–

Maximilian Schrems, edustajanaan K. Raabe-Stuppnig, Rechtsanwältin,

–

Meta Platforms Ireland Ltd, edustajinaan K. Hanschitz, H.-G. Kamann, S. Khalil, B. Knötzl ja A. Natterer, Rechtsanwälte,

–

Itävallan hallitus, asiamiehinään A. Posch, J. Schmoll, C. Gabauer, G. Kunnert ja E. Riedl,

–

Ranskan hallitus, asiamiehinään R. Bénard ja A.-L. Desjonquères,

–

Italian hallitus, asiamiehenään G. Palmieri, avustajanaan E. De Bonis, avvocato dello Stato,

–

Portugalin hallitus, asiamiehinään P. Barros da Costa, A. Pimenta, J. Ramos ja C. Vieira Guerra,

–

Euroopan komissio, asiamiehinään A. Bouchagiar, F. Erlbacher, M. Heller ja H. Kranenborg

1

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 5 artiklan 1 kohdan b ja c alakohdan, 6 artiklan 1 kohdan a ja b alakohdan sekä 9 artiklan 1 kohdan ja 2 kohdan e alakohdan tulkintaa.

2

Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Facebook-yhteisöpalvelun käyttäjä Maximilian Schrems ja Meta Platforms Ireland Ltd, aiemmin Facebook Ireland Ltd, jonka kotipaikka on Irlannissa, ja jossa on kyse siitä, että kyseisen yhtiön väitetään käsitelleen Schremsin henkilötietoja lainvastaisesti.

3

Yleisen tietosuoja-asetuksen johdanto-osan 1, 4, 39, 42, 43, 50 ja 51 perustelukappaleessa todetaan seuraavaa:

– –

– –

– –

– –

4

Yleisen tietosuoja-asetuksen 4 artiklassa säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

– –

– –

– –

– –”

5

Yleisen tietosuoja-asetuksen 5 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.   Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

– –

– –

2.   Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

6

Kyseisen asetuksen 6 artiklassa, jonka otsikko on ”Käsittelyn lainmukaisuus”, säädetään seuraavaa:

”1.   Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

– –

4.   Jos käsittely tapahtuu muuta kuin sitä tarkoitusta varten, jonka vuoksi tiedot on kerätty, eikä käsittely perustu rekisteröidyn suostumukseen eikä unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi, rekisterinpitäjän on otettava huomioon muun muassa seuraavat asiat varmistaakseen, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin:

7

Yleisen tietosuoja-asetuksen 7 artiklassa, jonka otsikko on ”Suostumuksen edellytykset”, säädetään seuraavaa:

”1.   Jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn.

– –

3.   Rekisteröidyllä on oikeus peruuttaa suostumuksensa milloin tahansa. Suostumuksen peruuttaminen ei vaikuta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen. Ennen suostumuksen antamista rekisteröidylle on ilmoitettava tästä. Suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antaminen.

4.   Arvioitaessa suostumuksen vapaaehtoisuutta on otettava mahdollisimman kattavasti huomioon muun muassa se, onko sopimuksen täytäntöönpanon, mukaan lukien palvelun tarjoamisen, ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten.”

8

Yleisen tietosuoja-asetuksen 9 artiklassa, jonka otsikko on ”Erityisiä henkilötietoryhmiä koskeva käsittely”, säädetään seuraavaa:

”1.   Sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tietojen käsittely, biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely on kiellettyä.

2.   Edellä olevaa 1 kohtaa ei sovelleta, jos sovelletaan jotakin seuraavista:

– –

– –”

9

Kyseisen asetuksen 13 artiklassa, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, säädetään seuraavaa:

”1.   Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:

– –

– –

3.   Jos rekisterinpitäjä aikoo käsitellä henkilötietoja edelleen muuhun tarkoitukseen kuin siihen, johon henkilötiedot kerättiin, rekisterinpitäjän on ilmoitettava rekisteröidylle ennen kyseistä jatkokäsittelyä tästä muusta tarkoituksesta ja annettava kaikki asiaankuuluvat lisätiedot 2 kohdan mukaisesti.

– –”

10

Yleisen tietosuoja-asetuksen 25 artiklan 2 kohdassa säädetään seuraavaa:

”Rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta.”

11

Meta Platforms Ireland, joka hallinnoi Facebook-verkkoyhteisöpalvelun palvelujen tarjoamista unionissa, on tämän yhteisöpalvelun käyttäjien henkilötietojen rekisterinpitäjä unionissa. Sillä ei ole sivuliikettä Itävallassa. Meta Platforms Ireland markkinoi muun muassa www.facebook.com ‑osoitteessa palveluja, jotka tarjottiin 5.11.2023 saakka yksityiskäyttäjille maksutta. Nämä palvelut ovat 6.11.2023 lähtien pysyneet maksuttomina ainoastaan käyttäjille, jotka ovat suostuneet siihen, että heidän henkilötietojaan kerätään ja käytetään heille lähetettävää personoitua mainontaa varten, ja käyttäjillä on ollut mahdollisuus tehdä maksullinen tilaus voidakseen käyttää kyseisten palvelujen sellaista versiota, jonka yhteydessä he eivät saa kohdennettua mainontaa.

12

Facebook-verkkoyhteisöpalvelun liiketoimintamalli perustuu yksittäisille yhteisöpalvelun käyttäjille muun muassa heidän kulutuskäyttäytymisensä, mielenkiinnon kohteidensa ja elämäntilanteensa perusteella kohdennetusti osoitetusta verkkomainonnasta saatavaan rahoitukseen. Tällaisen mainonnan tekee teknisesti mahdolliseksi yhteisöpalvelun ja Meta-konsernin tarjoamien verkkopalvelujen käyttäjien yksityiskohtaisten profiilien automatisoitu laatiminen.

