C-446/21

Maximillian Schrems

proti

Meta Platforms Ireland Ltd , predtým Facebook Ireland Ltd,

SÚDNY DVOR (štvrtá komora),

v zložení: predseda štvrtej komory C. Lycourgos, sudcovia O. Spineanu‑Matei, J.‑C. Bonichot, S. Rodin a L. S. Rossi (spravodajkyňa),

generálny advokát: A. Rantos,

Meta Platforms Ireland Ltd, v zastúpení: K. Hanschitz, H.‑G. Kamann, S. Khalil, B. Knötzl a A. Natterer, Rechtsanwälte,

–

rakúska vláda, v zastúpení: A. Posch, J. Schmoll, C. Gabauer, G. Kunnert a E. Riedl, splnomocnení zástupcovia,

–

francúzska vláda, v zastúpení: R. Bénard a A.‑L. Desjonquères, splnomocnení zástupcovia,

–

vyhlásil tento

Rozsudok

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 5 ods. 1 písm. b) a c), článku 6 ods. 1 písm. a) a b) a článku 9 ods. 1 a 2 písm. e) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 ) (ďalej len „GDPR“).

2

Tento návrh bol podaný v rámci sporu medzi pánom Maximilianom Schremsom, používateľom sociálnej siete Facebook, a spoločnosťou Meta Platforms Ireland Ltd, predtým Facebook Ireland Ltd, ktorá má sídlo v Írsku, vo veci údajne nezákonného spracúvania osobných údajov tohto používateľa touto spoločnosťou.

…

(4)

Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte, ako sú zakotvené v zmluvách, najmä rešpektovanie súkromného a rodinného života, obydlia a komunikácie, ochrana osobných údajov, sloboda myslenia, svedomia a náboženského vyznania, sloboda prejavu a právo na informácie, sloboda podnikania, právo na účinný prostriedok nápravy a na spravodlivý proces, a kultúrna, náboženská a jazyková rozmanitosť.

…

(39)

(43)

Aby sa zabezpečilo, že súhlas sa poskytol slobodne, súhlas by nemal byť platným právnym dôvodom na spracúvanie osobných údajov v konkrétnom prípade, ak medzi postavením dotknutej osoby a prevádzkovateľa existuje jednoznačný nepomer, najmä ak je prevádzkovateľ orgánom verejnej moci, a preto nie je pravdepodobné, že sa súhlas poskytol slobodne za všetkých okolností danej konkrétnej situácie. Súhlas sa nepovažuje za poskytnutý slobodne, ak nie je možné dať samostatný súhlas na jednotlivé spracovateľské operácie osobných údajov napriek tomu, že by to bolo v konkrétnom prípade vhodné, alebo ak sa plnenie zmluvy vrátane poskytnutia služby podmieňuje takýmto súhlasom, aj keď to na takéto plnenie nie je takýto súhlas nevyhnutný.

…

(50)

Spracúvanie osobných údajov na iné účely ako na účely, na ktoré boli osobné údaje pôvodne získané, by malo byť umožnené len vtedy, ak je toto spracúvanie zlučiteľné s účelmi, na ktoré boli osobné údaje pôvodne získané. V takom prípade sa nevyžaduje žiadny iný samostatný právny základ, než je právny základ, ktorý umožňoval získavanie osobných údajov. …

(51)

2.

‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;

…

7.

‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu;

…

spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii v kontexte činností prevádzkarní prevádzkovateľa alebo sprostredkovateľa vo viac ako jednom členskom štáte, pričom prevádzkovateľ alebo sprostredkovateľ sú usadení vo viac ako jednom členskom štáte; alebo

b)

spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii kontexte činností jedinej prevádzkarne prevádzkovateľa alebo sprostredkovateľa v Únii, ale ktoré podstatne ovplyvňuje alebo pravdepodobne podstatne ovplyvní dotknuté osoby vo viac ako jednom členskom štáte;

