Pod koniec kwietnia bieżącego roku Rzecznicy Generalni Trybunału Sprawiedliwości UE: Maciej Szpunar i Athanasios Rantos wydali opinie w dwóch sprawach przed Trybunałem (sprawy o sygnaturach C-21/23 oraz C-446/21), których rozstrzygnięcia będą mieć istotny wpływ na praktykę przetwarzania szczególnych kategorii danych osobowych w Internecie. Przedmiotem pierwszej ze spraw (C-21/23) jest to, czy dane klientów farmaceuty przekazane podczas zamawiania poprzez platformę sprzedaży internetowej leków bez recepty stanowią dane dotyczące zdrowia w rozumieniu RODO. Druga ze spraw (C-446/21) dotyczy dopuszczalności wykorzystywania przez dostawcę platformy internetowej informacji o orientacji seksualnej, publicznie ujawnionej przez użytkownika, na potrzeby wyświetlania mu spersonalizowanych reklam. W tekście przedstawiam oraz komentuję stanowiska zajęte przez Rzeczników w obu sprawach.
Opinia rzecznika generalnego Macieja Szpunara w sprawie C-21/23 (ND p. DR), ECLI:EU:C:2024:354
Przedmiotem opinii rzecznika generalnego była analiza, czy dane klientów farmaceuty przekazane podczas zamawiania poprzez platformę sprzedaży internetowej leków, których sprzedaż jest zastrzeżona dla aptek, ale które nie wymagają recepty, stanowią „dane dotyczące zdrowia” w rozumieniu przepisów o ochronie danych osobowych. Zgodnie z art. 4 pkt 15 RODO za takie informacje należy uznać dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia. Motyw 35 zdanie 1 preambuły do RODO precyzuje, iż do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia osoby, której dane dotyczą.
Rzecznik generalny przedstawił swoją opinię w związku z pytaniami prejudycjalnymi Federalnego Trybunału Sprawiedliwości w Niemczech (Bundesgerichtshof). Rozpatrywał on spór pomiędzy dwoma podmiotami prowadzącymi apteki:
- ND, który posiada odpowiednie zezwolenie na prowadzenie sprzedaży wysyłkowej leków oraz sprzedaje leki za pośrednictwem Amazon Marketplace a
- DR, który domaga się od ND zaniechania wprowadzania do obrotu za pośrednictwem platformy Amazon leków, których sprzedaż jest zastrzeżona dla aptek, twierdząc iż takie działanie stanowi czyn nieuczciwej konkurencji oraz narusza przepisy RODO. ND nie zbiera bowiem zgody kupujących leki na przetwarzanie ich danych szczególnych kategorii.
| W związku z wątpliwościami co do sposobu interpretacji przepisów RODO sąd krajowy zwrócił się do Trybunału z następującymi pytaniami prejudycjalnymi: 1. Czy przepisy rozdziału VIII RODO stoją na przeszkodzie uregulowaniom krajowym, które – poza uprawnieniami interwencyjnymi organów nadzorczych adekwatnych w zakresie monitorowania i wykonywania tego rozporządzenia oraz możliwościami ochrony osób, których dane dotyczą – przyznają konkurentom prawo do występowania przeciwko sprawcy w drodze powództwa do sądu cywilnego z powodu naruszenia ogólnego rozporządzenia o ochronie danych w aspekcie zakazu stosowania nieuczciwych praktyk handlowych? 2. Czy dane, które klienci farmaceuty występującego jako sprzedawca na platformie sprzedaży internetowej wprowadzają na platformie sprzedażowej przy zamawianiu leków wydawanych wprawdzie jedynie w aptekach, ale niebędących lekami na receptę (nazwisko klienta, adres dostawy oraz informacje niezbędne do indywidualizacji zamawianego leku wydawanego jedynie w aptekach), są danymi dotyczącymi zdrowia w rozumieniu art. 9 ust. 1 RODO oraz art. 8 ust. 1 dyrektywy 95/46? |
Rzecznik generalny Maciej Szpunar zaproponował TSUE rozstrzygnięcie, zgodnie z którym: w świetle przepisów o ochronie danych osobowych dane klientów farmaceuty przekazane podczas zamawiania poprzez platformę sprzedaży internetowej leków, których sprzedaż jest zastrzeżona dla aptek, ale które nie wymagają recepty, nie stanowią „danych dotyczących zdrowia”. W ocenie rzecznika informacja o zakupie leków niewymagających recepty nie pozwala na ustalenie konkretnego stanu zdrowia osoby fizycznej, ponieważ:
- takie produkty są wykorzystywane szeroko, w tym dla zwalczania powszechnych, ogólnych dolegliwości;
- osoby fizyczne zamawiają takie leki nierzadko zapobiegawczo (na wszelki wypadek);
- osoba kupująca takie leki przez Internet nie zawsze będzie ich użytkownikiem, ponieważ może nabywać je w imieniu i na rzecz innej osoby (np. członka rodziny);
- osoba zamawiająca leki nie musi przekazywać ich sprzedawcy dokładnych informacji co do swojej tożsamości w szczególności, gdy produkt nie jest dostarczany na jej adres, ale do punktu odbioru (pkt 51-53 opinii).
