Esialgne tõlge

KOHTUJURISTI ETTEPANEK

ATHANASIOS RANTOS

esitatud 20. septembril 2022( )

Kohtuasi C‑252/21

Meta Platforms Inc., varem Facebook Inc.,

Meta Platforms Ireland Limited, varem Facebook Ireland Ltd.,

Facebook Deutschland GmbH

versus

Bundeskartellamt,

menetluses osales:

Verbraucherzentrale Bundesverband e.V.

(eelotsusetaotlus, mille on esitanud Oberlandesgericht Düsseldorf (liidumaa kõrgeim üldkohus Düsseldorfis, Saksamaa))

Eelotsusetaotlus – Määrus (EL) 2016/679 – Füüsiliste isikute kaitse isikuandmete töötlemisel – Sotsiaalvõrgustikud – Artikli 4 punkt 11 – Andmesubjekti nõusoleku mõiste – Nõusolek, mis on antud ettevõtjale, kes on vastutav töötleja ja turgu valitsevas seisundis – Artikli 6 lõike 1 punktid b–f – Töötlemise seaduslikkus – Töötlemine, mis on vajalik niisuguse lepingu täitmiseks, mille pool andmesubjekt on, või vastutava töötleja või kolmanda isiku õigustatud huvides – Töötlemine, mis on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks, andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks või avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks – Artikli 9 lõige 1 ja lõike 2 punkt e – Isikuandmete eriliigid – Isikuandmed, mille andmesubjekt on ilmselgelt avalikustanud – Artiklid 51–66 – Liikmesriigi konkurentsiasutuse volitused – Suhe isikuandmete kaitse järelevalveasutuste volitustega – Meetmete võtmine konkurentsiõiguse alusel asutuse poolt, kes asub teises liikmesriigis kui juhtiv andmekaitse järelevalveasutus





Sissejuhatus

1. Käesoleva eelotsusetaotluse on esitanud Oberlandesgericht Düsseldorf (liidumaa kõrgeim üldkohus Düsseldorfis, Saksamaa) vaidluse raames, mille pooled on kontserni Meta Platforms( ) kuuluvad äriühingud ja Bundeskartellamt (föderaalne konkurentsiamet, Saksamaa) ning mis puudutab otsust, millega viimane keelas põhikohtuasja kaebajal tema sotsiaalvõrgustiku Facebook kasutustingimustes ette nähtud isikuandmete töötlemise ja nende kasutustingimuste rakendamise ning tegi ettekirjutuse võtta meetmed niisuguse tegevuse lõpetamiseks.( )

2. Eelotsuse küsimused puudutavad peamiselt esiteks niisuguse riigisisese konkurentsiasutuse nagu föderaalne konkurentsiamet pädevust analüüsida peamise küsimusena või täiendavalt ettevõtja tegevust, lähtudes määruse (EL) 2016/679( ) teatavatest sätetest, ning teiseks nende sätete tõlgendamist, mis puudutab eelkõige tundlike isikuandmete töötlemist, isikuandmete töötlemise seaduslikkuse küsimuses asjakohaseid tingimusi ja vabatahtliku nõusoleku andmist turgu valitsevas seisundis ettevõtjale.

Õiguslik raamistik

Liidu õigus

3. Isikuandmete kaitse üldmääruse artiklis 4 on ette nähtud:

„Käesolevas määruses kasutatakse järgmisi mõisteid:

[…]

11) andmesubjekti „nõusolek“ – vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega;

[…]“.

4. Selle määruse artikli 6 „Isikuandmete töötlemise seaduslikkus“ lõikes 1 on sätestatud:

„Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:

a) andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil;

b) isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele;

c) isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks;

d) isikuandmete töötlemine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks;

e) isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks;

f) isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps.

Esimese lõigu punkti f ei kohaldata, kui isikuandmeid töötleb avaliku sektori asutus oma ülesannete täitmisel.“

5. Selle määruse artikli 9 „Isikuandmete eriliikide töötlemine“ lõigetes 1 ja 2 on ette nähtud:

„1. Keelatud on töödelda isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.

2. Lõiget 1 ei kohaldata, kui kehtib üks järgmistest asjaoludest:

a) andmesubjekt on andnud selgesõnalise nõusoleku nende isikuandmete töötlemiseks ühel või mitmel konkreetsel eesmärgil, välja arvatud juhul, kui liidu või liikmesriigi õiguse kohaselt ei saa andmesubjekt lõikes 1 nimetatud keeldu tühistada;

[…]

e) töödeldakse isikuandmeid, mille andmesubjekt on ilmselgelt avalikustanud;

[…]“.

6. Selle määruse VI peatükis „Sõltumatud järelevalveasutused“ paiknevas artiklis 51 „Järelevalveasutus“ on sätestatud:

„1. Liikmesriik näeb ette ühe või mitu sõltumatut riigiasutust, kes vastutavad käesoleva määruse kohaldamise järelevalve eest, et kaitsta füüsiliste isikute põhiõigusi ja -vabadusi seoses nende isikuandmete töötlemisega ning hõlbustada isikuandmete vaba liikumist liidus […].

2. Järelevalveasutus annab panuse käesoleva määruse ühtse kohaldamise tagamiseks kogu liidus. Sel eesmärgil teevad järelevalveasutused omavahel ja komisjoniga koostööd kooskõlas VII peatükiga.

[…]“.

Saksa õigus

7. Konkurentsipiirangute vastase seaduse (Gesetz gegen Wettbewerbsbeschränkungen, edaspidi „GWB“) § 19 lõikes 1 on sätestatud:

„Turgu valitseva seisundi kuritarvitamine ühe või enama ettevõtja poolt on keelatud.“( )

8. GWB §‑s 50f on ette nähtud:

„(1) Konkurentsiasutused, reguleerivad asutused, föderaalne andmekaitse ja teabevabaduse inspektor, piirkondlikud andmekaitseinspektorid ja pädevad asutused Euroopa Liidu tarbijakaitseõiguse rakendamise seaduse (EU-Verbraucherschutzdurchführungsgesetz) § 2 tähenduses võivad olenemata valitud menetlusest vahetada omavahel teavet, sh isikuandmeid ning kaubandus‑ ja ärisaladusi, kui see on vajalik nende vastavate ülesannete täitmiseks, ning seda teavet oma menetlustes kasutada. […]“.

Põhikohtuasi, eelotsuse küsimused ja menetlus Euroopa Kohtus

9. Meta Platforms opereerib digitaalset sotsiaalvõrgustikku Facebook Euroopa Liidus (aadressil www.facebook.com) ning pakub muid digiteenuseid, sh Instagram ja WhatsApp. Meta Platformsi opereeritavate sotsiaalvõrgustike majandusmudel seisneb peamiselt esiteks tasuta sotsiaalvõrgustikuteenuste pakkumises erakasutajatele ja teiseks veebireklaami müümises – reklaam, mis on suunatud sotsiaalvõrgustiku individuaalsele kasutajale ning mille eesmärgiks on näidata kasutajale sellist reklaami, mis võiks talle tema isikliku tarbimiskäitumise, tema huvide, ostujõu ja eluolu alusel huvi pakkuda. Seda liiki reklaami tehniline alus on võrgu ja kontserni tasandil pakutavate digiteenuste kasutajate väga üksikasjalike profiilide automatiseeritud koostamine.( )

10. Kasutajate andmete kogumisel ja töötlemisel tugineb Meta Platforms kasutuslepingutele, mille ta on sõlminud oma kasutajatega nii, et nad vajutavad nuppu „Registreeri“, millega need kasutajad nõustuvad seega Facebooki kasutustingimustega. Nende kasutustingimustega nõustumine on Facebooki sotsiaalvõrgustiku kasutamise oluline eeltingimus.( ) Element, mis on käesoleva kohtuasja keskmes, puudutab praktikat, mis seisneb esiteks nende andmete kogumises, mis saadakse eraldi pakutavate kontserni enda teenuste ning kolmandate isikute veebisaitide ja rakenduste kasutamisest nendesse viimastesse integreeritud kasutajaliideste või kasutaja arvutis või mobiilses lõppseadmes registreeritud küpsiste kaudu; teiseks nende andmete sidumises asjaomase kasutaja Facebooki kontoga ning kolmandaks nende andemete kasutamises (edaspidi „vaidlusalune praktika“).