…“

5

Článok 5 uvedeného nariadenia, nazvaný „Zásady spracúvania osobných údajov“, v odsekoch 1 a 2 stanovuje:

primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);

…

e)

uchovávané vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na účely, na ktoré sa osobné údaje spracúvajú;… (‚minimalizácia uchovávania‘);

2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“

6

…

4. Ak spracúvanie na iné účely ako na účely, na ktoré boli osobné údaje získavané, nie je založené na súhlase dotknutej osoby alebo na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti na ochranu cieľov uvedených v článku 23 ods. 1, prevádzkovateľ na zistenie toho, či je spracúvanie na iný účel zlučiteľné s účelom, na ktorý boli osobné údaje pôvodne získané, okrem iného zohľadní:

a)

akékoľvek prepojenie medzi účelmi, na ktoré sa osobné údaje získali, a účelmi zamýšľaného ďalšieho spracúvania;

b)

okolnosti, za akých sa osobné údaje získali, najmä týkajúce sa vzťahu medzi dotknutými osobami a prevádzkovateľom;

7

Článok 7 GDPR, nazvaný „Podmienky vyjadrenia súhlasu“, stanovuje:

„1. Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.

…

3. Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním. Pred poskytnutím súhlasu musí byť dotknutá osoba o tejto skutočnosti informovaná. Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.

4. Pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný.“

…

e)

spracúvanie sa týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila;

…“

9

Článok 13 uvedeného nariadenia, ktorý sa týka „informácií, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“ stanovuje:

…“

10

Článok 25 ods. 2 toho istého nariadenia stanovuje:

„Prevádzkovateľ vykoná primerané technické a organizačné opatrenia, aby zabezpečil, že štandardne sa spracúvajú len osobné údaje, ktoré sú nevyhnutné pre každý konkrétny účel spracúvania. Uvedená povinnosť sa vzťahuje na množstvo získaných osobných údajov, rozsah ich spracúvania, dobu ich uchovávania a ich dostupnosť. Konkrétne sa takýmito opatreniami zabezpečí, aby osobné údaje neboli bez zásahu fyzickej osoby štandardne prístupné neobmedzenému počtu fyzických osôb.“

Spor vo veci samej a prejudiciálne otázky

11

Na účely spracúvania osobných údajov používateľov sociálnej siete Facebook sa Meta Platforms Ireland opiera o zmluvu o používaní, ktorej zmluvnou stranou sa títo používatelia stali kliknutím na tlačidlo „zaregistrovať sa“ a ktorou súhlasili so všeobecnými podmienkami vypracovanými touto spoločnosťou. V čase skutkových okolností vo veci samej je súhlas s týmito podmienkami nevyhnutný na používanie sociálnej siete Facebook. Pokiaľ ide o spracúvanie osobných údajov používateľov, všeobecné podmienky odkazujú na zásady používania údajov a súborov cookie stanovené uvedenou spoločnosťou. Podľa týchto zásad Meta Platforms Ireland získava údaje o používateľoch a ich zariadeniach, týkajúce sa aktivít používateľov na sociálnej sieti aj mimo nej, a priraďuje ich k účtom dotknutých používateľov na Facebooku. Údaje týkajúce sa aktivít mimo sociálnej siete (ďalej aj „údaje off Facebook“), pochádzajú jednak z navštevovania webových stránok a aplikácií tretích osôb, ktoré sú prepojené s Facebookom prostredníctvom programových rozhraní, a jednak z používania iných online služieb patriacich do skupiny Meta, medzi ktoré patrí najmä Instagram a WhatsApp.

14

Pred nadobudnutím účinnosti GDPR používatelia Facebooku vyjadrili svoj výslovný súhlas so spracúvaním ich údajov na základe podmienok používania uplatniteľných v tomto období a vypracovaných žalovanou. Vzhľadom na nadobudnutie účinnosti GDPR 25. mája 2018 predstavila Meta Platforms Ireland svojim používateľom nové podmienky používania Facebooku na získanie ich súhlasu. Pán Schrems po zablokovaní svojho účtu súhlasil s týmito novými podmienkami používania, aby mohol naďalej používať Facebook. Tento súhlas bol potrebný na zachovanie prístupu k jeho účtu a na používanie zodpovedajúcich služieb.

