Privremena verzija

MIŠLJENJE NEZAVISNOG ODVJETNIKA

ATHANASIOSA RANTOSA

od 20. rujna 2022.( )

Predmet C-252/21

Meta Platforms Inc., prije Facebook Inc.,

Meta Platforms Ireland Limited, prije Facebook Ireland Ltd.,

Facebook Deutschland GmbH

protiv

Bundeskartellamt

uz sudjelovanje:

Verbraucherzentrale Bundesverband e.V.

(zahtjev za prethodnu odluku koji je uputio Oberlandesgericht Düsseldorf (Visoki zemaljski sud u Düsseldorfu, Njemačka))

„Zahtjev za prethodnu odluku – Uredba (EU) 2016/679 – Zaštita pojedinaca u vezi s obradom osobnih podataka – Društvene mreže – Članak 4. točka 11. – Pojam ,privola’ ispitanika – Privola dana poduzetniku u vladajućem položaju koji je voditelj obrade – Članak 6. stavak 1. točke (b) do (f) – Zakonitost obrade – Obrada nužna za izvršavanje ugovora u kojem je ispitanik stranka ili za potrebe legitimnih interesa voditelja obrade ili treće strane – Obrada nužna za poštovanje pravnih obveza voditelja obrade, zaštitu ključnih interesa ispitanika ili druge fizičke osobe ili za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade – Članak 9. stavak 1. i članak 9. stavak 2. točka (e) – Posebne kategorije osobnih podataka – Osobni podaci za koje je očito da ih je objavio ispitanik – Članci 51. do 66. – Ovlasti nacionalnog tijela nadležnog za tržišno natjecanje – Povezanost s ovlastima nadzornih tijela za zaštitu osobnih podataka – Mjere koje na temelju prava tržišnog natjecanja donosi tijelo iz države članice različite od one vodećeg tijela za nadzor zaštite podataka”





Uvod

1. Ovaj zahtjev za prethodnu odluku uputio je Oberlandesgericht Düsseldorf (Visoki zemaljski sud u Düsseldorfu, Njemačka) u okviru spora između društava koncerna Meta Platforms( ) i Bundeskartellamta (Savezni ured za zaštitu tržišnog natjecanja, Njemačka) u pogledu odluke kojom je potonji tužitelju iz glavnog postupka zabranio obradu podataka predviđenu uvjetima uporabe njegove društvene mreže Facebook i provedbu tih uvjeta uporabe te je naložio mjere za prestanak tih aktivnosti( ).

2. Prethodna pitanja u biti se odnose, s jedne strane, na nadležnost nacionalnog tijela za zaštitu tržišnog natjecanja, kao što je Savezni ured za zaštitu tržišnog natjecanja, da ispita, najprije ili podredno, postupanja poduzetnika s obzirom na određene odredbe Uredbe (EU) 2016/679( ) i, s druge strane, na tumačenje tih odredbi u pogledu, među ostalim, obrade osjetljivih osobnih podataka, relevantnih uvjeta za zakonitost obrade osobnih podataka i davanja dobrovoljne privole poduzetniku u vladajućem položaju.

Pravni okvir

Pravo Unije

3. Člankom 4. OUZP‑a predviđa se:

„Za potrebe ove Uredbe:

[…]

11. ‚privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose;

[…]”

4. Članak 6. stavak 1. te uredbe, naslovljen „Zakonitost obrade”, glasi kako slijedi:

„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

(b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;

(c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade;

(d) obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;

(e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;

(f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete;

Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.”

5. Člankom 9. navedene uredbe, naslovljenim „Obrada posebnih kategorija osobnih podataka ”, u stavcima 1. i 2. određuje se:

„1. Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.

2. Stavak 1. ne primjenjuje se ako je ispunjeno jedno od sljedećeg:

(a) ispitanik je dao izričitu privolu za obradu tih osobnih podataka za jednu ili više određenih svrha, osim ako se pravom Unije ili pravom države članice propisuje da ispitanik ne može ukinuti zabranu iz stavka 1.;

[…]

(e) obrada se odnosi na osobne podatke za koje je očito da ih je objavio ispitanik;

[…]”

6. U članku 51. iste uredbe, naslovljenom „Nadzorno tijelo”, koji se nalazi u njezinu poglavlju VI., naslovljenom „Neovisna nadzorna tijela”, navodi se:

„1. Svaka država članica osigurava da je jedno ili više neovisnih tijela javne vlasti odgovorno za praćenje primjene ove Uredbe kako bi se zaštitila temeljna prava i slobode pojedinaca u pogledu obrade i olakšao slobodan protok osobnih podataka unutar Unije […]

2. Svako nadzorno tijelo doprinosi dosljednoj primjeni ove Uredbe u cijeloj Uniji. U tu svrhu nadzorna tijela surađuju međusobno i s Komisijom u skladu s poglavljem VII.

[…]”

Njemačko pravo

7. Člankom 19. stavkom 1. Gesetza gegen Wettbewerbsbeschränkungen (Zakon o suzbijanju ograničavanja tržišnog natjecanja, u daljnjem tekstu: GWB) određuje se:

„Zabranjeno je da jedan poduzetnik ili više njih zloupotrebljavaju vladajući položaj( ).”

8. Člankom 50.f GWB-a predviđa se:

„1. Tijela nadležna za tržišno natjecanje, regulatorna tijela, savezni službenik za zaštitu podataka i slobodu informiranja, regionalni službenici za zaštitu podataka i nadležna tijela u smislu članka 2. EU-Verbraucherschutzdurchführungsgesetza [Zakon o provedbi prava Europske unije o zaštiti potrošača] mogu međusobno razmjenjivati informacije, uključujući osobne podatke te trgovinske i poslovne tajne, neovisno o odabranom postupku, ako je to potrebno za obavljanje njihovih zadaća te mogu upotrijebiti te informacije u okviru postupaka koje provode. […]”

Glavni postupak, prethodna pitanja i postupak pred Sudom

9. Meta Platforms upravlja internetskom društvenom mrežom „Facebook” u Europskoj uniji (na adresi www.facebook.com), kao i drugim internetskim uslugama, uključujući Instagram i WhatsApp. Poslovni model društvenih mreža kojima upravlja Meta Platforms u biti se sastoji, s jedne strane, od pružanja besplatnih usluga društvene mreže privatnim korisnicima i, s druge strane, od prodaje internetskog oglašavanja koje je prilagođeno pojedinačnim korisnicima društvene mreže i čiji je cilj korisniku prikazati proizvode i usluge koji bi ga mogli zanimati na temelju, među ostalim, njegovih potrošačkih navika, interesa, kupovne moći i životnih okolnosti. Tehnička osnova za tu vrstu oglašavanja jest automatizirana uspostava vrlo detaljnih profila korisnika mreže i internetskih usluga koje nudi koncern( ).

