62024TO0319_RES
Sag T-139/24
Meta Platforms Ireland Ltd
mod
Det Europæiske Databeskyttelsesråd
Rettens kendelse (Tiende Afdeling) af 29. april 2025
»Annullationssøgsmål – beskyttelse af personoplysninger – Det Europæiske Databeskyttelsesråds udtalelse om gyldigheden af et samtykke i forbindelse med de »pay or OK«-modeller, som de store onlineplatforme har indført – artikel 64, stk. 2, i forordning (EU) 2016/679 – retsakt, der ikke kan gøres til genstand for et søgsmål – afvisning – ansvar – skade – årsagsforbindelse – åbenbart, at sagen er retligt ugrundet«
Annullationssøgsmål – akter, der kan være genstand for søgsmål – begreb – akter, der fremkalder bindende retsvirkninger – Det Europæiske Databeskyttelsesråds udtalelse om gyldigheden af et samtykke i forbindelse med de »pay or OK«-modeller, som de store onlineplatforme har indført – ikke omfattet – afvisning
(Art. 263 TEUF)
(jf. præmis 19-42)
Ansvar uden for kontraktforhold – betingelser – ulovlighed – skade – årsagsforbindelse – den ene betingelse ikke opfyldt – erstatningssøgsmålet forkastet i det hele
(Art. 268 TEUF og art. 340, stk. 2, TEUF)
(jf. præmis 47-58)
Resumé
Med sin kendelse afviste Retten det af Meta Platforms Ireland Ltd (herefter »Meta«) anlagte søgsmål med påstand om annullation (
1
) af udtalelse 8/2024 afgivet af Det Europæiske Databeskyttelsesråd (herefter »EDPB«) om gyldigheden af et samtykke i forbindelse med de »pay or OK«-modeller, som de store onlineplatforme har indført. Retten fastslog således, at denne udtalelse, der var blevet vedtaget i henhold til databeskyttelsesforordningen (
2
), ikke var en retsakt, der kunne gøres til genstand for et søgsmål, da den ikke skabte bindende retsvirkninger for tredjemand. Retten frifandt i øvrigt EDPB, da det var åbenbart, at det af Meta anlagte erstatningssøgsmål vedrørende Den Europæiske Unions ansvar uden for kontraktforhold (
3
) med påstand om erstatning for den skade, som dette selskab havde lidt som følge af denne udtalelse, var retligt ugrundet.
Den 17. april 2024 vedtog EDPB udtalelse nr. 8/2024 efter anmodning fra tre tilsynsmyndigheder for beskyttelse af personoplysninger. Disse myndigheder ønskede oplyst, under hvilke omstændigheder og på hvilke betingelser den praksis, som de store onlineplatforme (
4
) havde gennemført, og som bestod i at tilbyde brugerne at vælge enten at give samtykke til behandling af personoplysninger til adfærdsmæssig annoncering eller at betale et vederlag for at modtage en tjenesteydelse, uden at deres personoplysninger blev behandlet med dette formål (herefter »»pay or OK«-modellerne«), kunne anses for at opfylde kravet om gyldigt samtykke som omhandlet i databeskyttelsesforordningen.
I udtalelse nr. 8/2024 præciserede EDPB bl.a., at for at være gyldigt skal det samtykke, som brugerne anmodes om til behandlingen af deres personoplysninger med henblik på adfærdsmæssig annoncering, være frit, specifikt, oplyst og entydigt og vedrøre behandling af personoplysninger, som foretages under overholdelse af nødvendighedsprincippet, proportionalitetsprincippet, princippet om formålsbegrænsning, princippet om dataminimering og loyalitetsprincippet. Ifølge dette organ ville den omstændighed, at en stor onlineplatform tilbyder brugerne et supplerende valg vederlagsfrit og uden adfærdsmæssig annoncering f.eks. ledsaget af en reklameform, der indebærer behandling af et begrænset antal (eller ingen) personoplysninger, have væsentlig indvirkning på vurderingen af samtykkets gyldighed. Med hensyn til det vederlag, der opkræves for tjenesteydelsens betalingsudgave, anførte EDPB, at størrelsen ikke må kunne hindre de registrerede i at foretage et frit valg og i at afvise at give samtykke.
I denne forbindelse nedlagde Meta påstand om dels annullation af udtalelse 8/2024, dels om erstatning for den skade, som dette selskab havde lidt som følge af denne udtalelse.
Rettens bemærkninger
I første række bemærkede Retten, at annullationssøgsmålet i artikel 263 TEUF kan anvendes på alle retsakter, som Unionens institutioner, organer, kontorer eller agenturer vedtager, uanset deres karakter eller form, som har retligt bindende virkninger.
