62024TO0319_RES
Asia T‑319/24
Meta Platforms Ireland Ltd
vastaan
Euroopan tietosuojaneuvosto
Unionin yleisen tuomioistuimen määräys (kymmenes jaosto) 29.4.2025
Kumoamiskanne – Henkilötietojen suoja – Euroopan tietosuojaneuvoston lausunto suurten verkkoalustojen käyttöön ottamien maksa tai suostu ‑mallien yhteydessä annetun suostumuksen pätevyydestä – Asetuksen (EU) 2016/679 64 artiklan 2 kohta – Toimi, joka ei ole kannekelpoinen – Tutkimatta jättäminen – Vastuu – Vahinko – Syy-yhteys – Selvästi oikeudellisesti täysin perusteeton kanne
Kumoamiskanne – Kannekelpoiset toimet – Käsite – Toimet, joilla on sitovia oikeusvaikutuksia – Euroopan tietosuojaneuvoston lausunto suurten verkkoalustojen käyttöön ottamien maksa tai suostu ‑mallien yhteydessä annetun suostumuksen pätevyydestä – Lausunnolla ei ole sitovia oikeusvaikutuksia – Tutkimatta jättäminen
(SEUT 263 artikla)
(ks. 19–42 kohta)
Sopimussuhteen ulkopuolinen vastuu – Edellytykset – Lainvastaisuus – Vahinko – Syy-yhteys – Yhden edellytyksen täyttymättä jääminen – Vahingonkorvauskanteen hylkääminen kokonaisuudessaan
(SEUT 268 artikla ja SEUT 340 artiklan toinen kohta)
(ks. 47–58 kohta)
Tiivistelmä
Unionin yleinen tuomioistuin jättää määräyksellään tutkimatta kumoamiskanteen, (
1
) jonka Meta Platforms Ireland Ltd (jäljempänä Meta) on nostanut Euroopan tietosuojaneuvoston (jäljempänä tietosuojaneuvosto) antamasta suurten verkkoalustojen käyttöön ottamien maksa tai suostu ‑mallien yhteydessä annettavan suostumuksen pätevyyttä koskevasta lausunnosta 8/2024. Se katsoo, että kyseinen yleisen tietosuoja-asetuksen (
2
) perusteella annettu lausunto ei ole kannekelpoinen toimi, koska sillä ei ole sitovia oikeusvaikutuksia kolmansiin osapuoliin nähden. Lisäksi unionin yleinen tuomioistuin hylkää selvästi oikeudellisesti täysin perusteettomina Metan esittämät (
3
) unionin sopimussuhteen ulkopuolista vastuuta koskevat vaatimukset korvauksen saamiseksi vahingosta, joka sille on väitetysti aiheutunut kyseisestä lausunnosta.
Tietosuojaneuvosto antoi 17.4.2024 lausunnon 8/2024 kolmen kansallisen henkilötietojen suojaamisesta vastaavan valvontaviranomaisen pyynnöstä. Kyseiset viranomaiset halusivat selvittää, missä olosuhteissa ja millä edellytyksillä suurten verkkoalustojen käyttöön ottamien käytäntöjen, (
4
) joissa käyttäjille tarjotaan mahdollisuus valita kahdesta vaihtoehdosta, eli joko suostua henkilötietojen käsittelyyn käyttötottumuksia seuraavaa mainontaa varten tai suorittaa maksu saadakseen oikeuden käyttää palvelua ilman, että heidän henkilötietojaan käsitellään tätä tarkoitusta varten (jäljempänä maksa tai suostu ‑mallit), voidaan katsoa täyttävän yleisessä tietosuoja-asetuksessa asetetun pätevää suostumusta koskevan vaatimuksen.
