–

za Maximiliana Schremse: K. Raabe-Stuppnig, Rechtsanwältin,

–

za Meta Platforms Ireland Ltd: K. Hanschitz, H.-G. Kamann, S. Khalil, B. Knötzl a A. Natterer, Rechtsanwälte,

–

za rakouskou vládu: A. Posch, J. Schmoll, C. Gabauer, G. Kunnert a E. Riedl, jako zmocněnci,

–

za francouzskou vládu: R. Bénard a A.-L. Desjonquères, jako zmocněnci,

–

za italskou vládu: G. Palmieri, jako zmocněnkyní, ve spolupráci s E. De Bonis, avvocato dello stato,

–

za portugalskou vládu: P. Barros da Costa, A. Pimenta, J. Ramos a C. Vieira Guerra, jako zmocněnci,

–

za Evropskou komisi: A. Bouchagiar, F. Erlbacher, M. Heller a H. Kranenborg, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 5 odst. 1 písm. b) a c), čl. 6 odst. 1 písm. a) a b) a čl. 9 odst. 1 a odst. 2 písm. e) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1) (dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi Maximilianem Schremsem ( 1 ), uživatelem sociální sítě Facebook, a společností Meta Platforms Ireland Ltd, dříve Facebook Ireland Ltd, jejíž sídlo se nachází v Irsku, ve věci údajně protiprávního zpracování osobních údajů tohoto uživatele touto společností.

3

V bodech 1, 4, 39, 42, 43, 50 a 51 odůvodnění GDPR je uvedeno:

[…]

[…]

[…]

[…]

4

Článek 4 tohoto nařízení stanoví:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]

[…]“

5

Článek 5 uvedeného nařízení, nadepsaný „Zásady zpracování osobních údajů“, v odstavcích 1 a 2 stanoví:

„1.   Osobní údaje musí být:

[…]

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

6

Článek 6 téhož nařízení, nadepsaný „Zákonnost zpracování“, zní takto:

„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

[…]

4.   Pokud zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1, zohlední správce v zájmu zjištění toho, zda je zpracování pro jiný účel slučitelné s účely, pro něž byly osobní údaje původně shromážděny, mimo jiné:

7

Článek 7 GDPR, nadepsaný „Podmínky vyjádření souhlasu“, stanoví:

„1.   Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.

[…]

3.   Subjekt údajů má právo svůj souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním. Před udělením souhlasu o tom bude subjekt údajů informován. Odvolat souhlas musí být stejně snadné jako jej poskytnout.

4.   Při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.“

8

Článek 9 tohoto nařízení, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví:

„1.   Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

2.   Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:

[…]

[…]“

9

Článek 13 uvedeného nařízení, který se týká „informací poskytovaných v případě, že osobní údaje jsou získány od subjektu údajů“, stanoví:

„1.   Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

[…]

[…]

3.   Pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

[…]“

10

Článek 25 odst. 2 téhož nařízení stanoví:

„Správce zavede vhodná technická a organizační opatření k zajištění toho, aby se standardně zpracovávaly pouze osobní údaje, jež jsou pro každý konkrétní účel daného zpracování nezbytné. Tato povinnost se týká množství shromážděných osobních údajů, rozsahu jejich zpracování, doby jejich uložení a jejich dostupnosti. Tato opatření zejména zajistí, aby osobní údaje nebyly standardně bez zásahu člověka zpřístupněny neomezenému počtu fyzických osob.“

11

Společnost Meta Platforms Ireland, která spravuje nabídku služeb on-line sociální sítě Facebook v Unii, je správcem osobních údajů uživatelů této sociální sítě v Unii. V Rakousku nemá pobočku. Společnost Meta Platforms Ireland propaguje zejména na adrese www.facebook.com služby, které byly až do 5. listopadu 2023 poskytovány soukromým uživatelům bezplatně. Od 6. listopadu 2023 byly tyto služby i nadále bezplatné pouze pro ty uživatele, kteří souhlasili s tím, že jejich osobní údaje budou shromažďovány a využívány k tomu, aby jim byla zasílána personalizovaná reklama, přičemž uživatelé měli možnost sjednat placené předplatné pro přístup k verzi uvedených služeb, aniž by dostávali cílenou reklamu.

12

Obchodní model on-line sociální sítě Facebook je založen na financování prostřednictvím on-line reklamy, která je zacílena na jednotlivé uživatele této sociální sítě zejména v závislosti na jejich spotřebitelských návycích, jejich zájmech a jejich osobní situaci. Technicky je tato reklama umožněna automatizovaným sestavováním detailních profilů uživatelů sítě a on-line služeb nabízených na úrovni skupiny Meta.