11. Föderaalne konkurentsiamet algatas Meta Platformsi vastu menetluse, mille tulemusena keelas ta vaidlusaluse otsusega Meta Platformsil Facebooki kasutustingimustes ette nähtud andmetöötluse ja nende tingimuste rakendamise ning tegi talle ettekirjutuse võtta meetmed niisuguse tegevuse lõpetamiseks. Föderaalne konkurentsiamet põhjendas oma otsust eelkõige asjaoluga, et kõnesolev töötlemine kujutas endast selle äriühingu turgu valitseva seisundi kuritarvitamist Saksamaal erakasutajatele mõeldud sotsiaalvõrgustike turul GWB § 19 tähenduses.( )

12. Meta Platforms esitas 11. veebruaril 2019 vaidlusaluse otsuse peale kaebuse Oberlandesgericht Düsseldorfile (liidumaa kõrgeim üldkohus Düsseldorfis),( ) kes on eelotsusetaotluse esitanud kohus ning kellel on sisuliselt kahtlus, kas esiteks on riigisisestel konkurentsiasutustel võimalik kontrollida andmetöötluse vastavust isikuandmete kaitse üldmääruses sätestatud nõuetele ning tuvastada selle määruse sätete rikkumine ja karistada selle eest, ning kuidas tuleb teiseks selle määruse teatavaid sätteid tõlgendada ja kohaldada.

13. Selles olukorras otsustas Oberlandesgericht Düsseldorf (liidumaa kõrgeim üldkohus Düsseldorfis) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:

„1.a. Kas isikuandmete kaitse üldmääruse artikliga 51 jj on kooskõlas see, kui liikmesriigi konkurentsiamet, näiteks Saksamaa föderaalne konkurentsiamet, mis ei ole järelevalveasutus isikuandmete kaitse üldmääruse artikli 51 jj tähenduses ja mille liikmesriigis asub väljaspool Euroopa Liitu asuva ettevõtja filiaal, mis toetab reklaami, kommunikatsiooni ja suhtekorralduse vallas selle ettevõtja peamist tegevuskohta, mis asub teises liikmesriigis ja on ainuvastutav isikuandmete töötlemise eest kogu Euroopa Liidu territooriumil, tuvastab järelevalve käigus konkurentsiõiguse kuritarvituste üle, et peamise tegevuskoha andmetöötluse lepingutingimused ja nende rakendamine rikuvad isikuandmete kaitse üldmääruse sätteid, ning teeb ettekirjutuse sellise rikkumise lõpetamiseks?

b. Kui jah, siis kas Euroopa Liidu lepingu artikli 4 lõikega 3 on kooskõlas see, kui samal ajal alustab peamise tegevuskoha liikmesriigis juhtiv järelevalveasutus isikuandmete kaitse üldmääruse artikli 56 lõike 1 tähenduses nende andmetöötluse lepingutingimuste suhtes uurimismenetlust?

Kui vastus esimesele küsimusele on jaatav:

2.a. kas siis, kui internetikasutaja kas külastab veebilehti või rakendusi, millel on seos isikuandmete kaitse üldmääruse artikli 9 lõike 1 kriteeriumidega, näiteks flirdirakendusi, homoseksuaalsete partnerite kohtingulehti, poliitiliste parteide veebilehti, tervisega seotud veebilehti, või sisestab sinna ka andmeid, näiteks registreerides või tellimust tehes, ning teine ettevõtja, näiteks Facebook Ireland kogub veebilehtede ja rakendustega seotud liideste, näiteks Facebook Business Toolsi kaudu või internetikasutaja arvutisse või mobiilsesse lõppseadmesse paigaldatud küpsiste või sarnaste salvestustehnoloogiate kaudu andmeid veebilehtede ja rakenduste külastuste kohta kasutaja poolt ja seal sisestatud kasutajaandmete kohta, seob kasutaja [Facebooki] konto andmetega ja kasutab neid, on kogumise ja/või sidumise ja/või kasutamise puhul tegemist tundlike isikuandmete töötlemisega viidatud sätte tähenduses?

b. Kui jah, siis kas selliste veebilehtede ja rakenduste külastamine ja/või andmete sisestamine ja/või nende veebilehtedega või rakendustega seotud sellise pakkuja nagu Facebook Irelandi nuppude („sotsiaalmeedia pluginad“ nagu „Meeldib“, „Jaga“ või „Facebook Login“ või „Account Kit“) vajutamine kujutab endast külastamise kui sellise ja/või kasutaja poolt andmete sisestamise teel andmete ilmselget avalikustamist isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti e tähenduses?

3. Kas ettevõtja nagu Facebook Ireland, mis opereerib reklaamist rahastatavat digitaalset sotsiaalvõrgustikku ning pakub oma kasutustingimustes sisu ja reklaami isikupärastamist, võrgustiku turvalisust, toodete parendamist ja kõikide kontserni toodete läbivat ja sujuvat kasutamist, võib tugineda sellele, et see on lepingu täitmiseks vajalik vastavalt isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktile b või õigustatud huvide kaitsmisele vastavalt isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktile f, kui ta kogub neil eesmärkidel andmeid teistest kontserni pakutavatest teenustest ja kolmandate isikute veebisaitidelt ja rakendustest nendega seotud liideste kaudu, näiteks Facebook Business Tools, või internetikasutaja arvutisse või mobiilsesse lõppseadmesse paigaldatud küpsiste või sarnaste salvestustehnoloogiate kaudu, seob need kasutaja [Facebooki] kontoga ja kasutab neid?

4. Kas sellisel juhul võivad ka

– kasutajate alaealisus sisu ja reklaami isikupärastamiseks, toodete parendamiseks, võrgustiku turvalisuseks ja mitteturunduslikuks suhtluseks kasutajaga,

– mõõtmiste, analüüside ja muude äriteenuste pakkumine reklaamiklientidele, arendajatele ja muudele partneritele, et nad saaksid oma teenuseid hinnata ja parendada,

– turundusalase suhtluse pakkumine kasutajaga, et ettevõtja saaks oma tooteid parendada ja otseturundust teha,

– sotsiaalse heaolu nimel uuringute ja uuenduste läbiviimine, et edendada tehnika taset või teaduslikku arusaamist olulistest sotsiaalsetest teemadest ja positiivselt mõjutada ühiskonda ja maailma,

– õiguskaitseasutuste ja täidesaatvate asutuste informeerimine ja vastamine seadusjärgsetele päringutele, et takistada süütegude toimepanemist, õigustamatut kasutamist, kasutustingimuste ja põhimõtete rikkumist ja muid kahjulikke käitumisviise, neid avastada ja uurida,

olla õigustatud huviks isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti f tähenduses, kui ettevõtja kogub neil eesmärkidel andmeid teistest kontserni pakutavatest teenustest ja kolmandate isikute veebisaitidelt ja rakendustest nendega seotud liideste, näiteks Facebook Business Toolsi kaudu, või internetikasutaja arvutisse või mobiilsesse lõppseadmesse paigaldatud küpsiste või sarnaste salvestustehnoloogiate kaudu, seob kasutaja [Facebooki] kontoga ja kasutab neid?

5. Kas sellisel juhul võib olla andmete kogumine teistest kontserni pakutavatest teenustest ja kolmandate isikute veebisaitidelt ja rakendustest nendega seotud liideste, näiteks Facebook Business Toolsi kaudu, või internetikasutaja arvutisse või mobiilsesse lõppseadmesse paigaldatud küpsiste või sarnaste salvestustehnoloogiate kaudu, kasutaja [Facebooki] kontoga sidumine ja kasutamine või juba mujal õiguspäraselt kogutud ja seotud andmete kasutamine üksikjuhtumil põhjendatud ka vastavalt isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktidele c, d ja e, et vastata näiteks õiguspärasele päringule teatud andmete kohta (punkt c), et võidelda kahjuliku tegevusega ja toetada turvalisust (punkt d), sotsiaalse heaolu nimel uuringute läbiviimseks ning turvalisuse, usaldusväärsuse ja ohutuse toetamiseks (punkt e)?

6. Kas turgu valitsevale ettevõtjale nagu Facebook Ireland saab anda kehtiva, eelkõige isikuandmete kaitse üldmääruse artikli 4 punkti 11 kohaselt vabatahtliku nõusoleku isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti a ja artikli 9 lõike 2 punkti a tähenduses?

