62021CJ0446
ROZSUDOK SÚDNEHO DVORA (štvrtá komora)
zo 4. októbra 2024 (
*1
)
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Online sociálne siete – Všeobecné podmienky používania týkajúce sa zmlúv uzatvorených medzi digitálnou platformou a používateľom – Personalizovaná reklama – Článok 5 ods. 1 písm. b) – Zásada obmedzenia účelu – Článok 5 ods. 1 písm. c) – Zásada minimalizácie údajov – Článok 9 ods. 1 a 2 – Spracúvanie osobitných kategórií osobných údajov – Údaje o sexuálnej orientácii – Údaje, ktoré zverejnila dotknutá osoba“
Vo veci C‑446/21,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Oberster Gerichtshof (Najvyšší súd, Rakúsko) z 23. júna 2021 a doručený Súdnemu dvoru 20. júla 2021, ktorý súvisí s konaním:
Maximillian Schrems
proti
Meta Platforms Ireland Ltd, predtým Facebook Ireland Ltd,
SÚDNY DVOR (štvrtá komora),
v zložení: predseda štvrtej komory C. Lycourgos, sudcovia O. Spineanu‑Matei, J.‑C. Bonichot, S. Rodin a L. S. Rossi (spravodajkyňa),
generálny advokát: A. Rantos,
tajomník: N. Mundhenke, referentka,
so zreteľom na písomnú časť konania a po pojednávaní z 8. februára 2024,
so zreteľom na pripomienky, ktoré predložili:
–
Maximilian Schrems, v zastúpení: K. Raabe‑Stuppnig, Rechtsanwältin,
–
Meta Platforms Ireland Ltd, v zastúpení: K. Hanschitz, H.‑G. Kamann, S. Khalil, B. Knötzl a A. Natterer, Rechtsanwälte,
–
rakúska vláda, v zastúpení: A. Posch, J. Schmoll, C. Gabauer, G. Kunnert a E. Riedl, splnomocnení zástupcovia,
–
francúzska vláda, v zastúpení: R. Bénard a A.‑L. Desjonquères, splnomocnení zástupcovia,
–
talianska vláda, v zastúpení: G. Palmieri, splnomocnená zástupkyňa, za právnej pomoci E. De Bonis, avvocato dello Stato,
–
portugalská vláda, v zastúpení: P. Barros da Costa, A. Pimenta, J. Ramos a C. Vieira Guerra, splnomocnení zástupcovia,
–
Európska komisia, v zastúpení: A. Bouchagiar, F. Erlbacher, M. Heller a H. Kranenborg, splnomocnení zástupcovia,
po vypočutí návrhov generálneho advokáta na pojednávaní z 25. apríla 2024,
vyhlásil tento
Rozsudok
1
Návrh na začatie prejudiciálneho konania sa týka výkladu článku 5 ods. 1 písm. b) a c), článku 6 ods. 1 písm. a) a b) a článku 9 ods. 1 a 2 písm. e) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1) (ďalej len „GDPR“).
2
Tento návrh bol podaný v rámci sporu medzi pánom Maximilianom Schremsom, používateľom sociálnej siete Facebook, a spoločnosťou Meta Platforms Ireland Ltd, predtým Facebook Ireland Ltd, ktorá má sídlo v Írsku, vo veci údajne nezákonného spracúvania osobných údajov tohto používateľa touto spoločnosťou.
Právny rámec
Právo Únie
3
Odôvodnenia 1, 4, 39, 42, 43, 50 a 51 GDPR znejú:
„(1)
Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len ‚Charta‘) a v článku 16 ods. 1 [ZFEÚ] sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.
…
(4)
Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte, ako sú zakotvené v zmluvách, najmä rešpektovanie súkromného a rodinného života, obydlia a komunikácie, ochrana osobných údajov, sloboda myslenia, svedomia a náboženského vyznania, sloboda prejavu a právo na informácie, sloboda podnikania, právo na účinný prostriedok nápravy a na spravodlivý proces, a kultúrna, náboženská a jazyková rozmanitosť.
…
(39)
Každé spracúvanie osobných údajov by malo byť zákonné a spravodlivé. Pre fyzické osoby by malo byť transparentné, že sa získavajú, používajú, konzultujú alebo inak spracúvajú osobné údaje, ktoré sa ich týkajú, ako aj to, v akom rozsahu sa tieto osobné údaje spracúvajú alebo budú spracúvať. … Fyzické osoby by mali byť upozornené na riziká, pravidlá, záruky a práva pri spracúvaní osobných údajov, ako aj na to, ako uplatňovať svoje práva pri takomto spracúvaní. Najmä konkrétne účely, na ktoré sa osobné údaje spracúvajú, by mali byť výslovne uvedené a legitímne a stanovené v čase získavania osobných údajov. Osobné údaje by mali byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú. To si vyžaduje najmä zabezpečenie toho, aby obdobie, počas ktorého sa tieto osobné údaje uchovávajú, bolo obmedzené na nevyhnutný rozsah. Osobné údaje by sa mali spracúvať len vtedy, ak účel spracúvania nebolo možné za primeraných podmienok dosiahnuť inými prostriedkami. S cieľom zabezpečiť, aby sa osobné údaje neuchovávali dlhšie, než je to nevyhnutné, by mal prevádzkovateľ stanoviť lehoty na vymazanie alebo pravidelné preskúmanie. …
…
(42)
Ak je spracúvanie založené na súhlase dotknutej osoby, prevádzkovateľ by mal vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním. … Aby sa zaistilo, že súhlas bude informovaný, dotknutá osoba by si mala byť vedomá aspoň identity prevádzkovateľa a zamýšľaných účelov spracúvania osobných údajov. Súhlas by sa nemal považovať za slobodný, ak dotknutá osoba nemá skutočnú alebo slobodnú voľbu alebo nemôže odmietnuť či odvolať súhlas bez nepriaznivých následkov.
(43)
Aby sa zabezpečilo, že súhlas sa poskytol slobodne, súhlas by nemal byť platným právnym dôvodom na spracúvanie osobných údajov v konkrétnom prípade, ak medzi postavením dotknutej osoby a prevádzkovateľa existuje jednoznačný nepomer, najmä ak je prevádzkovateľ orgánom verejnej moci, a preto nie je pravdepodobné, že sa súhlas poskytol slobodne za všetkých okolností danej konkrétnej situácie. Súhlas sa nepovažuje za poskytnutý slobodne, ak nie je možné dať samostatný súhlas na jednotlivé spracovateľské operácie osobných údajov napriek tomu, že by to bolo v konkrétnom prípade vhodné, alebo ak sa plnenie zmluvy vrátane poskytnutia služby podmieňuje takýmto súhlasom, aj keď to na takéto plnenie nie je takýto súhlas nevyhnutný.