10. Meta Platforms prikuplja i obrađuje podatke korisnika na temelju ugovora o uporabi koji sklapa sa svojim korisnicima kad upotrijebe opciju „Registracija”, čime prihvaćaju Facebookove uvjete uporabe. Prihvaćanje tih uvjeta uporabe osnovni je uvjet za uporabu društvene mreže Facebook( ). Srž ovog predmeta odnosi se na praksu koja se sastoji, kao prvo, od prikupljanja podataka iz drugih usluga koje koncern pruža te iz trećih internetskih stranica i aplikacija preko sučelja koja one sadržavaju ili preko kolačića za pohranu omogućenih na računalu ili prijenosnoj terminalnoj opremi korisnika, kao drugo, od povezivanja tih podataka s Facebook računom dotičnog korisnika i, kao treće, od upotrebe navedenih podataka (u daljnjem tekstu: sporna praksa).

11. Savezni ured za zaštitu tržišnog natjecanja pokrenuo je postupak protiv društva Meta Platforms, nakon čega mu je spornom odlukom zabranio obradu podataka predviđenu u Facebookovim uvjetima uporabe i provedbu tih uvjeta te mu je naložio mjere za prestanak tih aktivnosti. Savezni ured za zaštitu tržišnog natjecanja svoju je odluku obrazložio, među ostalim, činjenicom da predmetna obrada predstavlja zlouporabu vladajućeg položaja tog društva na tržištu društvenih mreža za privatne korisnike u Njemačkoj u smislu članka 19. GWB-a( ).

12. Meta Platforms podnio je 11. veljače 2019. protiv sporne odluke žalbu Oberlandesgerichtu Düsseldorf (Visoki zemaljski sud u Düsseldorfu)( ), sudu koji je uputio zahtjev, koji u biti ima dvojbe, s jedne strane, u pogledu mogućnosti nacionalnih tijela za zaštitu tržišnog natjecanja da nadziru usklađenost obrade podataka sa zahtjevima iz OUZP-a te da utvrde i sankcioniraju povredu odredbi te uredbe i, s druge strane, u pogledu tumačenja i primjene određenih odredbi te uredbe.

13. U tim je okolnostima Oberlandesgericht Düsseldorf (Visoki zemaljski sud u Düsseldorfu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

„1. (a) Je li u skladu s člankom 51. i sljedećim člancima [OUZP-a] ako nacionalno tijelo države članice nadležno za tržišno natjecanje, kao što je Savezni ured za zaštitu tržišnog natjecanja, koje nije nadzorno tijelo u smislu članka 51. i sljedećih članaka OUZP-a, u situaciji u kojoj poduzetnik sa sjedištem izvan Europske unije u navedenoj državi članici ima podružnicu, koja u području oglašavanja, komunikacije i odnosa s javnošću podupire glavni poslovni nastan tog poduzetnika smješten u drugoj državi članici i koji snosi isključivu odgovornost za obradu osobnih podataka za cijelo područje Europske unije, u okviru nadzora zlouporabe u području prava tržišnog natjecanja utvrdi da se ugovornim uvjetima glavnog poslovnog nastana koji se odnose na obradu podataka i provedbu tih uvjeta povređuje OUZP i ako to tijelo naloži prestanak te povrede?

(b) U slučaju potvrdnog odgovora: je li to u skladu s člankom 4. stavkom 3. UEU-a ako istodobno vodeće nadzorno tijelo u državi članici glavnog poslovnog nastana u smislu članka 56. stavka 1. OUZP-a provodi postupak ispitivanja u pogledu ugovornih uvjeta tog glavnog poslovnog nastana koji se odnose na obradu podataka?

Ako je odgovor na prvo pitanje potvrdan:

2. (a) Je li prilikom prikupljanja i/ili povezivanja i/ili uporabe riječ o obradi osjetljivih [osobnih podataka] u smislu odredbe članka 9. stavka 1. OUZP-a u slučaju kad internetski korisnik samo posjećuje internetske stranice ili aplikacije koje su povezane s kriterijima iz te odredbe, kao što su aplikacije za upoznavanje, stranice za pronalazak istospolnih partnera, internetske stranice političkih stranaka, internetske stranice sa zdravstvenim sadržajima, ili kad ondje i unosi podatke, primjerice prilikom registracije ili narudžbi, a drugo društvo kao što je Facebook Ireland preko sučelja koja sadržavaju internetske stranice i aplikacije, kao što je ‚Facebook Business Tools’, ili preko kolačića odnosno slične tehnologije za pohranu omogućene na računalu ili prijenosnoj terminalnoj opremi internetskog korisnika prikuplja podatke o tome da korisnik posjećuje te internetske stranice i aplikacije i o tome da je ondje izvršio unos, povezuje ih s podacima [Facebook] korisničkog računa te ih upotrebljava?

(b) U slučaju potvrdnog odgovora: je li riječ o očitoj objavi podataka o posjećivanju kao takvom i/ili podataka unesenih u smislu članka 9. stavka 2. točke (e) OUZP-a koju korisnik provodi posjećivanjem tih internetskih stranica i aplikacija i/ili unosom podataka i/ili upotrebom opcija (‚dodaci za društvene mreže’ (plugins) kao što su opcije ‚Sviđa mi se’, ‚Podijeli’ ili ‚Prijava na Facebook’ odnosno ‚Account Kit’) koje se nalaze na tim internetskim stranicama ili aplikacijama pružatelja kao što je Facebook Ireland ?

3. Može li se društvo kao što je Facebook Ireland, koje upravlja digitalnom društvenom mrežom koja se financira oglašavanjem i u svojim uvjetima uporabe nudi personalizaciju sadržaja i oglasa, mrežnu sigurnost, poboljšanje proizvoda te dosljednu i neometanu uporabu svih proizvoda u vlasništvu koncerna, pozvati na opravdanje koje se temelji na nužnosti izvršenja ugovora u skladu s člankom 6. stavkom 1. točkom (b) OUZP-a ili na ostvarivanju legitimnih interesa u skladu s člankom 6. stavkom 1. točkom (f) OUZP-a ako u te svrhe prikuplja podatke iz drugih usluga koje koncern pruža te iz trećih internetskih stranica i aplikacija preko sučelja koja one sadržavaju, kao što je ‚Facebook Business Tools’, ili preko kolačića odnosno slične tehnologije za pohranu omogućene na računalu ili prijenosnoj terminalnoj opremi internetskog korisnika i te podatke povezuje s [Facebook] korisničkim računom te ih upotrebljava?

4. Mogu li u takvom slučaju također

– maloljetnost korisnika za personalizaciju sadržaja i oglasa, poboljšanje proizvoda, mrežna sigurnost i komunikacija s korisnikom koja nema marketinšku svrhu;

– omogućavanje mjerenja, analiza i drugih usluga koje društvo nudi oglašivačima, razvojnim i ostalim partnerima, kako bi oni mogli ocijeniti i poboljšati svoje usluge;

– omogućavanje komunikacije s korisnikom koja ima marketinšku svrhu, kako bi poduzetnik mogao poboljšati svoje proizvode i provesti izravni marketing;

– istraživanje i inovacije u socijalne svrhe s ciljem promicanja tehnoloških znanja odnosno znanstvenog shvaćanja u pogledu važnih socijalnih pitanja i radi postizanja pozitivnog utjecaja na društvo i svijet;

– informacije tijela nadležnih za kazneni progon i za izvršenje kazni te odgovor na pravne upite s ciljem sprečavanja, otkrivanja i progona kaznenih djela, neovlaštenog korištenja, povreda uvjeta uporabe i smjernica te drugih štetnih postupanja;

predstavljati legitimne interese u smislu članka 6. stavka 1. točke (f) OUZP-a ako poduzetnik u te svrhe prikuplja podatke iz drugih usluga koje koncern pruža te iz trećih internetskih stranica i aplikacija preko sučelja koja one sadržavaju, kao što je ‚Facebook Business Tools’, ili preko kolačića odnosno slične tehnologije za pohranu omogućene na računalu ili prijenosnoj terminalnoj opremi internetskog korisnika i te podatke povezuje s [Facebook] korisničkim računom te ih upotrebljava?