Kui vastus küsimusele 1 on eitav, siis:

7.a. kas liikmesriigi konkurentsiamet, näiteks föderaalne konkurentsiamet, kes ei ole järelevalveasutus isikuandmete kaitse üldmääruse artikli 51 jj tähenduses ja kes kontrollib turgu valitseva ettevõtja poolt konkurentsiõiguse kuritarvituste keelu rikkumist, mis ei seisne selles, et tema andmetöötlustingimused ja nende rakendamine rikuks isikuandmete kaitse üldmääruse sätteid, võib näiteks huvide kaalumise raames teha tähelepanekuid selle kohta, kas selle ettevõtja andmetöötlustingimused ja nende rakendamine vastavad isikuandmete kaitse üldmääruse sätetele?

b. Kui jah, siis kas see kehtib Euroopa Liidu lepingu artikli 4 lõiget 3 arvestades ka siis, kui samal ajal algatab selle ettevõtja andmetöötlustingimuste suhtes uurimismenetluse isikuandmete kaitse üldmääruse artikli 56 lõike 1 kohaselt pädev juhtiv järelevalveasutus?

Kui vastus seitsmendale küsimusele on jaatav, palutakse vastata kolmandale kuni viiendale küsimusele seoses kontserni enda Instagrami teenuse kasutamisest saadud andmetega.“

14. Kirjalikke seisukohti esitasid Meta Platforms, Saksamaa, Tšehhi, Itaalia ja Austria valitsus, föderaalne konkurentsiamet, Verbraucherzentrale Bundesverband e.V. (tarbijakaitseühing, Saksamaa) ning Euroopa Komisjon. Need menetlusosalised esitasid ka suulisi seisukohti kohtuistungil, mis toimus 10. mail 2022.

Õiguslik analüüs

15. Käesolevas kohtuasjas esitatud eelotsuse küsimused, milles palutakse tõlgendada isikuandmete kaitse üldmääruse mitut sätet, puudutavad peamiselt esiteks konkurentsiasutuse pädevust tuvastada isikuandmete töötlemist käsitlevate õigusnormide rikkumine ja karistada selle eest ning juhtiva järelevalveasutusega isikuandmete kaitse üldmääruse tähenduses mõistetud koostöö tegemise kohustusi (esimene ja seitsmes küsimus), teiseks tundlike isikuandmete töötlemise keeldu ja nende kasutamiseks antava nõusoleku suhtes kohaldatavaid tingimusi (teine küsimus), kolmandaks isikuandmete töötlemise seaduslikkust, lähtudes teatavatest õigustustest (kolmas kuni viies küsimus), ning neljandaks turgu valitsevas seisundis ettevõtjale isikuandmete töötlemiseks antava nõusoleku kehtivust (kuues küsimus).

16. Järgnevates punktides käsitlen kõigepealt esimest ja seitsmendat eelotsuse küsimust ning seejärel ülejäänud küsimusi järjekorras, milles need esitati, rühmitades kolmanda kuni viienda küsimuse.

Esimene eelotsuse küsimus

17. Esimese eelotsuse küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas konkurentsiasutus võib siis, kui ta menetleb konkurentsieeskirjade rikkumist, esiteks teha peamiselt otsuse( ) isikuandmete kaitse üldmääruses sätestatud andmete töötlemist käsitlevate õigusnormide rikkumise kohta ettevõtja poolt, kelle põhitegevuskoht, mis on ainuvastutav isikuandmete töötlemise eest kogu liidu territooriumil, asub teises liikmesriigis, ning teiseks teha ettekirjutuse see rikkumine lõpetada (esimese küsimuse punkt a), ning kas jaatava vastuse korral võib juhtiv järelevalveasutus, kes on isikuandmete kaitse üldmääruse artikli 56 lõike 1 järgi pädev, veel analüüsida selle ettevõtja andmetöötlustingimusi (esimese küsimuse punkt b).

18. Tingimusel, et seda kontrollib eelotsusetaotluse esitanud kohus, tundub mulle siiski, et föderaalne konkurentsiamet ei ole vaidlusaluses otsuses karistanud Meta Platformsi poolset isikuandmete kaitse üldmääruse rikkumist, vaid on üksnes konkurentsieeskirjade kohaldamise eesmärgil uurinud tema väidetavat turgu valitseva seisundi kuritarvitamist, võttes muu hulgas arvesse selle ettevõtja käitumise vastuolu selle määruse sätetega.

19. Seega ei saa minu arvates esimese küsimuse punkt a osas, milles see puudutab konkurentsiasutuse võimalust teha peamiselt otsus isikuandmete kaitse üldmääruse sätete rikkumise kohta ning teha ettekirjutus see rikkumine lõpetada selle määruse tähenduses, anda tulemusi.( )

20. Sellest järeldub, et esimese küsimuse punkt b, mis sõltub jaatavast vastusest esimese küsimuse punktile a, ei saa samuti anda tulemusi.( )

Seitsmes eelotsuse küsimus

21. Seitsmenda eelotsuse küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas konkurentsiasutus võib siis, kui menetleb konkurentsieeskirjade rikkumist, lisaks välja selgitada,( ) kas andmetöötlustingimused ja nende rakendamine on kooskõlas isikuandmete kaitse üldmäärusega (seitsmenda küsimuse punkt a), ning kas jaatava vastuse korral on konkurentsiasutuse uurimine võimalik ka siis, kui nende tingimuste suhtes viib samal ajal uurimismenetlust läbi pädev juhtiv järelevalveasutus (seitsmenda küsimuse punkt b).

22. Mis puudutab esiteks seitsmenda küsimuse punkti a, siis mulle näib, et kuigi konkurentsiasutus ei ole pädev tuvastama isikuandmete kaitse üldmääruse rikkumist,( ) ei ole selle määrusega põhimõtteliselt vastuolus see, kui muud asutused peale järelevalveasutuste võivad omaenese pädevuse ja volituste kasutamisel täiendavalt arvesse võtta tegevuse vastavust isikuandmete kaitse üldmäärusele. Nii on see minu arvates eelkõige juhul, kui konkurentsiasutus kasutab volitusi, mis on talle antud ELTL artikliga 102 ja määruse (EÜ) nr 1/2003( ) artikli 5 esimese lõiguga või ükskõik missuguse teise vastava riigisisese õigusnormiga.( )

23. Nende volituste kasutamisel peab konkurentsiasutus hindama muu hulgas, kas uuritav tegevus kujutab endast teistsuguste vahendite kasutamist kui need, mida kasutatakse toodete või teenuste omadustel põhinevas konkurentsis, võttes arvesse õiguslikku ja majanduslikku konteksti, millesse see tegevus asetub.( ) Selle tegevuse vastavus või mittevastavus isikuandmete kaitse üldmäärusele mitte iseenesest, vaid arvestades käsitletava juhtumi kõiki asjaolusid, võib olla oluline kaudne tõend selle väljaselgitamisel, kas tegevus kujutab endast niisuguste vahendite kasutamist, mida kasutatakse tavapärases konkurentsis, kusjuures tuleb täpsustada, et see, kas tegevus kujutab endast kuritarvitust või mitte ELTL artiklist 102 lähtudes, ei ilmne selle vastavusest või mittevastavusest isikuandmete kaitse üldmäärusele või teistele õigusnormidele.( )

24. Leian seega, et turgu valitseva seisundi kuritarvitamise analüüs võib õigustada seda, et konkurentsiasutus tõlgendab niisuguseid õigusnorme, mis ei kuulu konkurentsiõiguse valdkonda, nagu isikuandmete kaitse üldmääruse sätted,( ) täpsustades samal ajal, et selline analüüs viiakse läbi möödaminnes( ) ega piira selle määruse kohaldamist pädevate järelevalveasutuste poolt.( )

25. Mis puudutab teiseks seitsmenda küsimuse punkti b, siis eelotsusetaotluse esitanud kohus tõstatab küsimuse, missugused on konkurentsiasutuse kohustused ELL artikli 4 lõikes 3 sätestatud lojaalse koostöö põhimõtte kohaldamise raames, kui ta tõlgendab isikuandmete kaitse üldmääruse sätteid, juhtiva pädeva järelevalveasutuse ees selle määruse tähenduses ning täpsemalt juhul, kui sama tegevust, mida analüüsib konkurentsiasutus, uurib juhtiv pädev järelevalveasutus.