…
(50)
Spracúvanie osobných údajov na iné účely ako na účely, na ktoré boli osobné údaje pôvodne získané, by malo byť umožnené len vtedy, ak je toto spracúvanie zlučiteľné s účelmi, na ktoré boli osobné údaje pôvodne získané. V takom prípade sa nevyžaduje žiadny iný samostatný právny základ, než je právny základ, ktorý umožňoval získavanie osobných údajov. …
(51)
Osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká. … Takéto osobné údaje by sa nemali spracúvať, pokiaľ spracúvanie nie je povolené v osobitných prípadoch stanovených v tomto nariadení…. Okrem osobitných požiadaviek na takéto spracúvanie by sa mali uplatňovať všeobecné zásady a iné pravidlá uvedené v tomto nariadení, najmä pokiaľ ide o podmienky pre zákonné spracúvanie. Výnimky zo všeobecného zákazu spracúvania týchto osobitných kategórií osobných údajov by sa mali výslovne uviesť okrem iného vtedy, ak dotknutá osoba poskytla svoj výslovný súhlas alebo v súvislosti s osobitnými potrebami….“
4
Článok 4 tohto nariadenia stanovuje:
„Na účely tohto nariadenia:
1.
‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘);…
2.
‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…
7.
‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu;
…
11.
‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;
…
23.
‚cezhraničné spracúvanie‘ je buď:
a)
spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii v kontexte činností prevádzkarní prevádzkovateľa alebo sprostredkovateľa vo viac ako jednom členskom štáte, pričom prevádzkovateľ alebo sprostredkovateľ sú usadení vo viac ako jednom členskom štáte; alebo
b)
spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii kontexte činností jedinej prevádzkarne prevádzkovateľa alebo sprostredkovateľa v Únii, ale ktoré podstatne ovplyvňuje alebo pravdepodobne podstatne ovplyvní dotknuté osoby vo viac ako jednom členskom štáte;
…“
5
Článok 5 uvedeného nariadenia, nazvaný „Zásady spracúvania osobných údajov“, v odsekoch 1 a 2 stanovuje:
„1.   Osobné údaje musia byť:
a)
spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);
b)
získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi;… (‚obmedzenie účelu‘);
c)
primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);
…
e)
uchovávané vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na účely, na ktoré sa osobné údaje spracúvajú;… (‚minimalizácia uchovávania‘);
2.   Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“
6
Článok 6 toho istého nariadenia s názvom „Zákonnosť spracúvania“ znie:
„1.   Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a)
dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
b)
spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;
…
4.   Ak spracúvanie na iné účely ako na účely, na ktoré boli osobné údaje získavané, nie je založené na súhlase dotknutej osoby alebo na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti na ochranu cieľov uvedených v článku 23 ods. 1, prevádzkovateľ na zistenie toho, či je spracúvanie na iný účel zlučiteľné s účelom, na ktorý boli osobné údaje pôvodne získané, okrem iného zohľadní:
a)
akékoľvek prepojenie medzi účelmi, na ktoré sa osobné údaje získali, a účelmi zamýšľaného ďalšieho spracúvania;
b)
okolnosti, za akých sa osobné údaje získali, najmä týkajúce sa vzťahu medzi dotknutými osobami a prevádzkovateľom;
c)
povahu osobných údajov, najmä či sa spracúvajú osobitné kategórie osobných údajov podľa článku 9 alebo osobné údaje týkajúce sa uznania viny za trestné činy a priestupky podľa článku 10;
d)
možné následky zamýšľaného ďalšieho spracúvania pre dotknuté osoby;
e)
existenciu primeraných záruk, ktoré môžu zahŕňať šifrovanie alebo pseudonymizáciu.“
7
Článok 7 GDPR, nazvaný „Podmienky vyjadrenia súhlasu“, stanovuje:
„1.   Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.
…
3.   Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním. Pred poskytnutím súhlasu musí byť dotknutá osoba o tejto skutočnosti informovaná. Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.
4.   Pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný.“
8
Článok 9 tohto nariadenia, nazvaný „Spracúvanie osobitných kategórií osobných údajov“, stanovuje:
„1.   Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
2.   Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:
a)
dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;
…
e)
spracúvanie sa týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila;
…“
9
Článok 13 uvedeného nariadenia, ktorý sa týka „informácií, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“ stanovuje:
„1.   V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:
…
c)
účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;
…
3.   Ak má prevádzkovateľ v úmysle ďalej spracúvať osobné údaje na iný účel ako ten, na ktorý boli osobné údaje získané, poskytne dotknutej osobe pred takýmto ďalším spracúvaním informácie o tomto inom účele a akékoľvek ďalšie relevantné informácie uvedené v odseku 2.
…“
10
Článok 25 ods. 2 toho istého nariadenia stanovuje:
„Prevádzkovateľ vykoná primerané technické a organizačné opatrenia, aby zabezpečil, že štandardne sa spracúvajú len osobné údaje, ktoré sú nevyhnutné pre každý konkrétny účel spracúvania. Uvedená povinnosť sa vzťahuje na množstvo získaných osobných údajov, rozsah ich spracúvania, dobu ich uchovávania a ich dostupnosť. Konkrétne sa takýmito opatreniami zabezpečí, aby osobné údaje neboli bez zásahu fyzickej osoby štandardne prístupné neobmedzenému počtu fyzických osôb.“
Spor vo veci samej a prejudiciálne otázky
11
Meta Platforms Ireland, ktorá spravuje ponuku služieb online sociálnej siete Facebook v Únii, je prevádzkovateľom spracúvajúcim osobné údaje používateľov tejto sociálnej siete v Únii. V Rakúsku nemá pobočku. Meta Platforms Ireland propaguje okrem iného na stránke www.facebook.com služby, ktoré boli do 5. novembra 2023 pre súkromných používateľov bezplatné. Od 6. novembra 2023 boli tieto služby naďalej bezplatné len pre používateľov, ktorí súhlasili s tým, aby ich osobné údaje boli získavané a používané na zasielanie personalizovanej reklamy, pričom používatelia mali možnosť uzavrieť platené predplatné na účely prístupu k verzii uvedených služieb bez toho, aby dostávali cielenú reklamu.
12
Obchodný model online sociálnej siete „Facebook“ je založený na financovaní prostredníctvom online reklamy, ktorá je cielená na jednotlivých používateľov sociálnej siete najmä podľa ich spotrebiteľských návykov, záujmov a ich osobnej situácie. Technickým základom takejto reklamy je automatizované zostavovanie detailných profilov používateľov siete a online služieb ponúkaných na úrovni skupiny Meta.
13
Na účely spracúvania osobných údajov používateľov sociálnej siete Facebook sa Meta Platforms Ireland opiera o zmluvu o používaní, ktorej zmluvnou stranou sa títo používatelia stali kliknutím na tlačidlo „zaregistrovať sa“ a ktorou súhlasili so všeobecnými podmienkami vypracovanými touto spoločnosťou. V čase skutkových okolností vo veci samej je súhlas s týmito podmienkami nevyhnutný na používanie sociálnej siete Facebook. Pokiaľ ide o spracúvanie osobných údajov používateľov, všeobecné podmienky odkazujú na zásady používania údajov a súborov cookie stanovené uvedenou spoločnosťou. Podľa týchto zásad Meta Platforms Ireland získava údaje o používateľoch a ich zariadeniach, týkajúce sa aktivít používateľov na sociálnej sieti aj mimo nej, a priraďuje ich k účtom dotknutých používateľov na Facebooku. Údaje týkajúce sa aktivít mimo sociálnej siete (ďalej aj „údaje off Facebook“), pochádzajú jednak z navštevovania webových stránok a aplikácií tretích osôb, ktoré sú prepojené s Facebookom prostredníctvom programových rozhraní, a jednak z používania iných online služieb patriacich do skupiny Meta, medzi ktoré patrí najmä Instagram a WhatsApp.