13

Společnost Meta Platforms Ireland se při zpracování osobních údajů uživatelů sociální sítě Facebook opírá o smlouvu o užívání, k níž tito uživatelé přistoupili kliknutím na tlačítko „zaregistrovat se“ a kterou souhlasili s všeobecnými podmínkami stanovenými touto společností. V době rozhodné z hlediska skutečností v původním řízení byl souhlas s těmito podmínkami nezbytný pro používání sociální sítě Facebook. Pokud jde o zpracování osobních údajů uživatelů, všeobecné podmínky odkazují na zásady ochrany osobních údajů a zásady používání souborů cookies stanovené uvedenou společností. Podle těchto zásad shromažďuje společnost Meta Platforms Ireland údaje o uživatelích a jejich zařízeních, o aktivitách uživatelů na sociální síti i mimo ni a přiřazuje je k účtům dotyčných uživatelů na Facebooku. Údaje týkající se aktivit mimo sociální síť (dále jen rovněž „údaje off Facebook“) pocházejí jednak ze zobrazených internetových stránek a aplikací třetích stran, které jsou propojeny s Facebookem prostřednictvím programovacích rozhraní, a jednak z využívání jiných on-line služeb patřících do skupiny Meta, mezi něž patří zejména Instagram a WhatsApp.

14

Před vstupem GDPR v platnost dali uživatelé Facebooku svůj výslovný souhlas se zpracováním svých údajů na základě podmínek používání žalované, které tehdy platily. Vzhledem k tomu, že GDPR vstoupilo v platnost dne 25. května 2018, společnost Meta Platforms Ireland vydala dne 19. dubna 2018 nové podmínky používání a předložila je svým uživatelům ke schválení. Maximilian Schrems po zablokování svého účtu souhlasil s novými podmínkami užívání, aby mohl i nadále používat Facebook. Tento souhlas byl nezbytný pro zachování přístupu k jeho účtu a pro využívání příslušných služeb.

15

Společnost Meta Platforms Ireland zavedla několik „nástrojů“ (tools), které uživatelům umožňují získat přehled o svých uložených údajích a kontrolu nad nimi. V těchto nástrojích nejsou viditelné všechny zpracovávané údaje, nýbrž pouze ty, které jsou podle této společnosti pro uživatele důležité a relevantní. Uživatel, který o to požádá, tedy může například vidět, že prostřednictvím svého profilu Facebook otevřel určitou aplikaci, navštívil určitou internetovou stránku, provedl určité vyhledávání nebo nákup nebo klikl na určitou reklamu.

16

Společnost Meta Platforms Ireland používá „cookies“, „social plugins“ a pixely, jak uvádějí její podmínky používání a její zásady. Prostřednictvím „cookies“ od sebe může rozlišit jednotlivé uživatele. Bez aktivace „cookies“ není možné mnoho služeb poskytovaných společností Meta Platforms Ireland používat. Třetí provozovatelé internetových stránek „vkládají“ do vlastních stránek „social plugins“ Facebooku. Nejrozšířenějším tlačítkem Facebooku je tlačítko „To se mi líbí“. Při každé návštěvě internetových stránek obsahujících toto tlačítko jsou „cookies“ instalované na použitém přístroji, URL navštívené stránky a další údaje, jako je IP adresa nebo čas, předány společnosti Meta Platforms Ireland. Za tímto účelem není nezbytné, aby uživatel klikl na tlačítko „To se mi líbí“, protože pouhá skutečnost zobrazení internetové stránky obsahující takovýto „plugin“ postačuje k tomu, aby tyto údaje byly následně předány této společnosti.

17

Z předkládacího rozhodnutí vyplývá, že „plugins“ se nacházejí rovněž na internetových stránkách politických stran a na stránkách určených pro homosexuální veřejnost, které M. Schrems navštívil. Na základě těchto „plugins“ mohla společnost Meta Platforms Ireland sledovat chování M. Schremse na internetu, což vedlo ke shromažďování některých citlivých osobních údajů.

18

Pixely mohou být, stejně jako „social plugins“, integrovány do internetových stránek a umožňují shromažďovat informace o uživatelích, kteří tyto stránky navštívili, zejména za účelem měření a optimalizace reklamy na těchto stránkách. Například pomocí integrace pixelu Facebooku do vlastních internetových stránek mohou provozovatelé těchto stránek získat od společnosti Meta Platforms Ireland zprávy o počtu osob, které viděly jejich reklamu na Facebooku a poté se připojili na jejich vlastní internetové stránky, aby si je prohlédli nebo aby nakoupili.

19

„Social plugins“ a pixely ve spojení s „cookies“ tak představují základní prvek reklamy na internetu, protože převážná většina obsahu dostupného na internetu je financována reklamou. „Plugins“ zejména umožňují prezentovat uživatelům relevantní reklamy a pixely slouží inzerentům k měření účinnosti reklamních kampaní a k získávání informací o cílových skupinách uživatelů.

20

V projednávané věci z předkládacího rozhodnutí vyplývá, že M. Schrems nepovolil společnosti Meta Platforms Ireland zpracovávat jeho osobní údaje, které získá od inzerentů a dalších partnerů o činnostech M. Schremse mimo Facebook, pro účely personalizované reklamy. Některé údaje týkající se M. Schremse však společnost Meta Platforms Ireland získala prostřednictvím „cookies“, „social plugins“ a obdobných technologií integrovaných do internetových stránek třetích osob a tyto údaje byly touto společností použity ke zlepšení produktů Facebooku a k zasílání personalizované reklamy M. Schremsovi.

