社交网络平台运营商处理个人数据应遵守的法律规则

网络法实务圈 · 公众号 · · 2024-11-01 17:14

正文

欧盟法院判决“MS诉M公司案

2024年10月4日，欧盟法院对“MS诉M公司案”作出判决。欧盟法院明确，社交网络平台运营商在处理用户的个人数据以用于向用户发送个性化广告时，必须遵守欧盟《通用数据保护条例》（以下简称《条例》）第5条第1款第（c）项规定的数据最小化原则以及《条例》第9条规定的敏感个人数据处理规则。

基本案情

M公司（匿名）在欧盟境内运营一个在线社交网络平台。2023年11月5日之前，该公司免费向用户提供相关服务；从2023年11月6日开始，该公司仅对同意其个人数据被收集并用于向其发送个性化广告的用户提供服务，不同意接收个性化广告的用户可以付费获得相关服务。

M公司依据其与用户签订的协议对用户的个人数据进行处理，用户点击“注册”按钮，即视为接受了该公司草拟的使用条款，在本案发生时，用户接受该条款系其使用该社交网络平台的必要条件。该条款提及了M公司的数据和cookies政策。根据这些政策的规定，M公司将收集与用户活动相关的用户数据和设备数据，并将这些数据与用户的账户相关联。上述数据包括与用户在该社交网络平台以外的活动相关的数据，主要是用户访问第三方网页和应用程序的数据，以及用户使用M公司提供的其他服务的数据。同时，用户只有在明确同意M公司依据上述条款处理其数据的情况下，方能登录该社交网络平台账户并使用相关服务。

此外，在案材料显示，M公司使用cookies、社交插件等工具来开展在线广告活动。其中，cookies可以对相关访问进行溯源；社交插件可以嵌入第三方网站，并在相关用户访问该网站时，将这些用户的日志数据等个人数据传输给M公司；还有的工具则可以嵌入第三方网站，并可以收集访问这些网站的用户的信息，以便对相关广告进行评估和优化。

经查，本案中，一是原告MS（匿名）虽同意M公司依据使用条款处理其数据，但并未同意M公司对该公司从其广告商和其他合作伙伴处获取的、与原告在该社交网络平台以外的活动相关的个人数据进行处理，并用于向原告发送个性化广告。然而，M公司仍然通过使用cookies、社交插件等工具，获取了原告的某些数据，以提升其产品并向原告发送个性化广告。

二是原告未在该社交网络平台档案中发布任何敏感数据。 然而，基于其获得的原告的个人数据，M公司仍然能够确定原告对哪些敏感话题感兴趣，并因此能够向原告发送与其性取向和政治信仰相关的个性化广告。

三是M公司持有的原告在该社交网络平台之外的活动清单涵盖了同性恋约会应用程序和网站、某奥地利政党的网站等信息。 此外，M公司存储的原告的个人数据还包括原告未在该社交网络平台档案中公布的电子邮件地址。

四是原告曾于2019年2月12日应欧盟委员会邀请，参加了在维也纳举办的一个小组讨论会。