Arrest van het Hof (Vierde kamer) van 4 oktober 2024

Gegevens

Instantie: Hof van Justitie EU

Datum uitspraak: 4 oktober 2024

Uitspraak

Arrest van het Hof (Vierde kamer)

4 oktober 2024^(*)

"„Prejudiciële verwijzing - Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens - Verordening (EU) 2016/679 - Online sociale netwerken - Algemene gebruiksvoorwaarden in verband met overeenkomsten tussen een digitaal platform en een gebruiker - Gepersonaliseerde reclame - Artikel 5, lid 1, onder b) - Beginsel van doelbinding - Artikel 5, lid 1, onder c) - Beginsel van minimale gegevensverwerking - Artikel 9, leden 1 en 2 - Verwerking van bijzondere categorieën van persoonsgegevens - Gegevens betreffende de seksuele geaardheid - Gegevens die door de betrokkene openbaar zijn gemaakt”"

In zaak C‑446/21,

betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Oberste Gerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Oostenrijk) bij beslissing van 23 juni 2021, ingekomen bij het Hof op 20 juli 2021, in de procedure

Maximilian Schrems

tegen

Meta Platforms Ireland Ltd, voorheen Facebook Ireland Ltd,

HET HOF (Vierde kamer),

samengesteld als volgt: C. Lycourgos, kamerpresident, O. Spineanu-Matei, J.‑C. Bonichot, S. Rodin en L. S. Rossi (rapporteur), rechters,

advocaat-generaal: A. Rantos,

griffier: N. Mundhenke, administrateur,

gezien de stukken en na de terechtzitting op 8 februari 2024,

gelet op de opmerkingen van:

Maximilian Schrems, vertegenwoordigd door K. Raabe-Stuppnig, Rechtsanwältin,
Meta Platforms Ireland Ltd, vertegenwoordigd door K. Hanschitz, H.‑G. Kamann, S. Khalil, B. Knötzl en A. Natterer, Rechtsanwälte,
de Oostenrijkse regering, vertegenwoordigd door A. Posch, J. Schmoll, C. Gabauer, G. Kunnert en E. Riedl als gemachtigden,
de Franse regering, vertegenwoordigd door R. Bénard en A.‑L. Desjonquères als gemachtigden,
de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde en bijgestaan door E. De Bonis, avvocato dello stato,
de Portugese regering, vertegenwoordigd door P. Barros da Costa, A. Pimenta, J. Ramos en C. Vieira Guerra als gemachtigden,
de Europese Commissie, vertegenwoordigd door A. Bouchagiar, F. Erlbacher, M. Heller en H. Kranenborg als gemachtigden,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 25 april 2024,

het navolgende

Arrest

1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 5, lid 1, onder b) en c), artikel 6, lid 1, onder a) en b), en artikel 9, leden 1 en 2, onder e), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2) (hierna: „AVG”).

2 Dit verzoek is ingediend in het kader van een geding tussen Maximilian Schrems, een gebruiker van het sociale netwerk Facebook, en Meta Platforms Ireland Ltd, voorheen Facebook Ireland Ltd, met maatschappelijke zetel in Ierland, betreffende een gestelde onrechtmatige verwerking door deze onderneming van de persoonsgegevens van deze gebruiker.

Toepasselijke bepalingen

Unierecht

3 De overwegingen 1, 4, 39, 42, 43, 50 en 51 van de AVG luiden:

„(1) De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (het ‚Handvest’) en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van zijn persoonsgegevens.
[…]
(4) De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid.
[…]
(39) Elke verwerking van persoonsgegevens dient behoorlijk en rechtmatig te geschieden. Voor natuurlijke personen dient het transparant te zijn dat hen betreffende persoonsgegevens worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt. […] Natuurlijke personen moeten bewust worden gemaakt van de risico’s, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens, alsook van de wijze waarop zij hun rechten met betrekking tot deze verwerking kunnen uitoefenen. Meer bepaald dienen de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt, expliciet en gerechtvaardigd te zijn en te zijn vastgesteld wanneer de persoonsgegevens worden verzameld. De persoonsgegevens dienen toereikend en ter zake dienend te zijn en beperkt te blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit vereist met name dat ervoor wordt gezorgd dat de opslagperiode van de persoonsgegevens tot een strikt minimum wordt beperkt. Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. Om ervoor te zorgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is, dient de verwerkingsverantwoordelijke termijnen vast te stellen voor het wissen van gegevens of voor een periodieke toetsing ervan. […]
[…]
(42) Indien de verwerking plaatsvindt op grond van toestemming van de betrokkene, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking. […] Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene ten minste bekend zijn met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens. Toestemming mag niet worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.
(43) Om ervoor te zorgen dat toestemming vrijelijk wordt verleend, mag toestemming geen geldige rechtsgrond zijn voor de verwerking van persoonsgegevens in een specifiek geval wanneer er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, met name wanneer de verwerkingsverantwoordelijke een overheidsinstantie is, en dit het onwaarschijnlijk maakt dat de toestemming in alle omstandigheden van die specifieke situatie vrijelijk is verleend. De toestemming wordt geacht niet vrijelijk te zijn verleend indien geen afzonderlijke toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen ondanks het feit dat dit in het individuele geval passend is, of indien de uitvoering van een overeenkomst, daaronder begrepen het verlenen van een dienst, afhankelijk is van de toestemming ondanks het feit dat dergelijke toestemming niet noodzakelijk is voor die uitvoering.
[…]
(50) De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld. In dat geval is er geen andere afzonderlijke rechtsgrond vereist dan die op grond waarvan de verzameling van persoonsgegevens werd toegestaan. […]
[…]
(51) Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden, verdienen specifieke bescherming aangezien de context van de verwerking ervan significante risico’s kan meebrengen voor de grondrechten en de fundamentele vrijheden. […] Dergelijke persoonsgegevens mogen niet worden verwerkt, tenzij de verwerking is toegestaan in in deze verordening vermelde specifieke gevallen, […]. Naast de specifieke voorschriften voor die verwerking dienen de algemene beginselen en andere regels van deze verordening te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking. Er moet onder meer uitdrukkelijk in afwijkingen van het algemene verbod op de verwerking van die bijzondere categorieën persoonsgegevens worden voorzien ingeval de betrokkene zijn uitdrukkelijke toestemming geeft of in geval van specifieke behoeften, […].”

