2024年10月4日，欧盟法院对“MS诉M公司案”作出判决。欧盟法院明确，社交网络平台运营商在处理用户的个人数据以用于向用户发送个性化广告时，必须遵守欧盟《通用数据保护条例》（以下简称《条例》）第5条第1款第（c）项规定的数据最小化原则以及《条例》第9条规定的敏感个人数据处理规则。

　　基本案情

　　M公司（匿名）在欧盟境内运营一个在线社交网络平台。2023年11月5日之前，该公司免费向用户提供相关服务；从2023年11月6日开始，该公司仅对同意其个人数据被收集并用于向其发送个性化广告的用户提供服务，不同意接收个性化广告的用户可以付费获得相关服务。

　　M公司依据其与用户签订的协议对用户的个人数据进行处理，用户点击“注册”按钮，即视为接受了该公司草拟的使用条款，在本案发生时，用户接受该条款系其使用该社交网络平台的必要条件。该条款提及了M公司的数据和cookies政策。根据这些政策的规定，M公司将收集与用户活动相关的用户数据和设备数据，并将这些数据与用户的账户相关联。上述数据包括与用户在该社交网络平台以外的活动相关的数据，主要是用户访问第三方网页和应用程序的数据，以及用户使用M公司提供的其他服务的数据。同时，用户只有在明确同意M公司依据上述条款处理其数据的情况下，方能登录该社交网络平台账户并使用相关服务。

　　此外，在案材料显示，M公司使用cookies、社交插件等工具来开展在线广告活动。其中，cookies可以对相关访问进行溯源；社交插件可以嵌入第三方网站，并在相关用户访问该网站时，将这些用户的日志数据等个人数据传输给M公司；还有的工具则可以嵌入第三方网站，并可以收集访问这些网站的用户的信息，以便对相关广告进行评估和优化。

　　经查，本案中，一是原告MS（匿名）虽同意M公司依据使用条款处理其数据，但并未同意M公司对该公司从其广告商和其他合作伙伴处获取的、与原告在该社交网络平台以外的活动相关的个人数据进行处理，并用于向原告发送个性化广告。然而，M公司仍然通过使用cookies、社交插件等工具，获取了原告的某些数据，以提升其产品并向原告发送个性化广告。

　　二是原告未在该社交网络平台档案中发布任何敏感数据。然而，基于其获得的原告的个人数据，M公司仍然能够确定原告对哪些敏感话题感兴趣，并因此能够向原告发送与其性取向和政治信仰相关的个性化广告。

　　三是M公司持有的原告在该社交网络平台之外的活动清单涵盖了同性恋约会应用程序和网站、某奥地利政党的网站等信息。此外，M公司存储的原告的个人数据还包括原告未在该社交网络平台档案中公布的电子邮件地址。

　　四是原告曾于2019年2月12日应欧盟委员会邀请，参加了在维也纳举办的一个小组讨论会。尽管原告在会上谈到了其性取向，但原告从未在该社交网络平台档案中提及其性取向。

　　原告认为，M公司对其个人数据的处理违反了《条例》的相关规定，遂向维也纳地区民事法院（以下简称维也纳区法院）提起诉讼，请求判令M公司停止处理其个人数据，并停止使用第三方通过原告对相关网站的访问而获取的原告的个人数据。维也纳区法院经审理，判决驳回原告的诉讼请求。原告对判决不服，向维也纳地区高等法院提起上诉。维也纳地区高等法院审理后作出判决，驳回原告的上诉。原告遂向奥地利最高法院提起上诉。

　　因本案涉及《条例》的解释问题，奥地利最高法院遂决定中止本案诉讼，并请求欧盟法院就以下问题作出先予裁决：

　　一是《条例》第5条第1款第（c）项规定的数据最小化原则，是否禁止社交网络平台运营商这样的数据控制者，在无限期和不区分数据类型的情况下，对其从数据主体或第三方获取并且从相关平台之内或之外收集的个人数据进行汇聚、分析和处理，以用于发送个性化广告？

　　二是根据《条例》第9条第2款第（e）项的规定，相关个人已在小组讨论场合陈述其性取向这一事实，是否使得社交网络平台运营商有权处理其使用第三方合作伙伴的网站或应用程序，从该平台之外获取的与该个人的性取向相关的其他数据，以对这些数据进行汇聚和分析，并用于向该个人发送个性化广告？

　　欧盟法院的判决

　　2024年10月4日，欧盟法院就本案作出判决。在判决中，欧盟法院发表了如下意见。

　　关于第一个问题，欧盟法院认为，《条例》第5条第1款第（c）项规定的数据最小化原则要求个人数据必须是充分、相关的并且限于实现个人数据处理目的最小范围，该原则是比例原则的具体体现。

　　数据最小化原则要求数据控制者基于个人数据处理目的，将收集个人数据的时间限于充分必要的范围，因为这些数据的存储时间越长，对数据主体的权益和私人生活的影响越大。而社交网络平台运营商出于发送个性化广告的目的，对平台用户的个人数据进行无限期的存储，违反数据最小化原则，构成对用户的基本权利，包括隐私权和个人数据保护权的不成比例的干预。

　　同时，数据最小化原则要求数据控制者不得以普遍、无差别的方式收集个人数据，并且不得收集对个人数据的处理目的而言并非充分必要的数据，因为此类数据收集的范围特别广泛，并因此将对相关个人产生重大影响。而社交网络平台运营商出于发送个性化广告的目的，在罔顾其持有的平台用户的所有个人数据的敏感程度的情况下，对这些数据进行无差别地收集和使用，同样违反数据最小化原则，构成对用户的基本权利，包括隐私权和个人数据保护权的不成比例的干预。

　　鉴于此，欧盟法院的答复是，《条例》第5条第1款第（c）项规定的数据最小化原则，禁止社交网络平台运营商这样的数据控制者，在无限期和不区分数据类型的情况下，对其从数据主体或第三方获取并且从相关平台之内或之外收集的个人数据进行汇聚、分析和处理，以用于发送个性化广告。

　　关于第二个问题，欧盟法院认为，原告在2019年2月12日的小组讨论上陈述其性取向，可以构成《条例》第9条第2款第（e）项规定的数据主体自行公开个人数据这一敏感个人数据处理的例外情形，并因此使M公司可以处理原告已公开的性取向数据。但是，这并未使M公司有权处理与原告的性取向相关的其他数据。此外，这也并不意味着原告已依据《条例》第9条第2款第（a）项的规定，对M公司处理与其性取向相关的其他数据作出同意。

　　据此，欧盟法院的答复是，根据《条例》第9条第2款第（e）项的规定，相关个人已在小组讨论场合陈述其性取向这一事实，并未使得社交网络平台运营商有权处理其使用第三方合作伙伴的网站或应用程序，从该平台之外获取的与该个人的性取向相关的其他数据，以对这些数据进行汇聚和分析，并用于向该个人发送个性化广告。

　　（作者系法律工作者）