62021CJ0252
ROZSUDEK SOUDNÍHO DVORA (velkého senátu)
4. července 2023 (
*1
)
Obsah
Právní rámec
Unijní právo
Nařízení (ES) č. 1/2003
GDPR
Německé právo
Spor v původním řízení a předběžné otázky
K předběžným otázkám
K první a sedmé otázce
K druhé otázce
K druhé otázce písm. a)
Ke druhé otázce písm. b)
Ke třetí až páté otázce
Úvodní poznámky
K třetí a čtvrté otázce
K páté otázce
K šesté otázce
K nákladům řízení
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Sociální sítě na internetu – Zneužití dominantního postavení provozovatelem takové sítě – Zneužití spočívající ve zpracování osobních údajů uživatelů této sítě upraveném ve všeobecných podmínkách pro její používání – Pravomoci orgánu členského státu pro hospodářskou soutěž konstatovat nesoulad tohoto zpracování s tímto nařízením – Vztah k pravomocem vnitrostátních orgánů odpovědných za dohled nad ochranou osobních údajů – Článek 4 odst. 3 SEU – Zásada loajální spolupráce – Článek 6 odst. 1 první pododstavec písm. a) až f) nařízení 2016/679 – Zákonnost zpracování – Článek 9 odst. 1 a 2 – Zpracování zvláštních kategorií osobních údajů – Článek 4 bod 11 – Pojem ‚souhlas‘ “
Ve věci C‑252/21,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu, Německo) ze dne 24. března 2021, došlým Soudnímu dvoru dne 22. dubna 2021, v řízení
Meta Platforms Inc., dříve Facebook Inc.,
Meta Platforms Ireland Ltd, dříve Facebook Ireland Ltd,
Facebook Deutschland GmbH
proti
Bundeskartellamt,
za účasti:
Verbraucherzentrale Bundesverband e.V.,
SOUDNÍ DVŮR (velký senát),
ve složení: K. Lenaerts, předseda, L. Bay Larsen, místopředseda, A. Prechal, K. Jürimäe, C. Lycourgos, M. Safjan, L. S. Rossi (zpravodajka), D. Gratsias a M. L. Arastey Sahún, předsedové senátů, J.-C. Bonichot, S. Rodin, F. Biltgen, M. Gavalec, Z. Csehi a O. Spineanu-Matei, soudci,
generální advokát: A. Rantos,
za soudní kancelář: D. Dittert, vedoucí oddělení,
s přihlédnutím k písemné části řízení a po jednání konaném dne 10. května 2022,
s ohledem na vyjádření, která předložili:
–
za Meta Platforms Inc., dříve Facebook Inc., Meta Platforms Ireland Ltd, dříve Facebook Ireland Ltd, a Facebook Deutschland GmbH: M. Braun, M. Esser, L. Hesse, J. Höft a H.-G. Kamann, Rechtsanwälte,
–
za Bundeskartellamt: J. Nothdurft, K. Ost, I. Sewczyk a J. Topel, jako zmocněnci,
–
za Verbraucherzentrale Bundesverband e.V.: S. Louven, Rechtsanwalt,
–
za německou vládu: J. Möller a P.-L. Krüger, jako zmocněnci,
–
za českou vládu: M. Smolek a J. Vláčil, jako zmocněnci,
–
za italskou vládu: G. Palmieri, jako zmocněnkyně, ve spolupráci s: E. De Bonis a P. Gentili, avvocati dello Stato,
–
za rakouskou vládu: A. Posch, J. Schmoll a G. Kunnert, jako zmocněnci,
–
za Evropskou komisi: F. Erlbacher, H. Kranenborg a G. Meessen, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 20. září 2022,
vydává tento
Rozsudek
1
Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 4 odst. 3 SEU, jakož i čl. 6 odst. 1, čl. 9. odst. 1 a 2, čl. 51 odst. 1 a čl. 56 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a oprava v Úř. věst. 2018, L 127, s. 2 a Úř. věst. 2021, L 74, s. 35, dále jen „GDPR“).
2
Tato žádost byla předložena v rámci sporu mezi společnostmi Meta Platforms Inc., dříve Facebook Inc., Meta Platforms Ireland Ltd, dříve Facebook Ireland Ltd, a Facebook Deutschland GmbH na straně jedné a Bundeskartellamt (Spolkový úřad pro hospodářskou soutěž, Německo) na straně druhé ve věci rozhodnutí Bundeskartellamt zakázat výše uvedeným společnostem zpracovávání určitých osobních údajů upravené všeobecnými podmínkami pro používání sociální sítě „Facebook“ (dále jen „všeobecné podmínky“).
Právní rámec
Unijní právo
Nařízení (ES) č. 1/2003
3
Článek 5 nařízení Rady (ES) č. 1/2003 ze dne 16. prosince 2002 o provádění pravidel hospodářské soutěže stanovených v článcích [101 a 102 SFEU] (Úř. věst. 2003, L 1, s. 1; Zvl. vyd. 08/02, s. 205), nadepsaný „Pravomoci orgánů pro hospodářskou soutěž členských států“, stanoví:
„Orgány pro hospodářskou soutěž členských států mají pravomoc používat články [101 a 102 SFEU] v jednotlivých případech. Za tímto účelem mohou z vlastního podnětu nebo na základě stížnosti přijímat tato rozhodnutí:
–
požadovat ukončení protiprávního jednání,
–
nařizovat předběžná opatření,
–
přijímat závazky,
–
ukládat pokuty, penále nebo jiné sankce stanovené vnitrostátními právními předpisy.
Pokud na základě informací, které mají k dispozici, nejsou splněny podmínky zákazu, mohou také rozhodnout, že není důvod k jejich zásahu.“
GDPR
4
V bodech 1, 4, 38, 42, 43, 46, 47, 49 a 51 odůvodnění GDPR se uvádí:
„(1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen ‚Listina‘) a čl. 16 odst. 1 [SFEU] přiznávají každému právo na ochranu osobních údajů, které se jej týkají.
[…]
(4)
Zpracování osobních údajů by mělo sloužit lidem. Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou, jak jsou zakotveny ve Smlouvách, zejména respektování soukromého a rodinného života, obydlí a komunikace, ochranu osobních údajů, svobodu myšlení, svědomí a náboženského vyznání, svobodu projevu a informací, svobodu podnikání, právo na účinnou právní ochranu a spravedlivý proces, jakož i kulturní, náboženskou a jazykovou rozmanitost.
[…]
(38)
Děti zasluhují zvláštní ochranu osobních údajů, protože si mohou být méně vědomy dotčených rizik, důsledků a záruk a svých práv v souvislosti se zpracováním osobních údajů. Tato zvláštní ochrana by se měla zejména vztahovat na používání osobních údajů dětí pro účely marketingu nebo vytváření osobnostních či uživatelských profilů a shromažďování osobních údajů týkajících se dětí při využívání služeb nabízených přímo dětem. Souhlas nositele rodičovské zodpovědnosti by neměl být nutný v případě preventivních či poradenských služeb nabízených přímo dětem.
[…]
(42)
Pokud je zpracování založeno na souhlasu subjektu údajů, měl by být správce schopen prokázat, že subjekt údajů vyjádřil s danou operací zpracování souhlas. […] Aby se zajistilo, že souhlas bude informovaný, měl by subjekt údajů znát alespoň totožnost správce a účely zpracování, k nimž jsou jeho osobní údaje určeny. Souhlas by neměl být považován za svobodný, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu nebo nemůže souhlas odmítnout nebo odvolat, aniž by byl poškozen.
(43)
S cílem zajistit, aby byl souhlas svobodný, by vyjádření souhlasu nemělo představovat platný právní důvod pro zpracování osobních údajů ve zvláštním případě, kdy mezi subjektem údajů a správcem existuje jasná nerovnováha, zejména pokud je správce orgánem veřejné moci, a je tedy nepravděpodobné, že za všech okolností této konkrétní situace byl souhlas udělen svobodně. Lze předpokládat, že souhlas není svobodný, není-li možné vyjádřit samostatný souhlas s jednotlivými operacemi zpracování osobních údajů, i když je to v daném případě vhodné, nebo je-li plnění smlouvy, včetně poskytnutí služby, učiněno závislým na souhlasu, i když to není pro toto plnění nezbytné.
[…]
(46)
Zpracování osobních údajů by mělo být rovněž považováno za zákonné, pokud je nezbytné pro ochranu životně důležitého zájmu subjektu údajů nebo jiné fyzické osoby. Zpracování osobních údajů na základě životně důležitého zájmu jiné fyzické osoby by mělo v zásadě proběhnout pouze tehdy, pokud zjevně nemůže být založeno na jiném právním základě. Některé druhy zpracování mohou sloužit jak důležitým důvodům veřejného zájmu, tak životně důležitým zájmům subjektu údajů, například je-li zpracování nezbytné pro humanitární účely, včetně monitorování epidemií a jejich šíření nebo v naléhavých humanitárních situacích, zejména v případech přírodních a člověkem způsobených katastrof.
(47)
Oprávněné zájmy správce, včetně správce, jemuž mohou být osobní údaje poskytnuty, nebo třetí strany se mohou stát právním základem zpracování za předpokladu, že nepřevažují zájmy nebo základní práva a svobody subjektu údajů, a to při zohlednění přiměřeného očekávání subjektu údajů na základě jeho vztahu se správcem. […] Existenci oprávněného zájmu je v každém případě třeba pečlivě posoudit, včetně toho, zda subjekt údajů může v okamžiku a v kontextu shromažďování osobních údajů důvodně očekávat, že ke zpracování pro tento účel může dojít. Zájmy a základní práva subjektu údajů by mohly převážit nad zájmy správce údajů zejména tehdy, jestliže ke zpracování osobních údajů dochází za okolností, kdy subjekt údajů jejich další zpracování důvodně neočekává. […] Zpracování osobních údajů pro účely přímého marketingu lze považovat za zpracování prováděné z důvodu oprávněného zájmu.
[…]
(49)
Zpracování osobních údajů v rozsahu nezbytně nutném a přiměřeném pro zajištění bezpečnosti sítě a informací, to jest schopnosti sítě nebo informačního systému odolávat na dané úrovni spolehlivosti, náhodným událostem nebo protiprávnímu či zlovolnému jednání ohrožujícímu dostupnost, pravost, správnost a důvěrnost uložených či předávaných osobních údajů a bezpečnost souvisejících služeb poskytovaných či přístupných prostřednictvím těchto sítí a systémů […] představuje oprávněný zájem dotčeného správce údajů.
[…]
(51)
Osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práv[a] a svobody. Mezi tyto osobní údaje by měly patřit osobní údaje vypovídající o rasovém či etnickém původu, ovšem s tím, že použití slov ‚rasový původ‘ v tomto nařízení neznamená, že [Evropská u]nie akceptuje teorie, které se pokoušejí určit existenci různých lidských ras. Zpracování fotografií by nemělo být systematicky považováno za zpracování zvláštních kategorií osobních údajů, neboť na fotografie se definice biometrických údajů vztahuje pouze v případech, kdy jsou zpracovávány zvláštními technickými prostředky umožňujícími jedinečnou identifikaci nebo autentizaci fyzické osoby. Tyto osobní údaje by neměly být zpracovávány, pokud není zpracování povoleno ve zvláštních případech stanovených tímto nařízením, a to se zohledněním skutečnosti, že v právu členských států mohou být stanovena zvláštní ustanovení o ochraně údajů s cílem přizpůsobit uplatňování pravidel tohoto nařízení za účelem dodržení zákonné povinnosti nebo splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Společně se zvláštními požadavky na takové zpracování by se měly uplatňovat obecné zásady a další pravidla tohoto nařízení, zejména pokud jde o podmínky pro zákonné zpracování. Odchylky od obecného zákazu zpracování těchto zvláštních kategorií osobních údajů by měly být výslovně stanoveny mimo jiné v případě, kdy subjekt údajů poskytuje svůj výslovný souhlas nebo jde-li o zvláštní potřeby, zejména pokud je toto zpracování prováděno v průběhu oprávněných činností některých sdružení či nadací, jejichž cílem je umožnit výkon základních svobod.“
5
Článek 4 tohoto nařízení stanoví:
„Pro účely tohoto nařízení se rozumí:
1)
‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen ‚subjekt údajů‘); […]
2)
‚zpracováním‘ jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[…]
7)
‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;
[…]
11)
‚souhlasem‘ subjektu údajů jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů;
[…]
23)
‚přeshraničním zpracováním‘ buď:
a)
zpracování osobních údajů, které probíhá v souvislosti s činnostmi provozoven ve více než jednom členském státě správce či zpracovatele v Unii, je-li tento správce či zpracovatel usazen ve více než jednom členském státě; nebo
b)
zpracování osobních údajů, které probíhá v souvislosti s činnostmi jediné provozovny správce či zpracovatele v Unii, ale kterým jsou nebo pravděpodobně budou podstatně dotčeny subjekty údajů ve více než jednom členském státě;
[…]“
6
Článek 5 uvedeného nařízení, nadepsaný „Zásady zpracování osobních údajů“, v odstavcích 1 a 2 stanoví:
„1.   Osobní údaje musí být:
a)
ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
b)
shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; […]
c)
přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
[…]
2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“
7
Článek 6 téhož nařízení, nadepsaný „Zákonnost zpracování“, zní takto:
„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a)
subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
b)
zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy;
c)
zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
d)
zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
e)
zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
f)
zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.