4 Artikel 4 van deze verordening bepaalt:

„Voor de toepassing van deze verordening wordt verstaan onder:

‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); […]

‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

[…]

‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;

[…]

‚toestemming van de betrokkene’: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt;

[…]

‚grensoverschrijdende verwerking’:

verwerking van persoonsgegevens in het kader van de activiteiten van vestigingen in meer dan één lidstaat van een verwerkingsverantwoordelijke of een verwerker in de Unie die in meer dan één lidstaat is gevestigd; of

verwerking van persoonsgegevens in het kader van de activiteiten van één vestiging van een verwerkingsverantwoordelijke of van een verwerker in de Unie, waardoor in meer dan één lidstaat betrokkenen wezenlijke gevolgen ondervinden of waarschijnlijk zullen ondervinden;

[…]”

5 Artikel 5 van die verordening heeft als opschrift „Beginselen inzake verwerking van persoonsgegevens” en bepaalt in de leden 1 en 2:

„1.
Persoonsgegevens moeten:

worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);

voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; […] (‚doelbinding’);

toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);

[…]

worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; […] (‚opslagbeperking’);

2.
De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”

6 Artikel 6 van deze verordening, met als opschrift „Rechtmatigheid van de verwerking”, luidt als volgt:

„1.
De verwerking is alleen rechtmatig indien en voor zover aan ten minste één van de onderstaande voorwaarden is voldaan:

de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;

[…]
4.
Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:

ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;

het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;

de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;

de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;

het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.”

7 Artikel 7 AVG heeft als opschrift „Voorwaarden voor toestemming” en luidt:

„1.
Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.
[…]
3.
De betrokkene heeft het recht zijn toestemming te allen tijde in te trekken. Het intrekken van de toestemming laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Alvorens de betrokkene zijn toestemming geeft, wordt hij daarvan in kennis gesteld. Het intrekken van de toestemming is even eenvoudig als het geven ervan.
4.
Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.”

8 Artikel 9 („Verwerking van bijzondere categorieën van persoonsgegevens”) van deze verordening bepaalt:

„1.
Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele geaardheid zijn verboden.
2.
Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:

de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;

[…]

de verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt;

[…]”

9 In artikel 13 van die verordening, dat betrekking heeft op de „te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”, staat te lezen:

„1.
Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
[…]

de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;

[…]
3.
Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.
[…]”

10 Artikel 25, lid 2, van diezelfde verordening bepaalt:

„De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt.”

Hoofdgeding en prejudiciële vragen

11 Meta Platforms Ireland, die het dienstenaanbod van het online sociale netwerk Facebook in de Unie beheert, is verantwoordelijk voor de verwerking van persoonsgegevens van de gebruikers van dit sociale netwerk in de Unie. Zij heeft geen filiaal in Oostenrijk. Meta Platforms Ireland promoot met name op www.facebook.com diensten die tot en met 5 november 2023 gratis waren voor particuliere gebruikers. Met ingang van 6 november 2023 bleven deze diensten uitsluitend gratis voor de gebruikers die ermee instemden dat hun persoonsgegevens werden verzameld en gebruikt om gepersonaliseerde reclame tot hen te richten, waarbij de gebruikers de mogelijkheid werd geboden om een abonnement tegen betaling af te sluiten om toegang te krijgen tot een versie van deze diensten zonder gerichte reclame te ontvangen.

12 Het bedrijfsmodel van het online sociale netwerk Facebook is erop gebaseerd inkomsten te verwerven met onlinereclame die wordt toegespitst op de individuele gebruikers van het sociale netwerk naargelang van hun consumentengedrag, interesses en persoonlijke omstandigheden. Technisch gezien is die gepersonaliseerde reclame mogelijk doordat automatisch gedetailleerde profielen worden opgesteld van de gebruikers van dit netwerk en van de onlinediensten die door de groep Meta worden aangeboden.

13 Voor de verwerking van de persoonsgegevens van de gebruikers van het sociale netwerk Facebook baseert Meta Platforms Ireland zich op de gebruikersovereenkomst die deze gebruikers aangaan door op de knop „registreren” te klikken waarmee zij de algemene voorwaarden van deze onderneming aanvaarden. Ten tijde van de feiten van hoofdgeding moesten deze algemene voorwaarden worden aanvaard om het sociale netwerk Facebook te kunnen gebruiken. Wat de verwerking van persoonsgegevens van de gebruikers betreft verwijzen de algemene voorwaarden naar het gegevens- en cookiebeleid van deze onderneming. Op grond daarvan verzamelt Meta Platforms Ireland gebruikers- en apparaatgegevens over de gebruikersactiviteiten binnen en buiten het sociale netwerk en koppelt zij deze gegevens aan de Facebookaccounts van de betrokken gebruikers. De gegevens met betrekking tot de activiteiten buiten het online sociale netwerk zijn om te beginnen afkomstig van de raadpleging van websites en apps van derden die met Facebook zijn verbonden via programmeerinterfaces en voorts van het gebruik van de andere onlinediensten van de groep Meta, met name Instagram en WhatsApp.

14 Vóór de inwerkingtreding van de AVG gaven de gebruikers van Facebook uitdrukkelijke toestemming voor de verwerking van hun gegevens in overeenstemming met de gebruiksvoorwaarden van verweerster die gedurende deze periode van toepassing waren. In het licht van de inwerkingtreding van de AVG op 25 mei 2018 heeft Meta Platforms Ireland op 19 april 2018 nieuwe gebruiksvoorwaarden vastgesteld en deze ter goedkeuring voorgelegd aan haar gebruikers. Aangezien het account van Schrems geblokkeerd werd, heeft hij deze nieuwe gebruiksvoorwaarden aanvaard om Facebook te kunnen blijven gebruiken. Deze toestemming was noodzakelijk om toegang te blijven hebben tot zijn account en de respectievelijke diensten te blijven gebruiken.

15 Meta Platforms heeft meerdere „functionaliteiten” (tools) ingevoerd om de gebruikers de mogelijkheid te bieden om een overzicht te krijgen van de opgeslagen gegevens en deze te controleren. Niet alle verwerkte gegevens zijn zichtbaar in deze tools, maar alleen die welke volgens die onderneming voor de gebruikers van belang en relevant zijn. Zo kan de gebruiker die daarom verzoekt, bijvoorbeeld zien dat hij een app heeft geopend via zijn Facebookprofiel, een website heeft bezocht, een bepaalde zoekopdracht heeft verricht of een aankoop heeft gedaan, of nog, op een advertentie heeft geklikt.

16 Meta Platforms Ireland gebruikt „cookies”, „sociale plug-ins” en „pixels”, zoals blijkt uit haar gebruiksvoorwaarden en richtsnoeren. Door middel van cookies kan zij de bron van de raadplegingen bepalen. Zonder activering van de cookies zijn veel door Meta Platforms Ireland verleende diensten niet bruikbaar. De sociale plug-ins van Facebook worden door de exploitanten van websites van derden op hun pagina’s „ingevoegd”. De meest voorkomende is de Facebook-knop „Vind ik leuk”. Telkens wanneer internetpagina’s met deze knop worden geraadpleegd, worden de op het gebruikte apparaat geïnstalleerde cookies, de URL van de bezochte pagina en andere gegevens, zoals het IP-adres of tijdgegevens, doorgegeven aan Meta Platforms Ireland. Daartoe hoeft de gebruiker niet op de „vind-ik-leuk-knop” te klikken, aangezien het louter bekijken van een webpagina met een dergelijke plug-in volstaat om deze gegevens vervolgens aan deze onderneming door te geven.