14
Pred nadobudnutím účinnosti GDPR používatelia Facebooku vyjadrili svoj výslovný súhlas so spracúvaním ich údajov na základe podmienok používania uplatniteľných v tomto období a vypracovaných žalovanou. Vzhľadom na nadobudnutie účinnosti GDPR 25. mája 2018 predstavila Meta Platforms Ireland svojim používateľom nové podmienky používania Facebooku na získanie ich súhlasu. Pán Schrems po zablokovaní svojho účtu súhlasil s týmito novými podmienkami používania, aby mohol naďalej používať Facebook. Tento súhlas bol potrebný na zachovanie prístupu k jeho účtu a na používanie zodpovedajúcich služieb.
15
Meta Platforms Ireland zaviedla viaceré „nástroje“ (tools), aby používateľom umožnila získať prehľad uložených údajov a kontrolu nad nimi. V týchto nástrojoch sa nezobrazujú všetky spracúvané údaje, ale len tie, ktoré sú podľa tejto spoločnosti zaujímavé a relevantné pre používateľov. Je teda možné, aby používateľ, ktorý o to požiada, videl napríklad, že otvoril aplikáciu prostredníctvom svojho profilu na Facebooku, navštívil webovú stránku, vykonal konkrétne vyhľadávanie alebo uskutočnil nákup či klikol na reklamu.
16
Meta Platforms Ireland používa „súbory cookie“ [svedkovia], „sociálne pluginy“ [zásuvné moduly sociálnych sietí] a pixely, ako to uvádzajú jej podmienky používania a pokyny. Pomocou „súboru cookie“ môže určiť zdroj konzultácií. V prípade neaktivácie „súboru cookie“ mnohé služby poskytované spoločnosťou Meta Platforms Ireland nie sú použiteľné. „Sociálne pluginy“ Facebooku „vkladajú“ prevádzkovatelia webových stránok tretích osôb do svojich stránok. Najrozšírenejším tlačidlom je tlačidlo „páči sa mi to“ Facebooku. Pri každom prehliadaní webových stránok obsahujúcich toto tlačidlo sa „súbory cookie“ nainštalované na použitom zariadení, URL navštívenej stránky a ďalšie údaje, ako je IP adresa alebo čas, zasielajú spoločnosti Meta Platforms Ireland. Na tento účel nie je nevyhnutné, aby používateľ klikol na tlačidlo „páči sa mi to“, keďže samotné zobrazenie webovej stránky obsahujúcej takýto „plugin“ stačí na to, aby sa tieto údaje následne zaslali tejto spoločnosti.
17
Z rozhodnutia vnútroštátneho súdu vyplýva, že „pluginy“ sa nachádzajú aj na webových stránkach politických strán a na stránkach určených pre homosexuálnu časť verejnosti, ktoré pán Schrems navštívil. Z dôvodu týchto „pluginov“ mohla Meta Platforms Ireland sledovať správanie pána Schremsa na internete, čo viedlo k získaniu určitých citlivých osobných údajov.
18
Pixely môžu byť, podobne ako „sociálne pluginy“, vložené do webových stránok a umožňujú získavať informácie o používateľoch, ktorí navštívili tieto stránky, najmä na účely merania a optimalizácie reklamy na týchto stránkach. Napríklad vložením pixelu Facebooku do vlastných webových stránok môžu prevádzkovatelia týchto stránok získať od spoločnosti Meta Platforms Ireland správy o počte osôb, ktoré videli ich reklamu na Facebooku a ktoré sa následne pripojili na ich webovú stránku s cieľom prezrieť si ju alebo uskutočniť nákup.
19
„Sociálne pluginy“ a pixely v kombinácii so „súbormi cookie“ tak predstavujú podstatný prvok reklamy na internete, keďže prevažná väčšina obsahu dostupného na internete je financovaná z reklamy. Najmä „pluginy“ umožňujú prezentovať príslušné reklamy používateľom a pixely slúžia inzerentom na meranie výkonnosti reklamných kampaní, ako aj na získavanie informácií o cieľových skupinách používateľov.
20
V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že pán Schrems nepovolil spoločnosti Meta Platforms Ireland spracúvať jeho osobné údaje, ktoré táto spoločnosť získa od inzerentov a iných partnerov o aktivitách pána Schremsa mimo Facebooku na účely personalizovanej reklamy. Niektoré údaje týkajúce sa pána Schremsa však získala Meta Platforms Ireland vďaka „súboru cookie“, „sociálnych pluginov“ a porovnateľným technológiám vloženým do webových stránok tretích osôb a táto spoločnosť ich použila na zlepšenie produktov Facebooku a zasielanie personalizovanej reklamy pánovi Schremsovi.
21
Okrem toho z tohto rozhodnutia tiež vyplýva, že pán Schrems neuviedol nijaký citlivý údaj na svojom profile na Facebooku, že iba jeho „priatelia“ môžu vidieť jeho aktivity alebo informácie uvedené na jeho „timeline“ [denník] a že jeho „zoznam priateľov“ nie je verejný. Pán Schrems sa tiež rozhodol nepovoliť spoločnosti Meta Platforms Ireland používať kolónky vo svojom profile, ktoré sa týkajú jeho vzťahu, zamestnávateľa, zamestnania alebo vzdelania, na účely cielenej reklamy.
22
Vzhľadom na údaje, ktoré má k dispozícii, však Meta Platforms Ireland môže identifikovať aj záujem pána Schremsa o citlivé témy, ako sú zdravie, sexuálna orientácia, etnické skupiny a politické strany, čo jej umožňuje ponúkať mu cielenú reklamu zameranú napríklad na takúto sexuálnu orientáciu alebo politické presvedčenie.
23
Pán Schrems dostal na jednej strane reklamu týkajúcu sa rakúskej političky, ktorá vychádzala z analýzy uskutočnenej spoločnosťou Meta Platforms Ireland, podľa ktorej mal spoločné znaky s inými používateľmi, ktorí označili túto političku uvedením „páči sa mi to“. Na druhej strane pán Schrems tiež pravidelne dostával reklamy pre homosexuálnu časť verejnosti a pozvánky na príslušné podujatia, hoci sa nikdy predtým nezaujímal o tieto podujatia a nepoznal miesto konania uvedených podujatí. Tieto reklamy a pozvánky sa nezakladajú priamo na sexuálnej orientácii žalobcu vo veci samej a jeho „priateľov“, ale na analýze ich centier záujmov, v prejednávanej veci na skutočnosti, že jeden z priateľov pána Schremsa označil produkt kliknutím na tlačidlo „páči sa mi to“.