První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.
[…]
3.   Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:
a)
právem Unie nebo
b)
právem členského státu, které se na správce vztahuje.
[…]
[…] Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.“
8
Článek 7 GDPR, nadepsaný „Podmínky vyjádření souhlasu“, stanoví:
„1.   Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.
[…]
4.   Při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.“
9
Článek 9 tohoto nařízení, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví:
„1.   Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.
2.   Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:
a)
subjekt údajů udělil výslovný souhlas se zpracováním těchto osobních údajů pro jeden nebo více stanovených účelů, s výjimkou případů, kdy právo Unie nebo členského státu stanoví, že zákaz uvedený v odstavci 1 nemůže být subjektem údajů zrušen;
[…]
e)
zpracování se týká osobních údajů zjevně zveřejněných subjektem údajů;
f)
zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků, nebo pokud soudy jednají v rámci svých soudních pravomocí;
[…]“
10
Článek 13 uvedeného nařízení, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, v odstavci 1 stanoví:
„Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:
[…]
c)
účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;
d)
oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);
[…]“
11
V kapitole VI GDPR, nadepsané „Nezávislé dozorové úřady“, se nacházejí články 51 až 59 tohoto nařízení.
12
Článek 51 uvedeného nařízení, nadepsaný „Dozorový úřad“, v odstavcích 1 a 2 stanoví:
„1.   Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie […]
2.   Každý dozorový úřad přispívá k jednotnému uplatňování tohoto nařízení v celé Unii. Dozorové úřady za tímto účelem spolupracují mezi sebou a s [Evropskou k]omisí v souladu s kapitolou VII.“
13
Článek 55 téhož nařízení, nadepsaný „Příslušnost“, zní:
„1.   Každý dozorový úřad je na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.
2.   Pokud zpracování provádějí orgány veřejné moci nebo soukromé subjekty jednající na základě čl. 6 odst. 1 písm. c) nebo e), je příslušným dozorový úřad dotčeného členského státu. V takových případech se nepoužije článek 56.“
14
Článek 56 GDPR, nadepsaný „Příslušnost vedoucího dozorového úřadu“, v odstavci 1 stanoví:
„Aniž je dotčen článek 55, je dozorový úřad pro hlavní nebo jedinou provozovnu správce či zpracovatele příslušný k tomu, aby jednal jako vedoucí dozorový úřad v případě přeshraničního zpracování prováděného tímto správcem či zpracovatelem v souladu s postupem stanoveným v článku 60.“
15
Článek 57 tohoto nařízení, nadepsaný „Úkoly“, v odstavci 1 stanoví:
„Aniž jsou dotčeny další úkoly stanovené tímto nařízením, každý dozorový úřad na svém území:
a)
monitoruje a vymáhá uplatňování tohoto nařízení;
[…]
g)
s cílem zajistit jednotné uplatňování a prosazování tohoto nařízení spolupracuje s dalšími dozorovými úřady, mimo jiné formou sdílení informací, a s těmito úřady si vzájemně poskytuje pomoc;
[…]“
16
Článek 58 uvedeného nařízení obsahuje v odstavci 1 výčet vyšetřovacích pravomocí, které má každý dozorový úřad, a v odstavci 5 upřesňuje, že „[k]aždý členský stát v právních předpisech stanoví, že jeho dozorový úřad má pravomoc upozornit na porušení tohoto nařízení justiční orgány, a pokud je to vhodné, zahájit soudní řízení či se do něj jinak zapojit s cílem vymoci dodržení tohoto nařízení“.
17
V kapitole VII GDPR, nadepsané „Spolupráce a jednotnost“, oddíle 1, nadepsaném „Spolupráce“, se nacházejí články 60 až 62 tohoto nařízení. Článek 60, nadepsaný „Spolupráce mezi vedoucím dozorovým úřadem a dalšími dotčenými dozorovými úřady“, v odstavci 1 stanoví:
„Vedoucí dozorový úřad spolupracuje s ostatními dotčenými dozorovými úřady v souladu s tímto článkem ve snaze dosáhnout konsensu. Vedoucí dozorový úřad a dotčené dozorové úřady si vzájemně vyměňují veškeré relevantní informace.“
18
Článek 61 GDPR, nadepsaný „Vzájemná pomoc“, v odstavci 1 stanoví:
„Dozorové úřady si vzájemně poskytují relevantní informace a pomoc v zájmu soudržného provádění a uplatňování tohoto nařízení a zavedou opatření pro účinnou vzájemnou spolupráci. Vzájemná spolupráce zahrnuje zejména žádosti o informace a opatření v oblasti dozoru, například žádosti o předchozí povolení a konzultace, inspekce a šetření.“
19
Článek 62 tohoto nařízení, nadepsaný „Společné postupy dozorových úřadů“, v odstavcích 1 a 2 stanoví:
„1.   Dozorové úřady podle potřeby provádějí společné postupy, včetně společných šetření a společných donucovacích opatření, do nichž jsou zapojeni členové nebo pracovníci dozorových úřadů z jiných členských států.
2.   Pokud má správce nebo zpracovatel provozovny v několika členských státech, nebo pokud je pravděpodobné, že operacemi zpracování bude podstatně dotčen významný počet subjektů údajů ve více než jednom členském státě, má dozorový úřad každého z těchto členských států právo účastnit se společných postupů. […]“
20
V oddíle 2, nadepsaném „Jednotnost“, kapitoly VII GDPR se nacházejí články 63 až 67 tohoto nařízení. Článek 63, nadepsaný „Mechanismus jednotnosti“, zní následovně:
„S cílem přispět k jednotnému uplatňování tohoto nařízení v celé Unii spolupracují dozorové úřady mezi sebou navzájem a ve vhodných případech s Komisí prostřednictvím mechanismu jednotnosti stanoveného v tomto oddíle.“
21
Článek 64 odst. 2 tohoto nařízení stanoví:
„Kterýkoli dozorový úřad, předseda [Evropského sboru pro ochranu osobních údajů] nebo Komise mohou požádat, aby [Evropský sbor pro ochranu osobních údajů] posoudil jakoukoli záležitost s obecnou působností nebo s účinky ve více než jednom členském státě za účelem získání stanoviska, zejména v případě, kdy příslušný dozorový úřad nesplní povinnosti související se vzájemnou pomocí podle článku 61 nebo se společnými postupy podle článku 62.“
22
Článek 65 uvedeného nařízení, nadepsaný „Řešení sporů sborem“, v odstavci 1 stanoví:
„S cílem zajistit, aby toto nařízení bylo v jednotlivých případech správně a důsledně uplatňováno, přijme [Evropský sbor pro ochranu osobních údajů] závazné rozhodnutí v těchto případech:
a)
pokud v případě uvedeném v čl. 60 odst. 4 vznesl dotčený dozorový úřad relevantní a odůvodněnou námitku vůči návrhu rozhodnutí vedoucího dozorového úřadu nebo pokud vedoucí dozorový úřad tuto námitku nezohlednil nebo ji zamítl jako irelevantní či nedůvodnou. Závazné rozhodnutí se týká všech záležitostí, které jsou předmětem relevantní a odůvodněné námitky, zejména dojde-li k porušení tohoto nařízení;
b)
pokud existují protikladné názory ohledně toho, který dotčený dozorový úřad je příslušný pro hlavní provozovnu;
[…]“
Německé právo
23
Ustanovení § 19 odst. 1 Gesetz gegen Wettbewerbsbeschränkungen (zákon proti omezování hospodářské soutěže), ve znění zveřejněném dne 26. června 2013 (BGBl. 2013 I, s. 1750, 3245), naposledy novelizovaného článkem 2 zákona ze dne 16. července 2021 (BGBl. 2021 I, s. 2959) (dále jen „GWB“), stanoví:
„Zneužití dominantního postavení na trhu jedním nebo více podniky je zakázáno.“
24
Ustanovení § 32 odst. 1 GWB zní takto:
„Orgán pro hospodářskou soutěž může podnikům nebo sdružením podniků uložit povinnost ukončit porušování ustanovení této části [tohoto zákona] nebo článků 101 a 102 Smlouvy o fungování Evropské unie.“
25
Ustanovení § 50f GWB v odstavci 1 stanoví:
„Orgány pro hospodářskou soutěž, regulační orgány, spolkový zmocněnec pro ochranu osobních údajů a svobodu informací, zmocněnci spolkových zemí pro ochranu osobních údajů, jakož i příslušné orgány ve smyslu § 2 EU-Verbraucherschutzdurchführungsgesetz [zákon, kterým se provádí právní úprava Evropské unie o ochraně spotřebitelů] si mohou mezi sebou bez ohledu na zvolený postup vyměňovat informace, včetně osobních údajů a obchodního tajemství, v rozsahu, v němž je to nezbytné pro plnění jejich příslušných úkolů, jakož i těchto informací využívat při své činnosti. […]“
Spor v původním řízení a předběžné otázky
26
Společnost Meta Platforms Ireland provozuje v Unii sociální síť Facebook a propaguje, mimo jiné na adrese www.facebook.com, služby, které jsou pro soukromé uživatele bezplatné. Další podniky skupiny Meta nabízejí v Unii další on-line služby, například Instagram, WhatsApp, Oculus a – do 13. března 2020 – Masquerade.
27
Obchodní model sociální sítě Facebook je založen na financování prostřednictvím on-line reklamy, která je přizpůsobena na míru jednotlivým uživatelům sociální sítě zejména v závislosti na jejich spotřebitelských návycích, jejich zájmech, kupní síle a jejich osobní situaci. Technicky je tato reklama umožněna automatizovaným sestavováním detailních profilů uživatelů sítě a on-line služeb nabízených na úrovni skupiny Meta. Za tímto účelem jsou vedle údajů, které tito uživatelé zadávají přímo při registraci k příslušným on-line službám, shromažďovány i další údaje týkající se uvedených uživatelů a jejich zařízení, a to v rámci této sociální sítě a on-line služeb poskytovaných skupinou Meta i mimo tuto síť a tyto služby, a propojovány s jejich různými příslušnými uživatelskými účty. Tyto údaje jako celek umožňují činit detailní závěry o preferencích a zájmech těchto uživatelů.
28
Při zpracovávání uvedených údajů se společnost Meta Platforms Ireland opírá o uživatelskou smlouvu, kterou uživatelé sociální sítě Facebook uzavírají kliknutím na tlačítko „zaregistrovat se“ a kterou tito uživatelé vyjadřují souhlas s podmínkami používání služby vypracovanými touto společností. Souhlas s těmito podmínkami je nezbytný pro používání sociální sítě Facebook. Pokud jde o zpracování osobních údajů, odkazují všeobecné podmínky na zásady ochrany osobních údajů a zásady používání souborů cookies stanovené uvedenou společností. Na základě těchto zásad shromažďuje společnost Meta Platforms Ireland údaje o uživatelích a zařízeních, o aktivitách uživatelů na sociální síti i mimo ni a přiřazuje je k účtům dotyčných uživatelů na Facebooku. Pokud jde o posledně uvedené údaje týkající se aktivit mimo sociální síť (dále jen rovněž „údaje off Facebook“), jedná se jednak o údaje týkající se zobrazení internetových stránek a aplikací třetích osob, které jsou propojeny s Facebookem prostřednictvím programových rozhraní – „Facebook Business Tools“ – a jednak o údaje týkající se používání jiných on-line služeb patřících do skupiny Meta, například Instagram, WhatsApp, Oculus a – do 13. března 2020 – Masquerade.
29
Spolkový úřad pro hospodářskou soutěž zahájil proti společnostem Meta Platforms, Meta Platforms Ireland a Facebook Deutschland řízení, na jehož konci jim rozhodnutím ze dne 6. února 2019, založeným na § 19 odst. 1 a § 32 GWB, v podstatě zakázal, aby ve všeobecných podmínkách podmiňovaly používání sociální sítě Facebook soukromými uživateli s bydlištěm v Německu zpracováním jejich údajů off Facebook a bez jejich souhlasu tyto údaje zpracovávaly na základě tehdy platných všeobecných podmínek. Kromě toho jim uložil povinnost upravit tyto všeobecné podmínky tak, aby z nich jasně vyplývalo, že uvedené údaje nebudou shromažďovány, propojovány s uživatelskými účty na Facebooku ani používány bez souhlasu dotyčného uživatele, a objasnil, že takový souhlas není platný, představuje-li podmínku pro používání sociální sítě.
30
Spolkový úřad pro hospodářskou soutěž odůvodnil své rozhodnutí tím, že zpracování údajů o dotyčných uživatelích, jak je upraveno ve všeobecných podmínkách a prováděno společností Meta Platforms Ireland, představuje zneužití dominantního postavení této společnosti na trhu sociálních sítí pro soukromé uživatele v Německu ve smyslu § 19 odst. 1 GWB. Konkrétně jsou tyto všeobecné podmínky jakožto vyjádření tohoto dominantního postavení podle Spolkového úřadu pro hospodářskou soutěž zneužívající, jelikož zpracování údajů off Facebook v nich upravené není v souladu s hodnotami, na nichž je založeno GDPR, a zejména nemůže být odůvodněno s ohledem na čl. 6 odst. 1 a čl. 9 odst. 2 tohoto nařízení.