17 Blijkens de verwijzingsbeslissing bevinden zich ook plug-ins op de internetpagina’s van politieke partijen en op pagina’s die bestemd zijn voor een homoseksueel publiek die Schrems heeft bezocht. Via deze plug-ins kon Meta Platforms Ireland het internetgedrag van Schrems volgen, waardoor bepaalde gevoelige persoonsgegevens werden verzameld.

18 Net als sociale plug-ins kunnen in de webpagina’s ook pixels worden opgenomen waarmee informatie kan worden verzameld over de gebruikers die deze pagina’s hebben bezocht, met name om de reclame op die pagina’s te meten en te optimaliseren. Door bijvoorbeeld een Facebookpixel in hun eigen webpagina’s op te nemen, kunnen de exploitanten van die websites van Meta Platforms Ireland rapporten verkrijgen over het aantal personen die hun reclame op Facebook hebben gezien en vervolgens naar de webpagina van die exploitanten hebben gesurft om deze te raadplegen of een aankoop te doen.

19 Sociale plug-ins en pixels, in combinatie met cookies, vormen dus een essentieel onderdeel van internetreclame, aangezien het merendeel van de op internet beschikbare content wordt gefinancierd door reclame. Plug-ins bieden de gebruikers met name relevante advertenties en pixels worden door de adverteerders gebruikt om de resultaten van reclamecampagnes te meten en om informatie te verkrijgen over doelgroepen van gebruikers.

20 In casu blijkt uit de verwijzingsbeslissing dat Schrems Meta Platforms Ireland geen toestemming heeft gegeven om zijn persoonsgegevens, die zij van adverteerders en andere partners ontvangt, met betrekking tot de activiteiten van Schrems buiten Facebook met het oog op gepersonaliseerde reclame, te verwerken. Bepaalde gegevens over Schrems zijn echter door Meta Platforms Ireland verkregen via cookies, sociale plug-ins en vergelijkbare technologieën die op de websites van derden zijn geïntegreerd, en zijn door deze onderneming gebruikt om de Facebookproducten te optimaliseren en gepersonaliseerde reclame tot Schrems te richten.

21 Bovendien blijkt uit die beslissing ook dat Schrems geen gevoelige gegevens op zijn Facebookprofiel heeft vermeld, dat alleen zijn „vrienden” zijn activiteiten of de informatie op zijn „timeline” [tijdlijn] kunnen bekijken en dat zijn „lijst van vrienden” niet openbaar is. Schrems heeft er ook voor geopteerd om Meta Platforms Ireland geen toestemming te verlenen om de velden in zijn profiel met betrekking tot zijn liefdesleven, zijn werkgever, zijn baan of zijn opleiding te gebruiken voor gerichte reclame.

22 Gelet op de gegevens waarover Meta Platforms Ireland beschikt, kan zij echter ook de belangstelling van Schrems voor gevoelige onderwerpen, zoals gezondheid, seksuele geaardheid, etnische groepen en politieke partijen vaststellen, waardoor het mogelijk is om bijvoorbeeld reclame tot hem te richten die op een dergelijke seksuele geaardheid of een dergelijke politieke overtuiging is toegespitst.

23 Zo heeft Schrems reclame voor een Oostenrijkse politica ontvangen die was gebaseerd op de analyse van Meta Platforms Ireland, volgens welke hij punten gemeen had met andere gebruikers die deze politica met de vermelding „Vind ik leuk” hadden gemarkeerd. Voorts heeft Schrems eveneens regelmatig op homoseksuelen gerichte advertenties en uitnodigingen voor overeenkomstige evenementen ontvangen, hoewel hij nooit eerder belangstelling voor dergelijke evenementen had getoond en niet eens de locaties kende waar deze plaatsvonden. Deze advertenties en uitnodigingen zijn blijkens de verwijzingsbeslissing niet rechtstreeks op de seksuele geaardheid van verzoeker in het hoofdgeding en die van zijn „vrienden” gebaseerd, maar op een analyse van hun interesses, in casu het feit dat een van de vrienden van Schrems een product zou aangemerkt hebben door op de „vind-ik-leuk-knop” te klikken.

24 Schrems heeft een analyse laten uitvoeren van de conclusies die uit zijn vriendenlijst konden worden getrokken, en daaruit is gebleken dat hij zijn burgerdienst bij het Rode Kruis in Salzburg had vervuld en dat hij homoseksueel was. Bovendien stonden op de lijst van zijn activiteiten buiten Facebook waarover Meta Platforms Ireland beschikte onder meer datingapps en -websites voor homoseksuelen en een website van een Oostenrijkse politieke partij. Onder de opgeslagen gegevens van verzoeker in het hoofdgeding bevond zich eveneens een e-mailadres dat niet op zijn Facebookprofiel was vermeld, maar dat hij had gebruikt om verzoeken aan Meta Platforms Ireland te richten.

25 Uit de verwijzingsbeslissing blijkt ook dat Schrems publiekelijk communiceert over het feit dat hij homoseksueel is. Hij heeft echter nooit zijn seksuele geaardheid op zijn Facebookprofiel vermeld.

26 Schrems heeft voor het Landesgericht für Zivilrechtssachen Wien (rechter in eerste aanleg voor burgerlijke zaken Wenen, Oostenrijk) aangevoerd dat de verwerking van zijn persoonsgegevens door Meta Platforms Ireland verschillende bepalingen van de AVG schond. In dit verband was hij van mening dat zijn instemming met de voorwaarden voor het gebruik van verweersters in het hoofdgeding digitale platform niet voldeed aan de vereisten van artikel 6, lid 1, en artikel 7 van deze verordening. Bovendien verwerkt Meta Platforms Ireland gevoelige gegevens van verzoeker in de zin van artikel 9 van die verordening, zonder de toestemming die daarvoor nodig is op grond van artikel 7 van die verordening, aldus verzoeker in het hoofdgeding. Ook was er geen geldige toestemming voor de verwerking van de persoonsgegevens van Schrems die Meta Platforms Ireland van derden had ontvangen. In dit verband heeft Schrems onder meer gevorderd dat verweerster wordt gelast de verwerking van zijn persoonsgegevens met het oog op gepersonaliseerde reclame en het gebruik van deze gegevens die voortvloeien uit de raadpleging van websites van derden en die door derden zijn verkregen, te staken.