5. Može li u takvom slučaju prikupljanje podataka iz drugih usluga koje koncern pruža i iz trećih internetskih stranica i aplikacija preko sučelja koja one sadržavaju, kao što je ‚Facebook Business Tools’, ili preko kolačića za pohranu omogućenih na računalu ili prijenosnoj terminalnoj opremi internetskog korisnika, povezivanje tih podataka s [Facebook] korisničkim računom te njihova uporaba ili uporaba podataka koji su već na drugi način zakonito prikupljeni i povezani, u pojedinačnom slučaju biti opravdano i na temelju članka 6. stavka 1. točaka (c), (d) i (e) OUZP-a, kako bi se primjerice odgovorilo na pravno valjani upit koji se odnosi na određene podatke (točka (c)), kako bi se spriječilo štetno postupanje i promicala sigurnost (točka (d)) ili radi istraživanja u korist društva i radi promicanja zaštite, integriteta i sigurnosti (točka (e))?

6. Može li se poduzetniku u vladajućem položaju na tržištu kao što je Facebook Ireland dati valjana i dobrovoljna privola osobito u smislu članka 4. točke 11. OUZP-a, u skladu s člankom 6. stavkom 1. točkom (a) i člankom 9. stavkom 2. točkom (a) OUZP-a?

Ako je odgovor na prvo pitanje niječan:

7. (a) Može li nacionalno tijelo države članice nadležno za tržišno natjecanje, kao što je Savezni ured za zaštitu tržišnog natjecanja, koje nije nadzorno tijelo u smislu članka 51. i sljedećih članaka OUZP-a i koje ispituje povredu poduzetnika u vladajućem položaju na tržištu u pogledu zabrane zlouporabe u području prava tržišnog natjecanja, a koja se ne sastoji od činjenice da njegovi uvjeti obrade podataka i provedba tih uvjeta predstavljaju povredu OUZP-a, primjerice u okviru odvagivanja interesa utvrditi jesu li uvjeti obrade podataka tog poduzetnika i njihova provedba u skladu s OUZP-om?

(b) U slučaju potvrdnog odgovora: vrijedi li to s obzirom na članak 4. stavak 3. UEU-a i u slučaju kad vodeće nadzorno tijelo koje je nadležno na temelju članka 56. stavka 1. OUZP-a istodobno provodi postupak ispitivanja u pogledu uvjeta obrade podataka tog poduzetnika?

Ako je odgovor na sedmo pitanje potvrdan, valja odgovoriti na pitanja 3. do 5. s obzirom na podatke prikupljene u okviru uporabe Instagrama koji je također usluga koju pruža taj koncern.”

14. Pisana očitovanja podnijeli su Meta Platforms, njemačka, češka, talijanska i austrijska vlada, Savezni ured za zaštitu tržišnog natjecanja, Verbraucherzentrale Bundesverband e.V. (Udruga potrošača, Njemačka) i Europska komisija. Te su stranke iznijele i usmena očitovanja na raspravi održanoj 10. svibnja 2022.

Analiza

15. Prethodna pitanja o kojima je riječ u ovom predmetu i koja se odnose na tumačenje nekoliko odredbi OUZP-a, u biti se odnose, kao prvo, na nadležnost tijela za zaštitu tržišnog natjecanja da utvrdi i sankcionira povredu pravila o obradi osobnih podataka i njegove obveze suradnje s vodećim tijelom u smislu OUZP-a (prvo i sedmo prethodno pitanje), kao drugo, na zabranu obrade osjetljivih osobnih podataka i uvjete primjenjive na privolu za njihovu upotrebu (drugo prethodno pitanje), kao treće, zakonitost obrade osobnih podataka s obzirom na određena opravdanja (treće, četvrto i peto prethodno pitanje) i, kao četvrto, valjanost privole za obradu osobnih podataka dane poduzetniku u vladajućem položaju (šesto prethodno pitanje).

16. U sljedećim točkama najprije ću razmotriti prvo i sedmo prethodno pitanje, a zatim ostala prethodna pitanja redoslijedom kojim su upućena, pri čemu ću objediniti treće, četvrto i peto prethodno pitanje.

Prvo prethodno pitanje

17. Svojim prvim prethodnim pitanjem sud koji je uputio zahtjev u biti pita može li tijelo za zaštitu tržišnog natjecanja, kada provodi postupke povodom povreda pravila tržišnog natjecanja, s jedne strane, najprije odlučiti( ) o povredi pravila o obradi podataka iz OUZP-a koju je počinio poduzetnik čiji se glavni poslovni nastan isključivo odgovoran za obradu osobnih podataka za cijelu Uniju nalazi u drugoj državi članici i, s druge strane, naložiti prestanak te povrede (prvo pitanje, točka (a)) te, u slučaju potvrdnog odgovora, može li vodeće nadzorno tijelo nadležno na temelju članka 56. stavka 1. OUZP-a ispitati i uvjete obrade podataka tog poduzetnika (prvo pitanje, točka (b)).

18. Međutim, podložno provjeri suda koji je uputio zahtjev, čini mi se da Savezni ured za zaštitu tržišnog natjecanja u spornoj odluci nije sankcionirao povredu OUZP-a koju je počinio Meta Platforms, nego je samo, u svrhu primjene pravila o tržišnom natjecanju, proveo ispitivanje navodne povrede zabrane zlouporabe vladajućeg položaja tog koncerna, pri čemu je uzeo u obzir, među ostalim, činjenicu da postupanje tog poduzetnika nije bilo u skladu s odredbama OUZP-a.

19. Stoga je, prema mojem mišljenju, prvo pitanje, točka (a), s obzirom na to da se odnosi na mogućnost tijela za zaštitu tržišnog natjecanja da najprije odluči o povredi pravila OUZP-a i naloži prestanak te povrede u smislu te uredbe, bespredmetno( ).

20. Iz toga slijedi da je i prvo pitanje, točka (b), koje ovisi o potvrdnom odgovoru na prvo pitanje, točku (a), bespredmetno( ).

Sedmo prethodno pitanje

21. Svojim sedmim prethodnim pitanjem sud koji je uputio zahtjev u biti pita može li tijelo za zaštitu tržišnog natjecanja, kada provodi postupak povodom povrede pravila tržišnog natjecanja, podredno utvrditi( ) jesu li uvjeti za obradu podataka i njihova provedba u skladu s OUZP-om (sedmo pitanje, točka (a)) i, u slučaju potvrdnog odgovora, je li ispitivanje tijela za zaštitu tržišnog natjecanja moguće i ako nadležno vodeće nadzorno tijelo istodobno provodi postupak ispitivanja tih uvjeta (sedmo pitanje, točka (b)).