Meta Platforms Ireland používa „súbory cookie“ [svedkovia], „sociálne pluginy“ [zásuvné moduly sociálnych sietí] a pixely, ako to uvádzajú jej podmienky používania a pokyny. Pomocou „súboru cookie“ môže určiť zdroj konzultácií. V prípade neaktivácie „súboru cookie“ mnohé služby poskytované spoločnosťou Meta Platforms Ireland nie sú použiteľné. „Sociálne pluginy“ Facebooku „vkladajú“ prevádzkovatelia webových stránok tretích osôb do svojich stránok. Najrozšírenejším tlačidlom je tlačidlo „páči sa mi to“ Facebooku. Pri každom prehliadaní webových stránok obsahujúcich toto tlačidlo sa „súbory cookie“ nainštalované na použitom zariadení, URL navštívenej stránky a ďalšie údaje, ako je IP adresa alebo čas, zasielajú spoločnosti Meta Platforms Ireland. Na tento účel nie je nevyhnutné, aby používateľ klikol na tlačidlo „páči sa mi to“, keďže samotné zobrazenie webovej stránky obsahujúcej takýto „plugin“ stačí na to, aby sa tieto údaje následne zaslali tejto spoločnosti.

17

Z rozhodnutia vnútroštátneho súdu vyplýva, že „pluginy“ sa nachádzajú aj na webových stránkach politických strán a na stránkach určených pre homosexuálnu časť verejnosti, ktoré pán Schrems navštívil. Z dôvodu týchto „pluginov“ mohla Meta Platforms Ireland sledovať správanie pána Schremsa na internete, čo viedlo k získaniu určitých citlivých osobných údajov.

18

Pixely môžu byť, podobne ako „sociálne pluginy“, vložené do webových stránok a umožňujú získavať informácie o používateľoch, ktorí navštívili tieto stránky, najmä na účely merania a optimalizácie reklamy na týchto stránkach. Napríklad vložením pixelu Facebooku do vlastných webových stránok môžu prevádzkovatelia týchto stránok získať od spoločnosti Meta Platforms Ireland správy o počte osôb, ktoré videli ich reklamu na Facebooku a ktoré sa následne pripojili na ich webovú stránku s cieľom prezrieť si ju alebo uskutočniť nákup.

22

Vzhľadom na údaje, ktoré má k dispozícii, však Meta Platforms Ireland môže identifikovať aj záujem pána Schremsa o citlivé témy, ako sú zdravie, sexuálna orientácia, etnické skupiny a politické strany, čo jej umožňuje ponúkať mu cielenú reklamu zameranú napríklad na takúto sexuálnu orientáciu alebo politické presvedčenie.

23

Pán Schrems dostal na jednej strane reklamu týkajúcu sa rakúskej političky, ktorá vychádzala z analýzy uskutočnenej spoločnosťou Meta Platforms Ireland, podľa ktorej mal spoločné znaky s inými používateľmi, ktorí označili túto političku uvedením „páči sa mi to“. Na druhej strane pán Schrems tiež pravidelne dostával reklamy pre homosexuálnu časť verejnosti a pozvánky na príslušné podujatia, hoci sa nikdy predtým nezaujímal o tieto podujatia a nepoznal miesto konania uvedených podujatí. Tieto reklamy a pozvánky sa nezakladajú priamo na sexuálnej orientácii žalobcu vo veci samej a jeho „priateľov“, ale na analýze ich centier záujmov, v prejednávanej veci na skutočnosti, že jeden z priateľov pána Schremsa označil produkt kliknutím na tlačidlo „páči sa mi to“.