27 Meta Platforms Ireland was daarentegen van mening dat de gegevens van Schrems zijn verwerkt in overeenstemming met de gebruiksvoorwaarden van het online sociale netwerk, die verenigbaar zijn met de vereisten van de AVG. Deze gegevensverwerking is volgens Meta Platforms Ireland rechtmatig en berust niet op de door artikel 6, lid 1, onder a), van deze verordening vereiste toestemming van verzoeker in het hoofdgeding, maar op andere rechtvaardigingsgronden, waaronder hoofdzakelijk het feit dat deze verwerking noodzakelijk is voor de uitvoering van de overeenkomst tussen verzoeker en verweerster in het hoofdgeding in de zin van artikel 6, lid 1, onder b), van die verordening.

28 In de onderhavige procedure is reeds een verzoek om een prejudiciële beslissing ingediend bij het Hof, dat heeft geleid tot het arrest van 25 januari 2018, Schrems (C‑498/16, EU:C:2018:37 ). Na dat arrest heeft het Landesgericht für Zivilrechtssachen Wien bij vonnis van 30 juni 2020 de vorderingen van Schrems afgewezen. Evenzo heeft het Oberlandesgericht Wien (hoogste rechterlijke instantie van de deelstaat Wenen, Oostenrijk), waarbij hoger beroep was ingesteld, het door Schrems tegen dat vonnis ingestelde beroep verworpen, met name op grond dat de verwerking van zijn persoonsgegevens als gebruiker van het onlineplatform, met inbegrip van de gepersonaliseerde reclame, integrerend deel uitmaakt van de tussen partijen gesloten overeenkomst voor het gebruik van dat platform. De verwerking van deze gegevens is volgens deze instantie dus noodzakelijk voor de uitvoering van deze overeenkomst in de zin van artikel 6, lid 1, onder b), AVG.

29 Het Oberste Gerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Oostenrijk), waarbij Schrems beroep in Revision heeft ingesteld, merkt op dat het bedrijfsmodel van Meta Platforms Ireland erin bestaat inkomsten te genereren door gerichte reclame en commerciële inhoud die berusten op de voorkeuren en interesses van de gebruikers van Facebook door de persoonsgegevens van deze gebruikers te verwerken. Voor zover deze verwerking Facebook in staat stelt om haar gebruikers gratis diensten aan te bieden, kan zij worden geacht noodzakelijk te zijn voor de uitvoering van de met die gebruikers gesloten overeenkomst in de zin van artikel 6, lid 1, onder b), AVG.

30 Volgens deze rechter mag deze bepaling, die restrictief moet worden uitgelegd, een dergelijke verwerking van gegevens echter niet toestaan zonder toestemming van de betrokkene.

31 Voorts merkt de verwijzende rechter op dat Meta Platforms Ireland persoonsgegevens verwerkt die op grond van artikel 9, lid 1, AVG als „gevoelig” kunnen worden aangemerkt.

32 In het onderhavige geval verwerkt Meta Plaforms Ireland gegevens met betrekking tot de politieke overtuiging en de seksuele geaardheid van Schrems. Volgens de vaststellingen van het Oberste Gerichtshof communiceert Schrems publiekelijk over zijn seksuele geaardheid. In het bijzonder heeft Schrems in het kader van een rondetafelgesprek waaraan hij op 12 februari 2019 in Wenen heeft deelgenomen op uitnodiging van de vertegenwoordiging van de Europese Commissie in Oostenrijk, verwezen naar zijn seksuele geaardheid om kritiek te uiten op de verwerking van persoonsgegevens door Facebook, waaronder de verwerking van zijn eigen gegevens. Zoals hij ook bij deze gelegenheid heeft verklaard, heeft Schrems dit aspect van zijn privéleven echter nooit op zijn Facebookprofiel vermeld.

33 Volgens deze rechter rijst dus de vraag of de betrokken gebruiker hem betreffende gevoelige persoonsgegevens kennelijk openbaar heeft gemaakt en aldus toestemming heeft gegeven voor de verwerking ervan op grond van artikel 9, lid 2, onder e), AVG.

34 In die omstandigheden heeft het Oberste Gerichtshof de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

Moet artikel 6, lid 1, onder a) en b), AVG aldus worden uitgelegd dat de rechtmatigheid van contractuele bepalingen in algemene gebruiksvoorwaarden van platformovereenkomsten zoals die in het hoofdgeding (in het bijzonder contractuele bepalingen zoals: ‚In plaats van te betalen [voor de dienst], stem je er door het gebruik van de Facebookproducten waarop deze voorwaarden van toepassing zijn, mee in dat we je advertenties kunnen laten zien […]. We gebruiken je persoonsgegevens […] om je advertenties te laten zien die relevanter zijn voor jou.’), die de verwerking van persoonsgegevens voor de samenvoeging en analyse van gegevens met het oog op gepersonaliseerde reclame inhouden, dient te worden getoetst aan de vereisten van artikel 6, lid 1, onder a), juncto artikel 7 AVG, en dat in een dergelijk geval artikel 6, lid 1, onder b), AVG niet kan worden ingeroepen om die toetsing achterwege te laten?

Moet artikel 5, lid 1, onder c), AVG (minimale gegevensverwerking) aldus worden uitgelegd dat alle persoonsgegevens waarover een platform als in het hoofdgeding beschikt (met name via de betrokkene of via derden op en buiten het platform), mogen worden samengevoegd, geanalyseerd en verwerkt met het oog op gerichte reclame, zonder enige beperking met betrekking tot de duur of de aard van de gegevens?

Moet artikel 9, lid 1, AVG aldus worden uitgelegd dat het van toepassing is op de verwerking van gegevens die het mogelijk maakt bijzondere categorieën van persoonsgegevens zoals politieke opvattingen of seksuele geaardheid gericht te filteren (bijvoorbeeld voor reclame), ook al maakt de verwerkingsverantwoordelijke geen onderscheid tussen deze gegevens?

Moet artikel 5, lid 1, onder b), juncto artikel 9, lid 2, onder e), AVG aldus worden uitgelegd dat een verklaring over de eigen seksuele geaardheid in het kader van een rondetafelgesprek de verwerking van andere gegevens over de seksuele geaardheid toestaat met het oog op de samenvoeging en analyse van gegevens met het oog op gepersonaliseerde reclame?”

Procedure bij het Hof

35 Bij beslissing van 7 april 2022 heeft de president van het Hof de behandeling van de onderhavige procedure geschorst in afwachting van de eindbeslissing in zaak C‑252/21, Meta Platforms e.a.