24
Pán Schrems si objednal analýzu s cieľom určiť, aké závery možno vyvodiť z jeho zoznamu priateľov, z ktorej vyplynulo, že vykonával civilnú službu v Červenom kríži v Salzburgu a že je homosexuál. Navyše na zozname jeho aktivít mimo Facebook, ktorý má Meta Platforms Ireland, sú okrem iného uvedené zoznamovacie aplikácie a webové stránky pre homosexuálov, ako aj webová stránka rakúskej politickej strany. Medzi uloženými údajmi žalobcu vo veci samej je aj e‑mailová adresa, ktorá nie je uvedená na jeho profile na Facebooku, ale ktorú použil na zasielanie žiadostí spoločnosti Meta Platforms Ireland.
25
Z rozhodnutia vnútroštátneho súdu ďalej vyplýva, že pán Schrems verejne komunikoval skutočnosť, že je homosexuál. Na svojom profile na Facebooku však nikdy neuviedol svoju sexuálnu orientáciu.
26
Pán Schrems na Landesgericht für Zivilrechtssachen Wien (Krajinský súd pre občianskoprávne veci Viedeň, Rakúsko) tvrdil, že spracúvanie jeho osobných údajov spoločnosťou Meta Platforms Ireland porušuje viaceré ustanovenia GDPR. V tejto súvislosti sa domnieval, že jeho súhlas s podmienkami používania digitálnej platformy žalovanej vo veci samej nie je v súlade s požiadavkami článku 6 ods. 1 a článku 7 tohto nariadenia. Okrem toho Meta Platforms Ireland spracúva citlivé údaje žalobcu vo veci samej v zmysle článku 9 uvedeného nariadenia bez súhlasu potrebného na tento účel podľa článku 7 toho istého nariadenia. Rovnako neexistuje nijaký platný súhlas, pokiaľ ide o spracúvanie osobných údajov pána Schremsa, ktoré Meta Platforms Ireland dostala od tretích osôb. V tejto súvislosti pán Schrems okrem iného žiadal, aby sa žalovanej uložila povinnosť ukončiť spracúvanie jeho osobných údajov na účely personalizovanej reklamy, ako aj používanie týchto údajov vyplývajúcich z prehliadania webových stránok tretích osôb a získaných od tretích osôb.
27
Meta Platforms Ireland sa naopak domnievala, že spracúvanie údajov pána Schremsa sa uskutočnilo v súlade s podmienkami používania online sociálnej siete, ktoré sú zlučiteľné s požiadavkami GDPR. Toto spracúvanie údajov je zákonné a nie je založené na súhlase žalobcu vo veci samej, ktorý vyžaduje článok 6 ods. 1 písm. a) tohto nariadenia, ale na iných odôvodneniach, medzi ktoré patrí hlavne nevyhnutnosť tohto spracúvania na účely plnenia zmluvy uzavretej medzi ním a žalovanou vo veci samej v zmysle článku 6 ods. 1 písm. b) uvedeného nariadenia.
28
Vo veci samej už bol Súdnemu dvoru podaný návrh na začatie prejudiciálneho konania, ktorý viedol k vydaniu rozsudku z 25. januára 2018, Schrems (C‑498/16, EU:C:2018:37). V nadväznosti na tento rozsudok Landesgericht für Zivilrechtssachen Wien (Krajinský súd pre občianskoprávne veci Viedeň, Rakúsko) rozsudkom z 30. júna 2020 zamietol návrhy pána Schremsa. Rovnako Oberlandesgericht Wien (Vyšší krajinský súd Viedeň, Rakúsko), ktorý rozhodoval o odvolaní, zamietol odvolanie podané pánom Schremsom proti tomuto rozsudku najmä z dôvodu, že spracúvanie jeho osobných údajov ako používateľa online platformy, vrátane personalizovanej reklamy, je neoddeliteľnou súčasťou zmluvy o používaní tejto platformy uzavretej medzi zmluvnými stranami. Spracúvanie týchto údajov je teda nevyhnutné na plnenie tejto zmluvy v zmysle článku 6 ods. 1 písm. b) GDPR.
29
Oberster Gerichtshof (Najvyšší súd, Rakúsko), na ktorý pán Schrems podal opravný prostriedok „Revision“, poznamenal, že obchodný model spoločnosti Meta Platforms Ireland spočíva vo vytváraní príjmov prostredníctvom cielenej reklamy a komerčného obsahu, ktoré sú založené na preferenciách a záujmoch používateľov Facebooku pri spracúvaní osobných údajov týchto používateľov. Keďže však Facebook umožňuje bezplatne ponúkať služby svojim používateľom, toto spracúvanie možno považovať za nevyhnutné na plnenie zmluvy uzavretej s uvedenými používateľmi v zmysle článku 6 ods. 1 písm. b) GDPR.
30
Podľa tohto súdu by však toto ustanovenie, ktoré sa má vykladať reštriktívne, nemalo umožňovať takéto spracúvanie údajov bez súhlasu dotknutej osoby.
31
Okrem toho uvedený súd poznamenal, že Meta Platforms Ireland spracúva osobné údaje, ktoré možno podľa článku 9 ods. 1 GDPR klasifikovať ako „citlivé“.
32
V prejednávanej veci Meta Plaforms Ireland spracúva údaje týkajúce sa politického presvedčenia a sexuálnej orientácie pána Schremsa. Podľa zistení Oberster Gerichtshof (Rakúsko) pán Schrems verejne hovorí o svojej sexuálnej orientácii. Konkrétne v rámci pódiovej diskusie, ktorej sa zúčastnil 12. februára 2019 vo Viedni, pán Schrems na pozvanie zastúpenia Európskej komisie v Rakúsku poukázal na svoju sexuálnu orientáciu s cieľom kritizovať spracúvanie osobných údajov vykonávané Facebookom, vrátane spracúvania jeho vlastných údajov. Ako však tiež uviedol pri tejto príležitosti, pán Schrems na svojom profile na Facebooku nikdy nespomenul tento aspekt svojho súkromného života.
33
Podľa tohto súdu teda vzniká otázka, či dotknutý používateľ preukázateľne zverejnil citlivé osobné údaje, ktoré sa ho týkajú, a tak súhlasil s ich spracúvaním podľa článku 9 ods. 2 písm. e) GDPR.
34
Za týchto okolností Oberster Gerichtshof (Najvyšší súd, Rakúsko) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1. Majú sa ustanovenia článku 6 ods. 1 písm. a) a b) GDPR vykladať v tom zmysle, že zákonnosť zmluvných ustanovení vo všeobecných podmienkach služby týkajúcich sa platformových zmlúv, o aké ide v konaní vo veci samej (najmä zmluvné ustanovenia ako ‚Za používanie Facebooku a ďalších produktov a služieb, ktoré ponúkame, neplatíte, no používaním produktov Facebooku, na ktoré sa vzťahujú tieto Podmienky, súhlasíte s tým, že vám môžeme zobrazovať reklamy…. Vaše osobné údaje… používame na zobrazovanie reklám, ktoré sú pre vás relevantnejšie.‘), ktoré zahŕňajú spracúvanie osobných údajov pre potreby agregácie a analýzy údajov na účely personalizovanej reklamy, sa má posudzovať podľa požiadaviek článku 6 ods. 1 písm. a) v spojení s článkom 7 GDPR, ktoré nemožno nahradiť odkazom na článok 6 ods. 1 písm. b) GDPR?
