahdollistaako henkilön paneelikeskustelun aikana antama lausuma omasta seksuaalisesta suuntautumisestaan sen, että muita hänen seksuaaliseen suuntautumiseensa liittyviä tietoja käsitellään personoidun mainonnan tarkoituksiin.

 Asiaa koskevat oikeussäännöt

3.        Yleisen tietosuoja-asetuksen 4 artiklan, jonka otsikko on ”Määritelmät”, 11 alakohdassa säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

– –

11)      rekisteröidyn ’suostumuksella’ mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen.”

4.        Kyseisen asetuksen 5 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.      Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

a)      niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);

b)      ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; – –

c)      niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (’tietojen minimointi’);

– –

2.      Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

5.        Kyseisen asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1 ja 3 kohdassa säädetään seuraavaa:

”1.      Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

a)      rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;

b)      käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä;

– –

f)      käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.

Ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.

– –

3.      Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko:

a)      unionin oikeudessa; tai

b)      rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.

– –

– – Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.”

6.        Saman asetuksen 7 artiklassa, jonka otsikko on ”Suostumuksen edellytykset”, säädetään seuraavaa:

”1.      Jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn.

– –

3.      Rekisteröidyllä on oikeus peruuttaa suostumuksensa milloin tahansa. Suostumuksen peruuttaminen ei vaikuta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen. Ennen suostumuksen antamista rekisteröidylle on ilmoitettava tästä. Suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antaminen.

4.      Arvioitaessa suostumuksen vapaaehtoisuutta on otettava mahdollisimman kattavasti huomioon muun muassa se, onko sopimuksen täytäntöönpanon, mukaan lukien palvelun tarjoamisen, ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten.”

7.        Yleisen tietosuoja-asetuksen 9 artiklan, jonka otsikko on ”Erityisiä henkilötietoryhmiä koskeva käsittely”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.      Sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, sekä geneettisten tietojen käsittely, biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely on kiellettyä.

2.      Edellä olevaa 1 kohtaa ei sovelleta, jos sovelletaan jotakin seuraavista:

a)      rekisteröity on antanut nimenomaisen suostumuksensa kyseisten henkilötietojen käsittelyyn yhtä tai useampaa tiettyä tarkoitusta varten, paitsi jos unionin oikeudessa tai jäsenvaltion lainsäädännössä säädetään, että 1 kohdassa tarkoitettua kieltoa ei voida kumota rekisteröidyn suostumuksella;

b)      käsittely on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä tai jäsenvaltion lainsäädännön mukaisessa työehtosopimuksessa, jossa säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista;

– –

e)      käsittely koskee henkilötietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi;

– –”

8.        Kyseisen asetuksen 13 artiklan, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, 1 kohdassa säädetään seuraavaa:

”Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:

– –

c)      henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste;

d)      rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut, jos käsittely perustuu 6 artiklan 1 kohdan f alakohtaan;

– –”

 Pääasia, ennakkoratkaisukysymykset ja asian käsittelyn vaiheet unionin tuomioistuimessa

9.        Meta Platforms Ireland, joka on Irlannin oikeuden mukaan perustettu yhtiö, hallinnoi suljettua Facebook-viestintäverkostoa, joka koostuu lähinnä sisältöjen jakamiseen tarkoitetusta verkkoyhteisöpalvelusta.(3) Sen liiketoimintamalli koostuu lähinnä ilmaisten yhteisöpalvelujen tarjoamisesta sen yksityisille käyttäjille ja verkkomainonnan, myös sen käyttäjille kohdennetun mainonnan, myymisestä.(4) Tämä mainonta perustuu pääasiallisesti kyseisten yhteisöpalvelujen käyttäjien varsin yksityiskohtaisten profiilien automatisoituun laatimiseen.(5)

10.      Meta Platforms Ireland asetti vuonna 2018 yleisen tietosuoja-asetuksen voimaantulon jälkeen käyttäjilleen Euroopan unionissa uusia Facebookin käyttöehtoja hankkiakseen heidän suostumuksensa, jota Facebookin tileille ja palveluihin rekisteröityminen tai niiden käyttäminen edellyttävät.(6) Nämä uudet käyttöehdot antavat käyttäjille myös mahdollisuuden tarkastella ja valvoa tallennettuja tietoja.(7)

11.      Valittaja on Facebookin käyttäjä, joka on hyväksynyt Facebookin asettamat uudet käyttöehdot. Kuten ennakkoratkaisupyynnöstä ilmenee, hän on julkisesti viitannut homoseksuaalisuuteensa mutta ei ole koskaan maininnut seksuaalista suuntautumistaan eikä julkaissut mitään arkaluonteisia tietoja Facebook-profiilissaan.(8) Valittaja ei ole myöskään antanut vastaajalle lupaa käyttää kohdennettua mainontaa varten profiilinsa kenttiä, jotka koskevat hänen rakkauselämäänsä, työnantajaansa, työpaikkaansa tai koulutustaan.

12.      Valittaja sai kuitenkin erään naispoliitikon mainoksen sellaisen analyysin perusteella, jonka mukaan hän muistutti muita ”asiakkaita”, jotka olivat ”tykänneet” siitä, ja hän sai säännöllisesti homoseksuaaleille suunnattuja mainoksia ja kutsuja vastaaviin tapahtumiin, vaikka hän ei ollut koskaan aiemmin ollut kiinnostunut tällaisista tilaisuuksista eikä edes tuntenut paikkoja, joissa niitä järjestettiin. Nämä mainokset tai kutsut eivät perustuneet suoraan valittajan ja hänen yhteisöpalvelun ”kavereidensa” seksuaaliseen suuntautumiseen vaan heidän kiinnostuksen kohteidensa analyysiin.(9) Lisäksi Meta Platforms Ireland rekisteröi kaikki valittajaa koskevat tiedot, myös kolmansien osapuolten tai liitännäisten kautta saadut tiedot, ja säilytti ne ennalta määrittelemättömän ajan.

13.      Tässä tilanteessa valittaja nosti Landesgericht für Zivilsachen Wienissä (Wienin osavaltion siviilituomioistuin, Itävalta) suoritus-, vahvistus- ja kieltokanteen, joka koski Meta Platforms Irelandin hänen henkilötietojensa lainvastaiseksi väitettyä käsittelyä.(10)

14.      Valittaja mainitsi sittemmin seksuaalisen suuntautumisensa Euroopan komission Wienin (Itävalta) edustuston 12.2.2019 järjestämässä paneelikeskustelussa(11) pitämässään puheenvuorossa, jonka tarkoituksena oli paljastaa Meta Platforms Irelandin käsitelleen tätä seksuaalista suuntautumista koskevia tietoja lainvastaisesti.(12)

15.      Koska hänen kanteensa hylättiin ensimmäisessä oikeusasteessa 30.6.2020 annetulla tuomiolla ja koska myös Oberlandesgericht Wien (Wienin osavaltion ylioikeus, Itävalta) hylkäsi tästä tuomiosta tehdyn valituksen muutoksenhakuasteessa 7.12.2020 antamallaan tuomiolla,(13) valittaja teki Revision-valituksen ennakkoratkaisua pyytäneeseen Oberster Gerichtshofiin.