31
Dne 11. února 2019 podaly společnosti Meta Platforms, Meta Platforms Ireland a Facebook Deutschland proti rozhodnutí Spolkového úřadu pro hospodářskou soutěž žalobu k Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu, Německo).
32
Dne 31. července 2019 zavedla společnost Meta Platforms Ireland nové všeobecné podmínky, které výslovně uváděly, že uživatel namísto placení za využívání produktů Facebooku prohlásí, že souhlasí s reklamními sděleními.
33
Kromě toho od 28. ledna 2020 nabízí společnost Meta Platforms celosvětově tzv. Off-Facebook-Activity, která uživatelům sociální sítě Facebook umožňuje získávat přehled informací, které se jich týkají a jež společnosti skupiny Meta získávají v souvislosti se svými aktivitami na jiných internetových stránkách a aplikacích, a na přání oddělit tyto údaje od jejich účtu Facebook.com, a to jak do minulosti, tak do budoucna.
34
Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu) má zaprvé pochybnosti o tom, zda vnitrostátní orgány pro hospodářskou soutěž smějí v rámci výkonu svých pravomocí kontrolovat soulad zpracování osobních údajů s požadavky stanovenými v GDPR; zadruhé má pochybnosti o tom, zda provozovatel sociální sítě smí zpracovávat citlivé osobní údaje subjektu údajů ve smyslu čl. 9 odst. 1 a 2 tohoto nařízení; zatřetí má pochybnosti o tom, zda je zpracování osobních údajů dotyčného uživatele ze strany takového provozovatele v souladu s čl. 6 odst. 1 uvedeného nařízení zákonné, a začtvrté má pochybnosti o tom, zda je souhlas udělený podniku v dominantním postavení na vnitrostátním trhu sociálních sítí pro účely takového zpracování platný s ohledem na čl. 6 odst. 1 první pododstavec písm. a) a čl. 9 odst. 2 písm. a) téhož nařízení.
35
V tomto kontextu měl Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu) za to, že řešení sporu v původním řízení závisí na tom, jak bude odpovězeno na tyto otázky, a proto se rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
a)
Je slučitelné s článkem 51 a následujícími GDPR, pokud vnitrostátní orgán členského státu pro hospodářskou soutěž, jako je Spolkový úřad pro hospodářskou soutěž, který není dozorovým úřadem ve smyslu článku 51 a následujících GDPR a v jehož členském státě má podnik usazený mimo Evropskou unii provozovnu, která hlavní provozovně tohoto podniku, která se nachází v jiném členském státě a nese výlučnou odpovědnost za zpracování osobních údajů na celém území Evropské unie, poskytuje podporu v oblasti reklamy, komunikace a styku s veřejností, v rámci kontroly zneužití dominantního postavení podle soutěžního práva konstatuje, že smluvní podmínky hlavní provozovny týkající se zpracování údajů a jejich uplatňování jsou v rozporu s GDPR, a vydá rozhodnutí, kterým se nařizuje ukončení tohoto porušování?
b)
V případě kladné odpovědi: Je to slučitelné s čl. 4 odst. 3 SEU, pokud vedoucí dozorový úřad v členském státě hlavní provozovny ve smyslu čl. 56 odst. 1 GDPR zároveň provádí šetření ohledně jejích smluvních podmínek týkajících se zpracování údajů?
V případě kladné odpovědi na první otázku:
2)
a)
Jedná se v situaci, kdy uživatel internetu buď pouze zobrazí internetové stránky či aplikace, které mají vztah ke kritériím uvedeným v čl. 9 odst. 1 GDPR, jako například aplikace pro nezávazné seznámení (Flirting Apps), seznamovací platformy pro homosexuálně orientované osoby, internetové stránky politických stran, internetové stránky týkající se zdraví, nebo tam rovněž zadá data, například při registraci nebo objednávání, a […]podnik, jako je společnost [Meta Platforms Ireland], prostřednictvím rozhraní, která jsou vložena do daných internetových stránek a aplikací, jako jsou ‚Facebook Business Tools‘, nebo prostřednictvím cookies uložených do počítače nebo mobilního koncového zařízení uživatele internetu nebo podobných technologií ukládání dat shromažďuje údaje o zobrazení internetových stránek a aplikací ze strany uživatele a o tom, jaké údaje tam uživatel zadal, propojuje je s údaji o účtu uživatele na stránkách Facebook.com a využívá je, v případě daného shromažďování nebo propojování nebo využívání o zpracování citlivých údajů ve smyslu uvedeného ustanovení?
b)
V případě kladné odpovědi: Představuje zobrazení těchto internetových stránek nebo zadání dat nebo kliknutí na tlačítka poskytovatele, jako je společnost [Meta Platforms Ireland], která jsou vložena do těchto internetových stránek nebo aplikací (‚sociální moduly‘ jako ‚To se mi líbí‘, ‚Sdílet‘ nebo ‚Facebook Login‘ či ‚Account Kit‘) zjevné zveřejnění údajů o zobrazení jako takovém nebo o zadání dat ze strany uživatele ve smyslu čl. 9 odst. 2 písm. e) GDPR?
3)
Může se podnik, jako je společnost [Meta Platforms Ireland], který provozuje sociální síť financovanou prostřednictvím reklamy a ve svých podmínkách používání služby nabízí personalizaci obsahů a reklamy, zabezpečení sítě, zlepšování produktů a konzistentní a plynulé používání veškerých produktů patřících koncernu, jehož je součástí, dovolávat právního důvodu zpracování spočívajícího v nezbytnosti pro splnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR nebo týkajícího se zpracování pro účely oprávněných zájmů podle čl. 6 odst. 1 písm. f) GDPR, pokud pro tyto účely shromažďuje údaje získané v souvislosti s jinými službami patřícími koncernu, a z internetových stránek a aplikací třetích stran, a to prostřednictvím rozhraní, která jsou v nich vložena, jako jsou ‚Facebook Business Tools‘, nebo prostřednictvím cookies uložených do počítače nebo mobilního koncového zařízení uživatele internetu či podobné technologie ukládání dat, propojuje je s účtem uživatele na stránkách Facebook.com a využívá je?
4)
Mohou v takovém případě i
–
nezletilost uživatelů v případě personalizace obsahů a reklam, zlepšování produktů, zabezpečení sítě a jiné než marketingové komunikace zacílené na uživatele,
–
poskytování měření, analýz a dalších služeb pro firmy inzerentům, vývojářům a dalším partnerům, aby mohli vyhodnocovat a zlepšovat svou efektivitu,
–
poskytování marketingové komunikace zacílené na uživatele, aby podnik mohl zlepšovat své produkty a provádět přímý marketing,
–
výzkum a inovace pro sociální účely za účelem zlepšování stavu techniky, resp. vědeckého pochopení důležitých sociálních témat a za účelem pozitivního ovlivňování společnosti a světa,
–
informování bezpečnostních složek a odpovědi na právní dotazy za účelem prevence, odhalování a stíhání trestných činů, neoprávněného používání produktů, porušování podmínek používání služby a zásad a dalšího škodlivého jednání
být oprávněnými zájmy ve smyslu čl. 6 odst. 1 písm. f) GDPR, pokud podnik pro tyto účely shromažďuje údaje získané v souvislosti s jinými službami patřícími koncernu, jehož je součástí, a z internetových stránek a aplikací třetích stran prostřednictvím rozhraní, která jsou do nich vložena, jako jsou ‚Facebook Business Tools‘, nebo prostřednictvím cookies uložených do počítače nebo mobilního koncového zařízení uživatele internetu nebo podobných technologií ukládání dat, propojuje je s účtem uživatele na stránkách Facebook.com a využívá je?
5)
Může být v takovém případě shromažďování údajů získaných v souvislosti s jinými službami patřícími koncernu a z internetových stránek a aplikací třetích stran prostřednictvím rozhraní, která jsou do nich vložena, jako jsou například ‚Facebook Business Tools‘, nebo prostřednictvím cookies uložených do počítače nebo mobilního koncového zařízení uživatele internetu nebo podobných technologií ukládání dat, jejich propojování s účtem uživatele na stránkách Facebook.com a využívání nebo využívání údajů, které již byly zákonně shromážděny a propojeny jiným způsobem, v konkrétních případech ospravedlněno rovněž na základě čl. 6 odst. 1 písm. c), d) a e) GDPR, například za účelem odpovědi na právoplatnou žádost o poskytnutí určitých údajů [písmeno c)], boje proti škodlivému chování a podpory bezpečnosti [písmeno d)], výzkumu prováděného v zájmu společnosti a za účelem podpory ochrany, integrity a bezpečnosti [písmeno e)]?
6)
Lze podniku v dominantním postavení, jako je společnost [Meta Platforms Ireland], udělit souhlas ve smyslu čl. 6 odst. 1 písm. a) a čl. 9 odst. 2 písm. a) GDPR, který je platný, a zejména svobodný ve smyslu čl. 4 bodu 11 GDPR?
V případě záporné odpovědi na první otázku:
7)
a)
Může vnitrostátní orgán členského státu pro hospodářskou soutěž, jako je Spolkový úřad pro hospodářskou soutěž, který není dozorovým úřadem ve smyslu článku 51 a následujících GDPR a který prověřuje porušení zákazu zneužití stanoveného soutěžním právem ze strany podniku v dominantním postavení, které nespočívá v tom, že jeho podmínky zpracování údajů a jejich uplatňování porušují GDPR, například v rámci zvážení zájmů určit, zda jsou podmínky zpracování údajů tohoto podniku a jejich uplatňování v souladu s GDPR?
b)
V případě kladné odpovědi: Je tomu tak s ohledem na čl. 4 odst. 3 SEU i v případě, že vedoucí dozorový úřad, který je příslušný podle čl. 56 odst. 1 GDPR, zároveň provádí šetření ohledně podmínek tohoto podniku pro zpracování údajů?
V případě kladné odpovědi na sedmou otázku je třeba zodpovědět třetí až pátou otázku ve vztahu k údajům získaným v souvislosti s používáním služby Instagram, která patří podniku.“
K předběžným otázkám
K první a sedmé otázce
36
Podstatou první a sedmé otázky předkládajícího soudu, kterými je třeba se zabývat společně, je, zda musí být článek 51 a následující GDPR vykládány v tom smyslu, že orgán členského státu pro hospodářskou soutěž může v rámci posuzování, zda došlo ke zneužití dominantního postavení ze strany podniku ve smyslu článku 102 SFEU, konstatovat, že všeobecné podmínky používání služby vypracované tímto podnikem a týkající se zpracování osobních údajů a jejich provádění nejsou v souladu s GDPR, a v případě kladné odpovědi, zda musí být čl. 4 odst. 3 SEU vykládán v tom smyslu, že takové konstatování incidenční povahy ze strany orgánu pro hospodářskou soutěž je možné i tehdy, když jsou tyto podmínky současně posuzovány v řízení vedeném vedoucím dozorovým úřadem příslušným podle čl. 56 odst. 1 GDPR.
37
Za účelem odpovědi na tuto otázku je třeba bez dalšího připomenout, že čl. 55 odst. 1 GDPR stanoví, že každý dozorový úřad je na území svého členského státu v zásadě příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením (rozsudek ze dne 15. června 2021, Facebook Ireland a další, C‑645/19, EU:C:2021:483, bod 47 a citovaná judikatura).
38
Mezi úkoly, které jsou těmto dozorovým úřadům svěřeny, patří úkoly monitorovat a vymáhat uplatňování tohoto nařízení, stanovené v jeho čl. 51 odst. 1 a čl. 57 odst. 1 písm. a), s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb takových údajů v rámci Unie. Kromě toho v souladu s čl. 51 odst. 2 a čl. 57 odst. 1 písm. g) uvedeného nařízení uvedené dozorové úřady vzájemně spolupracují, mimo jiné formou sdílení informací, a v tomto rámci si poskytují vzájemnou pomoc s cílem zajistit jednotné uplatňování a prosazování tohoto nařízení.
39
K plnění těchto úkolů přiznává článek 58 GDPR uvedeným dozorovým úřadům v odstavci 1 vyšetřovací pravomoci, v odstavci 2 pravomoc přijímat nápravná opatření a v odstavci 5 pravomoc upozornit na porušení tohoto nařízení justiční orgány, a pokud je to vhodné, zahájit soudní řízení s cílem vymoci dodržení ustanovení tohoto nařízení.
40
Aniž je dotčeno pravidlo příslušnosti uvedené v čl. 55 odst. 1 GDPR, stanoví čl. 56 odst. 1 tohoto nařízení pro přeshraniční zpracování ve smyslu čl. 4 bodu 23 tohoto nařízení mechanismus „jediného kontaktního místa“ založený na rozdělení příslušnosti mezi „vedoucí dozorový úřad“ a další dotyčné dozorové úřady, jakož i na spolupráci mezi všemi těmito úřady v souladu s postupem spolupráce upraveným v článku 60 uvedeného nařízení.
41
Článek 61 odst. 1 GDPR dále ukládá dozorovým úřadům mimo jiné povinnost si vzájemně poskytovat relevantní informace a pomoc v zájmu soudržného provádění a uplatňování tohoto nařízení v celé Unii. Článek 63 uvedeného nařízení stanoví, že za tímto účelem je v jeho článcích 64 a 65 stanoven mechanismus jednotnosti (rozsudek ze dne 15. června 2021, Facebook Ireland a další, C‑645/19, EU:C:2021:483, bod 52 a citovaná judikatura).
