Trybunał Sprawiedliwości Unii Europejskiej (TSUE) wydał wyrok w głośnej sprawie, zainicjowanej przez powszechnie znanego aktywistę – Maximiliana Schremsa (sprawa C‑446/21 Maximilian Schrems przeciwko Meta Platforms Ireland Ltd), przeciwko właścicielowi portalu społecznościowego Facebook. Sprawa dotyczyła wykorzystywania przez administratora danych osobowych aktywisty, w tym danych szczególnych kategorii, na potrzeby prowadzenia reklamy spersonalizowanej. Orzeczenie TSUE w tej sprawie zawiera wiele wskazówek dla administratorów, w tym w zakresie przetwarzania danych szczególnych kategorii, które zostały upublicznione przez osobę, której dane dotyczą.
Sprawa zainicjowana przez aktywistę
W 2018 r. Meta zaprezentowała swoim użytkownikom w Unii Europejskiej nowe warunki korzystania z platformy Facebook, obejmujące m.in. kwestie związane z prowadzeniem reklamy spersonalizowanej. Administrator portalu przekazał nowy regulamin do zatwierdzenia swoim użytkownikom, a zgoda na przyjęcie nowych warunków była co do zasady wymagana w celu umożliwienia zarejestrowania się lub uzyskania dostępu do kont i usług świadczonych przez Metę. Jednym z użytkowników, który zaakceptował nowy regulamin był Maximilian Schrems. Aktywista w późniejszym okresie zaczął otrzymywać od Meta różnego rodzaju materiały reklamowe, w tym m.in. skierowane do osób homoseksualnych, jak również zaproszenia na imprezy skierowane do takich osób, pomimo, że wcześniej nie wykazywał on zainteresowania wskazanymi wydarzeniami. Działania Mety w tym zakresie doprowadziły do wytoczenia przez popularnego aktywistę powództwa cywilnego przeciwko administratorowi.
Pozew do sądu
W pozwie aktywista wskazał, że regularnie otrzymywał reklamy skierowane do homoseksualistów i zaproszenia na określone wydarzenia. Podniósł on, że reklamy, które były mu oferowane nie opierają się bezpośrednio na jego orientacji seksualnej, ale na analizie jego szczególnych zainteresowań. Co prawda aktywista ujawnił publicznie swoją orientację seksualną, niemniej – jak podkreślił – nie wspomniał o niej, a konsekwentnie nie opublikował żadnych danych wrażliwych na swoim profilu na Facebooku. Schrems zauważył również, że nie wyraził zgody na wykorzystywanie danych wskazanych w jego profilu na portalu społecznościowym, dotyczących m.in. relacji uczuciowych, czy też kwestii zatrudnienia, do celów reklamy ukierunkowanej.
Sprawą finalnie zajął się austriacki Sąd Najwyższy, który zwrócił się o pomoc do TSUE, w trybie prejudycjalnym. Sąd zapytał we wniosku czy portal społecznościowy (taki jak Facebook) może analizować i przetwarzać wszystkie dostępne mu dane osobowe bez ograniczeń czasowych do celów reklamy ukierunkowanej. Ponadto austriacki zapytał TSUE, czy oświadczenie złożone przez daną osobę na temat jej orientacji seksualnej w ramach dyskusji panelowej pozwala na przetwarzanie innych jej danych osobowych z tym związanych, w celu oferowania tej osobie ukierunkowanej reklamy.
Wyrok TSUE
TSUE orzekł w wyroku, że sprzeczne z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO) jest działanie administratora (w tym przypadku portalu społecznościowego), polegające na pozyskiwaniu danych osobowych od osoby, której dane dotyczą lub od podmiotów zewnętrznych, a następnie ich agregowanie, analizowanie i wykorzystywanie w celu prowadzenia spersonalizowanej reklamy, bezterminowo i bez względu na charakter tych danych. Trybunał orzekł również, że fakt poinformowania przez konkretną osobę o swojej orientacji seksualnej w trakcie publicznej dyskusji panelowej, nie upoważnia administratora (tu operatora portalu społecznościowego) do przetwarzania innych danych dotyczących orientacji seksualnej tej osoby – pozyskanych w tym konkretnym przypadku za pośrednictwem aplikacji i stron internetowych podmiotów zewnętrznych – w celu ich agregacji i analizy służących prowadzeniu wobec tej osoby reklamy spersonalizowanej.
Ważne wskazówki dla administratorów
Choć postępowanie w tej sprawie dotyczy konkretnej sprawy, zawiera wiele cennych wskazówek dla administratorów, którzy przetwarzają dane osobowe w celu kierowania reklamy spersonalizowanej do osób, których dane dotyczą. Choć przepisy RODO co do zasady pozwala na przetwarzanie danych osobowych, które zostały opublikowane przez osobę, której dane dotyczą, to nie powinno się przetwarzać takich danych (zwłaszcza, gdy mówimy o danych szczególnych kategorii) do celów reklamowych. Administratorzy powinni również zachować daleko posuniętą ostrożność w zakresie gromadzenia danych osobowych od podmiotów zewnętrznych w celu wykorzystywania ich do reklamy spersonalizowanej.
Źródło:
https://eur-lex.europa.eu/legal-content/PL/TXT/HTML/?uri=CELEX:62021CJ0446
Posłuchaj podcastu: TUTAJ