16.      Tässä tilanteessa Oberster Gerichtshof on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle neljä ennakkoratkaisukysymystä.(14) Koska ensimmäinen ja kolmas ennakkoratkaisukysymys on peruutettu 4.7.2023 annetun tuomion Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot)(15)johdosta, nyt käsiteltävä asia koskee toista ja neljättä kysymystä, jotka on muotoiltu seuraavasti:

”2)      Onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa (tietojen minimointi) tulkittava siten, että kaikkia henkilötietoja, joita pääasian oikeudenkäynnissä kyseessä olevan kaltaisella alustalla on käytettävissään (etenkin rekisteröidyn tai kolmansien välityksellä alustalla ja sen ulkopuolella), voidaan kerätä, analysoida ja käsitellä ilman ajallisia rajoituksia tai tietojen luonnetta koskevia rajoituksia kohdennetun mainonnan tarkoituksiin?

4)      Onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä 9 artiklan 2 kohdan e alakohdan kanssa, tulkittava siten, että oman seksuaalisen suuntautumisen kertominen paneelikeskustelua varten mahdollistaa seksuaalista suuntautumista koskevien muiden tietojen käsittelyn, jolla on tarkoitus kerätä ja analysoida tietoja personoidun mainonnan tarkoituksiin?”

17.      Valittaja, Meta Platforms Ireland, Itävallan, Ranskan, Italian ja Portugalin hallitukset sekä komissio ovat esittäneet kirjallisia huomautuksia. Valittaja, Meta Platforms Ireland, Itävallan hallitus ja komissio esittivät suullisia huomautuksia 8.2.2024 pidetyssä istunnossa.

 Asian tarkastelu

 Toinen ennakkoratkaisukysymys

18.      Toisella ennakkoratkaisukysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa, jossa vahvistetaan tietojen minimoinnin periaate, tulkittava siten, että kaikkia henkilötietoja, joita Facebookin kaltaisella yhteisöpalvelulla on käytettävissään etenkin rekisteröidyn tai kolmansien välityksellä kyseisellä alustalla ja sen ulkopuolella, voidaan kerätä, analysoida ja käsitellä ilman ajallisia tai tietojen luonnetta koskevia rajoituksia kohdennetun mainonnan tarkoituksiin.

19.      Aluksi on muistutettava, että kaikessa henkilötietojen käsittelyssä on yhtäältä noudatettava tietojen käsittelyä koskevia periaatteita, jotka mainitaan yleisen tietosuoja-asetuksen 5 artiklassa, ja toisaalta sen osalta on täytyttävä jokin tietojen käsittelyn laillisuutta koskevista periaatteista, jotka luetellaan kyseisen asetuksen 6 artiklassa.(16)

20.      Unionin tuomioistuin on täsmentänyt erityisesti henkilötietojen käsittelyä koskevista periaatteista, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa mainitun tietojen minimoinnin periaatteen mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja ne on rajattava siihen, mikä on tarpeen niitä tarkoituksia varten, joita varten niitä käsitellään, mikä on ilmaus lähinnä suhteellisuusperiaatteesta.(17) Tietojen minimoinnin periaatteella pyritään siten minimoimaan kyseisestä käsittelystä aiheutuvat henkilötietojen suojaa koskevan oikeuden rajoitukset.

21.      Käsiteltävässä asiassa on mielestäni selvää, että ennakkoratkaisua pyytäneen tuomioistuimen olettaman kaltainen rajoituksen mahdollinen puuttuminen olisi lähtökohtaisesti ristiriidassa tietojen minimoinnin periaatteen soveltamisen kanssa. Unionin tuomioistuimelle toimitetusta asiakirja-aineistosta ei kuitenkaan ilmene mitään seikkaa, joka voisi vahvistaa tai sulkea pois tällaisen oletuksen, joka kuuluu joka tapauksessa ennakkoratkaisua pyytäneen tuomioistuimen arvioinnin piiriin. Pyrin kuitenkin antamaan kyseiselle tuomioistuimelle joitakin tarkasteltavana olevan säännöksen tulkintaa koskevia hyödyllisiä ohjeita, joiden avulla se voi ratkaista siinä vireillä olevan asian.

22.      Katson yhtäältä henkilötietojen käsittelyn ajallisesta rajoittamisesta, että koska yleisessä tietosuoja-asetuksessa ei ole tätä koskevaa erityissäännöstä, unionin tuomioistuimet eivät voi asettaa pakottavaa aikarajaa tällaisten tietojen säilyttämiselle. Unionin tuomioistuin on lisäksi todennut, että jopa paikkansapitävien tietojen alun perin laillinen käsittely voi ajan myötä muuttua yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c ja e alakohdan kanssa yhteensopimattomaksi, jos kyseiset tiedot eivät ole enää tarpeen siihen tarkoitukseen, johon ne on kerätty ja jossa niitä on käsitelty.(18) Ennakkoratkaisua pyytäneen tuomioistuimen asiana on arvioida käsiteltävän asian olosuhteet huomioon ottaen ja suhteellisuusperiaatetta soveltaen,(19) missä määrin Meta Platforms Irelandin noudattama henkilötietojen säilyttämisaika on perusteltu, kun otetaan huomioon näiden tietojen personoidun mainonnan tarkoituksiin tehtävän käsittelyn oikeutettu päämäärä.

23.      Katson toisaalta henkilötietojen käsittelyn rajoittamisesta tietojen luonteen perusteella, että ennakkoratkaisua pyytäneen tuomioistuimen asiana on myös käsiteltävän asian olosuhteissa määrittää, minkä henkilötietojen käsittelyä voidaan suhteellisuusperiaatteen mukaan pitää oikeutettuna.

24.      Lisäksi yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan sanamuotoon sisältyvät viittaukset hyvin yleisiin edellytyksiin, kuten ”asianmukaisuuteen”, ”olennaisuuteen” ja ”tarpeellisuuteen”, osoittavat mielestäni, että unionin lainsäätäjän tarkoituksena on ollut jättää toimivaltaisille viranomaisille laaja harkintavalta kyseisen säännöksen soveltamisessa, koska näitä edellytyksiä voidaan tulkita vain tapauskohtaisesti siten, että otetaan huomioon käsiteltävän asian olosuhteet.