21

Z tohoto rozhodnutí rovněž vyplývá, že M. Schrems na svém facebookovém profilu neuvedl žádné citlivé údaje, že jeho aktivity nebo informace uvedené na jeho „Timeline“ [deníku] si mohou prohlížet pouze jeho „přátelé“, a že jeho „seznam přátel“ není veřejný. M. Schrems se rovněž rozhodl nepovolit společnosti Meta Platforms Ireland používat pro účely cílené reklamy kolonky jeho profilu týkající se jeho osobních vztahů, zaměstnavatele, zaměstnání a vzdělání.

22

Nicméně vzhledem k údajům, které má společnost Meta Platforms Ireland k dispozici, může identifikovat i zájem, který má M. Schrems, pokud jde o citlivá témata, jako je zdraví, sexuální orientace, etnické skupiny a politické strany, což jí umožňuje zasílat mu cílenou reklamu zaměřenou například na takovouto sexuální orientaci nebo takovéto politické přesvědčení.

23

M. Schrems obdržel reklamu týkající se jedné rakouské političky, která vycházela z analýzy provedené společností Meta Platforms Ireland, podle níž má společné body s dalšími uživateli, kteří této političce dali hodnocení „To se mi líbí“. M. Schrems dále pravidelně dostával rovněž reklamy zacílené na homosexuální veřejnost a pozvánky na odpovídající události, i když se nikdy předtím o tyto události nezajímal a neznal místo, kde se tyto události konaly. Tyto reklamy a pozvánky nebyly založeny přímo na sexuální orientaci M. Schremse a jeho „přátel“, ale na analýze jejich zájmů, v projednávaném případě na skutečnosti, že jeden z přátel M. Schremse ohodnotil určitý výrobek tlačítkem „To se mi líbí“.

24

M. Schrems si nechal vypracovat analýzu týkající se toho, co je možné vyvodit z jeho seznamu přátel, ze které vyplynulo, že vykonával civilní službu u Červeného kříže v Salcburku a je homosexuální. Kromě toho jsou na seznamu jeho činností mimo Facebook, který vedla společnost Meta Platforms Ireland, uvedeny mimo jiné aplikace a internetové stránky nabízející seznámení pro homosexuály, jakož i internetové stránky jedné rakouské politické strany. Mezi uloženými údaji žalobce v původním řízení je rovněž jedna e-mailová adresa, která nebyla uvedena na jeho profilu na Facebooku, ale kterou použil pro zasílání žádostí společnosti Meta Platforms Ireland.

25

Z předkládacího rozhodnutí dále vyplývá, že M. Schrems veřejně sděluje skutečnost, že je homosexuál. Na svém profilu na Facebooku však nikdy svou sexuální orientaci nezmínil.

26

M. Schrems před Landesgericht für Zivilrechtssachen Wien (Zemský soud pro občanskoprávní věci ve Vídni, Rakousko) tvrdil, že zpracování jeho osobních údajů společností Meta Platforms Ireland porušuje několik ustanovení GDPR. V této souvislosti měl za to, že jeho souhlas s podmínkami používání digitální platformy žalované v původním řízení nesplňuje požadavky čl. 6 odst. 1 a článku 7 tohoto nařízení. Kromě toho společnost Meta Platforms Ireland zpracovává citlivé údaje žalobce v původním řízení ve smyslu článku 9 uvedeného nařízení, aniž je k tomu dán souhlas nezbytný podle článku 7 téhož nařízení. Neexistuje ani žádný platný souhlas se zpracováním osobních údajů M. Schremse, které společnost Meta Platforms Ireland obdržela od třetích osob. V této souvislosti M. Schrems mimo jiné navrhl, aby byla žalované uložena povinnost přestat zpracovávat jeho osobní údaje pro účely personalizované reklamy a přestat používat tyto údaje vyplývající z otevření internetových stránek třetích osob a získané od třetích osob.

27

Společnost Meta Platforms Ireland měla naproti tomu za to, že zpracování údajů M. Schremse bylo prováděno v souladu s podmínkami používání on-line sociální sítě, které jsou v souladu s požadavky vyplývajícími z GDPR. Toto zpracování údajů je zákonné a není založeno na souhlasu žalobce v původním řízení, který vyžaduje čl. 6 odst. 1 písm. a) tohoto nařízení, ale na jiných důvodech, mezi které patří zejména nezbytnost tohoto zpracování pro účely plnění smlouvy uzavřené mezi posledně uvedeným a žalovanou v původním řízení ve smyslu čl. 6 odst. 1 písm. b) uvedeného nařízení.

28

Ve věci v původním řízení již byla Soudnímu dvoru zaslána žádost o rozhodnutí o předběžné otázce, na jejímž základě byl vydán rozsudek ze dne 25. ledna 2018, Schrems (C‑498/16, EU:C:2018:37). V návaznosti na tento rozsudek Landesgericht für Zivilrechtssachen Wien (Zemský soud pro občanskoprávní věci ve Vídni, Rakousko) rozsudkem ze dne 30. června 2020 návrhy M. Schremse zamítl. Oberlandesgericht Wien (Vrchní zemský soud ve Vídni, Rakousko), k němuž bylo podáno odvolání, odvolání M. Schremse podané proti tomuto rozsudku rovněž zamítl, a to zejména s odůvodněním, že zpracování osobních údajů M. Schremse jakožto uživatele on-line platformy, včetně personalizované reklamy, je nedílnou součástí smlouvy o užívání této platformy uzavřené mezi stranami. Zpracování těchto údajů je tedy nezbytné pro plnění této smlouvy ve smyslu čl. 6 odst. 1 písm. b) GDPR.