36 Bij beslissing van 7 juli 2023 heeft de president van het Hof de verwijzende rechter in de onderhavige zaak in kennis gesteld van het arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk) (C‑252/21, EU:C:2023:537 ), met het verzoek hem mee te delen of hij, gelet op dat arrest, zijn verzoek om een prejudiciële beslissing geheel of gedeeltelijk wenste te handhaven, en in geval van gedeeltelijke intrekking, om uit te leggen waarom een deel van het verzoek moet worden gehandhaafd.

37 Bij beschikking van 19 juli 2023, ingekomen ter griffie van het Hof op 9 augustus 2023, heeft deze rechterlijke instantie zijn eerste en zijn derde prejudiciële vraag ingetrokken omdat dat arrest die vragen beantwoordde. De verwijzende rechter heeft daarentegen zijn tweede en zijn vierde prejudiciële vraag gehandhaafd met het betoog dat die vragen in dat arrest niet volledig waren beantwoord.

Tweede vraag

38 Met zijn tweede prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 5, lid 1, onder c), AVG, aldus moet worden uitgelegd dat het beginsel van „minimale gegevensverwerking” dat is neergelegd in deze bepaling zich ertegen verzet dat alle persoonsgegevens die door een verwerkingsverantwoordelijke, zoals de exploitant van een onlinesocialmediaplatform, van de betrokkene of van derden zijn verkregen en zowel op dat platform als daarbuiten zijn verzameld, worden samengevoegd, geanalyseerd en verwerkt met het oog op gerichte reclame, zonder enige beperking in de tijd en zonder onderscheid naar de aard van die gegevens.

Ontvankelijkheid

39 Verweerster in het hoofdgeding betoogt dat deze vraag niet-ontvankelijk is omdat, ten eerste, de verwijzende rechter niet heeft uitgelegd waarom een antwoord op die vraag nuttig zou zijn voor de beslechting van het hoofdgeding en ten tweede, deze rechter is uitgegaan van een onjuiste feitelijke premisse door ten onrechte te oordelen dat verweerster in het hoofdgeding alle persoonsgegevens waarover zij beschikt, zonder enige beperking in de tijd en zonder onderscheid naar de aard van die gegevens, voor reclamedoeleinden gebruikt.

40 Wat in de eerste plaats het argument betreft dat de verwijzende rechter niet heeft uiteengezet waarom hij van oordeel is dat een antwoord op zijn tweede vraag nuttig is voor de beslechting van het hoofdgeding, moet worden gewezen op het belang dat de nationale rechter de precieze redenen vermeldt waarom hij twijfelt over de uitlegging van het Unierecht en het stellen van prejudiciële vragen aan het Hof noodzakelijk acht [arresten van 6 december 2005, ABNA e.a., C‑453/03, C‑11/04, C‑12/04 en C‑194/04, EU:C:2005:741, punt 46 , en 29 februari 2024, Staatssecretaris van Justitie en Veiligheid (Wederzijds vertrouwen in geval van overdracht), C‑392/22, EU:C:2024:195, punt 85 ]. In casu blijkt evenwel uit de uiteenzetting in het verzoek om een prejudiciële beslissing dat de verwijzende rechter wenst vast te stellen of, gesteld dat de in het hoofdgeding aan de orde zijnde verwerking voor reclamedoeleinden gerechtvaardigd is op grond van artikel 6, lid 1, eerste alinea, onder b), AVG, de omvang van de aldus door verweerster in het hoofdgeding verwerkte gegevens in overeenstemming is met het beginsel van minimale gegevensverwerking, dan wel of een dergelijke uitgebreide verwerking daarentegen in strijd is met de verplichtingen die krachtens artikel 5 AVG op de verwerkingsverantwoordelijke rusten. De redenen waarom het antwoord op deze vraag nuttig is voor de beslechting van het hoofdgeding, blijken dus voldoende uit het verzoek om een prejudiciële beslissing.

41 Wat in de tweede plaats het argument betreft dat de verwijzende rechter zich op een onjuiste feitelijke premisse heeft gebaseerd, is het juist dat de tweede prejudiciële vraag berust op de premisse, ten eerste, dat – zoals in punt 20 van het onderhavige arrest is vermeld – Schrems Meta Platforms Ireland weliswaar geen toestemming heeft gegeven om zijn persoonsgegevens betreffende zijn activiteiten buiten Facebook te verwerken, maar deze onderneming toch bepaalde van deze gegevens, die zij van derden zou hebben verkregen, heeft verwerkt op basis van de aanvaarding door Schrems van de algemene voorwaarden voor het gebruik van het sociale netwerk, dankzij met name de cookies en de sociale plug-ins van Facebook die zijn opgenomen op de websites van deze derden en, ten tweede, dat deze persoonsgegevens door Meta Platforms Ireland worden verwerkt zonder enige beperking in de tijd en zonder onderscheid naar de aard van die gegevens.

42 In herinnering zij echter gebracht dat artikel 267 VWEU volgens vaste rechtspraak een procedure van rechtstreekse samenwerking tussen het Hof en de rechterlijke instanties van de lidstaten tot stand brengt. In het kader van die procedure, die is gebaseerd op een duidelijke afbakening van de taken van de nationale rechterlijke instanties en van het Hof, behoort elke beoordeling van de feiten tot de bevoegdheid van de nationale rechter, die, gelet op de bijzonderheden van het geval, zowel de noodzaak van een prejudiciële beslissing voor het wijzen van zijn vonnis dient te beoordelen, als de relevantie van de vragen die hij aan het Hof voorlegt, terwijl het Hof uitsluitend bevoegd is, zich op basis van de door de nationale rechter omschreven feiten over de uitlegging of geldigheid van een Uniebepaling uit te spreken (arrest van 25 oktober 2017, Polbud – Wykonawstwo, C‑106/16, EU:C:2017:804, punt 27 en aldaar aangehaalde rechtspraak).

43 Derhalve moet de gestelde vraag worden beantwoord op basis van die premisse, waarvan de gegrondheid echter door de verwijzende rechter moet worden onderzocht.

44 Bijgevolg is de tweede prejudiciële vraag ontvankelijk.

Ten gronde

45 In de eerste plaats zij eraan herinnerd dat het doel van de AVG – zoals dat blijkt uit artikel 1 alsook uit de overwegingen 1 en 10 van deze verordening – met name bestaat in het waarborgen van een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen, in het bijzonder van hun in artikel 8, lid 1, van het Handvest en artikel 16, lid 1, VWEU erkende recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens (arrest van 7 maart 2024, IAB Europe, C‑604/22, EU:C:2024:214, punt 53 en aldaar aangehaalde rechtspraak).