I det foreliggende tilfælde fastslog Retten hvad angår udtalelse nr. 8/2024, at indholdet heraf ikke gjorde det muligt at finde, at denne udtalelse i sig selv skulle skabe bindende retsvirkninger. Denne retsakt indeholdt nemlig et analyseskema over de store onlineplatformes »pay or OK«-modeller i lyset af databeskyttelsesforordningens regler om samtykkets gyldighed. I udtalelse nr. 8/2024 tog EDPB sigte på en situation, hvor en sådan onlineplatform ikke tilbyder brugeren et vederlagsfrit alternativ til at give samtykke til behandlingen af personoplysninger til adfærdsmæssig annoncering. I de fleste tilfælde risikerer denne situation at bevirke, at et sådant samtykke er ugyldigt. Denne vurdering afhænger af flere faktorer, herunder af, om den pågældende tjenesteydelse er af væsentlig karakter i brugernes sociale og erhvervsmæssige liv, og omkostningerne til betalingsudgaven. I øvrigt syntes de i udtalelse nr. 8/2024 indeholdte vendinger med formuleringer som »burde« eller »ikke burde« nærmere at opfordre til grundige overvejelser om de andre løsninger, som de enkelte store onlineplatforme kunne tilbyde brugerne, end generelt at påtale de af disse platforme tilbudte »pay or OK«-modeller.
Retten fremhævede endvidere, at databeskyttelsesforordningen ikke indeholder nogen bestemmelse, som pålægger tilsynsmyndighederne, at de »tager videst muligt hensyn« til en udtalelse fra EDPB om almengyldige spørgsmål såsom udtalelse nr. 8/2024 (
5
). En sådan forpligtelse (
6
) gælder derimod for udtalelser, der indeholder visse udkast til specifikke afgørelser fra tilsynsmyndighederne (
7
), som disse myndigheder skal meddele EDPB under proceduren for vedtagelse af disse afgørelser. Hvis tilsynsmyndigheden helt eller delvist ikke agter at følge sådanne udtalelser, skal tilsynsmyndigheden underrette formanden for EDPB, hvilket udløser processen for EDPB’s vedtagelse af en bindende afgørelse (
8
). En sådan ordning er ikke fastsat for EDPB’s udtalelser om almengyldige spørgsmål såsom udtalelse nr. 8/2024, idet disse udtalelser således er udtalelser, der ikke har nogen særlig virkning. Disse udtalelser har nemlig ikke i sig selv karakter af en bindende retsakt, idet retningslinjerne heri, henset til EDPB’s beføjelser, i givet fald først ved EDPB’s efterfølgende bindende afgørelse kan komme til udtryk i bindende instrukser for tilsynsmyndighederne. Henset til det ovenstående fastslog Retten, at udtalelse nr. 8/2024 ikke skabte bindende retsvirkninger for tredjemand og så meget desto mindre for Meta.
For det første kunne udtalelse nr. 8/2024, selv om Meta befandt sig i den situation, der var genstand for denne udtalelse, når den ikke indeholdt en fuldstændig analyse af dette selskabs tilfælde foretaget af de kompetente tilsynsmyndigheder, ikke have bindende retsvirkninger for selskabet. For det andet var muligheden for en senere bindende afgørelse fra EDPB til de kompetente tilsynsmyndigheder, hvori den af Meta valgte »pay or OK«-model blev undersøgt, og som helt eller delvist ville gengive det analyseskema, der var anført i udtalelse nr. 8/2024, heller ikke tilstrækkelig til at anse denne udtalelse for umiddelbart at være bindende. Retten fastslog derfor, at denne udtalelse ikke udgjorde en retsakt, der kunne anfægtes af Meta.
Denne konklusion påvirkede ikke Metas ret til en effektiv domstolsbeskyttelse (
9
), eftersom udtalelse nr. 8/2024 ikke havde bindende retsvirkninger for dette selskab. De betragtninger, som udtalelsen indeholdt, ville kun kunne påvirke Meta umiddelbart, hvis de var gengivet i en afgørelse fra en tilsynsmyndighed eller en retsinstans i en medlemsstat eller i en anden stat, der er part i aftalen om Det Europæiske Økonomiske Samarbejdsområde (EØS). Såfremt det forholdt sig således, ville disse afgørelser kunne gøres til genstand for en bedømmelse fra en retsinstans, der opfylder kravene til en effektiv domstolsbeskyttelse.