42
Je však třeba uvést, že pravidla spolupráce stanovená v GDPR nejsou určena vnitrostátním orgánům pro hospodářskou soutěž, ale upravují spolupráci mezi dotyčnými vnitrostátními dozorovými úřady a vedoucím dozorovým úřadem, jakož i případně spolupráci těchto úřadů s Evropským sborem pro ochranu osobních údajů a Komisí.
43
GDPR ani žádný jiný nástroj unijního práva totiž nestanoví zvláštní pravidla pro spolupráci mezi vnitrostátním orgánem pro hospodářskou soutěž a dotyčnými vnitrostátními dozorovými úřady nebo vedoucím dozorovým úřadem. Kromě toho žádné ustanovení tohoto nařízení nezakazuje vnitrostátním orgánům pro hospodářskou soutěž, aby v rámci výkonu svých funkcí konstatovaly nesoulad zpracování údajů prováděného podnikem v dominantním postavení, které může představovat zneužití tohoto postavení, s uvedeným nařízením.
44
V tomto ohledu je třeba zaprvé upřesnit, že dozorové úřady na jedné straně a vnitrostátní orgány pro hospodářskou soutěž na straně druhé vykonávají odlišné funkce a sledují cíle a plní úkoly, které jsou jim vlastní.
45
Jak totiž bylo na jedné straně uvedeno v bodě 38 tohoto rozsudku, podle čl. 51 odst. 1 a 2, jakož i čl. 57 odst. 1 písm. a) a g) GDPR je hlavním úkolem dozorového úřadu monitorovat a vymáhat uplatňování tohoto nařízení a zároveň přispívat k jeho jednotnému uplatňování v Unii, a to za účelem ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnění volného pohybu těchto údajů v rámci Unie. Za tímto účelem, jak bylo připomenuto v bodě 39 tohoto rozsudku, má dozorový úřad různé pravomoci, které jsou mu svěřeny na základě článku 58 GDPR.
46
Na druhé straně v souladu s článkem 5 nařízení č. 1/2003 mají vnitrostátní orgány pro hospodářskou soutěž pravomoc přijímat mimo jiné rozhodnutí konstatující zneužití dominantního postavení ze strany podniku ve smyslu článku 102 SFEU, jejichž cílem je zavedení systému zajišťujícího, aby na vnitřním trhu nebyla narušována hospodářská soutěž, rovněž s ohledem na důsledky takového zneužití pro spotřebitele na tomto trhu.
47
Jak v podstatě uvedl generální advokát v bodě 23 svého stanoviska, musí orgán pro hospodářskou soutěž při přijímání takového rozhodnutí na základě všech specifických okolností věci posoudit, zda v důsledku jednání podniku v dominantním postavení je – za použití jiných prostředků než těch, které jsou používány při běžné soutěži výrobků nebo služeb – bráněno zachování stupně hospodářské soutěže, který na trhu existuje, nebo rozvoji této hospodářské soutěže (v tomto smyslu viz rozsudek ze dne 25. března 2021, Deutsche Telekom v. Komise, C‑152/19 P, EU:C:2021:238, body 41 a 42). V tomto ohledu soulad nebo nesoulad takového jednání s ustanoveními GDPR může případně mezi relevantními okolnostmi projednávaného případu představovat významnou indicii pro určení, zda toto jednání představuje použití prostředků běžné hospodářské soutěže, jakož i pro hodnocení důsledků určité praktiky pro trh nebo pro spotřebitele.
48
Z toho vyplývá, že v rámci posuzování, zda došlo ke zneužití dominantního postavení ze strany podniku na určitém trhu, se může ukázat nezbytným, aby orgán pro hospodářskou soutěž dotyčného členského státu posoudil rovněž soulad jednání tohoto podniku s jinými normami než normami práva hospodářské soutěže, například s pravidly v oblasti ochrany osobních údajů stanovenými v GDPR.
49
S ohledem na odlišné cíle sledované pravidly hospodářské soutěže, zejména článkem 102 SFEU, na jedné straně a pravidly v oblasti ochrany osobních údajů na základě GDPR na straně druhé je přitom třeba konstatovat, že pokud vnitrostátní orgán pro hospodářskou soutěž incidenčně poukáže na porušení tohoto nařízení v rámci konstatování zneužití dominantního postavení, nenahrazuje dozorové úřady. Takový vnitrostátní orgán pro hospodářskou soutěž zejména nemonitoruje ani nevymáhá uplatňování tohoto nařízení s cílem uvedeným v čl. 51 odst. 1 GDPR, kterým je ochrana základních práv a svobod fyzických osob v souvislosti se zpracováním údajů a usnadnění volného pohybu osobních údajů v rámci Unie. Kromě toho takový orgán tím, že pouze poukazuje na nesoulad zpracování údajů s GDPR s jediným účelem konstatovat zneužití dominantního postavení, a že ukládá opatření směřující k ukončení tohoto zneužití na základě práva hospodářské soutěže, neplní žádný z úkolů uvedených v článku 57 tohoto nařízení ani nevyužívá pravomocí vyhrazených dozorovému úřadu na základě článku 58 uvedeného nařízení.
50
Kromě toho je třeba konstatovat, že přístup k osobním údajům i jejich využívání mají v rámci digitální ekonomiky zásadní význam. Tento význam ilustruje v rámci sporu v původním řízení obchodní model, z něhož vychází sociální síť Facebook a který počítá – jak bylo připomenuto v bodě 27 tohoto rozsudku – s financováním prostřednictvím komercializace individualizovaných reklamních sdělení v závislosti na uživatelských profilech vytvořených na základě osobních údajů shromážděných společností Meta Platforms Ireland.
51
Jak zdůraznila zejména Komise, přístup k osobním údajům a možnost zpracování těchto údajů se staly významným parametrem hospodářské soutěže mezi podniky v digitální ekonomice. Vyloučením pravidel v oblasti ochrany osobních údajů z právního rámce, který musí orgány pro hospodářskou soutěž zohlednit při posuzování, zda došlo ke zneužití dominantního postavení, by tudíž byla ignorována realita tohoto hospodářského vývoje a mohla by být ohrožena účinnost práva hospodářské soutěže v rámci Unie.
52
Zadruhé je však třeba uvést, že v případě, kdy vnitrostátní orgán pro hospodářskou soutěž považuje za nezbytné vyjádřit se v rámci rozhodnutí týkajícího se zneužití dominantního postavení k tomu, zda je zpracování osobních údajů prováděné dotčeným podnikem v souladu s GDPR, či nikoli, musí tento orgán a dotyčný dozorový úřad nebo případně příslušný vedoucí dozorový úřad ve smyslu tohoto nařízení vzájemně spolupracovat, aby bylo zajištěno jednotné uplatňování tohoto nařízení.
53
I když – jak bylo uvedeno v bodech 42 a 43 tohoto rozsudku – GDPR ani žádný jiný nástroj unijního práva nestanoví v tomto ohledu zvláštní pravidla, nic to totiž nemění na tom, jak uvedl generální advokát v bodě 28 svého stanoviska, že při uplatňování GDPR jsou všechny jednotlivé zúčastněné vnitrostátní orgány vázány zásadou loajální spolupráce zakotvenou v čl. 4 odst. 3 SEU. Podle této zásady se podle ustálené judikatury v oblastech spadajících do unijního práva musí členské státy, včetně jejich správních orgánů, vzájemně respektovat a pomáhat si při plnění úkolů vyplývajících ze Smluv, přijímat veškerá vhodná opatření k plnění závazků, které vyplývají zejména z aktů orgánů Unie, a zdržet se všech opatření, jež by mohla ohrozit dosažení cílů Unie (v tomto smyslu viz rozsudky ze dne 7. listopadu 2013, UPC Nederland, C‑518/11, EU:C:2013:709, bod 59, a ze dne 1. srpna 2022, Sea Watch, C‑14/21 a C‑15/21, EU:C:2022:604, bod 156).
54
S ohledem na tuto zásadu tedy platí, že pokud vnitrostátní orgány pro hospodářskou soutěž považují při výkonu svých pravomocí za nutné posoudit, zda je jednání určitého podniku v souladu s ustanoveními GDPR, musí své kroky sladit s dotyčnými vnitrostátními dozorovými úřady nebo s vedoucím dozorovým úřadem a loajálně s nimi spolupracovat, přičemž všechny tyto orgány jsou v tomto kontextu povinny respektovat své příslušné pravomoci tak, aby byly dodrženy povinnosti vyplývající z GDPR, jakož i cíle tohoto nařízení a byl zachován jejich užitečný účinek.
55
Posuzování jednání podniku orgánem pro hospodářskou soutěž ve světle norem GDPR totiž může přinášet riziko rozdílů mezi tímto orgánem a dozorovými úřady, pokud jde o výklad tohoto nařízení.
56
Z toho plyne, že pokud má vnitrostátní orgán pro hospodářskou soutěž v rámci posuzování, zda určitý podnik zneužil dominantní postavení ve smyslu článku 102 SFEU, za to, že je nezbytné přezkoumat soulad jednání tohoto podniku s ustanoveními GDPR, musí uvedený orgán ověřit, zda toto jednání nebo podobné jednání již bylo předmětem rozhodnutí ze strany příslušného vnitrostátního dozorového úřadu nebo vedoucího dozorového úřadu nebo Soudního dvora. Pokud tomu tak je, nemůže se od nich vnitrostátní orgán pro hospodářskou soutěž odchýlit, avšak může z nich vyvodit vlastní závěry z hlediska použití práva hospodářské soutěže.
57
Má-li vnitrostátní orgán pro hospodářskou soutěž úřad pochybnosti o rozsahu posouzení provedeného příslušným vnitrostátním dozorovým úřadem nebo vedoucím dozorovým úřadem, je-li dotčené jednání nebo podobné jednání současně předmětem přezkumu ze strany těchto orgánů nebo má-li v případě neprovedení šetření uvedených orgánů za to, že jednání podniku není v souladu s ustanoveními GDPR, musí vnitrostátní orgán pro hospodářskou soutěž konzultovat tyto orgány a požádat je o spolupráci, aby rozptýlil své pochybnosti nebo aby určil, zda je třeba před provedením vlastního posouzení vyčkat přijetí rozhodnutí ze strany dotyčného dozorového úřadu.
58
Pokud je dozorový úřad požádán vnitrostátním orgánem pro hospodářskou soutěž, musí na tuto žádost o informace nebo spolupráci odpovědět v přiměřené lhůtě tak, že tomuto orgánu sdělí informace, které má k dispozici a které mohou umožnit rozptýlit pochybnosti tohoto orgánu o rozsahu posouzení provedeného dozorovým úřadem, nebo případně tak, že informuje vnitrostátní orgán pro hospodářskou soutěž, zda má v úmyslu zahájit postup spolupráce s ostatními dotyčnými dozorovými úřady nebo s vedoucím dozorovým úřadem v souladu s článkem 60 a následujícími GDPR za účelem přijetí rozhodnutí směřujícího ke zjištění, zda předmětné jednání je, či není v souladu s tímto nařízením.
59
Neodpoví-li dožádaný dozorový úřad v přiměřené lhůtě, může vnitrostátní orgán pro hospodářskou soutěž pokračovat ve svém vlastním šetření. Totéž platí, pokud příslušný vnitrostátní dozorový úřad a vedoucí dozorový úřad nevznesou námitky proti tomu, aby takové šetření pokračovalo bez čekání na jejich rozhodnutí.
60
V projednávané věci ze spisu, který má Soudní dvůr k dispozici, vyplývá, že v říjnu a listopadu 2018, tedy před přijetím rozhodnutí ze dne 6. února 2019, Spolkový úřad pro hospodářskou soutěž kontaktoval Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (spolkový pověřenec pro ochranu údajů a svobodu informací, Německo), Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (pověřenec pro ochranu údajů a svobodu informací v Hamburku, Německo), který je příslušný pro společnost Facebook Deutschland, a Data Protection Commission (DPC) (Úřad pro ochranu údajů, Irsko), aby tyto orgány informoval o tom, že začal konat. Kromě toho se jeví, že Spolkový úřad pro hospodářskou soutěž obdržel potvrzení, že uvedené orgány v té době neprováděly žádné šetření týkající se skutečností podobných těm, o které se jedná ve věci v původním řízení, a nevznesly proti jeho aktivitě námitky. A konečně Spolkový úřad pro hospodářskou soutěž v bodech 555 a 556 svého rozhodnutí ze dne 6. února 2019 na tuto spolupráci výslovně odkázal.
61
Za těchto podmínek a s výhradou ověření, která musí provést předkládající soud, se jeví, že Spolkový úřad pro hospodářskou soutěž splnil své povinnosti loajální spolupráce s dotyčnými vnitrostátními dozorovými úřady i s vedoucím dozorovým úřadem.