26. Käsitletaval juhul kätkeb see, kui konkurentsiasutus analüüsib – ehkki täiendavalt – ettevõtja tegevust isikuandmete kaitse üldmääruse sätetest lähtudes endast ohtu, et tema ja järelevalveasutuse selle määruse tõlgendus lahknevad, see võib aga põhimõtteliselt kahjustada isikuandmete kaitse üldmääruse ühetaolist tõlgendamist.( )

27. Liidu õiguses ei ole üksikasjalikke sätteid, mis käsitleksid konkurentsiasutuse ja isikuandmete kaitse üldmääruse tähenduses mõistetud järelevalveasutuste koostööd niisuguses olukorras. Konkreetsemalt ei ole käsitletaval juhul kohaldatavad ei isikuandmete kaitse üldmääruse tähenduses mõistetud pädevate asutuste vahelise koostöö süsteem selle määruse kohaldamisel( ) ega muud täpsed õigusnormid, mis käsitlevad koostööd haldusasutuste vahel, näiteks sätted, mis käsitlevad koostööd konkurentsiasutuste vahel ning nende ja komisjoni vahel konkurentsieeskirjade kohaldamisel.( )

28. See märgitud, tuleb juhtida tähelepanu, et kui konkurentsiasutus tõlgendab isikuandmete kaitse üldmäärust, kehtib tema suhtes siiski ELL artikli 4 lõikes 3 sätestatud lojaalse koostöö põhimõte, mille kohaselt austavad liit ja liikmesriigid, sh nende haldusasutused( ) üksteist vastastikku ning abistavad üksteist vastastikku aluslepingutest tulenevate ülesannete täitmisel. Konkreetselt on selle lõike kolmandas lõigus ette nähtud, et liikmesriigid aitavad kaasa liidu ülesannete täitmisele ja hoiduvad kõigist meetmetest, mis võiksid ohustada liidu eesmärkide saavutamist.( ) Lisaks kehtib konkurentsiasutuse suhtes – nagu iga haldusasutuse suhtes, kelle ülesandeks on liidu õiguse kohaldamine – hea halduse põhimõte kui liidu õiguse üldpõhimõte, mis hõlmab eelkõige liikmesriigi asutuste ulatuslikku hoolsus‑ ja hoolitsemiskohustust.( )

29. Seega, olukorras, kus puuduvad täpsed õigusnormid, mis käsitleksid koostöösüsteeme ja mille peab vajaduse korral vastu võtma liidu seadusandja, kehtivad konkurentsiasutuse suhtes siis, kui ta tõlgendab isikuandmete kaitse üldmääruse sätteid, vähemalt teabe vahetamise ja nõudmise ning koostöökohustus pädevate asutuste suhtes selle määruse tähenduses riigisiseste õigusnormide järgi, mis tema volitusi reguleerivad (liikmesriikide menetlusautonoomia põhimõte), ning võrdväärsuse ja tõhususe põhimõtet järgides.( )

30. Sellest järeldub minu arvates, et kui juhtiv pädev järelevalveasutus on teinud otsuse isikuandmete kaitse üldmääruse teatavate sätete kohaldamise kohta samasuguse või samalaadse praktika suhtes, ei saa konkurentsiasutus põhimõtteliselt eirata selle asutuse tõlgendust – asutus, kes on ainsana pädev seda määrust kohaldama( ) – ning peab võimaluste piires ja andmesubjektide kaitseõigusi austades järgima võimalikke otsuseid, mille see asutus on teinud sama tegevuse kohta,( ) konsulteerides temaga – või juhul, kui see asutus paikneb teises liikmesriigis – oma riigi järelevalveasutusega, kui ta kahtleb tõlgenduses, mille on konkreetsel juhul esitanud pädev asutus.( )

31. Lisaks peab olukorras, kus pädev järelevalveasutus ei ole otsust teinud, konkurentsiasutus siiski talle( ) teavet andma ja tegema temaga koostööd, kui see asutus on algatanud sama tegevuse uurimise või väljendanud kavatsust seda teha, ning vajaduse korral ootama viimase uurimise tulemust enne oma hindamise alustamist, kui see on asjakohane, ega tee ennatlikku otsust, mis puudutab seda, et konkurentsiasutus järgib mõistliku uurimisaega ja asjaomaste isikute kaitseõigusi.( )

32. Käsitletaval juhul tundub mulle, et sellest, et föderaalne konkurentsiamet algatas koostöömenetluse riigisiseste vastutavate järelevalveasutustega( ) ning et ta võttis mitteametlikult ühendust ka Iirimaa juhtiva järelevalveasutusega – asjaolud, mida föderaalne konkurentsiamet nimetab ja mida eelotsusetaotluse esitanud kohus peab kontrollima – võib piisata järelduse tegemiseks, et see asutus täitis oma hoolsus‑ ja lojaalse koostöö kohustused.( )

33. Kokkuvõtteks teen ettepaneku vastata seitsmendale eelotsuse küsimusele, et isikuandmete kaitse üldmääruse artikleid 51–66 tuleb tõlgendada nii, et konkurentsiasutus võib oma konkurentsiõiguse tähenduses mõistetud volituste raames täiendavalt analüüsida, kas uuritav tegevus on kooskõlas isikuandmete kaitse üldmääruses sätestatuga, võttes samal ajal arvesse isikuandmete kaitse üldmääruse tähenduses mõistetud pädeva järelevalveasutuse iga otsust või uurimist ning andes liikmesriigi järelevalveasutusele teavet ja vajaduse korral temaga konsulteerides.

Teine eelotsuse küsimus

34. Teise eelotsuse küsimusega küsib eelotsusetaotluse esitanud kohus sisuliselt, kas isikuandmete kaitse üldmääruse artikli 9 lõiget 1 tuleb tõlgendada nii, et kui vaidlusalune praktika puudutab kolmandate isikute veebilehtede ja rakenduste kasutamist,( ) kuulub see loetletud tundlike isikuandmete töötlemise hulka,( ) mis on keelatud( ) (teise küsimuse punkt a), ning kui jah, siis kas selle määruse artikli 9 lõike 2 punkti e tuleb tõlgendada nii, et kasutaja avalikustab ilmselgelt selle sätte tähenduses esiteks andmed, mille ta on veebilehtede külastamise ja rakenduste kasutamisega paljastanud, või teiseks andmed, mille ta on sisestanud või mis tulenevad nendesse veebilehtedesse või rakendustesse integreeritud valikunuppude aktiveerimisest( ) (teise küsimuse punkt b).

35. Esiteks meenutan teise küsimuse punkti a kohta, et isikuandmete kaitse üldmääruse artikli 9 lõike 1 kohaselt on tundlike isikuandmete töötlemine keelatud. Nende andmete erilist kaitset õigustab nähtuvalt selle määruse põhjendusest 51 asjaolu, et need on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud ning nende töötlemine võib põhiõigusi ja -vabadusi olulisel määral ohustada. Lisaks, hoolimata sellest, et selle sätte sõnastus on veidi segane,( ) ei tundu mulle, et see loob – nagu eelotsusetaotluse esitanud kohus oletab – sisulise erinevuse tundlike isikuandmete vahel, mis on tundlikud seetõttu, et nendest „ilmneb“ teatav olukord, ja juba iseenesest tundlike isikuandmete vahel.( )

36. Käsitletaval juhul on minu arvates ilmne, et vaidlusalune praktika kujutab endast isikuandmete töötlemist, mis võib põhimõtteliselt kuuluda selle sätte kohaldamisalasse ja olla keelatud, kui töödeldavatest andmetest „ilmneb“ üks selles nimetatud tundlikest olukordadest. Seega tuleb teha kindlaks, kas ja mil määral võib veebisaitide külastamisest ja rakenduste kasutamisest või andmete lisamisest nendesse „ilmneda“ üks selles sättes nimetatud tundlikest olukordadest.

37. Kahtlen, kas on asjakohane (ja alati võimalik) eristada ühelt poolt andmesubjekti lihtsat huvi teatava teabe vastu ja teiselt poolt tema kuuluvust ühte selles sättes nimetatud kategooriatest.( ) Kuigi põhimenetluse poolte seisukohad selles küsimuses on vastandlikud,( ) olen arvamusel, et vastust sellele küsimusele saab otsida ainult igal üksikjuhul eraldi ja võttes arvesse kõiki vaidlusaluse praktika hulka kuuluvaid tegevusi.

