62024TO0319_RES
Mål T‑319/24
Meta Platforms Ireland Ltd
mot
Europeiska dataskyddsstyrelsen
Tribunalens beslut (tionde avdelningen) av den 29 april 2025
”Talan om ogiltigförklaring – Skydd av personuppgifter – Europeiska dataskyddsstyrelsens yttrande om giltigt samtycke inom ramen för modeller för samtycke eller betalning som används av stora onlineplattformar – Artikel 64.2 i förordning (EU) 2016/679 – Akt mot vilken talan inte kan väckas – Avvisning – Ansvar – Skada – Orsakssamband – Uppenbart att talan helt saknar rättslig grund”
Talan om ogiltigförklaring – Rättsakter mot vilka talan kan väckas – Begrepp – Rättsakter som har bindande rättsverkningar – Europeiska dataskyddsstyrelsens yttrande om giltigt samtycke inom ramen för modeller för ”samtycke eller betalning” som används av stora onlineplattformar – Omfattas inte – Avvisning
(Artikel 263 FEUF)
(se punkterna 19–42)
Utomobligatoriskt skadeståndsansvar – Villkor – Rättsstridighet – Skada – Orsakssamband – Ett av villkoren är inte uppfyllt – Skadeståndstalan ska ogillas i sin helhet
(Artiklarna 268 och 340 andra stycket FEUF)
(se punkterna 47–58)
Resumé
Genom beslutet avvisar tribunalen talan om ogiltigförklaring (
1
) som väckts av Meta Platforms Ireland Ltd (nedan kallat Meta) avseende yttrande 8/2004 av Europeiska dataskyddsstyrelsen (nedan kallad dataskyddsstyrelsen) om giltigt samtycke inom ramen för modeller för samtycke eller betalning som används av stora onlineplattformar. Tribunalen finner således att detta yttrande, som antagits med stöd av den allmänna dataskyddsförordningen, (
2
) inte är en rättsakt mot vilken sådan talan kan väckas, eftersom det inte har några bindande rättsverkningar i förhållande till tredje man. Tribunalen finner vidare att det är uppenbart att det saknas rättslig grund för den talan om Europeiska unionens utomobligatoriska skadeståndsansvar (
3
) som Meta väckt i syfte att erhålla ersättning för skada som Meta påstått sig ha lidit till följd av samma yttrande.
Den 17 april 2024 antog Europeiska dataskyddsmyndigheten yttrande 8/2024, på begäran av tre nationella tillsynsmyndigheter för skydd av personuppgifter. Tillsynsmyndigheterna ville få klarhet i under vilka omständigheter och förutsättningar kravet på giltigt samtycke i dataskyddsförordningen kunde anses uppfyllt med det förfaringssätt som tillämpas av ”stora onlineplattformar”, (
4
) vilket består i att användarna får välja mellan att lämna sitt samtycke till att personuppgifter behandlas för ändamål rörande beteendestyrd annonsering eller att betala en avgift för att använda tjänsten utan att deras personuppgifter används för dessa ändamål (nedan kallade modeller för samtycke eller betalning).
I yttrande 8/2024 anger dataskyddsstyrelsen särskilt att det samtycke som inhämtas av användarna för att deras personuppgifter ska kunna behandlas för ändamål avseende beteendestyrd annonsering ska vara frivilligt, specifikt, informerat och otvetydigt och avse behandling av personuppgifter under iakttagande av principerna om nödvändighet, proportionalitet, ändamålsbegränsning, uppgiftsminimering och korrekthet. Dataskyddsstyrelsen menar att det kan ha avsevärd betydelse för bedömningen av samtyckets giltighet huruvida ett ytterligare, kostnadsfritt, alternativ utan beteendestyrd annonsering tillhandahålls, till exempel med en form av annonsering som inbegriper behandling av färre (eller inga) personuppgifter. När det gäller den avgift som tas ut för betalversionen av tjänsten anger dataskyddsstyrelsen att den inte bör vara av sådan storlek att den hindrar registrerade från att göra ett fritt val och vägra att lämna sitt samtycke.
Meta har mot den bakgrunden dels yrkat att yttrande 8/2024 ska ogiltigförklaras, dels att Meta ska gottgöras för den skada som Meta påstår sig ha lidit till följd av detta yttrande.
Tribunalens bedömning
Tribunalen erinrar först om att talan om ogiltigförklaring enligt artikel 263 FEUF kan väckas mot alla rättsakter – oavsett slag eller form – som har antagits av unionens institutioner, organ eller byråer och som är avsedda att ha bindande rättsverkningar.
