Soudní dvůr Evropské unie ve svém recentním rozhodnutí rozhodl, že společnost Meta, která vlastní a provozuje mimo jiné aplikace Facebook, Instagram, WhatsApp a Threads, a řadí se tak mezi největší americké společnosti v oblasti informačních technologií, musí omezit využívání osobních údajů jejích uživatelů za účelem cílené reklamy.

Soudní dvůr Evropské unie konstatoval, že přestože tyto údaje byly získané na základě předchozího souhlasu se sběrem dat, jejich využívání za účelem zobrazování personalizované reklamy uživatelům jejích sociálních sítí nesmí být bezmezné.

Okolnosti případu

Společnost Meta v minulosti poskytovala služby svým uživatelům v principu výhradně bezplatně. Od 6. 11. 2023 ovšem své služby zpoplatnila a bezplatně je ponechala jen těm uživatelům, kteří namísto uhrazení poplatku za užívání udělili společnosti souhlas se shromažďováním svých osobních údajů a jejich využíváním k tomu, aby jim byla zasílána personalizovaná reklama.

Soudní dvůr Evropské unie nyní svým rozhodnutím C‑446/21 ze dne 4. 10. 2024 omezil rozsah osobních údajů, které mohou být využívány k zobrazování takto personalizované reklamy.[1] 

Soudní dvůr tak rozhodl na základě dvou předběžných otázek položených rakouským Nejvyšším soudem. Ten ve své praxi musel řešit situaci, ve které společnost Meta měla možnost na základě získaných údajů identifikovat zájem svého uživatele i v tak citlivých tématech, jako jsou zdraví, sexuální orientace, etnické skupiny a politické strany, a předkládala mu takto cílenou reklamu, ve které zohledňovala taktéž sexuální orientaci nebo politické přesvědčení uživatele.

Právní posouzení soudem Evropské unie

Předběžné otázky se proto týkaly výkladu následujících ustanovení nařízení GDPR ve vztahu k typu sbíraných osobních údajů a časové možnosti jejich použití:[2]

• Čl. 5 odst. 1 písm. c) „Osobní údaje musí být: … přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘)“
• Čl. 9 odst. 1 „Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.“
• Čl. 9 odst. 2 „Odstavec 1 se nepoužije, pokud jde o některý z těchto případů: e)      zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů“

První předběžná otázka se zabývala časovým omezením použití osobních údajů, a to tak, zda je možné ustanovení čl. 5 odst. 1 písm. c) GDPR vykládat v tom smyslu, že veškeré osobní údaje poskytované platformě, jako je platforma společnosti Meta, lze časově neomezeně nebo s ohledem na povahu daných údajů agregovat, analyzovat a zpracovávat pro účely cílené reklamy.

K tomuto Soudní dvůr uvedl, že „uchovávání osobních údajů uživatelů platformy sociální sítě pro účely cílené reklamy po neomezenou dobu musí být v každém případě považováno za nepřiměřený zásah do práv, která těmto uživatelům zaručuje GDPR.“

Přitom soud odkázalna svá dřívější rozhodnutí, kde uvádí, že „s ohledem na zásadu minimalizace údajů je správce povinen omezit dobu shromažďování dotčených osobních údajů na to, co je nezbytně nutné s ohledem na účel zamýšleného zpracování.[3] Čím déle jsou totiž tyto údaje uchovávány, tím závažnější jsou důsledky pro zájmy a soukromí subjektu údajů a tím vyšší jsou požadavky na zákonnost uchovávání těchto údajů.“[4]

Soud dále uvedl, že „Za těchto podmínek se zpracování údajů, o které se jedná ve věci v původním řízení, vyznačuje závažným zásahem do základních práv subjektů údajů, zejména jejich práv na respektování soukromého života a na ochranu osobních údajů zaručených články 7 a 8 Listiny základních práv Evropské unie, který se s výhradou ověření, která musí provést předkládající soud, nejeví jako přiměřeně odůvodněné s ohledem na cíl spočívající v umožnění zasílat cílenou reklamu.“

Dle závěru soudního dvora lze tedy shrnout, že zásada „minimalizace údajů“ musí být vykládána naopak tak, že musí bránit agregování, analyzování a zpracovávání pro účely reklamy, a to bez časového omezení a bez rozlišování povahy těchto údajů.

Druhá otázka týkající se typu sbíraných informací směřovala k výkladu ustanovení čl. 9 odst. 2 písm. e), které stanovuje výjimky ze zásady zákazu zpracování zvláštních kategorií osobních údajů. Předmětem otázky bylo, zda okolnost, že se určitá osoba veřejně vyjádřila o své sexuální orientaci, je možné podřadit pod výklad tohoto ustanovení a zda opravňuje provozovatele on-line platformy pro sociální síť zpracovávat další údaje týkající se sexuální orientace této osoby za účelem jejich agregace a analýzy pro personalizovanou reklamu.

Soudní dvůr k tomuto uvedl již dříve, že čl. 9 odst. 2 písm. e) GDPR musí být vykládán restriktivně , s tím, že  výjimky z něj lze uplatňovat jen výjimečně.[5] Dřívější zveřejnění údajů o sexuální orientaci není možné považovat za souhlas se zpracováním dalších údajů týkajících se její sexuální orientace provozovatelem on-line platformy pro sociální síť.

Z rozhodnutí tedy plyne, že i toto ustanovení musí být vykládáno restriktivně ve vztahu k právu uživatele na soukromí, a to tak, že provozovatele on-line platformy neopravňuje ke sběru a použití takových citlivých dat pro účely personalizované reklamy.

Soudní dvůr svým rozhodnutím stanovil limit pro využívání osobních údajů uživatelů k vytváření a zobrazování cílené reklamy. Zpracování osobních údajů za tímto účelem nesmí být neomezené ani v případě, že se zpracováním osobních údajů dají uživatelé souhlas, ale musí být v souladu s pravidly GDPR a zásadou minimalizace údajů. Společnost nesmí data využívat po neomezenou dobu a není oprávněna ani k využívání dat spadajících do kategorie citlivých údajů.

Rozhodnutí zdůrazňuje důležitost minimalizace sběru dat a přísného dodržování pravidel GDPR, což znamená, že zpracovatelé osobních údajůé musí omezit zpracování osobních údajů pouze na nezbytně nutné účely a zejména tak upravit obchodní model založený na financování pomocí on-line reklamy.

Tým AK Sudolská

---

[1] rozsudek ze dne 4. října 2024, Maximilian Schrems, C‑446/21, EU:C:2024:834

[2] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

[3] vizrozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely), C‑175/20, EU:C:2022:124, bod 79.

[4]  viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 95.

[5] v tomto smyslu viz rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 76 a citovaná judikatura.

Další články