25.      Tämän täsmennyksen jälkeen katson, että kuten komissio totesi kirjallisissa huomautuksissaan, tiettyjä erotteluja voidaan tehdä sen mukaan, missä määrin eri käsittelymuodoilla puututaan rekisteröidyn oikeuksiin. Jos ennakkoratkaisua pyytänyt tuomioistuin pitää sitä asianmukaisena, se voisi siis yhtäältä erottaa toisistaan rekisteröidyn ”staattisten” tietojen (kuten iän(20) tai sukupuolen) käytön ja ”käyttäytymistietojen” (kuten käyttäjien selaustottumusten seurannan) käytön, koska jälkimmäisellä puututaan yleensä enemmän rekisteröidyn oikeuksiin. Erityisesti ”käyttäytymistietojen” osalta voitaisiin myöhemmin erottaa toisistaan ”aktiivista” toimintaa (kuten ”tykkää”-painikkeen klikkaamista) koskevien tietojen kerääminen ja ”passiivista” käyttäytymistä (kuten pelkkää verkkosivustolla käyntiä) koskevien tietojen kerääminen, koska jälkimmäinen on yleensä käyttäjän kannalta intrusiivisempaa. Toisaalta voitaisiin erottaa toisistaan myös Facebook-alustalla kerättyjen henkilötietojen käsittely ja sen ulkopuolella, nimittäin verkkosivustoilla, muissa sovelluksissa kuin Facebookissa tai käyttäjien laitteissa, kerättyjen henkilötietojen käsittely, koska jälkimmäinen on intrusiivisempaa.(21)

26.      Tässä tarkastelussa on mielestäni tärkeää ottaa huomioon myös rekisteröityjen kohtuulliset odotukset.(22)

27.      Lisäksi ennen yleisen tietosuoja-asetuksen voimaantuloa vallinneen tilanteen kaltaisessa tilanteessa, jossa Facebook-alustan ulkopuolella kerättyjen tietojen käsittely ei perustunut suostumukseen vaan pikemminkin siihen, että käsittely oli tarpeen kyseisen asetuksen 6 artiklan 1 kohdan b alakohdassa tarkoitettua sopimuksen täyttämistä varten,(23) on otettava huomioon unionin tuomioistuimen esittämä kyseisen säännöksen suppea tulkinta.(24) Kuten Italian hallitus korostaa kirjallisissa huomautuksissaan, on siksi tärkeää välttää se, että kyseisen asetuksen 5 artiklassa säädetyn tietojen minimoinnin periaatteen laaja tulkinta voisi antaa rekisterinpitäjille mahdollisuuden laajentaa niitä henkilötietoryhmiä, joita pidetään tarpeellisina kyseisen asetuksen 6 artiklan 1 kohdan b alakohdassa tarkoitetun sopimuksen täyttämiseksi.

28.      Edellä esitetyn perusteella ehdotan, että toiseen ennakkoratkaisukysymykseen vastataan, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa on tulkittava siten, että se on esteenä sille, että henkilötietoja voidaan käsitellä ilman ajallisia tai tietojen luonnetta koskevia rajoituksia kohdennetun mainonnan tarkoituksiin, ja että ennakkoratkaisua pyytäneen tuomioistuimen asiana on arvioida käsiteltävän asian olosuhteet huomioon ottaen ja suhteellisuusperiaatetta soveltaen, missä määrin henkilötietojen säilyttämisaika ja käsiteltävien tietojen määrä ovat perusteltuja, kun otetaan huomioon personoidun mainonnan tarkoituksiin tehtävän näiden tietojen käsittelyn oikeutettu päämäärä.

 Neljäs ennakkoratkaisukysymys

29.      Neljännellä ennakkoratkaisukysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä 9 artiklan 2 kohdan e alakohdan kanssa, tulkittava siten, että jos henkilö kertoo oman seksuaalisen suuntautumisensa paneelikeskustelussa, Meta Platforms Ireland voi käsitellä muita hänen seksuaalista suuntautumistaan koskevia tietoja, jotta häneen voidaan kohdistaa personoitua mainontaa. Yleisemmällä tasolla kyseinen tuomioistuin pohtii viimeksi mainitun säännöksen ulottuvuutta ja tuo täsmällisemmin esiin kysymyksen siitä, millä tavoin yleisön on täytynyt saada tämän henkilön arkaluonteiset tiedot, jotta yleisen tietosuoja-asetuksen 9 artiklan 2 kohtaa voidaan soveltaa.

 Ennakkoratkaisukysymyksen merkityksellisyys

30.      Meta Platforms Ireland täsmensi kirjallisissa ja suullisissa lausumissaan, ettei se ole missään vaiheessa kansallisissa tuomioistuimissa käydyn oikeudenkäyntimenettelyn aikana vedonnut yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa säädettyyn poikkeukseen kyseessä olevien tietojen käsittelyn oikeusperusteena, eivätkä muut osapuolet kiistäneet tätä istunnossa.(25)

31.      Tällaisessa tapauksessa neljännellä ennakkoratkaisukysymyksellä ei kuitenkaan selvästikään ole merkitystä, koska tätä poikkeusta ei voida soveltaa käsiteltävässä asiassa.(26)

32.      On kuitenkin muistutettava, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan SEUT 267 artiklassa määrätyssä menettelyssä, joka perustuu kansallisten tuomioistuinten ja unionin tuomioistuimen tehtävien selkeään jakoon, olettamana on, että kansallisen tuomioistuimen sen säännöstön ja niiden tosiseikkojen perusteella, joiden määrittämisestä se vastaa(27) ja joiden paikkansapitävyyden selvittäminen ei ole unionin tuomioistuimen tehtävä, esittämillä unionin oikeuden tulkintaan liittyvillä kysymyksillä on merkitystä asian ratkaisun kannalta.(28)

33.      Näin ollen ehdotan seuraavissa kohdissa ennakkoratkaisua pyytäneen tuomioistuimen neljänteen ennakkoratkaisukysymykseen annettavaa vastausta, sanotun kuitenkaan rajoittamatta unionin tuomioistuimen ratkaisua tämän kysymyksen merkityksellisyydestä.