46 Daartoe vermelden de hoofdstukken II en III van deze verordening respectievelijk de beginselen die van toepassing zijn op de verwerking van persoonsgegevens en de rechten van de betrokkene die bij elke verwerking van persoonsgegevens moeten worden geëerbiedigd. In het bijzonder moet elke verwerking van persoonsgegevens, behoudens de in artikel 23 van die verordening bepaalde uitzonderingen, ten eerste in overeenstemming zijn met de in artikel 5 AVG geformuleerde beginselen inzake de verwerking van die gegevens en voldoen aan de in artikel 6 ervan genoemde rechtmatigheidsvoorwaarden, en ten tweede de in de artikelen 12 tot en met 22 AVG neergelegde rechten van de betrokkene eerbiedigen [arrest van 11 juli 2024, Meta Platforms Ireland (Representatieve vordering), C‑757/22, EU:C:2024:598, punt 49 en aldaar aangehaalde rechtspraak].

47 Zoals het Hof reeds heeft gepreciseerd, zijn de in artikel 5 AVG verankerde beginselen inzake de verwerking van persoonsgegevens cumulatief van toepassing (arrest van 20 oktober 2022, Digi, C‑77/21, EU:C:2022:805, punt 47 ).

48 In dit verband moet worden opgemerkt dat persoonsgegevens krachtens artikel 5, lid 1, onder a), AVG moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, eerlijk en transparant is, en dat deze gegevens overeenkomstig punt b) van dat artikel 5, lid 1, voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld en vervolgens niet verder mogen worden verwerkt op een wijze die onverenigbaar is met die doeleinden.

49 Bovendien moeten persoonsgegevens overeenkomstig artikel 5, lid 1, onder c), AVG, dat het beginsel van de „minimale gegevensverwerking” neerlegt, „toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 109 en aldaar aangehaalde rechtspraak].

50 Zoals het Hof reeds heeft geoordeeld, is dat beginsel een uitdrukking van het evenredigheidsbeginsel [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 98 en aldaar aangehaalde rechtspraak en 30 januari 2024, Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia, C‑118/22, EU:C:2024:97, punt 41 ].

51 Overeenkomstig de in artikel 5, lid 2, AVG neergelegde verantwoordingsplicht moet de verwerkingsverantwoordelijke kunnen aantonen dat de persoonsgegevens worden verzameld en verwerkt met inachtneming van de beginselen die zijn uiteengezet in lid 1 van dat artikel (zie in die zin arrest van 20 oktober 2022, Digi, C‑77/21, EU:C:2022:805, punt 24 ). Bovendien moet de verwerkingsverantwoordelijke, wanneer bij de betrokkene persoonsgegevens worden verzameld, hem overeenkomstig artikel 13, lid 1, onder c), van die verordening informatie verstrekken over de verwerkingsdoeleinden waarvoor deze gegevens zijn bestemd en over de rechtsgrondslag voor die verwerking [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 95 ].

52 Wat betreft in de tweede plaats de beperking in de tijd van een verwerking van persoonsgegevens als die in het hoofdgeding, zij eraan herinnerd dat het Hof reeds heeft geoordeeld dat, gelet op het beginsel van minimale gegevensverwerking, de verwerkingsverantwoordelijke ook verplicht is om het tijdvak waarin de betrokken persoonsgegevens worden verzameld, te beperken tot hetgeen strikt noodzakelijk is voor het doel van de betrokken verwerking [arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punt 79 ].

53 De gevolgen voor de belangen en het privéleven van de betrokkene zijn namelijk des te groter en de eisen met betrekking tot de rechtmatigheid van de bewaring van deze informatie des te strenger naarmate die gegevens langer worden bewaard [zie in die zin arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden), C‑26/22 en C‑64/22, EU:C:2023:958, punt 95 ].

54 Bovendien moet worden opgemerkt dat volgens artikel 5, lid 1, onder e), AVG persoonsgegevens moeten worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de verwezenlijking van de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is.

55 Uit de bewoordingen van dit artikel volgt dus ondubbelzinnig dat het daarin verankerde beginsel van opslagbeperking vereist dat de verwerkingsverantwoordelijke in staat is om overeenkomstig de in punt 51 van het onderhavige arrest in herinnering gebrachte verantwoordingsplicht aan te tonen dat de persoonsgegevens niet langer worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij zijn verzameld of nadien zijn verwerkt, noodzakelijk is (zie in die zin arrest van 20 oktober 2022, Digi, C‑77/21, EU:C:2022:805, punt 53 ).

56 Hieruit volgt, zoals Hof reeds heeft geoordeeld, dat zelfs een oorspronkelijk rechtmatige verwerking van gegevens na verloop van tijd onverenigbaar met de bepalingen van de AVG kan worden wanneer deze gegevens niet langer noodzakelijk zijn in het licht van de doeleinden waarvoor zij zijn verzameld en dat die gegevens moeten worden gewist wanneer deze doeleinden zijn bereikt (zie in die zin arrest van 20 oktober 2022, Digi, C‑77/21, EU:C:2022:805, punt 54 en aldaar aangehaalde rechtspraak).

57 In die omstandigheden staat het, zoals de advocaat-generaal in punt 22 van zijn conclusie in wezen heeft opgemerkt, aan de nationale rechter om, rekening houdend met alle relevante gegevens en met toepassing van het in artikel 5, lid 1, onder c), AVG in herinnering gebrachte evenredigheidsbeginsel, te beoordelen of de bewaringstermijn van de persoonsgegevens door de verwerkingsverantwoordelijke redelijkerwijs gerechtvaardigd is in het licht van de doelstelling om de verspreiding van gepersonaliseerde reclame mogelijk te maken.

58 In elk geval moet een bewaring, voor onbepaalde tijd, van de persoonsgegevens van de gebruikers van een socialmediaplatform met het oog op gerichte reclame worden aangemerkt als een onevenredige inmenging in de door de AVG aan deze gebruikers gewaarborgde rechten.

59 Wat betreft in de derde plaats de omstandigheid dat de in het hoofdgeding aan de orde zijnde persoonsgegevens worden verzameld, samengevoegd, geanalyseerd en verwerkt met het oog op gerichte reclame, zonder onderscheid te maken naar de aard van die gegevens, moet in herinnering worden gebracht dat het Hof reeds heeft geoordeeld dat – gelet op het beginsel van minimale gegevensverwerking dat is neergelegd in artikel 5, lid 1, onder c), AVG – de verwerkingsverantwoordelijke niet op algemene en ongedifferentieerde wijze persoonsgegevens mag verzamelen en zich dient te onthouden van het verzamelen van gegevens die niet strikt noodzakelijk zijn voor de doeleinden van de verwerking [arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punt 74 ].