29

Oberster Gerichtshof (Nejvyšší soud, Rakousko), ke kterému M. Schrems podal opravný prostředek Revision, uvádí, že hospodářský model společnosti Meta Platforms Ireland spočívá v generování příjmů prostřednictvím cílené reklamy a komerčního obsahu vytvářené na základě preferencí a zájmů uživatelů Facebooku pomocí zpracování osobních údajů těchto uživatelů. Vzhledem k tomu, že toto zpracování Facebooku umožňuje poskytovat služby uživatelům bezplatně, lze toto zpracování považovat za nezbytné pro plnění smlouvy uzavřené s uvedenými uživateli ve smyslu čl. 6 odst. 1 písm. b) GDPR.

30

Podle tohoto soudu by však toto ustanovení, které musí být vykládáno restriktivně, nemělo umožňovat takovéto zpracování údajů bez souhlasu subjektu údajů.

31

Uvedený soud kromě toho podotýká, že společnost Meta Platforms Ireland zpracovává osobní údaje, které mohou být podle čl. 9 odst. 1 GDPR klasifikovány jako „citlivé“.

32

V projednávané věci společnost Meta Plaforms Ireland zpracovává údaje týkající se politického přesvědčení a sexuální orientace M. Schremse. Podle zjištění Oberster Gerichtshof (Rakousko) M. Schrems veřejně mluví o své sexuální orientaci. Konkrétně v rámci diskuse u kulatého stolu, které se ve Vídni dne 12. února 2019 zúčastnil na pozvání zastoupení Evropské komise v Rakousku, poukázal M. Schrems na svou sexuální orientaci, když kritizoval zpracování osobních údajů prováděné Facebookem, včetně zpracování vlastních osobních údajů. Jak však rovněž uvedl při této příležitosti, M. Schrems nikdy nezmínil tento aspekt svého soukromého života na profilu na Facebooku.

33

Podle tohoto soudu tedy vyvstává otázka, zda dotyčný uživatel citlivé osobní údaje, které se ho týkají, zjevně zveřejnil, a zda tak povolil jejich zpracování podle čl. 9 odst. 2 písm. e) GDPR.

34

Za těchto okolností se Oberster Gerichtshof (Nejvyšší soud, Rakousko) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

35

Rozhodnutím ze dne 7. dubna 2022 přerušil předseda Soudního dvora řízení v projednávané věci až do vydání konečného rozhodnutí ve věci C‑252/21, Meta Platforms a další.

36

Rozhodnutím ze dne 7. července 2023 oznámil předseda Soudního dvora předkládajícímu soudu rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě) (C‑252/21, EU:C:2023:537), přičemž se dotázal, zda s ohledem na tento rozsudek předkládající soud trvá na své žádosti o rozhodnutí o předběžné otázce, a to zcela nebo zčásti, a vyzval jej, aby v případě částečného zpětvzetí této žádosti uvedl důvody pro zachování její určité části.

37

Usnesením ze dne 19. července 2023, došlým kanceláři Soudního dvora dne 9. srpna 2023, vzal tento soud zpět první a třetí předběžnou otázku, uvedl přitom, že uvedený rozsudek na tyto otázky odpovídá. Uvedený soud naproti tomu setrval na své druhé a čtvrté předběžné otázce a uvedl, že tentýž rozsudek na ně plně neodpověděl.

38

Podstatou druhé otázky předkládajícího soudu je, zda čl. 5 odst. 1 písm. c) GDPR musí být vykládán v tom smyslu, že zásada „minimalizace údajů“ zakotvená v tomto ustanovení brání tomu, aby veškeré osobní údaje, které takový správce, jako je provozovatel on-line platformy pro sociální síť, získal od subjektu údajů nebo třetích osob, a které byly shromážděny jak na této platformě, tak mimo ni, byly agregovány, analyzovány a zpracovávány pro účely cílené reklamy a to bez časového omezení a bez rozlišování podle povahy těchto údajů.

39

Žalovaná v původním řízení tvrdí, že tato otázka je nepřípustná jednak proto, že předkládající soud nevysvětlil důvody, proč by odpověď na uvedenou otázku byla užitečná pro řešení sporu v původním řízení, a jednak proto, že tento soud vycházel z nesprávného skutkového předpokladu, neboť měl nesprávně za to, že žalovaná v původním řízení používá pro reklamní účely veškeré osobní údaje, které má k dispozici, bez časového omezení a bez rozlišování podle povahy těchto údajů.