Nævnte konklusion kunne heller ikke drages i tvivl med det forhold, at retsinstanser i de stater, som er parter i EØS-aftalen, og som ikke er medlemmer af Unionen, kan vurdere en retsakt anderledes end EU-medlemsstaternes retsinstanser. En sådan mulighed er nemlig uløseligt forbundet med den ved EØS-aftalen fastlagte ordning, som er baseret på to søjler om tilsyn og domstolsprøvelse, idet førstnævnte finder anvendelse på EU-medlemsstaterne, og sidstnævnte finder anvendelse på de andre stater, der er parter i denne aftale. Hvad angår de sidstnævnte er det i bl.a. EØS-aftalen og aftalen mellem staterne i Den Europæiske Frihandelssammenslutning (EFTA) om oprettelse af en tilsynsmyndighed og en domstol (
10
) fastslået, at en retsinstans i disse stater kan forelægge EFTA-Domstolen en anmodning om at afgive en udtalelse om fortolkningen af disse regler, herunder bl.a. om fortolkning af databeskyttelsesforordningen. EFTA-Domstolen kan således angive, i hvilket omfang den finder, at de betragtninger, der fremgår af udtalelse nr. 8/2024, er i overensstemmelse med nævnte forordning. Hvad angår EU-medlemsstaterne kan en retsinstans i disse stater forelægge Domstolen en sag til vurdering af denne udtalelses gyldighed.
I anden række frifandt Retten Databeskyttelsesrådet for Metas påstand om erstatning for den skade, som dette selskab havde lidt som følge af udtalelse nr. 8/2024, i medfør af Unionens ansvar uden for kontraktforhold.
Efter at have anført de tre kumulative betingelser for, at Unionen ifalder dette ansvar, bemærkede Retten, at betingelsen om, at tabet skal være faktisk og reelt, ikke var opfyldt. Hvad angår det af Meta hævdede tab, som bestod i fald i reklame- og abonnementsindtægter, der var forårsaget af det i udtalelse nr. 8/2024 angiveligt fastsatte »krav« om at tilbyde brugerne et supplerende vederlagsfrit valg mellem enten at give samtykke til at modtage adfærdsmæssig annoncering eller at betale for at kunne opnå den pågældende tjenesteydelse uden at modtage denne type reklamer, fastslog Retten, at dette var støttet på en urigtig forståelse af denne udtalelse. Den pågældende udtalelse tilsigtede nemlig blot at fremlægge et analyseskema over de store onlineplatformes »pay or OK«-modeller i lyset af de regler, der er fastlagt i databeskyttelsesforordningen om samtykkets gyldighed, og ikke selv skabe bindende retsvirkninger. Det af Meta hævdede tab var endvidere støttet på fremtidige og usikre begivenheder, eftersom det forhold, at den irske databeskyttelsesmyndigheds anvendelse på eget initiativ af dette analyseskema eller EDPB’s vedtagelse af en bindende afgørelse på området blot var muligheder.
Hvad for fuldstændighedens skyld angik betingelsen om årsagssammenhæng bemærkede Retten, at der ikke kunne påvises nogen tilstrækkelig direkte årsagssammenhæng mellem udtalelse nr. 8/2024 og det af Meta hævdede tab. Uden bindende virkninger kunne denne udtalelse nemlig ikke være en tilstrækkeligt direkte årsag til det eventuelle fald i indtægter, som Meta angiveligt forventede. Et sådant tab kunne være en direkte følge af dette selskabs frivillige adfærd eller af eventuelle afgørelser, som gjaldt for selskabet, hvorved det blev foranlediget til at tilbyde brugerne et vederlagsfrit alternativ ud over valget mellem enten at give samtykke til at modtage adfærdsmæssig annoncering eller at betale for at kunne opnå den pågældende tjenesteydelse uden at modtage denne type reklamer.
(
1
) – Artikel 263 TEUF.
(
2
) – Artikel 64, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
(
3
) – Jf. artikel 268 TEUF og artikel 340, stk. 2, TEUF.
(
4
) – Europa-Parlamentets og Rådets forordning (EU) 2022/2065 af 19.10.2022 om et indre marked for digitale tjenester og om ændring af direktiv 2000/31/EF (forordning om digitale tjenester) (EUT 2022, L 277, s. 1). Begrebet »onlineplatform« er defineret i denne forordnings artikel 3, litra i), mens begrebet »meget store onlineplatforme« defineres i samme forordnings artikel 33, stk. 1.
(
5
) – Udtalelse støttet på databeskyttelsesforordningens artikel 64, stk. 2.
(
6
) – Jf. databeskyttelsesforordningens artikel 64, stk. 7.
(
7
) – Udtalelse støttet på databeskyttelsesforordningens artikel 64, stk. 1.
(
8
) – Databeskyttelsesforordningens artikel 64, stk. 8.
(
9
) – Artikel 47 i Den Europæiske Unions charter om grundlæggende rettigheder.
(
10
) – EØS-aftalens artikel 108, stk. 2, og artikel 34 i aftale mellem EFTA-staterne om oprettelse af en tilsynsmyndighed og en domstol (EFT 1994, L 344, s. 1).