38. Kuigi lihtsalt tundlike isikuandmete kogumine seoses veebisaidi külastamise või rakenduse kasutamisega ei ole – nagu Saksamaa valitsus märgib – iseenesest tingimata tundlike isikuandmete töötlemine selle sätte tähenduses,( ) kujutavad nende andmete sidumine asjaomase kasutaja Facebooki kontoga või nende kasutamine endast tegevust, mis, vastupidi, võib küll olla niisugune töötlemine. Määrava tähtsusega asjaolu isikuandmete kaitse üldmääruse artikli 9 lõike 1 kohaldamisel on minu arvates võimalus, et need töödeldavad andmed võimaldavad koostada kasutaja profiili andmeliikide põhjal, mis ilmnevad tundlike isikuandmete loetelust selles õigusnormis.( )

39. Niisuguses kontekstis võib selleks, et teha kindlaks, kas andmetöötlus kuulub selle sätte kohaldamisalasse, olla juhul, kui see on asjakohane, kasulik eristada ühelt poolt niisuguste andmete töötlemist, mille võib esmapilgul liigitada nende tundlike isikuandmete kategooriasse, mis võimaldavad juba iseenesest koostada asjaomase isiku profiili, ning teiselt poolt nende andmete töötlemist, mis ei ole iseenesest tundlikud, kuid mis nõuavad hilisemat rühmitamistegevust, et teha usutavaid järeldusi asjaomase isiku profiilianalüüsiks.

40. Selles olukorras tuleb täpsustada, et kategoriseerimise olemasolu selle sätte tähenduses ei sõltu sellest, kas see kategoriseerimine on õige või korrektne.( ) Loeb võimalus, et niisugune kategoriseerimine toob kaasa märkimisväärse ohu andmesubjekti põhivabadustele ja ‑õigustele, nagu on meenutatud isikuandmete kaitse üldmääruse põhjenduses 51, ilma et see võimalus sõltuks kategoriseerimise õigsusest.

41. Mis puudutab lõpuks eelotsusetaotluse esitanud kohtu probleemi, kas kasutamise eesmärk on küsimuse hindamisel asjakohane,( ) siis arvan – vastupidi põhikohtuasja kaebaja väitele –, et põhimõtteliselt ei ole nõutav, et vastutav töötleja töötleks neid andmeid, „teades ja kavatsusega tuletada sellest otseselt teabe eriliigid“. Selle sätte eesmärk on sisuliselt hoida objektiivselt ära suur oht andmesubjektide põhivabadustele ja ‑õigustele, mida tekitab tundlike isikuandmete töötlemine, olenemata ükskõik missugusest sellisest subjektiivsest asjaolust nagu vastutava töötleja kavatsus.

42. Teiseks meenutan teise küsimuse punkti b kohta, et isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti e järgi ei kohaldata tundlike isikuandmete töötlemise keeldu siis, kui töödeldakse isikuandmeid, mille andmesubjekt on ilmselgelt avalikustanud. Lisaks kohustavad määrsõna „ilmselgelt“ kasutamine selle sätte sõnastuses ja asjaolu, et see säte kujutab endast erandit tundlike isikuandmete töötlemise keelu põhimõttest,( ) seda erandit kohaldama eriti kitsalt märkimisväärsete ohtude tõttu andmesubjektide põhiõigustele ja ‑vabadustele.( ) Selleks et seda erandit võiks kohaldada, peab kasutaja minu arvates olema täiesti teadlik sellest, et sõnaselge teoga( ) avalikustab ta isikuandmeid.( )

43. Käsitletaval juhul tundub mulle, et tegevust, mis seisneb veebisaitide külastamises ja rakenduste kasutamises, andmete sisestamises nendele saitidele ja nendesse rakendustesse ning nendesse integreeritud valikunuppude aktiveerimises, ei saa põhimõtteliselt samastada tegevusega, millega ilmselgelt avalikustatakse kasutaja tundlikud isikuandmed isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti e tähenduses.

44. Konkreetsemalt märgin, et põhimõtteliselt muudab veebisaitide külastamine ja rakenduste kasutamine kasutusandmed kättesaadavaks ainult kõnesoleva veebilehe või rakenduse haldajale ja kolmandatele isikutele, kellele viimane need andmed edastab, näiteks põhikohtuasja kaebajale.( ) Ka juhtumi kohta, mil andmete sisestamisega veebisaitidel või rakendustes võib andmesubjekt anda otseselt ja vabatahtlikult teavet teatavate tundlike isikuandmete kohta, märgin samuti, et see teave on kättesaadav ainult asjaomase saidi või rakenduse haldajale ja kolmandatele isikutele, kellele viimane selle teabe edastab. Välistan seega, et niisugune tegevus võiks anda tunnistust soovist muuta need andmed üldsusele kättesaadavaks.( ) Lisaks, kuigi on ilmne, et veebisaitidesse või rakendustesse integreeritud valikunuppude aktiveerimisega( ) väljendab andmesubjekt selgelt oma tahet jagada teatavat teavet üldsusega väljaspool asjaomast veebisaiti või rakendust, olen arvamusel, et selle tegevuse puhul on andmesubjekt – nagu föderaalne konkurentsiamet rõhutab – teadlik, et jagab teavet teatava isikute ringiga, mille sageli määrab kindlaks kasutaja ise,( ) mitte üldsusega.( )

45. Mis puudutab lõpuks eelotsusetaotluse esitanud kohtu mainitud direktiivi 2002/58 artikli 5 lõike 3 tähenduses mõistetud võimaliku kasutaja nõusoleku asjakohasust selleks, et sessiooniidentifikaatorite (küpsiste) või samalaadse tehnoloogia abil võiks koguda isikuandmeid, siis arvan, et see nõusolek ei saa selle konkreetset eesmärki arvestades üksi õigustada niisuguste vahendite abil kogutud tundlike isikuandmete töötlemist.( ) See nõusolek, mis on vajalik, et paigaldada tehniline vahend, mis registreerib kasutaja teatavad tegevused,( ) ei puuduta tundlike isikuandmete töötlemist ja seda ei saa samastada tahtega need andmed ilmselgelt avalikustada isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti e tähenduses.( )

46. Kokkuvõttes teen ettepaneku vastata teisele eelotsuse küsimusele, et esiteks tuleb isikuandmete kaitse üldmääruse artikli 9 lõiget 1 tõlgendada nii, et tundlike isikuandmete töötlemise keeld võib hõlmata andmetöötlust, mida teeb veebipõhise sotsiaalvõrgustiku operaator, mis seisneb kasutaja andmete kogumises siis, kui kasutaja külastab teisi veebisaite või kasutab rakendusi või sisestab sinna oma andmeid, nende andmete sidumises sotsiaalvõrgustiku kasutaja kontoga ja nende kasutamises tingimusel, et töödeldav teave võimaldab eraldi või rühmitatuna teha kasutaja profiilianalüüsi liikide põhjal, mis tulenevad selles sättes esitatud tundlike isikuandmete loetelust, ning teiseks tuleb isikuandmete kaitse üldmääruse artikli 9 lõike 2 punkti e tõlgendada nii, et kasutaja ei avalikusta ilmselgelt andmeid asjaolu tõttu, et ta on need paljastanud veebilehti külastades ja rakendusi kasutades või neile veebilehtedele või nendesse rakendustesse sisestades või et need tulenevad nendesse integreeritud valikunuppude aktiveerimisest.

Kolmas kuni viies küsimus

47. Kolmanda kuni viienda eelotsuse küsimusega küsib eelotsusetaotluse esitanud kohus sisuliselt, kas isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkte b, c, d, e ja f tuleb tõlgendada nii, et vaidlusalune praktika( ) kuulub mõne nendes sätetes ette nähtud õigustuse kohaldamisalasse, kusjuures need õigustused on konkreetsemalt järgmised:

– isikuandmete töötlemine on vajalik lepingu täitmiseks( ) või õigustatud huvi korral,( ) arvestades asjaolu, et Meta Platforms opereerib reklaamidest rahastatavat sotsiaalvõrgustikku ning pakub selle kasutustingimustel sisu ja reklaami isikupärastamist, võrgustiku turvalisust, toote parendamist ning kõikide kontserni toodete läbivat ja sujuvat kasutamist (kolmas eelotsuse küsimus);

– õigustatud huvi arvessevõtmine( ) teatavates olukordades( ) (neljas eelotsuse küsimus);

– vajadus vastata seadusjärgsele taotlusele esitada teatavad andmed,( ) vajadus võidelda kahjuliku tegevusega või edendada turvalisust( ) või uuringud sotsiaalse heaolu nimel ning vajadus edendada turvalisust, usaldusväärsust ja ohutust( ) (viies eelotsuse küsimus).

