Dne 31. března 2023 Úřad pro ochranu osobních údajů zveřejnil na svých internetových stránkách výroční zprávu za rok 2022.¹ V této výroční zprávě mj. upozornil na několik závazných rozhodnutí Evropského sboru pro ochranu osobních údajů („EDPB“), ze kterých vyplývá, že zpracování osobních údajů uživatelů služeb pro účely behaviorálního marketingu či zlepšování kvality služeb není obecně nezbytné pro splnění smlouvy podle čl. 6 odst. 1 písm. b) nařízení EU č. 2016/679 („GDPR“).² EDPB v rámci těchto rozhodnutí zároveň zdůraznil, že právo na ochranu osobních údajů je základním lidským právem a součástí důstojnosti člověka, nikoliv obchodovatelnou komoditou.³

EDPB výše zmíněná rozhodnutí vydal v rámci své sjednocovací pravomoci dle čl. 65 odst. 1 písm. a) GDPR, přičemž se konkrétně jednalo o závazná rozhodnutí č. 02/2022, 03/2022, 04/2022 a 05/2022 vydaná ve věci společnosti Meta Platforms Ireland Limited („Meta“) v pozici správce osobních údajů („správce“) v souvislosti se sociálními sítěmi resp. aplikacemi Facebook, Instagram a WhatsApp („Platformy“).⁴

Dle zjištění EDPB společnost Meta do smluvních podmínek užívání Platforem zahrnula oznámení o možnosti zpracování osobních údajů uživatelů Platforem pro účely behaviorálního marketingu (tj. marketingu založeného na chování subjektů údajů) či zlepšování kvality služeb, přičemž bez přijetí těchto smluvních podmínek nebylo uživatelům umožněno předmětné Platformy užívat.

Společnost Meta tento svůj postup zdůvodnila tím, že zpracování osobních údajů pro výše uvedené účely je nezbytné pro plnění smlouvy uzavřené mezi ní a jednotlivými uživateli Platforem, přičemž „je svobodným rozhodnutím každého správce, na kterém z právních titulů nabízených článkem 6 GDPR své zpracování založí“. EDPB se však s názorem společnosti Meta neztotožnil, a to zejména s ohledem na ustanovení čl. 8 odst. 1 Listiny základních práv EU, čl. 16 odst. 1 Smlouvy o fungování EU a ustanovení GDPR.⁵

Ilustrační obrázek.⁶

EDPB v prvé řadě upozornil, že „právo na ochranu osobních údajů je základním lidským právem a součástí důstojnosti člověka, nikoliv obchodovatelnou komoditou, a takto je k němu třeba přistupovat“. Následně EDPB sice potvrdil, že mezi právními tituly pro zpracování osobních údajů neexistuje žádné závazné pořadí, nicméně současně podotkl, že „správce vždy musí zvolit takový právní titul, s jehož pomocí bude schopen dodržet veškeré navazující povinnosti tak, aby zpracování neodporovalo zásadám korektnosti, zákonnosti, transparentnosti a vůbec smyslu přijetí GDPR“, a to vždy bez ohledu na to, zdali by si správce z ekonomických důvodů přál aplikovat jiný postup.⁷

Ve vztahu k ustanovení čl. 6 odst. 1 písm. b) GDPR pak EDPB uzavřel, že toto ustanovení nedopadá na případy, kdy je zpracování osobních údajů pouze užitečné a/nebo nezbytné výlučně z hlediska ekonomických zájmů správce. Toto ustanovení je současně třeba vykládat restriktivně, aby nedocházelo k obcházení požadavku na udělení souhlasu se zpracováním osobních údajů dle čl. 6 odst. 1 písm. a) GDPR.

Dle EDPB nadto nelze opomíjet ustanovení čl. 21 odst. 2 a 3 GDPR, která subjekt údajů opravňují podat proti zpracování jeho osobních údajů pro účely přímého marketingu námitku, v jejímž důsledku nesmějí být tyto údaje pro uvedené účely dále zpracovávány.⁸ Zpracování osobních údajů pro účely behaviorálního marketingu tak dle EDPB obecně není ze shora předestřených důvodů nezbytné pro plnění smlouvy.⁹