13

Meta Platforms Ireland perustaa Facebook-yhteisöpalvelun käyttäjien henkilötietojen käsittelyn käyttösopimukseen, jonka osapuoleksi käyttäjät liittyvät painamalla rekisteröitymispainiketta, jolloin he hyväksyvät kyseisen yhtiön laatimat yleiset ehdot. Pääasian tosiseikkojen tapahtuma-aikaan näiden ehtojen hyväksyminen oli välttämätöntä Facebook-yhteisöpalvelun käyttämiselle. Yleisissä ehdoissa viitataan käyttäjien henkilötietojen käsittelyn osalta tämän yhtiön vahvistamiin tietosuoja- ja evästekäytäntöihin. Meta Platforms Ireland kerää kyseisten käytäntöjen avulla käyttäjiä ja käyttäjien laitteita koskevia tietoja käyttäjien toiminnasta yhteisöpalvelussa ja sen ulkopuolella ja yhdistää kyseiset tiedot asianomaisten käyttäjien Facebook-tileihin. Yhteisöpalvelun ulkopuolista toimintaa koskevat tiedot (jäljempänä myös off Facebook ‑tiedot) ovat peräisin yhtäältä sellaisilla kolmansien osapuolten verkkosivustoilla ja sellaisissa sovelluksissa, jotka ovat yhteydessä Facebookiin ohjelmointirajapintojen välityksellä, käymisestä ja toisaalta muiden Meta‑konserniin kuuluvien verkkopalvelujen, kuten muun muassa Instagramin ja WhatsAppin, käyttämisestä.

14

Ennen yleisen tietosuoja-asetuksen voimaantuloa Facebookin käyttäjät antoivat nimenomaisen suostumuksensa tietojensa käsittelyyn kyseisenä ajankohtana sovellettavien vastapuolen käyttöehtojen mukaisesti. Koska yleinen tietosuoja-asetus tuli voimaan 25.5.2018, Meta Platforms Ireland vahvisti 19.4.2018 uudet käyttöehdot ja esitti ne käyttäjiensä hyväksyttäviksi. Koska Schremsin tili oli suljettu, hän hyväksyi nämä uudet käyttöehdot voidakseen jatkaa Facebookin käyttöä. Suostumus oli tarpeen, jotta hän voisi käyttää edelleen tiliään ja siihen liittyviä palveluja.

15

Meta Platforms Ireland on ottanut käyttöön useita ”työkaluja” (tools), joiden avulla käyttäjät voivat tarkastella ja valvoa tallennettuja tietojaan. Kaikki käsitellyt tiedot eivät näy näissä työkaluissa vaan niissä näkyvät ainoastaan tiedot, joita kyseinen yhtiö pitää käyttäjien kannalta kiinnostavina ja merkityksellisinä. Käyttäjä, joka sitä pyytää, voi esimerkiksi nähdä, että hän on avannut sovelluksen Facebook-profiilinsa kautta, vieraillut verkkosivustolla, tehnyt tietyn haun tai ostoksen tai jopa napsauttanut mainosta.

16

Meta Platforms Ireland käyttää evästeitä (cookies), yhteisöliitännäisiä (social plugins) ja jäljitteitä (pixels), kuten sen käyttöehdoissa ja ohjeissa esitetään. Se voi määrittää hakujen tekemisen lähteen evästeiden avulla. Jos evästeitä ei aktivoida, monia Meta Platforms Irelandin tarjoamia palveluja ei ole mahdollista käyttää. Kolmansien verkkosivustojen ylläpitäjät ”sisällyttävät” Facebookin ”yhteisöliitännäiset” sivuilleen. Yleisin on Facebookin tykkää-painike. Jokaisen tämän painikkeen sisältävillä verkkosivuilla käynnin yhteydessä käytettyyn laitteeseen asennetut evästeet, vieraillun sivun URL-osoite ja muut tiedot, kuten IP-osoite tai kellonaika, toimitetaan Meta Platforms Irelandille. Tätä varten ei ole tarpeen, että käyttäjä on napsauttanut tykkää-painiketta, koska pelkkä tällaisen liitännäisen sisältävän verkkosivun visualisointi riittää siihen, että tiedot toimitetaan tämän jälkeen kyseiselle yhtiölle.

17

Ennakkoratkaisupyynnöstä ilmenee, että myös poliittisten puolueiden verkkosivuilla ja homoseksuaaleille tarkoitetuilla sivuilla, joilla Schrems on vieraillut, on liitännäisiä. Näiden liitännäisten avulla Meta Platforms Ireland saattoi seurata Schremsin käyttäytymistä verkossa, mikä johti tiettyjen arkaluonteisten henkilötietojen keräämiseen.

18

Yhteisöliitännäisten tavoin verkkosivustojen sivuille voidaan sisällyttää jäljitteitä, joilla on mahdollista kerätä tietoja näillä sivuilla vierailleista käyttäjistä erityisesti niillä olevan mainonnan mitoittamiseksi ja optimoimiseksi. Esimerkiksi silloin, kun verkkosivujen ylläpitäjät sisällyttävät omille verkkosivuilleen Facebook-jäljitteen, ne voivat saada Meta Platforms Irelandilta raportteja niiden henkilöiden määrästä, jotka ovat nähneet niiden mainoksen Facebookissa ja jotka ovat tämän jälkeen kirjautuneet niiden omalle verkkosivulle tutustuakseen siihen tai tehdäkseen siellä ostoksen.

19

Yhteisöliitännäiset ja jäljitteet ovat yhdessä evästeiden kanssa siten olennainen osa verkkomainontaa, koska suurin osa verkossa saatavilla olevista sisällöistä rahoitetaan mainonnalla. Liitännäisillä voidaan erityisesti esittää käyttäjille merkityksellisiä mainoksia, ja mainostajat käyttävät jäljitteitä mainoskampanjoiden tuloksellisuuden mittaamiseen ja tiedon saamiseen kohteena olevista käyttäjäryhmistä.

20

Nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ilmenee, ettei Schrems ole antanut Meta Platforms Irelandille lupaa käsitellä hänen niitä henkilötietojaan, jotka tämä saa mainostajilta ja muilta yhteistyökumppaneilta Schremsin toiminnasta Facebookin ulkopuolella, personoidun mainonnan tarkoituksiin. Meta Platforms Ireland on kuitenkin saanut joitakin Schremsiä koskevia tietoja kolmansien verkkosivustoille sisällytettyjen evästeiden, yhteisöliitännäisten ja vastaavien tekniikoiden ansiosta ja käyttänyt näitä tietoja Facebook-tuotteiden parantamiseen ja personoidun mainonnan lähettämiseen Schremsille.

21

Ennakkoratkaisupyynnöstä ilmenee lisäksi myös, että Schrems ei ole ilmoittanut mitään arkaluonteisia tietoja Facebook-profiilissaan, että vain hänen ”kaverinsa” saattavat katsella hänen toimintaansa tai hänen ”aikajanallaan” (timeline) olevia tietoja ja että hänen ”kaverilistansa” ei ole julkinen. Schrems on myös päättänyt olla antamalla Meta Platforms Irelandille lupaa käyttää kohdennettua mainontaa varten hänen profiilinsa niitä kenttiä, jotka koskevat hänen rakkauselämäänsä, työnantajaansa, työpaikkaansa ja koulutustaan.