Vad här beträffar yttrande 8/2024 anser tribunalen att innehållet i yttrandet inte gör det möjligt att anse att det är avsett att i sig ha bindande rättsverkningar. I yttrandet tillhandahålls nämligen en modell för bedömning av de stora onlineplattformarnas modeller för samtycke eller betalning mot bakgrund av bestämmelserna i dataskyddsförordningen om giltigt samtycke. Dataskyddsstyrelsen fokuserar i yttrande 8/2024 på den situationen där en sådan plattform inte ger användaren något annat kostnadsfritt alternativ än att samtycka till att personuppgifterna behandlas för ändamål avseende beteendestyrd annonsering. Det riskerar i de flesta fall att leda till att ett sådant samtycke blir ogiltigt. Bedömningen beror på flera faktorer, bland annat huruvida tjänsten i fråga är viktig för de registrerades sociala liv eller yrkesliv och kostnaden för betalningsalternativet. De avsnitt av yttrande 8/2024 som innehåller sådana formuleringar som”bör” eller ”inte bör” eller ”i de flesta fall”, tycks snarare mana till en fördjupad reflektion om de andra lösningar som varje stor onlineplattform skulle kunna erbjuda, i stället för att allmänt underkänna modellen för samtycke eller betalning som erbjuds av dessa plattformar.
Tribunalen understryker även att dataskyddsförordningen inte innehåller någon bestämmelse som förpliktar tillsynsmyndigheterna att ”ta största möjliga hänsyn” till ett yttrande från dataskyddsstyrelsen i frågor av allmän räckvidd, såsom yttrande 8/2024. (
5
) Däremot finns en sådan skyldighet (
6
) för yttranden som rör vissa typer av utkast till specifika beslut av tillsynsmyndigheterna (
7
) som dessa myndigheter måste översända till dataskyddsstyrelsen innan de antar dessa beslut. Om tillsynsmyndigheten avser att helt eller delvis inte följa sådana yttranden, ska den underrätta dataskyddsstyrelsens ordförande om detta, vilket utlöser processen för antagande av ett bindande beslut av dataskyddsstyrelsen. (
8
) Den ordningen föreskrivs inte i fråga om dataskyddsstyrelsens yttranden i frågor av allmän räckvidd, som yttrande 8/2024, vilka yttranden alltså inte är bindande för någon särskild myndighet. Ett sådant yttrande är nämligen inte en akt som i sig är bindande, eftersom riktlinjerna i detta yttrande mot bakgrund av dataskyddsstyrelsens befogenheter endast kan omvandlas till bindande anvisningar för tillsynsmyndigheterna i ett senare bindande beslut som i förekommande fall kan meddelas av dataskyddsstyrelsen. Tribunalen finner mot bakgrund av det ovan anförda att yttrande 8/2024 inte har några bindande rättsverkningar i förhållande till tredje man, i synnerhet inte i förhållande till Meta.
Även om Meta befinner sig i den situation som berörs i yttrande 8/2024, kan yttrandet inte få bindande rättsverkningar för Meta, i och med att det inte innehåller någon helhetsbedömning av Metas fall, gjord av behöriga tillsynsmyndigheter. Det är vidare inte tillräckligt att dataskyddsstyrelsen i ett senare skede kan komma att fatta ett bindande beslut som riktar sig till de behöriga tillsynsmyndigheter som ska granska Metas modell för samtycke eller betalning, i vilket används hela eller en del av den bedömningsmodell som beskrivs i yttrande 8/2024, för att nämnda yttrande direkt ska kunna betraktas som bindande. Tribunalen finner följaktligen att yttrandet inte utgör en rättsakt mot vilken Meta kan väcka talan.
Denna slutsats utgör inte ett ingrepp i Metas rätt till ett effektivt domstolsskydd, (
9
) i och med att yttrande 8/2024 inte har några bindande rättsverkningar för Meta. Övervägandena i yttrandet skulle endast kunna påverka Meta direkt om de användes i ett beslut av en tillsynsmyndighet eller en domstol i en medlemsstat eller i en annan stat som är part i avtalet om Europeiska ekonomiska samarbetsområdet (EES). Om så blir fallet kommer dessa beslut att kunna bli eller ha blivit föremål för en domstolsprövning som uppfyller kraven på ett effektivt domstolsskydd.
