Arrest van het Hof (Grote kamer) van 4 juli 2023 (verzoek om een prejudiciële beslissing ingediend door het Oberlandesgericht Düsseldorf - Duitsland) – Meta Platforms Inc., voorheen Facebook Inc., Meta Platforms Ireland Limited, voorheen Facebook Ireland Ltd., Facebook Deutschland GmbH / Bundeskartellamt
[Zaak C-252/211, Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk)]
[Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Online sociale netwerken – Misbruik van machtspositie door de exploitant van een dergelijk netwerk – Misbruik bestaande in de verwerking van persoonsgegevens van de gebruikers van dat netwerk, in welke verwerking is voorzien in de algemene gebruiksvoorwaarden van dat netwerk – Bevoegdheid van een mededingingsautoriteit van een lidstaat om vast te stellen dat deze verwerking niet in overeenstemming is met die verordening – Verhouding tot de bevoegdheden van de nationale autoriteiten die belast zijn met het toezicht op de bescherming van persoonsgegevens – Artikel 4, lid 3, VEU – Beginsel van loyale samenwerking – Artikel 6, lid 1, eerste alinea, onder a) tot en met f), van verordening 2016/679 – Rechtmatigheid van de verwerking – Artikel 9, leden 1 en 2 – Verwerking van bijzondere categorieën van persoonsgegevens – Artikel 4, punt 11 – Begrip „toestemming”]
Procestaal: Duits
Verwijzende rechter
Oberlandesgericht Düsseldorf
Partijen in het hoofdgeding
Verzoekende partijen: Meta Platforms Inc., voorheen Facebook Inc., Meta Platforms Ireland Limited, voorheen Facebook Ireland Ltd., Facebook Deutschland GmbH
Verwerende partij: Bundeskartellamt
in tegenwoordigheid van: Verbraucherzentrale Bundesverband eV
Dictum
De artikelen 51 en volgende van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), en artikel 4, lid 3, VEU
moeten aldus worden uitgelegd dat
een mededingingsautoriteit van een lidstaat in het kader van het onderzoek of er sprake is van misbruik van een machtspositie door een onderneming in de zin van artikel 102 VWEU kan vaststellen dat de algemene gebruiksvoorwaarden van deze onderneming met betrekking tot de verwerking van persoonsgegevens en de toepassing van die gebruiksvoorwaarden niet met die verordening in overeenstemming zijn, mits die vaststelling noodzakelijk is om een dergelijk misbruik aan te tonen en zij haar verplichting tot loyale samenwerking met de toezichthoudende autoriteiten nakomt.
In het licht van deze verplichting tot loyale samenwerking mag de nationale mededingingsautoriteit niet afwijken van een besluit van de bevoegde nationale toezichthoudende autoriteit of de bevoegde leidende toezichthoudende autoriteit met betrekking tot die algemene voorwaarden of soortgelijke algemene voorwaarden. Wanneer de mededingingsautoriteit twijfels heeft over de draagwijdte van een dergelijk besluit, wanneer die voorwaarden of soortgelijke voorwaarden tegelijkertijd door die autoriteiten worden onderzocht, dan wel wanneer zij, zonder dat die autoriteiten onderzoek hebben gedaan of een besluit hebben genomen, van mening is dat de betrokken voorwaarden niet in overeenstemming zijn met verordening 2016/679, moet zij die toezichthoudende autoriteiten raadplegen en om hun medewerking verzoeken, teneinde haar twijfels weg te nemen dan wel te bepalen of zij moet wachten tot deze autoriteiten een besluit vaststellen, alvorens met haar eigen beoordeling te beginnen. Indien de toezichthoudende autoriteiten niet binnen een redelijke termijn bezwaar maken of antwoorden, kan de nationale mededingingsautoriteit haar eigen onderzoek voortzetten.
Artikel 9, lid 1, van verordening 2016/679
moet aldus worden uitgelegd dat
wanneer een gebruiker van een online sociaal netwerk websites of apps bezoekt die met een of meer van de in die bepaling bedoelde categorieën verband houden, en in voorkomend geval daar gegevens invoert door zich te registreren of online bestellingen te plaatsen, de verwerking van persoonsgegevens door de exploitant van dat online sociale netwerk waarbij deze exploitant, door middel van geïntegreerde interfaces, cookies of soortgelijke registratietechnologieën, de gegevens die voortvloeien uit de bezoeken aan die websites en apps alsook de gegevens die door de gebruiker zijn ingevoerd verzamelt, al deze gegevens koppelt aan het account van deze laatste bij het online sociale netwerk en die gegevens gebruikt, moet worden beschouwd als een „verwerking van bijzondere categorieën persoonsgegevens” in de zin van die bepaling die, behoudens de in artikel 9, lid 2, bepaalde uitzonderingen, in beginsel verboden is, wanneer bij deze gegevensverwerking informatie aan het licht kan komen die onder een van deze categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon.
Artikel 9, lid 2, onder e), van verordening 2016/679
moet aldus worden uitgelegd dat
een gebruiker van een online sociaal netwerk die websites of apps bezoekt die met een of meer van de in artikel 9, lid 1, van deze verordening bedoelde categorieën verband houden, de gegevens over deze bezoeken die door de exploitant van dit online sociale netwerk via cookies of soortgelijke registratietechnologieën worden verzameld niet kennelijk openbaar maakt in de zin van eerstgenoemde bepaling.
Wanneer zo’n gebruiker op dergelijke websites of apps gegevens invoert of wanneer hij in die websites en apps geïntegreerde selectieknoppen aanklikt – zoals de knoppen „vind ik leuk” of „delen”, of de knoppen waarmee hij zich op deze websites of apps kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn gebruikersaccount van het online sociale netwerk, zijn telefoonnummer of zijn e-mailadres –, maakt hij de aldus ingevoerde of uit het aanklikken van deze knoppen voortvloeiende gegevens slechts kennelijk openbaar in de zin van dat artikel 9, lid 2, onder e), wanneer hij vooraf uitdrukkelijk zijn keuze kenbaar heeft gemaakt, in voorkomend geval op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie, om de hem betreffende gegevens openbaar te maken voor een onbeperkt aantal personen.
Artikel 6, lid 1, eerste alinea, onder b), van verordening 2016/679
moet aldus worden uitgelegd dat
de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, slechts noodzakelijk kan worden geacht voor de uitvoering van een overeenkomst waarbij de betrokkenen partij zijn in de zin van deze bepaling, indien die verwerking objectief onontbeerlijk is om een doel te bereiken dat een integrerend deel uitmaakt van de aan deze gebruikers te leveren contractuele prestatie, zodat het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.
Artikel 6, lid 1, eerste alinea, onder f), van verordening 2016/679
moet aldus worden uitgelegd dat
de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, slechts noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van deze bepaling indien die exploitant de gebruikers bij wie de gegevens zijn verzameld, heeft meegedeeld dat er met de verwerking een gerechtvaardigd belang wordt behartigd, indien deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat belang strikt noodzakelijk is en indien uit een afweging van de tegengestelde belangen in het licht van alle relevante omstandigheden blijkt dat de belangen of grondrechten en fundamentele vrijheden van die gebruikers niet zwaarder wegen dan dit gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde.
Artikel 6, lid 1, eerste alinea, onder c), van verordening 2016/679
moet aldus worden uitgelegd dat
de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, op grond van deze bepaling gerechtvaardigd is wanneer zij daadwerkelijk noodzakelijk is om een wettelijke verplichting na te komen die krachtens een bepaling van Unierecht of het recht van de betrokken lidstaat op de verwerkingsverantwoordelijke rust, wanneer deze rechtsgrondslag beantwoordt aan een doelstelling van algemeen belang en evenredig is aan het nagestreefde gerechtvaardigde doel, en wanneer die verwerking binnen de grenzen van het strikt noodzakelijke blijft.
Artikel 6, lid 1, eerste alinea, onder d) en e), van verordening 2016/679
moet aldus worden uitgelegd dat
de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, in beginsel en onder voorbehoud van een door de verwijzende rechter te verrichten verificatie niet kan worden geacht noodzakelijk te zijn om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen in de zin van punt d), en evenmin voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen in de zin van punt e).
Artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), van verordening 2016/679
moeten aldus worden uitgelegd dat
de omstandigheid dat de exploitant van een online sociaal netwerk een machtspositie inneemt op de markt voor online sociale netwerken als zodanig er niet aan in de weg staat dat de gebruikers van een dergelijk netwerk rechtsgeldig toestemming kunnen geven in de zin van artikel 4, punt 11, van deze verordening voor de verwerking van hun persoonsgegevens door die exploitant. Deze omstandigheid vormt niettemin een belangrijk element om te bepalen of de toestemming daadwerkelijk rechtsgeldig en met name vrijelijk is gegeven, hetgeen deze exploitant dient te bewijzen.
____________
1 PB C 320 van 9.8.2021.