2. Má sa článok 5 ods. 1 písm. c) GDPR (minimalizácia údajov) vykladať v tom zmysle, že všetky osobné údaje, ktoré získala platforma, o akú ide v konaní vo veci samej (najmä prostredníctvom dotknutej osoby alebo tretích osôb v rámci platformy alebo mimo nej), sa môžu bez obmedzenia týkajúceho sa času alebo druhu údajov agregovať, analyzovať a spracúvať na účely cielenej reklamy?
3. Má sa článok 9 ods. 1 GDPR vykladať v tom zmysle, že sa má uplatniť na spracúvanie údajov, ktoré dovoľuje cielené filtrovanie osobitných kategórií osobných údajov, ako sú politické názory alebo sexuálna orientácia (napríklad na účely reklamy), aj keď prevádzkovateľ nerozlišuje medzi týmito údajmi?
4. Má sa článok 5 ods. 1 písm. b) v spojení s článkom 9 ods. 2 písm. e) GDPR vykladať v tom zmysle, že vyjadrenie o vlastnej sexuálnej orientácii na účely pódiovej diskusie dovoľuje spracúvanie iných údajov o sexuálnej orientácii pre potreby agregácie a analýzy údajov na účely personalizovanej reklamy?“
Konanie na Súdnom dvore
35
Rozhodnutím zo 7. apríla 2022 predseda Súdneho dvora prerušil toto konanie do vydania rozhodnutia, ktorým sa ukončí konanie vo veci C‑252/21, Meta Platforms a i.
36
Rozhodnutím zo 7. júla 2023 predseda Súdneho dvora oznámil vnútroštátnemu súdu v prejednávanej veci rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete) (C‑252/21, EU:C:2023:537), pričom mu položil otázku, či vzhľadom na tento rozsudok trvá na svojom návrhu na začatie prejudiciálneho konania v celom rozsahu alebo čiastočne, a v prípade čiastočného späťvzatia tohto návrhu ho požiadal, aby uviedol dôvody na zachovanie časti tohto návrhu na začatie prejudiciálneho konania.
37
Uznesením z 19. júla 2023 doručeným do kancelárie Súdneho dvora 9. augusta 2023 tento súd vzal späť svoju prvú a tretiu prejudiciálnu otázku, pričom uviedol, že uvedený rozsudok na tieto otázky odpovedal. Naopak, uvedený súd trval na svojej druhej a štvrtej prejudiciálnej otázke, pričom uviedol, že ten istý rozsudok na ne neodpovedal v plnom rozsahu.
O druhej otázke
38
Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 5 ods. 1 písm. c) nariadenia GDPR vykladať v tom zmysle, že zásada „minimalizácie údajov“, ktorú stanovuje, bráni tomu, aby boli všetky osobné údaje, ktoré taký prevádzkovateľ, akým je prevádzkovateľ online platformy pre sociálnu sieť, získal od dotknutej osoby alebo tretích osôb a ktoré boli zozbierané tak na tejto platforme, ako aj mimo nej, zhromažďované, analyzované a spracúvané na účely cielenej reklamy bez časového obmedzenia a rozlišovania na základe povahy týchto údajov.
O prípustnosti
39
Žalovaná vo veci samej tvrdí, že táto otázka je neprípustná jednak z dôvodu, že vnútroštátny súd nevysvetlil dôvody, pre ktoré by odpoveď na uvedenú otázku bola užitočná na vyriešenie sporu vo veci samej, a jednak z dôvodu, že tento súd vychádzal z nepresného skutkového predpokladu, keď sa nesprávne domnieval, že žalovaná vo veci samej používa na reklamné účely všetky osobné údaje, ktoré má k dispozícii, bez časového obmedzenia a bez rozlišovania na základe povahy týchto údajov.
40
Pokiaľ ide v prvom rade o tvrdenie, podľa ktorého vnútroštátny súd neuviedol dôvody, pre ktoré sa domnieva, že odpoveď na jeho druhú otázku je užitočná na vyriešenie sporu vo veci samej, treba zdôrazniť význam toho, aby vnútroštátny súd uviedol presné dôvody, ktoré ho viedli k otázke výkladu práva Únie a k tomu, že považuje za potrebné položiť Súdnemu dvoru prejudiciálne otázky [rozsudky zo 6. decembra 2005, ABNA a i., C‑453/03, C‑11/04, C‑12/04 a C‑194/04, EU:C:2005:741, bod 46, a z 29. februára 2024, Staatssecretaris van Justitie en Veiligheid (Vzájomná dôvera v prípade prevodu), C‑392/22, EU:C:2024:195, bod 85]. V prejednávanej veci však z úvah v návrhu na začatie prejudiciálneho konania vyplýva, že vnútroštátny súd sa snaží zistiť, či za predpokladu, že spracúvanie na reklamné účely, o ktoré ide vo veci samej, je odôvodnené na základe článku 6 ods. 1 prvého pododseku písm. b) GDPR, rozsah údajov, ktoré takto spracúva žalovaná vo veci samej, je v súlade so zásadou minimalizácie údajov, alebo naopak, či takéto rozsiahle spracúvanie porušuje povinnosti, ktoré má prevádzkovateľ podľa článku 5 GDPR. Dôvody, pre ktoré sa odpoveď na túto otázku javí ako užitočná na vyriešenie sporu vo veci samej, teda dostatočne vyplývajú z návrhu na začatie prejudiciálneho konania.
41
Pokiaľ ide v druhom rade o tvrdenie, podľa ktorého vnútroštátny súd vychádzal z nepresného skutkového predpokladu, je pravda, že druhá prejudiciálna otázka vychádza z predpokladu, že na jednej strane, ako bolo uvedené v bode 20 tohto rozsudku, hoci pán Schrems nepovolil spoločnosti Meta Platforms Ireland spracúvať jeho osobné údaje týkajúce sa jeho aktivít mimo Facebooku, táto spoločnosť zaobchádzala s niektorými z týchto údajov, ktoré získala od tretích partnerov, na základe toho, že pán Schrems akceptoval všeobecné podmienky používania sociálnej siete, najmä vďaka „súborom cookie“ a „sociálnym pluginom“ spoločnosti Facebook, ktoré sú vložené do webových stránok týchto tretích partnerov, a na druhej strane Meta Platforms Ireland spracúva tieto osobné údaje bez časového obmedzenia a rozlišovania na základe povahy uvedených údajov.