24

Pán Schrems si objednal analýzu s cieľom určiť, aké závery možno vyvodiť z jeho zoznamu priateľov, z ktorej vyplynulo, že vykonával civilnú službu v Červenom kríži v Salzburgu a že je homosexuál. Navyše na zozname jeho aktivít mimo Facebook, ktorý má Meta Platforms Ireland, sú okrem iného uvedené zoznamovacie aplikácie a webové stránky pre homosexuálov, ako aj webová stránka rakúskej politickej strany. Medzi uloženými údajmi žalobcu vo veci samej je aj e‑mailová adresa, ktorá nie je uvedená na jeho profile na Facebooku, ale ktorú použil na zasielanie žiadostí spoločnosti Meta Platforms Ireland.

28

Vo veci samej už bol Súdnemu dvoru podaný návrh na začatie prejudiciálneho konania, ktorý viedol k vydaniu rozsudku z 25. januára 2018, Schrems ( C‑498/16 , EU:C:2018:37 ). V nadväznosti na tento rozsudok Landesgericht für Zivilrechtssachen Wien (Krajinský súd pre občianskoprávne veci Viedeň, Rakúsko) rozsudkom z 30. júna 2020 zamietol návrhy pána Schremsa. Rovnako Oberlandesgericht Wien (Vyšší krajinský súd Viedeň, Rakúsko), ktorý rozhodoval o odvolaní, zamietol odvolanie podané pánom Schremsom proti tomuto rozsudku najmä z dôvodu, že spracúvanie jeho osobných údajov ako používateľa online platformy, vrátane personalizovanej reklamy, je neoddeliteľnou súčasťou zmluvy o používaní tejto platformy uzavretej medzi zmluvnými stranami. Spracúvanie týchto údajov je teda nevyhnutné na plnenie tejto zmluvy v zmysle článku 6 ods. 1 písm. b) GDPR.

29

Oberster Gerichtshof (Najvyšší súd, Rakúsko), na ktorý pán Schrems podal opravný prostriedok „Revision“, poznamenal, že obchodný model spoločnosti Meta Platforms Ireland spočíva vo vytváraní príjmov prostredníctvom cielenej reklamy a komerčného obsahu, ktoré sú založené na preferenciách a záujmoch používateľov Facebooku pri spracúvaní osobných údajov týchto používateľov. Keďže však Facebook umožňuje bezplatne ponúkať služby svojim používateľom, toto spracúvanie možno považovať za nevyhnutné na plnenie zmluvy uzavretej s uvedenými používateľmi v zmysle článku 6 ods. 1 písm. b) GDPR.

30

Podľa tohto súdu by však toto ustanovenie, ktoré sa má vykladať reštriktívne, nemalo umožňovať takéto spracúvanie údajov bez súhlasu dotknutej osoby.

34

Za týchto okolností Oberster Gerichtshof (Najvyšší súd, Rakúsko) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

„1. Majú sa ustanovenia článku 6 ods. 1 písm. a) a b) GDPR vykladať v tom zmysle, že zákonnosť zmluvných ustanovení vo všeobecných podmienkach služby týkajúcich sa platformových zmlúv, o aké ide v konaní vo veci samej (najmä zmluvné ustanovenia ako ‚Za používanie Facebooku a ďalších produktov a služieb, ktoré ponúkame, neplatíte, no používaním produktov Facebooku, na ktoré sa vzťahujú tieto Podmienky, súhlasíte s tým, že vám môžeme zobrazovať reklamy…. Vaše osobné údaje… používame na zobrazovanie reklám, ktoré sú pre vás relevantnejšie.‘), ktoré zahŕňajú spracúvanie osobných údajov pre potreby agregácie a analýzy údajov na účely personalizovanej reklamy, sa má posudzovať podľa požiadaviek článku 6 ods. 1 písm. a) v spojení s článkom 7 GDPR, ktoré nemožno nahradiť odkazom na článok 6 ods. 1 písm. b) GDPR?