22

Meta Platforms Ireland voi kuitenkin sen käytettävissä olevien tietojen perusteella yksilöidä myös sen kiinnostuksen, jota Schrems osoittaa arkaluonteisia aiheita, kuten terveyttä, seksuaalista suuntautumista, etnisiä ryhmiä ja poliittisia puolueita, kohtaan, minkä johdosta hänelle voidaan osoittaa esimerkiksi tällaista seksuaalista suuntautumista tai poliittista vakaumusta koskevaa kohdennettua mainontaa.

23

Tämän johdosta yhtäältä Schrems sai erästä naispuolista itävaltalaista poliitikkoa koskevan mainoksen, joka perustui Meta Platforms Irelandin tekemään analyysiin, jonka mukaan hänellä on samoja piirteitä muiden sellaisten käyttäjien kanssa, jotka ovat ”tykänneet” tästä poliitikosta. Toisaalta Schrems sai myös säännöllisesti homoseksuaaleille tarkoitettuja mainoksia ja kutsuja vastaaviin tapahtumiin, vaikka hän ei ollut koskaan aiemmin ollut kiinnostunut näistä tapahtumista eikä tuntenut kyseisten tapahtumien paikkaa. Nämä mainokset ja kutsut eivät perustuneet suoraan pääasian valittajan ja hänen ”kaveriensa” seksuaaliseen suuntautumiseen vaan ne perustuivat heidän kiinnostuksen kohteidensa analyysiin eli tässä tapauksessa siihen, että yksi Schremsin ystävistä oli merkinnyt erään tuotteen painamalla tykkää-painiketta.

24

Schrems teetti analyysin siitä, mitä päätelmiä hänen kaverilistastaan voidaan tehdä, ja siitä ilmeni, että hän on suorittanut siviilipalveluksensa Punaisessa ristissä Salzburgissa ja että hän on homoseksuaali. Meta Platforms Irelandilla olevaan Schremsin Facebookin ulkopuolisesta toiminnasta laadittuun luetteloon sisältyy muun muassa homoseksuaalien tapaamisiin liittyviä sovelluksia tai verkkosivustoja ja erään itävaltalaisen poliittisen puolueen verkkosivusto. Pääasian valittajasta tallennettuihin tietoihin kuuluu myös sähköpostiosoite, jota ei ole mainittu hänen Facebook-profiilissaan mutta jota hän on käyttänyt pyyntöjen esittämiseen Meta Platforms Irelandille.

25

Ennakkoratkaisupyynnöstä ilmenee vielä, että Schrems ilmoittaa julkisesti olevansa homoseksuaali. Hän ei kuitenkaan ole milloinkaan maininnut seksuaalista suuntautumistaan Facebook-profiilissaan.

26

Schrems väitti Landesgericht für Zivilrechtssachen Wienissä (Wienin osavaltion siviilituomioistuin, Itävalta), että Meta Platforms Irelandin suorittama hänen henkilötietojensa käsittely rikkoo useita yleisen tietosuoja-asetuksen säännöksiä. Hän katsoi tältä osin, että hänen antamansa suostumus pääasian vastapuolen digitaalisen alustan käyttöehtoihin ei ole kyseisen asetuksen 6 artiklan 1 kohdan ja 7 artiklan vaatimusten mukainen. Meta Platforms Ireland käsittelee lisäksi yleisen tietosuoja-asetuksen 9 artiklassa tarkoitettuja pääasian valittajan arkaluonteisia tietoja ilman tähän tarkoitukseen kyseisen asetuksen 7 artiklan nojalla tarvittavaa suostumusta. Mitään pätevää suostumusta ei ole myöskään annettu sellaisten Schremsin henkilötietojen käsittelyyn, jotka Meta Platforms Ireland on saanut kolmansilta osapuolilta. Schrems vaati tässä yhteydessä muun muassa, että vastaaja velvoitetaan lopettamaan hänen henkilötietojensa käsittely personoidun mainonnan tarkoituksiin sekä näiden tietojen, jotka perustuvat kolmansien osapuolten verkkosivustoilla käymiseen ja jotka kolmannet osapuolet ovat saaneet, käyttö.

27

Meta Platforms Ireland katsoi sitä vastoin, että Schremsin tietoja on käsitelty verkkoyhteisöpalvelun käyttöehtojen mukaisesti, ja nämä käyttöehdot ovat yleisen tietosuoja-asetuksen vaatimusten mukaiset. Tämä tietojenkäsittely on sen mukaan lainmukaista, eikä se perustu kyseisen asetuksen 6 artiklan 1 kohdan a alakohdassa edellytettyyn pääasian valittajan suostumukseen vaan se perustuu muihin oikeuttamisperusteisiin, joihin kuuluu ensisijaisesti se, että kyseinen käsittely on tarpeen pääasian valittajan ja vastapuolen välisen sopimuksen täyttämiseksi mainitun asetuksen 6 artiklan 1 kohdan b alakohdassa tarkoitetussa merkityksessä.

28

Pääasiassa unionin tuomioistuimelle on jo esitetty ennakkoratkaisupyyntö, joka on johtanut 25.1.2018 annettuun tuomioon Schrems (C‑498/16, EU:C:2018:37). Tämän tuomion jälkeen Landesgericht für Zivilrechtssachen Wien hylkäsi Schremsin vaatimukset 30.6.2020 antamallaan tuomiolla. Samoin Oberlandesgericht Wien (Wienin osavaltion ylioikeus, Itävalta), johon asiassa valitettiin, hylkäsi Schremsin tästä tuomiosta tekemän valituksen muun muassa sillä perusteella, että Schremsin henkilötietojen käsittely verkkoalustan käyttäjänä, mukaan lukien personoitu mainonta, on olennainen osa osapuolten välistä verkkoalustan käyttöä koskevaa sopimusta. Näiden tietojen käsittely on siis vastapuolen mukaan tarpeen kyseisen sopimuksen täyttämiseksi yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdassa tarkoitetussa merkityksessä.