62
S ohledem na výše uvedené je třeba na první a sedmou otázku odpovědět tak, že článek 51 a následující GDPR, jakož i čl. 4 odst. 3 SEU musí být vykládány v tom smyslu, že s výhradou dodržení povinnosti loajální spolupráce s dozorovými úřady může orgán členského státu pro hospodářskou soutěž v rámci posuzování, zda došlo ke zneužití dominantního postavení ze strany podniku ve smyslu článku 102 SFEU, konstatovat, že všeobecné podmínky používání služby vypracované tímto podnikem a týkající se zpracování osobních údajů a jejich provádění nejsou v souladu s tímto nařízením, je-li toto zjištění nezbytné k prokázání existence takového zneužití.
63
S ohledem na tuto povinnost loajální spolupráce se vnitrostátní orgán pro hospodářskou soutěž nemůže odchýlit od rozhodnutí příslušného vnitrostátního dozorového úřadu nebo vedoucího dozorového úřadu týkajícího se těchto nebo podobných všeobecných podmínek. Má-li orgán pro hospodářskou soutěž pochybnosti o dosahu takového rozhodnutí, jsou-li uvedené nebo podobné podmínky současně předmětem přezkumu ze strany těchto orgánů nebo má-li orgán pro hospodářskou soutěž v případě neexistence šetření nebo rozhodnutí uvedených orgánů za to, že dotčené podmínky nejsou v souladu s GDPR, musí konzultovat tytéž dozorové úřady a požádat je o spolupráci, aby rozptýlil své pochybnosti nebo určil, zda je třeba vyčkat přijetí jejich rozhodnutí před zahájením vlastního posouzení. Nevznesou-li námitky nebo neodpoví-li v přiměřené lhůtě, může vnitrostátní orgán pro hospodářskou soutěž pokračovat ve vlastním šetření.
K druhé otázce
64
Podstatou druhé otázky písm. a) předkládajícího soudu je, zda čl. 9 odst. 1 GDPR musí být vykládán v tom smyslu, že v případě, kdy uživatel sociální sítě zobrazí internetové stránky nebo aplikace související s jednou nebo více kategoriemi uvedenými v tomto ustanovení a případně do nich zadá údaje, a to tím, že se registruje nebo uskuteční on-line objednávky, musí být zpracování osobních údajů provozovatelem této sociální sítě, spočívající v tom, že jsou prostřednictvím integrovaných rozhraní, souborů cookies nebo podobných technologií pro ukládání dat shromažďovány údaje pocházející ze zobrazení těchto stránek a aplikací, jakož i údaje zadané uživatelem, v propojování všech těchto údajů s účtem uživatele na sociální síti a ve využití těchto údajů tímto provozovatelem, považováno za „zpracování zvláštních kategorií osobních údajů“ ve smyslu uvedeného ustanovení, které je až na výjimky stanovené v tomto čl. 9 odst. 2 v zásadě zakázáno.
65
V případě kladné odpovědi se předkládající soud svou druhou otázkou písm. b) v podstatě táže, zda čl. 9 odst. 2 písm. e) GDPR musí být vykládán v tom smyslu, že pokud uživatel sociální sítě zobrazí internetové stránky nebo aplikace, které mají spojitost s kategoriemi uvedenými v čl. 9 odst. 1 GDPR, zadá údaje na těchto internetových stránkách nebo v těchto aplikacích nebo klikne na tlačítka na těchto stránkách nebo aplikacích, jako jsou tlačítka „to se mi líbí“ nebo „sdílet“ nebo tlačítka umožňující uživateli identifikovat se na těchto stránkách nebo těchto aplikacích pomocí přihlašovacích údajů propojených s jeho uživatelským účtem na sociální síti, jeho telefonním číslem nebo e-mailovou adresou, má se za to, že ve smyslu prvně uvedeného ustanovení zjevně zveřejnil údaje shromážděné při této příležitosti provozovatelem této sociální sítě prostřednictvím souborů cookies nebo podobných technologií pro ukládání dat.
K druhé otázce písm. a)
66
Bod 51 odůvodnění GDPR uvádí, že osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody. Tento bod odůvodnění upřesňuje, že takové osobní údaje by neměly být zpracovávány, pokud není zpracování povoleno ve zvláštních případech stanovených uvedeným nařízením.
67
V této souvislosti čl. 9 odst. 1 GDPR zakotvuje zásadu zákazu zpracování zvláštních kategorií osobních údajů, které zmiňuje. Jedná se mimo jiné o údaje o rasovém či etnickém původu, politických názorech a náboženském vyznání, jakož i údaje o zdravotním stavu, sexuálním životě nebo sexuální orientaci fyzické osoby.
68
Pro účely použití čl. 9 odst. 1 GDPR je třeba v případě zpracování osobních údajů prováděného provozovatelem sociální sítě ověřit, zda tyto údaje mohou odhalit informace spadající do jedné z kategorií uvedených v tomto ustanovení, ať již se tyto informace týkají uživatele této sítě, nebo jiné fyzické osoby. V případě kladné odpovědi je takové zpracování osobních údajů až na výjimky stanovené v čl. 9 odst. 2 GDPR zakázáno.
69
Jak v podstatě uvedl generální advokát v bodech 40 a 41 svého stanoviska, je tento principiální zákaz stanovený v čl. 9 odst. 1 GDPR nezávislý na tom, zda jsou informace odhalené dotčeným zpracováním správné, či nikoli, a zda správce jedná za účelem získání informací spadajících do některé ze zvláštních kategorií uvedených v tomto ustanovení.
70
S ohledem na závažná rizika pro základní práva a svobody subjektů údajů způsobená jakýmkoli zpracováním osobních údajů spadajících do kategorií uvedených v čl. 9 odst. 1 GDPR je totiž cílem tohoto článku zakázat toto zpracování bez ohledu na jeho deklarovaný účel.
71
V projednávané věci spočívá zpracování dotčené ve věci v původním řízení prováděné společností Meta Platforms Ireland především ve shromažďování osobních údajů uživatelů sociální sítě Facebook, když zobrazí internetové stránky nebo aplikace – včetně těch, které mohou odhalit informace spadající do jedné nebo více kategorií uvedených v čl. 9 odst. 1 GDPR – a případně do nich vkládají informace v rámci registrace nebo při uskutečňování on-line objednávek, dále v propojování těchto údajů s účtem těchto uživatelů na sociální síti a konečně v použití uvedených údajů.
72
V tomto ohledu bude na předkládajícím soudu, aby určil, zda takto shromážděné údaje samy o sobě nebo prostřednictvím propojení s účty dotčených uživatelů na Facebooku skutečně umožňují odhalit takové informace, ať již se tyto informace týkají uživatele této sítě, nebo jakékoli jiné fyzické osoby. S ohledem na otázky tohoto soudu je však třeba upřesnit, že s výhradou ověření, která musí tento soud provést, se jeví, že zpracování údajů týkajících se zobrazení předmětných internetových stránek nebo aplikací může v některých případech takové informace odhalit, aniž by bylo nezbytné, aby uvedení uživatelé do těchto stránek vkládali informace tím, že se na nich budou registrovat nebo budou uskutečňovat on-line objednávky.
73
S ohledem na výše uvedené je třeba na druhou otázku písm. a) odpovědět tak, že čl. 9 odst. 1 GDPR musí být vykládán v tom smyslu, že v případě, kdy uživatel sociální sítě zobrazí internetové stránky nebo aplikace mající vztah k jedné nebo více kategoriím uvedeným v tomto ustanovení, a případně do nich zadá údaje tím, že se zaregistruje nebo uskuteční on-line objednávky, musí být zpracování osobních údajů provozovatelem této sociální sítě, které spočívá ve shromažďování údajů získaných zobrazením těchto stránek a aplikací a údajů zadaných uživatelem prostřednictvím integrovaných rozhraní, souborů cookies nebo podobných technologií pro ukládání dat, v propojování všech těchto údajů s účtem uživatele na sociální síti a v použití uvedených údajů tímto provozovatelem, považováno za „zpracování zvláštních kategorií osobních údajů“ ve smyslu uvedeného ustanovení, které je až na výjimky stanovené v tomto čl. 9 odst. 2 v zásadě zakázáno, pokud mohou být v důsledku tohoto zpracování údajů odhaleny informace spadající do jedné z těchto kategorií, ať již se tyto informace týkají uživatele této sítě, nebo jakékoli jiné fyzické osoby.
Ke druhé otázce písm. b)
74
Pokud jde o druhou otázku písm. b), jak byla přeformulována v bodě 65 tohoto rozsudku a která se týká výjimky stanovené v čl. 9 odst. 2 písm. e) GDPR, je třeba připomenout, že podle tohoto ustanovení principiální zákaz jakéhokoli zpracování zvláštních kategorií osobních údajů stanovený v tomto čl. 9 odst. 1 neplatí v případě, že se zpracování týká osobních údajů „zjevně zveřejněných subjektem údajů“.
75
Je třeba předeslat, že se tato výjimka vztahuje pouze na údaje zjevně zveřejněné „subjektem údajů“. Nevztahuje se tudíž na údaje týkající se jiných osob, než té, která tyto údaje zveřejnila.
76
Dále je třeba uvést, že jelikož čl. 9 odst. 2 GDPR stanoví výjimku ze zásady zákazu zpracování zvláštních kategorií osobních údajů, musí být vykládán restriktivně (v tomto smyslu viz rozsudky ze dne 17. září 2014, Baltic Agro, C‑3/13, EU:C:2014:2227, bod 24 a citovaná judikatura, a ze dne 6. června 2019, Weil, C‑361/18, EU:C:2019:473, bod 43 a citovaná judikatura).
77
Z toho plyne, že pro účely uplatnění výjimky stanovené v čl. 9 odst. 2 písm. e) GDPR je třeba ověřit, zda subjekt údajů zamýšlel výslovně a jednoznačným potvrzujícím úkonem zpřístupnit předmětné osobní údaje široké veřejnosti.
78
Pokud jde v tomto ohledu o zobrazení internetových stránek nebo aplikací majících vztah k jedné nebo více kategoriím uvedeným v čl. 9 odst. 1 GDPR, je třeba konstatovat, že tímto zobrazením nemá dotyčný uživatel v žádném případě v úmyslu zveřejnit skutečnost, že zobrazil tyto stránky nebo tyto aplikace, ani údaje týkající se tohoto zobrazení, které mohou být spojeny s jeho osobou. Tento uživatel totiž může nanejvýš očekávat, že provozovatel internetových stránek nebo aplikace bude mít přístup k těmto údajům a že je bude případně sdílet – s výhradou výslovného souhlasu uděleného tímto uživatelem – s určitými třetími osobami, a nikoli s širokou veřejností.
79
Z pouhého zobrazení takových internetových stránek nebo aplikací uživatelem tedy nelze dovodit, že uvedené osobní údaje byly tímto uživatelem zjevně zveřejněny ve smyslu čl. 9 odst. 2 písm. e) GDPR.
80
Na druhé straně, pokud jde o aktivity spočívající v zadávání údajů na uvedených internetových stránkách nebo v uvedených aplikacích, jakož i v kliknutí na taková tlačítka na těchto internetových stránkách nebo aplikacích, jako jsou tlačítka „to se mi líbí“ nebo „sdílet“ nebo tlačítka umožňující uživateli přihlásit se k internetové stránce nebo k aplikaci za použití přihlašovacích údajů spojených s jeho uživatelským účtem na Facebooku, jeho telefonním číslem nebo e-mailovou adresou, je třeba uvést, že s těmito aktivitami je spojena interakce mezi tímto uživatelem a předmětnou internetovou stránkou nebo aplikací a případně internetovou stránkou sociální sítě, jejíž formy publicity se mohou lišit, neboť mohou být uvedeným uživatelem individuálně nastaveny.
81
Za těchto podmínek přísluší předkládajícímu soudu, aby ověřil, zda dotyční uživatelé mají možnost se na základě nastavení provedeného se znalostí věci rozhodnout, že údaje zadané na předmětných internetových stránkách nebo v aplikacích, jakož i údaje vyplývající z kliknutí na tlačítka na těchto stránkách zpřístupní široké veřejnosti, nebo naopak více či méně omezenému počtu vybraných osob.
82
Pokud dotyční uživatelé takovou volbu skutečně mají, lze mít za to, že když dobrovolně zadávají údaje na internetové stránce nebo v aplikaci nebo kliknou na tlačítka na této stránce nebo v této aplikaci, zjevně zveřejňují údaje, které se jich týkají, ve smyslu čl. 9 odst. 2 písm. e) GDPR, pouze v případě, že tito uživatelé na základě individuálního nastavení provedeného s plnou znalostí věci jasně vyjádřili svou volbu, že tyto údaje mají být zpřístupněny neomezenému počtu osob, což přísluší ověřit předkládajícímu soudu.
83
Není-li však takové individuální nastavení nabízeno, je třeba mít s ohledem na to, co bylo uvedeno v bodě 77 tohoto rozsudku, za to, že pokud uživatelé dobrovolně zadají údaje na internetové stránce nebo v aplikaci nebo kliknou na tlačítka na těchto stránkách nebo v těchto aplikacích, musí k tomu, aby bylo možné mít za to, že tyto údaje zjevně zveřejnili, na základě výslovné informace poskytnuté touto stránkou nebo aplikací před takovým zadáním nebo kliknutím výslovně souhlasit s tím, že uvedené údaje mohou být zobrazeny jakoukoli osobou, která má přístup k uvedené stránce nebo aplikaci.
