62020CJ0319_RES
Lieta C‑319/20
Meta Platforms Ireland Limited, iepriekš Facebook Ireland Limited,
pret
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
(Bundesgerichtshof lūgums sniegt prejudiciālu nolēmumu)
Tiesas (trešā palāta) 2022. gada 28. aprīļa spriedums
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 80. pants – Datu subjektu pārstāvība, ko veic bezpeļņas apvienība – Pārstāvības prasība, kuru patērētāju interešu aizstāvības apvienība ceļ bez pilnvarojuma un nesaistīti ar kādu konkrētu datu subjekta tiesību pārkāpumu – Prasība, kas pamatota ar negodīgas komercprakses aizliegumu, patērētāju tiesību aizsardzības likuma pārkāpumu vai spēkā neesošu tipveida darījuma nosacījumu izmantošanas aizliegumu
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Datu subjektu pārstāvība – “Locus standi” – Patērētāju interešu aizstāvības apvienība – Pārstāvības prasība, kuru šī apvienība ceļ bez pilnvarojuma un nesaistīti ar kādu konkrētu datu subjekta tiesību pārkāpumu – Prasība, kas celta, pamatojoties uz patērētāju tiesību aizsardzības noteikumu vai negodīgas komercprakses apkarošanas noteikumu pārkāpumu – Pieļaujamība – Nosacījums
(Eiropas Parlamenta un Padomes Regulas 2016/679 80. panta 2. punkts)
(skat. 57.–60., 63.–79. un 83. punktu un rezolutīvo daļu)
Rezumējums
Meta Platforms Ireland pārvalda tiešsaistes sociālā tīkla Facebook pakalpojumu piedāvājumu un ir šā tīkla lietotāju datu pārzinis Savienībā. Interneta platformā Facebook – tīmekļvietnē www.facebook.de – atrodas tā sauktais App‑Zentrum (lietotņu centrs), kurā Meta Platforms Ireland saviem lietotājiem dara pieejamas trešo pakalpojumu sniedzēju piedāvātās bezmaksas spēles. Atverot kādu no šīm spēlēm, lietotājs tiek brīdināts, ka attiecīgās lietotnes izmantošanas gadījumā konkrēto spēli piedāvājošā sabiedrība var iegūt vairākus personas datus un šā lietotāja vārdā publicēt informāciju. Lietojot šo lietotni, viņš piekrīt tās tipveida darījuma nosacījumiem un politikai datu aizsardzības jomā. Kādas konkrētas spēles gadījumā lietotājs tiek arī informēts, ka lietotne drīkst viņa vārdā publicēt fotoattēlus un citu informāciju.
Vācijas Federālā patērētāju tiesību organizāciju un asociāciju apvienība (
1
) konstatēja, ka informācija, kas lietotņu centrālē sniegta saistībā ar attiecīgajām spēlēm, ir negodīga prakse. Tāpēc Federālā apvienība – būdama struktūra, kas apveltīta ar locus standi, lai prasītu izbeigt patērētāju tiesību aizsardzības jomu reglamentējošo tiesību aktu (
2
) pārkāpumus, – pret Meta Platforms Ireland cēla prasību noteikt aizliegumu. Šī prasība tika celta apstākļos, kad nav nedz konkrēti pārkāptas kāda datu subjekta tiesības uz datu aizsardzību, nedz šāda subjekta pilnvarojuma. Par nolēmumu, ar kuru šī prasība tika apmierināta, Meta Platforms Ireland iesniedza apelācijas sūdzību un, ņemot vērā, ka šī apelācijas sūdzība tika noraidīta, – pēc tam veica pārsūdzību Bundesgerichtshof (Federālā augstākā tiesa, Vācija). Šaubīdamās par Federālās apvienības prasības pieņemamību un konkrēti par tās locus standi pret Meta Platforms Ireland, minētā tiesa vērsās Tiesā.
Savā spriedumā Tiesa nospriež, ka Vispārīgās datu aizsardzības regulas 80. panta 2. punktam (
3
) nav pretrunā, ka patērētāju interešu aizstāvības organizācija, nesaņēmusi tālab piešķirtu pilnvarojumu un nesaistīti ar kādu datu subjektu konkrētu tiesību pārkāpumu, drīkst celt prasību pret aizdomās turēto personas datu aizsardzības pārkāpuma izdarītāju, atsaucoties uz to, ka ir pārkāpts negodīgas komercprakses aizliegums, patērētāju tiesību aizsardzības likums vai aizliegums izmantot spēkā neesošus tipveida darījuma nosacījumus. Šāda prasība ir iespējama, ja attiecīgā datu apstrāde iespējami var skart tiesības, kas identificētām vai identificējamām fiziskām personām rodas no VDAR.
Tiesas vērtējums
Vispirms Tiesa atgādina, ka, lai gan VDAR (
4
) mērķis ir nodrošināt, ka personas datu aizsardzības jomu reglamentējošie valstu tiesību akti tiek saskaņoti principā pilnīgi, šīs regulas 80. panta 2. punkts ir viena no tām tiesību normām, kas dalībvalstīm ļauj pēc saviem ieskatiem izlemt, kā tās ir īstenojamas (
5
). Tādējādi, lai personas datu aizsardzības jomā bez pilnvarojuma varētu tikt celta šajā tiesību normā paredzētā pārstāvības prasība, dalībvalstīm jāizmanto šajā normā piedāvātā iespēja paredzēt savos tiesību aktos šo datu subjektu pārstāvības veidu. Tomēr, izmantojot šo iespēju, dalībvalstīm savas rīcības brīvības izmantošanā jāievēro VDAR paredzētie nosacījumi un ierobežojumi un tādējādi likumdošanas darbībā jārīkojas tā, lai neapdraudētu šīs regulas saturu un mērķus.