 Ennakkoratkaisukysymyksen asiasisällön tarkastelu

34.      Aluksi on muistutettava, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan, jossa vahvistetaan käyttötarkoitussidonnaisuuden periaate, mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Kyseisen asetuksen 9 artiklan 1 kohdan mukaan muun muassa luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien henkilötietojen käsittely on kiellettyä, ellei tällainen käsittely kuulu jonkin asetuksen 9 artiklan 2 kohdassa säädetyn poikkeuksen soveltamisalaan.(29)

35.      Erityisesti yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdan nojalla arkaluonteisten henkilötietojen käsittelyn kieltoa ei sovelleta, jos käsittely koskee henkilötietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi. Kuten huomautin ratkaisuehdotuksessani Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot),(30) adverbin ”nimenomaisesti” käyttö kyseisen säännöksen sanamuodossa ja se, että kyseinen säännös on poikkeus periaatteesta, jonka mukaan arkaluonteisten henkilötietojen käsittely on yleisesti kiellettyä, edellyttävät, että tätä poikkeusta sovelletaan erityisen tiukasti rekisteröityjen perusoikeuksiin ja ‑vapauksiin kohdistuvien merkittävien riskien vuoksi.(31) Jotta tätä poikkeusta voidaan voitaisiin soveltaa, käyttäjän on mielestäni oltava täysin tietoinen siitä, että hän saattaa nimenomaisella toimella henkilötietojaan kenen tahansa saataville.(32)

36.      Pääasiassa valittajan seksuaalista suuntautumista koskevat arkaluonteiset tiedot paljastettiin Facebook-alustan ulkopuolella (off-site) ja kaikkien muiden alustojen tai tietoteknisten sovellusten ulkopuolella komission järjestämän paneelikeskustelun yhteydessä(33) sen esiin tuomiseksi, että Meta Platforms Ireland oli käsitellyt lainvastaisesti tätä seksuaalista suuntautumista koskevia tietoja.(34)

37.      Unionin tuomioistuimella oli tuomiossa Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot)(35) jo tilaisuus lausua muihin alustoihin liittyvien Facebookin ulkopuolisten tietojen käytöstä. Unionin tuomioistuin totesi tässä yhteydessä, että yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohtaa on tulkittava siten, että kun verkkoyhteisöpalvelun käyttäjä käy verkkosivustoilla tai sovelluksissa, joilla on liittymä yhteen tai useampaan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuun henkilötietoryhmään, hän ei nimenomaisesti saata julkiseksi tämän artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä kyseiseen vierailuun liittyviä tietoja, jotka kyseisen verkkoyhteisöpalvelun ylläpitäjä kerää evästeiden tai vastaavien tallennusteknologioiden avulla, ja että kun käyttäjä syöttää tietoja tällaisille verkkosivustoille tai sovelluksiin tai kun hän käyttää niihin sisältyviä valintapainikkeita, kuten ”tykkää”- ja ”jaa”-painikkeita tai painikkeita, joiden avulla hän voi tunnistautua näille sivustoille tai sovelluksiin käyttämällä verkkoyhteisöpalvelun käyttäjätiliinsä, puhelinnumeroonsa tai sähköpostiosoitteeseensa liittyviä kirjautumistunnuksia, hän ei nimenomaisesti saata yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä näin syötettyjä tai näiden painikkeiden käyttämisestä lähtöisin olevia tietoja julkisiksi, ellei hän nimenomaisesti ilmaise etukäteen, tarvittaessa täysin tietoisesti tehdyn yksilöllisten asetusten säätämisen avulla, valintansa saattaa häntä koskevat tiedot rajoittamattoman henkilöjoukon saataville julkisesti.(36)

38.      Ennakkoratkaisua pyytäneen tuomioistuimen mielestä sen neljäs ennakkoratkaisukysymys oli kuitenkin tarpeen pysyttää sillä perusteella, että unionin tuomioistuimen viimeksi mainitussa asiassa tarkastelemat toimet liittyivät verkkosivustojen tai sovellusten käyttöön sekä niihin sisällytettyjen painikkeiden aktivointiin, kun taas käsiteltävässä asiassa on kyse rekisteröidyn paneelikeskustelun yhteydessä antamasta seksuaalista suuntautumistaan koskevasta lausumasta. Ennakkoratkaisua pyytäneen tuomioistuimen mielestä tällaisesta lausumasta ei voida päätellä yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitettua suostumusta.

39.      Tässä yhteydessä on mielestäni tarkoituksenmukaista erottaa toisistaan yhtäältä alustava kysymys siitä, onko valittajan seksuaalista suuntautumistaan koskeva lausuma toimi, jolla hän nimenomaisesti saattaa tämän suuntautumisen julkiseksi yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä, ja toisaalta, jos tähän kysymykseen vastataan myöntävästi, kysymys siitä, mahdollistaako se, että henkilö on nimenomaisesti saattanut seksuaalisen suuntautumisensa julkiseksi, tätä seksuaalista suuntautumista koskevien tietojen käsittelyn personoidun mainonnan tarkoituksiin muun muassa kyseisen asetuksen 5 ja 6 artiklassa tarkoitetussa merkityksessä.

40.      Ensinnäkin yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan a alakohdassa tarkoitetun valittajan lausuman luonnehdinnasta on todettava, että koska kyseisen säännöksen syntyhistoriasta ja sen soveltamista koskevasta oikeuskäytännöstä ei ilmene hyödyllisiä tietoja,(37) kyseisen asetuksen 9 artiklan 2 kohdan e alakohtaan sisältyvä poikkeus edellyttää lähinnä kahden kumulatiivisen edellytyksen täyttymistä samanaikaisesti, nimittäin yhtäältä sen ”objektiivisen” edellytyksen täyttymistä, jonka mukaan kyseisten henkilötietojen täytyy olla ”nimenomaisesti julkisiksi saatettuja”, ja toisaalta sen ”subjektiivisen” edellytyksen täyttymistä, jonka mukaan ”rekisteröidyn” on nimenomaisesti saatettava nämä tiedot julkisiksi.

41.      Nämä kaksi edellytystä näyttävät täyttyvän pääasiassa, jollei selvityksistä, jotka ennakkoratkaisua pyytäneen tuomioistuimen on tehtävä, muuta johdu. Vaikka valittajan lausuma annettiin satunnaisesti Meta Platforms Irelandin käymän arkaluonteisten tietojen käsittelyä koskevan laajemman ja kriittisemmän keskustelun yhteydessä, pidän sitä nimittäin toimena, jolla hän täysin tietoisesti nimenomaisesti saattoi seksuaalisen suuntautumisensa julkiseksi.

42.      Ensimmäisen edellytyksen kohdalla on mielestäni erittäin todennäköistä, että kun otetaan huomioon suorana lähetyksenä ja sen jälkeen suoratoistona lähetetyn paneelikeskustelun avoimuus(38) sekä yleisön kiinnostus käsiteltyä aihetta kohtaan, valittajan lausuma saattoi saavuttaa salissa läsnä ollutta yleisöä huomattavasti laajemman määrittelemättömän yleisön.(39)

43.      Toisen edellytyksen kohdalla voidaan mielestäni täysin olettaa, että kun valittaja mainitsi avoimesti seksuaalisen suuntautumisensa käsiteltävän asian olosuhteissa (nimenomaan avoimessa tapahtumassa, johon lehdistöllä oli pääsy), hän teki, jos hänellä ei ollutkaan aikomusta nimenomaisesti saattaa tämä suuntautuminen julkiseksi, sen ainakin täysin tietoisesti edellä tämän ratkaisuehdotuksen 35 kohdassa mainitussa oikeuskäytännössä tarkoitetussa merkityksessä.(40)

44.      Yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa annetulla suojalla pyritään nähdäkseni estämään lisäksi se, että rekisteröity altistuu haitallisille seurauksille (kuten julkiselle häpeälle tai syrjiville toimille), jotka johtuvat erityisesti siitä, että siinä luetelluista tilanteista vallitsee kielteinen käsitys yhteiskunnallisesta tai taloudellisesta näkökulmasta tarkasteltuina.(41) Tässä säännöksessä säädetään siten tällaisten henkilötietojen erityissuojasta periaatteellisella kiellolla, joka ei ole ehdoton ja jonka soveltaminen käsiteltävään asiaan riippuu rekisteröidyn arviosta, sillä hänellä on parhaat edellytykset arvioida kyseessä olevien tietojen ilmaisemisesta mahdollisesti aiheutuvia haitallisia seurauksia, ja hän voi tarvittaessa luopua tästä suojasta tai olla vetoamatta siihen täysin tietoisesti nimenomaisesti saattamalla tilanteensa ja etenkin seksuaalisen suuntautumisensa julkiseksi kyseisen asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä.