84
S ohledem na výše uvedené je třeba na druhou otázku písm. b) odpovědět tak, že čl. 9 odst. 2 písm. e) GDPR musí být vykládán v tom smyslu, že pokud uživatel sociální sítě zobrazí internetové stránky nebo aplikace mající vztah k jedné nebo více kategoriím uvedeným v čl. 9 odst. 1 GDPR, nezveřejňuje zjevně údaje týkající se tohoto zobrazení shromážděné provozovatelem této sociální sítě prostřednictvím souborů cookies nebo podobných technologií pro ukládání dat ve smyslu prvně uvedeného ustanovení.
85
Pokud takový uživatel zadává údaje na takových internetových stránkách nebo v takovýchto aplikacích nebo klikne-li na tlačítka „to se mi líbí“ nebo „sdílet“ nebo tlačítka umožňující uživateli identifikovat se na těchto stránkách nebo v těchto aplikacích pomocí přihlašovacích údajů spojených s jeho uživatelským účtem na sociální síti, telefonním číslem nebo e-mailovou adresou, zjevně zveřejňuje ve smyslu tohoto čl. 9 odst. 2 písm. e) takto zadané údaje nebo údaje vyplývající z kliknutí na tato tlačítka pouze v případě, že předem výslovně vyjádřil svou volbu, případně na základě individuálního nastavení provedeného s plnou znalostí věci, zpřístupnit údaje, které se ho týkají, neomezenému počtu osob.
Ke třetí až páté otázce
86
Podstatou třetí a čtvrté otázky předkládajícího soudu, které je třeba posoudit společně, je, zda a za jakých podmínek musí být čl. 6 odst. 1 první pododstavec písm. b) a f) GDPR vykládán v tom smyslu, že zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem těchto uživatelů na sociální síti a v použití těchto údajů lze považovat za nezbytné pro splnění smlouvy, jejíž smluvními stranami jsou subjekty údajů, ve smyslu písmene b), nebo pro účely oprávněných zájmů správce nebo třetí strany ve smyslu písmene f). Tento soud si zejména klade otázku, zda některé zájmy, které výslovně uvádí, představují „oprávněný zájem“ ve smyslu posledně uvedeného ustanovení.
87
Podstatou páté otázky předkládajícího soudu je, zda čl. 6 odst. 1 první pododstavec písm. c) až e) GDPR musí být vykládán v tom smyslu, že takové zpracování osobních údajů může být považováno za nezbytné pro splnění právní povinnosti, která se na správce vztahuje, ve smyslu písmene c), pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby ve smyslu písmene d), nebo splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, ve smyslu písmene e), pokud je toto zpracování prováděno za účelem odpovědi na právoplatnou žádost o poskytnutí určitých údajů za účelem boje proti škodlivému chování a podpory bezpečnosti a za účelem výzkumu prováděného v zájmu společnosti a s cílem podpořit ochranu, integritu a bezpečnost.
Úvodní poznámky
88
Na úvod je třeba zaprvé poznamenat, že třetí až pátá otázka jsou položeny z důvodu, že podle zjištění Spolkového úřadu pro hospodářskou soutěž v jeho rozhodnutí ze dne 6. února 2019 nelze mít za to, že uživatelé sociální sítě Facebook udělili souhlas se zpracováním svých údajů dotčených ve věci v původním řízení ve smyslu čl. 6 odst. 1 první pododstavec písm. a) a čl. 9 odst. 2 písm. a) GDPR. V tomto kontextu má tedy předkládající soud – ačkoli se Soudního dvora na tento předpoklad táže v rámci šesté otázky – za to, že musí ověřit, zda toto zpracování odpovídá některé z ostatních podmínek zákonnosti uvedených v tomto čl. 6 odst. 1 první pododstavec písm. b) až f) tohoto nařízení.
89
V tomto rámci je třeba uvést, že operace shromažďování, propojování a používání údajů, na něž míří třetí až pátá otázka, mohou zahrnovat jak citlivé údaje ve smyslu čl. 9 odst. 1 GDPR, tak necitlivé údaje. Je přitom třeba upřesnit, že v případě, kdy je soubor údajů, který obsahuje jak citlivé, tak necitlivé údaje, předmětem takových operací a je zejména shromažďován jako celek, aniž mohou být údaje v okamžiku tohoto shromažďování od sebe odděleny, musí být zpracování tohoto souboru údajů považováno za zakázané ve smyslu čl. 9 odst. 1 GDPR, pokud obsahuje alespoň jeden citlivý údaj a nepoužije se žádná z výjimek uvedených v čl. 9 odst. 2 tohoto nařízení.
90
Zadruhé je za účelem odpovědi na třetí až pátou otázku třeba připomenout, že čl. 6 odst. 1 první pododstavec GDPR stanoví taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby mohlo být zpracování považováno za oprávněné, musí tedy jít o jeden z případů stanovených v tomto ustanovení [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 99 a citovaná judikatura].
91
Podle čl. 6 odst. 1 prvního pododstavce písm. a) tohoto nařízení je zpracování osobních údajů zákonné, pokud subjekt údajů udělil souhlas pro jeden či více konkrétních účelů a pouze v odpovídajícím rozsahu.
92
Bez takového souhlasu, nebo pokud tento souhlas nebyl udělen svobodně, konkrétně, informovaným a jednoznačným způsobem ve smyslu čl. 4 bodu 11 GDPR, je takové zpracování přesto odůvodněné, pokud splňuje jeden z požadavků nezbytnosti uvedených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) tohoto nařízení.
93
V této souvislosti musí být odůvodnění stanovená v posledně uvedeném ustanovení – jelikož mohou vést k tomu, že zpracování osobních údajů bude zákonné i bez souhlasu subjektu údajů – vykládána restriktivně [v tomto smyslu viz rozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely), C‑175/20, EU:C:2022:124, bod 73 a citovaná judikatura].
94
Soudní dvůr mimoto judikoval, že je-li možné konstatovat, že zpracování osobních údajů je nezbytné s ohledem na některý z důvodů stanovených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) GDPR, není třeba zjišťovat, zda se na toto zpracování vztahuje i nějaký další z těchto důvodů (v tomto smyslu viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 71).
95
A konečně je třeba upřesnit, že v souladu s článkem 5 nařízení GDPR je na správci, aby prokázal, že tyto údaje jsou shromažďovány zejména pro určité, výslovně vyjádřené a legitimní účely a že jsou ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem. Kromě toho podle čl. 13 odst. 1 písm. c) tohoto nařízení platí, že pokud se osobní údaje získávají od subjektu údajů, je správce povinen informovat subjekt údajů o účelech zpracování, pro které jsou tyto údaje určeny, a o právním základu tohoto zpracování.
96
I když je na předkládajícím soudu, aby určil, zda jsou jednotlivé prvky zpracování, o které se jedná ve věci v původním řízení, odůvodněny tou či onou potřebou uvedenou v čl. 6 odst. 1 prvním pododstavci písm. b) až f) GDPR, Soudní dvůr mu nicméně může poskytnout užitečná vodítka, jež mu umožní rozhodnout spor, který mu byl předložen.
K třetí a čtvrté otázce
97
Pokud jde na prvním místě o čl. 6 odst. 1 první pododstavec písm. b) GDPR, ten stanoví, že zpracování osobních údajů je zákonné, pokud je „nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy“.
98
V tomto ohledu k tomu, aby bylo zpracování osobních údajů považováno za nezbytné pro splnění smlouvy ve smyslu tohoto ustanovení, musí být objektivně nezbytné pro uskutečnění účelu, který je nedílnou součástí smluvního plnění určeného subjektu údajů. Správce tedy musí být schopen prokázat, proč by bez předmětného zpracování nemohlo být dosaženo hlavního předmětu smlouvy.
99
Skutečnost, že je takové zpracování zmíněno ve smlouvě nebo že je pouze užitečné pro její splnění, je sama o sobě v tomto ohledu irelevantní. Pro účely uplatnění odůvodnění uvedeného v čl. 6 odst. 1 prvním pododstavci písm. b) GDPR je totiž rozhodující, že zpracování osobních údajů prováděné správcem je zásadní pro správné splnění smlouvy uzavřené mezi správcem a subjektem údajů, a tudíž neexistují jiná proveditelná a méně omezující řešení.
100
V tomto ohledu platí, jak uvedl generální advokát v bodě 54 svého stanoviska, že pokud smlouva upravuje několik služeb nebo několik různých složek jedné služby, které mohou být poskytnuty nezávisle na sobě, musí být použitelnost čl. 6 odst. 1 prvního pododstavce písm. b) GDPR posuzována odděleně v kontextu každé z těchto služeb.
101
V projednávané věci předkládající soud v rámci odůvodnění, která mohou spadat do působnosti tohoto ustanovení, odkazuje jako na skutečnosti směřující k zajištění řádného splnění smlouvy uzavřené mezi společností Meta Platforms Ireland a jejími uživateli na personalizaci obsahu, jakož i stejnorodé a plynulé využívání služeb poskytovaných skupinou Meta.
102
Pokud jde zaprvé o odůvodnění vycházející z personalizace obsahu, je třeba uvést, že i když je taková personalizace pro uživatele užitečná, neboť mu mimo jiné umožňuje zobrazení obsahu, který do značné míry odpovídá jeho zájmům, nic to nemění na tom, že s výhradou ověření, které musí provést předkládající soud, se personalizace obsahu nejeví být nezbytná k tomu, aby tomuto uživateli byly nabízeny služby sociální sítě. Tyto služby mu mohou být případně poskytovány ve formě rovnocenné alternativy nezahrnující takovou personalizaci, takže tato personalizace není objektivně nezbytná pro účel, který je nedílnou součástí těchto služeb.
103
Pokud jde zadruhé o odůvodnění vycházející ze stejnorodého a plynulého využívání služeb poskytovaných skupinou Meta, ze spisu, jejž má Soudní dvůr k dispozici, vyplývá, že osoba není povinna přihlásit se k různým službám nabízeným skupinou Meta, aby mohla vytvořit uživatelský účet v sociální síti Facebook. Jednotlivé produkty a služby nabízené touto skupinou totiž mohou být používány nezávisle na sobě a použití každého produktu nebo služby je založeno na uzavření samostatné uživatelské smlouvy.
104
S výhradou ověření předkládajícím soudem se tudíž zpracování osobních údajů pocházejících z jiných služeb než služby sociální sítě, které nabízí skupina Meta, nejeví být nezbytné k tomu, aby bylo umožněno poskytování posledně uvedené služby.
105
Pokud jde na druhém místě o čl. 6 odst. 1 první pododstavec písm. f) GDPR, ten stanoví, že zpracování osobních údajů je zákonné, pokud je „nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě“.
106
Jak již Soudní dvůr judikoval, stanoví toto ustanovení tři kumulativní podmínky pro to, aby bylo zpracování osobních údajů, na které se vztahuje, zákonné, a to zaprvé sledování oprávněného zájmu správce nebo třetí strany, zadruhé nezbytnost zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu a zatřetí podmínku, že před tímto zájmem nemají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů (rozsudek ze dne 17. června 2021, M. I. C. M, C‑597/19, EU:C:2021:492, bod 106 a citovaná judikatura).
107
Pokud jde zaprvé o podmínku týkající se sledování oprávněného zájmu, je třeba upřesnit, že v souladu s čl. 13 odst. 1 písm. d) GDPR je na správci, aby v okamžiku, kdy jsou osobní údaje týkající se subjektu údajů od tohoto subjektu získány, sdělil uvedenému subjektu sledované oprávněné zájmy, pokud je toto zpracování založeno na čl. 6 odst. 1 prvním pododstavci písm. f) tohoto nařízení.
108
Pokud jde zadruhé o podmínku týkající se nezbytnosti zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu, ta předkládajícímu soudu ukládá, aby ověřil, že sledovaného oprávněného zájmu na zpracování údajů nemůže být rozumně dosaženo stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv a svobod subjektů údajů, zejména pak práv na respektování soukromého života a ochranu osobních údajů, které jsou zaručeny články 7 a 8 Listiny [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 110 a citovaná judikatura].
109
V této souvislosti je třeba rovněž připomenout, že podmínka nezbytnosti zpracování údajů musí být posuzována společně se zásadou „minimalizace údajů“ zakotvenou v čl. 5 odst. 1 písm. c) GDPR, podle kterého musí být osobní údaje „přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány“ (v tomto smyslu viz rozsudek ze dne 11. prosince 2019, Asociația de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, bod 48).
110
Pokud jde zatřetí o podmínku, že zájmy nebo základní práva a svobody subjektu, na který se vztahuje ochrana údajů, nemají přednost před oprávněným zájmem správce nebo třetí osoby, Soudní dvůr již rozhodl, že tato podmínka zahrnuje vyvážení protichůdných práv a zájmů, které v zásadě závisí na konkrétních okolnostech každého jednotlivého případu, a že je tedy na předkládajícím soudu, aby toto vyvážení provedl s přihlédnutím k těmto specifickým okolnostem (rozsudek ze dne 17. června 2021, M. I. C. M., C‑597/19, EU:C:2021:492, bod 111 a citovaná judikatura).