60 Eveneens moet erop worden gewezen dat artikel 25, lid 2, van die verordening vereist dat de verwerkingsverantwoordelijke passende maatregelen treft om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Volgens deze bepaling geldt een dergelijk vereiste met name voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt en de termijn waarvoor zij worden opgeslagen.

61 In casu blijkt uit de verwijzingsbeslissing dat Meta Platforms Ireland de persoonsgegevens van de gebruikers van Facebook, waaronder Schrems, verzamelt met betrekking tot de activiteiten van deze gebruikers op en buiten dit sociale netwerk, waaronder met name de gegevens over de raadpleging van het onlineplatform en van internetpagina’s en apps van derden, en tevens het navigatiegedrag van de gebruikers op die pagina’s volgt door middel van sociale plug-ins en pixels die op de betrokken internetpagina’s zijn geplaatst.

62 Zoals het Hof reeds heeft geoordeeld is een dergelijke verwerking bijzonder omvangrijk, aangezien deze een potentieel onbeperkt aantal gegevens kan betreffen en ingrijpende gevolgen heeft voor de gebruiker, wiens onlineactiviteiten grotendeels of zelfs bijna helemaal door Meta Platforms Ireland worden gevolgd, hetgeen hem het gevoel kan geven dat zijn privéleven voortdurend in de gaten wordt gehouden [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 118 ].

63 In deze omstandigheden vormt de verwerking van de gegevens in het hoofdgeding een ernstige inmenging in de grondrechten van de betrokken personen, in het bijzonder in hun rechten op eerbiediging van het privéleven en op bescherming van persoonsgegevens die zijn gewaarborgd door de artikelen 7 en 8 van het Handvest, welke inmenging, onder voorbehoud van de door de verwijzende rechter te verrichten verificaties, niet redelijk gerechtvaardigd lijkt in het licht van de doelstelling om de verspreiding van gerichte reclame mogelijk te maken.

64 Hoe dan ook lijkt het ongedifferentieerde gebruik van alle persoonsgegevens die in het bezit zijn van een socialmediaplatform voor reclamedoeleinden, ongeacht de gevoeligheid van deze gegevens, geen evenredige inmenging in de door de AVG aan de gebruikers van dat platform gewaarborgde rechten.

65 Gelet op het voorgaande dient op de tweede prejudiciële vraag te worden geantwoord dat artikel 5, lid 1, onder c), AVG aldus moet worden uitgelegd dat het in die bepaling neergelegde beginsel van „minimale gegevensverwerking” zich ertegen verzet dat alle persoonsgegevens die door een verwerkingsverantwoordelijke, zoals de exploitant van een onlinesocialmediaplatform, van de betrokkene of van derden zijn verkregen en zowel op dat platform als daarbuiten zijn verzameld, worden samengevoegd, geanalyseerd en verwerkt met het oog op gerichte reclame, zonder enige beperking in de tijd en zonder onderscheid naar de aard van die gegevens.

Vierde vraag

66 Met zijn vierde prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat de omstandigheid dat een persoon zich tijdens een voor het publiek toegankelijk rondetafelgesprek over zijn seksuele geaardheid heeft uitgesproken, de exploitant van een onlinesocialmediaplatform toestaat om andere gegevens over de seksuele geaardheid van die persoon te verwerken die in voorkomend geval buiten dat platform zijn verkregen uit apps en websites van derden, met het oog op de samenvoeging en analyse daarvan, teneinde die persoon gepersonaliseerde reclame aan te bieden.

67 Meer in het bijzonder wenst de verwijzende rechter te vernemen of Schrems vanwege zijn verklaring tijdens een rondetafelgesprek geen recht meer heeft op de bescherming van artikel 9, lid 1, AVG en of Facebook bijgevolg het recht had om andere gegevens betreffende zijn seksuele geaardheid te verwerken.

68 Vooraf zij opgemerkt dat het door de verwijzende rechter genoemde rondetafelgesprek, in het kader waarvan Schrems een verklaring over zijn seksuele geaardheid heeft afgelegd, op 12 februari 2019 heeft plaatsgevonden en dat Meta Platforms Ireland, zoals blijkt uit de verwijzingsbeslissing, op die datum reeds persoonsgegevens betreffende de seksuele geaardheid van Schrems verwerkte, zodat deze verklaring dateert van nadat met een dergelijke gegevensverwerking was begonnen.

69 Hieruit volgt dat de vierde vraag van de verwijzende rechter aldus moet worden opgevat dat zij uitsluitend betrekking heeft op de eventuele verwerkingen van gegevens over de seksuele geaardheid van Schrems die Meta Platforms Ireland na 12 februari 2019 zou hebben verricht. Het staat evenwel aan de verwijzende rechter om overeenkomstig de in punt 42 van het onderhavige arrest in herinnering gebrachte rechtspraak na te gaan of dergelijke verwerkingen daadwerkelijk na die datum hebben plaatsgevonden.

70 Om deze vraag te beantwoorden moet in de eerste plaats in herinnering worden gebracht dat in overweging 51 AVG staat te lezen dat persoonsgegevens die door hun aard bijzonder gevoelig zijn uit het oogpunt van de grondrechten en de fundamentele vrijheden, specifieke bescherming verdienen aangezien de context van de verwerking ervan significante risico’s voor deze grondrechten en de fundamentele vrijheden met zich kan brengen. Volgens deze overweging mogen dergelijke persoonsgegevens niet worden verwerkt, tenzij de verwerking is toegestaan in specifieke gevallen die in deze verordening worden vermeld.

71 In dit verband is in artikel 9, lid 1, AVG het beginsel neergelegd dat de verwerking van de daarin genoemde bijzondere categorieën van persoonsgegevens verboden is. Het gaat daarbij met name om gegevens waaruit ras of etnische afkomst, politieke opvattingen of religieuze overtuigingen blijken, en om gegevens over de gezondheid, het seksuele gedrag of de seksuele geaardheid van een natuurlijke persoon.

72 Voor de toepassing van artikel 9, lid 1, AVG moet in het geval van een verwerking van persoonsgegevens door de exploitant van een online sociaal netwerk worden nagegaan of deze gegevens informatie kunnen onthullen die onder een van de in die bepaling bedoelde categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon. Zo ja, dan is een dergelijke verwerking van persoonsgegevens verboden, behoudens de uitzonderingen van artikel 9, lid 2, AVG.

73 Zoals het Hof reeds heeft geoordeeld staat dit principiële verbod van artikel 9, lid 1, AVG los van de vraag of de informatie die bij de betrokken verwerking aan het licht komt al dan niet juist is en of de verwerkingsverantwoordelijke het doel nastreeft om informatie te verkrijgen die onder een van de in die bepaling bedoelde bijzondere categorieën valt. Gelet op de aanzienlijke risico’s voor de grondrechten en de fundamentele vrijheden van de betrokkenen die gepaard gaan met elke verwerking van persoonsgegevens van de in artikel 9, lid 1, AVG bedoelde categorieën, beoogt deze bepaling immers om deze verwerkingen te verbieden, ongeacht het gestelde doel ervan [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punten 69 en 70 ].

