欧盟法院最新裁定:禁止网络平台无节制使用个人数据用于定向广告

学术   2024-10-06 09:08   浙江  
2024年10月4日,欧盟法院最新裁定认为,在线社交网络等平台不能无限制地、不分类型地使用收集的所有个人数据用于定向广告。
这一次案件C-446/21 案件,又和奥地利隐私活动家马克斯·施雷姆斯(Max Schrems)有关,他发起了针对 Meta 的挑战,这是他多年来与社交媒体巨头斗争,以确保其遵守欧盟数据隐私规则的最新举措。
案件最初于 2014 年提起,于 2020 年在奥地利首次全面审理,涉及Max Schrems认为Meta大量违反 GDPR 的行为。为了本案,奥地利最高法院将包括本案在内系列案件的四个规则模糊问题,于 2021 年向欧洲法院(CJEU)提出解释法律的要求,以寻求对GDPR条款的释明。 2024年10月4日,欧洲最高法院对涉本案相关的两个重要问题作出了解释性裁定。
问题一:“《通用数据保护条例》第 5 条第 1 款第(c)项(数据最小化)是否应解释为意味着,平台(如本诉中所述的Meta)所持有的所有个人数据(特别是从数据主体收集或平台内外第三方提供的数据)可以不受时间或数据类型限制地汇总、分析和处理,用于定向广告?”
Meta Platforms Ireland 收集Facebook 用户的个人数据,包括施雷姆斯先生,这些数据涉及用户在该社交网络内外部的活动,特别是包括在线平台访问和第三方网站及应用程序的数据。为此,Meta Platforms Ireland 在相关网站上嵌入“cookies”、“社交插件”和“像素”。
Facebook 的社交插件是由(第三方)网站运营商选择嵌入到其页面中的,其中最常用的是 Facebook 的“赞”按钮。每当访问包含该按钮的网站时,存储的 cookies、访问页面的 URL 以及各种日志数据(例如 IP 地址、时间数据)都会被传输到 Meta Platforms Ireland。在这方面,用户不必点击“赞”按钮,仅仅加载带有此类社交插件的页面就足以将这些数据传输到 Meta Platforms Ireland。类似于社交插件,像素可以被嵌入网站中,以便收集有关访问过这些网站的用户的详细信息,例如,为了衡量和优化其上的广告。例如,当网站运营商将 Facebook 像素集成到自己的网站中时,他们可以从 Meta Platforms Ireland 那里收到报告,了解有多少人看到了他们在 Facebook 上的广告,然后随后访问或购买运营商的网站。
在案件中,Max Schrems认为,Meta 将所有个人数据都汇聚进入了一个大的“数据池”,并且可以无限期地用于个人广告——没有任何限制——这似乎明显违反了数据最小化原则。在某些情况下有明确的删除限制(例如,当保留记录的法律义务结束时),因此Meta 必须制定数据管理协议,逐步删除不需要的数据或停止使用它们。
到目前为止,Meta 使用它所收集的所有个人数据进行广告。例如,Facebook 用户数据可以追溯到 2004 年,包括用户输入的数据、其他用户输入的数据或通过在线跟踪或移动应用跟踪收集的数据。
为了防止此类做法,GDPR 在第五条第一款(c)中确立了“数据最小化”原则,要求仅处理严格必要的数据。到目前为止,Meta 和在线广告领域的许多参与者都简单地忽视了这一规定,没有预见任何基于个人数据类型的删除期限或限制。‘数据最小化原则’的应用极大地限制了个人数据用于广告的使用。数据最小化原则适用于处理所依据的法律基础,因此,即使用户同意个性化广告,其个人数据也不能无限期地被使用。
Max Schrems的代理人认为,“Meta 公司已经积累了 20 年的用户大数据池,并且每天都在增长。然而,欧盟法律要求‘数据最小化’。根据裁决,Meta 的数据池中只有一小部分可以用于广告——即使用户同意广告。这一裁决也适用于任何没有严格数据删除实践的在线广告公司。” 
最终,欧盟法院的裁定认为,Meta “不得无限制和无限期地使用”其收集的所有个人数据用于定向广告。
问题二:“根据《通用数据保护条例》第 5 条第 1 款第(b)项以及第 9 条第 2 款第(e)项的规定,在公开场合讨论个人性取向的信息,是否允许平台采集,基于与其性取向相关的其他数据进行数据聚合和分析,用于个性化广告?”
事情的起因是,2019 年 2 月 12 日,在维也纳举行的一次面向公众的圆桌讨论会上,应欧洲委员会奥地利代表处的邀请,Max Schrems在会上提及了自己的性取向,以批评 Facebook 处理个人数据的行为,包括处理他自己的数据。该圆桌讨论会进行了直播,随后将圆桌讨论的录音作为播客发布,并上传至委员会的 YouTube 频道。然而,Max Schrems从未在他的 Facebook 个人资料中提及过他个人生活的这一方面。
尽管Max Schrems从未在账户中公开过自己的性取向,但在一次圆桌讨论中公开了这个事实,之后不久就收到了有针对性的广告。
根据《通用数据保护条例》第 9 条第2款(c),当“数据处理与已经由数据主体明明显公开的个人相关”时,对“特定自然人的性生活或性取向的数据进行处理”的特殊种类个人信息的处理,将作为禁止处理的豁免。
最终,欧盟最高法院在裁定中支持了Max Schrems,认为“在公开场合讨论中关于个人性取向的陈述时,并不授权在线社交网络平台处理与他性取向相关的其他数据”,即社交媒体公司 Meta 不能将在其平台之外获得的有关用户性取向的公开信息用于个性化广告。
欧盟法院的裁定全文还没有公开,以上信息来源整理来源于欧盟法院新闻稿等渠道。

-作者微信:macelawyer-


来源:互联网法律匠‍‍‍‍‍‍‍‍

网络法实务圈
公司法务人员、法律实务人士、网络法探索者关注的网络法实务平台; 电商法、网络安全法、个人信息保护、数据合规、电子存证、网络诉讼、网络广告合规……关于网络法实务的大本营 在互联网时代,我们一起进化为网络法律人
 最新文章