111
V tomto ohledu ze samotného znění čl. 6 odst. 1 prvního pododstavce písm. f) GDPR vyplývá, že v rámci takového vážení je nezbytné věnovat zvláštní pozornost situaci, kdy je subjektem údajů dítě. Podle bodu 38 odůvodnění tohoto nařízení totiž děti zasluhují zvláštní ochranu osobních údajů, protože si mohou být méně vědomy rizik, důsledků a záruk a svých práv v souvislosti se zpracováním osobních údajů. Tato zvláštní ochrana by se měla vztahovat zejména na používání osobních údajů dětí pro účely marketingu nebo vytváření osobnostních či uživatelských profilů a shromažďování osobních údajů týkajících se dětí při využívání služeb nabízených přímo dětem.
112
Kromě toho, jak vyplývá z bodu 47 odůvodnění GDPR, by zájmy a základní práva subjektu údajů mohly mít přednost před zájmy správce údajů zejména tehdy, jestliže ke zpracování osobních údajů dochází za okolností, kdy subjekty údajů jejich další zpracování důvodně neočekávají.
113
V projednávané věci předkládající soud v rámci odůvodnění, která mohou spadat do působnosti čl. 6 odst. 1 prvního pododstavce písm. f) GDPR, odkazuje na personalizaci reklamy, bezpečnost sítě, zlepšení produktu, informování orgánů činných v trestním řízení, jakož i výkon trestů, na skutečnost, že uživatel je nezletilou osobou, na výzkum a inovace pro sociální účely, jakož i nabídku služeb obchodní komunikace zacílenou na uživatele a analytických nástrojů, které jim umožňují zhodnotit jejich výkonnost, určenou inzerentům a jiným profesionálním partnerům.
114
V tomto ohledu je třeba bez dalšího uvést, že žádost o rozhodnutí o předběžné otázce neobsahuje vysvětlení umožňující pochopit, jak by výzkum a inovace pro sociální účely nebo skutečnost, že uživatel je nezletilou osobou, mohly jakožto oprávněné zájmy ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR odůvodnit shromažďování a využívání předmětných údajů. Soudní dvůr se proto nemůže v tomto ohledu vyjádřit.
115
Pokud jde zaprvé o personalizaci reklamy, je třeba poukázat na to, že z bodu 47 odůvodnění tohoto nařízení vyplývá, že zpracování osobních údajů pro účely přímého marketingu lze považovat za zpracování prováděné z důvodu oprávněného zájmu správce.
116
Je však ještě třeba, aby toto zpracování bylo nezbytné k naplnění tohoto zájmu a aby zájmy nebo základní práva a svobody subjektu údajů neměly před tímto právem přednost. V rámci tohoto poměřování předmětných protichůdných práv a zájmů, a sice práv a zájmů správce na straně jedné a práv a zájmů subjektu údajů na straně druhé, je třeba zohlednit – jak bylo uvedeno v bodě 112 tohoto rozsudku – mimo jiné rozumná očekávání subjektu údajů a rozsah předmětného zpracování a jeho dopad na tuto osobu.
117
V tomto ohledu je třeba uvést, že i přes bezplatnost služeb takové sociální sítě, jako je Facebook, nemůže uživatel této sítě rozumně očekávat, že provozovatel této sociální sítě bude bez souhlasu tohoto uživatele zpracovávat jeho osobní údaje pro účely personalizace reklamy. Za těchto podmínek je třeba mít za to, že zájmy a základní práva takového uživatele mají přednost před zájmem tohoto provozovatele na takové personalizaci reklamy, kterou financuje svou činnost, takže zpracování prováděné tímto provozovatelem za takovým účelem nemůže spadat pod čl. 6 odst. 1 první pododstavec písm. f) GDPR.
118
Kromě toho je zpracování dotčené ve věci v původním řízení obzvláště rozsáhlé, jelikož se týká potenciálně neomezených údajů a má významný dopad na uživatele, když velkou část jeho činností, ne-li všechny jeho činnosti, sleduje společnost Meta Platforms Ireland, což u uživatele může vzbudit dojem, že jeho soukromý život je nepřetržitě sledován.
119
Zadruhé, pokud jde o cíl spočívající v zajištění bezpečnosti sítě, tento cíl představuje, jak uvádí bod 49 odůvodnění GDPR, oprávněný zájem společnosti Meta Platforms Ireland, který může odůvodnit zpracování dotčené ve věci v původním řízení.
120
Pokud však jde o nezbytnost tohoto zpracování pro sledování tohoto oprávněného zájmu, bude předkládající soud muset ověřit, zda a v jakém rozsahu je zpracování osobních údajů shromážděných ze zdrojů pocházejících mimo sociální síť Facebook skutečně nezbytné k zajištění toho, aby vnitřní bezpečnost této sítě nebyla ohrožena.
121
V tomto kontextu, jak bylo uvedeno v bodech 108 a 109 tohoto rozsudku, bude předkládající soud muset rovněž ověřit, zda sledovaného oprávněného zájmu na zpracování údajů nelze rozumně dosáhnout stejně účinným způsobem jinými prostředky, které méně zasahují do základních práv a svobod subjektů údajů, zejména do práv na respektování soukromého života a na ochranu osobních údajů, zaručených články 7 a 8 Listiny, a zda je dodržena tzv. zásada „minimalizace údajů“ zakotvená v čl. 5 odst. 1 písm. c) GDPR.
122
Zatřetí, pokud jde o cíl spočívající ve zlepšení produktu, nelze a priori vyloučit, že zájem správce na zlepšení jeho produktu nebo služby, aby se staly výkonnějšími, a tím i přitažlivějšími, může představovat oprávněný zájem umožňující odůvodnit zpracování osobních údajů a že takové zpracování může být nezbytné pro sledování tohoto zájmu.
123
S výhradou konečného posouzení, které musí v tomto ohledu provést předkládající soud, však lze pochybovat o tom, že pokud jde o zpracování údajů dotčené ve věci v původním řízení, může mít cíl spočívající ve zlepšení produktu s ohledem na rozsah tohoto zpracování a jeho významný dopad na uživatele, jakož i okolnost, že uživatel nemůže rozumně očekávat, že tyto údaje budou zpracovány společností Meta Platforms Ireland, přednost před zájmy a základními právy takového uživatele, a to tím spíše v případě, že se jedná o dítě.
124
Začtvrté, pokud jde o cíl uvedený předkládajícím soudem, který se týká informování orgánů činných v trestním řízení a při výkonu trestů, směřující k předcházení, odhalování a stíhání trestných činů, je třeba konstatovat, že tento cíl nemůže v zásadě představovat oprávněný zájem sledovaný správcem ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR. Takový soukromý subjekt, jako je společnost Meta Platforms Ireland, se totiž nemůže dovolávat takového oprávněného zájmu nesouvisejícího s jeho hospodářskou a obchodní činností. Naproti tomu může být uvedeným cílem odůvodněno zpracování prováděné takovým subjektem, pokud je objektivně nezbytné ke splnění právní povinnosti, které tento subjekt podléhá.
125
S ohledem na výše uvedené je třeba na třetí a čtvrtou otázku odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. b) GDPR musí být vykládán v tom smyslu, že zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem uvedených uživatelů na sociální síti a v použití uvedených údajů, může být považováno za nezbytné pro splnění smlouvy, jejíž stranami jsou subjekty údajů, ve smyslu tohoto ustanovení, pouze za podmínky, že je toto zpracování objektivně nezbytné pro uskutečnění účelu, který je nedílnou součástí smluvního plnění určeného týmž uživatelům, takže by bez tohoto zpracování nemohlo být dosaženo hlavního předmětu smlouvy.
126
Článek 6 odst. 1 první pododstavec písm. f) GDPR musí být vykládán v tom smyslu, že takové zpracování může být považováno za nezbytné pro účely oprávněných zájmů sledovaných správcem nebo třetí osobou ve smyslu tohoto ustanovení pouze za podmínky, že uvedený provozovatel informoval uživatele, od nichž byly údaje shromážděny, o oprávněném zájmu sledovaném jejich zpracováním, že toto zpracování je prováděno v mezích toho, co je nezbytně nutné pro uskutečnění tohoto oprávněného zájmu, a že z poměření protichůdných zájmů s ohledem na všechny relevantní okolnosti vyplývá, že zájmy nebo základní práva a svobody těchto uživatelů nemají přednost před uvedeným oprávněným zájmem správce nebo třetí strany.
K páté otázce
127
Zaprvé je třeba v rozsahu, v němž se tato otázka týká čl. 6 odst. 1 prvního pododstavce písm. c) a e) GDPR, připomenout, že podle tohoto písmene c) je zpracování osobních údajů zákonné, pokud je nezbytné pro splnění právní povinnosti, která se na správce vztahuje. Kromě toho je podle tohoto písmene e) zákonné také zpracování, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce.
128
Článek 6 odst. 3 GDPR ohledně obou těchto případů, kdy je zpracování zákonné, mimo jiné upřesňuje, že zpracování musí být založeno na unijním právu nebo na právu členského státu, které se na správce vztahuje, a že tento právní základ musí splňovat cíl veřejného zájmu a být přiměřený sledovanému legitimnímu cíli.
129
V projednávané věci se předkládající soud táže, zda takové zpracování osobních údajů, o jaké jde ve věci v původním řízení, může být považováno za odůvodněné s ohledem na čl. 6 odst. 1 první pododstavec písm. c) GDPR, pokud má za cíl „odpovědět na právoplatnou žádost o poskytnutí určitých údajů“, a s ohledem na čl. 6 odst. 1 první pododstavec písm. e) tohoto nařízení, pokud je jeho cílem „výzkum prováděný v zájmu společnosti“ a za účelem „podpory ochrany, integrity a bezpečnosti“.
130
Je však třeba konstatovat, že tento soud neposkytl Soudnímu dvoru informace, které by mu v tomto ohledu umožnily konkrétně rozhodnout.
131
Bude tedy na uvedeném soudu, aby s ohledem na podmínky uvedené v bodě 128 tohoto rozsudku ověřil, zda lze uvedené zpracování považovat za odůvodněné uvedenými účely.
132
Konkrétně bude s ohledem na to, co bylo uvedeno v bodě 124 tohoto rozsudku, na předkládajícím soudu, aby pro účely použití čl. 6 odst. 1 prvního pododstavce písm. c) GDPR ověřil, zda má společnost Meta Platforms Ireland zákonnou povinnost shromažďovat a uchovávat osobní údaje preventivně, aby mohla odpovědět na jakoukoli žádost vnitrostátního orgánu směřující k získání určitých údajů týkajících se jejích uživatelů.
133
Stejně tak bude na uvedeném soudu, aby s ohledem na čl. 6 odst. 1 první pododstavec písm. e) GDPR posoudil, zda je společnost Meta Platforms Ireland pověřena úkolem ve veřejném zájmu nebo při výkonu veřejné moci, zejména s cílem zajistit výzkum v zájmu společnosti, jakož i podporovat ochranu, integritu a bezpečnost, přičemž je třeba upřesnit, že se s ohledem na povahu a převážně hospodářský a obchodní charakter její činnosti jeví jako málo pravděpodobné, že by tento soukromý hospodářský subjekt byl takovým úkolem pověřen.
134
Kromě toho bude muset předkládající soud případně ověřit, zda s ohledem na rozsah zpracování údajů prováděného společností Meta Platforms Ireland a na jeho významný dopad na uživatele sociální sítě Facebook je toto zpracování prováděno v mezích toho, co je nezbytně nutné.
135
Pokud jde zadruhé o čl. 6 odst. 1 první pododstavec písm. d) GDPR, toto ustanovení stanoví, že zpracování osobních údajů je zákonné, pokud je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby.
136
Jak vyplývá z bodu 46 odůvodnění tohoto nařízení, týká se toto ustanovení zvláštní situace, kdy je zpracování osobních údajů nezbytné pro ochranu životně důležitého zájmu subjektu údajů nebo jiné fyzické osoby. Tento bod odůvodnění uvádí v tomto ohledu jako příklad humanitární účely, včetně monitorování epidemií a jejich šíření, nebo naléhavé humanitární situace, zejména přírodní a člověkem způsobené katastrofy.
137
Z těchto příkladů, jakož i z restriktivního výkladu, který je třeba dát čl. 6 odst. 1 prvnímu pododstavci písm. d) GDPR, vyplývá, že s ohledem na povahu služeb poskytovaných provozovatelem sociální sítě se takový provozovatel, jehož činnost má převážně hospodářskou a obchodní povahu, nemůže dovolávat ochrany životně důležitého zájmu svých uživatelů nebo jiné osoby, aby povšechně a čistě abstraktně a preventivně odůvodnil zákonnost takového zpracování údajů, jako je zpracování dotčené ve věci v původním řízení.
138
S ohledem na výše uvedené je třeba na pátou otázku odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. c) GDPR musí být vykládán v tom smyslu, že zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem uvedených uživatelů na sociální síti a v použití uvedených údajů, je na základě tohoto ustanovení odůvodněno, jestliže je skutečně nezbytné ke splnění právní povinnosti, která se na správce vztahuje na základě ustanovení unijního práva nebo práva dotyčného členského státu, tento právní základ odpovídá cíli veřejného zájmu a je přiměřený sledovanému legitimnímu cíli a toto zpracování je prováděno v mezích toho, co je nezbytně nutné.
139
Článek 6 odst. 1 první pododstavec písm. d) a e) GDPR musí být vykládán v tom smyslu, že takové zpracování osobních údajů nemůže být – v zásadě a s výhradou ověření, které musí provést předkládající soud – považováno za nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby ve smyslu písmene d) nebo pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, ve smyslu písmene e).