22. Kao prvo, što se tiče sedmog pitanja, točke (a), čini mi se da, ako tijelo za zaštitu tržišnog natjecanja nije nadležno za utvrđivanje povrede OUZP-a( ), toj se uredbi u načelu ne protivi to da tijela različita od nadzornih tijela prilikom izvršavanja svojih nadležnosti i ovlasti, podredno, uzmu u obzir usklađenost postupanja s odredbama OUZP-a. To je osobito slučaj, prema mojem mišljenju, kad tijelo za zaštitu tržišnog natjecanja izvršava ovlasti koje su mu dodijeljene člankom 102. UFEU-a i člankom 5. prvim stavkom Uredbe (EZ) br. 1/2003( ) ili bilo kojim drugim odgovarajućim nacionalnim pravnim pravilom( ).

23. Naime, tijelo za zaštitu tržišnog natjecanja prilikom izvršavanja svojih ovlasti treba ocijeniti, među ostalim, sastoji li se ispitano postupanje od primjene sredstava koja su različita od onih koja proizlaze iz tržišnog natjecanja koje se temelji na zaslugama, s obzirom na pravni i ekonomski kontekst tog postupanja( ). U tom pogledu, usklađenost ili neusklađenost navedenog postupanja s odredbama OUZP-a, ne sama po sebi, nego s obzirom na sve predmetne okolnosti, može biti važan pokazatelj kako bi se utvrdilo predstavlja li to postupanje upotrebu sredstava kojima se uređuje normalno tržišno natjecanje, pri čemu se pojašnjava da utvrđenje da postupanje predstavlja zlouporabu ili ne predstavlja zlouporabu s obzirom na članak 102. UFEU-a ne proizlazi iz njegove usklađenosti ili neusklađenosti s OUZP-om ili drugim pravnim pravilima( ).

24. Stoga smatram da ispitivanje zlouporabe vladajućeg položaja na tržištu može opravdati to da tijelo za zaštitu tržišnog natjecanja tumači pravna pravila koja nisu obuhvaćena pravom tržišnog natjecanja, kao što su ona iz OUZP-a( ), pri čemu pojašnjavam da se takvo ispitivanje provodi podredno( ) i ne dovodi u pitanje primjenu te uredbe koju provode nadležna nadzorna tijela( ).

25. Kao drugo, što se tiče sedmog pitanja točke (b), sud koji je uputio zahtjev pita koje su obveze tijela za zaštitu tržišnog natjecanja u okviru primjene načela lojalne suradnje propisanog člankom 4. stavkom 3. UEU-a kada tumači odredbe OUZP-a, u odnosu na nadležno vodeće nadzorno tijelo u smislu te uredbe, i, konkretnije, kada isto postupanje koje ispituje tijelo za zaštitu tržišnog natjecanja ispituje i nadležno vodeće nadzorno tijelo.

26. U ovom slučaju činjenica da tijelo za zaštitu tržišnog natjecanja ispituje, iako podredno, postupanja poduzetnika s obzirom na pravna pravila OUZP-a uključuje rizik od toga da to tijelo i nadzorna tijela različito tumače tu uredbu, što u načelu može ugroziti ujednačeno tumačenje OUZP-a( ).

27. Pravom Unije ne predviđaju se detaljna pravila o suradnji između tijela za zaštitu tržišnog natjecanja i nadzornih tijela u smislu OUZP-a u takvoj situaciji. Konkretnije, u ovom se slučaju ne mogu primijeniti ni mehanizam suradnje između nadležnih tijela u smislu OUZP-a prilikom primjene te uredbe( ) ni druga posebna pravila o suradnji među upravnim tijelima, kao što su ona o suradnji među tijelima za zaštitu tržišnog natjecanja i suradnji između njih i Komisije prilikom primjene pravila tržišnog natjecanja( ).

28. S obzirom na navedeno, tijelo za zaštitu tržišnog natjecanja prilikom tumačenja OUZP-a ipak je obvezano načelom lojalne suradnje iz članka 4. stavka 3. UEU-a, na temelju kojeg se Unija i države članice, uključujući njihova upravna tijela( ), poštuju te si međusobno pomažu pri obavljanju zadaća koje proizlaze iz Ugovorâ. Konkretno, trećim podstavkom te odredbe predviđa se da države članice olakšavaju ostvarivanje zadaća Unije i suzdržavaju se od svake mjere koja bi mogla ugroziti postizanje ciljeva Unije( ). Usto, kao i svako upravno tijelo zaduženo za primjenu prava Unije, tijelo za zaštitu tržišnog natjecanja obvezano je načelom dobre uprave kao općim načelom prava Unije, koje uključuje, među ostalim, opsežnu obvezu dužne pažnje i brižnog postupanja nacionalnih tijela( ).

29. Prema tome, u nedostatku preciznih pravila o mehanizmima suradnje, koja je eventualno dužan donijeti zakonodavac Unije, tijelo za zaštitu tržišnog natjecanja, kada tumači odredbe OUZP-a, podliježe barem obvezama obavješćivanja, prikupljanja podataka i suradnje u odnosu na nadležna tijela u smislu te uredbe, u skladu s nacionalnim pravnim pravilima koja uređuju njegove ovlasti (načelo postupovne autonomije država članica) i poštuje načela ekvivalentnosti i djelotvornosti( ).

30. Prema mojem mišljenju, iz toga slijedi da, kada nadležno vodeće nadzorno tijelo odluči o primjeni određenih odredbi OUZP-a u odnosu na istu ili sličnu praksu, tijelo za zaštitu tržišnog natjecanja u načelu ne može odstupiti od tumačenja tog tijela, koje je jedino nadležno za primjenu te uredbe( ), i treba, koliko je to moguće i uz poštovanje, među ostalim, prava obrane ispitanika, postupati u skladu sa svim odlukama koje je to tijelo donijelo u pogledu istog postupanja( ) i, u slučaju postojanja sumnji u tumačenje nadležnog tijela, savjetovati se s njim ili, ovisno o okolnostima slučaja, ako se potonje tijelo nalazi u drugoj državi članici, savjetovati se s nacionalnim nadzornim tijelom( ).

31. Usto, u nedostatku odluke nadležnog nadzornog tijela, ipak je na tijelu za zaštitu tržišnog natjecanja da informira nadležno nadzorno tijelo( ) i surađuje s njim kada to tijelo započne s ispitivanjem iste prakse ili kad je izrazilo namjeru da to učini te da eventualno pričeka ishod ispitivanja koje provodi to tijelo prije nego što započne vlastitu ocjenu kad je to prikladno te da ne dovodi u pitanje, među ostalim, to da tijelo za zaštitu tržišnog natjecanja poštuje razuman rok za ispitni postupak i prava obrane ispitanika( ).

32. U ovom slučaju, čini mi se da činjenica da je to tijelo pokrenulo suradnju s nadležnim nadzornim tijelima na nacionalnoj razini( ) te da se neslužbeno obratilo irskom vodećem nadzornom tijelu, na što se poziva Savezni ured za zaštitu tržišnog natjecanja i što je na sudu koji je uputio zahtjev da provjeri, može biti dovoljna da se zaključi da je to tijelo ispunilo svoje obveze dužne pažnje i lojalne suradnje( ).