74 Hoewel artikel 9, lid 1, de verwerking van gegevens over met name de seksuele geaardheid principieel verbiedt, voorziet lid 2, punten a) tot en met j), van datzelfde artikel immers in tien uitzonderingen die los van elkaar staan en derhalve onafhankelijk moeten worden beoordeeld. Hieruit volgt dat wanneer niet is voldaan aan een van de voorwaarden voor de toepassing van een uitzondering van lid 2, dit dus niet eraan in de weg staat dat een verwerkingsverantwoordelijke zich op een andere uitzondering van die bepaling kan beroepen (arrest van 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punt 47 ).

75 Met betrekking tot in het bijzonder de uitzondering van artikel 9, lid 2, onder e), AVG, moet in herinnering worden gebracht dat volgens deze bepaling het in artikel 9, lid 1, neergelegde principiële verbod op elke verwerking van bijzondere categorieën van persoonsgegevens niet van toepassing is wanneer de verwerking betrekking heeft op persoonsgegevens die „kennelijk door de betrokkene openbaar zijn gemaakt”.

76 Voor zover daarin een uitzondering is opgenomen op het beginsel dat de verwerking van bijzondere categorieën van persoonsgegevens verboden is, moet artikel 9, lid 2, onder e), AVG restrictief worden uitgelegd [zie in die zin arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 76 en aldaar aangehaalde rechtspraak].

77 Ter toepassing van de uitzondering van artikel 9, lid 2, onder e), AVG moet daarom worden nagegaan of de betrokkene de aan de orde zijnde persoonsgegevens uitdrukkelijk en door middel van een ondubbelzinnige actieve handeling voor een breed publiek toegankelijk heeft willen maken [arrest van 4 juli 2023, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk), C‑252/21, EU:C:2023:537, punt 77 ].

78 In het onderhavige geval blijkt uit de verwijzingsbeslissing dat het op 12 februari 2019 in Wenen georganiseerde rondetafelgesprek, in het kader waarvan Schrems een verklaring aflegde over zijn seksuele geaardheid, toegankelijk was voor het publiek, dat een kaartje kon krijgen om persoonlijk aanwezig te zijn, afhankelijk van de beschikbaarheid, en dat het werd uitgezonden via streaming. Bovendien werd een opname van het gebeuren gepubliceerd als podcast en als video op het YouTubekanaal van de Commissie.

79 In die omstandigheden, en onder voorbehoud van de door de nationale rechter te verrichten verificaties, kan niet worden uitgesloten dat deze verklaring, hoewel zij deel uitmaakt van een ruimere toespraak en uitsluitend is afgelegd om kritiek te leveren op de verwerking van persoonsgegevens door Facebook, een handeling is waarmee de betrokkene zijn seksuele geaardheid met volledige kennis van zaken kennelijk openbaar heeft gemaakt in de zin van artikel 9, lid 2, onder e), AVG.

80 In de tweede plaats heeft de omstandigheid dat de betrokkene een gegeven betreffende zijn seksuele geaardheid kennelijk openbaar heeft gemaakt, weliswaar tot gevolg dat dit gegeven, in afwijking van het verbod van artikel 9, lid 1, AVG en overeenkomstig de vereisten die voortvloeien uit de andere bepalingen van deze verordening, kan worden verwerkt [zie in die zin arrest van 24 september 2019, GC e.a. (Verwijdering van links naar gevoelige gegevens), C‑136/17, EU:C:2019:773, punt 64 ], maar deze omstandigheid staat op zich niet toe, anders dan Meta Platforms Ireland betoogt, dat andere persoonsgegevens betreffende de seksuele geaardheid van deze persoon worden verwerkt.

81 Zo zou het om te beginnen in strijd zijn met de restrictieve uitlegging die aan artikel 9, lid 2, onder e), AVG moet worden gegeven om aan te nemen dat alle gegevens betreffende de seksuele geaardheid van een persoon ontsnappen aan de bescherming die voortvloeit uit lid 1 van dat artikel om de enkele reden dat de betrokkene een persoonsgegeven dat betrekking heeft op zijn seksuele geaardheid, kennelijk openbaar heeft gemaakt.

82 Voorts kan uit het feit dat een persoon een gegeven betreffende zijn seksuele geaardheid kennelijk openbaar heeft gemaakt, niet worden afgeleid dat deze persoon toestemming heeft verleend, in de zin van artikel 9, lid 2, onder a), AVG, voor de verwerking van andere gegevens betreffende zijn seksuele geaardheid door de exploitant van een onlinesocialmediaplatform.

83 Gelet op het voorgaande dient op de vierde prejudiciële vraag te worden geantwoord dat artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat de omstandigheid dat een persoon zich tijdens een voor het publiek toegankelijk rondetafelgesprek over zijn seksuele geaardheid heeft uitgesproken, de exploitant van een onlinesocialmediaplatform niet toestaat om andere gegevens over de seksuele geaardheid van die persoon te verwerken die in voorkomend geval buiten dat platform zijn verkregen uit apps en websites van derden, met het oog op de samenvoeging en analyse van die gegevens, teneinde hem gepersonaliseerde reclame aan te bieden.

Kosten

84 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Vierde kamer) verklaart voor recht:

Artikel 5, lid 1, onder c), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
het in die bepaling neergelegde beginsel van „minimale gegevensverwerking” zich ertegen verzet dat alle persoonsgegevens die door een verwerkingsverantwoordelijke, zoals de exploitant van een onlinesocialmediaplatform, van de betrokkene of van derden zijn verkregen en zowel op dat platform als daarbuiten zijn verzameld, worden samengevoegd, geanalyseerd en verwerkt met het oog op gerichte reclame, zonder enige beperking in de tijd en zonder onderscheid naar de aard van die gegevens.
Artikel 9, lid 2, onder e), van verordening 2016/679
moet aldus worden uitgelegd dat
de omstandigheid dat een persoon zich tijdens een voor het publiek toegankelijk rondetafelgesprek over zijn seksuele geaardheid heeft uitgesproken, de exploitant van een onlinesocialmediaplatform niet toestaat om andere gegevens over de seksuele geaardheid van die persoon te verwerken die in voorkomend geval buiten dat platform zijn verkregen uit apps en websites van derden, met het oog op de samenvoeging en analyse van die gegevens, teneinde hem gepersonaliseerde reclame aan te bieden.

ondertekeningen