PRESUDA SUDA (četvrto vijeće)

4. listopada 2024. ( *1 )

„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Internetske društvene mreže – Opći uvjeti korištenja koji se odnose na ugovore između digitalne platforme i korisnika – Personalizirano oglašavanje – Članak 5. stavak 1. točka (b) – Načelo ograničenja svrhe – Članak 5. stavak 1. točka (c) – Načelo smanjenja količine podataka – Članak 9. stavci 1. i 2. – Obrada posebnih kategorija osobnih podataka – Podaci o seksualnoj orijentaciji – Podaci koje je objavio ispitanik”

U predmetu C‑446/21,

povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Oberster Gerichtshof (Vrhovni sud, Austrija), odlukom od 23. lipnja 2021., koju je Sud zaprimio 20. srpnja 2021., u postupku

Maximillian Schrems

protiv

Meta Platforms Ireland Ltd, prije Facebook Ireland Ltd,

SUD (četvrto vijeće),

u sastavu: C. Lycourgos, predsjednik vijeća, O. Spineanu‑Matei, J.-C. Bonichot, S. Rodin i L. S. Rossi (izvjestiteljica), suci,

nezavisni odvjetnik: A. Rantos,

tajnik: N. Mundhenke, administratorica,

uzimajući u obzir pisani dio postupka i nakon rasprave održane 8. veljače 2024.,

uzimajući u obzir očitovanja koja su podnijeli:

–

za Maximiliana Schremsa, K. Raabe‑Stuppnig, Rechtsanwältin,

–

za Meta Platforms Ireland Ltd, K. Hanschitz, H.-G. Kamann, S. Khalil, B. Knötzl i A. Natterer, Rechtsanwälte,

–

za austrijsku vladu, A. Posch, J. Schmoll, C. Gabauer, G. Kunnert i E. Riedl, u svojstvu agenata,

–

za francusku vladu, R. Bénard i A.-L. Desjonquères, u svojstvu agenata,

–

za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju E. De Bonisa, avvocato dello Stato,

–

za portugalsku vladu, P. Barros da Costa, A. Pimenta, J. Ramos i C. Vieira Guerra, u svojstvu agenata,

–

za Europsku komisiju, A. Bouchagiar, F. Erlbacher, M. Heller i H. Kranenborg, u svojstvu agenata,

saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 25. travnja 2024.,

donosi sljedeću

Presudu

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 5. stavka 1. točaka (b) i (c), članka 6. stavka 1. točaka (a) i (b) te članka 9. stavka 1. i članka 9. stavka 2. točke (e) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.) (u daljnjem tekstu: OUZP).

2

Zahtjev je upućen u okviru spora između Maximiliana Schremsa, korisnika društvene mreže Facebook, i društva Meta Platforms Ireland Ltd, prije Facebook Ireland Ltd, sa sjedištem u Irskoj, u vezi s navodno nezakonitom obradom tog društva osobnih podataka tog korisnika.

Pravni okvir

Pravo Unije

3

U uvodnim izjavama 1., 4., 39., 42., 43., 50. i 51. OUZP‑a navodi se:

„(1)

Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima (‚Povelja’) te člankom 16. stavkom 1. Ugovora o funkcioniranju Europske unije (UFEU) utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.

[…]

(4)

Obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka nije apsolutno pravo; mora ga se razmatrati u vezi s njegovom funkcijom u društvu te ga treba ujednačiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti. Ovom se Uredbom poštuju sva temeljna prava i uvažavaju slobode i načela priznata Poveljom koja su sadržana u Ugovorima, osobito poštovanje privatnog i obiteljskog života, doma i komuniciranja, zaštita osobnih podataka, sloboda mišljenja, savjesti i vjeroispovijedi, sloboda izražavanja i informiranja, sloboda poduzetništva, pravo na učinkoviti pravni lijek i pošteno suđenje te pravo na kulturnu, vjersku i jezičnu raznolikost.

[…]

(39)

Svaka obrada osobnih podataka trebala bi biti zakonita i poštena. Za pojedince bi trebalo biti transparentno kako se osobni podaci koji se odnose na njih prikupljaju, upotrebljavaju, daju na uvid ili na drugi način obrađuju, kao i do koje se mjere ti osobni podaci obrađuju ili će se obrađivati. […] Pojedinci bi trebali biti upoznati s rizicima, pravilima, zaštitnim mjerama i pravima u vezi s obradom osobnih podataka i načinom ostvarenja svojih prava u vezi s obradom. Osobito, određena svrha u koju se osobni podaci obrađuju trebala bi biti izrijekom navedena i opravdana te određena u vrijeme prikupljanja osobnih podataka. Osobni podaci trebali bi biti primjereni, bitni i ograničeni na ono što je nužno za svrhe u koje se podaci obrađuju. Zbog toga je osobito potrebno osigurati da je razdoblje u kojem se osobni podaci pohranjuju ograničeno na strogi minimum. Osobni podaci trebali bi se obrađivati samo ako se svrha obrade opravdano ne bi mogla postići drugim sredstvima. Radi osiguravanja da se osobni podaci ne drže duže nego što je nužno, voditelj obrade trebao bi odrediti rok za brisanje ili periodično preispitivanje. […]

[…]

(42)

Ako se obrada temelji na privoli ispitanika, voditelj obrade trebao bi moći dokazati da je ispitanik dao privolu za postupak obrade. […] Da bi ispitanik mogao dati privolu informiran, trebao bi barem znati identitet voditelja obrade i svrhe obrade za koju se upotrebljavaju osobni podaci. Ne može se smatrati da je privola dana dobrovoljno ako ispitanik nema istinski ili slobodan izbor ili ako nije u mogućnosti odbiti ili povući privolu bez posljedica.

(43)

Kako bi se osiguralo da je privola dana dobrovoljno, ona ne bi smjela predstavljati valjanu pravnu osnovu za obradu osobnih podataka u određenom slučaju kada postoji jasna neravnoteža između ispitanika i voditelja obrade, posebno ako je voditelj obrade tijelo javne vlasti i stoga nije vjerojatno da je s obzirom na sve okolnostima te posebne situacije privola dana dobrovoljno. Smatra se da privola nije dana dobrovoljno ako se njome ne omogućuje davanje zasebne privole za različite postupke obrade podataka, unatoč tome što je primjerena pojedinačnom slučaju ili ako izvršenje ugovora, među ostalim i pružanje usluge, ovisi o privoli i ako takva privola nije nužna za takvo izvršenje.