33. Zaključno, predlažem da se na sedmo prethodno pitanje odgovori da članke 51. do 66. OUZP-a treba tumačiti na način da tijelo za zaštitu tržišnog natjecanja, u okviru svojih ovlasti u smislu pravila o tržišnom natjecanju, može podredno ispitati usklađenost ispitanih praksi s pravilima OUZP-a, pri čemu uzima u obzir svaku odluku ili istragu nadležnog nadzornog tijela na temelju OUZP-a te informira nacionalno nadzorno tijelo te se, po potrebi, s njime savjetuje.

Drugo prethodno pitanje

34. Svojim drugim prethodnim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 9. stavak 1. OUZP-a tumačiti na način da je sporna praksa, kada se odnosi na posjećivanje trećih internetskih stranica i aplikacija( ), obuhvaćena obradom navedenih osjetljivih osobnih podataka( ), koja je zabranjena( ) (drugo pitanje, točka (a)) i, u slučaju potvrdnog odgovora, treba li članak 9. stavak 2. točku (e) te uredbe tumačiti na način da korisnik u smislu te odredbe očito objavljuje podatke koji su, s jedne strane, otkriveni prilikom posjećivanja internetskih stranica i aplikacija ili koji su, s druge strane, uneseni ili koji proizlaze iz upotrebe opcija koje se nalaze na tim internetskim stranicama ili aplikacijama( ) (drugo pitanje, točka (b)).

35. Kao prvo, što se tiče drugog pitanja, točke (a), podsjećam na to da je, na temelju članka 9. stavka 1. OUZP-a, obrada osjetljivih osobnih podataka zabranjena. Posebna zaštita tih podataka opravdana je, kao što to proizlazi iz uvodne izjave 51. te uredbe, činjenicom da su oni po samoj svojoj prirodi osobito osjetljivi u pogledu temeljnih prava i sloboda i da bi njihova obrada mogla dovesti do značajnih rizika za te slobode i prava. Usto, unatoč pomalo nejasnom tekstu te odredbe( ), ne čini mi se, kao što to smatra sud koji je uputio zahtjev, da se njome uvodi bitna razlika između osobnih podataka koji su osjetljivi jer „otkrivaju” određenu situaciju i podataka koji su sami po sebi osjetljivi( ).

36. U ovom slučaju, čini mi se očitim da sporna praksa predstavlja obradu osobnih podataka koja u načelu može biti obuhvaćena područjem primjene te odredbe i zabranjena ako obrađeni podaci „otkrivaju” neku od osjetljivih situacija navedenih u toj odredbi. Stoga valja utvrditi može li i u kojoj mjeri posjećivanje internetskih stranica i aplikacija ili unos podataka na njih „otkriti” neke od osjetljivih situacija na koju se odnosi predmetna odredba.

37. U tom pogledu sumnjam da je relevantno (i uvijek moguće) razlikovati, s jedne strane, puki interes ispitanika za određene informacije i, s druge strane, njegovu pripadnost jednoj od kategorija obuhvaćenih predmetnom odredbom( ). Iako su stajališta stranaka glavnog postupka u tom pogledu suprotna( ), smatram da se odgovor na to pitanje može tražiti samo u svakom slučaju zasebno i s obzirom na svaku od aktivnosti koje čine spornu praksu.

38. Iako, kao što to ističe njemačka vlada, samo prikupljanje osjetljivih osobnih podataka koji se odnose na posjećivanje internetske stranice ili aplikacije samo po sebi nije nužno obrada osjetljivih osobnih podataka u smislu te odredbe( ), povezivanje tih podataka s Facebook računom dotičnog korisnika ili njihovo korištenje predstavljaju postupanja koja bi, suprotno tomu, mogla vjerojatnije predstavljati takvu obradu. Prema mojem mišljenju, za potrebe primjene članka 9. stavka 1. OUZP-a odlučujuća je mogućnost da obrađeni podaci omogućuju izradu profila korisnika prema kategorijama navedenima na popisu osjetljivih osobnih podataka iz te odredbe( ).

39. U tom kontekstu, kako bi se moglo utvrditi je li obrada podataka obuhvaćena područjem primjene te odredbe, moglo bi biti korisno razlikovati, ovisno o slučaju, s jedne strane, obradu podataka koji se prima facie mogu svrstati u kategoriju osjetljivih osobnih podataka i koji sami po sebi omogućuju izradu profila ispitanika i, s druge strane, obradu podataka koji sami po sebi nisu osjetljivi, ali zahtijevaju naknadno grupiranje kako bi se izveli uvjerljivi zaključci za izradu profila ispitanika.

40. S obzirom na navedeno, valja pojasniti da je postojanje kategorizacije u smislu te odredbe neovisno o tome je li ta kvalifikacija istinita ili točna( ). Važno je da u okviru takve kategorizacije postoji mogućnost značajnog rizika za temeljna prava i slobode ispitanika, kao što se to navodi u uvodnoj izjavi 51. OUZP-a, koja ne ovisi o njezinoj istinitosti.

41. Naposljetku, što se tiče pitanja suda koji je uputio zahtjev u pogledu toga je li svrha upotrebe relevantna za predmetnu ocjenu( ), smatram, suprotno onomu što tvrdi žalitelj iz glavnog postupka, da se načelno ne zahtijeva da voditelj obrade obrađuje te podatke „svjesno i s namjerom da iz njih izravno izvede posebne kategorije informacija”. Naime, cilj predmetne odredbe u biti je objektivno spriječiti značajne rizike za temeljna prava i slobode ispitanika koji proizlaze iz obrade osjetljivih osobnih podataka, neovisno o bilo kojem subjektivnom elementu kao što je namjera voditelja obrade.

42. Kao drugo, što se tiče drugog pitanja, točke (b) podsjećam na to da se, na temelju članka 9. stavka 2. točke (e) OUZP-a, zabrana obrade osjetljivih osobnih podataka ne primjenjuje ako se obrada odnosi na osobne podatke za koje je očito da ih je objavio ispitanik. Usto, upućivanje u tekstu te odredbe na prilog „očito” i činjenica da navedena odredba predstavlja iznimku od načela zabrane obrade osjetljivih osobnih podataka( ) nalažu osobito strogu primjenu te iznimke zbog značajnih rizika za temeljna prava i slobode ispitanika( ). Da bi se ta iznimka mogla primijeniti, korisnik treba, prema mojem mišljenju, biti u potpunosti svjestan činjenice da izričitom radnjom( ) objavljuje osobne podatke( ).

43. U ovom mi se slučaju čini da se postupanje koje se sastoji od posjećivanja internetskih stranica i aplikacija, unosa podataka u te stranice i aplikacije te upotrebe opcija koje se nalaze na tim internetskim stranicama ili aplikacijama načelno ne mogu izjednačiti s očitim objavljivanjem osjetljivih osobnih podataka korisnika u smislu članka 9. stavka 2. točke 2. OUZP-a.