Nämnda slutsats påverkas inte heller av att yttrandet kan bedömas olika av domstolar i stater som är parter i EES-avtalet men inte medlemmar i unionen och av domstolar i unionens medlemsstater. Den möjligheten är nämligen en inneboende del i det system som fastställts i EES-avtalet vilket vilar på de två pelarna övervakning och rättslig prövning. Den första är tillämplig på EU:s medlemsstater och den andra på de övriga stater som är parter i avtalet. Vad beträffar de sistnämnda staterna anges det särskilt i EES-avtalet och i avtalet mellan Eftastaterna om upprättande av en övervakningsmyndighet och en domstol (
10
) att en domstol i dessa stater kan begära att Eftadomstolen meddelar ett tolkningsutlåtande om dessa regler, alltså bland annat om tolkningen av dataskyddsförordningen. Eftadomstolen kan således ange i vilken utsträckning den anser att de överväganden som gjorts i yttrande 8/2024 är förenliga med nämnda förordning. När det gäller unionens medlemsstater kan en domstol i dessa stater begära att EU-domstolen ska bedöma yttrandets giltighet.
Tribunalen ogillar sedan Metas yrkande om ersättning för den skada som Meta påstår sig ha lidit på grund av yttrande 8/2024 med hänvisning till unionens utomobligatoriska skadeståndsansvar.
Efter att ha erinrat om de tre kumulativa villkoren för att detta ansvar ska kunna göras gällande, framhåller tribunalen att villkoret att det ska föreligga en faktisk och säker skada inte är uppfyllt. Vad beträffar den skada som Meta har gjort gällande, bestående i minskade annons- och abonnemangsintäkter till följd av det påstådda ”kravet” i yttrande 8/2024, att användarna ska erbjudas ett annat kostnadsfritt alternativ utöver valet mellan att antingen samtycka till beteendestyrd annonsering eller att betala för att få använda den berörda tjänsten utan att få den typen av annonser, konstaterar tribunalen att det vilar på en oriktig tolkning av yttrandet. Yttrandet i fråga är nämligen endast avsett att tillhandahålla en modell för bedömning av de stora onlineplattformarnas modeller för samtycke eller betalning mot bakgrund av dataskyddsförordningens bestämmelser om giltigt samtycke och inte att i sig få några bindande rättsverkningar. Den skada som gjorts gällande av Meta vilar också på framtida och osäkra händelser. Det är inte mer än en tänkbar möjlighet att den irländska dataskyddsmyndigheten på eget initiativ beslutar att tillämpa denna bedömningsmall eller att dataskyddsstyrelsen fattar ett bindande beslut i frågan.
Tribunalen påpekar för fullständighetens skull, beträffande villkoret om ett orsakssamband, att det inte går att fastställa något tillräckligt direkt orsakssamband mellan yttrande 8/2024 och den skada som Meta har gjort gällande. I avsaknad av bindande verkningar kan yttrandet nämligen inte vara en tillräckligt direkt orsak till den eventuella inkomstminskning som Meta har påstått kan förväntas. En sådan skada skulle kunna följa direkt av Metas frivilliga handlande eller av eventuella beslut som skulle kunna rikta sig till bolaget, vilka skulle få Meta att erbjuda användarna ett kostnadsfritt alternativ utöver valet mellan att samtycka till beteendestyrd annonsering eller att betala för att använda den berörda tjänsten utan att ta emot den typen av annonser.
(
1
)	Artikel 263 FEUF.
(
2
)	Artikel 64.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).
(
3
)	Med stöd av artiklarna 268 och 340 andra stycket FEUF.
(
4
)	Europaparlamentets och rådets förordning (EU) 2022/2065 av den 19 oktober 2022 om en inre marknad för digitala tjänster och om ändring av direktiv 2000/31/EG (förordning om digitala tjänster) (EUT L 277, 2022, s. 1). I denna förordning definieras begreppet onlineplattform i artikel 3 i, medan begreppet ”mycket stora onlineplattformar” definieras i artikel 33.1.
(
5
)	Yttrande enligt artikel 64.2 i dataskyddsförordningen.
(
6
)	Enligt artikel 64.7 i dataskyddsförordningen.
(
7
)	Yttrande enligt artikel 64.1 i dataskyddsförordningen.
(
8
)	Artikel 64.8 i dataskyddsförordningen.
(
9
)	Artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna.
(
10
)	Artikel 108.2 i EES-avtalet och artikel 34 i avtalet mellan Eftastaterna om upprättande av en övervakningsmyndighet och en domstol (EGT L 344, 1994, s. 1).