29

Schrems teki Revision-valituksen Oberster Gerichtshofiin (ylin yleinen tuomioistuin, Itävalta), joka toteaa, että Meta Platforms Irelandin liiketoimintamalli perustuu varojen tuottamiseen sellaisella kohdennetulla mainonnalla ja sellaisilla kaupallisilla sisällöillä, jotka nojautuvat Facebook-käyttäjien mieltymyksiin ja mielenkiinnon kohteisiin, näiden käyttäjien henkilötietoja käsittelemällä. Koska Facebook voi kyseisen käsittelyn avulla tarjota käyttäjilleen palveluja maksutta, tämän käsittelyn voitaisiin katsoa olevan tarpeen näiden käyttäjien kanssa tehdyn sopimuksen täyttämiseksi yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdassa tarkoitetussa merkityksessä.

30

Kyseisen tuomioistuimen mukaan tässä säännöksessä, jota on tulkittava suppeasti, ei kuitenkaan pitäisi sallia tällaista tietojenkäsittelyä siten, ettei rekisteröidyn suostumusta tarvita.

31

Oberster Gerichtshof huomauttaa lisäksi, että Meta Platforms Ireland käsittelee henkilötietoja, jotka voidaan luokitella ”arkaluonteisiksi” yleisen tietosuoja-asetuksen 9 artiklan 1 kohdan nojalla.

32

Nyt käsiteltävässä asiassa Meta Plaforms Ireland käsittelee tietoja, jotka koskevat Schremsin poliittisesta vakaumusta ja seksuaalista suuntautumista. Oberster Gerichtshofin toteamusten mukaan Schrems ilmoittaa julkisesti seksuaalisesta suuntautumisestaan. Schrems on erityisesti paneelikeskustelussa, johon hän osallistui 12.2.2019 Wienissä Euroopan komission Itävallan edustuston kutsusta, viitannut seksuaaliseen suuntautumiseensa arvostellakseen Facebookin suorittamaa henkilötietojen käsittelyä ja myös hänen omien tietojensa käsittelyä. Schrems ei kuitenkaan ole milloinkaan maininnut tätä yksityiselämäänsä liittyvää näkökohtaa Facebook-profiilissaan, kuten hän on myös tässä tilaisuudessa ilmoittanut.

33

Kyseisen tuomioistuimen mukaan esiin tulee siis kysymys siitä, onko asianomainen käyttäjä nimenomaisesti saattanut häntä koskevat arkaluonteiset henkilötiedot julkisiksi ja siis sallinut niiden käsittelyn yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdan nojalla.

34

Tässä tilanteessa Oberster Gerichshof päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1. Onko yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan a ja b alakohdan säännöksiä tulkittava siten, että pääasiassa kyseessä olevien kaltaisia alustasopimuksia koskeviin yleisiin käyttöehtoihin sisältyvien sopimusmääräysten (etenkin seuraavanlaisten sopimusmääräysten: ”Sen sijaan, että maksaisit Facebookin – – käyttämisestä, hyväksyt näiden käyttöehtojen kattamia Facebook-tuotteita käyttämällä, että voimme näyttää sinulle – – mainoksia – –. Käytämme henkilökohtaisia tietojasi – – näyttääksemme sinulle mainoksia, jotka ovat osuvia juuri sinulle”), joissa määrätään henkilötietojen käsittelystä tietojen yhdistelemiseksi ja analysoimiseksi personoidun mainonnan tarkoituksiin, lainmukaisuutta on arvioitava yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan, luettuna yhdessä 7 artiklan kanssa, vaatimusten mukaisesti, joita ei voida korvata vetoamalla yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohtaan?

2. Onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa (tietojen minimointi) tulkittava siten, että kaikkia henkilötietoja, joita pääasiassa kyseessä olevan kaltaisella alustalla on käytettävissään (etenkin rekisteröidyn tai kolmansien osapuolten välityksellä alustalla ja sen ulkopuolella), voidaan yhdistellä, analysoida ja käsitellä ilman ajallisia rajoituksia tai tietojen luonnetta koskevia rajoituksia kohdennetun mainonnan tarkoituksiin?

3. Onko yleisen tietosuoja-asetuksen 9 artiklan 1 kohtaa tulkittava siten, että sitä on sovellettava tietojenkäsittelyyn, joka mahdollistaa erityisten henkilötietoryhmien, kuten poliittisten vakaumusten tai seksuaalisen suuntautumisen, kohdennetun suodattamisen (esimerkiksi mainostamista varten) myös silloin, kun rekisterinpitäjä ei erottele näitä tietoja?

4. Onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohtaa, luettuna yhdessä 9 artiklan 2 kohdan e alakohdan kanssa, tulkittava siten, että omasta seksuaalisesta suuntautumisesta lausuminen paneelikeskustelua varten mahdollistaa seksuaalista suuntautumista koskevien muiden tietojen käsittelyn tietojen yhdistelemiseksi ja analysoimiseksi personoidun mainonnan tarkoituksiin?”

35

Unionin tuomioistuimen presidentti lykkäsi 7.4.2022 tekemällään päätöksellä tämän asian käsittelyä, kunnes asiassa C‑252/21, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), annetaan lopullinen ratkaisu.

36

Unionin tuomioistuimen presidentti antoi 7.7.2023 tekemällään päätöksellä ennakkoratkaisua pyytäneelle tuomioistuimelle nyt käsiteltävässä asiassa tiedoksi 4.7.2023 annetun tuomion Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2023:537) ja tiedusteli tältä, halusiko se kyseisen tuomion huomioon ottaen pysyttää ennakkoratkaisupyyntönsä kokonaan tai osittain, ja jos tämä pyyntö peruutetaan osittain, pyysi tätä esittämään syyt ennakkoratkaisupyynnön osan pysyttämiselle.

37

Kyseinen tuomioistuin peruutti 19.7.2023 antamallaan määräyksellä, joka saapui unionin tuomioistuimen kirjaamoon 9.8.2023, ensimmäisen ja kolmannen ennakkoratkaisukysymyksensä ja totesi, että mainitulla tuomiolla on vastattu näihin kysymyksiin. Kyseinen tuomioistuin pysytti sitä vastoin toisen ja neljännen ennakkoratkaisukysymyksensä ja esitti, ettei niihin ollut vastattu tässä samassa tuomiossa täysimääräisesti.

38

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisella kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa tulkittava siten, että siinä säädetty ”tietojen minimoinnin” periaate on esteenä sille, että kaikkia niitä henkilötietoja, jotka verkkoyhteisöalustan ylläpitäjän kaltainen rekisterinpitäjä on saanut rekisteröidyltä tai kolmannelta osapuolelta ja jotka on kerätty sekä tältä alustalta että sen ulkopuolelta, yhdistellään, analysoidaan ja käsitellään kohdennettua mainontaa varten ilman ajallisia rajoituksia ja tekemättä eroa näiden tietojen luonteen mukaan.