45.      Toiseksi tarkasteltaessa sitä, miten hänen seksuaalisen suuntautumisensa nimenomainen julkiseksi saattaminen vaikuttaa Meta Platforms Irelandin suorittamaan näiden arkaluonteisten tietojen yleisen tietosuoja-asetuksen 5 ja 6 artiklassa tarkoitettuun käsittelyyn, katson, että yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitettu tietojen nimenomaisesti julkisiksi saattaminen ei yksinään mahdollista näiden tietojen kyseisessä asetuksessa tarkoitettua käsittelyä.

46.      Jälkimmäisen säännöksen soveltaminen nimittäin yksinkertaisesti poistaa tietyille erityisen arkaluonteisille henkilötiedoille myönnetyn ”erityissuojan”. Kun rekisteröity itse (joka on nimenomaisesti saattanut nämä tiedot julkisiksi) on tietoisesti luopunut tästä suojasta, näistä alun perin ”suojatuista” henkilötiedoista tulee ”tavanomaisia” (eli muita kuin arkaluonteisia) tietoja, joiden, kuten kaikkien muidenkin henkilötietojen, käsittely on lainmukaista ainoastaan erityisesti yleisen tietosuoja-asetuksen 6 ja 7 artiklassa säädettyjen edellytysten täyttyessä ja noudattaen erityisesti sen 5 artiklassa vahvistettuja periaatteita,(42) myös kyseisen asetuksen 5 artiklan 1 kohdan b alakohdassa vahvistettua käyttötarkoitussidonnaisuuden periaatetta, joka edellyttää, että henkilötietoja kerätään tiettyä, nimenomaista ja laillista tarkoitusta varten, mikä rekisterinpitäjän on osoitettava kyseisen säännöksen 2 kohdan nojalla.(43)

47.      Vaikka siitä, että valittaja toi esiin seksuaalisen suuntautumisensa paneelikeskustelussa, voitaisiin päätellä, että käsiteltävän asian olosuhteissa kyseinen henkilö ”nimenomaisesti saattoi” nämä tiedot ”julkisiksi” yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä, se ei näin ollen sinänsä voi oikeuttaa sellaisten henkilötietojen käsittelyä, joista käy ilmi kyseisen henkilön seksuaalinen suuntautuminen.(44)

48.      Edellä esitetyn perusteella ehdotan, että neljänteen ennakkoratkaisukysymykseen vastataan siten, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä 9 artiklan 2 kohdan e alakohdan kanssa, on tulkittava siten, että vaikka oman seksuaalisen suuntautumisen kertominen yleisölle avointa paneelikeskustelua varten voi olla toimi, jolla kyseinen henkilö ”nimenomaisesti saattoi” tämän tiedon ”julkiseksi” yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä, se ei sinänsä mahdollista kyseisten tietojen tai muiden kyseisen henkilön seksuaalista suuntautumista koskevien tietojen käsittelyä, jolla on tarkoitus kerätä ja analysoida tietoja personoidun mainonnan tarkoituksiin.

 Ratkaisuehdotus

49.      Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Oberster Gerichtshofin esittämiin toiseen ja neljänteen ennakkoratkaisukysymykseen seuraavasti:

1)      Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 5 artiklan 1 kohdan c alakohtaa

on tulkittava siten, että

–        se on esteenä sille, että henkilötietoja voidaan käsitellä ilman ajallisia tai tietojen luonnetta koskevia rajoituksia kohdennetun mainonnan tarkoituksiin

–        ennakkoratkaisua pyytäneen tuomioistuimen asiana on arvioida käsiteltävän asian olosuhteet huomioon ottaen ja suhteellisuusperiaatetta soveltaen, missä määrin henkilötietojen säilyttämisaika ja käsiteltävien tietojen määrä ovat perusteltuja, kun otetaan huomioon personoidun mainonnan tarkoituksiin tehtävän näiden tietojen käsittelyn oikeutettu päämäärä.

2)      Asetuksen 2016/679 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä 9 artiklan 2 kohdan e alakohdan kanssa,

on tulkittava siten, että

–        vaikka oman seksuaalisen suuntautumisen kertominen yleisölle avointa paneelikeskustelua varten voi olla toimi, jolla kyseinen henkilö ”nimenomaisesti saattoi” tämän tiedon ”julkiseksi” yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetussa merkityksessä, se ei sinänsä mahdollista kyseisten tietojen tai muiden kyseisen henkilön seksuaalista suuntautumista koskevien tietojen käsittelyä, jolla on tarkoitus kerätä ja analysoida tietoja personoidun mainonnan tarkoituksiin.

1      Alkuperäinen kieli: ranska.

2      Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus).

3      Tässä yhteisöpalvelussa voidaan ladata ja jakaa sisältöjä yksilöidysti käyttäjän etukäteen valitsemien asetusten perusteella sekä viestiä suoraan tai vaihtaa tietoja muiden käyttäjien kanssa.

4      Tämän mainonnan tarkoituksena on erityisesti näyttää käyttäjälle tuotteita ja palveluja, joista hän saattaa olla kiinnostunut muun muassa kulutuskäyttäytymisensä, kiinnostuksen kohteidensa, ostovoimansa ja elämäntilanteensa (esim. paikkakunnan, iän ja sukupuolen) perusteella. Mainostajat voivat laatia kohdennettuja mainoksia Facebook business tools ‑työkaluilla (yritysten Facebook-työkalut) ja selvittää mainontansa tehokkuutta analysointijärjestelmillä, joissa tutkitaan algoritmien avulla vastaavuuksia ja kaavoja sekä tehdään niistä vastaavia päätelmiä.