Pēc tam Tiesa uzsver, ka, paverot dalībvalstīm iespēju paredzēt mehānismu pārstāvības prasībai pret personas datu aizsardzības iespējamo pārkāpēju, VDAR 80. panta 2. punktā ir paredzēti vairāki nosacījumi, kas tālab ir jāievēro. Tādējādi, pirmkārt, locus standi ir atzīts struktūrai, organizācijai vai apvienībai, kas atbilst kritērijiem, kuri uzskaitīti VDAR (
6
). Šim jēdzienam var atbilst tāda patērētāju interešu aizstāvības apvienība kā Federālā apvienība, kas darbojas, lai sasniegtu sabiedrības interešu mērķi nodrošināt tiesības un brīvības, ko datu subjekti bauda kā patērētāji, jo šāda mērķa sasniegšana ir iespējami saistīta ar šo subjektu personas datu aizsardzību. Otrkārt, minēto pārstāvības prasību attiecīgā struktūra var celt tad, ja – neatkarīgi no tā, vai tai ir vai nav dots pilnvarojums, – tā uzskata, ka datu subjekta personas datu apstrādes rezultātā ir pārkāptas viņam no VDAR izrietošās tiesības.
Tādējādi, pirmām kārtām, lai attiecīgā struktūra varētu celt pārstāvības prasību (
7
), tai nav individuāli iepriekš jāidentificē persona, kuru ir konkrēti skārusi VDAR noteikumiem pretrunā iespējami esošā apstrāde. Tālab var būt pietiekami arī ar norādi uz šādas apstrādes skarto personu kategoriju vai kopumu (
8
).
Otrām kārtām, šādas prasības celšanas iespēja nav pakārtota arī nosacījumam par to, ka ir jābūt konkrēti pārkāptām kādas personas no VDAR izrietošām tiesībām. Proti, lai varētu atzīt struktūras locus standi, pietiek vien apgalvot, ka attiecīgā datu apstrāde var iespējami skart tiesības, kas identificētām vai identificējamām fiziskām personām rodas no minētās regulas, bez vajadzības pierādīt datu subjekta tiesību aizskāruma rezultātā tam konkrētā situācijā faktiski nodarīto kaitējumu. Tādējādi, ievērojot VDAR mērķi, tādas patērētāju interešu aizstāvības apvienības kā Federālā apvienība apveltīšana ar tiesībām pārstāvības prasības mehānisma izmantošanas ceļā celt prasības, lai panāktu, ka tiek izbeigta VDAR noteikumiem pretrunā esoša apstrāde – neatkarīgi no tā, vai ir pārkāptas kādas no šā pārkāpuma individuāli un konkrēti cietušas personas tiesības, – neapstrīdami palīdz stiprināt datu subjektu tiesības un nodrošināt tiem augstu aizsardzības līmeni.
Noslēgumā Tiesa precizē, ka personas datu aizsardzības noteikuma pārkāpums var vienlaikus izraisīt arī patērētāju tiesību aizsardzības vai negodīgas komercprakses noteikumu pārkāpumu. Proti, VDAR (
9
) ļauj dalībvalstīm izmantot iespēju paredzēt, ka patērētāju interešu aizstāvības apvienības ir tiesīgas rīkoties pret VDAR paredzēto tiesību pārkāpumiem, ņemot talkā noteikumus, kuru mērķis ir aizsargāt patērētāju tiesības vai apkarot negodīgu komercpraksi.
(
1
)	Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (turpmāk tekstā – “Federālā apvienība”).
(
2
)	Saskaņā ar Vācijas tiesībām patērētāju tiesību aizsardzības likumi ietver arī noteikumus par uzņēmuma vai uzņēmēja veiktas patērētāja personas datu vākšanas vai apstrādes, vai izmantošanas likumību.
(
3
)	Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”). Tās 80. panta 2. punktā ir noteikts, ka “dalībvalstis var paredzēt, ka jebkurai šā panta 1. punktā minētajai struktūrai, organizācijai vai apvienībai neatkarīgi no datu subjekta dotā pilnvarojuma ir tiesības minētajā dalībvalstī iesniegt sūdzību uzraudzības iestādei, kura ir kompetenta, ievērojot 77. pantu, un īstenot tiesības, kas minētas 78. un 79. pantā, ja tā uzskata, ka [datu subjekta personas datu] apstrādes rezultātā pārkāptas datu subjekta tiesības saskaņā ar šo regulu”.
(
4
)	Kā tas izriet no šīs regulas 1. panta 1. punkta, lasot to šīs regulas 9., 10. un 13. apsvēruma gaismā.
(
5
)	Piemērojot “atvērējklauzulas”.
(
6
)	Tostarp VDAR 80. panta 1. punktā. Šajā normā ir norādīts uz “bezpeļņas struktūru, organizāciju vai apvienību, kura ir pienācīgi izveidota saskaņā ar dalībvalsts tiesību aktiem, kuras statūtos noteiktie mērķi atbilst sabiedrības interesēm un kura darbojas datu subjekta tiesību un brīvību aizsardzības jomā”.
(
7
)	Saskaņā ar VDAR 80. panta 2. punktu.
(
8
)	Konkrēti, ņemot vērā tvērumu, ar kādu ir apveltīts VDAR 4. panta 1. punktā paredzētais jēdziens “datu subjekts”, kas aptver gan “identificētu [..] fizisku personu”, gan “identificējamu fizisku personu”.
(
9
)	Konkrēti VDAR 80. panta 2. punkts.