42
Je potrebné pripomenúť, že podľa ustálenej judikatúry článok 267 ZFEÚ zavádza postup priamej spolupráce medzi Súdnym dvorom a súdmi členských štátov. V rámci tohto postupu, ktorý vychádza z jednoznačného rozdelenia úloh medzi vnútroštátnymi súdmi a Súdnym dvorom, je na posúdenie konkrétneho skutkového stavu príslušný vnútroštátny súd, ktorému prislúcha, aby s prihliadnutím na osobitosti veci posúdil tak nevyhnutnosť prejudiciálneho rozhodnutia pre možnosť vydať svoj rozsudok, ako aj relevantnosť otázok, ktoré kladie Súdnemu dvoru, pričom Súdny dvor je oprávnený vyjadriť sa výlučne k výkladu alebo platnosti textu práva Únie na základe skutkového stavu, ktorý mu opísal vnútroštátny súd (rozsudok z 25. októbra 2017, Polbud – Wykonawstwo, C‑106/16, EU:C:2017:804, bod 27 a citovaná judikatúra).
43
Preto je potrebné odpovedať na položené otázky na základe tohto predpokladu, vnútroštátnemu súdu však pritom prislúcha preveriť jeho dôvodnosť.
44
Druhá prejudiciálna otázka je preto prípustná.
O veci samej
45
Po prvé treba pripomenúť, že cieľ sledovaný nariadením GDPR, ktorý vyplýva z jeho článku 1, ako aj z jeho odôvodnení 1 a 10, spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ (rozsudok zo 7. marca 2024, IAB Europe, C‑604/22, EU:C:2024:214, bod 53 a citovaná judikatúra).
46
Na tento účel kapitoly II a III tohto nariadenia uvádzajú zásady, ktorými sa riadi spracúvanie osobných údajov, resp. aké práva dotknutej osoby musí dodržiavať každé spracúvanie osobných údajov. Konkrétne, s výhradou výnimiek stanovených v článku 23 uvedeného nariadenia musí byť každé spracovanie osobných údajov na jednej strane v súlade so zásadami týkajúcimi sa spracúvania takýchto údajov uvedenými v článku 5 toho istého nariadenia a spĺňať podmienky zákonnosti vymenované v jeho článku 6 a na druhej strane musí rešpektovať práva dotknutej osoby uvedené v článkoch 12 až 22 GDPR [rozsudok z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení), C‑757/22, EU:C:2024:598, bod 49 a citovaná judikatúra].
47
Ako už Súdny dvor spresnil, zásady týkajúce sa spracúvania osobných údajov uvedené v článku 5 GDPR sa uplatňujú kumulatívne (rozsudok z 20. októbra 2022, Digi, C‑77/21, EU:C:2022:805, bod 47).
48
V tejto súvislosti treba uviesť, že podľa článku 5 ods. 1 písm. a) GDPR osobné údaje musia byť spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe a že na základe písmena b) tohto článku 5 ods. 1 tieto údaje musia byť získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi.
49
Okrem toho článok 5 ods. 1 písm. c) tohto nariadenia, ktorý zakotvuje tzv. zásadu „minimalizácie údajov“, stanovuje, že osobné údaje musia byť „primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú“ [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 109, ako aj citovaná judikatúra].
50
Ako už rozhodol Súdny dvor, táto zásada je vyjadrením zásady proporcionality [pozri v tomto zmysle rozsudky z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body), C‑439/19, EU:C:2021:504, bod 98 a citovanú judikatúru, a z 30. januára 2024, Direktor na Glavna direkcija Nacionalna policija pri MVR – Sofija, C‑118/22, EU:C:2024:97, bod 41].
51
Podľa zásady zodpovednosti stanovenej v článku 5 ods. 2 GDPR musí byť prevádzkovateľ schopný preukázať, že osobné údaje sa získavajú a spracúvajú v súlade so zásadami stanovenými v odseku 1 tohto článku (pozri v tomto zmysle rozsudok z 20. októbra 2022, Digi, C‑77/21, EU:C:2022:805, bod 24). Okrem toho v súlade s článkom 13 ods. 1 písm. c) tohto nariadenia platí, že ak sa osobné údaje získavajú od dotknutej osoby, je prevádzkovateľ povinný informovať dotknutú osobu o účeloch spracúvania, na ktoré sú tieto údaje určené, ako aj o právnom základe tohto spracúvania [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 95].
52
Po druhé, pokiaľ ide o časové obmedzenie spracúvania osobných údajov, o aké ide vo veci samej, treba pripomenúť, že Súdny dvor už rozhodol, že vzhľadom na zásadu minimalizácie údajov je prevádzkovateľ povinný tiež obmedziť na striktne nevyhnutné, s ohľadom na plánovaný cieľ spracúvania údajov, aj obdobie získavania predmetných osobných údajov (rozsudok z 24. februára 2022, Valsts ieņēmumu dienests (Spracovanie osobných údajov na daňové účely), C‑175/20, EU:C:2022:124, bod 79].
53
Čím dlhšia je doba uchovávania týchto údajov, tým väčšie sú dôsledky na záujmy a súkromný život dotknutej osoby a tým vyššie sú požiadavky na zákonnosť uchovávania uvedených údajov [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 95].
54
Okrem toho treba uviesť, že podľa článku 5 ods. 1 písm. e) GDPR sa osobné údaje musia uchovávať vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na dosiahnutie účelov, na ktoré sa osobné údaje spracúvajú.
55
Zo znenia tohto článku teda jednoznačne vyplýva, že zásada „minimalizácie uchovávania“, ktorú zakotvuje, vyžaduje, aby v súlade so zásadou zodpovednosti pripomenutou v bode 51 tohto rozsudku bol prevádzkovateľ schopný preukázať, že osobné údaje sa uchovávajú len počas obdobia, ktoré je nevyhnutné na dosiahnutie účelov, na ktoré boli tieto údaje získané alebo na ktoré boli ďalej spracúvané (pozri v tomto zmysle rozsudok z 20. októbra 2022, Digi, C‑77/21, EU:C:2022:805, bod 53).
56
Z toho vyplýva, ako už Súdny dvor rozhodol, že aj pôvodne zákonné spracúvanie údajov sa môže časom stať nezlučiteľné s ustanoveniami GDPR, ak už tieto údaje nie sú na účely, na ktoré sa získavajú a ďalej spracúvajú, nevyhnutné, a že uvedené údaje musia byť vymazané, ak boli tieto účely dosiahnuté (pozri v tomto zmysle rozsudok z 20. októbra 2022, Digi, C‑77/21, EU:C:2022:805, bod 54 a citovanú judikatúru).
57
Za týchto podmienok, ako v podstate uviedol generálny advokát v bode 22 svojich návrhov, prináleží vnútroštátnemu súdu, aby vzhľadom na všetky relevantné skutočnosti a na základe uplatnenia zásady proporcionality pripomenutej v článku 5 ods. 1 písm. c) nariadenia GDPR posúdil, či je doba uchovávania osobných údajov prevádzkovateľom primerane odôvodnená vzhľadom na cieľ, ktorým je umožniť šírenie personalizovanej reklamy.
58
V každom prípade uchovávanie osobných údajov používateľov platformy sociálnej siete na neobmedzenú dobu na účely cielenej reklamy treba považovať za neprimeraný zásah do práv, ktoré týmto používateľom zaručuje GDPR.