44. Konkretnije, ističem da posjećivanje internetskih stranica i aplikacija u načelu omogućuje pristup podacima o posjećivanju samo upravitelju predmetne internetske stranice ili aplikacije i trećim osobama kojima taj upravitelj prenosi te informacije, kao što je to žalitelj iz glavnog postupka( ). Isto tako, iako je unošenjem podataka u internetske stranice i aplikacije ispitanik mogao izravno i dobrovoljno dati informacije o određenim osjetljivim osobnim podacima, napominjem i da su te informacije dostupne samo upravitelju stranice ili aplikacije i trećim osobama kojima taj upravitelj prenosi navedene informacije. Stoga isključujem mogućnost da takva postupanja svjedoče o želji da se ti podaci stave na raspolaganje zajednici( ). Usto, iako je očito da, upotrebom opcija koje se nalaze na internetskim stranicama ili aplikacijama( ), ispitanik jasno izražava želju da određene informacije dijeli s javnošću izvan predmetne internetske stranice ili aplikacije, smatram da je, kao što to naglašava Savezni ured za zaštitu tržišnog natjecanja, tim postupanjem dotična osoba svjesna da dijeli informacije s određenim krugom osoba, koji često definira sâm korisnik( ), a ne sa zajednicom( ).

45. Naposljetku, što se tiče relevantnosti eventualne privole korisnika u smislu članka 5. stavka 3. Direktive 2002/58 za prikupljanje osobnih podataka kolačićima ili sličnim tehnologijama, na koju upućuje sud koji je uputio zahtjev, smatram da ta privola, s obzirom na njezinu posebnu svrhu, sama po sebi ne može opravdati obradu osjetljivih osobnih podataka prikupljenih tim sredstvima( ). Naime, navedena privola, koja je nužna za postavljanje tehničkog sredstva za bilježenje određenih aktivnosti korisnika( ), ne odnosi se na obradu osjetljivih osobnih podataka i ne može se izjednačiti s namjerom da se ti podaci očito objave u smislu članka 9. stavka 2. točke (e) OUZP-a( ).

46. Zaključno, predlažem da se na drugo prethodno pitanje odgovori da, s jedne strane, članak 9. stavak 1. OUZP-a treba tumačiti na način da zabrana obrade osjetljivih osobnih podataka može uključivati obradu podataka koju provodi upravitelj internetske društvene mreže i koja uključuje prikupljanje podataka od korisnika kada on posjećuje druge internetske stranice ili aplikacije ili u njih unosi te podatke, povezivanje navedenih podataka s korisničkim računom na društvenoj mreži i njihovu upotrebu, pod uvjetom da obrađene informacije, pojedinačno razmatrane ili grupirane, omogućuju izradu profila korisnika prema kategorijama navedenima na popisu osjetljivih osobnih podataka iz te odredbe i, s druge strane, da članak 9. stavak 2. točku (e) OUZP-a treba tumačiti na način da korisnik očito ne objavljuje podatke na temelju činjenice da su oni otkriveni posjećivanjem internetskih stranica i aplikacija ili uneseni na te internetske stranice ili aplikacije ili da proizlaze upotrebom opcija koje se nalaze na internetskim stranicama ili aplikacijama.

Treće, četvrto i peto prethodno pitanje

47. Svojim trećim, četvrtim i petim prethodnim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 6. stavak 1. točke (b), (c), (d), (e) i (f) OUZP-a tumačiti na način da je sporna praksa( ) obuhvaćena područjem primjene jednog od opravdanja predviđenih tim odredbama, konkretnije:

– nužnosti izvršenja ugovora( ) ili ostvarivanja legitimnih interesa( ), uzimajući u obzir činjenicu da Meta Platforms upravlja društvenom mrežom koja se financira oglašavanjem i koja u svojim uvjetima uporabe nudi personalizaciju sadržaja i oglasa, mrežnu sigurnost, poboljšanje proizvoda te dosljednu i nesmetanu uporabu svih proizvoda u vlasništvu koncerna (treće prethodno pitanje);

– ostvarivanja tih legitimnih interesa( ) u kontekstu određenih situacija( ) (četvrto prethodno pitanje);

– nužnosti odgovora na pravno valjani upit koji se odnosi na određene podatke( ), nužnosti sprečavanja štetnog postupanja i promicanja sigurnosti( ) ili radi istraživanja u korist društva te potrebe za promicanjem zaštite, integriteta i sigurnosti( ) (peto prethodno pitanje).

48. Uvodno predlažem, neovisno o nekoliko pitanja u pogledu dopuštenosti četvrtog i petog prethodnog pitanja( ), da se na treće, četvrto i peto prethodno pitanje odgovori zajedno jer naznake koje ću iznijeti u nastavku, prvenstveno u pogledu trećeg prethodnog pitanja, sudu koji je uputio zahtjev mogu pomoći i prilikom primjene odredbi na koje se odnosi četvrto i peto prethodno pitanje.

49. Najprije ističem da se, u skladu s člankom 8. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja), osobni podaci moraju obrađivati pošteno, u utvrđene svrhe i na temelju legitimne osnove utvrđene zakonom. U tom pogledu, u članku 6. stavku 1. OUZP-a pojašnjava se da je obrada tih podataka zakonita samo ako je ispunjen jedan od šest uvjeta navedenih u toj odredbi( ).

50. U ovom slučaju najprije smatram da treće, četvrto i peto prethodno pitanje zahtijevaju da se u svakom slučaju zasebno provede detaljna analiza različitih odredbi Facebookovih uvjeta uporabe u kontekstu sporne prakse jer nije moguće utvrditi može li se, u pogledu te prakse, „poduzetnik kao što je [Meta Platforms]” u cijelosti pozvati na sva (ili neka) opravdanja iz članka 6. stavka 1. OUZP-a, iako se ne može isključiti da se navedena praksa ili neke njezine aktivnosti u određenim slučajevima mogu obuhvatiti područjem primjene tog članka( ).

51. Nadalje, obrada predviđena prethodno navedenim odredbama u ovom se slučaju provodi na temelju općih uvjeta ugovora koje je propisao voditelj obrade, bez privole ispitanika( ) ili čak protiv njegove volje, što, prema mojem mišljenju, zahtijeva usko tumačenje predmetnih opravdanja, osobito kako bi se izbjeglo zaobilaženje uvjeta privole( ).

52. Naposljetku, podsjećam na to da je, u skladu s člankom 5. stavkom 2. OUZP-a, na voditelju obrade teret dokazivanja da se osobni podaci obrađuju u skladu s pravnim pravilom iz te uredbe i da je, u skladu s njezinim člankom 13. stavkom 1. točkom (c), na voditelju obrade osobnih podataka da navede svrhe obrade radi kojih se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu.

Treće prethodno pitanje

53. Kao prvo, u skladu s člankom 6. stavkom 1. točkom (b) OUZP-a, obrada osobnih podataka zakonita je u mjeri u kojoj je nužna za izvršenje ugovora u kojem je ispitanik stranka( ).