Lausunnossa 8/2024 tietosuojaneuvosto täsmentää, että silloin, kun käyttäjiltä pyydetään suostumusta heidän henkilötietojensa käsittelyyn käyttötottumuksia seuraavaa mainontaa varten, tätä suostumusta voidaan pitää pätevänä vain, jos se on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen ja koskee tietojenkäsittelyä, jossa noudatetaan tarpeellisuuden, oikeasuhteisuuden, käyttötarkoitussidonnaisuuden, tietojen minimoinnin ja kohtuullisuuden periaatteita. Tietosuojaneuvoston mukaan se, tarjoaako suuri verkkoalusta käyttäjille maksutta lisävaihtoehdon, johon ei sisälly käyttötottumuksia seuraavaa mainontaa vaan esimerkiksi sellaista mainontaa, johon liittyy vähemmän (tai ei lainkaan) henkilötietojen käsittelyä, voi vaikuttaa merkittävästi suostumuksen pätevyyden arviointiin. Tietosuojaneuvosto toteaa, että palvelun maksullisesta versiosta perittävä maksu ei saa olla sellainen, että se tosiasiallisesti estää rekisteröityjä tekemästä vapaata valintaa ja kieltäytymästä antamasta suostumustaan.
Tässä yhteydessä Meta vaatii yhtäältä lausunnon 8/2024 kumoamista ja toisaalta sille kyseisestä lausunnosta väitetysti aiheutuneiden vahinkojen korvaamista.
Unionin yleisen tuomioistuimen arviointi
Ensinnäkin unionin yleinen tuomioistuin muistuttaa, että SEUT 263 artiklassa tarkoitettuja kannekelpoisia toimia ovat luonteestaan ja muodostaan riippumatta kaikki unionin toimielinten, elinten tai laitosten toimet, joilla pyritään saamaan aikaan sitovia oikeusvaikutuksia.
Käsiteltävässä asiassa unionin yleinen tuomioistuin toteaa lausunnosta 8/2024, että sen sisällön perusteella ei voida katsoa, että sen on itsessään tarkoitus tuottaa sitovia oikeusvaikutuksia. Kyseisessä asiakirjassa nimittäin esitetään menetelmä suurten verkkoalustojen maksa tai suostu ‑mallien arvioimiseksi yleisessä tietosuoja-asetuksessa vahvistettujen suostumuksen pätevyyttä koskevien sääntöjen kannalta. Lausunnossa 8/2024 tietosuojaneuvosto käsittelee tilannetta, jossa suuri verkkoalusta ei tarjoa käyttäjälle muuta maksutonta vaihtoehtoa kuin suostumuksen antamisen henkilötietojen käsittelyyn käyttötottumuksia seuraavaa mainontaa varten. Useimmissa tapauksissa tämä tilanne voi johtaa siihen, että suostumus on pätemätön. Kyseinen arviointi riippuu useista eri tekijöistä, kuten palvelun merkittävyydestä käyttäjien sosiaalisen elämän tai työelämän kannalta ja maksullisen vaihtoehdon kustannuksista. Lisäksi vaikuttaa siltä, että niissä lausunnon 8/2024 kohdissa, joissa käytetään sen kaltaisia ilmauksia kuin ”pitäisi” tai ”ei pitäisi”, pikemminkin kehotetaan pohtimaan tarkemmin, mitä muita ratkaisuja kukin suuri verkkoalusta voisi tarjota käyttäjille vaihtoehtona suostumuksen antamiselle käyttötottumuksia seuraavan mainonnan vastaanottamiseen, kuin tuomitaan yleisesti kyseisten alustojen tarjoamat maksa tai suostu ‑mallit.
Unionin yleinen tuomioistuin myös korostaa, ettei yleiseen tietosuoja-asetukseen sisälly mitään säännöstä, jossa velvoitettaisiin valvontaviranomaiset ottamaan lausunnon 8/2024 kaltainen yleisluonteisia asioita koskeva lausunto ”mahdollisimman kattavasti huomioon”. (
5
) Tällaista velvollisuutta (
6
) sovelletaan ainoastaan lausuntoihin, jotka koskevat tietyn tyyppisiä valvontaviranomaisten erityisiä päätösehdotuksia, (
7
) jotka näiden viranomaisten on toimitettava tietosuojaneuvostolle kyseisten päätösten hyväksymismenettelyn kuluessa. Jos valvontaviranomainen ei aio kokonaan tai osittain noudattaa kyseistä lausuntoa, sen on ilmoitettava tästä tietosuojaneuvoston puheenjohtajalle, minkä jälkeen aloitetaan menettely, jossa tietosuojaneuvosto antaa sitovan päätöksen. (
8
) Lausunnon 8/2024 kaltaisille yleisluonteisia asioita koskeville tietosuojaneuvoston lausunnoille ei ole säädetty vastaavaa menettelyä, eikä tällaisilla lausunnoilla siten ole erityistä sitovuutta. Nämä lausunnot eivät nimittäin ole itsessään sitovia toimia, ja niihin sisältyvistä ohjeista voi tietosuojaneuvoston valtuudet huomioon ottaen tulla tapauksen mukaan valvontaviranomaista velvoittavia vain, jos asiassa annetaan myöhemmin tietosuojaneuvoston sitova päätös. Edellä esitetyn perusteella unionin yleinen tuomioistuin toteaa, että lausunnolla 8/2024 ei ole sitovia oikeusvaikutuksia kolmansiin osapuoliin eikä erityisesti Metaan nähden.