Co więcej w ocenie rzecznika generalnego, uznanie, iż informacje przekazane podczas zamawiania poprzez platformę sprzedaży internetowej leków, których sprzedaż jest zastrzeżona dla aptek, ale które nie wymagają recepty, stanowią „dane dotyczące zdrowia”, może doprowadzić do ujawnienia nadmiernych informacji o osobie składającej zamówienie w związku z koniecznością realizacji warunków dopuszczalności z art. 9 ust. 2 RODO. Jak zauważa rzecznik, „żądanie udzielenia wyraźnej zgody na przetwarzanie danych zidentyfikowanych już jako dane wrażliwe mogłoby bowiem in fine skłonić kupującego do ujawnienia tożsamości końcowego użytkownika produktu”, co umożliwiłoby sprzedawcy leków wyciągnięcie bardziej jednoznacznych wniosków co do stanu zdrowia tej osoby – końcowego użytkownika leku.
Wypowiadając się natomiast, czy DR – jako konkurent ND – jest uprawniony do występowania przeciwko ND w drodze powództwa do sądu cywilnego z powodu naruszenia RODO w aspekcie zakazu stosowania nieuczciwych praktyk handlowych, rzecznik generalny uznał, iż Trybunał powinien stwierdzić, iż przepisy rozdziału VIII RODO nie stoją na przeszkodzie przepisom krajowym, które przyznają przedsiębiorstwom prawo do powoływania się, na podstawie zakazu czynów nieuczciwej konkurencji, na naruszenia materialnoprawnych przepisów tego rozporządzenia, jakich mieli się dopuścić ich konkurenci.
Opinia rzecznika generalnego Macieja Szpunara w sprawie C-21/23 (ND p. DR), ECLI:EU:C:2024:354 jest dostępna tutaj:
https://curia.europa.eu/juris/document/document.jsf?text=&docid=285204&pageIndex=0&doclang=PL&mode=lst&dir=&occ=first&part=1&cid=3175736
Opinia rzecznika generalnego Athanasiosa Rantosa w sprawie C-446/21 (Maximilian Schrems p. Meta Platforms Ireland), ECLI:EU:C:2024:366
Opinia rzecznika generalnego została przedstawiona w związku z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym wniesionym do TSUE przez Sąd Najwyższy w Austrii (Oberster Gerichtshof) w ramach sporu, jaki został zapoczątkowany pomiędzy Maximilianem Schremsem – użytkownikiem sieci społecznościowej Facebook – a dostawcą tej platformy w UE: Meta Platforms Ireland Limited. M. Schrems, który zaakceptował warunki korzystania z platformy, otrzymywał na platformie reklamy kierowane do osób o orientacji homoseksualnej i zaproszenia na wydarzenia skierowanych do osób o takiej orientacji seksualnej. Jak twierdzi Meta, komunikaty te nie były oparte bezpośrednio na jego orientacji seksualnej, której Schrems nie podał w swoim profilu, ale na przeprowadzonej analizie jego zainteresowań i zachowania na platformie. M. Schrems skierował skargę do sądów austriackich, podnosząc, iż takie wykorzystanie jego danych osobowych jest sprzeczne z RODO. Co istotne, aktywista już w trakcie postępowania sądowego z własnej inicjatywy ujawnił publicznie informacje na temat własnej orientacji seksualnej podczas spotkania panelowego transmitowanego na żywo.
| Sąd krajowy zwrócił się do TSUE z pytaniami prejudycjalnymi: 1. Czy przepisy art. 6 ust. 1 lit. a) i b) RODO należy interpretować w ten sposób, iż zgodność z prawem postanowień umownych zawartych w regulaminie dotyczącym umów korzystania z platformy, takich jak te rozpatrywane w postępowaniu głównym (w szczególności postanowień umownych takich jak: „[z]amiast płacić […] poprzez korzystanie z produktów Facebooka objętych niniejszym Regulaminem użytkownik zgadza się na to, by Facebook wyświetlał mu reklamy […] Wykorzystujemy dane osobowe użytkowników […] w celu wyświetlania użytkownikom reklam, które są dla nich bardziej interesujące.”), które obejmują przetwarzanie danych osobowych w celu ich agregacji i analizy na potrzeby reklamy spersonalizowanej, należy oceniać zgodnie z wymogami określonymi w art. 6 ust. 1 lit. a) w związku z art. 7 RODO, których nie można zastąpić poprzez powołanie się na art. 6 ust. 1 lit. b) RODO? 2. Czy art. 5 ust. 1 lit. c) RODO należy interpretować w ten sposób, iż wszystkie dane osobowe, którymi dysponuje platforma taka jak ta rozpatrywana w postępowaniu głównym (w szczególności pochodzące od osoby, której dane dotyczą, lub od osób trzecich na tej platformie i poza nią) mogą być, bez ograniczeń co do czasu lub rodzaju danych, agregowane, analizowane i przetwarzane dla celów reklamy ukierunkowanej? 3. Czy art. 9 ust. 1 RODO należy interpretować w ten sposób, iż należy stosować go do przetwarzania danych umożliwiającego ukierunkowane filtrowanie (np. na potrzeby reklamy) szczególnych kategorii danych osobowych, takich jak przekonania polityczne czy orientacja seksualna, choćby jeżeli administrator nie wprowadza rozróżnienia w odniesieniu do tych danych? 4. Czy art. 5 ust. 1 lit. b) w zw. z art. 9 ust. 2 lit. e) RODO należy interpretować w ten sposób, iż dotycząca własnej orientacji seksualnej wypowiedź poczyniona dla celów dyskusji panelowej zezwala na przetwarzanie innych danych dotyczących orientacji seksualnej w celu agregacji i analizy danych na potrzeby reklamy spersonalizowanej |