54. U tom pogledu podsjećam na to da pojam „nužnost” nije definiran u zakonodavstvu Unije, ali je ipak, prema sudskoj praksi, autonoman pojam prava Unije( ). Da bi obrada bila nužna za izvršenje ugovora, nije dovoljno da je izvršena u trenutku izvršenja ugovora, da je navedena u ugovoru( ) niti da je samo korisna za izvršenje ugovora( ). Prema sudskoj praksi Suda, obrada treba biti objektivno nužna za izvršenje ugovora u smislu da ne smiju postojati realna i manje nametljiva rješenja( ), uzimajući u obzir i razumnu štetu za ispitanika( ). To uključuje i činjenicu da, ako se ugovor sastoji od nekoliko usluga ili različitih elemenata iste usluge koji se mogu pružati neovisno jedan o drugom, primjenjivost članka 6. stavka 1. točke (b) OUZP-a treba ocijeniti u kontekstu svake od tih usluga zasebno( ).

55. U okviru tog opravdanja sud koji je uputio zahtjev navodi personalizaciju sadržaja te dosljednu i neometanu uporabu proizvoda (ili usluga) koje pruža koncern.

56. Što se tiče personalizacije sadržaja, čini mi se da, iako takva aktivnost u određenoj mjeri može biti u interesu korisnika jer omogućuje prikazivanje sadržaja koji, u skladu s automatskom procjenom, odgovara interesima korisnika, osobito na „prikazu novosti” (newsfeed), nije očito da je ona nužna i za pružanje usluge predmetne društvene mreže, tako da za obradu osobnih podataka u tu svrhu nije potrebna privola tog korisnika( ). Za potrebe tog ispitivanja također valja uzeti u obzir činjenicu da se sporna praksa ne odnosi na obradu podataka o postupanju korisnika na Facebookovoj stranici ili u aplikaciji, nego na podatke iz vanjskih izvora koji su stoga potencijalno neograničeni. Stoga se pitam može li ta obrada odgovarati očekivanjima prosječnog korisnika i, općenitije, koji je „stupanj personalizacije” koji korisnik može očekivati od usluge za koju se registrira( ).

57. Što se tiče dosljedne i neometane uporabe usluga u vlasništvu koncerna, napominjem da veza između različitih usluga koje žalitelj iz glavnog postupka nudi, primjerice između Facebooka i Instagrama, doista može biti korisna za korisnika, čak ponekad i poželjna. Međutim, sumnjam da je obrada osobnih podataka proizašlih iz drugih usluga koncerna (uključujući Instagram) nužna za pružanje Facebookovih usluga( ).

58. Kao drugo, u skladu s člankom 6. stavkom 1. točkom (f) OUZP-a, obrada osobnih podataka zakonita je u mjeri u kojoj je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

59. Prema sudskoj praksi Suda, predmetnom odredbom predviđaju se tri kumulativna uvjeta zakonitosti obrade osobnih podataka, odnosno, kao prvo, da je svrha obrade zakonit interes voditelja obrade ili treće stranke odnosno stranaka kojima se podaci otkrivaju, kao drugo, da je obrada osobnih podataka potrebna za ostvarenje tog zakonitog interesa i, kao treće, da temeljna prava i slobode osobe čiji se podaci obrađuju ne prevladavaju nad tim zakonitim interesom( ).

60. Što se tiče, kao prvo, ostvarivanja legitimnog interesa, podsjećam na to da se OUZP-om i sudskom praksom priznaje širok raspon interesa koji se smatraju legitimnima( ), pri čemu se pojašnjava da je, u skladu s člankom 13. stavkom 1. točkom (d) OUZP-a, voditelj obrade dužan navesti legitimne interese koji se nastoje ostvariti u okviru članka 6. stavka 1. točke (f) OUZP-a( ).

61. Nadalje, što se tiče uvjeta koji se odnosi na nužnost obrade osobnih podataka za ostvarenje legitimnog interesa, prema sudskoj praksi Suda, odstupanja od načela zaštite osobnih podataka i njegova ograničenja treba predvidjeti u granicama onog što je nužno( ). Stoga je nužno postojanje uske veze između obrade i interesa koji se ostvaruje, u nedostatku alternativa kojima se više poštuje zaštita osobnih podataka, s obzirom na to da nije dovoljno da je obrada korisna samo voditelju obrade.

62. Naposljetku, što se tiče odvagivanja, s jedne strane, između interesa voditelja obrade i, s druge strane, interesa ili temeljnih prava i sloboda ispitanika, prema sudskoj praksi Suda, na sudu koji je uputio zahtjev je da odvagne predmetne interese( ). Usto, kao što se to navodi u uvodnoj izjavi 47. OUZP-a, u okviru tog odvagivanja nužno je uzeti u obzir razumna očekivanja ispitanika koja se temelje na njihovu odnosu s voditeljem obrade i utvrditi može li ispitanik u vrijeme i u kontekstu prikupljanja osobnih podataka razumno očekivati obradu u dotičnu svrhu.

63. U okviru tog opravdanja sud koji je uputio zahtjev navodi personalizaciju oglasa, mrežnu sigurnost i poboljšanje proizvoda.

64. Što se tiče, najprije, personalizacije oglasa, iz uvodne izjave 47. OUZP-a proizlazi da se može smatrati da postoji legitiman interes voditelja obrade kod obrade osobnih podataka provedene za potrebe izravnog marketinga (direct marketing). Međutim, što se tiče nužnosti obrade, valja istaknuti da predmetni podaci potječu iz izvora izvan Facebooka i stoga se postavlja pitanje „stupnja personalizacije” oglasa koji je objektivno nužan u tom pogledu. Što se tiče odvagivanja interesa o kojima je riječ, smatram da treba uzeti u obzir prirodu predmetnog legitimnog interesa (u ovom slučaju isključivo gospodarski interes), kao i utjecaj obrade na korisnika, uključujući njezinu razumnu štetu i eventualne zaštitne mjere koje je poduzeo voditelj obrade( ).

65. Zatim se mogu navesti slična razmatranja u pogledu mrežne sigurnosti. Naime, iako takvo opravdanje može predstavljati legitiman interes voditelja obrade( ), manje je očito da je obrada u ovom slučaju nužna, uzimajući u obzir i to da predmetni podaci potječu iz izvora izvan Facebooka( ). U svakom slučaju, podsjećam na to da je na voditelju obrade da navede sigurnosne svrhe na kojima se eventualno temelji svaki postupak obrade.

66. Naposljetku, što se tiče poboljšanja proizvoda, ako se isključe poboljšanja povezana sa sigurnosti, koja su obuhvaćena prethodno ispitanim posebnim opravdanjem, čini mi se da bi takvo opravdanje trebalo biti u interesu korisnika, a ne voditelja obrade. Iz te je perspektive teško razumjeti u kojoj mjeri ono može predstavljati legitiman interes voditelja i ne ovisiti o privoli korisnika. Što se tiče uvjeta nužnosti i odvagivanja prava i interesa o kojima je riječ, upućujem na prethodna razmatranja.

Četvrto i peto prethodno pitanje

67. Svojim četvrtim prethodnim pitanjem, koje u biti predstavlja proširenje drugog dijela trećeg prethodnog pitanja, sud koji je uputio zahtjev želi znati podrazumijeva li ponavljanje određenih situacija navedenih na popisu postojanje legitimnog interesa u smislu članka 6. stavka 1. točke (f) OUZP-a, dok svojim petim prethodnim pitanjem taj sud želi znati jesu li nužnost da se odgovori na pravno valjani upit koji se odnosi na određene podatke, da se spriječi štetno postupanje i promiče sigurnost ili nužnost istraživanja u korist društva i promicanja zaštite, integriteta i sigurnosti opravdanja primjenjiva na spornu praksu( ).