59
Po tretie, pokiaľ ide o okolnosť, že osobné údaje, o ktoré ide vo veci samej, sú získavané, zhromažďované, analyzované a spracúvané na účely cielenej reklamy bez rozlišovania na základe povahy týchto údajov, treba pripomenúť, že Súdny dvor už rozhodol, že vzhľadom na zásadu minimalizácie údajov stanovenú v článku 5 ods. 1 písm. c) GDPR prevádzkovateľ nemôže všeobecne a nediferencovane pristúpiť k získavaniu osobných údajov a zároveň sa musí zdržať získavania údajov, ktoré nie sú striktne nevyhnutné vzhľadom na účely spracúvania [rozsudok z 24. februára 2022, Valsts ieņēmumu dienests (Spracovanie osobných údajov na daňové účely), C‑175/20, EU:C:2022:124, bod 74].
60
Treba tiež uviesť, že článok 25 ods. 2 tohto nariadenia vyžaduje, aby prevádzkovateľ vykonal primerané opatrenia, aby zabezpečil, že štandardne sa spracúvajú len osobné údaje, ktoré sú nevyhnutné pre každý konkrétny účel spracúvania. Podľa tohto ustanovenia sa táto požiadavka vzťahuje najmä na množstvo zhromaždených osobných údajov a rozsah ich spracúvania, ako aj na dobu ich uchovávania.
61
V prejednávanej veci z rozhodnutia vnútroštátneho súdu vyplýva, že Meta Platforms Ireland zhromažďuje osobné údaje používateľov Facebooku, vrátane pána Schremsa, týkajúce sa aktivít týchto používateľov tak na tejto sociálnej sieti, ako aj mimo nej, medzi ktoré patria najmä údaje týkajúce sa prehliadania online platformy, ako aj webových stránok a aplikácií tretích osôb, a sleduje tiež správanie používateľov na týchto stránkach prostredníctvom „sociálnych pluginov“ a „pixelov“ vložených do dotknutých webových stránok.
62
Ako už Súdny dvor rozhodol, také spracúvanie je mimoriadne rozsiahle, keďže sa týka potenciálne neobmedzeného množstva údajov a má významný vplyv na používateľa vzhľadom na to, že veľkú časť, či dokonca takmer všetky jeho online aktivity monitoruje Meta Platforms Ireland, čo môže u neho vyvolať pocit, že jeho súkromný život je pod neustálym dohľadom [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 118].
63
Za týchto podmienok sa spracúvanie údajov, o ktoré ide vo veci samej, vyznačuje vážnym zásahom do základných práv dotknutých osôb, najmä ich práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených v článkoch 7 a 8 Charty základných práv Európskej únie, ktorý sa s výhradou overení, ktoré prináleží vykonať vnútroštátnemu súdu, nepovažuje za primerane odôvodnený vzhľadom na cieľ spočívajúci v umožnení šírenia cielenej reklamy.
64
V každom prípade sa nediferencované používanie všetkých osobných údajov, ktoré má k dispozícii platforma sociálnej siete, na reklamné účely, bez ohľadu na stupeň citlivosti týchto údajov, nejaví ako primeraný zásah do práv, ktoré používateľom tejto platformy zaručuje GDPR.
65
Vzhľadom na predchádzajúce úvahy treba na druhú otázku odpovedať, že článok 5 ods. 1 písm. c) GDPR sa má vykladať v tom zmysle, že zásada „minimalizácie údajov“, ktorú stanovuje, bráni tomu, aby boli všetky osobné údaje, ktoré taký prevádzkovateľ, akým je prevádzkovateľ online platformy sociálnej siete, získal od dotknutej osoby alebo tretích osôb a ktoré boli zozbierané tak na tejto platforme, ako aj mimo nej, zhromažďované, analyzované a spracúvané na účely cielenej reklamy bez časového obmedzenia a rozlišovania na základe povahy týchto údajov.
O štvrtej otázke
66
Touto otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 9 ods. 2 písm. e) nariadenia GDPR vykladať v tom zmysle, že okolnosť, že osoba sa vyjadrila k svojej sexuálnej orientácii počas verejne prístupnej pódiovej diskusie, oprávňuje prevádzkovateľa online platformy sociálnej siete spracúvať iné údaje týkajúce sa sexuálnej orientácie tejto osoby, ktoré prípadne získal mimo tejto platformy od aplikácií alebo webových stránok tretích partnerov, s cieľom zhromažďovať a analyzovať tieto údaje, aby jej ponúkol personalizovanú reklamu.
67
Vnútroštátny súd sa konkrétne snaží zistiť, či na základe vyhlásenia pána Schremsa v rámci pódiovej diskusie už posledný uvedený nemá právo na ochranu priznanú článkom 9 ods. 1 nariadenia GDPR a či v dôsledku toho bol Facebook oprávnený spracúvať iné údaje týkajúce sa jeho sexuálnej orientácie.
68
Na úvod treba uviesť, že pódiová diskusia uvádzaná vnútroštátnym súdom, v rámci ktorej sa pán Schrems vyjadril k svojej sexuálnej orientácii, sa konala 12. februára 2019 a že ako vyplýva z návrhu na začatie prejudiciálneho konania, Meta Platforms Ireland už k tomuto dátumu spracúvala osobné údaje týkajúce sa sexuálnej orientácie pána Schremsa, takže k tomuto vyjadreniu došlo po začatí takéhoto spracúvania údajov.
69
Z toho vyplýva, že štvrtú otázku položenú vnútroštátnym súdom treba chápať tak, že sa týka len prípadného spracúvania údajov týkajúcich sa sexuálnej orientácie pána Schremsa, ktoré vykonala Meta Platforms Ireland po 12. februári 2019. Vnútroštátnemu súdu však prináleží overiť, či k takémuto spracovaniu skutočne došlo po tomto dátume, v súlade s judikatúrou pripomenutou v bode 42 tohto rozsudku.
70
Na účely odpovede na túto otázku treba v prvom rade pripomenúť, že odôvodnenie 51 GDPR uvádza, že osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre tieto základné práva a slobody vyplývať významné riziká. Toto odôvodnenie spresňuje, že takéto osobné údaje by sa nemali spracúvať, pokiaľ to nie je povolené v osobitných prípadoch stanovených v uvedenom nariadení.
71
V tejto súvislosti článok 9 ods. 1 GDPR zakotvuje zásadu zákazu spracúvania osobitných kategórií osobných údajov, ktoré sú v ňom uvedené. Ide najmä o údaje o rasovom alebo etnickom pôvode, politických názoroch, náboženskom presvedčení, ako aj údaje týkajúce sa zdravia, sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
72
Na účely uplatnenia článku 9 ods. 1 GDPR treba v prípade spracúvania osobných údajov vykonávaného prevádzkovateľom online sociálnej siete overiť, či tieto údaje môžu odhaliť informácie patriace do jednej z kategórií uvedených v tomto ustanovení, či sa tieto informácie týkajú používateľa tejto siete alebo akejkoľvek inej fyzickej osoby. V prípade kladnej odpovede je takéto spracúvanie osobných údajov – s výhradou výnimiek stanovených v článku 9 ods. 2 GDPR – zakázané.
