Praćenje presuda suda EU danas je više nego ikada važno.
Ova odluka suda reći će nam: znači li načelo minimiziranja podataka (članak 5. stavak 1. točka (c) GDPR-a) da se svi osobni podaci koje drži platforma mogu prikupljati, analizirati i obrađivati u svrhe ciljanog oglašavanja bez ikakvih ograničenja?; znači li članak 5. stavak 1. točka (b) u vezi s člankom 9. stavkom 2. točkom (e) GDPR-a da izjava osobe o svojoj seksualnoj orijentaciji za potrebe panel rasprave dopušta voditelju obrade da obradi druge podatke koji se odnose na seksualnu orijentaciju kako bi im ponudili personalizirano oglašavanje?
CJEU je u slučaju C-446/21 (Maximilian Schrems v Meta Platforms Ireland Limited) naveo da javno otkrivanje seksualne orijentacije ispitanika ne dopušta platformi društvenih medija da obrađuje druge podatke koji se odnose na tu orijentaciju. Također, CJEU smatra da se osobni podaci ne smiju obrađivati za ciljano oglašavanje osobito bez ograničenja trajanja i vrste podataka.
U 2018. Meta Platforms Ireland (“voditelj obrade”) predstavila je nove Facebookove uvjete pružanja usluge svojim korisnicima u Europskoj uniji, s ciljem dobivanja njihovog pristanka. Ispitanik, korisnik Facebooka, prihvatio je nove uvjete pružanja usluge koje je predstavio voditelj obrade.
Nakon navedenog ispitanik je dobio reklamu za političarku na temelju analize da je sličan drugim korisnicima platforme kojima se ona „sviđala“. Također je redovito dobivao reklame usmjerene prema homoseksualcima i pozive na odgovarajuća događanja. Ispitanik je javno spominjao svoju homoseksualnost, ali nikada nije spomenuo svoju seksualnu orijentaciju na Facebooku, niti je objavio bilo kakve osjetljive podatke. Također nije ovlastio voditelja obrade da u svrhu ciljanog oglašavanja koristi podatke u njegovom profilu koja se odnose na status veze, poslodavca, radno mjesto ili obrazovanje.
Spomenuti oglasi i pozivi nisu se temeljili izravno na njegovoj seksualnoj orijentaciji ili njegovim “prijateljima” na Facebooku, već na analizi njihovih posebnih interesa. Ispitanik je tvrdio da je voditelj obrade zabilježio sve podatke koji se odnose na njega, uključujući one dobivene putem trećih strana ili dodataka, te ih pohranio na neodređeno vrijeme.
Nakon toga, tijekom tribine, ispitanik se osvrnuo na svoju seksualnu orijentaciju tijekom govora koji je imao za cilj kritizirati navodno nezakonitu obradu podataka koji se odnose na njegovu seksualnu orijentaciju od strane voditelja obrade.
Na kraju....
Ispitanik je nakon svega pokrenuo tužbu pred Landesgericht für Zivilsachen Wien (Regionalni sud za građansko pravo, Beč, Austrija) tražeći ovrhu, izjavu i zabranu u vezi s navodnom nezakonitom obradom njegovih osobnih podataka. Njegovu je tužbu odbacio u prvom stupnju 30. lipnja 2020., a u žalbenom postupku Oberlandesgericht Wien (Viši regionalni sud, Beč, Austrija) 7. prosinca 2020. Ispitanik je stoga uložio žalbu Oberster Gerichtshofu (Vrhovni sud).
Potonji je Sudu EU-a uputio ukupno četiri pitanja. Međutim, dva su povučena nakon presude od 4. srpnja 2023., Meta Platforms i drugi. Dva preostala pitanja su:
- Znači li načelo minimiziranja podataka (članak 5. stavak 1. točka (c) GDPR-a) da se svi osobni podaci koje drži platforma mogu prikupljati, analizirati i obrađivati u svrhe ciljanog oglašavanja bez ikakvih ograničenja?