48. Kõigepealt teen hoolimata teatavatest kahtlustest, kas neljas ja viies eelotsuse küsimus on vastuvõetavad,( ) ettepaneku vastata kolmandale kuni viiendale küsimusele koos, sest juhised, mille ma tagapool peamiselt kolmanda eelotsuse küsimuse kohta annan, võivad eelotsusetaotluse esitanud kohtule ära kuluda nende õigusnormide kohaldamisel, mille kohta on esitatud neljas ja viies eelotsuse küsimus.

49. Peamiselt märgin, et vastavalt Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artiklile 8 tuleb isikuandmeid töödelda asjakohaselt ning kindlaksmääratud eesmärkidel ja asjaomase isiku nõusolekul või muul seaduses ette nähtud õiguslikul alusel. Selle kohta on isikuandmete kaitse üldmääruse artikli 6 lõikes 1 täpsustatud, et nende andmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks kuuest selles sättes nimetatud tingimusest.( )

50. Käsitletaval juhul leian kõigepealt, et kolmas kuni viies küsimus eeldavad, et analüüsitaks üksikasjalikult ükshaaval Facebooki kasutustingimuste eri sätteid vaidlusaluse praktika kontekstis, sest ei ole võimalik teha kindlaks, kas seda praktikat arvestades võib „niisugune ettevõtja nagu [Meta Platforms]“ tugineda tervikuna kõikidele (või teatavatele) isikuandmete kaitse üldmääruse artikli 6 lõikes 1 nimetatud õigustustele, kuigi ei saa välistada, et see praktika või teatavad sellesse kuuluvad tegevused võivad teatavatel juhtudel kuuluda selle artikli kohaldamisalasse.( )

51. Seejärel tuleb märkida, et viidatud sätetes kirjeldatud töötlemine toimub käsitletaval juhul lepingus sätestatud üldtingimuste alusel, mille on peale sundinud vastutav töötleja ilma, et andmesubjekt oleks nõusolekut andnud,( ) või isegi vastu tema tahtmist, mille tõttu tuleb kõnesolevaid õigustusi minu meelest tõlgendada kitsalt, eelkõige selleks, et vältida möödahiilimist nõusolekutingimusest.( )

52. Lõpuks meenutan, et isikuandmete kaitse üldmääruse artikli 5 lõike 2 järgi lasub tõendamiskoormis selle tõendamisel, et isikuandmeid töödeldakse vastavalt sellele õigusnormile, vastutaval töötlejal, ning selle määruse artikli 13 lõike 1 punkti c kohaselt on isikuandmete töötlemise eest vastutava töötleja ülesandeks täpsustada töötlemise eesmärke, mida andmed ja töötlemise õiguslik alus teenivad.

Kolmas eelotsuse küsimus

53. Kõigepealt tuleb märkida, et isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti b kohaselt on isikuandmete töötlemine seaduslik, kui see on vajalik niisuguse lepingu täitmiseks, mille osaline andmesubjekt on( )

54. Meenutan, et mõistet „vajadus“ liidu õigusaktides määratletud ei ole, kuid see kujutab kohtupraktika kohaselt endast siiski liidu õiguse autonoomset mõistet.( ) Selleks et töötlemine oleks lepingu täitmiseks vajalik, ei piisa sellest, et seda tehakse seoses lepingu täitmisega, ega sellest, et seda on lepingus mainitud,( ) ega isegi sellest, et see on lihtsalt lepingu täitmise huvides kasulik.( ) Euroopa Kohtu praktika kohaselt peab töötlemine olema lepingu täitmiseks objektiivselt vajalik selles mõttes, et ei tohi olla realistlikke ja vähem häirivaid alternatiive,( ) võttes arvesse ka andmesubjekti mõistlikke ootusi.( ) See hõlmab ka asjaolu, et kui leping näeb ette mitu teenust või ühe ja sama teenuse mitu elementi, mida saab osutada üksteisest sõltumatult, tuleks isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti b kohaldatavust hinnata nendest teenustest igaühe kontekstis eraldi.( )

55. Selle õigustuse raames mainib eelotsusetaotluse esitanud kohus sisu isikupärastamist ning kontserni oma toodete (või pigem teenuste) läbivat ja sujuvat kasutamist.

56. Mis puudutab sisu isikupärastamist, siis mulle näib, et kuigi niisugune tegevus võib olla teataval määral kasutaja huvides, sest see võimaldab esitada – eelkõige „uudisvoos“ – sisu, mis automatiseeritud hinnangu kohaselt vastab kasutaja huvidele, ei ole ilmne, et see on vajalik ka kõne all oleva sotsiaalvõrgustiku teenuse osutamiseks, mistõttu ei ole isikuandmete töötlemiseks nendel eesmärkidel vaja selle kasutaja nõusolekut.( ) Selles analüüsis tuleb arvesse võtta ka seda, et vaidlusalune praktika ei puuduta mitte kasutaja käitumisega seotud andmete töötlemist Facebooki lehe või rakenduse siseselt, vaid välistest allikatest saadud ja seega potentsiaalselt piiramatu hulga andmete töötlemist. Mul tekib seega küsimus, mil määral võib see töötlemine vastata keskmise kasutaja ootustele, ja üldisemalt küsimus, missugune on „isikupärastamise aste“, mida ta võib oodata teenuselt, millega ta liitub.( )

57. Kontserni oma teenuste läbiva ja sujuva kasutamise kohta märgin, et seos põhikohtuasja kaebaja pakutavate eri teenuste, näiteks Facebooki ja Instagrami vahel võib muidugi olla kasutajale kasulik või vahel võib kasutaja seda isegi soovida. Kahtlen siiski, kas kontserni teistest teenustest (eelkõige Instagramist) pärinevate isikuandmete töötlemine on Facebooki teenuste osutamiseks vajalik.( )

58. Teiseks on isikuandmete töötlemine isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti f kohaselt seaduslik siis, kui see on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul, kui andmesubjekt on laps.

59. Euroopa Kohtu praktika kohaselt on kõnesolevas õigusnormis nähtud ette kolm kumulatiivset tingimust, mille täitmisel on isikuandmete töötlemine seaduslik: esiteks siis, kui töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, teiseks on vajalik, et isikuandmete töötlemine toimuks õigustatud huvi elluviimiseks, ning kolmandaks võib seda teha tingimusel, et sellist huvi ei kaalu üles andmesubjekti kaitstavate põhiõiguste ja -vabadustega seotud huvid.( )

60. Kõigepealt meenutan õigustatud huvi järgimise kohta, et isikuandmete kaitse üldmääruses ja kohtupraktikas on leitud suur hulk huve olevat õigustatud,( ) täpsustades, et vastavalt isikuandmete kaitse üldmääruse artikli 13 lõike 1 punktile d peab vastutav töötleja näitama ära õigustatud huvi, mida isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti f raames taotletakse.( )

61. Mis puudutab seejärel tingimust, et isikuandmete töötlemine peab olema vajalik taotletava õigustatud huvi elluviimiseks, siis Euroopa Kohtu praktika kohaselt tuleb isikuandmete kaitse põhimõtte erandite ja piirangute puhul piirduda rangelt vajalikuga.( ) Seega peab valitsema tihe seos töötlemise ja taotletava huvi vahel, kui puuduvad alternatiivid, mille puhul kaitstakse isikuandmeid paremini; ei piisa sellest, et töötlemine on lihtsalt vastutavale töötlejale kasulik.