2. Má sa článok 5 ods. 1 písm. c) GDPR (minimalizácia údajov) vykladať v tom zmysle, že všetky osobné údaje, ktoré získala platforma, o akú ide v konaní vo veci samej (najmä prostredníctvom dotknutej osoby alebo tretích osôb v rámci platformy alebo mimo nej), sa môžu bez obmedzenia týkajúceho sa času alebo druhu údajov agregovať, analyzovať a spracúvať na účely cielenej reklamy?

3. Má sa článok 9 ods. 1 GDPR vykladať v tom zmysle, že sa má uplatniť na spracúvanie údajov, ktoré dovoľuje cielené filtrovanie osobitných kategórií osobných údajov, ako sú politické názory alebo sexuálna orientácia (napríklad na účely reklamy), aj keď prevádzkovateľ nerozlišuje medzi týmito údajmi?

37

Uznesením z 19. júla 2023 doručeným do kancelárie Súdneho dvora 9. augusta 2023 tento súd vzal späť svoju prvú a tretiu prejudiciálnu otázku, pričom uviedol, že uvedený rozsudok na tieto otázky odpovedal. Naopak, uvedený súd trval na svojej druhej a štvrtej prejudiciálnej otázke, pričom uviedol, že ten istý rozsudok na ne neodpovedal v plnom rozsahu.

O druhej otázke

38

Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 5 ods. 1 písm. c) nariadenia GDPR vykladať v tom zmysle, že zásada „minimalizácie údajov“, ktorú stanovuje, bráni tomu, aby boli všetky osobné údaje, ktoré taký prevádzkovateľ, akým je prevádzkovateľ online platformy pre sociálnu sieť, získal od dotknutej osoby alebo tretích osôb a ktoré boli zozbierané tak na tejto platforme, ako aj mimo nej, zhromažďované, analyzované a spracúvané na účely cielenej reklamy bez časového obmedzenia a rozlišovania na základe povahy týchto údajov.

O prípustnosti

Pokiaľ ide v prvom rade o tvrdenie, podľa ktorého vnútroštátny súd neuviedol dôvody, pre ktoré sa domnieva, že odpoveď na jeho druhú otázku je užitočná na vyriešenie sporu vo veci samej, treba zdôrazniť význam toho, aby vnútroštátny súd uviedol presné dôvody, ktoré ho viedli k otázke výkladu práva Únie a k tomu, že považuje za potrebné položiť Súdnemu dvoru prejudiciálne otázky [rozsudky zo 6. decembra 2005, ABNA a i., C‑453/03, C‑11/04, C‑12/04 a C‑194/04 , EU:C:2005:741 , bod 46 , a z 29. februára 2024, Staatssecretaris van Justitie en Veiligheid (Vzájomná dôvera v prípade prevodu), C‑392/22 , EU:C:2024:195 , bod 85 ]. V prejednávanej veci však z úvah v návrhu na začatie prejudiciálneho konania vyplýva, že vnútroštátny súd sa snaží zistiť, či za predpokladu, že spracúvanie na reklamné účely, o ktoré ide vo veci samej, je odôvodnené na základe článku 6 ods. 1 prvého pododseku písm. b) GDPR, rozsah údajov, ktoré takto spracúva žalovaná vo veci samej, je v súlade so zásadou minimalizácie údajov, alebo naopak, či takéto rozsiahle spracúvanie porušuje povinnosti, ktoré má prevádzkovateľ podľa článku 5 GDPR. Dôvody, pre ktoré sa odpoveď na túto otázku javí ako užitočná na vyriešenie sporu vo veci samej, teda dostatočne vyplývajú z návrhu na začatie prejudiciálneho konania.