Vaikka nimittäin Meta on sellaisessa tilanteessa, josta lausunto 8/2024 on annettu, yhtäältä kyseisellä lausunnolla ei voi olla sitovia oikeusvaikutuksia Metaan nähden, koska siihen ei sisälly toimivaltaisten valvontaviranomaisten Metan tapauksesta tekemää kattavaa arviointia. Toisaalta se mahdollisuus, että tietosuojaneuvosto antaa myöhemmin Metan maksa tai suostu ‑mallin tutkiville toimivaltaisille valvontaviranomaisille sitovan päätöksen, jossa noudatetaan kokonaan tai osittain lausunnossa 8/2024 esitettyä arviointimenetelmää, ei riitä siihen, että tätä lausuntoa voitaisiin pitää lähtökohtaisesti sitovana. Näin ollen unionin yleinen tuomioistuin toteaa, että kyseinen lausunto ei ole sellainen kannekelpoinen toimi, josta Meta voisi nostaa kanteen.
Tällä päätelmällä ei loukata Metalle taattua oikeutta tehokkaisiin oikeussuojakeinoihin, (
9
) koska lausunnolla 8/2024 ei ole sitovia oikeusvaikutuksia Metaan nähden. Kyseisen lausunnon sisältämät lausumat voisivat vaikuttaa suoraan Metaan vain, jos ne toistettaisiin valvontaviranomaisen päätöksessä tai unionin jäsenvaltion tai ETA-sopimuksen sopimuspuolena olevan muun valtion tuomioistuimen ratkaisussa. Mikäli näin on, kyseisille päätöksille tai ratkaisuille voidaan tehdä tai on tehty tehokkaiden oikeussuojakeinojen vaatimukset täyttävä tuomioistuimen arviointi.
Tätä päätelmää ei voida kyseenalaistaa myöskään sillä, että niiden ETA-sopimuksen sopimusvaltioiden, jotka eivät ole unionin jäsenvaltioita, tuomioistuimet saattaisivat arvioida kyseisen lausunnon sisältöä eri tavalla kuin unionin jäsenvaltioiden tuomioistuimet. Tällainen mahdollisuus kuuluu nimittäin luonnostaan ETA-sopimuksessa määrättyyn järjestelmään, joka perustuu kahteen pilariin eli valvontaviranomaisen valvontaan ja tuomioistuimen valvontaan, joista ensin mainittu kohdistuu unionin jäsenvaltioihin ja jälkimmäinen kyseisen sopimuksen muihin sopimusvaltioihin. Viimeksi mainituista ETA-sopimuksessa ja valvontaviranomaisen ja tuomioistuimen perustamisesta tehdyssä Euroopan vapaakauppaliiton (EFTA) valtioiden sopimuksessa (
10
) määrätään, että kyseisten valtioiden tuomioistuimet voivat pyytää EFTA-tuomioistuimelta lausuntoa mainittujen sääntöjen, ja siten myös erityisesti yleisen tietosuoja-asetuksen, tulkinnasta. EFTA-tuomioistuin voisi näin määrittää, missä määrin lausunnossa 8/2024 esitetyt lausumat ovat kyseisen asetuksen mukaisia. Unionin jäsenvaltioiden tapauksessa jokin niiden tuomioistuimista voisi pyytää unionin tuomioistuinta arvioimaan kyseisen lausunnon pätevyyden.
Toiseksi unionin yleinen tuomioistuin hylkää Metan vaatimuksen siitä, että sille väitetysti lausunnosta 8/2024 aiheutuneet vahingot korvataan unionin sopimussuhteen ulkopuolisen vastuun perusteella.
Muistutettuaan unionin sopimussuhteen ulkopuolisen vastuun syntymisen kolmesta kumulatiivisesta edellytyksestä unionin yleinen tuomioistuin toteaa, että varman ja todellisen vahingon olemassaoloa koskeva edellytys ei täyty. Metan väittämästä vahingosta eli mainos- ja liittymäsopimusten tuottamien tulojen vähenemisestä, joka sille aiheutuu lausunnossa 8/2024 väitetysti asetetusta ”vaatimuksesta” tarjota käyttäjille maksuton lisävaihtoehto sille, että käyttäjät joutuvat valitsemaan, antavatko he suostumuksensa käyttötottumuksia seuraavan mainonnan vastaanottamiseen vai maksavatko he oikeudesta käyttää kyseistä palvelua vastaanottamatta tällaista mainontaa, unionin yleinen tuomioistuin toteaa, että se perustuu kyseisen lausunnon virheelliseen ymmärtämiseen. Kyseisessä lausunnossa pyritään nimittäin vain määrittämään menetelmä suurten verkkoalustojen maksa tai suostu ‑mallien arvioimiseen yleisessä tietosuoja-asetuksessa vahvistettujen suostumuksen pätevyyttä koskevien sääntöjen kannalta, eikä sen ole tarkoitus tuottaa itsessään sitovia oikeusvaikutuksia. Lisäksi Metan väittämä vahinko perustuu tuleviin ja epävarmoihin tapahtumiin, sillä se, että Irlannin tietosuojaviranomainen päättäisi soveltaa oma-aloitteisesti kyseistä arviointimenetelmää tai että tietosuojaneuvosto antaisi sitovan päätöksen, ovat vain pelkkiä mahdollisuuksia.
Syy-yhteyttä koskevasta edellytyksestä unionin yleinen tuomioistuin toteaa toissijaisesti, ettei lausunnon 8/2024 ja Metalle väitetysti aiheutuneen vahingon välillä voida katsoa olevan riittävän suoraa syy-yhteyttä. Koska nimittäin kyseisellä lausunnolla ei ole sitovia oikeusvaikutuksia, se ei ole riittävän suora syy mahdolliseen tulojen vähenemiseen, jonka Meta väittää olevan odotettavissa. Tällainen vahinko voi johtua suoraan Metan omasta vapaaehtoisesta käyttäytymisestä tai mahdollisista Metaa sitovista päätöksistä, joiden vuoksi se joutuu tarjoamaan käyttäjille maksutonta vaihtoehtoa sen lisäksi, että käyttäjillä on mahdollisuus valita, antavatko he suostumuksensa käyttötottumuksia seuraavan mainonnan vastaanottamiseen vai maksavatko he oikeudesta käyttää kyseistä palvelua vastaanottamatta tällaista mainontaa.
(
1
)	SEUT 263 artikla.
(
2
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus) 64 artiklan 2 kohta.
(
3
)	SEUT 268 artiklan ja SEUT 340 artiklan toisen kohdan perusteella.
(
4
)	Digitaalisten palvelujen sisämarkkinoista ja direktiivin 2000/31/EY muuttamisesta 19.10.2022 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2022/2065 (digipalvelusäädös) (EUVL 2022, L 277, s. 1). Kyseisen asetuksen 3 artiklan i alakohdassa määritellään verkkoalustojen käsite ja sen 33 artiklan 1 kohdassa erittäin suurten verkkoalustojen käsite.
(
5
)	Yleisen tietosuoja-asetuksen 64 artiklan 2 kohtaan perustuva lausunto.
(
6
)	Yleisen tietosuoja-asetuksen 64 artiklan 7 kohdassa säädetty velvollisuus.
(
7
)	Yleisen tietosuoja-asetuksen 64 artiklan 1 kohtaan perustuvat lausunnot.
(
8
)	Yleisen tietosuoja-asetuksen 64 artiklan 8 kohta.
(
9
)	Euroopan unionin perusoikeuskirjan 47 artikla.
(
10
)	ETA-sopimuksen 108 artiklan 2 kohta ja valvontaviranomaisen ja tuomioistuimen perustamisesta tehdyn EFTA-valtioiden sopimuksen (EYVL 1994, L 344, s. 1) 34 artikla.