39

Pääasian vastapuoli väittää, että tämä kysymys on jätettävä tutkimatta sillä perusteella yhtäältä, että ennakkoratkaisua pyytänyt tuomioistuin ei ole selittänyt niitä syitä, joiden vuoksi vastaus mainittuun kysymykseen olisi hyödyllinen pääasian ratkaisemisen kannalta, ja toisaalta, että kyseinen tuomioistuin on nojautunut väärään tosiseikkoja koskevaan lähtökohtaan katsoessaan virheellisesti, että pääasian vastapuoli käyttää mainostamista varten kaikkia sen käytössä olevia henkilötietoja ilman ajallisia rajoituksia ja tekemättä eroa näiden tietojen luonteen mukaan.

40

Ensinnäkin on korostettava sen väitteen osalta, jonka mukaan ennakkoratkaisua pyytänyt tuomioistuin ei ole esittänyt niitä syitä, joiden vuoksi se katsoo, että vastaus sen toiseen kysymykseen on hyödyllinen pääasian ratkaisemisen kannalta, että on tärkeää, että kansallinen tuomioistuin ilmoittaa täsmällisesti ne syyt, joiden perusteella se pohtii unionin oikeuden tulkintaa ja on päätynyt siihen, että ennakkoratkaisukysymysten esittäminen unionin tuomioistuimelle on tarpeellista (tuomio 6.12.2005, ABNA ym., C‑453/03, C‑11/04, C‑12/40 ja C‑194/04, EU:C:2005:741, 46 kohta ja tuomio 29.2.2024, Staatssecretaris van Justitie en Veiligheid (Keskinäinen luottamus siirtotapauksessa), C‑392/22, EU:C:2024:195, 85 kohta). Nyt käsiteltävässä asiassa ennakkoratkaisupyynnön perusteluista kuitenkin ilmenee, että ennakkoratkaisua pyytänyt tuomioistuin pyrkii selvittämään, onko – jos oletetaan, että pääasiassa kyseessä oleva käsittely mainostamista varten on oikeutettua yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b alakohdan nojalla – pääasian vastapuolen näin käsittelemien tietojen laajuus tietojen minimoinnin periaatteen mukaista vai onko sitä vastoin näin laaja käsittely vastoin rekisterinpitäjälle yleisen tietosuoja-asetuksen 5 artiklan nojalla kuuluvia velvollisuuksia. Syyt, joiden vuoksi vastaus tähän kysymykseen on hyödyllinen pääasian ratkaisemisen kannalta, ilmenevät siis riittävällä tavalla ennakkoratkaisupyynnöstä.

41

Toiseksi on todettava väitteestä, jonka mukaan ennakkoratkaisua pyytänyt tuomioistuin on nojautunut väärään tosiseikkoja koskevaan lähtökohtaan, että on totta, että toinen ennakkoratkaisukysymys perustuu lähtökohtaan, jonka mukaan yhtäältä – kuten tämän tuomion 20 kohdassa on mainittu – Meta Platforms Ireland on siitä huolimatta, ettei Schrems ole antanut sille lupaa käsitellä hänen Facebookin ulkopuolista toimintaansa koskevia henkilötietojaan, käsitellyt kuitenkin joitakin näistä tiedoista, jotka sen väitetään saaneen kolmansia osapuolia olevilta yhteistyökumppaneiltaan muun muassa niiden Facebookin evästeiden ja yhteisöliitännäisten ansiosta, jotka on sisällytetty näiden kolmansien osapuolten verkkosivustoihin, sillä perusteella, että Schrems on hyväksynyt yhteisöpalvelun yleiset käyttöehdot, ja toisaalta Meta Platforms Ireland käsittelee näitä henkilötietoja ilman ajallisia rajoituksia ja tekemättä eroa kyseisten tietojen luonteen mukaan.

42

On kuitenkin muistutettava, että vakiintuneen oikeuskäytännön mukaan SEUT 267 artiklassa määrätään unionin tuomioistuimen ja jäsenvaltioiden tuomioistuinten välisestä välittömän yhteistyön menettelystä. Kyseisessä menettelyssä, joka perustuu kansallisten tuomioistuinten ja unionin tuomioistuimen tehtävien selkeään jakoon, oikeusriidan tosiseikaston arvioiminen kuuluu kansallisen tuomioistuimen toimivaltaan, ja sen tehtävänä on asian erityispiirteiden perusteella harkita, onko ennakkoratkaisu tarpeen asian ratkaisemiseksi ja onko sen unionin tuomioistuimelle esittämillä kysymyksillä merkitystä asian kannalta, kun taas unionin tuomioistuimella on ainoastaan toimivalta lausua unionin oikeuden tulkinnasta tai pätevyydestä sellaisten tosiseikkojen perusteella, jotka kansallinen tuomioistuin on sille esittänyt (tuomio 25.10.2017, Pulbud –Wykonawstwo, C‑106/16, EU:C:2017:804, 27 kohta oikeuskäytäntöviittauksineen).

43

Esitettyyn kysymykseen on siis vastattava tämän lähtökohdan perusteella, mutta ennakkoratkaisua pyytäneen tuomioistuimen on tutkittava sen paikkansapitävyys.

44

Toinen ennakkoratkaisukysymys voidaan näin ollen ottaa tutkittavaksi.

45

Ensimmäiseksi on muistutettava, että yleisen tietosuoja-asetuksen tavoite, sellaisena kuin se ilmenee sen 1 artiklasta ja sen johdanto-osan ensimmäisestä ja kymmenennestä perustelukappaleesta, on etenkin se, että turvataan luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien ja erityisesti heidän yksityisyyttä koskevan oikeutensa korkeatasoinen suoja henkilötietojen käsittelyssä; tämä oikeus on vahvistettu perusoikeuskirjan 8 artiklan 1 kohdassa ja SEUT 16 artiklan 1 kohdassa (tuomio 7.3.2024, IAB Europe, C‑604/22, EU:C:2024:214, 53 kohta oikeuskäytäntöviittauksineen).