41

Pokiaľ ide v druhom rade o tvrdenie, podľa ktorého vnútroštátny súd vychádzal z nepresného skutkového predpokladu, je pravda, že druhá prejudiciálna otázka vychádza z predpokladu, že na jednej strane, ako bolo uvedené v bode 20 tohto rozsudku, hoci pán Schrems nepovolil spoločnosti Meta Platforms Ireland spracúvať jeho osobné údaje týkajúce sa jeho aktivít mimo Facebooku, táto spoločnosť zaobchádzala s niektorými z týchto údajov, ktoré získala od tretích partnerov, na základe toho, že pán Schrems akceptoval všeobecné podmienky používania sociálnej siete, najmä vďaka „súborom cookie“ a „sociálnym pluginom“ spoločnosti Facebook, ktoré sú vložené do webových stránok týchto tretích partnerov, a na druhej strane Meta Platforms Ireland spracúva tieto osobné údaje bez časového obmedzenia a rozlišovania na základe povahy uvedených údajov.

O veci samej

45

Po prvé treba pripomenúť, že cieľ sledovaný nariadením GDPR, ktorý vyplýva z jeho článku 1, ako aj z jeho odôvodnení 1 a 10, spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ (rozsudok zo 7. marca 2024, IAB Europe, C‑604/22 , EU:C:2024:214 , bod 53 a citovaná judikatúra).

46

Na tento účel kapitoly II a III tohto nariadenia uvádzajú zásady, ktorými sa riadi spracúvanie osobných údajov, resp. aké práva dotknutej osoby musí dodržiavať každé spracúvanie osobných údajov. Konkrétne, s výhradou výnimiek stanovených v článku 23 uvedeného nariadenia musí byť každé spracovanie osobných údajov na jednej strane v súlade so zásadami týkajúcimi sa spracúvania takýchto údajov uvedenými v článku 5 toho istého nariadenia a spĺňať podmienky zákonnosti vymenované v jeho článku 6 a na druhej strane musí rešpektovať práva dotknutej osoby uvedené v článkoch 12 až 22 GDPR [rozsudok z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení), C‑757/22 , EU:C:2024:598 , bod 49 a citovaná judikatúra].

47

Ako už rozhodol Súdny dvor, táto zásada je vyjadrením zásady proporcionality [pozri v tomto zmysle rozsudky z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body), C‑439/19 , EU:C:2021:504 , bod 98 a citovanú judikatúru, a z 30. januára 2024, Direktor na Glavna direkcija Nacionalna policija pri MVR – Sofija, C‑118/22 , EU:C:2024:97 , bod 41 ].

51

Podľa zásady zodpovednosti stanovenej v článku 5 ods. 2 GDPR musí byť prevádzkovateľ schopný preukázať, že osobné údaje sa získavajú a spracúvajú v súlade so zásadami stanovenými v odseku 1 tohto článku (pozri v tomto zmysle rozsudok z 20. októbra 2022, Digi, C‑77/21 , EU:C:2022:805 , bod 24 ). Okrem toho v súlade s článkom 13 ods. 1 písm. c) tohto nariadenia platí, že ak sa osobné údaje získavajú od dotknutej osoby, je prevádzkovateľ povinný informovať dotknutú osobu o účeloch spracúvania, na ktoré sú tieto údaje určené, ako aj o právnom základe tohto spracúvania [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 95 ].

52

Po druhé, pokiaľ ide o časové obmedzenie spracúvania osobných údajov, o aké ide vo veci samej, treba pripomenúť, že Súdny dvor už rozhodol, že vzhľadom na zásadu minimalizácie údajov je prevádzkovateľ povinný tiež obmedziť na striktne nevyhnutné, s ohľadom na plánovaný cieľ spracúvania údajov, aj obdobie získavania predmetných osobných údajov (rozsudok z 24. februára 2022, Valsts ieņēmumu dienests (Spracovanie osobných údajov na daňové účely), C‑175/20 , EU:C:2022:124 , bod 79 ].

53

Z toho vyplýva, ako už Súdny dvor rozhodol, že aj pôvodne zákonné spracúvanie údajov sa môže časom stať nezlučiteľné s ustanoveniami GDPR, ak už tieto údaje nie sú na účely, na ktoré sa získavajú a ďalej spracúvajú, nevyhnutné, a že uvedené údaje musia byť vymazané, ak boli tieto účely dosiahnuté (pozri v tomto zmysle rozsudok z 20. októbra 2022, Digi, C‑77/21 , EU:C:2022:805 , bod 54 a citovanú judikatúru).