Podsumowując, austriacki Sąd Najwyższy domaga się od Trybunału rozstrzygnięcia, czy:
- przetwarzanie danych dla personalizacji reklam bez ograniczeń co do czasu lub rodzaju wykorzystywanych informacji przez dostawcę platformy internetowej jest zgodne z zasadą minimalizacji danych;
- wypowiedzi danej osoby o własnej orientacji seksualnej podczas dyskusji panelowej pozwalają dostawcy platformy internetowej na wykorzystywanie tych informacji do wyświetlania jej kierunkowanej reklamy. Art. 9 ust. 2 lit. e RODO pozwala administratorowi na przetwarzanie szczególnych kategorii danych pod warunkiem, iż taki proces dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą
Analizując pytania prejudycjalne zadane przez sąd krajowy w świetle stanu faktycznego sprawy, przepisów RODO oraz dotychczasowego orzecznictwa TSUE (np. wyrok TSUE w sprawie Latvijas Republikas Saeima, C‑439/19, EU:C:2021:504), rzecznik generalny A. Rantos zaproponował, aby TSUE przyjął, iż użytkownik platformy internetowej (sieci społecznościowej), wypowiadając się publicznie na temat własnej orientacji seksualnej, „w oczywisty sposób” upublicznia te dane, z zastrzeżeniem, iż takie oczywiste upublicznienie informacji o własnej orientacji seksualnej nie oznacza automatycznie zgody na ich przetwarzanie do celów reklamy spersonalizowanej. W ocenie rzecznika możliwe jest przyjęcie, iż Schrems otwarcie wspominając o swojej orientacji seksualnej podczas otwartego panelu, miał, jeżeli nie zamiar, to przynajmniej pełną świadomość upublicznienia swoich danych „w sposób oczywisty”. Niemniej jednak w swojej opinii rzecznik podkreślił, iż art. 9 ust. 2 lit. e RODO nie stanowi odpowiedniej przesłanki prawnej dla wykorzystania takich informacji dla personalizacji reklam. Jego zdaniem zastosowanie tego przepisu skutkuje jedynie zniesieniem „szczególnej ochrony” przyznanej danym wymienionym w art. 9 ust. 1 RODO, które następnie muszą być przetwarzane z zasadami przyjętymi w art. 5 RODO i na jednej z podstaw z art. 6 RODO (szerz. pkt 45-46 opinii).
W ocenie rzecznika Trybunał powinien przyjąć, iż przetwarzanie danych osobowych dla celów wyświetlania użytkownikowi reklamy ukierunkowanej bez ograniczeń co do czasu lub rodzaju danych jest sprzeczne z zasadą minimalizacji danych. Ponadto, jego zdaniem to do sądu krajowego będzie należeć ocena zakresu, w jakim okres przechowywania i ilość przetworzonych danych mieszczą się w prawnie uzasadnionym interesie administratora związanym z wykorzystywaniem danych dla celów reklamy spersonalizowanej.
Opinia rzecznika generalnego Athanasiosa Rantosa w sprawie C-446/21(Maximilian Schrems p. Meta Platforms Ireland), ECLI:EU:C:2024:366 jest dostępna tutaj:
https://curia.europa.eu/juris/document/document.jsf?text=&docid=285201&pageIndex=0&doclang=PL&mode=lst&dir=&occ=first&part=1&cid=3175970
Podsumowanie
Opinie rzeczników generalnych przedstawione w sprawach C-21/23 oraz C-446/21 nie są wiążące dla Trybunału. Oznacza to, iż składy orzekające w sprawach mogą przyjąć inną interpretację przepisów RODO, która będzie istotnie różnić się od wykładni zaproponowanej w opiniach przygotowanych przez M. Szpunara i A.Rantonsa.
Rezultat sprawy C-21/23 będzie miał istotne znaczenie dla szerszego problemu kwalifikacji informacji wywnioskowanych na podstawie działań lub zachowań użytkownika platformy internetowej jako danych należących do szczególnych kategorii danych wymienionych w art. 9 ust. 1 RODO. Zagadnienie to jest najważniejsze dla branży reklamy internetowej, w szczególności w związku z zawartym w art. 26 ust. 3 Aktu o usługach cyfrowych zakazem wyświetlania przez dostawców platform internetowych reklam opartych na profilowaniu w oparciu o szczególne kategorie danych w rozumieniu art. 9 RODO.