40

Pokud jde zaprvé o argument, že předkládající soud neuvedl důvody, proč má za to, že by odpověď na jeho druhou otázku byla užitečná pro řešení sporu v původním řízení, je třeba zdůraznit, že je důležité, aby vnitrostátní soud uvedl přesné důvody, které jej vedly k tomu, že si kladl otázky ohledně výkladu unijního práva a usoudil, že je nezbytné položit Soudnímu dvoru předběžné otázky (rozsudky ze dne 6. prosince 2005, ABNA a další, C‑453/03, C‑11/04, C‑12/04 a C‑194/04, EU:C:2005:741, bod 46, a ze dne 29. února 2024, Staatssecretaris van Justitie en Veiligheid (Vzájemná důvěra v případě přemístění), C‑392/22, EU:C:2024:195, bod 85). V projednávané věci však z úvah uvedených v žádosti o rozhodnutí o předběžné otázce vyplývá, že předkládající soud chce určit, zda za předpokladu, že zpracování pro reklamní účely, o které se jedná ve věci v původním řízení, je podle čl. 6 odst. 1 prvního pododstavce písm. b) GDPR odůvodněné, je rozsah údajů, které žalovaná v původním řízení takto zpracovává, v souladu se zásadou minimalizace údajů, nebo zda naopak tak rozsáhlé zpracování porušuje povinnosti, které správci ukládá článek 5 GDPR. Důvody, proč se odpověď na tuto otázku jeví jako užitečná pro řešení sporu v původním řízení, tedy dostatečně vyplývají z žádosti o rozhodnutí o předběžné otázce.

41

Pokud jde zadruhé o argument, že předkládající soud vycházel z nesprávného skutkového předpokladu, je pravda, že druhá předběžná otázka vychází z předpokladu, jak bylo uvedeno v bodě 20 tohoto rozsudku, že i když M. Schrems nedal společnosti Meta Platforms Ireland souhlas se zpracováním svých osobních údajů týkajících se jeho činností mimo Facebook, tato společnost přesto na základě toho, že M. Schrems souhlasil se všeobecnými podmínkami používání sociální sítě, některé z těchto údajů, které získala od třetích stran, a to zejména díky „cookies“ a „social plugins“ Facebooku zabudovaným na internetových stránkách těchto třetích stran, zpracovávala, a dále, že společnost Meta Platforms Ireland tyto osobní údaje zpracovává bez časového omezení a bez rozlišování podle povahy těchto údajů.

42

Je však třeba připomenout, že podle ustálené judikatury zavádí článek 267 SFEU postup přímé spolupráce mezi Soudním dvorem a soudy členských států. V rámci tohoto postupu založeného na jasné dělbě činností mezi vnitrostátními soudy a Soudním dvorem spadá posouzení skutkových okolností věci do pravomoci vnitrostátního soudu, jemuž přísluší posoudit s ohledem na konkrétní okolnosti věci jak nezbytnost rozhodnutí o předběžné otázce pro vydání jeho rozsudku, tak relevanci otázek, které klade Soudnímu dvoru, kdežto Soudní dvůr se může vyslovit pouze k výkladu nebo platnosti unijního předpisu ve světle skutečností, jež mu uvede vnitrostátní soud (rozsudek ze dne 25. října 2017, Polbud – Wykonawstwo, C‑106/16, EU:C:2017:804, bod 27 a citovaná judikatura).

43

Na položenou otázku je proto třeba odpovědět na základě tohoto předpokladu, jehož opodstatněnost však musí ověřit předkládající soud.

44

Druhá předběžná otázka je tudíž přípustná.

45

Zaprvé je třeba připomenout, že cíl sledovaný GDPR spočívá, jak vyplývá z jeho článku 1, jakož i z bodů 1 a 10 jeho odůvodnění, zejména v zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich práva na soukromí v souvislosti se zpracováním osobních údajů, zakotveného v čl. 8 odst. 1 Listiny a v čl. 16 odst. 1 SFEU (rozsudek ze dne 7. března 2024, IAB Europe, C‑604/22, EU:C:2024:214, bod 53 a citovaná judikatura).

46

Za tímto účelem stanoví kapitoly II a III tohoto nařízení zásady, jimiž se řídí zpracování osobních údajů, jakož i práva subjektu údajů, která musí být dodržována při každém zpracování osobních údajů. S výhradou výjimek stanovených v článku 23 uvedeného nařízení musí být konkrétně každé zpracování osobních údajů v souladu se zásadami zpracování takovýchto údajů stanovenými v článku 5 tohoto nařízení a splňovat podmínky zákonnosti uvedené v článku 6, jakož i dodržovat práva subjektu údajů uvedená v článcích 12 až 22 GDPR [rozsudek ze dne 11. července 2024, Meta Platforms Ireland (Zástupná žaloba), C‑757/22, EU:C:2024:598, bod 49 a citovaná judikatura].

47

Jak již Soudní dvůr upřesnil, zásady zpracování osobních údajů stanovené v článku 5 GDPR se použijí kumulativně (rozsudek ze dne 20. října 2022, Digi, C‑77/21, EU:C:2022:805, bod 47).

48

V této souvislosti je třeba připomenout, že podle čl. 5 odst. 1 písm. a) GDPR musí být osobní údaje ve vztahu k subjektu údajů zpracovávány korektně, zákonným a transparentním způsobem, a že podle čl. 5 odst. 1 písm. b) GDPR musí být tyto údaje shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný.

49

Kromě toho čl. 5 odst. 1 písm. c) tohoto nařízení, který zakotvuje zásadu „minimalizace údajů“, stanoví, že osobní údaje musí být „přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány“ [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 109 a citovaná judikatura].