57

Za týchto podmienok, ako v podstate uviedol generálny advokát v bode 22 svojich návrhov, prináleží vnútroštátnemu súdu, aby vzhľadom na všetky relevantné skutočnosti a na základe uplatnenia zásady proporcionality pripomenutej v článku 5 ods. 1 písm. c) nariadenia GDPR posúdil, či je doba uchovávania osobných údajov prevádzkovateľom primerane odôvodnená vzhľadom na cieľ, ktorým je umožniť šírenie personalizovanej reklamy.

58

V každom prípade uchovávanie osobných údajov používateľov platformy sociálnej siete na neobmedzenú dobu na účely cielenej reklamy treba považovať za neprimeraný zásah do práv, ktoré týmto používateľom zaručuje GDPR.

59

62

Ako už Súdny dvor rozhodol, také spracúvanie je mimoriadne rozsiahle, keďže sa týka potenciálne neobmedzeného množstva údajov a má významný vplyv na používateľa vzhľadom na to, že veľkú časť, či dokonca takmer všetky jeho online aktivity monitoruje Meta Platforms Ireland, čo môže u neho vyvolať pocit, že jeho súkromný život je pod neustálym dohľadom [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , bod 118 ].

63

Za týchto podmienok sa spracúvanie údajov, o ktoré ide vo veci samej, vyznačuje vážnym zásahom do základných práv dotknutých osôb, najmä ich práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených v článkoch 7 a 8 Charty základných práv Európskej únie, ktorý sa s výhradou overení, ktoré prináleží vykonať vnútroštátnemu súdu, nepovažuje za primerane odôvodnený vzhľadom na cieľ spočívajúci v umožnení šírenia cielenej reklamy.

64

V každom prípade sa nediferencované používanie všetkých osobných údajov, ktoré má k dispozícii platforma sociálnej siete, na reklamné účely, bez ohľadu na stupeň citlivosti týchto údajov, nejaví ako primeraný zásah do práv, ktoré používateľom tejto platformy zaručuje GDPR.

Vnútroštátny súd sa konkrétne snaží zistiť, či na základe vyhlásenia pána Schremsa v rámci pódiovej diskusie už posledný uvedený nemá právo na ochranu priznanú článkom 9 ods. 1 nariadenia GDPR a či v dôsledku toho bol Facebook oprávnený spracúvať iné údaje týkajúce sa jeho sexuálnej orientácie.

68

Na úvod treba uviesť, že pódiová diskusia uvádzaná vnútroštátnym súdom, v rámci ktorej sa pán Schrems vyjadril k svojej sexuálnej orientácii, sa konala 12. februára 2019 a že ako vyplýva z návrhu na začatie prejudiciálneho konania, Meta Platforms Ireland už k tomuto dátumu spracúvala osobné údaje týkajúce sa sexuálnej orientácie pána Schremsa, takže k tomuto vyjadreniu došlo po začatí takéhoto spracúvania údajov.

69

Z toho vyplýva, že štvrtú otázku položenú vnútroštátnym súdom treba chápať tak, že sa týka len prípadného spracúvania údajov týkajúcich sa sexuálnej orientácie pána Schremsa, ktoré vykonala Meta Platforms Ireland po 12. februári 2019. Vnútroštátnemu súdu však prináleží overiť, či k takémuto spracovaniu skutočne došlo po tomto dátume, v súlade s judikatúrou pripomenutou v bode 42 tohto rozsudku.