[…]

(50)

Obrada osobnih podataka u svrhe različite od svrha za koje su podaci prvotno prikupljeni smjela bi se dopustiti samo ako je obrada usklađena sa svrhama za koje su osobni podaci prvotno prikupljeni. U takvom slučaju nije potrebna pravna osnova zasebna od one kojom je dopušteno prikupljanje osobnih podataka. […]

(51)

Osobni podaci koji su po svojoj naravi posebno osjetljive prirode u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do značajnih rizika za temeljna prava i slobode. […] Takvi osobni podaci ne bi se smjeli obrađivati osim ako je obrada dopuštena u posebnim slučajevima navedenima u ovoj Uredbi […]. Osim posebnih zahtjeva za takvu obradu, trebala bi se primjenjivati opća načela i druga pravila iz ove Uredbe, posebno u pogledu uvjeta za zakonitu obradu. Odstupanja od opće zabrane obrade takvih posebnih kategorija osobnih podataka trebala bi biti izričito predviđena, među ostalim ako je ispitanik dao svoju izričitu privolu ili u vezi s posebnim potrebama […].”

4

Članak 4. te uredbe predviđa:

„Za potrebe ove Uredbe:

1.

‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’); […]

2.

‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

[…]

7.

‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;

[…]

11.

‚privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose;

[…]

23.

‚prekogranična obrada’ znači ili

(a)

obrada osobnih podataka koja se odvija u Uniji u kontekstu aktivnosti poslovnih nastana u više od jedne države članice voditelja obrade ili izvršitelja obrade, a voditelj obrade ili izvršitelj obrade ima poslovni nastan u više od jedne države članice; ili

(b)

obrada osobnih podataka koja se odvija u Uniji u kontekstu aktivnosti jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade, ali koja bitno utječe ili je izgledno da će bitno utjecati na ispitanike u više od jedne države članice.

[…]”

5

Članak 5. navedene uredbe, naslovljen „Načela obrade osobnih podataka”, u stavcima 1. i 2. predviđa:

„1.   Osobni podaci moraju biti:

(a)

zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);

(b)

prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama (‚ograničavanje svrhe’); […]

(c)

primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’);

[…]

(e)

čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; […] (‚ograničenje pohrane’);

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

6

Članak 6. te uredbe, naslovljen „Zakonitost obrade”, glasi kako slijedi:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a)

ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

(b)

obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;

[…]

4.   Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:

(a)

svaku vezu između svrha prikupljanja osobnih podataka i svrha namjeravanog nastavka obrade;

(b)

kontekst u kojem su prikupljeni osobni podaci, posebno u pogledu odnosa između ispitanikâ i voditelja obrade;

(c)

prirodu osobnih podataka, osobito činjenicu obrađuju li se posebne kategorije osobnih podataka u skladu s člankom 9. ili osobni podaci koji se odnose na kaznene osude i kažnjiva djela u skladu s člankom 10.;

(d)

moguće posljedice namjeravanog nastavka obrade za ispitanike;

(e)

postojanje odgovarajućih zaštitnih mjera, koje mogu uključivati enkripciju ili pseudonimizaciju.”

7

Člankom 7. OUZP‑a, naslovljenim „Uvjeti privole”, određeno je:

„1.   Kada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.

[…]

3.   Ispitanik ima pravo u svakom trenutku povući svoju privolu. Povlačenje privole ne utječe na zakonitost obrade na temelju privole prije njezina povlačenja. Prije davanja privole, ispitanika se o tome obavješćuje. Povlačenje privole mora biti jednako jednostavno kao i njezino davanje.

4.   Kada se procjenjuje je li privola bila dobrovoljna, u najvećoj mogućoj mjeri uzima se u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora.”

8

Članak 9. te uredbe, naslovljen „Obrada posebnih kategorija osobnih podataka”, predviđa:

„1.   Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.

2.   Stavak 1. ne primjenjuje se ako je ispunjeno jedno od sljedećeg:

(a)

ispitanik je dao izričitu privolu za obradu tih osobnih podataka za jednu ili više određenih svrha, osim ako se pravom Unije ili pravom države članice propisuje da ispitanik ne može ukinuti zabranu iz stavka 1.;

[…]

(e)

obrada se odnosi na osobne podatke za koje je očito da ih je objavio ispitanik;

[…]”

9

Članak 13. navedene uredbe, koji se odnosi na „[i]nformacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, u stavku 1. predviđa:

„1.   Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:

[…]

(c)

svrhe obrade radi kojih se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu;

[…]

3.   Ako voditelj obrade namjerava dodatno obrađivati osobne podatke u svrhu koja je različita od one za koju su osobni podaci dobiveni, voditelj obrade prije te dodatne obrade ispitaniku pruža informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2.

[…].”

10

Člankom 25. stavkom 2. iste uredbe određuje se:

„Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinaca.”

Glavni postupak i prethodna pitanja

11

Društvo Meta Platforms Ireland, koje upravlja ponudom usluga internetske društvene mreže Facebook u Uniji, voditelj je obrade osobnih podataka korisnika te društvene mreže u Uniji. Ono u Austriji nema podružnicu. Meta Platforms Ireland promiče, među ostalim, na adresi www.facebook.com, usluge koje su se do 5. studenoga 2023. besplatno pružale privatnim korisnicima. Od 6. studenoga 2023. te su usluge i dalje besplatne samo za one korisnike koji su prihvatili da se njihovi osobni podaci prikupljaju i upotrebljavaju kako bi bili predmet personaliziranog oglašavanja, s obzirom na to da su korisnici imali mogućnost plaćene pretplate za pristup verziji tih usluga bez ciljanog oglašavanja.

12

Poslovni model internetske društvene mreže Facebook temelji se na financiranju internetskim oglašavanjem, koje je ciljano usmjereno na pojedinačne korisnike društvene mreže, osobito s obzirom na njihove potrošačke navike, interese i osobnu situaciju. Takvo oglašavanje tehnički je omogućeno automatiziranom izradom detaljnih profila korisnikâ mreže i internetskih usluga koje nudi grupa Meta.

13

Kako bi obrađivao osobne podatke korisnikâ društvene mreže Facebook, Meta Platforms Ireland temelji se na ugovoru o korištenju, kojem korisnici pristupaju aktiviranjem opcije „Registracija” i kojim prihvaćaju opće uvjete koje je utvrdilo to društvo. U vrijeme činjenica u glavnom postupku prihvaćanje tih uvjeta bilo je nužno kako bi se moglo koristiti društvenom mrežom Facebook. Kad je riječ o obradi osobnih podataka korisnikâ, u općim uvjetima upućuje se na pravila o uporabi podataka i kolačića (cookies) koje je utvrdilo navedeno društvo. U skladu s tim pravilima, Meta Platforms Ireland prikuplja podatke o korisnicima i njihovim uređajima koji se odnose na aktivnosti korisnikâ u okviru društvene mreže i izvan nje te povezuje te podatke s Facebook računima korisnika o kojima je riječ. Podaci o aktivnostima izvan društvene mreže (u daljnjem tekstu također: podaci izvan Facebooka) potječu, s jedne strane, iz posjećivanja internetskih stranica i aplikacija trećih osoba, koje su s Facebookom povezane putem programskih sučelja, te, s druge strane, iz korištenja drugih internetskih usluga koje pripadaju grupi Meta, među kojima su osobito Instagram i WhatsApp.