50

Tato zásada, jak již Soudní dvůr rozhodl, je výrazem zásady proporcionality [v tomto smyslu viz rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 98 a citovaná judikatura, a ze dne 30. ledna 2024, Direktor na Glavna direkcia Nacionalna policia pri MVR – Sofia, C‑118/22, EU:C:2024:97, bod 41].

51

Podle zásady odpovědnosti zakotvené v čl. 5 odst. 2 GDPR musí být správce schopen prokázat, že osobní údaje jsou shromažďovány a zpracovávány v souladu se zásadami stanovenými v odstavci 1 tohoto článku (v tomto smyslu viz rozsudek ze dne 20. října 2022, Digi, C‑77/21, EU:C:2022:805, bod 24). Podle čl. 13 odst. 1 písm. c) tohoto nařízení dále platí, že pokud jsou osobní údaje získány od subjektu údajů, je správce povinen informovat subjekt údajů o účelech zpracování, pro které jsou tyto údaje určeny, a o právním základu tohoto zpracování [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 95].

52

Zadruhé, pokud jde o časové omezení takového zpracování osobních údajů, jako je to, o které se jedná ve věci v původním řízení, je třeba připomenout, že Soudní dvůr již rozhodl, že s ohledem na zásadu minimalizace údajů je správce povinen omezit dobu shromažďování dotčených osobních údajů na to, co je nezbytně nutné s ohledem na účel zamýšleného zpracování [rozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely), C‑175/20, EU:C:2022:124, bod 79].

53

Čím déle jsou totiž tyto údaje uchovávány, tím závažnější jsou důsledky pro zájmy a soukromí subjektu údajů a tím vyšší jsou požadavky na zákonnost uchovávání těchto údajů [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 95].

54

Je třeba rovněž uvést, že podle čl. 5 odst. 1 písm. e) GDPR musí být osobní údaje uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány.

55

Ze znění tohoto článku tedy jednoznačně vyplývá, že zásada „omezení uložení“, která je v něm zakotvena, vyžaduje, aby byl správce schopen v souladu se zásadou odpovědnosti, která je připomenuta v bodě 51 tohoto rozsudku, prokázat, že osobní údaje jsou uchovávány pouze po dobu nezbytnou k dosažení účelů, pro které byly shromážděny nebo pro které byly dále zpracovávány (v tomto smyslu viz rozsudek ze dne 20. října 2022, Digi, C‑77/21, EU:C:2022:805, bod 53).

56

Z toho vyplývá, jak již Soudní dvůr rozhodl, že i zpracování údajů, které bylo původně zákonné, se může po určité době stát neslučitelné s ustanoveními GDPR, pokud již tyto údaje nejsou nezbytné pro účely, pro které byly shromážděny nebo pro které byly dále zpracovány, a že uvedené údaje musí být vymazány, jakmile je těchto účelů dosaženo (v tomto smyslu viz rozsudek ze dne 20. října 2022, Digi, C‑77/21, EU:C:2022:805, bod 54 a citovaná judikatura).

57

Za těchto podmínek, jak v podstatě uvedl generální advokát v bodě 22 svého stanoviska, je na vnitrostátním soudu, aby s ohledem na všechny relevantní skutečnosti a na základě použití zásady proporcionality připomenuté v čl. 5 odst. 1 písm. c) GDPR posoudil, zda je doba uchovávání osobních údajů správcem přiměřeně odůvodněna s ohledem na cíl spočívající v umožnění zasílání personalizované reklamy.

58

Uchovávání osobních údajů uživatelů platformy sociální sítě pro účely cílené reklamy po neomezenou dobu musí být v každém případě považováno za nepřiměřený zásah do práv, která těmto uživatelům zaručuje GDPR.

59

Zatřetí, pokud jde o okolnost, že osobní údaje, o které se jedná ve věci v původním řízení, jsou shromažďovány, agregovány, analyzovány a zpracovávány pro účely cílené reklamy, bez rozlišování podle povahy těchto údajů, je třeba připomenout, že Soudní dvůr již rozhodl, že s ohledem na zásadu minimalizace údajů stanovenou v čl. 5 odst. 1 písm. c) GDPR správce nemůže shromažďovat osobní údaje plošně a nerozlišujícím způsobem a nesmí shromažďovat údaje, které nejsou naprosto nezbytné pro účely zpracování [rozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely), C‑175/20, EU:C:2022:124, bod 74].

60

Je třeba rovněž připomenout, že čl. 25 odst. 2 tohoto nařízení vyžaduje, aby správce zavedl vhodná opatření k zajištění toho, aby se standardně zpracovávaly pouze osobní údaje, které jsou nezbytné pro každý konkrétní účel zpracování. Podle tohoto ustanovení se tento požadavek vztahuje zejména na množství shromážděných osobních údajů a rozsah jejich zpracování, jakož i na dobu jejich uchovávání.

61

V projednávané věci z předkládacího rozhodnutí vyplývá, že společnost Meta Platforms Ireland shromažďuje osobní údaje uživatelů Facebooku, včetně M. Schremse, které se týkají činností těchto uživatelů jak na této sociální síti, tak mimo ni, včetně zejména údajů týkajících se prohlížení on-line platformy, jakož i internetových stránek a aplikací třetích stran, a sleduje rovněž chování uživatelů při prohlížení těchto stránek prostřednictvím „social plugins“ a „pixelů“, které jsou vloženy do dotčených internetových stránek.