70

Ako už Súdny dvor rozhodol, tento zásadný zákaz stanovený v článku 9 ods. 1 GDPR nezávisí od toho, či informácia odhalená predmetným spracúvaním je alebo nie je správna a či prevádzkovateľ koná s cieľom získať informácie patriace do jednej z osobitných kategórií uvedených v tomto ustanovení. Vzhľadom na významné riziká pre základné slobody a základné práva dotknutých osôb spôsobené akýmkoľvek spracúvaním osobitných kategórií osobných údajov uvedených v článku 9 ods. 1 GDPR je totiž jeho cieľom zakázať takéto spracúvanie bez ohľadu na ich uvádzaný cieľ [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21 , EU:C:2023:537 , body 69 a 70 ].

74

Hoci totiž tento článok 9 ods. 1 v zásade zakazuje spracúvanie údajov týkajúcich sa najmä sexuálnej orientácie, odsek 2 uvedeného článku stanovuje vo svojich písmenách a) až j) desať výnimiek, ktoré sú navzájom nezávislé, a preto ich treba posudzovať samostatne. To znamená, že skutočnosť, že podmienky uplatnenia jednej z výnimiek stanovených v tomto odseku 2 nie sú splnené, nemôže brániť tomu, aby sa prevádzkovateľ mohol odvolávať na inú výnimku uvedenú v tomto ustanovení (rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21 , EU:C:2023:1022 , bod 47 ).

75

Pokiaľ ide konkrétne o výnimku stanovenú v článku 9 ods. 2 písm. e) GDPR, treba pripomenúť, že podľa tohto ustanovenia sa zásadný zákaz akéhokoľvek spracúvania osobitných kategórií osobných údajov stanovený v tomto článku 9 ods. 1 neuplatňuje v prípade, že spracúvanie sa týka osobných údajov, ktoré „dotknutá osoba preukázateľne zverejnila“.

79

Za týchto podmienok a s výhradou overení, ktoré prislúchajú vnútroštátnemu súdu, nemožno vylúčiť, že toto vyhlásenie, hoci je súčasťou širšieho prejavu a bolo uskutočnené výlučne s cieľom kritizovať spracúvanie osobných údajov vykonávané Facebookom, predstavuje akt, ktorým dotknutá osoba preukázateľne vedome zverejnila svoju sexuálnu orientáciu v zmysle článku 9 ods. 2 písm. e) GDPR.

80

V druhom rade, hoci okolnosť, že dotknutá osoba preukázateľne zverejnila údaj týkajúci sa jej sexuálnej orientácie, má za následok, že tento údaj môže byť predmetom spracúvania odchylne od zákazu stanoveného v článku 9 ods. 1 GDPR a v súlade s požiadavkami vyplývajúcimi z ostatných ustanovení tohto nariadenia [pozri v tomto zmysle rozsudok z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje), C‑136/17 , EU:C:2019:773 , bod 64 ], táto okolnosť sama osebe neumožňuje na rozdiel od toho, čo tvrdí Meta Platforms Ireland, spracúvanie iných osobných údajov týkajúcich sa sexuálnej orientácie tejto osoby.

81

Na jednej strane by teda bolo v rozpore s náležitým reštriktívnym výkladom článku 9 ods. 2 písm. e) nariadenia GDPR, ak by sa usudzovalo, že na všetky údaje týkajúce sa sexuálnej orientácie osoby sa nevzťahuje ochrana vyplývajúca z odseku 1 tohto článku len z dôvodu, že dotknutá osoba preukázateľne zverejnila osobný údaj týkajúci sa jej sexuálnej orientácie.

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (štvrtá komora) rozhodol takto:

1.

Článok 5 ods. 1 písm. c) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa má vykladať v tom zmysle, že:

zásada „minimalizácie údajov“, ktorú stanovuje, bráni tomu, aby boli všetky osobné údaje, ktoré taký prevádzkovateľ, akým je prevádzkovateľ online platformy sociálnej siete, získal od dotknutej osoby alebo tretích osôb a ktoré boli zozbierané tak na tejto platforme, ako aj mimo nej, zhromažďované, analyzované a spracúvané na účely cielenej reklamy bez časového obmedzenia a rozlišovania na základe povahy týchto údajov.