14

Prije stupanja na snagu OUZP‑a korisnici Facebooka dali su izričitu privolu za obradu svojih podataka u skladu s tuženikovim uvjetima korištenja primjenjivima u tom razdoblju. S obzirom na stupanje na snagu OUZP‑a 25. svibnja 2018., društvo Meta Platforms Ireland 19. travnja 2018. donijelo je nove uvjete korištenja i dostavilo ih svojim korisnicima na odobrenje. Budući da mu je račun bio blokiran, M. Schrems prihvatio je te nove uvjete korištenja kako bi se mogao nastaviti koristiti Facebookom. Ta je privola bila nužna kako bi mogao zadržati pristup svojem računu i koristiti se odgovarajućim uslugama.

15

Društvo Meta Platforms Ireland uspostavilo je nekoliko „alata” (tools) kako bi korisnicima omogućilo uvid u njihove pohranjene podatke i kontrolu nad njima. U tim alatima nisu vidljivi svi podaci koji se obrađuju, nego samo oni koji su, prema mišljenju tog društva, od interesa i relevantni za korisnike. Tako je moguće da korisnik koji to zatraži vidi, primjerice, da je putem svojeg profila na Facebooku otvorio aplikaciju, posjećivao internetsku stranicu, obavio određenu pretragu ili kupnju ili pak kliknuo na oglas.

16

Društvo Meta Platforms Ireland koristi kolačiće („cookies”), dodatke za društvene mreže („social plugins”) te piksele, kako je to navedeno u njegovim uvjetima korištenja i smjernicama. Putem kolačića to društvo može odrediti izvor pristupa. Bez aktivacije kolačića mnoge usluge koje pruža Meta Platforms Ireland ne mogu se koristiti. Facebookove dodatke za društvene mreže operatori trećih internetskih stranica „uključuju” na svoje stranice. Najraširenija je uporaba Facebookove opcije „Sviđa mi se”. Prilikom svakog posjeta internetskim stranicama koje sadržavaju tu opciju, kolačići ugrađeni na uređaj koji se upotrebljava, URL posjećene stranice i drugi podaci, kao što su IP adresa ili vrijeme, prenose se društvu Meta Platforms Ireland. U tu svrhu nije nužno da je korisnik kliknuo na opciju „Sviđa mi se”, s obzirom na to da je sama činjenica prikazivanja internetske stranice koja sadržava takav dodatak dovoljna da bi se ti podaci zatim prenijeli tom društvu.

17

Iz odluke kojom se upućuje prethodno pitanje proizlazi da se dodaci također nalaze na internetskim stranicama političkih stranaka i na stranicama namijenjenima homoseksualnoj javnosti, koje je M. Schrems posjećivao. Zbog tih dodataka društvo Meta Platforms Ireland moglo je pratiti ponašanje M. Schremsa na internetu, što je dovelo do prikupljanja određenih osjetljivih osobnih podataka.

18

Poput dodataka za društvene mreže, i pikseli se mogu ugraditi na internetske stranice te omogućuju prikupljanje informacija o korisnicima koji su posjećivali te stranice, kako bi se, među ostalim, mjerilo i optimiralo oglašavanje na tim stranicama. Primjerice, uključivanjem Facebookova piksela na svoje internetske stranice njihovi operatori mogu od društva Meta Platforms Ireland dobiti izvješća o broju osoba koje su vidjele njihove reklame na Facebooku i koje su se zatim spojile na njihovu internetsku stranicu kako bi je posjetile ili obavile kupnju.

19

Stoga su dodaci za društvene mreže i pikseli, u kombinaciji s kolačićima, ključan element oglašavanja na internetu, s obzirom na to da se velika većina sadržaja dostupnih na internetu financira oglašavanjem. Konkretno, dodaci omogućuju prikazivanje relevantnih oglasa korisnicima, a pikseli služe oglašivačima za mjerenje uspješnosti oglašivačkih kampanja kao i za dobivanje informacija o ciljanim skupinama korisnika.

20

U ovom slučaju iz odluke kojom se upućuje prethodno pitanje proizlazi da M. Schrems nije društvu Meta Platforms Ireland dao privolu da obrađuje njegove osobne podatke koje dobiva od oglašivača i drugih partnera o aktivnostima M. Schremsa izvan Facebooka u svrhu personaliziranog oglašavanja. Međutim, društvo Meta Platforms Ireland prikupilo je određene podatke o M. Schremsu zahvaljujući kolačićima, dodacima za društvene mreže i usporedivim tehnologijama uključenima u internetske stranice trećih osoba te je to društvo te podatke upotrebljavalo za poboljšanje Facebookovih proizvoda i slanje M. Schremsu personaliziranog oglašavanja.

21

Osim toga, iz te odluke također proizlazi da M. Schrems na svojem profilu na Facebooku nije naveo nikakve osjetljive podatke, da samo njegovi „prijatelji” mogu vidjeti njegove aktivnosti ili informacije na njegovu „timelineu” te da njegov „popis prijatelja” nije javan. M. Schrems također je odabrao da društvu Meta Platforms Ireland neće dati privolu da se u svrhu ciljanog oglašavanja koristi poljima njegova profila koja se odnose na njegov ljubavni status, poslodavca, posao i obrazovanje.

22

Međutim, na temelju podataka koji su mu na raspolaganju, Meta Platforms Ireland također može utvrditi interes M. Schremsa za osjetljiva pitanja, kao što su zdravlje, seksualna orijentacija, etničke skupine i političke stranke, čime je tom društvu omogućeno da mu uputi ciljano oglašavanje, primjerice, o toj seksualnoj orijentaciji ili o tom političkom uvjerenju.

23

Tako je M. Schrems, s jedne strane, primio oglas koji se odnosio na jednu austrijsku političarku koji se temeljio na analizi što ju je proveo Meta Platforms Ireland, a prema kojoj je on imao dodirne točke s drugim korisnicima koji su tu političarku označili opcijom „Sviđa mi se”. S druge strane, M. Schrems također je redovito primao oglase koji su se odnosili na homoseksualnu javnost i pozive na s time povezana događanja, iako se nikad nije prethodno interesirao za ta događanja i nije znao gdje su se ona održavala. Ti oglasi i ti pozivi nisu se temeljili izravno na seksualnoj orijentaciji tužitelja iz glavnog postupka i njegovih „prijatelja”, nego na analizi njihovih interesa, u ovom slučaju na činjenici da je jedan od prijatelja M. Schremsa označio jedan proizvod opcijom „Sviđa mi se”.