62

Jak již přitom Soudní dvůr rozhodl, takovéto zpracování je obzvláště rozsáhlé, protože se týká potenciálně neomezených údajů a má významný dopad na uživatele, když velkou část jeho činností, ne-li všechny jeho činnosti, sleduje společnost Meta Platforms Ireland, což u uživatele může vzbudit dojem, že je jeho soukromý život nepřetržitě sledován [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 118].

63

Za těchto podmínek se zpracování údajů, o které se jedná ve věci v původním řízení, vyznačuje závažným zásahem do základních práv subjektů údajů, zejména jejich práv na respektování soukromého života a na ochranu osobních údajů zaručených články 7 a 8 Listiny základních práv Evropské unie, který se s výhradou ověření, která musí provést předkládající soud, nejeví jako přiměřeně odůvodněné s ohledem na cíl spočívající v umožnění zasílat cílenou reklamu.

64

V každém případě se nediferencované použití všech osobních údajů, které má platforma sociální sítě k dispozici, pro reklamní účely, bez ohledu na stupeň citlivosti těchto údajů, nejeví jako přiměřený zásah do práv, která uživatelům této platformy zaručuje GDPR.

65

S ohledem na výše uvedené je třeba na druhou otázku odpovědět, že čl. 5 odst. 1 písm. c) GDPR musí být vykládán v tom smyslu, že zásada „minimalizace údajů“ zakotvená v tomto ustanovení brání tomu, aby veškeré osobní údaje, které takový správce, jako je provozovatel on-line platformy pro sociální síť, získal od subjektu údajů nebo třetích osob a které byly shromážděny jak na této platformě, tak mimo ni, byly agregovány, analyzovány a zpracovávány pro účely cílené reklamy, a to bez časového omezení a bez rozlišování podle povahy těchto údajů.

66

Podstatou této otázky předkládajícího soudu je, zda čl. 9 odst. 2 písm. e) GDPR musí být vykládán v tom smyslu, že okolnost, že se určitá osoba při veřejné diskusi u kulatého stolu vyjádřila ke své sexuální orientaci, opravňuje provozovatele on-line platformy pro sociální síť zpracovávat další údaje týkající se sexuální orientace této osoby získané případně mimo tuto platformu z aplikací a internetových stránek třetích stran za účelem jejich agregace a analýzy s cílem nabídnout jí personalizovanou reklamu.

67

Předkládající soud se konkrétně snaží zjistit, zda M. Schrems na základě prohlášení, které učinil při diskusi u kulatého stolu, nemá nárok na ochranu, kterou poskytuje čl. 9 odst. 1 GDPR, a zda v důsledku toho byl Facebook oprávněn zpracovávat další údaje týkající se jeho sexuální orientace.

68

Úvodem je třeba poznamenat, že diskuse u kulatého stolu uvedená předkládajícím soudem, v jejímž rámci M. Schrems učinil prohlášení o své sexuální orientaci, se konala dne 12. února 2019 a že k tomuto datu již společnost Meta Platforms Ireland zpracovávala osobní údaje týkající se sexuální orientace M. Schremse, jak vyplývá z předkládacího rozhodnutí, takže k tomuto prohlášení došlo až po zahájení tohoto zpracování údajů.

69

Z toho vyplývá, že čtvrtou otázku položenou předkládajícím soudem je třeba chápat tak, že se týká pouze případného zpracování údajů týkajících se sexuální orientace M. Schremse, které společnost Meta Platforms Ireland provedla po 12. únoru 2019. Předkládajícímu soudu nicméně v souladu s judikaturou uvedenou v bodě 42 tohoto rozsudku přísluší ověřit, zda k takovémuto zpracování skutečně došlo po tomto datu.

70

Za účelem odpovědi na tuto otázku je třeba nejprve připomenout, že bod 51 odůvodnění GDPR uvádí, že osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody. Tento bod odůvodnění upřesňuje, že takové osobní údaje by neměly být zpracovávány, pokud není zpracování povoleno ve zvláštních případech stanovených uvedeným nařízením.

71

V této souvislosti čl. 9 odst. 1 GDPR zakotvuje zásadu zákazu zpracování zvláštních kategorií osobních údajů, které zmiňuje. Jedná se mimo jiné o údaje o rasovém či etnickém původu, politických názorech a náboženském vyznání, jakož i o údaje o zdravotním stavu, sexuálním životě nebo sexuální orientaci fyzické osoby.

72

Pro účely použití čl. 9 odst. 1 GDPR je třeba v případě zpracování osobních údajů prováděného provozovatelem sociální sítě ověřit, zda tyto údaje mohou odhalit informace spadající do některé z kategorií uvedených v tomto ustanovení, ať již se tyto informace týkají uživatele této sítě, nebo jiné fyzické osoby. V případě kladné odpovědi je takovéto zpracování osobních údajů až na výjimky stanovené v čl. 9 odst. 2 GDPR zakázáno.