5      Vastapuoli käyttää tähän tarkoitukseen evästeiden (cookies) kaltaisia tekniikoita, joiden avulla voidaan käyttää yhteisöliitännäisiä (social plug-ins, jotka ovat ”tykkää”-painikkeen kaltaisia lisäosia) tai jäljitteitä (pixels), jotka ovat Facebook-sivustolle sekä kolmansien verkkosivustoille ja sovelluksiin asennettuja ohjelmistotyökaluja. Kyseisillä työkaluilla voidaan lähinnä kerätä tiettyjä tietoja käyttäjältä, joka vierailee tällaisilla verkkosivustoilla tai käyttää tällaisia sivustoja sisältäviä sovelluksia, ja yhdistää niitä, jolloin käyttäjästä luodaan profiili, jonka perusteella hänelle voidaan tarjota personoitua mainontaa.

6      Meta Platforms Ireland täsmensi kirjallisissa ja suullisissa huomautuksissaan, että ennen yleisen tietosuoja-asetuksen voimaantuloa sen alustalla kerättyjen henkilötietojen käsittely personoidun mainonnan tarkoituksiin ei yhtäältä perustunut valittajan suostumukseen vaan pääasiallisesti siihen, että sopimuksen täyttäminen edellytti näiden tietojen käsittelyä, ja että sen verkon ulkopuolisilla sivustoilla tai sovelluksissa kerättyjen henkilötietojen käsittely perustui toisaalta käyttäjän suostumukseen, jolloin käyttäjä saattoi sulkea viimeksi mainitut tiedot käsittelyn ulkopuolelle luopumatta Facebookin palveluista. Käsiteltävässä asiassa kyseinen yhtiö ei käsitellyt alustansa ulkopuolella kerättyjä valittajan henkilötietoja, koska tämä ei ollut antanut siihen suostumustaan rekisteröityessään Facebook-yhteisöpalveluun vuonna 2008. Yleisen tietosuoja-asetuksen voimaantulosta lähtien Facebook on sitä vastoin hankkinut suostumuksen joko verkossaan tai ulkoisilla sivustoilla tai ulkoisissa sovelluksissa kerättävien henkilötietojen käsittelyyn personoidun mainonnan tarkoituksiin, ja ilman tällaista suostumusta käyttäjä on voinut maksua vastaan kieltää kaikkien tietojensa käsittelyn personoidun mainonnan tarkoituksiin. Vaikuttaa siltä, että joidenkin jäsenvaltioiden tietosuojaviranomaiset tarkastelevat parhaillaan uusien käyttöehtojen laillisuutta yleisen tietosuoja-asetuksen kannalta.

7      Kuten ennakkoratkaisupyynnöstä ilmenee, Meta Platforms Ireland ei anna oikeutta tutustua kaikkiin käsiteltäviin tietoihin vaan ainoastaan niihin, joita se pitää käyttäjien kannalta kiinnostavina ja merkityksellisinä. Lisäksi kyseinen yhtiö mahdollistaa tiettyjen sisältöjen (kuten viestien, valokuvien tai julkaisujen) poistamisen Facebook-tililtä.

8      Lisäksi vain hänen ”kaverinsa”, joiden luettelo ei ole julkinen, saattoivat nähdä hänen aikajanassaan olevat tai tulevat julkaisunsa ja kommenttinsa.

9      Valittaja teetti analyysin siitä, mitä päätelmiä hänen kaverilistastaan voidaan tehdä, ja siitä ilmeni, että hän on suorittanut siviilipalveluksen Punaisessa ristissä Salzburgissa (Itävalta) ja että hän on homoseksuaali. Facebookin lisäksi häntä kiinnostavia sivustoja olivat muun muassa homoseksuaalien tapaamisiin liittyvät sovellukset tai verkkosivustot ja erään poliittisen puolueen sivusto. Valittajan tallennettuihin tietoihin sisältyivät muun muassa sähköpostiosoite, jota ei ollut olemassa, ja toinen sähköpostiosoite, jota ei ole mainittu hänen Facebook-profiilissaan mutta jota hän oli käyttänyt lähettäessään pyyntöjä vastapuolelle.

10      Valittaja vaati lähinnä, että ensimmäisen oikeusasteen tuomioistuin ensinnäkin velvoittaa vastapuolen tekemään kirjallisen sopimuksen hänen henkilötietojensa käytöstä Facebook-palvelussa ja toissijaisesti toteaa, ettei tällaista sopimusta ole tehty ja ettei hän ole hyväksynyt käyttöehtoja, toiseksi velvoittaa vastapuolen olemaan käsittelemättä hänen henkilötietojaan personoidun mainonnan tarkoituksiin tai tietojen keräämiseksi ja analysoimiseksi mainontatarkoituksia varten, kolmanneksi toteaa, ettei vastapuolen kolmansilta osapuolilta saamien henkilötietojen osalta ole annettu pätevää suostumusta tietojenkäsittelyohjeiden vanhassa versiossa kuvattuihin tarkoituksiin, ja neljänneksi velvoittaa vastapuolen olemaan käyttämättä tai käsittelemättä hänen tietojaan, jotka koskevat kolmansien osapuolten sivuilla käyntiä ja niiden käyttöä, jos käsittelyyn ei ole annettu pätevää suostumusta. Valittaja väitti lähinnä, ettei käyttöehtojen ja tietojen käyttöä koskevien ohjeiden hyväksyminen merkitse rekisterinpitäjälle pätevästi annettua suostumusta henkilötietojen käsittelyyn. Valittaja totesi lisäksi, että Meta Platforms Ireland käsittelee hänen arkaluonteisia tietojaan, kuten hänen poliittisia vakaumuksiaan ja seksuaalista suuntautumistaan koskevia tietoja, vaikka niitä ei mainita hänen Facebook-profiilissaan.

11      Kuten asianosaisten kirjallisista ja suullisista huomautuksista ilmenee, tämä paneelikeskustelu oli avoin yleisölle, jolla oli mahdollisuus saada Eventbrite-foorumilta ilmainen pääsylippu vapaana olevien paikkojen rajoissa (189 henkilöä lopulta ilmoittautui), ja se lähetettiin suorana lähetyksenä. Lisäksi sen tallenne julkaistiin myöhemmin podcastina ja komission YouTube-kanavalla.

12      Kuten ennakkoratkaisupyynnöstä ja valittajan toimittamista kirjelmistä ilmenee, hän esitti seuraavan lausuman: ”Annan teille nyt hyvin arkisen esimerkin: seksuaalisen suuntautumiseni voi päätellä kaverilistastani. En ole koskaan maininnut Facebookissa, että olen homo. Tulin ”ulos kaapista” 14-vuotiaana, eikä tämä asia stressaa minua millään tapaa. En kuitenkaan kerro sitä kaikkialla ja koko ajan julkisesti, koska haluan sen sijaan puhua tietosuojasta, tai päädyn muuten taas tuohon kaappiin, ja se vie huomion pois tietosuojasta.”

13      Nämä kaksi kansallista tuomioistuinta katsoivat lähinnä, että Meta Platforms Irelandin suorittama henkilötietojen käsittely oli välttämätöntä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdassa tarkoitetun sopimuksen täyttämiseksi.