K šesté otázce
140
Podstatou šesté otázky předkládajícího soudu je, zda čl. 6 odst. 1 první pododstavec písm. a) a čl. 9 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že lze mít za to, že souhlas, který uživatel sociální sítě udělí provozovateli takové sítě, splňuje podmínky platnosti stanovené v čl. 4 bodě 11 tohoto nařízení, zejména podmínku, že tento souhlas musí být udělen svobodně, pokud má tento provozovatel dominantní postavení na trhu sociálních sítí.
141
Článek 6 odst. 1 první pododstavec písm. a) GDPR vyžaduje souhlas subjektu údajů se zpracováním jeho osobních údajů pro jeden či více konkrétních účelů a čl. 9 odst. 2 písm. a) GDPR vyžaduje souhlas subjektu údajů se zpracováním zvláštních kategorií údajů uvedených v tomto čl. 9 odst. 1.
142
Podle čl. 4 bodu 11 GDPR se „souhlasem“ rozumí „jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů“.
143
S ohledem na pochybnosti předkládajícího soudu je třeba zaprvé připomenout, že podle bodu 42 odůvodnění GDPR nelze souhlas považovat za svobodný, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu nebo nemůže souhlas odmítnout nebo odvolat, aniž by byl poškozen.
144
Zadruhé bod 43 odůvodnění tohoto nařízení uvádí, že s cílem zajistit, aby byl souhlas svobodný, by vyjádření souhlasu nemělo představovat platný právní důvod pro zpracování osobních údajů v případě, kdy mezi subjektem údajů a správcem existuje jasná nerovnováha. Tento bod odůvodnění rovněž upřesňuje, že lze předpokládat, že souhlas není svobodný, není-li možné vyjádřit samostatný souhlas s jednotlivými operacemi zpracování osobních údajů, i když je to v daném případě vhodné.
145
Zatřetí čl. 7 odst. 4 GDPR stanoví, že při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.
146
Na šestou otázku je třeba odpovědět na základě těchto úvah.
147
V tomto ohledu je třeba konstatovat, že okolnost, že provozovatel sociální sítě má jakožto správce dominantní postavení na trhu sociálních sítí, zajisté jako taková nebrání tomu, aby uživatelé této sociální sítě mohli platně udělit souhlas se zpracováním svých osobních údajů tímto provozovatelem ve smyslu čl. 4 bodu 11 GDPR.
148
To však nemění nic na tom, jak v podstatě uvedl generální advokát v bodě 75 svého stanoviska, že taková okolnost musí být zohledněna při posouzení, zda je souhlas udělený uživatelem této sítě platný, a zejména svobodný, jelikož může ovlivnit svobodu volby tohoto uživatele, který nemusí být schopen odmítnout nebo odvolat svůj souhlas, aniž by byl poškozen, jak uvádí bod 42 odůvodnění GDPR.
149
Kromě toho existence takového dominantního postavení může způsobit zjevnou nerovnováhu ve smyslu bodu 43 odůvodnění GDPR mezi subjektem údajů a správcem, přičemž tato nerovnováha mimo jiné nahrává vytvoření podmínek, které nejsou nezbytně nutné pro splnění smlouvy, což musí být v souladu s čl. 7 odst. 4 tohoto nařízení zohledněno. V této souvislosti je třeba připomenout, jak bylo uvedeno v bodech 102 až 104 tohoto rozsudku, že s výhradou ověření, která musí provést předkládající soud, se nejeví, že je zpracování dotčené ve věci v původním řízení nezbytně nutné pro splnění smlouvy mezi společností Meta Platforms Ireland a uživateli sociální sítě Facebook.
150
Tito uživatelé proto musí mít v rámci smluvního procesu možnost individuálně neudělit souhlas se zvláštními operacemi zpracování údajů, které nejsou nezbytně nutné pro splnění smlouvy, aniž by byli povinni se v plném rozsahu vzdát využívání služby nabízené provozovatelem sociální sítě, což znamená, že uvedeným uživatelům bude nabídnuta, případně za přiměřenou odměnu, rovnocenná alternativa, se kterou nejsou spojeny takovéto operace zpracování údajů.
151
Navíc s ohledem na rozsah předmětného zpracování údajů a jeho významný dopad na uživatele této sítě, jakož i na okolnost, že tito uživatelé nemohou rozumně očekávat, že provozovatel bude zpracovávat jiné údaje než údaje týkající se jejich chování v rámci sociální sítě, je ve smyslu tohoto bodu 43 odůvodnění přiměřené, aby mohl být udělen samostatný souhlas jednak s posledně uvedenými údaji a jednak s údaji off Facebook. Je na předkládajícím soudu, aby existenci takové možnosti ověřil; neexistuje-li taková možnost, je nutné mít za to, že souhlas uvedených uživatelů se zpracováním údajů off Facebook nebyl dán svobodně.
152
Konečně je třeba připomenout, že podle čl. 7 odst. 1 GDPR v případech, kdy je zpracování založeno na souhlasu, nese správce důkazní břemeno, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.
153
Právě ve světle těchto kritérií a podrobného posouzení všech okolností projednávané věci bude na předkládajícím soudu, aby určil, zda uživatelé sociální sítě Facebook platně, a především svobodně udělili souhlas se zpracováním dotčeným ve věci v původním řízení.
154
S ohledem na výše uvedené je třeba na šestou otázku odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. a) a čl. 9 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že okolnost, že provozovatel sociální sítě má dominantní postavení na trhu sociálních sítí, jako taková nebrání tomu, aby uživatelé takové sítě mohli platně poskytnout souhlas se zpracováním svých osobních údajů tímto provozovatelem ve smyslu čl. 4 bodu 11 tohoto nařízení. Tato okolnost je nicméně významným prvkem při určování toho, zda byl souhlas skutečně udělen platně a především svobodně, což přísluší prokázat uvedenému provozovateli.
K nákladům řízení
155
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:
1)
Článek 51 a následující nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), jakož i čl. 4 odst. 3 SEU
musí být vykládány v tom smyslu, že
s výhradou dodržení povinnosti loajální spolupráce s dozorovými úřady může orgán členského státu pro hospodářskou soutěž v rámci posuzování, zda došlo ke zneužití dominantního postavení ze strany podniku ve smyslu článku 102 SFEU, konstatovat, že všeobecné podmínky používání služby vypracované tímto podnikem a týkající se zpracování osobních údajů a jejich provádění nejsou v souladu s tímto nařízením, je-li toto zjištění nezbytné k prokázání existence takového zneužití.
S ohledem na tuto povinnost loajální spolupráce se vnitrostátní orgán pro hospodářskou soutěž nemůže odchýlit od rozhodnutí příslušného vnitrostátního dozorového úřadu nebo vedoucího dozorového úřadu týkajícího se těchto nebo podobných všeobecných podmínek. Má-li orgán pro hospodářskou soutěž pochybnosti o dosahu takového rozhodnutí, jsou-li uvedené nebo podobné podmínky současně předmětem přezkumu ze strany těchto orgánů nebo má-li orgán pro hospodářskou soutěž v případě neexistence šetření nebo rozhodnutí uvedených orgánů za to, že dotčené podmínky nejsou v souladu s nařízením 2016/679, musí konzultovat tytéž dozorové úřady a požádat je o spolupráci, aby rozptýlil své pochybnosti nebo určil, zda je třeba vyčkat přijetí jejich rozhodnutí před zahájením vlastního posouzení. Nevznesou-li námitky nebo neodpoví-li v přiměřené lhůtě, může vnitrostátní orgán pro hospodářskou soutěž pokračovat ve vlastním šetření.
2)
Článek 9 odst. 1 nařízení 2016/679
musí být vykládán v tom smyslu, že
v případě, kdy uživatel sociální sítě zobrazí internetové stránky nebo aplikace mající vztah k jedné nebo více kategoriím uvedeným v tomto ustanovení, a případně do nich zadá údaje tím, že se zaregistruje nebo uskuteční on-line objednávky, musí být zpracování osobních údajů provozovatelem této sociální sítě, které spočívá ve shromažďování údajů získaných zobrazením těchto stránek a aplikací a údajů zadaných uživatelem prostřednictvím integrovaných rozhraní, souborů cookies nebo podobných technologií pro ukládání dat, v propojování všech těchto údajů s účtem uživatele na sociální síti a v použití uvedených údajů tímto provozovatelem, považováno za „zpracování zvláštních kategorií osobních údajů“ ve smyslu uvedeného ustanovení, které je až na výjimky stanovené v tomto čl. 9 odst. 2 v zásadě zakázáno, pokud mohou být v důsledku tohoto zpracování údajů odhaleny informace spadající do jedné z těchto kategorií, ať již se tyto informace týkají uživatele této sítě, nebo jakékoli jiné fyzické osoby.
3)
Článek 9 odst. 2 písm. e) nařízení 2016/679
musí být vykládán v tom smyslu, že
pokud uživatel sociální sítě zobrazí internetové stránky nebo aplikace mající vztah k jedné nebo více kategoriím uvedeným v čl. 9 odst. 1 tohoto nařízení, nezveřejňuje zjevně údaje týkající se tohoto zobrazení shromážděné provozovatelem této sociální sítě prostřednictvím souborů cookies nebo podobných technologií pro ukládání dat ve smyslu prvně uvedeného ustanovení.
Pokud takový uživatel zadává údaje na takových internetových stránkách nebo v takovýchto aplikacích nebo klikne-li na tlačítka „to se mi líbí“ nebo „sdílet“ nebo tlačítka umožňující uživateli identifikovat se na těchto stránkách nebo v těchto aplikacích pomocí přihlašovacích údajů spojených s jeho uživatelským účtem na sociální síti, telefonním číslem nebo e-mailovou adresou, zjevně zveřejňuje ve smyslu tohoto čl. 9 odst. 2 písm. e) takto zadané údaje nebo údaje vyplývající z kliknutí na tato tlačítka pouze v případě, že předem výslovně vyjádřil svou volbu, případně na základě individuálního nastavení provedeného s plnou znalostí věci, zpřístupnit údaje, které se ho týkají, neomezenému počtu osob.
4)
Článek 6 odst. 1 první pododstavec písm. b) nařízení 2016/679
musí být vykládán v tom smyslu, že
zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem uvedených uživatelů na sociální síti a v použití uvedených údajů, může být považováno za nezbytné pro splnění smlouvy, jejíž stranami jsou subjekty údajů, ve smyslu tohoto ustanovení, pouze za podmínky, že je toto zpracování objektivně nezbytné pro uskutečnění účelu, který je nedílnou součástí smluvního plnění určeného týmž uživatelům, takže by bez tohoto zpracování nemohlo být dosaženo hlavního předmětu smlouvy.
5)
Článek 6 odst. 1 první pododstavec písm. f) nařízení 2016/679
musí být vykládán v tom smyslu, že
zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem uvedených uživatelů na sociální síti a v použití uvedených údajů, může být považováno za nezbytné pro účely oprávněných zájmů sledovaných správcem nebo třetí osobou ve smyslu tohoto ustanovení pouze za podmínky, že uvedený provozovatel informoval uživatele, od nichž byly údaje shromážděny, o oprávněném zájmu sledovaném jejich zpracováním, že toto zpracování je prováděno v mezích toho, co je nezbytně nutné pro uskutečnění tohoto oprávněného zájmu, a že z poměření protichůdných zájmů s ohledem na všechny relevantní okolnosti vyplývá, že zájmy nebo základní práva a svobody těchto uživatelů nemají přednost před uvedeným oprávněným zájmem správce nebo třetí strany.
6)
Článek 6 odst. 1 první pododstavec písm. c) nařízení 2016/679
musí být vykládán v tom smyslu, že
zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem uvedených uživatelů na sociální síti a v použití uvedených údajů, je na základě tohoto ustanovení odůvodněno, jestliže je skutečně nezbytné ke splnění právní povinnosti, která se na správce vztahuje na základě ustanovení unijního práva nebo práva dotyčného členského státu, tento právní základ odpovídá cíli veřejného zájmu a je přiměřený sledovanému legitimnímu cíli a toto zpracování je prováděno v mezích toho, co je nezbytně nutné.
7)
Článek 6 odst. 1 první pododstavec písm. d) a e) nařízení (EU) 2016/679
musí být vykládán v tom smyslu, že
zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem uvedených uživatelů na sociální síti a v použití uvedených údajů, nemůže být – v zásadě a s výhradou ověření, které musí provést předkládající soud – považováno za nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby ve smyslu písmene d) nebo pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, ve smyslu písmene e).
8)
Článek 6 odst. 1 první pododstavec písm. a) a čl. 9 odst. 2 písm. a) nařízení 2016/679
musí být vykládány v tom smyslu, že
okolnost, že provozovatel sociální sítě má dominantní postavení na trhu sociálních sítí, jako taková nebrání tomu, aby uživatelé takové sítě mohli platně poskytnout souhlas se zpracováním svých osobních údajů tímto provozovatelem ve smyslu čl. 4 bodu 11 tohoto nařízení. Tato okolnost je nicméně významným prvkem při určování toho, zda byl souhlas skutečně udělen platně, a především svobodně, což přísluší prokázat uvedenému provozovateli.
Podpisy.
(
*1
) – Jednací jazyk: němčina.