46

Tätä varten yleisen tietosuoja-asetuksen II ja III luvussa vahvistetaan henkilötietojen käsittelyä koskevat periaatteet ja rekisteröidyn oikeudet, joita henkilötietojen käsittelyssä on noudatettava. Erityisesti, jollei mainitun asetuksen 23 artiklassa säädetyistä poikkeuksista muuta johdu, henkilötietojen käsittelyssä on yhtäältä noudatettava kyseisen asetuksen 5 artiklassa mainittuja henkilötietojen käsittelyä koskevia periaatteita, ja sen on täytettävä asetuksen 6 artiklassa luetellut lainmukaisuuden edellytykset, ja toisaalta noudatettava kyseisen asetuksen 12–22 artiklassa vahvistettuja rekisteröidyn oikeuksia (tuomio 11.7.24, Meta Platforms Ireland (Edustajakanne), C‑757/22, EU:C:2024:598, 49 kohta oikeuskäytäntöviittauksineen).

47

Kuten unionin tuomioistuin on jo täsmentänyt, yleisen tietosuoja-asetuksen 5 artiklassa vahvistettuja henkilötietojen käsittelyä koskevia periaatteita sovelletaan kumulatiivisesti (tuomio 20.10.2022, Digi, C‑77/21, EU:C:2022:805, 47 kohta).

48

Tältä osin on korostettava, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi ja että kyseisen 5 artiklan 1 kohdan b alakohdan mukaan nämä tiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla.

49

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa, jossa vahvistetaan niin sanottu tietojen minimoinnin periaate, säädetään lisäksi, että henkilötietojen on oltava ”asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään” (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 109 kohta oikeuskäytäntöviittauksineen).

50

Kuten unionin tuomioistuin on jo todennut, tämä periaate on ilmaus suhteellisuusperiaattesta (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 98 kohta oikeuskäytäntöviittauksineen ja tuomio 30.1.2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, 41 kohta).

51

Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdassa esitetyn osoitusperiaatteen mukaisesti rekisterinpitäjän on voitava osoittaa, että henkilötiedot kerätään ja niitä käsitellään kyseisen artiklan 1 kohdassa vahvistettuja periaatteita noudattaen (ks. vastaavasti tuomio 20.10.2022, Digi, C‑77/21, EU:C:2022:805, 24 kohta). Lisäksi kyseisen asetuksen 13 artiklan 1 kohdan c alakohdan mukaan silloin, kun henkilötietoja kerätään rekisteröidyltä, rekisterinpitäjän on annettava hänelle tiedoksi näiden tietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 95 kohta).

52

Toiseksi pääasiassa kyseessä olevan kaltaisen henkilötietojen käsittelyn ajallisesta rajoittamisesta on muistutettava, että unionin tuomioistuin on jo todennut, että kun otetaan huomioon tietojen minimoinnin periaate, rekisterinpitäjällä on velvollisuus rajata kyseessä olevien henkilötietojen keräämisajanjakso siihen, mikä on ehdottoman välttämätöntä suunnitellun käsittelyn tavoitteen kannalta (tuomio 24.2.2022, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten), C‑175/20, EU:C:2022:124, 79 kohta).

53

Mitä pidempään näitä tietoja säilytetään, sitä huomattavammin näet rekisteröidyn etuihin ja yksityiselämään vaikutetaan ja sitä tiukemmat ovat näiden tietojen säilyttämisen lainmukaisuutta koskevat vaatimukset (ks. vastaavasti tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 95 kohta).

54

Lisäksi on huomautettava, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan sanamuodon mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.

55

Kyseisen artiklan sanamuodosta ilmenee siis yksiselitteisesti, että siinä vahvistettu säilytyksen rajoittamisen periaate edellyttää, että rekisteripitäjän voi osoittaa tämän tuomion 51 kohdassa mieleen palautetun osoitusperiaatteen mukaisesti, että henkilötietoja säilytetään ainoastaan niin kauan kuin on tarpeen tietojen keruun tai niiden myöhemmän käsittelyn tarkoitusten toteuttamista varten (ks. vastaavasti tuomio 20.10.2022, Digi, C‑77/21, EU:C:2022:805, 53 kohta).

56

Tästä seuraa, että – kuten unionin tuomioistuin on jo todennut – jopa tietojen alun perin lainmukainen käsittely voi ajan myötä muuttua yhteensopimattomaksi yleisen tietosuoja-asetuksen säännösten kanssa, jos kyseiset tiedot eivät ole enää tarpeen niiden keruun tai niiden myöhemmän käsittelyn tarkoitusten toteuttamista varten, ja että tiedot on hävitettävä, kun nämä tarkoitukset on toteutettu (ks. vastaavasti tuomio 20.10.2022, Digi, C‑77/21, EU:C:2022:805, 54 kohta oikeuskäytäntöviittauksineen).

57

Kuten julkisasiamies on ratkaisuehdotuksensa 22 kohdassa todennut, kansallisen tuomioistuimen on siis arvioitava kaikkien merkityksellisten seikkojen perusteella ja yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa mainittua suhteellisuusperiaatetta soveltaen, onko se aika, jonka rekisterinpitäjä säilyttää henkilötietoja, kohtuudella oikeutettu, kun otetaan huomioon se, että tavoitteena on mahdollistaa personoitujen mainosten levittäminen.

58

Verkkoyhteisöalustan käyttäjien henkilötietojen säilyttämistä rajoittamattoman ajan kohdennettua mainontaa varten on joka tapauksessa pidettävä suhteettomana puuttumisena näille käyttäjille yleisessä tietosuoja-asetuksessa taattuihin oikeuksiin.

59

Kolmanneksi on huomautettava siitä seikasta, että pääasiassa kyseessä olevat henkilötiedot kerätään ja niitä yhdistellään, analysoidaan ja käsitellään kohdennettua mainontaa varten tekemättä eroa näiden tietojen luonteen mukaan, että unionin tuomioistuin on jo todennut, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädetyn tietojen minimoinnin periaatteen nojalla rekisterinpitäjä ei voi yleisesti ja erotuksetta kerätä henkilötietoja ja sen on pidätyttävä keräämästä tietoja, jotka eivät ole ehdottoman välttämättömiä käsittelyn tarkoituksiin nähden (tuomio 24.2.2022, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten), C‑175/20, EU:C:2022:124, 74 kohta).

60

On myös huomautettava, että yleisen tietosuoja-asetuksen 25 artiklan 2 kohdassa edellytetään, että rekisterinpitäjä toteuttaa asianmukaiset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Kyseisen säännöksen mukaan tämä velvollisuus koskee kerättyjen henkilötietojen määriä ja niiden käsittelyn laajuutta, kuten myös niiden säilytysaikaa.