14      Muistutan, että pääasiassa ennakkoratkaisua pyytänyt tuomioistuin on jo esittänyt unionin tuomioistuimelle ennakkoratkaisupyynnön, joka oli 25.1.2018 annetun tuomion Schrems (C‑498/16, EU:C:2018:37) kohteena.

15      C‑252/21, EU:C:2023:537; jäljempänä tuomio Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot). Tämän ennakkoratkaisumenettelyn käsittelyä lykättiin siihen asti, kunnes kyseinen tuomio annetaan. Ennakkoratkaisua pyytänyt tuomioistuin vastasi unionin tuomioistuimen esittämään kysymykseen, että kyseisessä tuomiossa vastataan sen ensimmäiseen ja kolmanteen ennakkoratkaisukysymykseen ja että se pysyttää ennakkoratkaisupyyntönsä toisen ja neljännen ennakkoratkaisukysymyksen osalta.

16      Ks. tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet) (C‑439/19, EU:C:2021:504, 96 kohta oikeuskäytäntöviittauksineen).

17      Ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet) (C‑439/19, EU:C:2021:504, 98 kohta oikeuskäytäntöviittauksineen).

18      Näin on etenkin silloin, kun ne eivät ole asianmukaisia, kun ne eivät ole tai eivät enää ole olennaisia taikka kun ne ovat liian laajoja näihin tarkoituksiin tai niitä on säilytetty liian pitkään (ks. tuomio 24.9.2019, GC ym. (Arkaluontoisten tietojen poistaminen hakutulosten luettelosta), C‑136/17, EU:C:2019:773, 74 kohta oikeuskäytäntöviittauksineen).

19      Ks. edellä tämän ratkaisuehdotuksen alaviitteessä 17 mainittu oikeuskäytäntö.

20      Tämän kuitenkaan rajoittamatta sitä, että yleisen tietosuoja-asetuksen 8 artiklan mukaan alle 16-vuotiaat lapset eivät voi itse antaa kyseisen asetuksen 6 artiklan 1 kohdan a alakohdassa tarkoitettua suostumustaan tietoyhteiskunnan palvelujen tarjoamiseen.

21      Tässä yhteydessä on syytä muistuttaa, että unionin tuomioistuin on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan a alakohdassa ja 9 artiklan 2 kohdan a alakohdassa tarkoitetun suostumuksen käsitteen yhteydessä todennut muun muassa, ettei käyttäjä voi kohtuudella odottaa yhteisöpalvelun ylläpitäjän käsittelevän muita tietoja kuin niitä, jotka liittyvät hänen toimintaansa kyseisessä yhteisöpalvelussa (käsiteltävässä asiassa Facebookissa) ja että yhtäältä viimeksi mainittujen tietojen ja muiden tietojen käsittelyyn voidaan antaa erilliset suostumukset (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), 151 kohta). Samassa asiassa esittämässäni ratkaisuehdotuksessa olen samalla tavoin ilmaissut epäilykseni siitä, että henkilötietoja voisi olla tarpeen kerätä ja käyttää Facebook-yhteisöpalvelun ulkopuolella palvelujen tarjoamiseksi kyseisen yhteisöpalvelun yhteydessä ja että kyseiseen yhteisöpalveluun pääsyyn (eli Facebook‑profiilin luomiseen) alun perin annettu suostumus voisi siten pätevästi kattaa käyttäjän henkilötietojen käsittelyn tämän yhteisöpalvelun ulkopuolella (ratkaisuehdotus Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2022:704, 56 kohta, alaviite 81).

22      Esimerkiksi siltä osin kuin on kyse rekisterinpitäjän oikeutetuista eduista käsittelyn oikeusperusteena, yleisen tietosuoja-asetuksen johdanto-osan 47 perustelukappaleessa täsmennetään, että oikeutetun edun olemassaoloa on arvioitava huolellisesti ja että on arvioitava muun muassa, voiko rekisteröity kohtuudella odottaa henkilötietojen keruun ajankohtana ja sen yhteydessä, että henkilötietoja voidaan käsitellä tiettyä tarkoitusta varten.

23      Ks. edellä tämän ratkaisuehdotuksen alaviite 6.

24      Unionin tuomioistuin on nimittäin katsonut lähinnä, että riippumatta tällaisessa säännöksessä säädetyn henkilötietojen käsittelyn mainitsemisesta sopimuksessa, kyseisessä säännöksessä tarkoitetun oikeuttamisperusteen soveltamisen kannalta ratkaisevaa on nimittäin se, että kyseessä oleva käsittely on olennaisen tärkeää rekisterinpitäjän ja rekisteröidyn välisen sopimuksen asianmukaista täyttämistä varten, eikä näin ollen ole muita vähemmän intrusiivisia vaihtoehtoja (ks. vastaavasti tuomio Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), 99 kohta).

25      Ks. edellä tämän ratkaisuehdotuksen alaviite 6. Kuten istunnossa kävi ilmi, vaikuttaa siltä, että Meta Platforms Ireland viittasi pääasiassa paneelikeskusteluun osoittaakseen vääräksi valittajan väitteen vahingosta, joka hänelle on väitetysti aiheutunut personoidusta mainonnasta johtuvasta psyykkisestä ahdistuksesta, osoittaakseen, ettei hänellä ollut mitään vaikeuksia kertoa homoseksuaalisuudestaan julkisesti. Ennakkoratkaisua pyytänyt tuomioistuin ei siis esittänyt yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan tulkintaa koskevaa kysymystä soveltaakseen kyseisessä säännöksessä säädettyä poikkeusta vaan täysin erilaisessa asiayhteydessä, jossa vahinkoa, johon valittaja vetoaa, tutkitaan Meta Platforms Irelandin puolustuksen valossa.

26      Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjällä on todistustaakka siitä, että henkilötietoja käsitellään kyseisen asetuksen mukaisesti.

27      Ks. analogisesti tuomio 4.5.2023, Glavna direktsia ”Pozharna bezopasnost i zashtita na naselenieto” (Yötyö) (C‑529/21–C‑536/21 ja C‑732/21–C‑738/21, EU:C:2023:374, 57 kohta).

28      Ks. vastaavasti tuomio 13.7.2023, Ferrovienord (C‑363/21 ja C‑364/21, EU:C:2023:563, 52–55 kohta oikeuskäytäntöviittauksineen).

29      Kuten kyseisen asetuksen johdanto-osan 51 perustelukappaleessa täsmennetään, henkilötietoja, jotka ovat luonteeltaan erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja ‑vapauksille.

30      C‑252/21, EU:C:2022:704, 42 kohta.

31      Ks. vastaavasti myös tuomio Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), 76 kohta oikeuskäytäntöviittauksineen.