73
Ako už Súdny dvor rozhodol, tento zásadný zákaz stanovený v článku 9 ods. 1 GDPR nezávisí od toho, či informácia odhalená predmetným spracúvaním je alebo nie je správna a či prevádzkovateľ koná s cieľom získať informácie patriace do jednej z osobitných kategórií uvedených v tomto ustanovení. Vzhľadom na významné riziká pre základné slobody a základné práva dotknutých osôb spôsobené akýmkoľvek spracúvaním osobitných kategórií osobných údajov uvedených v článku 9 ods. 1 GDPR je totiž jeho cieľom zakázať takéto spracúvanie bez ohľadu na ich uvádzaný cieľ [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, body 69 a 70].
74
Hoci totiž tento článok 9 ods. 1 v zásade zakazuje spracúvanie údajov týkajúcich sa najmä sexuálnej orientácie, odsek 2 uvedeného článku stanovuje vo svojich písmenách a) až j) desať výnimiek, ktoré sú navzájom nezávislé, a preto ich treba posudzovať samostatne. To znamená, že skutočnosť, že podmienky uplatnenia jednej z výnimiek stanovených v tomto odseku 2 nie sú splnené, nemôže brániť tomu, aby sa prevádzkovateľ mohol odvolávať na inú výnimku uvedenú v tomto ustanovení (rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 47).
75
Pokiaľ ide konkrétne o výnimku stanovenú v článku 9 ods. 2 písm. e) GDPR, treba pripomenúť, že podľa tohto ustanovenia sa zásadný zákaz akéhokoľvek spracúvania osobitných kategórií osobných údajov stanovený v tomto článku 9 ods. 1 neuplatňuje v prípade, že spracúvanie sa týka osobných údajov, ktoré „dotknutá osoba preukázateľne zverejnila“.
76
Keďže článok 9 ods. 2 písm. e) GDPR stanovuje výnimku zo zásady zákazu spracúvania osobitných kategórií osobných údajov, treba ho vykladať reštriktívne [pozri v tomto zmysle rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 76 a citovanú judikatúru].
77
Z toho vyplýva, že na účely uplatnenia výnimky stanovenej v článku 9 ods. 2 písm. e) GDPR treba overiť, či dotknutá osoba výslovne a jednoznačným potvrdzujúcim úkonom zamýšľala sprístupniť predmetné osobné údaje širokej verejnosti [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 77].
78
V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že pódiová diskusia organizovaná 12. februára 2019 vo Viedni, v rámci ktorej sa pán Schrems vyjadril k svojej sexuálnej orientácii, bola prístupná verejnosti, ktorá sa jej mohla osobne zúčastniť po získaní vstupenky v závislosti od kapacity voľných miest, a bola vysielaná prostredníctvom streamovania. Okrem toho bola následne zverejnená jej nahrávka vo forme podcastu, ako aj na kanáli Komisie na platforme Youtube.
79
Za týchto podmienok a s výhradou overení, ktoré prislúchajú vnútroštátnemu súdu, nemožno vylúčiť, že toto vyhlásenie, hoci je súčasťou širšieho prejavu a bolo uskutočnené výlučne s cieľom kritizovať spracúvanie osobných údajov vykonávané Facebookom, predstavuje akt, ktorým dotknutá osoba preukázateľne vedome zverejnila svoju sexuálnu orientáciu v zmysle článku 9 ods. 2 písm. e) GDPR.
80
V druhom rade, hoci okolnosť, že dotknutá osoba preukázateľne zverejnila údaj týkajúci sa jej sexuálnej orientácie, má za následok, že tento údaj môže byť predmetom spracúvania odchylne od zákazu stanoveného v článku 9 ods. 1 GDPR a v súlade s požiadavkami vyplývajúcimi z ostatných ustanovení tohto nariadenia [pozri v tomto zmysle rozsudok z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje), C‑136/17, EU:C:2019:773, bod 64], táto okolnosť sama osebe neumožňuje na rozdiel od toho, čo tvrdí Meta Platforms Ireland, spracúvanie iných osobných údajov týkajúcich sa sexuálnej orientácie tejto osoby.
81
Na jednej strane by teda bolo v rozpore s náležitým reštriktívnym výkladom článku 9 ods. 2 písm. e) nariadenia GDPR, ak by sa usudzovalo, že na všetky údaje týkajúce sa sexuálnej orientácie osoby sa nevzťahuje ochrana vyplývajúca z odseku 1 tohto článku len z dôvodu, že dotknutá osoba preukázateľne zverejnila osobný údaj týkajúci sa jej sexuálnej orientácie.
82
Na druhej strane skutočnosť, že osoba preukázateľne zverejnila údaj týkajúci sa jej sexuálnej orientácie, neumožňuje domnievať sa, že táto osoba v zmysle článku 9 ods. 2 písm. a) GDPR súhlasila so spracúvaním iných údajov týkajúcich sa jej sexuálnej orientácie prevádzkovateľom online platformy sociálnej siete.
83
Vzhľadom na predchádzajúce úvahy treba na štvrtú otázku odpovedať, že článok 9 ods. 2 písm. e) GDPR sa má vykladať v tom zmysle, že okolnosť, že osoba sa vyjadrila k svojej sexuálnej orientácii počas verejne prístupnej pódiovej diskusie, neoprávňuje prevádzkovateľa online platformy sociálnej siete spracúvať iné údaje týkajúce sa sexuálnej orientácie tejto osoby, ktoré prípadne získal mimo tejto platformy od aplikácií alebo webových stránok tretích partnerov, s cieľom zhromažďovať a analyzovať tieto údaje, aby jej ponúkol personalizovanú reklamu.
O trovách
84
Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (štvrtá komora) rozhodol takto:
1.
Článok 5 ods. 1 písm. c) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
zásada „minimalizácie údajov“, ktorú stanovuje, bráni tomu, aby boli všetky osobné údaje, ktoré taký prevádzkovateľ, akým je prevádzkovateľ online platformy sociálnej siete, získal od dotknutej osoby alebo tretích osôb a ktoré boli zozbierané tak na tejto platforme, ako aj mimo nej, zhromažďované, analyzované a spracúvané na účely cielenej reklamy bez časového obmedzenia a rozlišovania na základe povahy týchto údajov.
2.
Článok 9 ods. 2 písm. e) nariadenia 2016/679
sa má vykladať v tom zmysle, že:
okolnosť, že osoba sa vyjadrila k svojej sexuálnej orientácii počas verejne prístupnej pódiovej diskusie, neoprávňuje prevádzkovateľa online platformy sociálnej siete spracúvať iné údaje týkajúce sa sexuálnej orientácie tejto osoby, ktoré prípadne získal mimo tejto platformy od aplikácií alebo webových stránok tretích partnerov, s cieľom zhromažďovať a analyzovať tieto údaje, aby jej ponúkol personalizovanú reklamu.
Podpisy
(
*1
)	Jazyk konania: nemčina.