73

Jak již Soudní dvůr rozhodl, tento principiální zákaz stanovený v čl. 9 odst. 1 GDPR je nezávislý na tom, zda jsou informace odhalené dotčeným zpracováním správné, či nikoli, a zda správce jedná za účelem získání informací spadajících do některé ze zvláštních kategorií uvedených v tomto ustanovení. S ohledem na závažná rizika pro základní práva a svobody subjektů údajů způsobená jakýmkoli zpracováním osobních údajů spadajících do kategorií uvedených v čl. 9 odst. 1 GDPR je totiž cílem tohoto článku zakázat toto zpracování bez ohledu na jeho deklarovaný účel [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, body 69 a 70].

74

Článek 9 odst. 1 sice v zásadě zakazuje zpracování údajů zejména o sexuální orientaci, avšak odstavec 2 uvedeného článku v písmenech a) až j) stanoví deset výjimek, které jsou na sobě vzájemně nezávislé, a tedy musí být posuzovány samostatně. Z toho vyplývá, že skutečnost, že podmínky pro uplatnění jedné z výjimek stanovených v tomto odstavci 2 nejsou splněny, nemůže bránit tomu, aby se správce mohl dovolávat jiné výjimky uvedené v tomto ustanovení (rozsudek ze dne 21. prosince 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 47).

75

Pokud jde zejména o výjimku stanovenou v čl. 9 odst. 2 písm. e) GDPR, je třeba připomenout, že podle tohoto ustanovení principiální zákaz jakéhokoli zpracování zvláštních kategorií osobních údajů stanovený v tomto čl. 9 odst. 1 neplatí v případě, že se zpracování týká osobních údajů „zjevně zveřejněných subjektem údajů“.

76

Vzhledem k tomu, že čl. 9 odst. 2 písm. e) GDPR stanoví výjimku ze zásady zákazu zpracování zvláštních kategorií osobních údajů, musí být vykládán restriktivně [v tomto smyslu viz rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 76 a citovaná judikatura].

77

Z toho vyplývá, že pro účely uplatnění výjimky stanovené v čl. 9 odst. 2 písm. e) GDPR je třeba ověřit, zda subjekt údajů zamýšlel výslovně a jednoznačným potvrzujícím úkonem zpřístupnit předmětné osobní údaje široké veřejnosti [rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 77].

78

V projednávané věci z předkládacího rozhodnutí vyplývá, že diskuse u kulatého stolu, která proběhla ve Vídni dne 12. února 2019, v jejímž rámci M. Schrems učinil prohlášení o své sexuální orientaci, byla přístupná veřejnosti, která mohla získat vstupenky, aby se této diskuse mohla v rámci dostupných míst zúčastnit, a byla vysílána prostřednictvím streamingu. Kromě toho byl následně zveřejněn záznam z této diskuse u kulatého stolu ve formě podcastu a na kanálu Komise na platformě YouTube.

79

Za těchto podmínek a s výhradou ověření, které přísluší vnitrostátnímu soudu, nelze vyloučit, že toto prohlášení, přestože bylo součástí širšího projevu a bylo učiněno pouze za účelem kritiky zpracovávání osobních údajů společností Facebook, představuje akt, kterým dotčená osoba se znalostí věci zjevně zveřejnila svou sexuální orientaci ve smyslu čl. 9 odst. 2 písm. e) GDPR.

80

Zadruhé okolnost, že subjekt údajů zjevně zveřejnil údaj týkající se jeho sexuální orientace, má sice za následek, že tento údaj může být předmětem zpracování, odchylně od zákazu stanoveného v čl. 9 odst. 1 GDPR a v souladu s požadavky vyplývajícími z ostatních ustanovení tohoto nařízení [v tomto smyslu viz rozsudek ze dne 24. září 2019, GC a další (Odstranění odkazů na citlivé údaje), C‑136/17, EU:C:2019:773, bod 64], avšak tato okolnost ještě sama o sobě neumožňuje zpracování dalších osobních údajů týkajících se sexuální orientace této osoby na rozdíl od toho, co tvrdí společnost Meta Platforms Ireland.

81

Bylo by tedy v rozporu s čl. 9 odst. 2 písm. e) GDPR, který je třeba vykládat restriktivně, pokud by se vycházelo z toho, že na všechny údaje týkající se sexuální orientace osoby se ochrana vyplývající z odstavce 1 tohoto článku nevztahuje pouze proto, že subjekt údajů zjevně zveřejnil osobní údaj týkající se jeho sexuální orientace.

82

Skutečnost, že osoba zjevně zveřejnila údaj týkající se její sexuální orientace, dále neumožňuje mít za to, že tato osoba poskytla svůj souhlas ve smyslu čl. 9 odst. 2 písm. a) GDPR se zpracováním dalších údajů týkajících se její sexuální orientace provozovatelem on-line platformy pro sociální síť.

83

S ohledem na výše uvedené je třeba na čtvrtou otázku odpovědět, že čl. 9 odst. 2 písm. e) GDPR musí být vykládán v tom smyslu, že okolnost, že se určitá osoba při veřejné diskusi u kulatého stolu vyjádřila ke své sexuální orientaci, neopravňuje provozovatele on-line platformy pro sociální síť zpracovávat další údaje týkající se sexuální orientace této osoby získané případně mimo tuto platformu z aplikací a internetových stránek třetích stran za účelem jejich agregace a analýzy s cílem nabídnout jí personalizovanou reklamu.

84

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (čtvrtý senát) rozhodl takto: