CONCLUZIILE AVOCATULUI GENERAL
DOMNUL ATHANASIOS RANTOS
prezentate la 20 septembrie 2022(1)
Cauza C‑252/21
Meta Platforms Inc., fostă Facebook Inc.,
Meta Platforms Ireland Limited, fostă Facebook Ireland Ltd,
Facebook Deutschland GmbH
împotriva
Bundeskartellamt
cu participarea:
Verbraucherzentrale Bundesverband e.V.
[cerere de decizie preliminară formulată de Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf, Germania)]
„Trimitere preliminară – Regulamentul (UE) 2016/679 – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Rețele sociale – Articolul 4 punctul 11 – Noțiunea de «consimțământ» al persoanei vizate – Consimțământ acordat unei întreprinderi operator aflate într‑o poziție dominantă – Articolul 6 alineatul (1) literele (b)-(f) – Legalitatea prelucrării – Prelucrare necesară pentru executarea unui contract la care persoana vizată este parte sau în scopul intereselor legitime urmărite de operator ori de o parte terță – Prelucrare necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului, pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice sau pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul – Articolul 9 alineatul (1) și alineatul (2) litera (e) – Categorii speciale de date cu caracter personal – Date cu caracter personal care sunt făcute publice în mod manifest de către persoana vizată – Articolele 51-66 – Competențele autorității naționale de concurență – Corelare cu competențele autorităților de supraveghere a protecției datelor cu caracter personal – Adoptarea de măsuri în temeiul dreptului concurenței de către o autoritate cu sediul într‑un alt stat membru decât cel al autorității principale de supraveghere a protecției datelor”
Introducere
1.        Prezenta cerere de decizie preliminară a fost introdusă de Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf, Germania), în cadrul unui litigiu între societăți din grupul Meta Platforms(2), pe de o parte, și Bundeskartellamt (Oficiul Federal al Concurenței, Germania), pe de altă parte, cu privire la decizia prin care acesta din urmă a interzis reclamantei din litigiul principal prelucrarea datelor prevăzute în condițiile de utilizare a rețelei sale sociale Facebook, precum și punerea în aplicare a condițiilor de utilizare menționate și a impus măsuri de încetare a acestor activități(3).
2.        Întrebările preliminare privesc în esență, pe de o parte, competența unei autorități naționale de concurență, precum Bundeskartellamt, de a examina, cu titlu principal sau incidental, comportamentul unei întreprinderi în lumina anumitor dispoziții din Regulamentul (UE) 2016/679(4) și, pe de altă parte, interpretarea acestor dispoziții în ceea ce privește în special prelucrarea datelor cu caracter personal sensibile, condițiile relevante pentru legalitatea prelucrării datelor cu caracter personal și acordarea unui consimțământ liber unei întreprinderi aflate într‑o poziție dominantă.
Cadrul juridic
Dreptul Uniunii
3.        Articolul 4 din RGPD prevede:
„În sensul prezentului regulament:
[…]
11.      «consimțământ» al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;
[…]”
4.        Articolul 6 alineatul (1) din acest regulament, intitulat „Legalitatea prelucrării”, prevede următoarele:
„Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:
(a)      persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;
(b)      prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;
(c)      prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;
(d)      prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;
(e)      prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;
(f)      prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.
Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.”
5.        Articolul 9 alineatele (1) și (2) din regulamentul menționat, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”, prevede:
„(1)      Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.
(2)      Alineatul (1) nu se aplică în următoarele situații:
(a)      persoana vizată și‑a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal pentru unul sau mai multe scopuri specifice, cu excepția cazului în care dreptul Uniunii sau dreptul intern prevede ca interdicția prevăzută la alineatul (1) să nu poată fi ridicată prin consimțământul persoanei vizate;
[…]
(e)      prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de către persoana vizată;
[…]”
6.        Articolul 51 din același regulament, intitulat „Autoritatea de supraveghere”, care face parte din capitolul VI al regulamentului, intitulat „Autorități de supraveghere independente”, prevede:
„(1)      Fiecare stat membru se asigură că una sau mai multe autorități publice independente sunt responsabile de monitorizarea aplicării prezentului regulament, în vederea protejării drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea și în vederea facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii […]
(2)      Fiecare autoritate de supraveghere contribuie la aplicarea coerentă a prezentului regulament în întreaga Uniune. În acest scop, autoritățile de supraveghere cooperează atât între ele, cât și cu Comisia, în conformitate cu capitolul VII.
[…]”
Dreptul german
7.        Articolul 19 alineatul (1) din Gesetz gegen Wettbewerbsbeschränkungen (Legea împotriva restricțiilor aduse concurenței, denumită în continuare „GWB”) prevede:
„Abuzul de poziție dominantă pe piață săvârșit de una sau mai multe întreprinderi este interzisă.”(5)
8.        Articolul 50f din GWB prevede:
„(1)      Autoritățile de concurență, autoritățile de reglementare, responsabilul federal pentru protecția datelor și libertatea de informare, responsabilii regionali pentru protecția datelor, precum și autoritățile competente în sensul articolului 2 din EU‑Verbraucherschutzdurchführungsgesetz (Legea privind punerea în aplicare a dreptului Uniunii Europene privind protecția consumatorilor) pot, indiferent de procedura aleasă, să facă schimb de informații, inclusiv de date cu caracter personal și de secrete comerciale și de afaceri, în măsura în care acest lucru este necesar pentru îndeplinirea sarcinilor lor, precum și să utilizeze informațiile respective în cadrul procedurilor lor. […]”
Litigiul principal, întrebările preliminare și procedura în fața Curții
9.        Meta Platforms gestionează oferta rețelei sociale digitale „Facebook” în Uniunea Europeană (la adresa www.facebook.com), precum și alte servicii online, inclusiv Instagram și WhatsApp. Modelul economic al rețelelor sociale gestionate de Meta Platforms constă în esență, pe de o parte, în oferirea de servicii gratuite de rețea socială utilizatorilor privați și, pe de altă parte, în vânzarea de publicitate online, adaptată utilizatorilor individuali ai rețelei sociale și menită să prezinte utilizatorului produsele și serviciile care l‑ar putea interesa, în special în funcție de atitudinile personale de consum, de interesele, de puterea de cumpărare și de circumstanțele personale ale acestuia. Baza tehnică a acestui tip de publicitate este alcătuirea automată a unor profiluri foarte detaliate ale utilizatorilor rețelei și ale serviciilor online oferite la nivel de grup(6).
10.      Pentru colectarea și prelucrarea datelor utilizatorilor, Meta Platforms se bazează pe acordul de utilizare încheiat cu utilizatorii săi prin acționarea butonului „Înregistrare”, prin care utilizatorii menționați acceptă astfel condițiile de utilizare a Facebook. Acceptarea acestor condiții de utilizare este o condiție esențială pentru utilizarea rețelei sociale Facebook(7). Elementul central al prezentei cauze privește practica reprezentată, în primul rând, de colectarea de date de la alte servicii specifice grupului, precum și de pe site‑uri de internet și din aplicații terțe, prin intermediul unor interfețe integrate în acestea din urmă sau prin intermediul modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului, în al doilea rând, în asocierea acestor date la contul de Facebook al utilizatorului în cauză și, în al treilea rând, în utilizarea datelor menționate (denumită în continuare „practica în litigiu”).
11.      Bundeskartellamt a inițiat o procedură împotriva Meta Platforms, în urma căreia, prin decizia în litigiu, a interzis acesteia prelucrarea datelor prevăzută de condițiile de utilizare a Facebook, precum și punerea în aplicare a acestor condiții și a impus măsuri de încetare a acestor activități. Bundeskartellamt și‑a motivat decizia în special prin faptul că prelucrarea în cauză constituia o exploatare abuzivă a poziției dominante a acestei societăți pe piața rețelelor sociale pentru utilizatorii privați din Germania, în sensul articolului 19 GWB(8).
12.      La 11 februarie 2019, Meta Platforms a introdus o acțiune împotriva deciziei în litigiu în fața Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf)(9), instanța de trimitere, care în esență are îndoieli cu privire, pe de o parte, la posibilitatea ca autoritățile naționale de concurență să controleze conformitatea unei operațiuni de prelucrare a datelor cu cerințele prevăzute în RGPD, precum și să constate și să sancționeze încălcarea dispozițiilor acestuia și, pe de altă parte, la interpretarea și aplicarea anumitor dispoziții din acest regulament.
13.      În aceste condiții, Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf) a decis să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1) a)      Este compatibil cu articolul 51 și următoarele din [RGPD] faptul că o autoritate națională de concurență a unui stat membru precum Bundeskartellamt (Oficiul Federal al Concurenței, Germania), care nu este o autoritate de supraveghere în sensul articolului 51 și următoarele din RGPD și în al cărei stat membru o întreprindere stabilită în afara Uniunii Europene deține o filială care furnizează sediului principal situat într‑un alt stat membru al acestei întreprinderi – care este unica responsabilă pentru prelucrarea datelor cu caracter personal pentru întregul teritoriu al Uniunii Europene – servicii de sprijin în domeniul publicității, al comunicării și al relațiilor publice, constată, în cadrul controlului practicilor abuzive în raport cu dreptul concurenței, o încălcare a RGPD prin condițiile contractuale ale sediului principal care privesc prelucrarea datelor și prin punerea în aplicare a acestora și emite o decizie privind încetarea acestei încălcări?
b)      În cazul unui răspuns afirmativ, este compatibil cu articolul 4 alineatul (3) TUE faptul că, în același timp, autoritatea principală de supraveghere din statul membru al sediului principal supune, potrivit articolului 56 alineatul (1) din RGPD, condițiile contractuale de prelucrare a datelor ale acestui sediu unei proceduri de examinare?
În cazul unui răspuns afirmativ la întrebarea 1:
2) a)      Atunci când un utilizator de internet fie doar consultă site‑uri sau aplicații care au legătură cu criteriile prevăzute la articolul 9 alineatul (1) din RGPD, cum ar fi aplicații de flirt, site‑uri de întâlniri pentru homosexuali, site‑uri ale partidelor politice, site‑uri de sănătate, fie introduce date pe aceste site‑uri, cum ar fi cu ocazia înregistrării sau a comenzilor, iar o altă întreprindere precum Facebook Ireland colectează date referitoare la consultarea site‑urilor și a aplicațiilor de către utilizator și date introduse de el pe site‑urile respective, prin intermediul interfețelor integrate în site‑uri și în aplicații, precum «Facebook Business Tools», sau prin intermediul modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, asociază aceste date cu datele contului [Facebook] al utilizatorului și le utilizează, colectarea și/sau a asocierea și/sau utilizarea reprezintă o prelucrare a unor date sensibile în sensul acestei dispoziții?
b)      În cazul unui răspuns afirmativ, consultarea acestor site‑uri și aplicații și/sau introducerea unor date și/sau acționarea butoanelor integrate în aceste site‑uri sau aplicații («plug‑inuri sociale» precum «Îmi place», «Distribuie» sau «Conectare Facebook» ori «Account Kit») ale unui furnizor precum Facebook Ireland echivalează cu a face publice în mod manifest datele referitoare la consultare ca atare și/sau la datele introduse de utilizator în sensul articolului 9 alineatul (2) litera (e) din RGPD?
3)      O întreprindere precum Facebook Ireland, care exploatează o rețea socială digitală, finanțată din publicitate, care, în condițiile sale de utilizare, pune la dispoziție personalizarea conținuturilor și a publicității, securitatea rețelei, îmbunătățirea produselor și utilizarea coerentă și uniformă a tuturor produselor grupului, poate invoca justificarea întemeiată pe necesitatea executării contractului în conformitate cu articolul 6 alineatul (1) litera (b) din RGPD sau pe realizarea unor interese legitime în conformitate cu articolul 6 alineatul (1) litera (f) din RGPD atunci când, în aceste scopuri, întreprinderea respectivă colectează date din alte servicii ale grupului și de pe site‑uri și aplicații terțe prin intermediul interfețelor integrate în acestea precum «Facebook Business Tools» sau al modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, le asociază cu contul [Facebook] al utilizatorului și le utilizează?
4)      Într‑o astfel de situație, pot constitui de asemenea interese legitime în sensul articolului 6 alineatul (1) litera (f) din RGPD:
–        faptul că utilizatorii sunt minori, pentru personalizarea conținuturilor și a publicității, îmbunătățirea produselor, securitatea rețelei și comunicarea cu utilizatorul în alte scopuri decât cele legate de marketing;
–        furnizarea de măsurători, de analize și de alte servicii pentru întreprinderi destinate clienților din domeniul publicității, dezvoltatorilor și altor parteneri pentru ca aceștia să își poată evalua și îmbunătăți prestațiile;
–        furnizarea de comunicări de marketing către utilizator pentru a permite întreprinderii să își îmbunătățească produsele și să desfășoare marketing direct;
–        cercetarea și inovarea în scopuri sociale, în vederea promovării evoluției tehnologiei sau a înțelegerii în mod științific a unor aspecte sociale importante și pentru a influența pozitiv societatea și lumea;
–        informarea autorităților de aplicare a legii și de executare și răspunsul la cererile legale în vederea prevenirii, depistării și urmăririi penale a infracțiunilor, a utilizării ilicite, a încălcărilor condițiilor de utilizare și a politicilor întreprinderii, precum și a oricărui alt comportament prejudiciabil,
atunci când, în aceste scopuri, întreprinderea colectează date din alte servicii ale grupului și de pe site‑uri și aplicații terțe prin intermediul interfețelor integrate în acestea precum «Facebook Business Tools» sau al modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, le asociază cu contul [Facebook] al utilizatorului și le utilizează?
5)      Într‑un astfel de caz, colectarea datelor provenite din alte servicii ale grupului și de pe site‑uri și aplicații terțe prin intermediul interfețelor integrate în acestea precum «Facebook Business Tools» sau al modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, asocierea cu contul [Facebook] al utilizatorului și utilizarea acestor date sau utilizarea unor date colectate din altă parte și asociate în mod legal pot fi justificate într‑un caz concret, inclusiv în conformitate cu articolul 6 alineatul (1) literele (c), (d) și (e) din RGPD, de exemplu pentru a răspunde unei cereri valabile din punct de vedere legal privind furnizarea anumitor date [litera (c)], pentru combaterea unui comportament prejudiciabil și pentru promovarea securității [litera (d)], pentru cercetarea în beneficiul societății și pentru promovarea protecției, a integrității și a securității [litera (e)]?
6)      Poate fi exprimat un consimțământ valabil și în special liber în sensul articolului 4 punctul 11 din RGPD, în conformitate cu articolul 6 alineatul (1) litera (a) și cu articolul 9 alineatul (2) litera (a) din RGPD, față de o întreprindere aflată în poziție dominantă precum Facebook Ireland?
În cazul unui răspuns negativ la întrebarea 1:
7) a)      O autoritate națională de concurență a unui stat membru, precum Bundeskartellamt, care nu este o autoritate de supraveghere în sensul articolului 51 și următoarele din RGPD și care examinează o încălcare săvârșită de o întreprindere aflată în poziție dominantă a interdicției practicilor abuzive în temeiul dreptului concurenței, care nu constă într‑o încălcare a RGPD prin condițiile sale de prelucrare a datelor și prin punerea în aplicare a acestora, se poate pronunța, de exemplu, în cadrul evaluării comparative a intereselor, cu privire la conformitatea cu RGPD a condițiilor de prelucrare a datelor întreprinderii respective și a punerii în aplicare a acestora?
b)      În cazul unui răspuns afirmativ, acest aspect este valabil în raport cu articolul 4 alineatul (3) TUE inclusiv atunci când, în același timp, autoritatea de supraveghere principală, competentă în temeiul articolului 56 alineatul (1) din RGPD, supune condițiile de prelucrare a datelor ale acestei întreprinderi unei proceduri de examinare?
În cazul unui răspuns afirmativ la întrebarea 7, este necesar să se răspundă la întrebările 3)-5) în ceea ce privește datele provenite din utilizarea serviciului Instagram al grupului.”
14.      Au depus observații scrise Meta Platforms, guvernele german, ceh, italian și austriac, Bundeskartellamt, Verbraucherzentrale Bundesverband e.V. (asociație a consumatorilor, Germania), precum și Comisia Europeană. Aceste părți au prezentat de asemenea observații orale în cadrul ședinței de audiere a pledoariilor desfășurate la 10 mai 2022.
Analiză
15.      Întrebările preliminare care fac obiectul prezentei cauze, referitoare la interpretarea mai multor dispoziții din RGPD, privesc în esență, în primul rând, competența unei autorități de concurență de a constata și a sancționa o încălcare a normelor privind prelucrarea datelor cu caracter personal și obligațiile sale de cooperare cu autoritatea de supraveghere principală în sensul RGPD (prima și cea de a șaptea întrebare preliminară), în al doilea rând, interdicția prelucrării datelor cu caracter personal sensibile și condițiile aplicabile consimțământului pentru utilizarea acestora (cea de a doua întrebare preliminară), în al treilea rând, legalitatea prelucrării datelor cu caracter personal în lumina anumitor justificări (întrebările preliminare a treia-a cincea) și, în al patrulea rând, validitatea unui consimțământ pentru prelucrarea datelor cu caracter personal acordat unei întreprinderi aflate într‑o poziție dominantă (cea de a șasea întrebare preliminară).
16.      În cadrul următoarelor puncte vom aborda mai întâi prima și cea de a șaptea întrebare preliminară, iar ulterior celelalte întrebări preliminare, în ordinea în care au fost adresate, analizând împreună cea de a treia, cea de a patra și cea de a cincea întrebare preliminară.
Cu privire la prima întrebare preliminară
17.      Prin intermediul primei întrebări preliminare, instanța de trimitere solicită în esență să se stabilească dacă, în cadrul urmăririi penale a unor încălcări ale normelor de concurență, o autoritate de concurență poate, pe de o parte, să se pronunțe cu titlu principal(10) cu privire la încălcarea normelor privind prelucrarea datelor din RGPD de către o întreprindere al cărei sediu principal, unicul responsabil pentru prelucrarea datelor cu caracter personal pentru toată Uniunea, se află într‑un alt stat membru și, pe de altă parte, să dispună încetarea acestei încălcări [prima întrebare litera a)] și, în cazul unui răspuns afirmativ, dacă autoritatea de supraveghere principală competentă în temeiul articolului 56 alineatul (1) din RGPD poate în continuare să supună unei proceduri de examinare condițiile de prelucrare a datelor de către întreprinderea respectivă [prima întrebare litera b)].
18.      Cu toate acestea, sub rezerva verificării de către instanța de trimitere, considerăm că Bundeskartellamt nu a sancționat în decizia în litigiu o încălcare a RGPD de către Meta Platforms, ci a efectuat, doar în scopul aplicării normelor de concurență, o examinare a unei pretinse încălcări a interdicției abuzului de poziție dominantă de către aceasta, luând în considerare printre altele neconformitatea conduitei acestei întreprinderi cu dispozițiile RGPD.
19.      Prin urmare, în opinia noastră, în măsura în care se referă la posibilitatea ca o autoritate de concurență să se pronunțe cu titlu principal cu privire la încălcarea normelor din RGPD și să dispună încetarea acestei încălcări în sensul regulamentului respectiv, prima întrebare litera a) este inoperantă(11).
20.      Rezultă că prima întrebare litera b), care este subordonată răspunsului afirmativ la prima întrebare litera a), este de asemenea inoperantă(12).
Cu privire la cea de a șaptea întrebare preliminară
21.      Prin intermediul celei de a șaptea întrebări preliminare, instanța de trimitere solicită în esență să se stabilească dacă o autoritate de concurență se poate pronunța cu titlu incidental(13), în cadrul examinării unor încălcări ale normelor de concurență, cu privire la conformitatea cu RGPD a condițiilor de prelucrare a datelor și a punerii în aplicare a acestora [cea de a șaptea întrebare litera a)] și, în cazul unui răspuns afirmativ, dacă o examinare de către autoritatea de concurență este posibilă inclusiv atunci când, în același timp, autoritatea de supraveghere principală competentă supune aceste condiții unei proceduri de examinare [cea de a șaptea întrebare litera b)].
22.      În ceea ce privește, în primul rând, cea de a șaptea întrebare litera a), considerăm că, deși o autoritate de concurență nu este competentă să constate o încălcare a RGPD(14), acest din urmă regulament nu se opune, în principiu, ca alte autorități decât cele de supraveghere să poată lua în considerare cu titlu incidental, în exercitarea propriilor competențe și atribuții, compatibilitatea unui comportament cu dispozițiile RGPD. În opinia noastră, acesta este în special cazul în ceea ce privește exercitarea de către o autoritate de concurență a competențelor care îi sunt conferite de articolul 102 TFUE și de articolul 5 primul paragraf din Regulamentul (CE) nr. 1/2003(15) sau de orice altă normă națională corespunzătoare(16).
23.      Într‑adevăr, cu ocazia exercitării competențelor sale, o autoritate de concurență trebuie să evalueze printre altele dacă comportamentul examinat constă în a recurge la alte mijloace decât cele care fac parte din concurența pe bază de merite, ținând seama de contextul juridic și economic în care se înscrie acest comportament(17). În această privință, conformitatea sau neconformitatea comportamentului respectiv cu dispozițiile RGPD, nu în sine, ci având în vedere toate împrejurările cauzei, poate constitui un indiciu important pentru a stabili dacă acest comportament reprezintă o recurgere la mijloace care guvernează concurența normală, înțelegându‑se că natura abuzivă sau neabuzivă a unui comportament în raport cu articolul 102 TFUE nu rezultă din conformitatea sau neconformitatea sa cu RGPD sau cu alte norme juridice(18).
24.      Prin urmare, considerăm că examinarea unui abuz de poziție dominantă pe piață poate justifica interpretarea de către o autoritate de concurență a normelor care nu țin de dreptul concurenței, precum cele din RGPD(19), precizând în același timp că o astfel de examinare este efectuată în mod incidental(20) și nu aduce atingere aplicării acestui regulament de către autoritățile de supraveghere competente(21).
25.      În ceea ce privește, în al doilea rând, cea de a șaptea întrebare litera b), instanța de trimitere ridică problema referitoare la obligațiile, în cadrul aplicării principiului cooperării loiale prevăzut la articolul 4 alineatul (3) TUE, pe care le are o autoritate de concurență în raport cu autoritatea de supraveghere principală competentă în sensul RGPD atunci când interpretează acest regulament și, mai exact, atunci când același comportament ca și cel examinat de autoritatea de concurență face obiectul unei examinări din partea autorității de supraveghere principale competente.
26.      În prezenta cauză, examinarea, chiar și incidentală, a comportamentului unei întreprinderi în lumina normelor din RGPD de către o autoritate de concurență implică riscul unor divergențe între aceasta și autoritățile de supraveghere în ceea ce privește interpretarea acestui regulament, ceea ce, în principiu, poate aduce atingere interpretării uniforme a RGPD(22).
27.      Dreptul Uniunii nu prevede norme detaliate privind cooperarea dintre o autoritate de concurență și autoritățile de supraveghere în sensul RGPD într‑o astfel de situație. În special, în cauză nu este aplicabil nici mecanismul de cooperare între autoritățile competente în sensul RGPD cu ocazia aplicării acestuia(23), nici alte norme detaliate privind cooperarea între autoritățile administrative, precum cele privind cooperarea între autoritățile de concurență și cooperarea dintre acestea din urmă și Comisie cu ocazia aplicării normelor de concurență(24).
28.      Acestea fiind spuse, atunci când interpretează RGPD, o autoritate de concurență este totuși obligată să respecte principiul cooperării loiale consacrat la articolul 4 alineatul (3) TUE, în temeiul căruia Uniunea și statele membre, inclusiv autoritățile administrative ale acestora(25), se respectă și se ajută reciproc în îndeplinirea misiunilor care decurg din tratate. În special, cel de al treilea paragraf al acestei dispoziții prevede că statele membre facilitează îndeplinirea de către Uniune a misiunii sale și se abțin de la orice măsură care ar putea pune în pericol realizarea obiectivelor Uniunii(26). În plus, precum orice autoritate administrativă însărcinată cu aplicarea dreptului Uniunii, o autoritate de concurență este obligată să respecte principiul bunei administrări, ca principiu general al dreptului Uniunii, care include printre altele o obligație extinsă de diligență și de solicitudine în sarcina autorităților naționale(27).
29.      Astfel, în absența unor norme exacte privind mecanismele de cooperare, a căror adoptare revine eventual legiuitorului Uniunii, o autoritate de concurență este supusă, atunci când interpretează dispozițiile RGPD, cel puțin unor obligații de informare, de cercetare și de cooperare în raport cu autoritățile competente în sensul acestui regulament, în conformitate cu normele interne care îi reglementează competențele (principiul autonomiei procedurale a statelor membre) și cu respectarea principiilor echivalenței și efectivității(28).
30.      Rezultă, în opinia noastră, că, atunci când autoritatea de supraveghere principală competentă s‑a pronunțat cu privire la aplicarea anumitor dispoziții din RGPD în cazul unei practici identice sau similare, autoritatea de concurență nu poate, în principiu, să se îndepărteze de interpretarea acestei autorități, care este singura competentă pentru aplicarea regulamentului respectiv(29), și trebuie, în măsura în care este posibil și cu respectarea în special a dreptului la apărare al persoanelor în cauză, să se conformeze eventualelor decizii adoptate de autoritatea respectivă cu privire la același comportament(30) și, în cazul în care există îndoieli cu privire la interpretarea dată în speță de autoritatea competentă, să o consulte sau, dacă este cazul, atunci când aceasta se află într‑un alt stat membru, să consulte autoritatea națională de supraveghere(31).
31.      În plus, în absența unei decizii a autorității de supraveghere competente, autoritatea de concurență are totuși obligația de a o informa(32) și de a coopera cu aceasta în cazul în care autoritatea de supraveghere competentă a inițiat o examinare a aceleiași practici sau și‑a manifestat intenția de a face acest lucru și, eventual, de a aștepta rezultatul examinării efectuate de aceasta din urmă înainte de a iniția propria evaluare, în măsura în care acest lucru este adecvat și nu aduce atingere în special respectării de către autoritatea de concurență a unei perioade rezonabile de investigație și a dreptului la apărare al persoanelor în cauză(33).
32.      În prezenta cauză, considerăm că faptul de a fi inițiat o cooperare cu autoritățile de supraveghere responsabile la nivel național(34) și de a fi contactat de asemenea, în mod informal, autoritatea de supraveghere principală irlandeză, împrejurări menționate de Bundeskartellamt și pe care instanța de trimitere trebuie să le verifice, poate fi suficient pentru a se concluziona că această autoritate și‑a îndeplinit obligațiile de diligență și cooperare loială(35).
33.      În concluzie, propunem să se răspundă la cea de a șaptea întrebare preliminară că articolele 51-66 din RGPD trebuie interpretate în sensul că o autoritate de concurență poate examina cu titlu incidental, în cadrul competențelor sale în temeiul normelor în materie de concurență, conformitatea practicilor analizate cu normele RGPD, luând în considerare orice decizie sau investigație a autorității de supraveghere competente în temeiul RGPD și informând autoritatea națională de supraveghere și, după caz, consultând‑o.
Cu privire la cea de a doua întrebare preliminară
34.      Prin intermediul celei de a doua întrebări preliminare, instanța de trimitere solicită în esență să se stabilească dacă articolul 9 alineatul (1) din RGPD trebuie interpretat în sensul că practica în litigiu, în măsura în care privește consultarea paginilor de internet și a aplicațiilor terțe(36), se înscrie în domeniul prelucrării datelor sensibile cu caracter personal enumerate(37), care este interzisă(38) [a doua întrebare litera a)], și, în cazul unui răspuns afirmativ, dacă articolul 9 alineatul (2) litera (e) din acest regulament trebuie interpretat în sensul că un utilizator face publice în mod manifest, în sensul acestei dispoziții, datele care sunt, pe de o parte, dezvăluite prin consultarea paginilor de internet și a aplicațiilor sau, pe de altă parte, a celor care sunt inserate sau care rezultă din acționarea butoanelor de selecție integrate în aceste pagini de internet sau aplicații(39) [a doua întrebare litera b)].
35.      În ceea ce privește, în primul rând, cea de a doua întrebare litera a), reamintim că, în temeiul articolului 9 alineatul (1) din RGPD, prelucrarea datelor cu caracter personal sensibile este interzisă. Protecția specială a acestor date este motivată, astfel cum reiese din considerentul (51) al acestui regulament, de faptul că ele sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale și prelucrarea acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale. În plus, în pofida caracterului oarecum obscur al formulării acestei dispoziții(40), nu considerăm că, astfel cum presupune instanța de trimitere, aceasta introduce o diferență substanțială între datele cu caracter personal care sunt sensibile pentru că „dezvăluie” o anumită situație și datele care sunt sensibile prin ele însele(41).
36.      În prezenta cauză, în opinia noastră, este evident că practica în litigiu constituie o prelucrare de date cu caracter personal care, în principiu, se poate încadra în domeniul de aplicare al acestei dispoziții și poate fi interzisă atunci când datele prelucrate „dezvăluie” una dintre situațiile sensibile enumerate în aceasta. Prin urmare, trebuie să se stabilească dacă și în ce măsură consultarea site‑urilor de internet și a aplicațiilor sau introducerea unor date în acestea poate „dezvălui” una dintre situațiile sensibile vizate de dispoziția în cauză.
37.      În această privință, avem îndoieli că este relevant (și că mai este posibil) să se facă distincția între, pe de o parte, un simplu interes al persoanei în cauză pentru anumite informații și, pe de altă parte, apartenența acestei persoane la una din categoriile menționate de dispoziția în cauză(42). Chiar dacă pozițiile părților din litigiul principal sunt opuse în această privință(43), considerăm că un răspuns la această întrebare poate fi căutat numai de la caz la caz și în funcție de fiecare dintre activitățile care constituie practica în litigiu.
38.      În timp ce, astfel cum subliniază guvernul german, simpla colectare de date sensibile cu caracter personal referitoare la consultarea unui site de internet sau a unei aplicații nu constituie, în sine, în mod necesar, o prelucrare de date sensibile cu caracter personal în sensul acestei dispoziții(44), asocierea acestor date la contul de Facebook al utilizatorului în cauză sau utilizarea acestora constituie, în schimb, un comportament care ar putea constitui mai ușor o astfel de prelucrare. Elementul decisiv pentru aplicarea articolului 9 alineatul (1) din RGPD este, în opinia noastră, posibilitatea ca datele prelucrate să permită crearea de profiluri ale utilizatorului în funcție de categoriile care rezultă din enumerarea datelor cu caracter personal sensibile efectuată de această dispoziție(45).
39.      În acest context, pentru a putea determina dacă o operațiune de prelucrare a datelor intră în domeniul de aplicare al acestei dispoziții, ar putea fi util să se facă distincția, eventual, între, pe de o parte, prelucrarea datelor care pot fi clasificate la prima vedere în categoria datelor sensibile cu caracter personal și care permit prin ele însele crearea de profiluri ale persoanei vizate și, pe de altă parte, prelucrarea datelor care nu sunt ele însele sensibile, dar care necesită o activitate ulterioară de regrupare în scopul desprinderii unor concluzii plauzibile pentru crearea de profiluri ale persoanei vizate.
40.      Acestea fiind spuse, trebuie precizat că existența unei clasificări în sensul acestei dispoziții este independentă de întrebarea dacă această clasificare este adevărată sau corectă(46). Ceea ce contează este posibilitatea ca o astfel de clasificare să creeze un risc semnificativ pentru drepturile și libertățile fundamentale ale persoanei vizate, astfel cum se amintește în considerentul (51) al RGPD, posibilitate care este independentă de veridicitatea acesteia.
41.      În sfârșit, în ceea ce privește întrebarea instanței de trimitere referitoare la relevanța scopului utilizării în vederea aprecierii în cauză(47), considerăm, contrar celor susținute de reclamanta din litigiul principal, că, în principiu, nu este necesar ca operatorul să prelucreze aceste date „în cunoștință de cauză și cu intenția de a obține în mod direct categorii speciale de informații din acestea”. Într‑adevăr, obiectivul dispoziției în cauză este în esență de a preveni în mod obiectiv riscurile semnificative pentru drepturile și libertățile fundamentale ale persoanelor vizate care decurg din prelucrarea datelor sensibile cu caracter personal, indiferent de orice element subiectiv, precum intenția operatorului.
42.      În ceea ce privește, în al doilea rând, cea de a doua întrebare litera b), reamintim că, în conformitate cu articolul 9 alineatul (2) litera (e) din RGPD, interdicția de prelucrare a datelor sensibile cu caracter personal nu se aplică în cazul în care prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de persoana vizată. În plus, referința din formularea acestei dispoziții la adverbul „manifest” și faptul că dispoziția menționată constituie o excepție de la principiul interzicerii prelucrării datelor sensibile cu caracter personal(48) necesită o aplicare deosebit de strictă a acestei excepții, din cauza riscurilor semnificative pentru drepturile și libertățile fundamentale ale persoanelor vizate(49). Pentru ca această excepție să se aplice, utilizatorul trebuie, în opinia noastră, să fie pe deplin conștient de faptul că, printr‑un act explicit(50), face publice date cu caracter personal(51).
43.      În prezenta cauză, considerăm că un comportament care constă în consultarea site‑urilor de internet și a aplicațiilor, în introducerea unor date în aceste site‑uri și aplicații și în acționarea butoanelor de selecție integrate în acestea nu poate fi asimilat, în principiu, unui comportament care face publice în mod manifest datele sensibile cu caracter personal ale utilizatorului, în sensul articolului 9 alineatul (2) litera (e) din RGPD.
44.      În special, menționăm că, în principiu, consultarea site‑urilor de internet și a aplicațiilor face ca datele de consultare să fie accesibile numai administratorului site‑ului de internet sau al aplicației în cauză și terților cărora acesta le transmite informațiile respective, precum reclamanta din litigiul principal(52). În mod similar, în cazul în care, prin introducerea de date în site‑uri de internet și aplicații, persoana vizată ar putea furniza, în mod direct și voluntar, informații privind anumite date sensibile cu caracter personal, remarcăm de asemenea că aceste informații sunt accesibile numai operatorului site‑ului de internet sau al aplicației în cauză și terților cărora acesta le transmite informațiile respective. Prin urmare, excludem faptul că un astfel de comportament poate reflecta dorința de a pune aceste date la dispoziția colectivității(53). În plus, deși este evident că, prin acționarea butoanelor de selectare integrate în site‑uri de internet sau aplicații(54), persoana în cauză își exprimă în mod clar voința de a împărtăși anumite informații cu un public extern site‑ului de internet sau aplicației în cauză, considerăm că, după cum subliniază Bundeskartellamt, prin acest comportament, persoana în cauză este conștientă de faptul că împărtășește informații cu un cerc determinat de persoane, adesea definit de utilizatorul însuși(55), și nu cu colectivitatea(56).
45.      În sfârșit, în ceea ce privește relevanța unui eventual consimțământ dat de utilizator în sensul articolului 5 alineatul (3) din Directiva 2002/58 pentru colectarea de date cu caracter personal prin intermediul modulelor cookie sau al unor tehnologii similare, menționat de instanța de trimitere, considerăm că acest consimțământ, având în vedere scopul său specific, nu poate justifica prin el însuși prelucrarea datelor sensibile cu caracter personal colectate prin aceste mijloace(57). Într‑adevăr, consimțământul menționat, care este necesar pentru instalarea unui mijloc tehnic de captare a anumitor activități ale utilizatorului(58), nu vizează prelucrarea unor date sensibile cu caracter personal și nu poate fi asimilat voinței de a face aceste date publice în mod manifest, în sensul articolului 9 alineatul (2) litera (e) din RGPD(59).
46.      În concluzie, propunem să se răspundă la cea de a doua întrebare preliminară că, pe de o parte, articolul 9 alineatul (1) din RGPD trebuie interpretat în sensul că interdicția de prelucrare a datelor sensibile cu caracter personal poate include prelucrarea datelor efectuată de un operator al unei rețele sociale online, care constă în colectarea datelor unui utilizator atunci când acesta consultă alte site‑uri sau aplicații sau introduce astfel de date în aceste site‑uri sau aplicații, în asocierea datelor menționate cu contul utilizatorului în rețeaua socială și în utilizarea acestora, cu condiția ca informațiile prelucrate, considerate în mod individual sau regrupate, să permită crearea de profiluri ale utilizatorului în conformitate cu categoriile care rezultă din enumerarea datelor sensibile cu caracter personal, efectuată prin această dispoziție, și, pe de altă parte, articolul 9 alineatul (2) litera (e) din RGPD trebuie interpretat în sensul că un utilizator nu face publice în mod manifest date prin faptul că ele sunt dezvăluite prin consultarea paginilor de internet și a aplicațiilor sau sunt introduse în aceste pagini de internet sau aplicații ori rezultă din acționarea butoanelor de selecție integrate în acestea.
Cu privire la întrebările preliminare a treia-a cincea
47.      Prin intermediul întrebărilor preliminare a treia-a cincea, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 alineatul (1) literele (b), (c), (d), (e) și (f) din RGPD trebuie interpretat în sensul că practica în litigiu(60) se încadrează în domeniul de aplicare al uneia dintre justificările prevăzute de aceste dispoziții și, mai exact:
–        caracterul necesar pentru executarea contractului(61) sau luarea în considerare a intereselor legitime(62), având în vedere că Meta Platforms exploatează o rețea socială finanțată din publicitate și care, în condițiile sale de utilizare, propune personalizarea conținutului și a publicității, securitatea rețelei, îmbunătățirea produselor, precum și utilizarea uniformă și coerentă a tuturor produselor grupului (cea de a treia întrebare preliminară);
–        luarea în considerare a acestor interese legitime(63) în contextul anumitor situații(64) (cea de a patra întrebare preliminară);
–        necesitatea de a răspunde unei cereri valabile din punct de vedere legal de a furniza anumite date(65), necesitatea de a combate un comportament prejudiciabil și de a promova securitatea(66) sau cercetarea în beneficiul societății și necesitatea de a promova protecția, integritatea și securitatea(67) (cea de a cincea întrebare preliminară).
48.      Cu titlu preliminar, în pofida unor îndoieli cu privire la admisibilitatea celei de a patra și a celei de a cincea întrebări preliminare(68), propunem să răspundem în comun la întrebările preliminare a treia‑a cincea, în măsura în care indicațiile pe care le vom furniza în continuare, în principal în ceea ce privește cea de a treia întrebare preliminară, care este cea mai bine motivată, pot fi utile instanței de trimitere și cu ocazia aplicării dispozițiilor care fac obiectul celei de a patra și al celei de a cincea întrebări preliminare.
49.      În principal, observăm că, în conformitate cu articolul 8 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), datele cu caracter personal trebuie tratate în mod corect, în scopurile precizate și în temeiul unui motiv legitim prevăzut de lege. În această privință, articolul 6 alineatul (1) din RGPD specifică faptul că prelucrarea acestor date este legală numai dacă se aplică cel puțin una dintre cele șase condiții prevăzute de această dispoziție(69).
50.      În prezenta cauză, în primul rând, considerăm că întrebările preliminare a treia‑a cincea necesită o analiză detaliată, de la caz la caz, a diferitelor clauze din condițiile de utilizare a Facebook în contextul practicii în litigiu, deoarece nu este posibil să se stabilească dacă, în ceea ce privește această practică, „o întreprindere precum [Meta Platforms]” se poate baza, în ansamblu, pe toate (sau pe unele) dintre justificările prevăzute la articolul 6 alineatul (1) din RGPD, chiar dacă nu este exclus ca practica menționată sau unele dintre activitățile sale să poată intra, în anumite cazuri, în domeniul de aplicare al acestui articol(70).
51.      În continuare, prelucrarea prevăzută de dispozițiile menționate se efectuează, în speță, pe baza condițiilor generale ale contractului impuse de operator, în lipsa consimțământului persoanei vizate(71) sau chiar împotriva voinței acesteia, ceea ce impune, în opinia noastră, o interpretare strictă a justificărilor în cauză, în special pentru a se evita eludarea condiției privind consimțământul(72).
52.      În sfârșit, reamintim că, în conformitate cu articolul 5 alineatul (2) din RGPD, operatorului îi revine sarcina de a dovedi că datele cu caracter personal sunt prelucrate în conformitate cu dispozițiile acestui regulament și că, în conformitate cu articolul 13 alineatul (1) litera (c) din regulamentul menționat, operatorul de date cu caracter personal este cel care trebuie să precizeze scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării.
Cu privire la cea de a treia întrebare preliminară
53.      În primul rând, în conformitate cu articolul 6 alineatul (1) litera (b) din RGPD, prelucrarea datelor cu caracter personal este legală în măsura în care este necesară pentru executarea unui contract la care persoana vizată este parte(73).
54.      În această privință, amintim că noțiunea de „necesitate” nu este definită în legislația Uniunii, dar constituie totuși, conform jurisprudenței, o noțiune autonomă de drept al Uniunii(74). Pentru ca prelucrarea să fie necesară pentru executarea contractului, nu este suficient ca aceasta să fie efectuată cu ocazia executării contractului, să fie menționată în contract(75) sau chiar să fie pur și simplu utilă pentru executarea contractului(76). Potrivit jurisprudenței Curții, prelucrarea trebuie să fie necesară în mod obiectiv pentru executarea contractului, în sensul că nu trebuie să existe alte soluții realiste și mai puțin intruzive(77), luând în considerare de asemenea așteptările rezonabile ale persoanei vizate(78). Aceasta include de asemenea faptul că, în cazul în care contractul constă în mai multe servicii sau elemente distincte ale aceluiași serviciu care pot fi executate independent unul de celălalt, aplicabilitatea articolului 6 alineatul (1) litera (b) din RGPD trebuie evaluată separat în contextul fiecăruia dintre serviciile respective(79).
55.      În cadrul acestei justificări, instanța de trimitere menționează personalizarea conținuturilor și utilizarea uniformă și coerentă a produselor (sau mai degrabă a serviciilor) proprii ale grupului.
56.      În ceea ce privește personalizarea conținuturilor, considerăm că, deși o astfel de activitate poate fi, într‑o anumită măsură, în interesul utilizatorului, prin faptul că permite prezentarea, în special în „fluxul de știri”, a unui conținut care, conform unei evaluări automatizate, corespunde intereselor utilizatorului, nu este evident că aceasta este necesară și pentru prestarea serviciului de furnizare a rețelei sociale în discuție, astfel încât prelucrarea datelor cu caracter personal în aceste scopuri să nu necesite consimțământul utilizatorului respectiv(80). În scopul acestei examinări, trebuie luat în considerare și faptul că practica în litigiu nu constă în prelucrarea datelor referitoare la comportamentul utilizatorului în cadrul paginii sau al aplicației Facebook, ci a datelor provenite din surse externe și, prin urmare, potențial nelimitate. Prin urmare, ne punem întrebarea în ce măsură această prelucrare ar putea corespunde așteptărilor unui utilizator mediu și, mai general, care este „gradul de personalizare” pe care utilizatorul îl poate aștepta de la serviciul în care se înregistrează(81).
57.      În ceea ce privește utilizarea uniformă și coerentă a serviciilor proprii ale grupului, observăm că o legătură între diferitele servicii oferite de reclamanta din litigiul principal, de exemplu între Facebook și Instagram, poate fi într‑adevăr utilă pentru utilizator sau chiar uneori dorită de acesta. Totuși, avem îndoieli că prelucrarea datelor cu caracter personal provenite din alte servicii ale grupului (în special Instagram) este necesară pentru prestarea serviciilor Facebook(82).
58.      În al doilea rând, în conformitate cu articolul 6 alineatul (1) litera (f) din RGPD, prelucrarea datelor cu caracter personal este legală în măsura în care este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.
59.      Potrivit jurisprudenței Curții, dispoziția în cauză prevede trei condiții cumulative pentru ca o prelucrare a datelor cu caracter personal să fie legală, și anume, în primul rând, urmărirea unui interes legitim de către operator sau de către terțul sau terții cărora le sunt comunicate datele, în al doilea rând, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, în al treilea rând, condiția ca drepturile și libertățile fundamentale ale persoanei vizate de protecția datelor să nu prevaleze(83).
60.      În primul rând, în ceea ce privește urmărirea unui interes legitim, reamintim că RGPD și jurisprudența recunosc o gamă largă de interese considerate legitime(84), precizând în același timp că, în conformitate cu articolul 13 alineatul (1) litera (d) din RGPD, operatorului îi revine sarcina de a indica interesele legitime urmărite în contextul articolului 6 alineatul (1) litera (f) din RGPD(85).
61.      În al doilea rând, în ceea ce privește condiția referitoare la necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit, potrivit jurisprudenței Curții, derogările de la principiul protecției datelor cu caracter personal și restrângerile impuse acestuia trebuie să fie efectuate în limitele strictului necesar(86). Prin urmare, trebuie să existe o legătură strânsă între prelucrare și interesul urmărit, în absența unor alternative care să respecte mai bine protecția datelor cu caracter personal, nefiind suficient ca prelucrarea să aibă doar un caracter util pentru operator.
62.      În sfârșit, în ceea ce privește evaluarea comparativă a intereselor operatorului, pe de o parte, și a intereselor sau a drepturilor și libertăților fundamentale ale persoanei vizate, pe de altă parte, potrivit jurisprudenței Curții, revine instanței de trimitere sarcina de a realiza o punere în balanță a intereselor în joc(87). În plus, astfel cum se menționează în considerentul (47) al RGPD, în contextul acestei puneri în balanță, este esențial să se ia în considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul și să se stabilească dacă persoana vizată poate preconiza în mod rezonabil, în momentul și în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop.
63.      În cadrul acestei justificări, instanța de trimitere menționează personalizarea publicității, securitatea rețelei și îmbunătățirea produsului.
64.      În primul rând, în ceea ce privește personalizarea publicității, rezultă din considerentul (47) al RGPD că prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim al operatorului. Cu toate acestea, în ceea ce privește necesitatea prelucrării, trebuie remarcat faptul că datele în cauză provin din surse din afara Facebook și se pune, așadar, întrebarea care este „gradul de personalizare” a publicității care este necesar în mod obiectiv în această privință. În ceea ce privește evaluarea comparativă a intereselor aflate în joc, în opinia noastră, trebuie să se țină seama de natura interesului legitim în cauză (în speță, un interes pur economic), precum și de impactul prelucrării asupra utilizatorului, inclusiv așteptările rezonabile ale acestuia, și de eventualele măsuri de salvgardare puse în aplicare de operator(88).
65.      Considerații similare pot fi făcute, în continuare, în ceea ce privește securitatea rețelei. Într‑adevăr, în timp ce o astfel de justificare poate constitui un interes legitim al operatorului(89), este mai puțin evidentă concluzia că prelucrarea este necesară în speță, ținând seama și de faptul că datele în cauză provin din surse din afara Facebook(90). În orice caz, reamintim că este responsabilitatea operatorului să precizeze scopurile de securitate pe care se poate baza fiecare operațiune de prelucrare.
66.      În sfârșit, în ceea ce privește îmbunătățirea produsului, dacă sunt excluse îmbunătățirile legate de securitate, care se încadrează în justificarea specifică examinată mai sus, considerăm că o astfel de justificare ar trebui să fie mai degrabă în interesul utilizatorului decât cel al operatorului de date. Din această perspectivă, este dificil de înțeles în ce măsură îmbunătățirea produsului ar putea constitui un interes legitim al operatorului și ar putea eluda consimțământul utilizatorului. În ceea ce privește condiția necesității și evaluarea comparativă a drepturilor și intereselor aflate în joc, facem referire la considerațiile de mai sus.
Cu privire la întrebările preliminare a patra și a cincea
67.      Cea de a patra întrebare preliminară, care constituie, în esență, o prelungire a celei de a doua părți a celei de a treia întrebări preliminare, impune să se stabilească dacă reapariția anumitor situații enumerate implică existența unui interes legitim în sensul articolului 6 alineatul (1) litera (f) din RGPD, în timp ce, prin intermediul celei de a cincea întrebări preliminare, instanța de trimitere solicită să se stabilească dacă necesitatea de a răspunde unei cereri valabile din punct de vedere legal de furnizare a anumitor date, cea de a combate comportamentele prejudiciabile și de a promova securitatea sau scopuri de cercetare în beneficiul societății și necesitatea de a promova protecția, integritatea și securitatea constituie justificări aplicabile practicii în litigiu(91).
68.      Indiferent de admisibilitatea acestor întrebări(92), considerăm că, în general, nu este exclus, în ceea ce privește cea de a patra întrebare preliminară, ca anumite clauze care caracterizează practica în discuție să poată fi justificate de interese legitime în împrejurările menționate de instanța de trimitere(93) și, în ceea ce privește cea de a cincea întrebare preliminară, ca, în anumite situații, practica în litigiu să poată fi justificată pe baza dispozițiilor menționate.
69.      Cu toate acestea, nu rezultă clar din decizia de trimitere dacă și în ce măsură Meta Platforms Ireland a indicat, pentru fiecare scop al prelucrării și tip de date prelucrate, care sunt interesele legitime urmărite în mod concret sau celelalte justificări care ar putea fi relevante în speță(94). Prin urmare, revine instanței de trimitere, având în vedere precizările anterioare, să examineze în ce măsură, în împrejurările menționate de această instanță, practica în litigiu este justificată de existența unor interese legitime ale Meta Platforms Ireland în ceea ce privește prelucrarea datelor în sensul articolului 6 alineatul (1) litera (f) din RGPD sau de o altă condiție dintre cele prevăzute la articolul 6 alineatul (1) literele (c), (d) și (e) din acest regulament.
Cu privire la răspunsul la întrebările preliminare a treia-a cincea
70.      În concluzie, propunem să se răspundă la întrebările preliminare a treia-a cincea că articolul 6 alineatul (1) literele (b), (c), (d), (e) și (f) din RGPD trebuie interpretat în sensul că practica în litigiu sau unele dintre activitățile care o compun pot intra sub incidența excepțiilor prevăzute de aceste dispoziții, cu condiția ca fiecare modalitate de prelucrare a datelor examinată să îndeplinească condițiile prevăzute în justificarea prezentată în mod concret de operator și, prin urmare, ca:
–        prelucrarea să fie necesară în mod obiectiv pentru furnizarea de servicii legate de contul Facebook;
–        prelucrarea să fie necesară pentru realizarea unui interes legitim menționat de operator sau de partea sau părțile terțe cărora le sunt comunicate datele și să nu afecteze în mod disproporționat drepturile și libertățile fundamentale ale persoanei vizate;
–        prelucrarea să fie necesară pentru a răspunde unei cereri valabile din punct de vedere legal de furnizare a anumitor date, pentru a combate comportamente prejudiciabile și a promova securitatea sau în scopuri de cercetare în beneficiul societății și pentru a promova protecția, integritatea și securitatea.
Cu privire la cea de a șasea întrebare preliminară
71.      Prin intermediul celei de a șasea întrebări preliminare, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 alineatul (1) litera (a) și articolul 9 alineatul (2) litera (a) din RGPD trebuie interpretate în sensul că un consimțământ valabil și liber, în sensul articolului 4 punctul 11 din acest regulament, poate fi acordat unei întreprinderi care deține o poziție dominantă pe piața națională a rețelelor sociale digitale pentru utilizatori privați.
72.      Cu titlu preliminar, reamintim că articolul 6 alineatul (1) litera (a) și articolul 9 alineatul (2) litera (a) din RGPD prevăd obligația consimțământului persoanei vizate, în ceea ce privește prelucrarea datelor cu caracter personal în general și, respectiv, prelucrarea datelor sensibile cu caracter personal. În plus, în conformitate cu articolul 4 punctul 11 din RGPD, în sensul acestui regulament, „consimțământ” al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate(95).
73.      În ceea ce privește în special condiția „libertății” consimțământului, care este singura contestată în speță, observăm că, în conformitate cu considerentul (42) al RGPD, consimțământul nu ar trebui considerat ca fiind acordat în mod liber dacă persoana vizată nu dispune cu adevărat de libertatea de alegere(96) sau nu este în măsură să refuze sau să își retragă consimțământul fără a fi prejudiciată(97). În plus, astfel cum se prevede la articolul 7 alineatul (1) din RGPD [și se amintește în considerentul (42) al acestuia], în cazul în care prelucrarea se bazează pe consimțământul persoanei vizate, operatorul trebuie să fie în măsură să demonstreze că această persoană și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.
74.      În măsura în care este relevant în speță, reamintim, în primul rând, că, astfel cum se subliniază în considerentul (43) prima teză al RGPD, consimțământul nu constituie un temei juridic valabil pentru prelucrarea datelor cu caracter personal atunci când există un „dezechilibru evident” între persoana vizată și operator(98), în continuare, că, în conformitate cu articolul 7 alineatul (4) din RGPD, atunci când se evaluează dacă consimțământul este dat în mod liber, se ține seama cât mai mult de împrejurarea dacă, printre altele, executarea unui contract, inclusiv prestarea unui serviciu, este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract(99) și, în sfârșit, că, în conformitate cu cea de a doua teză a considerentului (43) al RGPD, consimțământul este considerat de asemenea a nu fi fost acordat în mod liber în cazul în care nu se poate acorda un consimțământ separat pentru diferitele operațiuni de prelucrare a datelor cu caracter personal, deși acest lucru este adecvat în cazul particular(100).
75.      În prezenta cauză, considerăm că o eventuală poziție dominantă pe piață a operatorului de date cu caracter personal care exploatează o rețea socială joacă un rol în aprecierea existenței unui consimțământ liber din partea utilizatorului rețelei respective. Într‑adevăr, existența unei situații de poziție dominantă de piață a operatorului de date cu caracter personal este susceptibilă să creeze un dezechilibru manifest în raporturile de forțe, în sensul indicat la punctul 74 din prezentele concluzii(101). Cu toate acestea, trebuie precizat, pe de o parte, că, pentru ca o astfel de situație de poziție dominantă pe piață să fie relevantă din perspectiva aplicării RGPD, aceasta nu trebuie asimilată în mod necesar cu pragul unei poziții dominante în sensul articolului 102 TFUE(102) și, pe de altă parte, că doar această împrejurare nu poate, în principiu, să priveze un consimțământ de orice valabilitate(103).
76.      Prin urmare, validitatea unui consimțământ va trebui să fie examinată de la caz la caz, în lumina celorlalți factori menționați la punctele 73 și 74 din prezentele concluzii și luând în considerare toate împrejurările cauzei, precum și faptul că sarcina de a dovedi că persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal revine operatorului.
77.      În concluzie, propunem să se răspundă la cea de a șasea întrebare preliminară că articolul 6 alineatul (1) litera (a) și articolul 9 alineatul (2) litera (a) din RGPD trebuie interpretate în sensul că simpla împrejurare că întreprinderea care exploatează o rețea socială se bucură de o poziție dominantă pe piața națională a rețelelor sociale digitale pentru utilizatori privați nu poate, prin ea însăși, să lipsească consimțământul utilizatorului rețelei respective pentru prelucrarea datelor sale cu caracter personal de valabilitate în sensul articolului 4 punctul 11 din RGPD. Totuși, o asemenea împrejurare joacă un rol în aprecierea libertății consimțământului în sensul acestei dispoziții, pe care operatorul trebuie să o demonstreze, ținând seama, dacă este cazul, de existența unui dezechilibru vădit al raporturilor de forță între persoana vizată și operator, de eventuala obligație de a consimți la prelucrarea datelor cu caracter personal, altele decât cele strict necesare pentru prestarea serviciilor în cauză, de necesitatea ca consimțământul să fie specific pentru fiecare scop al prelucrării și de necesitatea de a evita ca retragerea consimțământului să cauzeze un prejudiciu utilizatorului care își retrage consimțământul.
Concluzie
78.      Având în vedere considerațiile menționate anterior, propunem Curții să răspundă la întrebările preliminare adresate de Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf, Germania) după cum urmează:
1)      Articolele 51-66 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretate în sensul că
o autoritate de concurență poate examina cu titlu incidental, în cadrul competențelor sale în temeiul normelor în materie de concurență, conformitatea practicilor analizate cu dispozițiile acestui regulament, luând în considerare orice decizie sau investigație a autorității de supraveghere competente în temeiul regulamentului și informând autoritatea națională de supraveghere și, după caz, consultându‑se cu aceasta.
2)      Articolul 9 alineatul (1) din Regulamentul 2016/679
trebuie interpretat în sensul că
interdicția de prelucrare a datelor sensibile cu caracter personal poate include prelucrarea datelor efectuată de un operator al unei rețele sociale online care constă în colectarea datelor unui utilizator atunci când acesta consultă alte site‑uri sau aplicații sau introduce astfel de date în aceste site‑uri sau aplicații, în asocierea datelor menționate cu contul utilizatorului în rețeaua socială și în utilizarea acestora, cu condiția ca informațiile prelucrate, considerate în mod individual sau regrupate, să permită crearea de profiluri ale utilizatorului în conformitate cu categoriile care rezultă din enumerarea datelor sensibile cu caracter personal, efectuată prin această dispoziție.
Articolul 9 alineatul (2) litera (e) din acest regulament
trebuie interpretat în sensul că
un utilizator nu face publice în mod manifest date prin faptul că ele sunt dezvăluite prin consultarea paginilor de internet și a aplicațiilor sau sunt introduse în aceste pagini de internet sau aplicații ori rezultă din acționarea butoanelor de selecție integrate în acestea.
3)      Articolul 6 alineatul (1) literele (b), (c), (d), (e) și (f) din Regulamentul 2016/679
trebuie interpretat în sensul că
practica constând, în primul rând, în colectarea de date provenite din alte servicii ale grupului, precum și de pe site‑uri de internet și aplicații terțe, prin intermediul interfețelor integrate în acestea din urmă sau prin intermediul modulelor cookie instalate pe computerul sau pe echipamentul mobil al utilizatorului, în al doilea rând, în asocierea acestor date cu contul Facebook al utilizatorului în cauză și, în al treilea rând, în utilizarea datelor menționate sau unele dintre activitățile care compun această practică pot intra sub incidența excepțiilor prevăzute de aceste dispoziții, cu condiția ca fiecare modalitate de prelucrare a datelor examinată să îndeplinească condițiile prevăzute în justificarea prezentată în mod concret de operator și, prin urmare, ca:
–        prelucrarea să fie necesară în mod obiectiv pentru furnizarea de servicii legate de contul Facebook;
–        prelucrarea să fie necesară pentru realizarea unui interes legitim menționat de operator sau de partea sau părțile terțe cărora le sunt comunicate datele și să nu afecteze în mod disproporționat drepturile și libertățile fundamentale ale persoanei vizate;
–        prelucrarea să fie necesară pentru a răspunde unei cereri valabile din punct de vedere legal de furnizare a anumitor date, pentru a combate comportamente prejudiciabile și a promova securitatea sau în scopuri de cercetare în beneficiul societății și pentru a promova protecția, integritatea și securitatea.
4)      Articolul 6 alineatul (1) litera (a) și articolul 9 alineatul (2) litera (a) din Regulamentul 2016/679
trebuie interpretate în sensul că
simpla împrejurare că întreprinderea care exploatează o rețea socială se bucură de o poziție dominantă pe piața națională a rețelelor sociale digitale pentru utilizatori privați nu poate, prin ea însăși, să lipsească consimțământul utilizatorului rețelei respective pentru prelucrarea datelor sale cu caracter personal de valabilitate în sensul articolului 4 punctul 11 din RGPD. Totuși, o asemenea împrejurare joacă un rol în aprecierea libertății consimțământului în sensul acestei dispoziții, pe care operatorul trebuie să o demonstreze, ținând seama, dacă este cazul, de existența unui dezechilibru vădit al raporturilor de forță între persoana vizată și operator, de eventuala obligație de a consimți la prelucrarea datelor cu caracter personal, altele decât cele strict necesare pentru prestarea serviciilor în cauză, de necesitatea ca consimțământul să fie specific pentru fiecare scop al prelucrării și de necesitatea de a evita ca retragerea consimțământului să cauzeze un prejudiciu utilizatorului care își retrage consimțământul.
1      Limba originală: franceza.
2      Și anume Meta Platforms Inc., fostă Facebook Inc., Meta Platforms Ireland Limited, fostă Facebook Ireland Ltd, și Facebook Deutschland GmbH (denumite în continuare „Meta Platforms” sau „reclamanta din litigiul principal”).
3      Decizia B6-22/16 din 6 februarie 2019 (denumită în continuare „decizia în litigiu”).
4      Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD”).
5      În versiunea în vigoare până la 18 ianuarie 2021.
6      În acest scop, Meta Platforms colectează, pe lângă datele pe care utilizatorii le furnizează în mod direct cu ocazia înregistrării la serviciile online în cauză, și alte date despre utilizatori și dispozitive, în cadrul și în afara rețelei sociale și a serviciilor online furnizate de grup, și le asociază cu diferitele conturi ale utilizatorilor în cauză. Aceste date, în ansamblu, permit desprinderea unor concluzii detaliate cu privire la preferințele și interesele utilizatorilor.
7      În mod specific, în ceea ce privește prelucrarea datelor cu caracter personal, condițiile de utilizare fac referire la politicile de utilizare a datelor și privind modulele cookie stabilite de Meta Platforms. În temeiul acestora din urmă, Meta Platforms colectează date despre activitățile utilizatorilor și ale dispozitivelor acestora în interiorul și în afara rețelei sociale și le transmite conturilor Facebook ale acestora. Activitățile care au loc în afara rețelei sociale constau, pe de o parte, în consultarea paginilor de internet și a aplicațiilor terțe, care sunt conectate la Facebook prin intermediul unor interfețe de programare (de exemplu „Facebook Business Tools”), și, pe de altă parte, în utilizarea celorlalte servicii online aparținând grupului Meta Platforms, inclusiv Instagram și WhatsApp.
8      Potrivit Bundeskartellamt, prelucrarea menționată, ca rezultat al puterii pe piață, a încălcat dispozițiile RGPD și nu a fost justificată în temeiul articolului 6 alineatul (1) și al articolului 9 alineatul (2) din acest regulament.
9      În plus, la 31 iulie 2019, la inițiativa Comisiei Europene și a asociațiilor naționale de protecție a consumatorilor din statele membre, Meta Platforms a introdus noi condiții de utilizare a serviciilor care prevăd în mod expres că utilizatorul, în loc să plătească pentru utilizarea produselor Facebook, își declară consimțământul pentru anunțurile publicitare. În plus, începând cu 28 ianuarie 2020, Meta Platforms oferă la nivel mondial activitatea exterioară Facebook denumită „Off‑Facebook‑activity”, care le permite utilizatorilor Facebook să primească un rezumat al informațiilor care îi privesc, obținute în legătură cu activitățile lor pe alte pagini de internet și aplicații și să disocieze, dacă doresc, aceste date de contul lor Facebook, atât pentru trecut, cât și pentru viitor.
10      Considerăm că sintagma „constată […] o încălcare a RGPD […] și emite o decizie privind încetarea acestei încălcări” din cadrul primei întrebări preliminare trebuie interpretată în acest sens.
11      În orice caz, având în vedere că RGPD prevede o armonizare completă a dreptului la protecția datelor, al cărei element central este un mecanism armonizat de punere în aplicare bazat pe principiul „ghișeului unic” prevăzut la articolele 51-67 din acest regulament, considerăm că este evident că o altă autoritate decât autoritățile de supraveghere în sensul regulamentului menționat (precum o autoritate de concurență) nu are competența nici de a constata, cu titlu principal, încălcarea acestui regulament și nici de a aplica sancțiunile prevăzute.
12      În orice caz, având în vedere că o autoritate de concurență nu are competența nici de a constata, cu titlu principal, încălcarea acestui regulament și nici de a aplica sancțiunile prevăzute, considerăm că o eventuală decizie în acest sens a unei autorități de concurență nu poate aduce atingere competențelor autorităților de supraveghere în sensul RGPD.
13      Astfel, considerăm că formularea „se poate pronunța, de exemplu, în cadrul evaluării comparative a intereselor, cu privire la conformitatea cu RGPD a condițiilor de prelucrare a datelor întreprinderii respective și a punerii în aplicare a acestora” din cadrul celei de a șaptea întrebări preliminare trebuie interpretată în acest sens.
14      A se vedea nota de subsol 11 din prezentele concluzii.
15      Regulamentul (CE) nr. 1/2003 al Consiliului din 16 decembrie 2002 privind punerea în aplicare a normelor de concurență prevăzute la articolele [101 și 102 TFUE] (JO 2003, L 1, p. 1, Ediție specială, 08/vol. 1, p. 167).
16      Precum în cazul articolului 19 din GWB, pe care se bazează decizia în litigiu.
17      A se vedea cu titlu de exemplu Hotărârea din 6 septembrie 2017, Intel/Comisia (C‑413/14 P, EU:C:2017:632, punctul 136 și jurisprudența citată). În plus, Curtea a precizat că domeniul de aplicare al articolului 102 TFUE are un caracter general și nu poate fi limitat de existența unui cadru de reglementare adoptat de legiuitorul Uniunii, în speță cadrul de reglementare a comunicațiilor electronice (a se vedea în acest sens Hotărârea din 10 iulie 2014, Telefónica și Telefónica de España/Comisia, C‑295/12 P, EU:C:2014:2062, punctul 128).
18      Într‑adevăr, având în vedere obiectivele diferite ale celor două categorii de norme, este clar că un comportament care privește prelucrarea datelor poate constitui o încălcare a normelor privind concurența chiar și atunci când respectă RGPD și, invers, un comportament ilicit în sensul RGPD nu conduce neapărat la concluzia că presupune o încălcare a normelor privind concurența. În această privință, Curtea a precizat că conformitatea unui comportament cu o reglementare specifică nu exclude aplicabilitatea, în privința aceluiași comportament, a articolelor 101 și 102 TFUE [a se vedea în special Hotărârea din 6 decembrie 2012, AstraZeneca/Comisia (C‑457/10 P, EU:C:2012:770, punctul 132), în care Curtea a reamintit de asemenea că abuzurile de poziție dominantă constau, în majoritatea cazurilor, în comportamente de altfel legale potrivit altor ramuri de drept decât dreptul concurenței]. Într‑adevăr, dacă numai practicile care restrâng în mod obiectiv concurența și sunt în același timp nelegale din punct de vedere juridic ar fi considerate abuzive în sensul articolului 102 TFUE, acest lucru ar implica faptul că un comportament, pentru simplul motiv al legalității sale, deși potențial dăunător pentru concurență, nu ar putea fi sancționat în temeiul articolului 102 TFUE, ceea ce ar compromite obiectivul acestei dispoziții, care constă în stabilirea unui regim care să garanteze că nu este denaturată concurența pe piața internă (a se vedea în acest sens Concluziile noastre prezentate în cauza Servizio Elettrico Nazionale și alții, C‑377/20, EU:C:2021:998, punctul 37). Conform jurisprudenței Curții, doar în cazul în care o legislație națională impune întreprinderilor un comportament anticoncurențial sau creează un cadru juridic ce elimină orice posibilitate de comportament concurențial din partea acestora, articolele 101 și 102 TFUE nu sunt aplicabile. În schimb, aceste articole se pot aplica dacă se dovedește că legislația națională menține posibilitatea împiedicării, a restrângerii sau a denaturării concurenței prin comportamente autonome ale întreprinderilor (a se vedea în acest sens Hotărârea din 14 octombrie 2010, Deutsche Telekom/Comisia, C‑280/08 P, EU:C:2010:603, punctul 80 și jurisprudența citată).
19      Într‑adevăr, o interpretare conform căreia ar fi interzis autorităților de concurență să interpreteze dispozițiile RGPD în exercitarea competențelor lor ar repune în discuție aplicarea efectivă a dreptului Uniunii în materie de concurență.
20      În plus, caracterul incidental al interpretării RGPD de către autoritatea de concurență nu împiedică ca această interpretare să facă obiectul unui control jurisdicțional în fața instanțelor naționale competente în materie de concurență, care ar putea fi nevoite, în cazul unor dificultăți de interpretare, să sesizeze Curtea cu o cerere de decizie preliminară, precum în prezenta cauză în ceea ce privește întrebările preliminare a doua‑a șasea.
21      Într‑adevăr, interpretarea RGPD de către autoritatea de concurență în unicul scop al aplicării normelor (și, eventual, al impunerii unor sancțiuni) prevăzute de dreptul concurenței nu poate priva autoritățile de supraveghere de competențele și de atribuțiile care le revin în contextul acestui regulament. În plus, posibilitatea unei interpretări cu titlu incidental a regulamentului menționat de către autoritatea de concurență nu ridică dificultăți suplimentare nici în ceea ce privește aplicarea acestuia, care este rezervată autorităților de supraveghere, nici în ceea ce privește impunerea de remedii sau sancțiuni, întrucât orice remedii sau sancțiuni impuse de o autoritate de concurență se bazează pe norme, obiective și interese legitime diferite de cele protejate de același regulament [din acest motiv, de altfel, într‑o astfel de situație, impunerea unor sancțiuni de către autoritatea de concurență și autoritatea de supraveghere în sensul RGPD nu intră, în opinia noastră, sub incidența principiului ne bis in idem (a se vedea prin analogie Hotărârea din 22 martie 2022, bpost, C‑117/20, EU:C:2022:202, punctele 42-50)].
22      În plus, riscul unei interpretări divergente este inerent în orice domeniu guvernat de o reglementare de care autoritatea de concurență trebuie sau poate să țină seama în scopul aprecierii legalității unui anumit comportament în temeiul dreptului concurenței.
23      Capitolele VI și VII din RGPD stabilesc în special mecanisme de „ghișeu unic” pentru schimbul de informații și asistența reciprocă între autoritățile de supraveghere.
24      A se vedea Regulamentul nr. 1/2003 și Directiva (UE) 2019/1 a Parlamentului European și a Consiliului din 11 decembrie 2018 privind oferirea de mijloace autorităților de concurență din statele membre astfel încât să fie mai eficace în aplicarea legii și privind garantarea funcționării corespunzătoare a pieței interne (JO 2019, L 11, p. 3).
25      A se vedea în acest sens în special Hotărârea din 14 noiembrie 1989, Italia/Comisia (14/88, EU:C:1989:421, punctul 20), și Hotărârea din 11 iunie 1991, Athanasopoulos și alții (C‑251/89, EU:C:1991:242, punctul 57).
26      În plus, mecanismul de cooperare între autoritățile de supraveghere instituit de RGPD poate fi considerat el însuși o lex specialis care completează și clarifică principiul general al cooperării loiale prevăzut la articolul 4 alineatul (3) TUE [a se vedea în special, în doctrină, Hijmans, H., „Article 51 Supervisory authority”, The EU General Data Protection Regulation (GDPR): A Commentary, Oxford, 2020, p. 869]. Același lucru este valabil și pentru celelalte instrumente de cooperare preexistente celui prevăzut de RGPD, precum sistemul de cooperare între autoritățile din domeniul concurenței (a se vedea în special capitolul IV din Regulamentul nr. 1/2003).
27      A se vedea în acest sens Concluziile avocatului general Trstenjak prezentate în cauza Gorostiaga Atxalandabaso/Parlamentul (C‑308/07 P, EU:C:2008:498, punctul 89).
28      A se vedea în special Hotărârea din 2 iunie 2022, Skeyes (C‑353/20, EU:C:2022:423, punctul 52 și jurisprudența citată). În opinia noastră, îndrumări cu privire la măsurile care trebuie luate ar putea, dacă este cazul, să fie extrase din sistemul de cooperare instituit prin RGPD, precum și din cel instituit în domeniul concurenței, cu precizarea că, în absența unor dispoziții ad‑hoc, obligația de diligență care revine autorității de concurență nu se extinde până în punctul în care aceasta să fie supusă unor obligații detaliate, precum cele prevăzute în special în cadrul procedurii de cooperare și de control al coerenței, reglementate în capitolul VII din RGPD (de exemplu, nu se poate aștepta ca autoritatea de concurență să trimită un proiect de decizie autorității de supraveghere competente în sensul acestui regulament pentru a obține avizul acesteia din urmă).
29      A se vedea în special prin analogie, în ceea ce privește un domeniu acoperit de reglementarea Uniunii în materie farmaceutică, Hotărârea din 23 ianuarie 2018, F. Hoffmann‑La Roche și alții (C‑179/16, EU:C:2018:25, punctele 58-64).
30      Cu alte cuvinte, această decizie face ea însăși parte din cadrul juridic și faptic pe care autoritatea de concurență este obligată să îl examineze, rămânând în același timp liberă să deducă din aceasta propriile concluzii sub aspectul aplicării dreptului concurenței (a se vedea nota de subsol 18 din prezentele concluzii).
31      Date fiind rolul și funcțiile autorităților naționale de supraveghere în cadrul sistemului de cooperare instituit prin RGPD, considerăm că interacțiunea cu autoritatea națională de supraveghere poate fi suficientă în sine pentru a îndeplini obligațiile de diligență și cooperare loială ale autorității de concurență, în special în cazul în care aceasta din urmă nu are posibilitatea (având în vedere procedurile de drept intern aplicabile) sau mijloacele (în special lingvistice) pentru a interacționa în mod satisfăcător cu autoritatea de supraveghere principală dintr‑un alt stat membru.
32      Sau, dacă este cazul, atunci când această autoritate se află într‑un alt stat membru, autoritatea națională de supraveghere (a se vedea nota de subsol 31 din prezentele concluzii).
33      Reamintind totodată că interpretarea dată de o autoritate de concurență anumitor dispoziții din RGPD în exercitarea competențelor sale nu aduce atingere interpretării și aplicării acestor dispoziții de către autoritățile de supraveghere competente în sensul RGPD (a se vedea nota de subsol 21 din prezentele concluzii).
34      Bundeskartellamt susține în această privință că s‑a bazat pe dreptul german al concurenței, care îi permite să aibă schimburi cu autoritățile naționale de supraveghere în sensul RGPD.
35      Cu atât mai mult în cazul în care, astfel cum susține Bundeskartellamt, autoritatea de supraveghere federală germană și autoritatea de supraveghere principală irlandeză i‑au confirmat că aceasta din urmă nu a inițiat nicio procedură cu privire la aceleași practici ca și cele examinate de Bundeskartellamt.
36      Instanța de trimitere face referire în special la consultarea de către utilizator a paginilor de internet sau a aplicațiilor și la introducerea de date de către utilizator în aceste pagini sau aplicații (cum ar fi aplicații de flirt, site‑uri de întâlniri pentru homosexuali, site‑uri ale partidelor politice, site‑uri de sănătate), care generează date protejate de dispoziția în cauză.
37      În continuare, „date sensibile cu caracter personal”. Este vorba de prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate, precum și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.
38      Observăm, cu titlu incidental, că Bundeskartellamt are îndoieli cu privire la relevanța acestei întrebări pentru soluționarea litigiului, întrucât în decizia sa acesta ar fi luat în considerare consimțământul în sensul articolului 6 alineatul (1) litera (a) din RGPD, iar nu consimțământul în temeiul articolului 9 alineatul (2) litera (a) din RGPD.
39      În această privință, instanța de trimitere face referire la plug‑inurile sociale, precum butoanele „Îmi place” sau „Distribuie”, la „Conectare Facebook” (și anume posibilitatea de a se identifica cu ajutorul datelor de acces legate de contul Facebook) și la „Account Kit” (și anume posibilitatea de a se identifica pe o aplicație sau pe un site, care nu este neapărat asociat cu Facebook, cu un număr de telefon sau o adresă de e‑mail, fără a avea nevoie de o parolă).
40      De asemenea, observăm o neconcordanță semnificativă între versiunea în limba franceză a RGPD, care, în prima teză a acestei dispoziții, face referire la prelucrarea datelor cu caracter personal care „dezvăluie” anumite situații sensibile, și versiunea în limba germană (precum și în special versiunile în limba greacă și în limba italiană), care face referire la prelucrarea datelor cu caracter personal, care „dezvăluie” aceste situații. Cu excepția cazului în care suntem în eroare, versiunea în limba franceză a acestei dispoziții este în contradicție cu majoritatea celorlalte versiuni lingvistice. În plus, considerăm că, în contextul dispoziției menționate, este mai logic să asociem verbul „a dezvălui” cu datele, întrucât în restul dispoziției datele sunt cele care fac obiectul analizei, iar nu prelucrarea. Acest lucru reiese de asemenea din textul în limba franceză al considerentului (51) al RGPD, care prevede că datele sensibile cu caracter personal „ar trebui să includă datele cu caracter personal care dezvăluie originea rasială sau etnică” (sublinierea noastră).
41      În opinia noastră, nu ar fi în conformitate cu spiritul articolului 9 alineatul (1) din RGPD (și al regulamentului), care este de a proteja anumite date personale sensibile, să distingem, de exemplu, între, pe de o parte, originea rasială sau etnică, ceea ce ar implica o interdicție de prelucrare nu numai a datelor care o indică în mod direct, ci și a datelor care dezvăluie această situație, și pe de altă parte datele genetice a căror interdicție de prelucrare nu s‑ar extinde la datele care dezvăluie această situație, adăugând că nu ar fi întotdeauna clară distincția între, pe de o parte, date care dezvăluie anumite situații (de exemplu originea rasială sau etnică) și, pe de altă parte, date referitoare la alte situații (de exemplu sănătatea). În această privință, observăm că, în timp ce articolul 9 alineatul (1) din RGPD face referire printre altele la date privind sănătatea, articolul 4 punctul 15 din RGPD definește „datele privind sănătatea” ca fiind „date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv prestarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia”. Astfel cum sugerează guvernul german, este posibil ca această inconsecvență în formularea dispoziției în cauză să nu fie decât o încercare, nu tocmai reușită, de a face distincția între datele având un conținut pur informațional direct și „metadatele” pentru care un conținut informațional corespunzător apare numai într‑un context concret, prin intermediul unei evaluări sau al unei anexe.
42      În principiu, astfel cum susține reclamanta din litigiul principal, aceste două aspecte sunt diferite. Într‑adevăr, simplul fapt că un utilizator a accesat sau a interacționat cu un site de internet nu dezvăluie în mod necesar informații despre convingerile, sănătatea, opiniile politice etc. ale acestuia, întrucât interesul pentru un site de internet nu relevă în mod automat adeziunea la ideile propagate sau la categoriile reprezentate de site‑ul respectiv. Acesta este cazul în special al consultării site‑ului unui partid politic sau care propune o anumită ideologie politică, consultare care nu implică în mod necesar împărtășirea acestei ideologii, ci poate fi făcută din curiozitate sau chiar dintr‑un spirit critic cu privire la respectiva ideologie.
43      Potrivit Meta Platforms, faptul că un utilizator a accesat un site de internet sau a interacționat cu acesta nu dezvăluie în sine informații sensibile, întrucât, chiar dacă a fost observat sau utilizat un interes pentru un site de internet, acest lucru nu ar constitui o prelucrare a datelor sensibile cu caracter personal. Acest lucru s‑ar întâmpla numai dacă utilizatorii ar fi clasificați în funcție de aceste date. Prin urmare, datele care fac obiectul practicii în litigiu ar intra sub incidența protecției prevăzute la articolul 9 alineatul (1) din RGPD numai dacă acestea ar avea legătură cu una dintre categoriile vizate de aceasta și ar fi prelucrate în mod subiectiv, în cunoștință de cauză și cu intenția de a obține aceste categorii de informații. În schimb, potrivit interpretării Bundeskartellamt, care, în opinia noastră, este prea rigidă, simplul fapt că persoana vizată consultă o anumită pagină de internet sau utilizează o anumită aplicație al cărei scop principal se încadrează în domeniile enumerate la articolul 9 alineatul (1) din RGPD deschide deja posibilitatea de aplicare a protecției conferite de această dispoziție. Protecția datelor sensibile cu caracter personal nu ar depinde de intenția operatorului de a utiliza aceste date, drepturile persoanei vizate fiind deja afectate de faptul că aceste date sunt scoase din sfera sa de influență.
44      Într‑adevăr, astfel cum a recunoscut Comitetul European pentru Protecția Datelor (CEPD), simplul fapt că un furnizor de platforme de comunicare socială prelucrează volume mari de date care ar putea fi utilizate pentru a deduce categorii speciale de date nu înseamnă în mod automat că prelucrarea intră sub incidența articolului 9 din RGPD [a se vedea CEPD, Orientările 8/2020, din 13 aprilie 2021, privind direcționarea pentru adresarea de conținut personalizat către utilizatorii platformelor de comunicare socială, (denumite în continuare „Orientările CEPD 8/2020”), punctul 124].
45      O astfel de interpretare ar permite, în opinia noastră, evitarea situației deplânse de reclamanta din litigiul principal, în care, în esență, operatorul ar încălca implicit RGPD, întrucât nu ar putea împiedica posibila primire (inclusiv prin mijloace automatizate) a informațiilor care au legătură indirectă cu categoriile de date sensibile, fără a aduce atingere obligației pe care o are operatorul de a pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, în conformitate cu articolul 32 din RGPD.
46      A se vedea în acest sens Orientările CEPD 8/2020, punctul 125.
47      Instanța de trimitere menționează, în această privință, personalizarea rețelei sociale și a publicității, securitatea rețelei, îmbunătățirea serviciilor, furnizarea de servicii de măsurare și analiză pentru agenții de publicitate, cercetarea pentru binele comun, furnizarea de răspunsuri la solicitări legale, respectarea obligațiilor legale, protecția intereselor vitale ale utilizatorilor și ale terților, sarcinile îndeplinite în interes public.
48      A se vedea prin analogie Hotărârea din 21 decembrie 2016, Tele2 Sverige și Watson și alții (C‑203/15 și C‑698/15, EU:C:2016:970, punctul 89 și jurisprudența citată), privind interpretarea articolului 15 alineatul (1) din Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (JO 2002, L 201, p. 37, Ediție specială, 13/vol. 36, p. 63), astfel cum a fost modificată prin Directiva 2009/136/CE a Parlamentului European și a Consiliului din 25 noiembrie 2009 (JO 2009, L 337, p. 11).
49      A se vedea de asemenea Avizul 6/2014, p. 10 și 11, al Grupului de lucru „Articolul 29”, organism consultativ independent instituit în temeiul articolului 29 din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10), care a fost înlocuit, de la adoptarea RGPD, de CEPD.
50      Această condiție este, în opinia noastră, foarte apropiată de cea a consimțământului persoanei în cauză.
51      Reamintim că, în conformitate cu articolul 5 alineatul (2) din RGPD, sarcina de a dovedi că datele cu caracter personal sunt prelucrate în conformitate cu dispozițiile RGPD revine operatorului.
52      În plus, în timp ce un utilizator atent este probabil conștient că informațiile de conectare sunt accesibile administratorului site‑ului de internet sau al aplicației în cauză, nu este atât de evident, în opinia noastră, că acesta este de asemenea conștient că aceste informații sunt accesibile și administratorului contului său de Facebook.
53      Utilizatorul este, cel mult, conștient de „relația” sa cu operatorul site‑ului sau al aplicației și cu terții cărora acesta din urmă le transmite informațiile respective, dar este posibil să nici nu fie conștient de această relație, întrucât, în funcție de împrejurări, poate avea impresia că dezvăluie informații, eventual în mod anonimizat, unui simplu dispozitiv.
54      Acestea sunt butoane precum „Îmi place”, „Distribuie” etc. (a se vedea nota de subsol 39 din prezentele concluzii).
55      De exemplu, Facebook oferă utilizatorului, în preferințele sale, mai multe opțiuni de partajare a informațiilor disponibile în contul său de Facebook.
56      Desigur, nu este exclus ca, în anumite cazuri, utilizatorul, prin aceste acțiuni, să dorească de fapt să transmită informații despre propria persoană unui număr nedeterminat de persoane. De exemplu, este posibil ca utilizatorul să fi setat opțiunile de partajare din contul său Facebook, astfel încât conținutul de pe profilul său să fie accesibil tuturor utilizatorilor acestei rețele sociale și să fie conștient de acest lucru. Cu toate acestea, chiar și în astfel de împrejurări, nu este evident că, prin acest comportament, utilizatorul a intenționat în mod cert să exprime intenția de a face publice în mod manifest datele cu caracter personal în cauză, având în vedere caracterul strict al excepției în discuție (a se vedea punctul 42 din prezentele concluzii).
57      A se vedea, în acest sens, Hotărârea din 29 iulie 2019, Fashion ID (C‑40/17, EU:C:2019:629, punctele 87-89).
58      În special module „cookie” [a se vedea considerentul (25) al Directivei 2002/58].
59      De asemenea, un astfel de consimțământ nu poate fi asimilat cu consimțământul explicit pentru prelucrarea acestor date în sensul articolului 9 alineatul (2) litera (a) din RGPD. Nici consimțământul pentru crearea de profiluri în sensul articolului 22 alineatul (1) litera (c) din RGPD, al cărui scop este în mod evident limitat la prelucrarea în scopul creării de profiluri, nu ar putea fi relevant.
60      În ceea ce privește cea de a cincea întrebare preliminară, instanța de trimitere a inclus în practica în litigiu – pe lângă colectarea, asocierea cu contul Facebook al utilizatorului și utilizarea de date provenite din alte servicii ale grupului, precum și de pe site‑uri internet și aplicații terțe (a se vedea punctul 10 din prezentele concluzii) – și „utilizarea unor date colectate din altă parte și asociate în mod legal la contul Facebook al utilizatorului”.
61      Articolul 6 alineatul (1) litera (b) din RGPD.
62      Articolul 6 alineatul (1) litera (f) din RGPD.
63      Articolul 6 alineatul (1) litera (f) din RGPD.
64      Și anume faptul că utilizatorii sunt minori, furnizarea de măsurători, de analize și de alte servicii comerciale, furnizarea de comunicări de marketing către utilizatori, cercetarea și inovarea în scopuri sociale, precum și schimbul de informații cu autoritățile de aplicare a legii și răspunsul la cererile legale.
65      Articolul 6 alineatul (1) litera (c) din RGPD.
66      Articolul 6 alineatul (1) litera (d) din RGPD.
67      Articolul 6 alineatul (1) litera (e) din RGPD.
68      Într‑adevăr, prin cea de a patra întrebare preliminară pare să se solicite Curții să se pronunțe cu privire la aplicarea, mai degrabă decât interpretarea articolului 6 alineatul (1) litera (f) din RGPD, iar cea de a cincea întrebare preliminară nu include motivele pentru care instanța de trimitere are îndoieli cu privire la interpretarea articolului 6 alineatul (1) literele (c), (d) și (e) din acest regulament.
69      A se vedea CEPD, Orientările 2/2019 din 8 octombrie 2019 privind prelucrarea datelor cu caracter personal în temeiul articolului 6 alineatul (1) litera (b) din RGPD în contextul furnizării de servicii online persoanelor vizate (denumite în continuare „Orientările CEPD 2/2019”), punctul 1.
70      În această privință, chiar dacă părțile din litigiul principal sunt de acord în esență cu premisa potrivit căreia, în scopul aplicării justificărilor în cauză, este necesară o analiză de la caz la caz, pozițiile lor diferă în ceea ce privește consecințele practice ale acestei premise. Bundeskartellamt subliniază că ține de competența operatorului să stabilească în mod detaliat ce date vor fi prelucrate în mod concret în ce scenariu de utilizare și susține în special că reclamanta din litigiul principal s‑a limitat să precizeze că întreaga prelucrare a datelor provenite din surse din afara Facebook ar fi necesară pentru fiecare scop al prelucrării datelor prevăzut în condițiile de utilizare. În schimb, Meta Platforms Ireland consideră că, fără a examina detaliile fiecărei operațiuni de prelucrare, Bundeskartellamt nu putea exclude faptul că practica în litigiu se putea baza pe justificările în cauză și nu putea concluziona, așadar, că această practică este incompatibilă cu RGPD.
71      Consimțământul utilizatorului este prevăzut la articolul 6 alineatul (1) litera (a) din RGPD.
72      În această privință, în Orientările CEPD 2/2019, se precizează la punctul 16 în special că principiul limitării legate de scop [articolul 5 alineatul (1) litera (b) din RGPD] și cel al reducerii la minimum a datelor [articolul 5 alineatul (1) litera (c) din RGPD] sunt relevante mai ales în contractele pentru servicii online, care în mod obișnuit nu sunt negociate individual, din cauza riscului major ca operatorii să urmărească să includă în contracte clauze pentru a maximiza eventuala colectare și utilizare de date, fără a specifica în mod adecvat scopurile respective sau fără a lua în considerare obligațiile privind reducerea la minimum a datelor.
73      Conform Orientărilor CEPD 2/2019, punctul 2, această dispoziție sprijină libertatea de a desfășura o activitate, care este garantată la articolul 16 din cartă, și reflectă faptul că, uneori, obligațiile contractuale față de persoana vizată nu pot fi îndeplinite dacă persoana vizată nu furnizează anumite date cu caracter personal. Precizăm că cel de al doilea caz prevăzut în această dispoziție, referitor la necesitatea prelucrării pentru executarea măsurilor precontractuale adoptate la cererea persoanei vizate, nu este relevant în prezenta cauză. Același lucru este valabil și în ceea ce privește existența unui contract valid atât în temeiul dreptului contractual aplicabil, cât și al altor cerințe legale, inclusiv cele referitoare la contractele încheiate cu consumatorii [a se vedea în special Directiva 93/13/CEE a Consiliului din 5 aprilie 1993 privind clauzele abuzive în contractele încheiate cu consumatorii (JO 1993, L 95, p. 29, Ediție specială 15/vol. 2, p. 29)], care nu face obiectul cererii de decizie preliminară.
74      A se vedea, în ceea ce privește norma corespunzătoare articolului 6 alineatul (1) litera (b) din RGPD, prevăzută la articolul 7 litera (e) din Directiva 95/46, Hotărârea din 16 decembrie 2008, Huber (C‑524/06, EU:C:2008:724, punctul 52).
75      De altfel, în timp ce simplul fapt de a menționa sau de a face referire la prelucrarea datelor într‑un contract nu este suficient pentru ca respectiva prelucrare a datelor să intre sub incidența domeniului de aplicare al articolului 6 alineatul (1) litera (b) din RGPD, prelucrarea poate fi obiectiv necesară chiar dacă nu este menționată în mod specific în contract, fără a aduce atingere obligațiilor privind transparența ale operatorului (a se vedea Orientările CEPD 2/2019, punctul 27).
76      A se vedea Orientările CEPD 2/2019, punctul 25.
77      A se vedea în acest sens Hotărârea din 9 noiembrie 2010, Volker und Markus Schecke și Eifert (C‑92/09 și C‑93/09, EU:C:2010:662, punctul 86), precum și Orientările CEPD 2/2019, punctul 25. În această privință, orientările amintite fac referire, la punctele 27-32, în special la faptul ca prelucrarea să fie necesară în mod obiectiv pentru un scop care face parte integrantă din prestarea serviciului contractual respectiv către persoana vizată, operatorul trebuind să poată demonstra modul în care obiectul principal al contractului specific încheiat cu persoana vizată nu poate fi efectiv executat dacă nu se realizează prelucrarea specifică a datelor cu caracter personal respective. La punctul 33, orientările menționate oferă îndrumări în această privință.
78      A se vedea Orientările CEPD 2/2019, punctul 32.
79      A se vedea Orientările CEPD 2/2019, punctul 37.
80      În această privință, guvernul austriac subliniază, în mod pertinent, că reclamanta din litigiul principal a permis anterior utilizatorilor Facebook să aleagă între o prezentare cronologică și o prezentare personalizată a conținutului din fluxul de știri, ceea ce demonstrează că o modalitate alternativă este posibilă.
81      Sub rezerva aprecierii instanței de trimitere, nu considerăm că colectarea și utilizarea datelor cu caracter personal în afara Facebook pot fi necesare pentru furnizarea serviciilor oferite în cadrul profilului Facebook, astfel încât consimțământul acordat inițial pentru accesul la rețeaua socială (și anume deschiderea unui profil Facebook) să poată acoperi în mod valabil prelucrarea datelor cu caracter personal ale utilizatorului în afara Facebook. Într‑adevăr, într‑o astfel de împrejurare, utilizarea serviciilor în cauză ar fi subordonată unui consimțământ care nu este necesar pentru executarea contractului și, în conformitate cu articolul 7 alineatul (4) din RGPD, instanța de trimitere va trebui să țină seama cât mai mult de această împrejurare [care, în conformitate cu considerentul (43) al RGPD, constituie o prezumție de nevaliditate a consimțământului pe care operatorul este obligat să o răstoarne în sensul articolului 7 alineatul (1) din RGPD]. În plus, un astfel de consimțământ nu ar respecta, în opinia noastră, nici regula consimțământului separat pentru diferite operațiuni de prelucrare a datelor cu caracter personal (a se vedea a treia parte a punctului 74 din prezentele concluzii), întrucât nu există nicio legătură între consimțământul inițial al utilizatorului pentru deschiderea contului Facebook și consimțământul final al acestuia pentru prelucrarea datelor cu caracter personal în afara Facebook. În plus, chiar și în cazul unui posibil consimțământ ulterior, dat în mod specific pentru utilizarea datelor în afara Facebook, este important să se analizeze dacă operatorul oferă posibilitatea de a alege un serviciu echivalent care nu implică consimțământul pentru prelucrarea datelor cu caracter personal în scopuri suplimentare [a se vedea punctul 37 din Orientările CEPD 5/2020 din 4 mai 2020 privind consimțământul în temeiul Regulamentului (UE) 2016/679, denumit în continuare „Orientările CEPD 5/2020”, care precizează de asemenea, la punctul 38, că operatorul nu poate indica un serviciu echivalent oferit de un alt operator].
82      Astfel cum subliniază guvernul austriac, considerăm că este decisivă în această privință constatarea că diferitele produse ale grupului pot fi utilizate independent unele de altele și că utilizarea fiecărui serviciu se bazează pe un contract de utilizare distinct. În plus, după cum observă Bundeskartellamt, mai degrabă decât a fi considerată necesară pentru funcționarea serviciilor specifice grupului, utilizarea uniformă și coerentă a acestor servicii ar trebui considerată ca un interes al utilizatorului, astfel încât, în principiu, ar părea mai potrivit ca aceasta să fie alegerea utilizatorului.
83      A se vedea prin analogie Hotărârea din 4 mai 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punctul 28), referitoare la norma corespunzătoare articolului 6 alineatul (1) litera (f) din GDPR, prevăzută la articolul 7 litera (f) din Directiva 95/46.
84      Astfel cum s‑a menționat în Concluziile avocatului general Bobek prezentate în cauza Fashion ID (C‑40/17, EU:C:2018:1039, punctul 122), noțiunea de „interes legitim” în contextul Directivei 95/46 părea să fie destul de flexibilă și deschisă. Într‑adevăr, astfel cum susține reclamanta din litigiul principal, Curtea a recunoscut mai multe interese ca fiind legitime [a se vedea în special Hotărârea din 13 mai 2014, Google Spain și Google (C‑131/12, EU:C:2014:317, punctul 81), Hotărârea din 19 octombrie 2016, Breyer (C‑582/14, EU:C:2016:779, punctul 55), Hotărârea din 4 mai 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punctul 29), Hotărârea din 24 septembrie 2019, GC și alții (Dereferențierea datelor sensibile) (C‑136/17, EU:C:2019:773, punctul 53), Hotărârea din 11 decembrie 2019, Asociația de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, punctul 59), și Hotărârea din 17 iunie 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, punctele 108 și 109)]. Aceeași concluzie se desprinde, în opinia noastră, din RGPD, al cărui considerent (47) menționează în special, cu titlu de exemplu, situația în care persoana vizată este un client al operatorului sau se află în serviciul acestuia și prelucrarea datelor cu caracter personal în scopul prevenirii fraudelor sau care are drept scop marketingul direct, iar considerentul (49) menționează securitatea rețelei și a informațiilor, precum și a serviciilor oferite.
85      Acest lucru include, în opinia noastră, cerința de a specifica ce operațiune de prelucrare se bazează pe ce interes legitim.
86      A se vedea Hotărârea din 4 mai 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punctul 30), și Hotărârea din 17 iunie 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, punctul 110).
87      A se vedea în acest sens Hotărârea din 4 mai 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, punctul 31), și Hotărârea din 17 iunie 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, punctul 111). Curtea a amintit în această privință că articolul 7 litera (f) din Directiva 95/46 [care corespunde articolului 6 alineatul (1) litera (f) din RGPD] se opune ca un stat membru să excludă în mod categoric și generalizat posibilitatea ca anumite categorii de date cu caracter personal să fie prelucrate, fără a permite o ponderare a drepturilor și a intereselor opuse în cauză într‑un anumit caz. Un stat membru nu poate astfel să stabilească, pentru aceste categorii, în mod definitiv, rezultatul ponderării drepturilor și intereselor opuse fără a permite un rezultat diferit în funcție de împrejurările speciale ale unui caz concret (Hotărârea din 19 octombrie 2016, Breyer, C‑582/14, EU:C:2016:779, punctul 62 și jurisprudența citată).
88      Avizul 6/2014 al Grupului de lucru „Articolul 29” oferă considerații interesante în această privință la punctul III.3.4.
89      Într‑adevăr, în conformitate cu considerentul (49) al RGPD, prelucrarea datelor cu caracter personal în măsura strict necesară și proporțională în scopul asigurării securității rețelelor și a informațiilor, astfel cum se specifică în această dispoziție, constituie un interes legitim al operatorului de date în cauză. Aceasta ar putea fi, de exemplu, prevenirea accesului neautorizat la rețelele de comunicații electronice și a distribuirii de coduri dăunătoare. Observăm, de asemenea, că, în conformitate cu articolul 32 din RGPD, operatorul trebuie printre altele să implementeze măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător riscului și că, în conformitate cu articolul 5 alineatul (1) litera (f) din acest regulament, datele cu caracter personal trebuie prelucrate într‑un mod care asigură securitatea adecvată a datelor cu caracter personal.
90      Prin urmare, trebuie să se verifice în ce măsură prelucrarea datelor cu caracter personal în afara site‑ului internet sau a aplicației Facebook este necesară pentru securitatea acesteia din urmă. Chiar dacă instanța de trimitere menționează, în această privință, posibilitatea de a utiliza datele WhatsApp în cadrul unei funcții antispam (prin utilizarea informațiilor din conturile WhatsApp care trimit spam pentru a lua măsuri împotriva conturilor Facebook corespunzătoare) și a datelor Instagram pentru a identifica comportamente dubioase sau ilegale, avem îndoieli cu privire la faptul că reclamantul din litigiul principal poate pretinde dreptul de a prelucra date cu caracter personal în scopuri „de poliție” în sens larg, întrucât, potrivit jurisprudenței Curții, în domeniul (diferit, dar conex) al datelor de comunicații electronice, chiar și măsuri legislative care prevăd, cu titlu preventiv, o stocare generalizată și nediferențiată a datelor de transfer și a datelor de localizare nu sunt compatibile cu Directiva 2002/58 [a se vedea Hotărârea din 6 octombrie 2020, La Quadrature du Net și alții, C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 168). În plus, în cazul în care necesitatea de a asigura securitatea rețelei este o cerință legală, operatorul se poate baza pe justificarea specifică prevăzută la articolul 6 alineatul (1) litera (c) din RGPD.
91      În conformitate cu articolul 6 alineatul (1) literele (c), (d) și (e) din RGPD.
92      A se vedea punctul 48 din prezentele concluzii.
93      Având în vedere gama largă de interese legitime recunoscute de jurisprudență (a se vedea punctul 60 din prezentele concluzii). De exemplu, considerăm că este evident, în principiu, că protecția minorilor poate justifica adoptarea unor măsuri de protecție adecvate, menite să îi împiedice să acceseze conținuturi inadecvate sau dăunătoare.
94      Într‑adevăr, în conformitate cu articolul 13 alineatul (1) literele (c) și (d) din RGPD, revine în special operatorului sarcina de a indica, pentru fiecare scop al prelucrării, interesele legitime urmărite de el însuși sau de o parte terță.
95      În Hotărârea din 11 noiembrie 2020, Orange România (C‑61/19, EU:C:2020:901, punctele 35 și 36, precum și jurisprudența citată), Curtea a precizat că formularea articolului 4 punctul 11 din RGPD, care definește „consimțământul persoanei vizate”, pare mult mai strictă decât cea a articolului 2 litera (h) din Directiva 95/46, prin faptul că impune o manifestare de voință „liberă, specifică, informată și lipsită de ambiguitate” a persoanei vizate, sub forma unei declarații sau a unei „acțiuni fără echivoc” care reprezintă acordul său pentru prelucrarea datelor cu caracter personal care o privesc.
96      După cum subliniază CEPD, elementul „liber” implică o alegere reală și un control real din partea persoanelor vizate (a se vedea Orientările CEPD 5/2020, punctul 13). Același punct prevede printre altele că consimțământul nu a fost exprimat în mod liber dacă, pe de o parte, persoana în cauză se simte obligată să consimtă sau dacă va suporta consecințe negative importante în cazul în care nu consimte și, pe de altă parte, consimțământul este înglobat, ca parte ce nu poate fi negociată, în cuprinsul termenelor și condițiilor. În consecință, consimțământul nu va fi considerat liber exprimat dacă persoana vizată nu este în măsură să refuze sau să își retragă consimțământul fără a fi prejudiciată. În acest caz, astfel cum subliniază reclamanta din litigiul principal, singurul dezavantaj pe care persoana vizată trebuie să îl accepte este acela că serviciul ar putea, după caz, să nu aibă aceleași funcționalități sau aceeași calitate, în măsura în care prelucrarea datelor pentru care nu a fost acordat consimțământul este necesară din punct de vedere tehnic în acest scop.
97      În acest sens, Orientările CEPD 5/2020 menționează înșelăciunea, intimidarea, constrângerea sau consecințele negative semnificative în cazul în care o persoană vizată nu își dă consimțământul și reamintește sarcina care revine operatorului de a dovedi că această persoană a avut posibilitatea unei alegeri libere sau reale în privința acordării consimțământului, precum și posibilitatea de a‑și retrage consimțământul (punctul 47).
98      Pe lângă situațiile referitoare la relațiile cu autoritățile publice și la raporturile de muncă, menționate în considerentul (43), care nu sunt relevante în prezenta cauză, punctul 24 din Orientările CEPD 5/2020 menționează în special situații în care persoana vizată nu este capabilă să facă o alegere reală sau în care există risc de înșelăciune, intimidare, coerciție sau consecințe negative semnificative (de exemplu costuri suplimentare substanțiale) dacă aceasta nu consimte.
99      Această problemă se suprapune parțial cu cea care face obiectul primei părți a celei de a treia întrebări preliminare (a se vedea punctele 53-57 din prezentele concluzii). Considerentul (43) a doua teză al RGPD precizează că, într‑o astfel de situație, consimțământul este considerat a nu fi acordat în mod liber (conform punctului 26 din Orientările CEPD 5/2020, RGPD asigură că prelucrarea datelor cu caracter personal pentru care se solicită consimțământul nu poate deveni, direct sau indirect, contraprestația unui contract), utilizarea expresiei „este considerat” indicând faptul că astfel de cazuri în care consimțământul este valabil vor fi cu totul excepționale (a se vedea punctul 35 din orientările respective). În plus, prin utilizarea expresiei „printre altele”, articolul 7 alineatul (4) din RGPD a fost redactat într‑un mod neexhaustiv ceea ce înseamnă că o serie de alte situații pot intra sub incidența acestei dispoziții, inclusiv orice element de presiune sau de influență nepotrivită exercitată asupra persoanei vizate și care o împiedică să își manifeste voința (Orientările CEPD 5/2020, punctul 14).
100      Considerentul (32) al RGPD precizează în special că consimțământul acordat ar trebui să se aplice tuturor activităților de prelucrare care au același scop (aceleași scopuri) și că, în cazul în care prelucrarea are mai multe scopuri, consimțământul ar trebui acordat pentru fiecare dintre acestea. În această privință, Orientările CEPD 5/2020 fac referire la „granularitatea” consimțământului ca fiind un obstacol în calea libertății acestuia (punctul 44).
101      O astfel de situație favorizează în special impunerea unor condiții care nu sunt necesare pentru executarea contractului (a se vedea punctele 53-57 din prezentele concluzii).
102      Cu alte cuvinte, astfel cum observă Comisia, gradul de putere relativă pe piață a întreprinderii, care este esențial pentru validitatea consimțământului în temeiul RGPD, nu poate fi în mod necesar echivalat cu pragul de poziție dominantă pe piață în sensul articolului 102 TFUE.
103      În mod evident, deși existența unei poziții dominante nu exclude în sine posibilitatea de a exprima un consimțământ liber pentru prelucrarea datelor cu caracter personal, lipsa unei astfel de poziții nu este însă în sine suficientă pentru a garanta că un astfel de consimțământ este exprimat în mod valabil în toate împrejurările.