- Znači li članak 5. stavak 1. točka (b) u vezi s člankom 9. stavkom 2. točkom (e) GDPR-a da izjava osobe o svojoj seksualnoj orijentaciji za potrebe panel rasprave dopušta voditelju obrade da obradi druge podatke koji se odnose na seksualnu orijentaciju kako bi im ponudili personalizirano oglašavanje?
Opće mišljenje pravobranitelja
Generalni odvjetnik Rantos objavio je svoje mišljenje o tom pitanju 25. travnja 2024.
Prvo pitanje:
Prvo, nezavisni odvjetnik podsjetio je da je Sud Europske unije naveo da načelo minimiziranja podataka navedeno u članku 5. stavku 1. točki (c) GDPR-a predviđa da bi osobni podaci trebali biti primjereni, relevantni i ograničeni na ono što je potrebno u odnosu na svrhe za kojima se obrađuju. To odražava načelo proporcionalnosti. Stoga načelo minimizacije podataka ima za cilj minimalizirati ograničenja prava na zaštitu osobnih podataka uzrokovana obradom (§20. Mišljenja).
Nezavisni odvjetnik smatra da je nepostojanje bilo kakvog ograničenja, po definiciji, u suprotnosti s načelom minimiziranja podataka (§21. mišljenja).
Što se tiče ograničenja koja se odnose na vrijeme, nezavisni odvjetnik navodi da u nedostatku posebne odredbe u GDPR-u, pravosuđe EU-a ne može postaviti obvezno vremensko ograničenje zadržavanja takvih podataka. Prvobitno zakonita obrada može s vremenom postati nespojiva s člankom 5. stavkom 1. točkom (c) GDPR-a ako podaci više nisu potrebni u svjetlu svrhe za koju su prikupljeni. Stoga sudovi koji upućuju zahtjeve moraju procijeniti je li razdoblje zadržavanja osobnih podataka od strane voditelja obrade opravdano s obzirom na legitimni cilj obrade navedenih podataka, u svrhu personaliziranog oglašavanja (§22. Mišljenja).
Što se tiče ograničenja koja se odnose na vrstu podataka, nezavisni odvjetnik smatra da je također na sudu koji je uputio zahtjev da utvrdi može li se obrada osobnih podataka smatrati zakonitom u skladu s načelom proporcionalnosti, s obzirom na okolnosti sadašnjeg slučaju (§23 Mišljenja).
Drugo, nezavisni odvjetnik je naveo da članak 5. stavak 1. točka (c) koristi vrlo općenite uvjete („primjerenost“, „relevantnost“, „nužnost“) što pokazuje da je zakonodavac EU-a namjeravao ostaviti široku diskreciju nadležnim tijelima. Uistinu, ti se uvjeti mogu tumačiti samo od slučaja do slučaja (§25. Mišljenja).
Međutim, neovisni odvjetnik smatra da se mogu povući određene razlike ovisno o utjecaju na prava ispitanika. S jedne strane, može se napraviti razlika između 'statičnih podataka' (dob ili spol na primjer) i podataka o 'ponašanju' (nadziranje korisničkih navika pregledavanja, na primjer), budući da su potonji općenito invazivniji u pogledu podataka ispitanika. Što se tiče podataka o ponašanju, također se može povući razlika između "aktivnog" ponašanja (klikanje na gumb "sviđa mi se", na primjer) i "pasivnog" ponašanja (posjećivanje web stranice, na primjer), budući da je potonje općenito invazivnije za korisnika. S druge strane, neovisni odvjetnik također razlikuje obradu osobnih podataka prikupljenih na Facebook platformi i izvan te platforme, pri čemu je potonja invazivnija za ispitanika (§25. Mišljenja).
Nezavisni odvjetnik je također smatrao da je važno uzeti u obzir razumna očekivanja ispitanika (§26. Mišljenja).
