62020CJ0319_RES
Zadeva C‑701/20
Meta Platforms Ireland Limited, nekdanja Facebook Ireland Limited,
proti
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V
(predlog za sprejetje predhodne odločbe, ki ga je vložilo Bundesgerichtshof)
Sodba Sodišča (tretji senat) z dne 28. aprila 2022
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 80 – Zastopanje posameznikov, na katere se nanašajo osebni podatki, s strani nepridobitnega združenja – Zastopniška tožba, ki jo vloži združenje za varstvo interesov potrošnikov brez pooblastila in neodvisno od kršitve konkretnih pravic posameznika, na katerega se nanašajo osebni podatki – Tožba, ki temelji na prepovedi nepoštenih poslovnih praks, kršitvi zakona o varstvu potrošnikov ali prepovedi uporabe neveljavnih splošnih pogojev“
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Zastopanje posameznikov, na katere se nanašajo osebni podatki – Procesno upravičenje – Združenje za varstvo interesov potrošnikov – Zastopniška tožba, ki jo vloži to združenje ob neobstoju pooblastila in neodvisno od kršitve konkretnih pravic posameznika, na katerega se nanašajo osebni podatki – Tožba, ki temelji na kršitvi pravil o varstvu potrošnikov ali boju proti nepoštenim poslovnim praksam – Dopustnost – Pogoj
(Uredba 2016/679 Evropskega parlamenta in Sveta, člen 80(2))
(Glej točke od 57 do 60, od 63 do 79 in 83 ter izrek.)
Povzetek
Družba Meta Platforms Ireland ponuja storitve spletnega družabnega omrežja Facebook in je odgovorna za obdelavo osebnih podatkov uporabnikov tega družbenega omrežja v Uniji. Spletna platforma Facebook med drugim na spletnem naslovu www.facebook.de vsebuje prostor, imenovan „App‑Zentrum“ (center za aplikacije), na katerem družba Meta Platforms Ireland uporabnikom daje na voljo brezplačne igre tretjih ponudnikov. Uporabnik je ob obisku nekaterih od teh iger obveščen, da uporaba zadevne aplikacije družbi za razvoj iger omogoča pridobiti neko določeno število osebnih podatkov in ji dovoljuje, da v imenu tega uporabnika objavlja podatke. Z uporabo te aplikacije sprejme splošne pogoje aplikacije in njeno politiko na področju varstva podatkov. Poleg tega je bil v primeru določene igre uporabnik obveščen, da lahko aplikacija v njegovem imenu objavlja fotografije in druge podatke.
Nemško zvezno združenje organizacij in združenj za varstvo potrošnikov (
1
) je menilo, da vnos podatkov v center za aplikacije, ki poteka prek zadevnih iger, ni dovoljen. Zvezno združenje je zato kot organizacija, ki ima procesno upravičenje, da bi predlagala prenehanje kršitev zakonodaje na področju varstva potrošnikov, (
2
) proti družbi Meta Platforms Ireland vložilo opustitveno tožbo. Ta tožba je bila vložena neodvisno od kršitve konkretne pravice do varstva podatkov posameznika, na katerega se nanašajo osebni podatki, in ne da bi jo tak posameznik za to pooblastil. Zoper odločbo, s katero je bilo tej tožbi ugodeno, je družba Meta Platforms Ireland vložila pritožbo, ki je nato, ker je bila ta pritožba zavrnjena, vložila tožbo pri Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija). Ker je to sodišče podvomilo o dopustnosti tožbe zveznega združenja in zlasti o njegovem procesnem upravičenju proti družbi Meta Platforms Ireland, se je obrnilo na Sodišče.
Sodišče je v sodbi razsodilo, da člen 80(2) splošne uredbe o varstvu podatkov (
3
) ne nasprotuje temu, da lahko združenje za varstvo interesov potrošnikov ob neobstoju pooblastila, ki mu je bilo za to podeljeno, in neodvisno od kršitve konkretnih pravic posameznikov, na katere se nanašajo osebni podatki, proti domnevnemu kršitelju varstva osebnih podatkov začne postopek ob zatrjevanju kršitve prepovedi nepoštenih poslovnih praks, zakona o varstvu potrošnikov ali prepovedi uporabe neveljavnih splošnih pogojev. Taka tožba je mogoča, ker lahko zadevna obdelava podatkov vpliva na pravice, ki jih imajo določene ali določljive fizične osebe na podlagi GDPR.
Presoja Sodišča
Najprej, Sodišče opozarja, da je namen GDPR (
4
) zagotoviti harmonizacijo nacionalnih zakonodaj o varstvu osebnih podatkov, ki je načeloma popolna, pri čemer je člen 80(2) te uredbe del določb, ki državam članicam puščajo diskrecijsko pravico glede njenega izvajanja. (
5
) Tako morajo države članice za vložitev zastopniške tožbe brez pooblastila na področju varstva osebnih podatkov iz te določbe uporabiti možnost, ki jim jo daje ta določba, da v svojem nacionalnem pravu določijo tak način zastopanja posameznikov, na katere se nanašajo osebni podatki. Vendar morajo države članice pri uporabi te možnosti uporabiti svojo diskrecijsko pravico v skladu s pogoji in omejitvami, ki jih določa GDPR, ter sprejemati zakonodajo tako, da ne posega v vsebino in cilje te uredbe.