61

Nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ilmenee, että Meta Platforms Ireland kerää Facebookin käyttäjien, myös Schremsin, henkilötietoja, jotka koskevat näiden käyttäjien toimintaa sekä tässä verkkoyhteisöpalvelussa että sen ulkopuolella ja joihin kuuluvat muun muassa tiedot, jotka koskevat verkkoalustalla sekä kolmansien osapuolten verkkosivuilla ja sovelluksissa käymistä, ja seuraa myös käyttäjien selailukäyttäytymistä kyseisillä sivuilla asianomaisille verkkosivuille sisällytettyjen yhteisöliitännäisten ja jäljitteiden avulla.

62

Kuten unionin tuomioistuin on jo todennut, tällainen käsittely on erityisen laaja-alaista, koska se koskee mahdollisesti rajoittamattomia tietoja ja sillä on huomattava vaikutus käyttäjään, jonka verkossa tapahtuvan toiminnan suurta osaa tai jopa miltei koko toimintaa Meta Platforms Ireland tarkkailee, mistä hänelle voi syntyä tunne, että hänen yksityiselämäänsä valvotaan jatkuvasti (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 118 kohta).

63

Pääasiassa kyseessä olevalle tietojenkäsittelylle on siis ominaista vakava puuttuminen rekisteröityjen perusoikeuksiin ja erityisesti heidän yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin oikeuksiinsa, jotka taataan Euroopan unionin perusoikeuskirjan 7 ja 8 artiklassa, eikä tämä puuttuminen ole – jollei niistä selvityksistä muuta johdu, jotka ennakkoratkaisua pyytäneen tuomioistuimen on tehtävä – kohtuudella oikeutettua, kun otetaan huomioon se, että tavoitteena on mahdollistaa personoitujen mainosten levittäminen.

64

Kaikkien verkkoyhteisöalustalla olevien henkilötietojen erotuksetta tapahtuva käyttäminen mainostamiseen ei missään tapauksessa ole siitä riippumatta, miten arkaluonteisia nämä tiedot ovat, oikeasuhteista puuttumista niihin oikeuksiin, jotka kyseisen alustan käyttäjille taataan yleisessä tietosuoja-asetuksessa.

65

Edellä esitetyn perusteella toiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa on tulkittava siten, että siinä säädetty ”tietojen minimoinnin” periaate on esteenä sille, että kaikkia niitä henkilötietoja, jotka verkkoyhteisöalustan ylläpitäjän kaltainen rekisterinpitäjä on saanut rekisteröidyltä tai kolmannelta osapuolelta ja jotka on kerätty sekä tältä alustalta että sen ulkopuolelta, yhdistellään, analysoidaan ja käsitellään kohdennettua mainontaa varten ilman ajallisia rajoituksia ja tekemättä eroa näiden tietojen luonteen mukaan.

66

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee tällä kysymyksellä lähinnä, onko yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohtaa tulkittava siten, että se, että joku henkilö on ilmaissut seksuaalisen suuntautumisensa yleisölle avoimessa paneelikeskustelussa, oikeuttaa verkkoyhteisöalustan ylläpitäjän käsittelemään muita kyseisen henkilön seksuaalista suuntautumista koskevia tietoja, jotka on mahdollisesti saatu kyseisen alustan ulkopuolelta kolmansia osapuolia olevien yhteistyökumppaneiden sovelluksista ja verkkosivustoilta, niiden yhdistelemiseksi ja analysoimiseksi, jotta kyseiselle henkilölle voidaan tarjota personoitua mainontaa.

67

Ennakkoratkaisua pyytänyt tuomioistuin pyrkii erityisesti selvittämään, onko niin, ettei Schremsillä ole hänen paneelikeskustelussa antamansa lausunnon johdosta enää oikeutta yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa annettuun suojaan, ja onko Facebookilla näin ollen oikeus käsitellä muita hänen seksuaalista suuntautumistaan koskevia tietoja.

68

Aluksi on todettava, että ennakkoratkaisua pyytäneen tuomioistuimen mainitsema paneelikeskustelu, jonka yhteydessä Schrems antoi lausunnon seksuaalisesta suuntautumisestaan, pidettiin 12.2.2019 ja että – kuten ennakkoratkaisupyynnöstä ilmenee – kyseisenä ajankohtana Meta Platforms Ireland käsitteli jo Schremsin seksuaalista suuntautumista koskevia henkilötietoja, joten tämä lausunto on annettu tällaisen tietojenkäsittelyn aloittamisen jälkeen.

69

Tästä seuraa, että ennakkoratkaisua pyytäneen tuomioistuimen neljännen kysymyksen on ymmärrettävä koskevan yksinomaan Schremsin seksuaalista suuntautumista koskevien tietojen mahdollista käsittelyä, jonka Meta Platforms Irelandin väitetään suorittaneen 12.2.2019 jälkeen. Ennakkoratkaisua pyytäneen tuomioistuimen on kuitenkin selvitettävä tämän tuomion 42 kohdassa mainitun oikeuskäytännön mukaisesti, onko tällaista käsittelyä todellakin suoritettu kyseisen ajankohdan jälkeen.

70

Tähän kysymykseen vastaamiseksi on ensimmäiseksi huomautettava, että yleisen tietosuoja-asetuksen johdanto-osan 51 perustelukappaleessa todetaan, että henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä näille perusoikeuksille ja ‑vapauksille. Kyseisessä perustelukappaleessa täsmennetään, että tällaisia henkilötietoja ei pitäisi käsitellä, ellei käsittelyä sallita kyseisessä asetuksessa vahvistetuissa erityistapauksissa.

71

Tässä yhteydessä yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa vahvistetaan periaate, jonka mukaan siinä mainittuja erityisiä henkilötietoryhmiä koskeva käsittely on kiellettyä. Kyse on muun muassa tiedoista, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä tai uskonnollinen vakaumus, sekä tiedoista, jotka koskevat luonnollisen henkilön terveyttä taikka seksuaalista käyttäytymistä tai suuntautumista.

72

Yleisen tietosuoja-asetuksen 9 artiklan 1 kohtaa sovellettaessa on selvitettävä tilanteessa, jossa verkkoyhteisöpalvelun ylläpitäjä suorittaa henkilötietojen käsittelyä, voiko näistä henkilötiedoista ilmetä johonkin tässä säännöksessä tarkoitettuun ryhmään kuuluvia tietoja, siitä riippumatta, koskevatko kyseiset tiedot kyseisen palvelun käyttäjää vai jotain muuta luonnollista henkilöä. Jos näin on, tällainen henkilötietojen käsittely on siis kiellettyä, jollei yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädetyistä poikkeuksista muuta johdu.