Zaključno svemu, neovisni odvjetnik je utvrdio da članak 5. stavak 1. točka (c) GDPR-a ne dopušta obradu osobnih podataka u svrhu ciljanog oglašavanja bez ograničenja u pogledu vremena ili vrste podataka. Sud mora procijeniti, u svjetlu okolnosti i primjenom načela razmjernosti, u kojoj su mjeri razdoblje čuvanja podataka i količina obrađenih podataka opravdani s obzirom na svrhu (§28. Mišljenja).
Drugo pitanje:
Članak 5. stavak 1. točka (b) GDPR-a utvrđuje da se osobni podaci moraju prikupljati u određene, izričite i legitimne svrhe. Članak 9. stavak 1. GDPR-a navodi da je obrada podataka koji se, između ostalog, odnose na seksualnu orijentaciju fizičke osobe, zabranjena, osim ako takva obrada potpada pod jedno od izuzeća predviđenih člankom 9. stavkom 2. GDPR-a. Prema članku 9. stavku 2. točki (e) GDPR-a, jedno od tih izuzeća je kada osobne podatke javno objavi ispitanik.
Nezavisni odvjetnik istaknuo je da uporaba priloga ‘očigledno’ i činjenica da je ova odredba izuzeće od opće zabrane i da se zahtijeva posebno stroga primjena tog izuzeća. Ispitanik mora biti potpuno svjestan da eksplicitnom radnjom svoje osobne podatke čini dostupnima svima (§35. Mišljenja). U ovom slučaju, osjetljivi podaci otkriveni su izvan Facebook platforme.
CJEU je presudio da klik na gumbe "Like" ili "Share" ne čini podatke koji proizlaze iz klika očito javnim (CJEU, Meta Platforms i drugi).
Nezavisni odvjetnik je napravio razliku između (i) predstavlja li izjava ispitanika o njegovoj seksualnoj orijentaciji čin kojim je on očito objavio tu seksualnu orijentaciju i (ii) ako je odgovor potvrdan, dopušta li to obradu tih osobnih podataka za potrebe personaliziranog oglašavanja (§39. Mišljenja).
U vezi s prvim pitanjem, nezavisni odvjetnik primijetio je da članak 9. stavak 2. točka (e) GDPR-a zahtijeva ispunjenje dva uvjeta: 'objektivni' uvjet da osobni podaci moraju biti 'očigledno javno objavljeni' i 'ispitanika' uvjet da 'ispitanik' čini očito javnim (§41. Mišljenja). Što se tiče prvog uvjeta, smatra da je u konkretnom slučaju tribina emitirana uživo i to kao stream te je tema o kojoj se govorilo od javnog interesa. Stoga je izjava ispitanika mogla doći do neodređene javnosti, mnogo šire od one koja je bila prisutna (§42. Mišljenja). Što se tiče drugog uvjeta, smatrao je da je moguće pretpostaviti da je ispitanik imao potpunu svijest o očitovanju javnosti te orijentacije, posebno u kontekstu događaja koji je otvoren i dostupan tisku (§43 Mišljenja) .
Nezavisni odvjetnik također je primijetio da, iako su 'zaštićeni' osobni podaci očito javno objavljeni, oni postaju 'obični' podaci, ali ipak moraju biti obrađeni zakonito pod uvjetima utvrđenim u člancima 6. i 7. GDPR-a, te u skladu s načela članka 5. GDPR-a (§46. mišljenja).
Stoga, izjava koju je ispitanik dao o vlastitoj seksualnoj orijentaciji tijekom javne tribine može predstavljati radnju kojom je ispitanik očito objavio te podatke prema članku 9. stavku 2. točki (e) GDPR-a. Međutim, to samo po sebi ne dopušta obradu tih podataka s ciljem prikupljanja i analize podataka u svrhu personaliziranog oglašavanja.
Sažeto koji su odgovori na pitanja...
Dana 4. listopada 2024. CJEU je odgovorio na dva preostala preliminarna pitanja.
Na prvo pitanje:
Prvo, CJEU je naveo da članak 5. stavak 1. točka (c) GDPR-a ne dopušta voditelju obrade, posebno platformi društvene mreže, da obrađuje podatke prikupljene unutar i izvan platforme u svrhu ciljanog oglašavanja na neograničeno vrijeme i bez razlike što se tiče vrste podataka.
CJEU je obrazloženje temeljio na prethodnim presudama, posebno u predmetima Schufa i Digi, dajući tumačenje načela minimizacije podataka. CJEU podsjeća da načelo minimiziranja podataka propisuje da osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je potrebno u odnosu na svrhe obrade.
U vezi s vremenskim ograničenjem obrade osobnih podataka, CJEU je naglasio da načelo minimiziranja podataka zahtijeva od voditelja obrade da ograniči razdoblje zadržavanja osobnih podataka na ono što je strogo potrebno u svjetlu cilja aktivnosti obrade.
Što se tiče prikupljanja i obrade osobnih podataka u svrhu ciljanog oglašavanja, bez razlike u vrsti tih podataka, Sud Europske unije smatra da voditelj obrade ne smije prikupljati osobne podatke na općenit i neselektivan način te se mora suzdržati od prikupljanja podataka koji nisu striktno potrebni za svrhu obrade.
Na drugo pitanje:
Drugo, CJEU je presudio da činjenica da je osoba dala javnu izjavu o svojoj seksualnoj orijentaciji ne ovlašćuje nikoga pa ni internetske platforme odnosno društvene mreže za obradu drugih podataka koji se odnose na seksualnu orijentaciju te osobe. Stoga u takvom slučaju izuzeće iz članka 9. stavka 2. točke (e) GDPR-a nije primjenjivo.
U početku je CJEU objasnio da je Meta obrađivala podatke ispitanika koji se odnose na njegovu seksualnu orijentaciju prije nego što ih je ispitanik javno otkrio. Stoga bi iznimka u članku 9. stavku 2. točki (e) GDPR-a mogla utjecati samo na obradu podataka nakon tog datuma.
Zatim je sud podsjetio na svoje presude u kojima se ističe koncept strogog tumačenja članka 9. stavka 2. GDPR-a (osobito slučaj Meta C-252/21). Stoga, konkretno za članak 9. stavak 2. točku (e) GDPR-a, ispitanik mora imati namjeru učiniti svoje podatke javno dostupnima. Otkrivanje seksualne orijentacije tijekom panela organiziranog za širu javnost može potpasti pod članak 9(2)(e) GDPR. Ipak, takvo otkrivanje ne odnosi se na bilo koju vrstu podataka koji se odnose na seksualnu orijentaciju ispitanika. Stoga obrada drugih osobnih podataka koji se odnose na seksualnu orijentaciju ispitanika nije obuhvaćena izuzećem članka 9. stavka 2. točke (e) GDPR-a.
Također, činjenica da je pojedinac očito javno obznanio podatke o svojoj seksualnoj orijentaciji ne znači da je pojedinac pristao na obradu drugih podataka koji se odnose na njegovu seksualnu orijentaciju od strane internetske platforme društvene mreže u smislu članka 9. stavka 2. (a) GDPR.
U paragrafima 46. i 47., nezavisni odvjetnik iznosi zanimljivu točku ističući da kada ispitanik očito obznani izvorno „zaštićene” podatke oni postaju „obični”. Međutim, ti se osobni podaci i dalje moraju obrađivati pod uvjetima iz članaka 5., 6. i 7. GDPR-a.
Ovo ilustrira višestupanjsku zaštitu između članka 9. i članaka 5., 6. i 7.: nakon što zaštita članka 9. prestane, osobni podaci ostaju zaštićeni prema drugim člancima.
Zaključno, svakako je potrebno interno analizirati kako izvore osobnih podataka vaših ispitanika tako i u koje sve svrhe se isti obrađuje jer nekada koliko god mislili da je nešto ˝logično˝, da je to ˝ista svrha˝, da ˝nema ništa novo od obrade˝- tome nije tako. Provjerite kako obrađujete i što radite s podacima na svojim društvenim mrežama te jeste li pokrili takve obrade svojim internim aktima i obavijestima o obradi podataka.