Dalje, Sodišče poudarja, da člen 80(2) GDPR s tem, da državam članicam daje možnost, da določijo mehanizem zastopniške tožbe zoper domnevnega kršitelja varstva osebnih podatkov, določa nekatere zahteve, ki jih je treba spoštovati. Tako se, prvič, procesno upravičenje prizna telesu, organizaciji ali združenju, ki izpolnjuje merila iz člena 80(1) GDPR. (
6
) S tem pojmom je lahko zajeto združenje za varstvo interesov potrošnikov, kakršno je zvezno združenje, ki sledi cilju v javnem interesu, ki je zagotoviti pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, kot potrošnikov, saj je uresničitev takega cilja lahko povezana z varstvom osebnih podatkov teh posameznikov. Drugič, za vložitev navedene zastopniške tožbe se predpostavlja, da zadevni subjekt ne glede na pooblastila, ki so mu bila podeljena, meni, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, iz GDPR kršene zaradi obdelave njegovih osebnih podatkov.
Na eni strani, za vložitev zastopniške tožbe (
7
) od zadevnega subjekta tako ni mogoče zahtevati, da predhodno posamično identificira posameznika, na katerega se posebej nanaša obdelava podatkov, ki naj bi bila v nasprotju z določbami GDPR. Za to je lahko določitev kategorije ali skupine oseb, ki jih taka obdelava prizadene, prav tako zadostna. (
8
)
Na drugi strani, vložitev take tožbe ne zahteva obstoja konkretne kršitve pravic, ki jih ima posameznik na podlagi GDPR. Za priznanje procesnega upravičenja subjektu namreč zadostuje navedba, da zadevna obdelava podatkov lahko vpliva na pravice, ki jih imajo določeni ali določljivi posamezniki na podlagi navedene uredbe, ne da bi bilo treba dokazati dejansko škodo, ki jo je v določenem položaju utrpel posameznik, na katerega se nanašajo osebni podatki, s kršitvijo njegovih pravic. Tako glede na cilj, ki mu sledi GDPR, dejstvo, da so združenja za varstvo interesov potrošnikov, kot je zvezno združenje, pooblaščena, da z mehanizmom zastopniške tožbe vlagajo tožbe za opustitev ravnanj, ki so v nasprotju z določbami GDPR, ne glede na kršitev pravic posameznika, na katerega se ta kršitev posamično in konkretno nanaša, nedvomno prispeva h krepitvi pravic posameznikov, na katere se nanašajo osebni podatki, in k zagotavljanju visoke ravni varstva.
Nazadnje, Sodišče pojasnjuje, da lahko kršitev pravila o varstvu osebnih podatkov hkrati povzroči kršitev pravil o varstvu potrošnikov ali nepoštenih poslovnih praksah. GDPR (
9
) namreč državam članicam omogoča, da izkoristijo možnost, da določijo, da združenja za varstvo interesov potrošnikov lahko ukrepajo proti kršitvam pravic, ki jih določa GDPR, s pravili, katerih cilj je varstvo potrošnikov ali boj proti nepoštenim poslovnim praksam.
(
1
)	Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (v nadaljevanju: zvezno združenje).
(
2
)	Na podlagi nemškega prava zakoni o varstvu potrošnikov vključujejo tudi pravila, ki določajo zakonitost zbiranja ali obdelave ali uporabe osebnih podatkov potrošnika s strani podjetja ali podjetnika.
(
3
)	Uredba Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: GDPR). Člen 80(2) določa, da lahko „[d]ržave članice […] določijo, da ima katero koli telo, organizacija ali združenje iz odstavka 1 tega člena neodvisno od pooblastila posameznika, na katerega se nanašajo osebni podatki, v tej državi članici pravico, da vloži pritožbo pri nadzornem organu, ki je pristojen na podlagi člena 77, in da uveljavlja pravice iz členov 78 in 79, če meni, da so pravice posameznika, na katerega se nanašajo osebni podatki, iz te uredbe kršene zaradi obdelave [osebnih podatkov, ki se nanašajo na takega posameznika]“.
(
4
)	Kot izhaja iz člena 1(1) v povezavi z uvodnimi izjavami 9, 10 in 13 te uredbe.
(
5
)	Na podlagi „pomensko odprtih določb“.
(
6
)	Zlasti v členu 80(1) GDPR. Člen 80(1) te uredbe se nanaša na „neprofitno telo, organizacijo ali združenje, ki je ustrezno ustanovljeno v skladu s pravom države članice, in katerega s pravnimi akti določeni cilji so v javnem interesu ter je dejavno na področju varstva pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, kar zadeva varstvo njihovih osebnih podatkov“.
(
7
)	Člen 80(2) GDPR.
(
8
)	Zlasti glede na obseg pojma „posameznik, na katerega se nanašajo osebni podatki“ iz člena 4, točka 1, GDPR, ki zajema tako „določenega posameznika“ kot „določljivega posameznika“.
(
9
)	Člen 80(2) GDPR.