62. Mis puudutab lõpuks kaalumist, kummad on olulisemad, kas vastutava töötleja huvid või andmesubjekti huvid või põhiõigused ja ‑vabadused, siis Euroopa Kohtu praktika kohaselt on mängusolevate huvide kaalumine eelotsusetaotluse esitanud kohtu ülesanne.( ) Lisaks, nagu on märgitud isikuandmete kaitse üldmääruse põhjenduses 47, on selle kaalumise raames kindlasti vaja arvesse võtta andmesubjektide mõistlikke ootusi, mis põhinevad nende suhtel vastutava töötlejaga, ning teha kindlaks, kas andmesubjekt võib isikuandmete kogumise hetkel ja raames mõistlikult oodata, et neid andmeid töödeldakse teataval eesmärgil.

63. Seoses selle õigustusega mainib eelotsusetaotluse esitanud kohus reklaami isikupärastamist, võrgustiku turvalisust ja toote parendamist.

64. Mis puudutab kõigepealt reklaami isikupärastamist, siis isikuandmete kaitse üldmääruse põhjendusest 47 ilmneb, et isikuandmete töötlemist otseturunduse eesmärgil (direct marketing) võib lugeda töötlemiseks seoses vastutava töötleja õigustatud huviga. Töötlemise vajaduse kohta tuleb siiski märkida, et kõnesolevad andmed pärinevad Facebooki välistest allikatest ning seega tekib küsimus, missugune reklaami „isikupärastamise aste“ on seejuures objektiivselt vajalik. Mis puudutab mängusolevate huvide kaalumist, siis minu meelest tuleb arvesse võtta kõnesoleva õigustatud huvi laadi (käsitletaval juhul puhtalt majanduslik huvi) ning töötlemise mõju kasutajale, sh tema mõistlikud ootused ja võimalikud kaitsemeetmed, mille vastutav töötleja on võtnud.( )

65. Samasugused kaalutlused võib järgmiseks esitada võrguturbe kohta. Kuigi niisugune õigustus võib kujutada endast vastutava töötleja õigustatud huvi,( ) siis kaugeltki sama ilmselt ei saa teha järeldust, et töötlemine on käsitletaval juhul vajalik, võttes arvesse ka asjaolu, et kõnesolevad andmed pärinevad Facebooki välistest allikatest.( ) Igal juhul meenutan, et vastutava töötleja kohus on täpsustada turvalisuse eesmärke, millel iga töötlemine võib põhineda.

66. Mis puudutab viimaks toote parendamist, siis kui välja jätta turvalisusega seotud parendused – mis kuuluvad eespool analüüsitud vastava õigustuse alla –, tundub mulle, et niisugune õigustus peaks olema pigem kasutaja kui vastutava töötleja huvides. Sellest vaatevinklist on raske mõista, mil määral võib see kujutada endast vastutava töötleja õigustatud huvi ja mitte nõuda kasutaja nõusolekut. Vajaduse tingimuse ning mängusolevate õiguste ja huvide kaalumise küsimuses viitan eelnevatele kaalutlustele.

Neljas ja viies eelotsuse küsimus

67. Neljanda eelotsuse küsimusega, mis sisuliselt laiendab on kolmanda eelotsuse küsimuse teist osa, soovib eelotsusetaotluse esitanud kohus teada saada, kas teatavate loetletud olukordade kordumine kätkeb endas õigustatud huvi olemasolu isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti f tähenduses, samas kui viienda eelotsuse küsimusega püüab see kohus välja selgitada, kas vajadus vastata seadusjärgsele taotlusele esitada teatavad andmed, vajadus võidelda kahjuliku tegevusega ja toetada turvalisust või viia läbi uurimistegevus sotsiaalse heaolu nimel ning vajadus edendada turvalisust, usaldusväärsust ja ohutust kujutavad endast vaidlusaluse praktika suhtes kohaldatavaid õigustusi.( )

68. Olenemata nende küsimuste vastuvõetavusest,( ) arvan üldiselt, et neljanda eelotsuse küsimuse osas ei saa välistada, et teatavaid tingimusi, mis vaidlusalust praktikat iseloomustavad, võivad eelotsusetaotluse esitanud kohtu kirjeldatud asjaoludel õigustada õigustatud huvid,( ) ning viienda eelotsuse küsimuse osas, et teatavates olukordades võib vaidlusalune praktika olla õigustatud viidatud sätete alusel.

69. Eelotsusetaotlusest ei ilmne siiski, kas ja mil määral on Meta Platforms Ireland töödeldavate andmete iga töötlemise eesmärgi ja liigi puhul ära näidanud õigustatud huvid, mida konkreetselt taotletakse, või muud õigustused, mis võivad olla käsitletaval juhtumil asjakohased.( ) Eelotsusetaotluse esitanud kohus peab eelnevatest juhistest lähtudes seega analüüsima, mil määral õigustavad vaidlusalust praktikat selle kohtu kirjeldatud asjaoludel õigustatud huvid Meta Platforms Irelandi poolt andmete töötlemise vastu isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti f tähenduses või mõni teine selle määruse artikli 6 lõike 1 punktides c, d ja e nimetatud tingimustest.

Vastus kolmandale kuni viiendale eelotsuse küsimusele

70. Kokkuvõtteks teen ettepaneku vastata kolmandale kuni viiendale eelotsuse küsimusele, et isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkte b, c, d, e ja f tuleb tõlgendada nii, et vaidlusalune praktika või teatavad tegevused, mis selle moodustavad, võivad kujutada endast nendes sätetes ette nähtud erandeid tingimusel, et andmete töötlemise iga käsitletav viis vastab vastutava töötleja konkreetselt viidatud õigustuses ette nähtud tingimusele ning seega:

– töötlemine on Facebooki kontoga seotud teenuste osutamiseks objektiivselt vajalik;

– töötlemine on vajalik, et viia ellu õigustatud huvi, millele viitab vastutav töötleja või kolmas isik või kolmandad isikud, kellele andmed edastatakse, ega kahjusta ebaproportsionaalselt andmesubjekti põhiõigusi ja ‑vabadusi;

– töötlemine on vajalik, et vastata seadusjärgsele taotlusele esitada teatavad andmed, võidelda kahjuliku tegevusega ja toetada turvalisust või viia läbi uurimistegevus sotsiaalse heaolu nimel ning edendada turvalisust, usaldusväärsust ja ohutust.

Kuues eelotsuse küsimus

71. Kuuenda eelotsuse küsimusega küsib eelotsusetaotluse esitanud kohus sisuliselt, kas isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti a ja artikli 9 lõike 2 punkti a tuleb tõlgendada nii, et kehtiva ja vabatahtliku nõusoleku selle määruse artikli 4 punkti 11 tähenduses võib anda ettevõtjale, kes on erakasutajate veebipõhiste sotsiaalvõrgustike riigisisesel turul valitsevas seisundis.

72. Kõigepealt meenutan, et isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktis a ja artikli 9 lõike 2 punktis a on nähtud ette andmesubjekti nõusoleku saamise kohustus vastavalt sellele, mis puudutab isikuandmete töötlemist üldiselt ja tundlike isikuandmete töötlemist. Isikuandmete kaitse üldmääruse artikli 4 punkti 11 kohaselt on andmesubjekti „nõusolek“ vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega.( )

73. Mis puudutab konkreetsemalt tingimust, et nõusolek peab olema „vabatahtlik“ – ainus tingimus, mis on käsitletaval juhul kahtluse alla seatud –, siis märgin, et vastavalt isikuandmete kaitse üldmääruse põhjendusele 42 ei tohiks nõusolekut lugeda vabatahtlikult antuks, kui andmesubjektil pole tõelist või vaba valikuvõimalust( ) või ta ei saa kahjulike tagajärgedeta nõusoleku andmisest keelduda või seda tagasi võtta.( ) Lisaks, nagu on nähtud ette isikuandmete kaitse üldmääruse artikli 7 lõikes 1 (ja meenutatud selle põhjenduses 42), siis kui töötlemine põhineb andmesubjekti nõusolekul, peaks vastutav töötleja suutma tõendada, et andmesubjekt andis oma nõusoleku teda puudutavate isikuandmete töötlemiseks.