24

M. Schrems naručio je analizu o zaključcima koji se mogu izvesti iz njegova popisa prijatelja, iz koje je proizišlo da je obavio civilnu službu u Crvenom križu u Salzburgu (Austrija) i da je homoseksualac. Osim toga, na popisu njegovih aktivnosti izvan Facebooka, kojim je raspolagalo društvo Meta Platforms Ireland, nalaze se, među ostalim, aplikacije i internetske stranice za upoznavanje homoseksualaca te internetske stranice jedne austrijske političke stranke. Među pohranjenim podacima tužitelja iz glavnog postupka nalazi se i adresa e‑pošte koja nije bila navedena na njegovu profilu na Facebooku, ali koju je upotrijebio za podnošenje zahtjeva društvu Meta Platforms Ireland.

25

Iz odluke kojom se upućuje prethodno pitanje također proizlazi da M. Schrems javno otkriva da je homoseksualna osoba. Međutim, svoju seksualnu orijentaciju nikad nije spomenuo na svojem profilu na Facebooku.

26

M. Schrems tvrdio je pred Landesgerichtom für Zivilrechtssachen Wien (Zemaljski građanski sud u Beču, Austrija) da se obradom njegovih osobnih podataka koju je provelo društvo Meta Platforms Ireland povređuje nekoliko odredbi OUZP‑a. U tom je pogledu smatrao da njegova privola za uvjete korištenja digitalne platforme tuženika iz glavnog postupka nije u skladu sa zahtjevima iz članka 6. stavka 1. i članka 7. te uredbe. Usto, Meta Platforms Ireland obrađuje osjetljive podatke tužitelja iz glavnog postupka, u smislu članka 9. navedene uredbe, bez potrebne privole u tu svrhu, na temelju članka 7. iste uredbe. Jednako tako, ne postoji nikakva valjana privola za obradu osobnih podataka M. Schremsa koju je društvo Meta Platforms Ireland primilo od trećih osoba. U tom kontekstu, M. Schrems zatražio je, među ostalim, da se tuženiku iz glavnog postupka naloži da prestane s obradom njegovih osobnih podataka u svrhu personaliziranog oglašavanja kao i s upotrebom tih podataka koji proizlaze iz posjeta internetskim stranicama trećih osoba i koje su treće osobe prikupile.

27

Suprotno tomu, Meta Platforms Ireland smatrao je da je obrada podataka M. Schremsa provedena u skladu s uvjetima korištenja internetske društvene mreže, koji su u skladu sa zahtjevima OUZP‑a. Ta je obrada zakonita i ne temelji se na privoli tužitelja iz glavnog postupka, koja se zahtijeva člankom 6. stavkom 1. točkom (a) te uredbe, nego je opravdana drugim razlozima, među kojima je ponajprije nužnost te obrade u svrhu izvršavanja ugovora sklopljenog između tužitelja i tuženika iz glavnog postupka, u smislu članka 6. stavka 1. točke (b) navedene uredbe.

28

U glavnom postupku Sudu je već upućen zahtjev za prethodnu odluku, povodom kojeg je donesena presuda od 25. siječnja 2018., Schrems (C‑498/16, EU:C:2018:37). Nakon te presude Landesgericht für Zivilrechtssachen Wien (Zemaljski građanski sud u Beču) presudom od 30. lipnja 2020. odbio je zahtjeve M. Schremsa. Isto tako, Oberlandesgericht Wien (Visoki zemaljski sud u Beču, Austrija), kojem je podnesena žalba, odbio je žalbu koju je M. Schrems podnio protiv te presude uz obrazloženje, među ostalim, da je obrada njegovih osobnih podataka, kao korisnika internetske platforme, uključujući i personalizirano oglašavanje, sastavni dio ugovora o korištenju te platforme sklopljenog između stranaka. Obrada tih podataka stoga je nužna za izvršavanje tog ugovora, u smislu članka 6. stavka 1. točke (b) OUZP‑a.

29

Oberster Gerichtshof (Vrhovni sud, Austrija), kojem je M. Schrems podnio zahtjev za reviziju, primjećuje da se poslovni model društva Meta Platforms Ireland sastoji od ostvarivanja prihoda ciljanim oglašavanjem i komercijalnim sadržajima koji se temelje na sklonostima i interesima korisnika Facebooka, obradom osobnih podataka tih korisnika. Budući da Facebooku omogućuje da svojim korisnicima besplatno nudi usluge, ta se obrada može smatrati nužnom za izvršavanje ugovora sklopljenog s navedenim korisnicima, u smislu članka 6. stavka 1. točke (b) OUZP‑a.

30

Međutim, prema mišljenju tog suda, ta odredba, koju treba usko tumačiti, ne bi trebala omogućiti takvu obradu podataka bez ispitanikove privole.

31

Usto, navedeni sud primjećuje da Meta Platforms Ireland obrađuje osobne podatke koji se mogu smatrati „osjetljivima” na temelju članka 9. stavka 1. OUZP‑a.

32

U ovom slučaju Meta Platforms Ireland obrađuje podatke o političkim uvjerenjima i seksualnoj orijentaciji M. Schremsa. Prema utvrđenjima Oberster Gerichtshofa (Vrhovni sud), M. Schrems javno otkriva svoju seksualnu orijentaciju. Konkretno, u okviru okruglog stola na kojem je sudjelovao 12. veljače 2019. u Beču, na poziv predstavništva Europske komisije u Austriji, M. Schrems osvrnuo se na svoju seksualnu orijentaciju kako bi kritizirao obradu osobnih podataka koju provodi Facebook, koja uključuje i obradu njegovih podataka. Međutim, kao što je to također naveo tom prilikom, M. Schrems nikad na svojem profilu na Facebooku nije spomenuo taj aspekt svojeg privatnog života.

33

Prema mišljenju tog suda, stoga se postavlja pitanje je li dotični korisnik očito objavio osjetljive osobne podatke koji se odnose na njega i je li stoga dao privolu za njihovu obradu, na temelju članka 9. stavka 2. točke (e) OUZP‑a.

34

U tim je okolnostima Oberster Gerichtshof (Vrhovni sud, Austrija) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

„1. Treba li odredbe članka 6. stavka 1. točaka (a) i (b) OUZP‑a tumačiti na način da se zakonitost ugovornih odredbi sadržanih u općim uvjetima korištenja koji se odnose na ugovore o internetskoj platformi, poput onog o kojem je riječ u glavnom postupku (osobito ugovorne odredbe kao što su: ‚Umjesto [da plaćate], […] upotrebom Facebookovih proizvoda obuhvaćenih ovim Uvjetima pristajete na to da vam prikazujemo oglase […] Vaše osobne podatke […] upotrebljavamo za prikazivanja oglasa koji su relevantniji za Vas’), koji uključuju obradu osobnih podataka za agregiranje i analizu osobnih podataka u svrhu personaliziranog oglašavanja, ocjenjuje u skladu sa zahtjevima iz članka 6. stavka 1. točke (a) u vezi s člankom 7. OUZP‑a, koji se ne mogu zamijeniti pozivanjem na članak 6. stavak 1. točku (b) OUZP‑a?

