4. listopada 2024. godine Sud Europske unije u Luxembourgu (u daljnjem tekstu: Sud) je donio presudu u predmetu oznake C-446/21 povodom zahtjeva za prethodnu odluku na temelju članka 267.1 Ugovora o funkcioniranju Europske unije (SL C 202, 7.6.2016., str. 1–388, u daljnjem tekstu: UFEU) koji mu je uputio Vrhovni sud Austrije (njem. Oberster Gerichtshof), u postupku koji se vodio između Maximilliana Schremsa, kao tužitelja protiv Meta Platforms Ireland Ltd, (prije: Facebook Ireland Ltd,), kao tuženika u vezi s navodno nezakonitom obradom osobnih podataka tužitelja.
Predmetni zahtjev za prethodnu odluku Vrhovnog suda Austrije odnosio se na tumačenje članka 5. stavka 1. točaka (b) i (c), članka 6. stavka 1. točaka (a) i (b) te članka 9. stavka 1. i stavka 2. točke (e) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.) (u daljnjem tekstu: OUZP).
Odlučujući o postavljenim prethodnim pitanjima i tumačeći gore istaknute odredbe OUZP-a, Sud je zauzeo jasno stajalište kako činjenica da je tužitelj svoju seksualnu orijentaciju objavio na javnom okruglom stolu ne ovlašćuje operatora internetske platforme društvene mreže da obrađuje druge podatke o njegovoj seksualnoj orijentaciji, koje je pribavio, ovisno o slučaju, izvan te platforme, radi njihova agregiranja i analize, kako bi mu ponudio personalizirano oglašavanje.
Okolnosti spora
Društvo Meta Platforms Ireland, koje upravlja društvenom mrežom Facebook na području Europske unije predstavlja voditelja obrade osobnih podataka2 korisnika te društvene mreže.
Sam poslovni model internetske društvene mreže Facebook temelji se na financiranju internetskim oglašavanjem, koje je ciljano usmjereno na pojedinačne korisnike te društvene mreže, a osobito s obzirom na njihove potrošačke navike, interese i osobne preferencije. Takvo oglašavanje tehnički je omogućeno automatiziranom izradom detaljnih profila korisnika mreže i internetskih usluga koje nudi grupa Meta i ekstenzivnom obradom osobnih podataka samih korisnika Facebooka.
Spomenutu obradu osobnih podataka korisnika Facebooka, Meta Platforms Ireland kao voditelj obrade temelji na ugovoru o korištenju, kojem korisnici pristupaju aktiviranjem opcije „Registracija” i prihvaćajući opće uvjete koje je utvrdilo to društvo.3 U vrijeme činjenica u glavnom postupku predmetnog sudskog postupka prihvaćanje tih uvjeta bilo je nužno kako bi korisnici mogli uopće pristupiti samom Facebooku.
Kad je riječ o obradi osobnih podataka korisnika, u općim uvjetima upućuje se na pravila o uporabi podataka i kolačića koje je utvrdilo navedeno društvo.4 U skladu s tim pravilima, Meta Platforms Ireland prikuplja podatke o korisnicima i njihovim uređajima koji se odnose na aktivnosti korisnika u okviru društvene mreže i izvan nje te povezuje te podatke s Facebook računima korisnika o kojima je riječ. Podaci o aktivnostima izvan društvene mreže potječu, s jedne strane, iz posjećivanja internetskih stranica i aplikacija trećih osoba, koje su s Facebookom povezane putem programskih sučelja te, s druge strane, iz korištenja drugih internetskih usluga koje pripadaju grupi Meta, među kojima su osobito Instagram i WhatsApp.
Prije stupanja na snagu OUZP-a korisnici Facebooka dali su izričitu privolu za obradu svojih podataka u skladu s tuženikovim uvjetima korištenja primjenjivima u tom razdoblju. S obzirom na stupanje na snagu OUZP-a 25. svibnja 2018., društvo Meta Platforms Ireland 19. travnja 2018. donijelo je nove uvjete korištenja i dostavilo ih svojim korisnicima na odobrenje.
Budući da mu je račun bio blokiran, tužitelj je prihvatio nove uvjete korištenja kako bi se mogao nastaviti koristiti Facebookom. Ta je privola bila nužna kako bi mogao zadržati pristup svojem računu i koristiti se odgovarajućim uslugama.
O glavnom postupku
Meta Platforms prikuplja osobne podatke korisnika Facebooka, među njima i tužiteljeve podatke, i to one podatke koji se odnose na aktivnosti korisnika, kako na toj društvenoj mreži, tako i izvan nje. Na temelju podataka koji su mu na raspolaganju Meta Platforms utvrđuje interes tužitelja za osjetljiva pitanja, kao što je pitanje seksualne orijentacije, što mu potom omogućava upućivanje ciljanog oglašavanja o tako osjetljivim temama.
Naime, tužitelj se u okviru okruglog stola na kojem je sudjelovao 12. veljače 2019. u Beču, na poziv predstavništva Europske komisije u Austriji osvrnuo se na svoju seksualnu orijentaciju kako bi kritizirao obradu osobnih podataka koju provodi Facebook, a koja uključuje i obradu njegovih podataka. Međutim, tužitelj nikad na svojem profilu na Facebooku nije spomenuo taj aspekt svojeg privatnog života.
Slijedom izloženog, tužitelj Maximilian Schrems, usprotivio se opisanoj obradi svojih osobnih podataka (kao i podacima o njegovoj seksualnoj orijentaciji) koju provodi društvo Meta Platforms Ireland u okviru internetske društvene mreže Facebook smatrajući ju nezakonitom i pokrenuo postupak pred Zemaljskim građanskim sudom u Beču (njem. Landesgerichtom für Zivilrechtssachen Wien) tvrdeći da se obradom njegovih osobnih podataka koju je provelo društvo Meta Platforms Ireland povređuje nekoliko odredbi OUZP-a.
U tom je pogledu smatrao da njegova privola za uvjete korištenja digitalne platforme tuženika iz glavnog postupka nije u skladu sa zahtjevima iz članka 6. stavka 1. i članka 7. te Uredbe. Usto, da Meta Platforms Ireland obrađuje osjetljive podatke tužitelja iz glavnog postupka, u smislu članka 9. navedene uredbe, bez potrebne privole u tu svrhu, na temelju članka 7. te Uredbe. Jednako tako, da ne postoji nikakva valjana privola za obradu osobnih podataka tužitelja koju je društvo Meta Platforms Ireland primilo od trećih osoba. U tom kontekstu, tužitelj je zatražio, među ostalim, da se tuženiku naloži da prestane s obradom njegovih osobnih podataka u svrhu personaliziranog oglašavanja kao i s upotrebom tih podataka koji proizlaze iz posjeta internetskim stranicama trećih osoba.
Stoga se postavilo pitanje je li tužitelj očito objavio osjetljive osobne podatke koji se odnose na njega i je li stoga dao privolu za njihovu obradu, na temelju članka 9. stavka 2. točke (e) OUZP-a i koje su treće osobe prikupile.
O prethodnim pitanjima
U tim je okolnostima Vrhovni sud Austrije odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Treba li odredbe članka 6. stavka 1. točaka (a) i (b) OUZP-a tumačiti na način da se zakonitost ugovornih odredbi sadržanih u općim uvjetima korištenja koji se odnose na ugovore o internetskoj platformi, poput onog o kojem je riječ u glavnom postupku (osobito ugovorne odredbe kao što su: ‚Umjesto [da plaćate], […] upotrebom Facebookovih proizvoda obuhvaćenih ovim Uvjetima pristajete na to da vam prikazujemo oglase […] Vaše osobne podatke […] upotrebljavamo za prikazivanja oglasa koji su relevantniji za Vas’), koji uključuju obradu osobnih podataka za agregiranje i analizu osobnih podataka u svrhu personaliziranog oglašavanja, ocjenjuje u skladu sa zahtjevima iz članka 6. stavka 1. točke (a) u vezi s člankom 7. OUZP-a, koji se ne mogu zamijeniti pozivanjem na članak 6. stavak 1. točku (b) OUZP-a?
2. Treba li članak 5. stavak 1. točku (c) OUZP-a (smanjenje količine podataka) tumačiti na način da se svi osobni podaci kojima raspolaže platforma poput one o kojoj je riječ u glavnom postupku (osobito oni koji potječu od ispitanika ili treće osobe na platformi i izvan nje) mogu u svrhu ciljanog oglašavanja agregirati, analizirati i obrađivati bez ograničenja s obzirom na vrijeme ili vrstu podataka?
3. Treba li članak 9. stavak 1. OUZP-a tumačiti na način da se primjenjuje na obradu podataka koja omogućuje ciljano filtriranje posebnih kategorija osobnih podataka, kao što su politička uvjerenja ili seksualna orijentacija (na primjer, radi oglašavanja), čak i ako voditelj obrade ne razlikuje te podatke?
4. Treba li članak 5. stavak 1. točku (b) u vezi s člankom 9. stavkom 2. točkom (e) OUZP-a tumačiti na način da se izjavom o vlastitoj seksualnoj orijentaciji za potrebe okruglog stola dopušta obrada drugih podataka o seksualnoj orijentaciji radi agregiranja i analize podataka u svrhu personaliziranog oglašavanja?”
O presudi Suda
Ovom, izuzetno važnom presudom Sud je zauzeo sljedeća stajališta i postavio smjernice za obradu osobnih podataka za potrebe ciljanog oglašavanja od strane društvenih mreža.
Na prvom mjestu, Sud je zauzeo stav kako se načelu „smanjenja količine podataka”, predviđenom u OUZP-u, protivi to da se svi osobni podaci koje je voditelj obrade, kao što je to operator internetske platforme društvene mreže, pribavio od ispitanika ili trećih osoba te koji su prikupljeni kako na toj platformi tako i izvan nje agregiraju, analiziraju i obrađuju u svrhu ciljanog oglašavanja bez vremenskog ograničenja i bez razlikovanja s obzirom na prirodu tih podataka.
Kao drugo, prema mišljenju Suda, nije isključeno da je sam tužitelj svojom izjavom tijekom okruglog stola o kojem je riječ očito objavio svoju seksualnu orijentaciju. Međutim, okolnost da je ispitanik očito objavio podatak o svojoj seksualnoj orijentaciji ima za posljedicu to da se taj podatak može obrađivati, poštujući odredbe OUZP-a. S tim u vezi, naglašava Sud, ta okolnost sama po sebi ne ovlašćuje na obradu drugih osobnih podataka koji se odnose na spolnu orijentaciju te osobe.
Stoga okolnost da se osoba tijekom javnog okruglog stola izjasnila o svojoj seksualnoj orijentaciji ne ovlašćuje operatora internetske platforme društvene mreže da obrađuje druge podatke o njezinoj seksualnoj orijentaciji, koje je pribavio, ovisno o slučaju, izvan te platforme od partnerskih aplikacija i internetskih stranica trećih osoba, radi njihova agregiranja i analize, kako bi toj osobi ponudio personalizirano oglašavanje.
Slijedom svega navedenoga, izreka presude Suda glasi kako slijedi:
„1. Članak 5. stavak 1. točku (c) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da se:
načelu „smanjenja količine podataka”, predviđenom u toj odredbi, protivi to da se svi osobni podaci koje je voditelj obrade, kao što je to operator internetske platforme društvene mreže, pribavio od ispitanika ili trećih osoba te koji su prikupljeni kako na toj platformi tako i izvan nje agregiraju, analiziraju i obrađuju u svrhu ciljanog oglašavanja bez vremenskog ograničenja i bez razlikovanja s obzirom na prirodu tih podataka.
2. Članak 9. stavak 2. točku (e) Uredbe 2016/679
treba tumačiti na način da:
okolnost da se osoba tijekom okruglog stola otvorenog za javnost izjasnila o svojoj seksualnoj orijentaciji ne ovlašćuje operatora internetske platforme društvene mreže da obrađuje druge podatke o seksualnoj orijentaciji te osobe, koje je pribavio, ovisno o slučaju, izvan te platforme od partnerskih aplikacija i internetskih stranica trećih osoba, radi njihova agregiranja i analize, kako bi toj osobi ponudio personalizirano oglašavanje.“
Maja Bilić Paulić, mag. iur.
IZVORI:
^ 1 Prema čl. 267. UFEU, Sud Europske unije nadležan je odlučivati o prethodnim pitanjima koja se tiču:
(a) tumačenja Ugovorâ;
(b) valjanosti i tumačenja akata institucija, tijelâ, uredâ ili agencija Unije.
Ako se takvo pitanje pojavi pred bilo kojim sudom države članice, taj sud može, ako smatra da je odluka o tom pitanju potrebna da bi mogao donijeti presudu, zatražiti od Suda da o tome odluči.
Ako se takvo pitanje pojavi u predmetu koji je u tijeku pred sudom neke države članice, protiv čijih odluka prema nacionalnom pravu nema pravnog lijeka, taj je sud dužan uputiti to pitanje Sudu.
Ako se to pitanje postavi u predmetu koji je u tijeku pred sudom neke države članice u pogledu osobe kojoj je oduzeta sloboda, Sud Europske unije djeluje u najkraćem mogućem roku.
^ 2 Sukladno OUZP-u, voditelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka. U situaciji kada su svrhe i sredstva takve obrade utvrđeni pravom Europske unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Europske unije ili pravom države članice. Obveze voditelja obrade osobnih podataka su provođenje odgovarajućih i djelotvornih tehničkih i organizacijskih mjera. Budući da je upravo on odgovoran za poštivanje same Uredbe te mora biti u mogućnosti dokazati da postupa u skladu s istom.
^ 3 Usluge Meta Platforms Ireland na društvenoj mreži Facebook su do 5. studenoga 2023. za private korisnike bile besplatne. Dana 6. studenoga 2023. Meta je uvela naplatu svojih usluga, osim za one korisnike koji su prihvatili da se njihovi osobni podaci prikupljaju i upotrebljavaju kako bi bili predmet personaliziranog oglašavanja.
^ 4 Društvo Meta Platforms Ireland uspostavilo je nekoliko „alata” (engl. „tools“) kako bi korisnicima omogućilo uvid u njihove pohranjene podatke i kontrolu nad njima. Pored spomenutih „alata“, društvo Meta Platforms Ireland koristi i kolačiće (engl. „cookies”), dodatke za društvene mreže (engl. „social plugins”) te piksele, kako je to navedeno u njegovim uvjetima korištenja i smjernicama. Putem kolačića to društvo može odrediti izvor pristupa.
Bez aktivacije kolačića mnoge usluge koje pruža Meta Platforms Ireland ne mogu se koristiti. Facebookove dodatke za društvene mreže operatori trećih internetskih stranica „uključuju” na svoje stranice. Najraširenija je uporaba Facebookove opcije „Sviđa mi se”. Prilikom svakog posjeta internetskim stranicama koje sadržavaju tu opciju, kolačići ugrađeni na uređaj koji se upotrebljava, URL posjećene stranice i drugi podaci, kao što su IP adresa ili vrijeme, prenose se društvu Meta Platforms Ireland. U tu svrhu nije nužno da je korisnik kliknuo na opciju „Sviđa mi se”, s obzirom na to da je sama činjenica prikazivanja internetske stranice koja sadržava takav dodatak dovoljna da bi se ti podaci zatim prenijeli tom društvu.
