HvJ EU: Schrems/Meta

HvJ EU 4 oktober 2024, IT 4653; ECLI:EU:C:2024:834 (Schrems/Meta) Het Hof van Justitie van de Europese Unie heeft zich in een zaak over de verwerking van persoonsgegevens door Meta uitgelaten over de interpretatie van artikel 5 lid 1 onder c en artikel 9 lid 2 onder e AVG. Maximillian Schrems maakte bezwaar tegen de manier waarop Meta zijn gegevens verzamelde en gebruikte voor gepersonaliseerde reclame. Het Hof benadrukt dat het beginsel van minimale gegevensverwerking een uitdrukking is van het evenredigheidsbeginsel. In de zaak van Schrems verzamelde Meta een grote hoeveelheid persoonsgegevens over zijn activiteiten op en buiten Facebook, zonder onderscheid naar de aard van die gegevens en zonder tijdslimiet. Het Hof oordeelde dat deze omvangrijke en ingrijpende verwerking van gegevens in strijd is met het beginsel van minimale gegevensverwerking. De inmenging in de grondrechten van Schrems, met name zijn recht op privacy en gegevensbescherming, was onevenredig in verhouding tot het doel van gepersonaliseerde reclame.

Artikel 9 lid 1 AVG verbiedt in principe de verwerking van bijzondere categorieën van persoonsgegevens, waaronder gegevens over seksuele geaardheid. Artikel 9 lid 2 onder e AVG maakt een uitzondering op dit verbod wanneer de betrokkene de gegevens kennelijk openbaar heeft gemaakt.

Schrems had tijdens een openbaar rondetafelgesprek een verklaring afgelegd over zijn seksuele geaardheid. Het Hof oordeelde dat deze verklaring mogelijk kon worden beschouwd als een kennelijke openbaarmaking in de zin van artikel 9 lid 2 onder e AVG. Maar, het Hof benadrukte dat deze uitzondering restrictief moet worden uitgelegd en dat de openbaarmaking van één gegeven over seksuele geaardheid niet betekent dat alle gegevens over seksuele geaardheid mogen worden verwerkt. Het Hof concludeerde dan ook dat Meta niet gerechtigd was om andere gegevens over de seksuele geaardheid van Schrems te verwerken die zij buiten Facebook had verkregen, enkel op basis van zijn verklaring tijdens het rondetafelgesprek.

64. Hoe dan ook lijkt het ongedifferentieerde gebruik van alle persoonsgegevens die in het bezit zijn van een socialmediaplatform voor reclamedoeleinden, ongeacht de gevoeligheid van deze gegevens, geen evenredige inmenging in de door de AVG aan de gebruikers van dat platform gewaarborgde rechten.

65. Gelet op het voorgaande dient op de tweede prejudiciële vraag te worden geantwoord dat artikel 5, lid 1, onder c), AVG aldus moet worden uitgelegd dat het in die bepaling neergelegde beginsel van „minimale gegevensverwerking” zich ertegen verzet dat alle persoonsgegevens die door een verwerkingsverantwoordelijke, zoals de exploitant van een onlinesocialmediaplatform, van de betrokkene of van derden zijn verkregen en zowel op dat platform als daarbuiten zijn verzameld, worden samengevoegd, geanalyseerd en verwerkt met het oog op gerichte reclame, zonder enige beperking in de tijd en zonder onderscheid naar de aard van die gegevens.

70. Om deze vraag te beantwoorden moet in de eerste plaats in herinnering worden gebracht dat in overweging 51 AVG staat te lezen dat persoonsgegevens die door hun aard bijzonder gevoelig zijn uit het oogpunt van de grondrechten en de fundamentele vrijheden, specifieke bescherming verdienen aangezien de context van de verwerking ervan significante risico’s voor deze grondrechten en de fundamentele vrijheden met zich kan brengen. Volgens deze overweging mogen dergelijke persoonsgegevens niet worden verwerkt, tenzij de verwerking is toegestaan in specifieke gevallen die in deze verordening worden vermeld.

74. Hoewel artikel 9, lid 1, de verwerking van gegevens over met name de seksuele geaardheid principieel verbiedt, voorziet lid 2, punten a) tot en met j), van datzelfde artikel immers in tien uitzonderingen die los van elkaar staan en derhalve onafhankelijk moeten worden beoordeeld. Hieruit volgt dat wanneer niet is voldaan aan een van de voorwaarden voor de toepassing van een uitzondering van lid 2, dit dus niet eraan in de weg staat dat een verwerkingsverantwoordelijke zich op een andere uitzondering van die bepaling kan beroepen (arrest van 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punt 47).

82. Voorts kan uit het feit dat een persoon een gegeven betreffende zijn seksuele geaardheid kennelijk openbaar heeft gemaakt, niet worden afgeleid dat deze persoon toestemming heeft verleend, in de zin van artikel 9, lid 2, onder a), AVG, voor de verwerking van andere gegevens betreffende zijn seksuele geaardheid door de exploitant van een onlinesocialmediaplatform.

83. Gelet op het voorgaande dient op de vierde prejudiciële vraag te worden geantwoord dat artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat de omstandigheid dat een persoon zich tijdens een voor het publiek toegankelijk rondetafelgesprek over zijn seksuele geaardheid heeft uitgesproken, de exploitant van een onlinesocialmediaplatform niet toestaat om andere gegevens over de seksuele geaardheid van die persoon te verwerken die in voorkomend geval buiten dat platform zijn verkregen uit apps en websites van derden, met het oog op de samenvoeging en analyse van die gegevens, teneinde hem gepersonaliseerde reclame aan te bieden.