2. Treba li članak 5. stavak 1. točku (c) OUZP‑a (smanjenje količine podataka) tumačiti na način da se svi osobni podaci kojima raspolaže platforma poput one o kojoj je riječ u glavnom postupku (osobito oni koji potječu od ispitanika ili treće osobe na platformi i izvan nje) mogu u svrhu ciljanog oglašavanja agregirati, analizirati i obrađivati bez ograničenja s obzirom na vrijeme ili vrstu podataka?

3. Treba li članak 9. stavak 1. OUZP‑a tumačiti na način da se primjenjuje na obradu podataka koja omogućuje ciljano filtriranje posebnih kategorija osobnih podataka, kao što su politička uvjerenja ili seksualna orijentacija (na primjer, radi oglašavanja), čak i ako voditelj obrade ne razlikuje te podatke?

4. Treba li članak 5. stavak 1. točku (b) u vezi s člankom 9. stavkom 2. točkom (e) OUZP‑a tumačiti na način da se izjavom o vlastitoj seksualnoj orijentaciji za potrebe okruglog stola dopušta obrada drugih podataka o seksualnoj orijentaciji radi agregiranja i analize podataka u svrhu personaliziranog oglašavanja?”

Postupak pred Sudom

35

Predsjednik Suda odlukom od 7. travnja 2022. prekinuo je postupak u ovom predmetu do donošenja odluke kojom se završava postupak u predmetu C‑252/21, Meta Platforms i dr.

36

Odlukom od 7. srpnja 2023. predsjednik Suda obavijestio je sud koji je uputio zahtjev u ovom predmetu o presudi od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže) (C‑252/21, EU:C:2023:537) te je od njega zatražio odgovor želi li, s obzirom na tu presudu, u cijelosti ili djelomično ostati pri svojem zahtjevu za prethodnu odluku i, u slučaju djelomičnog povlačenja tog zahtjeva, da obrazloži zadržavanja dijela zahtjeva.

37

Rješenjem od 19. srpnja 2023., koje je tajništvo Suda zaprimilo 9. kolovoza 2023., taj je sud povukao svoje prvo i treće prethodno pitanje ističući da navedena presuda odgovara na ta pitanja. Suprotno tomu, navedeni sud ostao je pri svojem drugom i četvrtom prethodnom pitanju, pri čemu je tvrdio da tom presudom nije u potpunosti odgovoreno na ta pitanja.

Drugo pitanje

38

Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 5. stavak 1. točku (c) OUZP‑a tumačiti na način da se načelu „smanjenja količine podataka”, predviđenom u toj odredbi, protivi to da se svi osobni podaci koje je voditelj obrade, kao što je to operator internetske platforme društvene mreže, pribavio od ispitanika ili trećih osoba te koji su prikupljeni kako na toj platformi tako i izvan nje agregiraju, analiziraju i obrađuju u svrhu ciljanog oglašavanja bez vremenskog ograničenja i bez razlikovanja s obzirom na prirodu tih podataka.

Dopuštenost

39

Tuženik iz glavnog postupka tvrdi da je to pitanje nedopušteno, s jedne strane, zato što sud koji je uputio zahtjev nije objasnio razloge zbog kojih bi odgovor na navedeno pitanje bio koristan za rješavanje spora u glavnom postupku i, s druge strane, zato što se taj sud temeljio na netočnoj činjeničnoj pretpostavci time što je pogrešno smatrao da se tuženik iz glavnog postupka u svrhu oglašavanja koristi svim osobnim podacima kojima raspolaže, bez vremenskog ograničenja i bez razlikovanja s obzirom na prirodu tih podataka.

40

Što se tiče, kao prvo, argumenta prema kojem sud koji je uputio zahtjev nije iznio razloge zbog kojih smatra da je odgovor na njegovo drugo pitanje koristan za rješavanje spora u glavnom postupku, valja naglasiti važnost toga da nacionalni sud navede točne razloge koji su ga naveli na to da se zapita o tumačenju prava Unije i da ocijeni nužnim uputiti prethodna pitanja Sudu (presude od 6. prosinca 2005., ABNA i dr., C‑453/03, C‑11/04, C‑12/04 i C‑194/04, EU:C:2005:741, t. 46. i od 29. veljače 2024., Staatssecretaris van Justitie en Veiligheid (Uzajamno povjerenje u slučaju transfera), C‑392/22, EU:C:2024:195, t. 85.). U ovom slučaju, međutim, iz razmatranja zahtjeva za prethodnu odluku proizlazi da sud koji je uputio zahtjev želi utvrditi poštuje li se, pod pretpostavkom da je obrada u svrhu oglašavanja o kojoj je riječ u glavnom postupku opravdana na temelju članka 6. stavka 1. prvog podstavka točke (b) OUZP‑a, kad je riječ o opsegu podataka koje je tuženik iz glavnog postupka tako obradio, načelo smanjenja količine podataka ili, suprotno tomu, tako opsežna obrada povređuje obveze koje voditelj obrade ima na temelju članka 5. OUZP‑a. Stoga iz zahtjeva za prethodnu odluku u dovoljnoj mjeri proizlaze razlozi zbog kojih je odgovor na to pitanje koristan za rješavanje spora u glavnom postupku.

41

Kao drugo, što se tiče argumenta prema kojem se sud koji je uputio zahtjev temeljio na netočnoj činjeničnoj pretpostavci, istina je da drugo prethodno pitanje počiva na pretpostavci prema kojoj, s jedne strane, kao što je to navedeno u točki 20. ove presude, premda M. Schrems nije društvu Meta Platforms Ireland dao privolu da obrađuje njegove osobne podatke koji se odnose na njegove aktivnosti izvan Facebooka, to je društvo ipak obradilo neke od tih podataka koje je dobilo od partnerskih trećih osoba, na temelju činjenice da je M. Schrems prihvatio opće uvjete korištenja društvene mreže, osobito zahvaljujući kolačićima i Facebookovim dodacima za društvene mreže koji su ugrađeni na internetske stranice tih trećih osoba, te, s druge strane, društvo Meta Platforms Ireland te osobne podatke obrađuje bez vremenskog ograničenja i bez razlikovanja s obzirom na prirodu navedenih podataka.

42

Međutim, valja podsjetiti na to da se, prema ustaljenoj sudskoj praksi, člankom 267. UFEU‑a uspostavlja postupak u kojem Sud izravno surađuje sa sudovima država članica. U okviru tog postupka, koji se temelji na jasnom razgraničenju funkcija nacionalnih sudova i Suda, ocjena činjenica predmeta u nadležnosti je nacionalnog suda, koji ima dužnost ocijeniti koliko je, uvažavajući posebnosti predmeta, prethodna odluka potrebna kako bi mogao donijeti svoju odluku te u kojoj su mjeri relevantna pitanja koja postavlja Sudu, dok je Sud jedini ovlašten očitovati se o tumačenju ili o valjanosti propisa Unije polazeći od činjenica koje mu predstavi nacionalni sud (presuda od 25. listopada 2017., Polbud – Wykonawstwo, C‑106/16, EU:C:2017:804, t. 27. i navedena sudska praksa).

43

Stoga valja odgovoriti na postavljena pitanja na osnovi te pretpostavke, čiju osnovanost treba provjeriti sud koji je uputio zahtjev.

44

Stoga je drugo prethodno pitanje dopušteno.

Meritum

45

Kao prvo, valja podsjetiti na to da je cilj OUZP‑a, kao što to proizlazi iz njegova članka 1. i uvodnih izjava 1. i 10., među ostalim, osiguranje visoke razine zaštite temeljnih prava i sloboda pojedinaca, osobito njihova prava na privatnost u vezi s obradom osobnih podataka, utvrđenog u članku 8. stavku 1. Povelje i članku 16. stavku 1. UFEU‑a (presuda od 7. ožujka 2024., IAB EuropeC‑604/22, EU:C:2024:214, t. 53. i navedena sudska praksa).

46

U tu svrhu, u poglavlju II. i III. te uredbe navode se, redom, načela kojima se uređuje obrada osobnih podataka kao i prava ispitanika koja se moraju poštovati prilikom svake obrade osobnih podataka. Konkretno, podložno odstupanjima predviđenima u članku 23. navedene uredbe, svaka obrada osobnih podataka mora, s jedne strane, biti u skladu s načelima koja se odnose na obradu takvih podataka navedenima u članku 5. te uredbe i ispunjavati uvjete zakonitosti navedene u njezinu članku 6. te, s druge strane, poštovati prava ispitanika iz članaka 12. do 22. OUZP‑a (presuda od 11. srpnja 2024., Meta Platforms Ireland (Predstavnička tužba), C‑757/22, EU:C:2024:598, t. 49. i navedena sudska praksa).

47

Kao što je to Sud već pojasnio, načela koja se odnose na obradu osobnih podataka, navedena u članku 5. OUZP‑a, primjenjuju se kumulativno (presuda od 20. listopada 2022., Digi, C‑77/21, EU:C:2022:805, t. 47.).

48

U tom pogledu valja istaknuti da se, na temelju članka 5. stavka 1. točke (a) OUZP‑a, osobni podaci moraju obrađivati zakonito, pošteno i transparentno s obzirom na ispitanika te da se, u skladu s točkom (b) tog članka 5. stavka 1., ti podaci moraju prikupljati u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama.

49

Usto, člankom 5. stavkom 1. točkom (c) te uredbe, koji se odnosi na načelo „smanjenja količine podataka”, predviđa se da osobni podaci moraju biti „primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju” (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 109. i navedena sudska praksa).

50

To je načelo, kao što je to Sud već utvrdio, izraz načela proporcionalnosti (vidjeti u tom smislu presude od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 98. i navedenu sudsku praksu te od 30. siječnja 2024., Direktor na Glavna direkcija Nacionalna policija pri MVR – Sofija, C‑118/22, EU:C:2024:97, t. 41.).

51

U skladu s načelom pouzdanosti, utvrđenim u članku 5. stavku 2. OUZP‑a, voditelj obrade mora moći dokazati da se osobni podaci prikupljaju i obrađuju u skladu s načelima utvrđenima u stavku 1. tog članka (vidjeti u tom smislu presudu od 20. listopada 2022., Digi, C‑77/21, EU:C:2022:805, t. 24.). Usto, u skladu s člankom 13. stavkom 1. točkom (c) te uredbe, ako su osobni podaci prikupljeni od ispitanika, zadaća je voditelja obrade da ispitanika informira o svrhama obrade radi kojih se upotrebljavaju ti podaci kao i pravnoj osnovi za tu obradu (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 95.).

52

Kao drugo, što se tiče vremenskog ograničenja obrade osobnih podataka poput one o kojoj je riječ u glavnom postupku, valja podsjetiti na to da je Sud već presudio da je, uzimajući u obzir načelo smanjenja količine podataka, voditelj obrade dužan, s obzirom na cilj predviđene obrade, ograničiti razdoblje prikupljanja predmetnih osobnih podataka na ono što je krajnje nužno (presuda od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe), C‑175/20, EU:C:2022:124, t. 79.).

53

Naime, što se dulje podaci pohranjuju, to su teže posljedice za interese i privatnost ispitanika i viši su zahtjevi u pogledu zakonitosti pohrane navedenih podataka (vidjeti u tom smislu presudu od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 95.).

54

Osim toga, valja istaknuti da, u skladu s člankom 5. stavkom 1. točkom (e) OUZP‑a, osobni podaci moraju biti pohranjeni u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju.

55

Stoga iz teksta tog članka nedvosmisleno proizlazi da načelo „ograničenja pohrane”, na koje se on odnosi, zahtijeva da voditelj obrade može dokazati, u skladu s načelom pouzdanosti navedenim u točki 51. ove presude, da se osobni podaci pohranjuju samo onoliko dugo koliko je potrebno u svrhe radi kojih su osobni podaci prikupljeni ili zbog kojih je provedena daljnja obrada (vidjeti u tom smislu presudu od 20. listopada 2022., Digi, C‑77/21, EU:C:2022:805, t. 53.).

56

Iz toga proizlazi, kao što je to Sud već presudio, da čak i u početku zakonita obrada podataka može s vremenom postati protivna odredbama OUZP‑a ako ti podaci više nisu nužni s obzirom na svrhe zbog kojih su prikupljeni ili dalje obrađeni te da se navedeni podaci moraju izbrisati kad se te svrhe ostvare (vidjeti u tom smislu presudu od 20. listopada 2022., Digi, C‑77/21, EU:C:2022:805, t. 54. i navedenu sudsku praksu).

57

U tim okolnostima, kao što je to u biti istaknuo nezavisni odvjetnik u točki 22. svojeg mišljenja, na nacionalnom je sudu da ocijeni, uzimajući u obzir sve relevantne elemente i primjenjujući načelo proporcionalnosti, navedeno u članku 5. stavku 1. točki (c) OUZP‑a, je li razdoblje u kojem voditelj obrade pohranjuje osobne podatke razumno opravdano s obzirom na cilj omogućavanja širenja personaliziranih oglasa.

58

U svakom slučaju, pohranu osobnih podataka korisnikâ platforme društvene mreže u svrhu ciljanog oglašavanja na neograničeno razdoblje treba smatrati neproporcionalnim zadiranjem u prava koja su tim korisnicima zajamčena OUZP‑om.

59

Kao treće, kad je riječ o okolnosti da se osobni podaci o kojima je riječ u glavnom postupku prikupljaju, agregiraju, analiziraju i obrađuju u svrhu ciljanog oglašavanja bez razlikovanja s obzirom na prirodu tih podataka, valja podsjetiti na to da je Sud već presudio da, s obzirom na načelo smanjenja količine podataka, predviđeno člankom 5. stavkom 1. točkom (c) OUZP‑a, voditelj obrade ne može općenito i bez razlikovanja pristupiti prikupljanju osobnih podataka te se mora suzdržati od prikupljanja podataka koji nisu strogo nužni s obzirom na svrhe obrade (presuda od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe), C‑175/20, EU:C:2022:124, t. 74.).

60

Također valja istaknuti da se člankom 25. stavkom 2. te uredbe od voditelja obrade zahtijeva da provede odgovarajuće mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. U skladu s tom odredbom, taj se zahtjev, među ostalim, primjenjuje na količinu prikupljenih osobnih podataka i opseg njihove obrade kao i na razdoblje njihove pohrane.

61

U ovom slučaju iz odluke kojom se upućuje prethodno pitanje proizlazi da Meta Platforms Ireland prikuplja osobne podatke korisnika Facebooka, među kojima je i M. Schrems, o aktivnostima tih korisnika kako na toj društvenoj mreži tako i izvan nje, među kojima su osobito podaci koji se odnose na posjećivanje internetske platforme kao i trećih internetskih stranica i aplikacija, te također prati ponašanje korisnika prilikom pregledavanja tih stranica s pomoću dodataka za društvene mreže i piksela umetnutih na internetske stranice o kojima je riječ.

62

Međutim, kao što je to Sud već presudio, takva obrada osobito je opsežna, s obzirom na to da se odnosi na potencijalno neograničene podatke i da ima značajan učinak na korisnika jer Meta Platforms Ireland nadzire veliku većinu odnosno gotovo sve njegove aktivnosti na internetu, što u njemu može pobuditi osjećaj neprekidnog nadzora njegova privatnog života (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 118.).

63

U tim okolnostima, obradu podataka o kojoj je riječ u glavnom postupku obilježava ozbiljno zadiranje u temeljna prava ispitanikâ – osobito njihova prava na poštovanje privatnog života i na zaštitu osobnih podataka, zajamčena člancima 7. i 8. Povelje Europske unije o temeljnim pravima – koje se, pod uvjetom da to provjeri sud koji je uputio zahtjev, ne čini razumno opravdanim s obzirom na cilj omogućavanja širenja ciljanih oglasa.

64

U svakom slučaju, neselektivna uporaba svih osobnih podataka koje posjeduje platforma društvene mreže u svrhu oglašavanja, neovisno o razini osjetljivosti tih podataka, nije proporcionalno zadiranje u prava koja su OUZP‑om zajamčena korisnicima te platforme.

65

Uzimajući u obzir prethodna razmatranja, na drugo pitanje valja odgovoriti tako da članak 5. stavak 1. točku (c) OUZP‑a treba tumačiti na način da se načelu „smanjenja količine podataka”, predviđenom u toj odredbi, protivi to da se svi osobni podaci koje je voditelj obrade, kao što je to operator internetske platforme društvene mreže, pribavio od ispitanika ili trećih osoba te koji su prikupljeni kako na toj platformi tako i izvan nje agregiraju, analiziraju i obrađuju u svrhu ciljanog oglašavanja bez vremenskog ograničenja i bez razlikovanja s obzirom na prirodu tih podataka.

Četvrto pitanje

66

Tim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 9. stavak 2. točku (e) OUZP‑a tumačiti na način da okolnost da se osoba tijekom okruglog stola otvorenog za javnost izjasnila o svojoj seksualnoj orijentaciji ovlašćuje operatora internetske platforme društvene mreže da obrađuje druge podatke o seksualnoj orijentaciji te osobe, koje je pribavio, ovisno o slučaju, izvan te platforme od partnerskih aplikacija i internetskih stranica trećih osoba, radi njihova agregiranja i analize, kako bi toj osobi ponudio personalizirano oglašavanje.

67

Konkretnije, sud koji je uputio zahtjev želi utvrditi je li M. Schrems izjavom koju je dao na okruglom stolu izgubio pravo na zaštitu dodijeljenu člankom 9. stavkom 1. OUZP‑a te je li stoga Facebook imao pravo obrađivati druge podatke koji se odnose na njegovu seksualnu orijentaciju.

68

Uvodno valja istaknuti da se okrugli stol koji spominje sud koji je uputio zahtjev, u okviru kojeg je M. Schrems dao izjavu o svojoj seksualnoj orijentaciji, održao 12. veljače 2019. i da je, kao što to proizlazi iz odluke kojom se upućuje prethodno pitanje, na taj dan društvo Meta Platforms Ireland već obrađivalo osobne podatke o seksualnoj orijentaciji M. Schremsa, tako da je ta izjava uslijedila nakon početka takve obrade podataka.

69

Iz toga slijedi da četvrto pitanje koje je postavio sud koji je uputio zahtjev treba shvatiti na način da se odnosi samo na moguće obrade podataka o seksualnoj orijentaciji M. Schremsa koje je društvo Meta Platforms Ireland provelo nakon 12. veljače 2019. Međutim, na sudu koji je uputio zahtjev je da provjeri jesu li takve obrade stvarno provedene nakon tog datuma, u skladu sa sudskom praksom navedenom u točki 42. ove presude.

70

Kako bi se odgovorilo na to pitanje, kao prvo treba podsjetiti na to da se uvodnom izjavom 51. OUZP‑a određuje da osobni podaci koji su po svojoj naravi posebno osjetljive prirode u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do značajnih rizika za temeljna prava i slobode. U toj je uvodnoj izjavi pojašnjeno da se takvi osobni podaci ne bi smjeli obrađivati osim ako je obrada dopuštena u posebnim slučajevima predviđenima navedenom uredbom.

71

U tom kontekstu, članak 9. stavak 1. OUZP‑a uspostavlja načelo zabrane obrade u njemu navedenih posebnih kategorija osobnih podataka. Riječ je, osobito, o podacima koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska uvjerenja ili o podacima koji se odnose na zdravlje, spolni život ili seksualnu orijentaciju pojedinca.

72

Radi primjene članka 9. stavka 1. OUZP‑a, kada operator internetske društvene mreže obrađuje osobne podatke, potrebno je provjeriti mogu li ti podaci otkriti informacije obuhvaćene jednom od kategorija koje su sadržane u toj odredbi, bilo da se te informacije odnose na korisnika te mreže ili na drugu fizičku osobu. Ako mogu, onda je takva obrada osobnih podataka zabranjena, ne dovodeći u pitanje odstupanja predviđena člankom 9. stavkom 2. OUZP‑a.

73

Kao što je to Sud već presudio, ta načelna zabrana predviđena člankom 9. stavkom 1. OUZP‑a ne ovisi o tome je li informacija prikupljena obradom o kojoj je riječ točna ili nije i djeluje li voditelj obrade s ciljem prikupljanja informacija obuhvaćenih jednom od posebnih kategorija predviđenih tom odredbom. Naime, uzimajući u obzir značajne opasnosti za temeljne slobode i prava ispitanikâ, koje nastaju svakom obradom osobnih podataka koji su obuhvaćeni kategorijama navedenima u članku 9. stavku 1. OUZP‑a, njegov je cilj zabraniti takve obrade, neovisno o cilju koji se njima nastoji postići (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 69. i 70.).

74

Ipak, iako taj članak 9. stavak 1. u načelu zabranjuje obradu podataka koji se odnose, među ostalim, na seksualnu orijentaciju, u stavku 2. točkama (a) do (j) navedenog članka predviđa se deset odstupanja koja su međusobno neovisna i koja se stoga moraju samostalno ocijeniti. Iz toga slijedi da činjenica da nisu ispunjeni uvjeti za primjenu jednog od odstupanja predviđenih u tom stavku 2. ne može biti prepreka tomu da se voditelj obrade pozove na drugo odstupanje navedeno u toj odredbi (presuda od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 47.).

75

Kad je riječ, konkretno, o odstupanju predviđenom člankom 9. stavkom 2. točkom (e) OUZP‑a, valja podsjetiti na to da se na temelju te odredbe načelna zabrana bilo kakve obrade posebnih kategorija osobnih podataka, uspostavljena tim člankom 9. stavkom 1., ne primjenjuje u slučaju u kojem se obrada odnosi na osobne podatke za koje je „očito da ih je objavio ispitanik”.

76

S obzirom na to da se njime predviđa iznimka od načela zabrane obrade posebnih kategorija osobnih podataka, članak 9. stavak 2. točku (e) OUZP‑a treba tumačiti usko (vidjeti u tom smislu presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 76. i navedenu sudsku praksu).

77

Iz toga slijedi da, za potrebe primjene iznimke iz članka 9. stavka 2. točke (e) OUZP‑a, valja provjeriti je li ispitanik namjeravao izričito i jasnom potvrdnom radnjom široj javnosti učiniti dostupnima osobne podatke o kojima je riječ (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 77.).

78

U ovom slučaju iz odluke kojom se upućuje prethodno pitanje proizlazi da je okrugli stol koji je bio organiziran u Beču 12. veljače 2019. i u okviru kojeg je M. Schrems dao izjavu o svojoj seksualnoj orijentaciji bio dostupan javnosti, koja je mogla dobiti ulaznicu kako bi mu prisustvovala u granicama raspoloživih mjesta, te da se taj okrugli stol prenosio na internetu. Usto, njegova je snimka zatim objavljena u obliku podcasta i na Komisijinu kanalu na YouTubeu.

79

U tim okolnostima, pod uvjetom da to provjeri nacionalni sud, ne može se isključiti da je ta izjava, iako je dio šireg govora i dana samo u svrhu kritiziranja obrade osobnih podataka koju provodi Facebook, akt kojim je zainteresirana osoba, uz potpuno poznavanje činjenica, očito objavila svoju seksualnu orijentaciju u smislu članka 9. stavka 2. točke (e) OUZP‑a.

80

Kao drugo, iako okolnost da je ispitanik očito objavio podatak o svojoj seksualnoj orijentaciji ima za posljedicu to da se taj podatak može obrađivati, odstupanjem od zabrane predviđene u članku 9. stavku 1. OUZP‑a i u skladu sa zahtjevima koji proizlaze iz drugih odredbi te uredbe (vidjeti u tom smislu presudu od 24. rujna 2019., GC i dr. (Uklanjanje poveznica na osjetljive podatke), C‑136/17, EU:C:2019:773, t. 64.), ta okolnost sama po sebi, suprotno onomu što tvrdi Meta Platforms Ireland, ne dopušta obradu drugih osobnih podataka koji se odnose na seksualnu orijentaciju te osobe.

81

Stoga bi, s jedne strane, bilo protivno uskom tumačenju članka 9. stavka 2. točke (e) OUZP‑a smatrati da svi podaci o seksualnoj orijentaciji osobe gube zaštitu koja proizlazi iz stavka 1. tog članka samo zbog toga što je ispitanik očito objavio jedan osobni podatak koji se odnosi na njegovu seksualnu orijentaciju.

82

S druge strane, na temelju činjenice da je osoba očito objavila podatak o svojoj seksualnoj orijentaciji ne može se smatrati da je ta osoba dala privolu, u smislu članka 9. stavka 2. točke (a) OUZP‑a, za obradu drugih podataka koji se odnose na njezinu seksualnu orijentaciju koju provodi operator internetske platforme društvene mreže.

83

S obzirom na prethodna razmatranja, na četvrto pitanje valja odgovoriti tako da članak 9. stavak 2. točku (e) OUZP‑a treba tumačiti na način da okolnost da se osoba tijekom okruglog stola otvorenog za javnost izjasnila o svojoj seksualnoj orijentaciji ne ovlašćuje operatora internetske platforme društvene mreže da obrađuje druge podatke o seksualnoj orijentaciji te osobe, koje je pribavio, ovisno o slučaju, izvan te platforme od partnerskih aplikacija i internetskih stranica trećih osoba, radi njihova agregiranja i analize, kako bi toj osobi ponudio personalizirano oglašavanje.

Troškovi

84

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

 

Slijedom navedenog, Sud (četvrto vijeće) odlučuje:

 

1.

Članak 5. stavak 1. točku (c) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

treba tumačiti na način da se:

načelu „smanjenja količine podataka”, predviđenom u toj odredbi, protivi to da se svi osobni podaci koje je voditelj obrade, kao što je to operator internetske platforme društvene mreže, pribavio od ispitanika ili trećih osoba te koji su prikupljeni kako na toj platformi tako i izvan nje agregiraju, analiziraju i obrađuju u svrhu ciljanog oglašavanja bez vremenskog ograničenja i bez razlikovanja s obzirom na prirodu tih podataka.

2.

Članak 9. stavak 2. točku (e) Uredbe 2016/679

treba tumačiti na način da:

okolnost da se osoba tijekom okruglog stola otvorenog za javnost izjasnila o svojoj seksualnoj orijentaciji ne ovlašćuje operatora internetske platforme društvene mreže da obrađuje druge podatke o seksualnoj orijentaciji te osobe, koje je pribavio, ovisno o slučaju, izvan te platforme od partnerskih aplikacija i internetskih stranica trećih osoba, radi njihova agregiranja i analize, kako bi toj osobi ponudio personalizirano oglašavanje.

 

Potpisi


( *1 ) Jezik postupka: njemački