Zasada „minimalizacji danych” (art. 5 ust. 1 lit. c) RODO)

Zgodnie z art. 5 ust. 1 lit. c) tego rozporządzenia, w którym ustanowiono zasadę „minimalizacji danych”, dane osobowe powinny być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane” [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in., C‑252/21].

Zasada ta jest wyrazem zasady proporcjonalności [zob. podobnie wyroki: z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C-439/19; z dnia 30 stycznia 2024 r., Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia, C-118/22).

Biorąc pod uwagę zasadę minimalizacji danych, administrator danych jest zobowiązany ograniczyć do niezbędnego minimum, w świetle zamierzonego celu przetwarzania danych, okres zbierania przedmiotowych danych osobowych [wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests, C‑175/20). Im bowiem dłuższy jest okres przechowywania takich danych, tym znaczniejszy ma to wpływ na interesy i życie prywatne osoby, której dane dotyczą, i tym bardziej rygorystyczne są wymogi w zakresie zgodności przechowywania tych danych z prawem [zob. podobnie wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding, C-26/22 i C-64/22).

Z uwagi na przewidzianą w art. 5 ust. 1 lit. c) RODO zasadę minimalizacji danych administrator nie może zbierać danych osobowych w sposób ogólny i niezróżnicowany, powinien powstrzymać się od zbierania danych, które nie są absolutnie niezbędne z punktu widzenia celów przetwarzania [wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests, C‑175/20).

Art. 25 ust. 2 tego rozporządzenia wymaga od administratora podjęcia odpowiednich środków w celu zapewnienia, by domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. Zgodnie z tym przepisem obowiązek ten odnosi się do ilości zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dostępności.

W świetle powyższych rozważań na pytanie drugie należy udzielić następującej odpowiedzi: art. 5 ust. 1 lit. c) RODO należy interpretować w ten sposób, że przewidziana w nim zasada „minimalizacji danych” stoi na przeszkodzie temu, by wszystkie dane osobowe, które zostały pozyskane przez administratora danych, takiego jak operator platformy internetowej sieci społecznościowej, od osoby, której dane dotyczą, lub od podmiotów zewnętrznych i które zostały zebrane zarówno na tej platformie, jak i poza nią, były agregowane, analizowane i przetwarzane do celów ukierunkowanej reklamy, bezterminowo i bez względu na charakter tych danych.

Wyrok TSUE z dnia 4 października 2024 r., C-446/21

Standard: 83959 (pełna treść orzeczenia)

Zgodnie z art. 4 ust. 1 lit. c) RODO państwa członkowskie powinny zapewnić, by dane osobowe były adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane. Przepis ten wymaga zatem przestrzegania przez państwa członkowskie zasady „minimalizacji danych”, która wyraża zasadę proporcjonalności [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima, C-439/19).

Wynika z tego w szczególności, że zbieranie danych osobowych w ramach postępowania karnego i przechowywanie ich przez organy policji do celów określonych w art. 1 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89), powinno być zgodne z tymi wymogami, podobnie jak każde przetwarzanie objęte zakresem stosowania tej dyrektywy. Takie przechowywanie stanowi zresztą ingerencję w prawa podstawowe do poszanowania życia prywatnego i do ochrony danych osobowych, niezależnie od tego, czy przechowywane informacje są danymi wrażliwymi, czy nie, ani czy osoby, których dane dotyczą, ucierpiały z powodu ewentualnych niedogodności wynikających z tej ingerencji, jak również bez względu na to, czy zatrzymane dane są następnie wykorzystywane (zob. analogicznie wyrok z dnia 5 kwietnia 2022 r., Commissioner of An Garda Síochána i in., C-140/20)

Wyrok TSUE z dnia 30 stycznia 2024 r., C-118/22

Standard: 83961 (pełna treść orzeczenia)