74. Käsitletaval juhul asjakohases osas meenutan kõigepealt, et nagu on rõhutatud isikuandmete kaitse üldmääruse põhjenduse 43 esimeses lauses, ei tohiks nõusolek anda isikuandmete töötlemiseks kehtivat õiguslikku alust konkreetsel juhul, kui andmesubjekt ja vastutav töötleja on „selgelt ebavõrdses“ olukorras;( ) seejärel, et isikuandmete kaitse üldmääruse artikli 7 lõike 4 kohaselt tuleb selle hindamisel, kas nõusolek anti vabatahtlikult, võimalikult suurel määral arvesse võtta seda, kas lepingu täitmise, sealhulgas teenuse osutamise tingimuseks on muu hulgas seatud nõusoleku isikuandmine andmete töötlemiseks, mis ei ole vajalik kõnealuse lepingu täitmiseks,( ) ning lõpuks, et vastavalt isikuandmete kaitse üldmääruse põhjenduse 43 teisele lausele ei loeta nõusolekut vabatahtlikuks ka siis, kui ei ole võimalik anda erinevatele isikuandmete töötlemise toimingutele eraldi nõusolekut, ehkki see on üksikutel juhtudel asjakohane, või kui lepingu täitmine, sealhulgas teenuse osutamine, on pandud sõltuma sellisest nõusolekust, ehkki see on käsitletaval juhtumil sobiv.( )

75. Käsitletaval juhul leian, et niisuguse isikuandmete vastutava töötleja võimalik turgu valitsev seisund, kes opereerib sotsiaalvõrgustikku, etendab rolli selle hindamisel, kas kasutaja andis nõusoleku vabatahtlikult. Isikuandmete vastutava töötleja jõupositsioon turul võib tekitada jõusuhete selge ebavõrdsuse käesoleva ettepaneku punktis 74 näidatud tähenduses.( ) Tuleb siiski täpsustada esiteks, et selleks, et niisugune turujõud oleks isikuandmete kaitse üldmääruse kohaldamise seisukohast asjakohane, ei tohi seda tingimata samastada valitseva seisundi lävega ELTL artikli 102 tähenduses,( ) ning teiseks ei saa ainuüksi see asjaolu muuta nõusolekut põhimõtteliselt täiesti kehtetuks.( )

76. Seega tuleks nõusoleku kehtivust analüüsida igal üksikjuhul eraldi, lähtudes muudest käesoleva ettepaneku punktides 73 ja 74 nimetatud teguritest ning võttes arvesse käsitletava juhtumi kõiki asjaolusid ja ka asjaolu, et tõendamiskoormis selle tõendamisel, et andmesubjekt andis oma nõusoleku teda puudutavate isikuandmete töötlemiseks, lasub vastutaval töötlejal.

77. Kokkuvõttes teen ettepaneku vastata kuuendale eelotsuse küsimusele, et isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti a ja artikli 9 lõike 2 punkti a tuleb tõlgendada nii, et ainuüksi asjaolu, et sotsiaalvõrgustikku opereeriv ettevõtja on riigisisesel erakasutajatele mõeldud veebipõhiste sotsiaalvõrgustike turul valitsevas seisundis, ei saa iseenesest muuta selle võrgu kasutaja nõusolekut tema isikuandmete töötlemiseks kehtetuks isikuandmete kaitse üldmääruse artikli 4 punkti 11 tähenduses. Niisugune asjaolu etendab siiski rolli selle hindamisel, kas nõusolek anti vabatahtlikult selle sätte tähenduses – mida peab tõendama vastutav töötleja, võttes juhul, kui see on asjakohane, arvesse jõusuhete selget ebavõrdsust andmesubjekti ja vastutava töötleja vahel, võimalikku kohustust nõustuda muude isikuandmete töötlemisega peale nende, mida on tingimata vaja töödelda asjaomaste teenuste osutamiseks; vajadust, et nõusolek antaks eraldi igaks töötlemiseesmärgiks, ning vajadust vältida seda, et nõusoleku tagasivõtmine toob nõusoleku tagasi võtnud kasutajale kaasa kahju.

Ettepanek

78. Eelnevate kaalutluste põhjal teen Euroopa Kohtule ettepaneku vastata Oberlandesgericht Düsseldorfi (liidumaa kõrgeim üldkohus Düsseldorfis, Saksamaa) eelotsuse küsimustele järgmiselt:

1. Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikleid 51–66

tuleb tõlgendada nii, et

konkurentsiasutus võib oma konkurentsiõiguse tähenduses mõistetud volituste raames täiendavalt analüüsida, kas uuritav tegevus on kooskõlas selles määruses sätestatuga, võttes samal ajal arvesse selle määruse tähenduses mõistetud pädeva järelevalveasutuse iga otsust või uurimist ning andes liikmesriigi järelevalveasutusele teavet ja vajaduse korral konsulteerides temaga.

2. Määruse 2016/679 artikli 9 lõiget 1

tuleb tõlgendada nii, et

tundlike isikuandmete töötlemise keeld võib hõlmata veebipõhise sotsiaalvõrgustiku operaatori tehtavat andmetöötlust, mis seisneb kasutaja andmete kogumises siis, kui kasutaja külastab teisi veebisaite või kasutab rakendusi või sisestab sinna oma andmeid, nende andmete sidumises sotsiaalvõrgustiku kasutaja kontoga ja nende kasutamises tingimusel, et töödeldav teave võimaldab eraldi või rühmitatuna teha kasutaja profiilianalüüsi liikide põhjal, mis tulenevad selles sättes esitatud tundlike isikuandmete loetelust.

Selle määruse artikli 9 lõike 2 punkti e

tuleb tõlgendada nii, et

kasutaja ei avalikusta ilmselgelt andmeid asjaolu tõttu, et ta on need paljastanud veebilehti külastades ja rakendusi kasutades või neile veebilehtedele või nendesse rakendustesse sisestades või et need tulenevad nendesse integreeritud valikunuppude aktiveerimisest.

3. Määruse 2016/679 artikli 6 lõike 1 punkte b, c, d, e ja f

tuleb tõlgendada nii, et

praktika, mis seisneb esiteks nende andmete kogumises, mis saadakse eraldi pakutavate kontserni enda teenuste ning kolmandate isikute veebisaitide ja rakenduste kasutamisest nendesse viimastesse integreeritud kasutajaliideste või kasutaja arvutis või mobiilses lõppseadmes registreeritud küpsiste kaudu; teiseks nende andmete sidumises asjaomase kasutaja Facebooki kontoga ning kolmandaks nende andemete kasutamises, või teatavad tegevused, mis selle hulka kuuluvad, võivad kujutada endast nendes sätetes ette nähtud erandeid tingimusel, et andmete töötlemise iga käsitletav viis vastab vastutava töötleja konkreetselt viidatud õigustuses ette nähtud tingimusele ning seega:

– töötlemine on Facebooki kontoga seotud teenuste osutamiseks objektiivselt vajalik;

– töötlemine on vajalik, et viia ellu õigustatud huvi, millele viitab vastutav töötleja või kolmas isik või kolmandad isikud, kellele andmed edastatakse, ega kahjusta ebaproportsionaalselt andmesubjekti põhiõigusi ja ‑vabadusi;

– töötlemine on vajalik, et vastata seadusjärgsele taotlusele esitada teatavad andmed, võidelda kahjuliku tegevusega ja toetada turvalisust või viia läbi uurimistegevus sotsiaalse heaolu nimel ning edendada turvalisust, usaldusväärsust ja ohutust.

4. Määruse 2016/679 artikli 6 lõike 1 punkti a ja artikli 9 lõike 2 punkti a

tuleb tõlgendada nii, et

ainuüksi asjaolu, et sotsiaalvõrgustikku opereeriv ettevõtja on riigisisesel erakasutajatele mõeldud veebipõhiste sotsiaalvõrgustike turul valitsevas seisundis, ei saa iseenesest muuta selle võrgu kasutaja nõusolekut tema isikuandmete töötlemiseks kehtetuks isikuandmete kaitse üldmääruse artikli 4 punkti 11 tähenduses. Niisugune asjaolu etendab siiski rolli selle hindamisel, kas nõusolek anti vabatahtlikult selle sätte tähenduses – mida peab tõendama vastutav töötleja, võttes juhul, kui see on asjakohane, arvesse jõusuhete selget ebavõrdsust andmesubjekti ja vastutava töötleja vahel, võimalikku kohustust nõustuda muude isikuandmete töötlemisega peale nende, mida on tingimata vaja töödelda asjaomaste teenuste osutamiseks; vajadust, et nõusolek antaks eraldi igaks töötlemiseesmärgiks, ning vajadust vältida seda, et nõusoleku tagasivõtmine toob nõusoleku tagasi võtnud kasutajale kaasa kahju.