32      Huomautan tässä yhteydessä, että käsitteessä ”nimenomaisesti saatettu julkisiksi” verbin ”saattaa” käyttö viittaa rekisteröidyn aktiiviseen ja tietoiseen toimintaan. Euroopan tietosuojaneuvoston (EDPB, jäljempänä tietosuojaneuvosto) mukaan ”sana ’nimenomaisesti’ merkitsee, että tähän poikkeukseen on sovellettava korkeaa kynnystä. Tietosuojaneuvosto toteaa, että yksi yksittäinen seikka ei välttämättä aina riitä osoittamaan, että rekisteröity on nimenomaisesti ilmaissut aikomuksensa saattaa tiedot julkisiksi. Lisäksi tarvitaan tapauskohtaista arviointia. Käytännössä reksiterinpitäjien voi olla tarpeen harkita[tiettyjen seikkojen yhdistelmää] voidakseen osoittaa, että rekisteröity on nimenomaisesti ilmaissut aikomuksensa saattaa tiedot julkisiksi” (tietosuojavaltuutetun ohjeet 8/2020, s. 127). Tietosuojaneuvoston esimerkkeinä mainitsemia seikkoja ovat sosiaalisen median alustan oletusasetukset, sosiaalisen median alustan luonne, pääsy sivulle, jolla arkaluonteiset tiedot julkaistaan, sen informaation näkyvyys, jossa rekisteröidylle ilmoitetaan hänen julkaisemiensa tietojen julkisuudesta, ja se, että arkaluonteiset tiedot ovat rekisteröityneen itsensä julkaisemia tai että ne ovat päinvastoin kolmannen osapuolen julkaisemia tai pääteltyjä. Ks. myös Georgieva, L. ja Kuner, C., ”Article 9. Processing of special categories of personal data”, The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 378, jossa todetaan seuraavaa: ”In this context, ’making public’ should be construed to include publishing the data in the mass media, putting them on online social network platforms or similar actions. However, the data must have been ’manifestly’ made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result.” (Tässä yhteydessä ”julkiseksi saattamista” on tulkittava siten, että se sisältää tietojen julkaisemisen joukkotiedotusvälineissä, niiden laittamisen verkkoyhteisöpalvelualustoille tai vastaavanlaisia toimia. Tietojen on kuitenkin oltava ”nimenomaisesti” julkisiksi saatettuja, mikä edellyttää, että rekisteröity antaa siihen suostumuksensa ja ymmärtää sen johtavan tähän.)

33      Ks. edellä tämän ratkaisuehdotuksen alaviite 11.

34      Ks. edellä tämän ratkaisuehdotuksen alaviite 13.

35      Kyseisen tuomion 84 ja 85 kohta.

36      Ks. myös ratkaisuehdotukseni Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2022:704, 46 kohta).

37      Muistutan, että kyseinen säännös on otettu samanlaisena yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 8 artiklan 2 kohdan e alakohdasta ja ettei mitään selitystä myöskään annettu, kun kyseinen säännös sisällytettiin yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettavaksi Euroopan parlamentin ja neuvoston direktiiviksi 95/ . . ./EY 20.2.1995 annettuun neuvoston yhteiseen kantaan (EY) N:o 1/95 (EYVL 1995, C 83, s. 1).

38      Ks. edellä tämän ratkaisuehdotuksen alaviite 11.

39      Kuten valittaja itsekin myöntää kirjallisissa huomautuksissaan, hänen lausumansa voitiin esimerkiksi esittää täysin laillisesti kyseessä olevaa tapahtumaa käsitelevässä lehtiartikkelissa.

40      Muistutan tässä yhteydessä, että valittaja oli päähenkilö pitkässä ja merkittävässä Meta Platforms Irelandia (aiemmin Facebookin) vastaan vireille pannussa yleisen tietosuoja-asetuksen soveltamista koskevassa riita-asiassa, minkä vuoksi on kohtuullista olettaa, että hän oli täysin selvillä lausumiensa seurauksista tämän asetuksen valossa. Panen kuitenkin merkille eron yhtäältä sen välillä, että ”arkaluonteisten” tietojen käsittelyyn halutaan antaa lupa, mikä merkitsee yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan a alakohdassa tarkoitettua suostumusta näiden tietojen käsittelyyn, ja toisaalta sen välillä, että kyseiset tiedot aiotaan nimenomaisesti saattaa julkisiksi tai tämä tehdään täysin tietoisesti, jolloin kyseisen asetuksen 9 artiklan 1 kohdassa tarkoitettua kieltoa ei voida soveltaa, mutta tämä ei sellaisenaan riitä sallimaan näiden tietojen käsittelyä, kuten selitän jäljempänä tämän ratkaisuehdotuksen 45–47 kohdassa.

41      Henkilöä voidaan esimerkiksi syrjiä hänen poliittisen tai seksuaalisen suuntautumisensa vuoksi, tai hänelle voi aiheutua epäoikeudenmukaisia taloudellisia seuraamuksia hänen terveydentilansa vuoksi (erityisesti sairausvakuutuksen tai muiden vastaavien tilanteiden yhteydessä).

42      Kuten yleisen tietosuoja-asetuksen johdanto-osan 51 perustelukappaleessa muistutetaan, erityisen arkaluonteisten henkilötietojen käsittelyä koskevien erityisvaatimusten lisäksi olisi nimittäin sovellettava kyseisen asetuksen yleisiä periaatteita ja muita sääntöjä erityisesti lainmukaisen tietojenkäsittelyn osalta. Lisäksi kyseisen asetuksen 22 artiklan 4 kohdan mukaan pelkästään automaattiseen käsittelyyn perustuvat päätökset eivät saa perustua asetuksen 9 artiklan 1 kohdassa tarkoitettuihin erityisiin henkilötietoryhmiin, paitsi jos sovelletaan sen 9 artiklan 2 kohdan a tai g alakohtaa ja asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi on toteutettu.

43      Unionin tuomioistuin on äskettäin esittänyt samanlaisen näkemyksen yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan h alakohdan, luettuna yhdessä 5 artiklan 1 kohdan a alakohdan ja 6 artiklan 1 kohdan kanssa, tulkinnasta ja todennut, että 9 artiklan 2 kohdan h alakohtaan perustuva terveystietojen käsittely on lainmukaista silloin, kun se täyttää yhtäaikaisesti sekä tästä säännöksestä että kahdesta viimeksi mainitusta säännöksestä johtuvat edellytykset ja erityisesti vähintään yhden kyseisen asetuksen 6 artiklan 1 kohdassa vahvistetuista lainmukaisuuden edellytyksistä (tuomio 21.12.2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 78 kohta).

44      Näin on etenkin, kun ennakkoratkaisua pyytänyt tuomioistuin pohtii pääasiassa, mahdollistaako kyseisessä paneelikeskustelussa annettu lausuma muiden, erityisesti kolmansien osapuolten sovelluksista kerättyjen, henkilötietojen käsittelyn.