73

Kuten unionin tuomioistuin on jo todennut, kyseiseen yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa säädettyyn lähtökohtaiseen kieltoon ei vaikuta se, onko kyseessä olevasta käsittelystä ilmenevä tieto paikkansapitävä, eikä se, onko rekisterinpitäjän toiminnan tarkoituksena saada johonkin kyseisessä asetuksessa tarkoitettuun erityiseen ryhmään kuuluvia tietoja. Kun otetaan huomioon huomattavat riskit, joita kaikki yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuihin ryhmiin kuuluvien henkilötietojen käsittely aiheuttaa rekisteröityjen perusoikeuksille ja ‑vapauksille, kyseisen säännöksen tarkoituksena on näet kieltää tämä käsittely riippumatta siitä tavoitteesta, joka sillä on ilmoitettu olevan (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 69 ja 70 kohta).

74

Vaikka kyseisen 9 artiklan 1 kohdassa lähtökohtaisesti kielletään muun muassa seksuaalista suuntatumista koskevien tietojen käsittely, 9 artiklan 2 kohdan a–j alakohdassa säädetään kuitenkin kymmenestä poikkeuksesta, jotka ovat toisistaan riippumattomia ja joita on näin ollen arvioitava itsenäisesti. Tästä seuraa, että se, että jonkin tässä 2 kohdassa säädetyn poikkeuksen soveltamisedellytykset eivät täyty, ei voi olla esteenä sille, että rekisterinpitäjä voi vedota johonkin toiseen tässä säännöksessä mainittuun poikkeukseen (tuomio 21.12.2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, 47 kohta).

75

Yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa säädetyn poikkeuksen osalta on erityisesti palautettava mieleen, että tämän säännöksen mukaan kyseisen 9 artiklan 1 kohdassa asetettua kaikkea erityisten henkilötietoryhmien käsittelyä koskevaa lähtökohtaista kieltoa ei sovelleta tilanteessa, jossa käsittely koskee henkilötietoja, jotka ”rekisteröity on nimenomaisesti saattanut julkisiksi”.

76

Koska yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa säädetään poikkeuksesta erityisten henkilötietoryhmien käsittelyn kieltoa koskevaan periaatteeseen, sitä on tulkittava suppeasti (ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 76 kohta oikeuskäytäntöviittauksineen).

77

Tästä seuraa, että yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa säädetyn poikkeuksen soveltamiseksi on selvitettävä, onko rekisteröity tarkoittanut nimenomaisesti ja toteuttamalla selkeästi suostumusta ilmaisevan toimen saattaa kyseessä olevat henkilötiedot suuren yleisön saataville (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 77 kohta).

78

Nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ilmenee, että Wienissä 12.2.2019 järjestetty paneelikeskustelu, jonka yhteydessä Schrems antoi lausunnon seksuaalisesta suuntautumisestaan, oli avoin yleisölle, joka saattoi hankkia siihen lipun saatavilla olevien paikkojen rajoissa, ja että se lähetettiin suoratoistona. Sen tallenne on julkaistu lisäksi myöhemmin podcastina ja komission YouTube-kanavalla.

79

Jollei niistä selvityksistä muuta johdu, jotka kansallisen tuomioistuimen on tehtävä, ei siis voida sulkea pois sitä, että vaikka tämä lausunto on annettu sellaisen laajemman puheenvuoron yhteydessä, jonka tarkoituksena oli ainoastaan arvostella Facebookin suorittamaa henkilötietojen käsittelyä, se on toimi, jolla asianomainen on täysin tietoisesti saattanut seksuaalisen suuntautumisensa nimenomaisesti julkiseksi yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetulla tavalla.

80

Toiseksi on niin, että vaikka siitä, että rekisteröity on saattanut seksuaalista suuntautumistaan koskevan tiedon nimenomaisesti julkiseksi, on seurauksena, että tätä tietoa voidaan käsitellä, mikä muodostaa poikkeuksen yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa säädetystä kiellosta, kyseisen asetuksen muista säännöksistä johtuvien vaatimusten mukaisesti (ks. vastaavasti tuomio 24.9.2019, GC ym. (Arkaluontoisten tietojen poistaminen hakutulosten luettelosta), C‑136/17, EU:C:2019:773, 64 kohta), tämä seikka yksinään ei oikeuta – toisin kuin Meta Platforms Ireland väittää – muiden kyseisen henkilön seksuaaliseen suuntautumiseen liittyvien henkilötietojen käsittelyä.

81

Olisi siis yhtäältä vastoin yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdasta omaksuttavaa suppeaa tulkintaa katsoa, että kaikki jonkun henkilön seksuaalista suuntautumista koskevat tiedot jäävät kyseisen artiklan 1 kohtaan perustuvan suojan ulkopuolelle pelkästään siitä syystä, että rekisteröity on nimenomaisesti saattanut julkiseksi jonkin seksuaaliseen suuntautumiseensa liittyvän henkilötiedon.

82

Toisaalta sen perusteella, että joku henkilö on saattanut nimenomaisesti julkiseksi jonkin seksuaalista suuntautumistaan koskevan tiedon, ei voida katsoa, että kyseinen henkilö on antanut yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan a alakohdassa tarkoitetun suostumuksensa siihen, että verkkoyhteisöalustan ylläpitäjä käsittelee muita hänen seksuaalista suuntautumistaan koskevia tietoja.

83

Edellä esitetyn perusteella neljänteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohtaa on tulkittava siten, että se, että joku henkilö on lausunut seksuaalisesta suuntautumisestaan yleisölle avoimessa paneelikeskustelussa, ei oikeuta verkkoyhteisöalustan ylläpitäjää käsittelemään muita kyseisen henkilön seksuaalista suuntautumista koskevia tietoja, jotka on mahdollisesti saatu kyseisen alustan ulkopuolelta kolmansia osapuolia olevien yhteistyökumppaneiden sovelluksista ja verkkosivustoilta, niiden yhdistelemiseksi ja analysoimiseksi, jotta kyseiselle henkilölle voidaan tarjota personoitua mainontaa.

84

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (neljäs jaosto) on ratkaissut asian seuraavasti: