Przetwarzanie danych użytkownika Facebooka

Stan faktyczny

Spór pomiędzy M. Schremsem, użytkownikiem sieci społecznościowej Facebook, a Meta Platforms Ireland Ltd z siedzibą w Irlandii (dalej: Meta), dotyczył przetwarzania przez tę spółkę jego danych osobowych. M. Schrems twierdził, iż nigdy nie wspomniał o swojej orientacji seksualnej i nie opublikował żadnych danych wrażliwych na swoim profilu na Facebooku, a jednak regularnie otrzymywał reklamy skierowane do osób orientacji homoseksualnej i zaproszenia na odpowiednie wydarzenia. W związku z tym M. Schrems podniósł przed austriackim sądem, iż przetwarzanie jego danych osobowych przez Meta narusza szereg przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4. 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO).

Stanowisko TS

Zasada „minimalizacji danych”

Zgodnie z art. 5 ust. 1 lit. c) RODO, w którym ustanowiono zasadę „minimalizacji danych”, dane osobowe powinny być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane”. Trybunał wskazał, iż zgodnie z zasadą odpowiedzialności wyrażoną w art. 5 ust. 2 RODO administrator powinien być w stanie wykazać, iż przestrzega określonych w art. 5 ust. 1 zasad dotyczących przetwarzania danych osobowych. Ponadto, w przypadku gdy dane osobowe są pozyskiwane od osoby, której dotyczą, to na administratorze danych spoczywa obowiązek poinformowania jej o celach przetwarzania, do którego dane są przeznaczone, oraz o podstawie prawnej tego przetwarzania [wyrok TS z 4.7.2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C-252/21, EU:C:2023:537, pkt 95].

Odnośnie ograniczenia czasowego przetwarzania danych osobowych, takiego jak rozpatrywane w postępowaniu głównym, TS orzekł już, iż biorąc pod uwagę zasadę minimalizacji danych, administrator danych jest zobowiązany ograniczyć do niezbędnego minimum, w świetle zamierzonego celu przetwarzania danych, okres zbierania danych osobowych [wyrok TS z 24.2.2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych), C-175/20, EU:C:2022:124, pkt 79]. Trybunał podkreślił, iż do krajowego sądu należy dokonanie oceny, z uwzględnieniem wszystkich istotnych okoliczności sprawy i przy zastosowaniu zasady proporcjonalności, czy okres przechowywania danych osobowych przez administratora jest racjonalnie uzasadniony w świetle celu polegającego na umożliwieniu przesyłania zindywidualizowanych reklam. W każdym wypadku bezterminowe przechowywanie danych osobowych użytkowników platformy sieci społecznościowej do celów ukierunkowanej reklamy należy uznać za nieproporcjonalną ingerencję w prawa zagwarantowane tym użytkownikom w RODO.

Co do okoliczności, iż dane osobowe rozpatrywane w postępowaniu głównym są gromadzone, agregowane, analizowane i przetwarzane do celów ukierunkowanej reklamy, bez rozróżnienia charakteru tych danych, TS orzekł już, iż z uwagi na przewidzianą w art. 5 ust. 1 lit. c) RODO zasadę minimalizacji, administrator nie może zbierać danych osobowych w sposób ogólny i niezróżnicowany oraz iż powinien on powstrzymać się od zbierania danych, które nie są absolutnie niezbędne z punktu widzenia celów przetwarzania [wyrok Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych), pkt 74].

W niniejszej sprawie Meta gromadzi dane osobowe użytkowników Facebooka, w tym M. Schremsa, dotyczące ich aktywności zarówno w ramach tej sieci społecznościowej, jak i poza nią, w tym w szczególności dane dotyczące przeglądania platformy internetowej oraz stron i aplikacji internetowych podmiotów zewnętrznych, a także monitoruje aktywność użytkowników dotyczącą przeglądania tych stron dzięki umieszczonych na tych stronach internetowych „wtyczek społecznościowych” i „pikseli”. Trybunał orzekł już, iż tego rodzaju przetwarzanie ma szczególnie szeroki zakres, ponieważ potencjalnie dotyczy nieograniczonego zbioru danych i ma istotny wpływ na użytkownika, w przypadku którego znaczna część jego aktywności – a wręcz prawie cała jego aktywność w Internecie – jest monitorowana przez Meta. Może to wywołać u niego poczucie, iż jego życie prywatne jest pod stałym nadzorem [wyrok Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), pkt 118].

Trybunał orzekł, iż art. 5 ust. 1 lit. c) RODO należy interpretować w ten sposób, iż przewidziana w nim zasada „minimalizacji danych” stoi na przeszkodzie temu, aby wszystkie dane osobowe, które zostały pozyskane przez administratora danych, takiego jak operator platformy internetowej sieci społecznościowej, od osoby, której dane dotyczą, lub od podmiotów zewnętrznych i które zostały zebrane zarówno na tej platformie, jak i poza nią, były agregowane, analizowane i przetwarzane do celów ukierunkowanej reklamy, bezterminowo i bez względu na charakter tych danych.

Dane upublicznione

W art. 9 ust. 1 RODO ustanowiona została zasada zakazu przetwarzania wymienionych w nim szczególnych kategorii danych osobowych. Chodzi tu w szczególności o dane, które ujawniają pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne oraz dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby fizycznej.

Natomiast zgodnie art. 9 ust. 2 lit. e) RODO obowiązujący co do zasady zakaz jakiegokolwiek przetwarzania szczególnych kategorii danych osobowych, który został ustanowiony w art. 9 ust. 1, nie ma zastosowania w sytuacji, gdy to przetwarzanie dotyczy takich danych osobowych „w sposób oczywisty upublicznionych przez osobę, której dane dotyczą”. Jest to wyjątek od zasady zakazu przetwarzania szczególnych kategorii danych osobowych, zatem ten przepis należy interpretować zawężająco. Trybunał wyjaśnił, iż do celów zastosowania tego wyjątku należy sprawdzić, czy osoba, której dane dotyczą, zamierzała, w drodze wyraźnej czynności potwierdzającej, udostępnić rozpatrywane dane osobowe ogółowi opinii publicznej.

W niniejszej sprawie dyskusja panelowa, która odbyła się 12.2.2019 r. w Wiedniu, w trakcie której M. Schrems wypowiedział się na temat swojej orientacji seksualnej, była otwarta dla publiczności oraz transmitowana na żywo. Ponadto nagranie z tej dyskusji zostało następnie opublikowane. W tych okolicznościach, zdaniem TS, nie można wykluczyć, iż owa wypowiedź – mimo iż padła wyłącznie w celu krytyki przetwarzania danych osobowych dokonywanego przez Facebook – stanowi czynność, poprzez którą zainteresowany, świadomie i w sposób oczywisty, upublicznił, w rozumieniu art. 9 ust. 2 lit. e) RODO, swoją orientację seksualną. Jednakże TS zaznaczył, iż ta okoliczność sama w sobie nie pozwala, wbrew temu, co twierdzi Meta, na przetwarzanie innych danych osobowych dotyczących orientacji seksualnej tej osoby.

Trybunał orzekł, iż art. 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, iż okoliczność, iż dana osoba wypowiedziała się na temat swojej orientacji seksualnej w trakcie otwartej dla publiczności dyskusji panelowej, nie upoważnia operatora platformy internetowej sieci społecznościowej do przetwarzania innych danych dotyczących orientacji seksualnej tej osoby, pozyskanych w danym wypadku poza tą platformą za pośrednictwem aplikacji i stron internetowych podmiotów zewnętrznych w celu ich agregacji i analizy służących oferowaniu tej osobie zindywidualizowanej reklamy.

Komentarz