68. Neovisno o dopuštenosti tih pitanja( ), smatram da se općenito ne može isključiti da se, u pogledu četvrtog prethodnog pitanja, određene odredbe koje obilježavaju spornu praksu mogu opravdati legitimnim interesima u okolnostima koje navodi sud koji je uputio zahtjev( ) i, u pogledu petog prethodnog pitanja, da se u određenim situacijama sporna praksa može opravdati na temelju navedenih odredbi.

69. Međutim, iz odluke kojom se upućuje prethodno pitanje ne proizlazi je li i u kojoj mjeri Meta Platforms Ireland za svaku svrhu obrade i vrstu obrađenih podataka naveo stvarne legitimne interese ili druga opravdanja koja bi mogla biti relevantna u ovom slučaju( ). Stoga je na sudu koji je uputio zahtjev da s obzirom na prethodno navedene naznake ispita u kojoj je mjeri, u okolnostima koje navodi taj sud, sporna praksa opravdana postojanjem legitimnih interesa koncerna Meta Platforms Ireland u pogledu obrade podataka u smislu članka 6. stavka 1. točke (f) OUZP-a ili nekim drugim uvjetima iz članka 6. stavka 1. točaka (c), (d) i (e) te uredbe.

Odgovor na treće, četvrto i peto prethodno pitanje

70. Zaključno, predlažem da se na treće, četvrto i peto prethodno pitanje odgovori da članak 6. stavak 1. točke (b), (c), (d), (e) i (f) OUZP-a treba tumačiti na način da sporna praksa ili neke od njezinih aktivnosti mogu biti obuhvaćene iznimkama predviđenima tim odredbama, pod uvjetom da svaka ispitana metoda obrade podataka ispunjava uvjete predviđene konkretnim opravdanjem kojeg je voditelj obrade naveo i da je stoga:

– obrada objektivno nužna za pružanje usluga povezanih s Facebook računom;

– obrada nužna za ostvarivanje legitimnog interesa koji je naveo voditelj obrade ili treća strana ili strane kojima se podaci otkrivaju i da ne utječe neproporcionalno na temeljna prava i slobode ispitanika;

– obrada nužna kako bi se odgovorilo na pravno valjani upit koji se odnosi na određene podatke, kako bi se spriječilo štetno postupanje i promicala sigurnost ili radi istraživanja u korist društva te potrebe za promicanjem zaštite, integriteta i sigurnosti.

Šesto prethodno pitanje

71. Svojim šestim prethodnim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 6. stavak 1. točku (a) i članak 9. stavak 2. točku (a) OUZP-a tumačiti na način da se poduzetniku u vladajućem položaju na nacionalnom tržištu internetskih društvenih mreža za privatne korisnike može dati valjana i dobrovoljna privola u smislu članka 4. točke 11. te uredbe.

72. Uvodno podsjećam na to da se člankom 6. stavkom 1. točkom (a) i člankom 9. stavkom 2. točkom (a) OUZP-a predviđa obveza privole ispitanika u pogledu obrade osobnih podataka općenito i obrade osjetljivih osobnih podataka. Usto, u skladu s člankom 4. točkom 11. OUZP-a, za potrebe te uredbe „privola” ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose( ).

73. Konkretnije, što se tiče uvjeta „dobrovoljne” privole, koji je jedini uvjet koji se u ovom slučaju dovodi u pitanje, ističem da se, u skladu s uvodnom izjavom 42. OUZP-a, ne može smatrati da je privola dana dobrovoljno ako ispitanik nema istinski ili slobodan izbor( ) ili ako nije u mogućnosti odbiti ili povući privolu bez posljedica( ). Usto, kao što se to predviđa člankom 7. stavkom 1. OUZP-a (i navodi u uvodnoj izjavi 42. te uredbe), kada se obrada temelji na privoli ispitanika, voditelj obrade mora biti u mogućnosti dokazati da je ta osoba dala privolu za obradu svojih osobnih podataka.

74. Budući da je to relevantno u ovom slučaju, najprije podsjećam na to da, kao što se to naglašava u prvoj rečenici uvodne izjave 43. OUZP-a, privola ne predstavlja valjanu pravnu osnovu za obradu osobnih podataka kada postoji „jasna neravnoteža” između ispitanika i voditelja obrade( ), kao drugo, da se na temelju članka 7. stavka 4. OUZP-a, kada se procjenjuje je li privola bila dobrovoljna, u najvećoj mogućoj mjeri uzima u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora( ) i, naposljetku, da se, u skladu s drugom rečenicom uvodne izjave 43. OUZP-a, također smatra da privola nije dana dobrovoljno ako se njome ne omogućuje davanje zasebne privole za različite postupke obrade podataka, unatoč tome što je primjerena pojedinačnom slučaju( ).

75. U ovom slučaju smatram da eventualni vladajući položaj na tržištu voditelja obrade osobnih podataka koji upravlja društvenom mrežom ima ulogu u ocjeni postojanja dobrovoljne privole korisnika te mreže. Naime, postojanje situacije u kojoj voditelj obrade osobnih podataka ima tržišnu snagu može stvoriti očitu neravnotežu odnosa snaga, kao što se to navodi u točki 74. ovog mišljenja( ). Međutim, valja pojasniti, s jedne strane, da takvu situaciju tržišne snage, kako bi bila relevantna s gledišta primjene OUZP-a, ne treba nužno izjednačiti s razinom vladajućeg položaja u smislu članka 102. UFEU-a( ) i, s druge strane, da se zbog same te okolnosti privolu načelno ne može u potpunosti lišiti svake valjanosti( ).

76. Stoga valjanost privole treba ispitati u svakom slučaju zasebno, s obzirom na ostale čimbenike navedene u točkama 73. i 74. ovog mišljenja te uzimajući u obzir sve predmetne okolnosti i činjenicu da je teret dokazivanja da je ispitanik dao privolu za obradu osobnih podataka koji se na njega odnose na voditelju obrade.

77. Zaključno, predlažem da se na šesto prethodno pitanje odgovori da članak 6. stavak 1. točku (a) i članak 9. stavak 2. točku (a) OUZP-a treba tumačiti na način da sama okolnost da poduzetnik koji upravlja društvenom mrežom ima vladajući položaj na nacionalnom tržištu internetskih društvenih mreža za privatne korisnike ne može sama po sebi učiniti nevaljanom privolu korisnika te mreže za obradu njegovih osobnih podataka u smislu članka 4. točke 11. OUZP-a. Međutim, takva okolnost ima ulogu u ocjeni dobrovoljnosti privole u smislu te odredbe, a na voditelju obrade je da dokaže, po potrebi uzimajući u obzir postojanje očite neravnoteže odnosa snaga između ispitanika i voditelja obrade, moguću obvezu davanja privole za obradu osobnih podataka koji nisu strogo nužni za pružanje predmetnih usluga, nužnost zasebne privole za svaku svrhu obrade i nužnost da se spriječi da povlačenje privole nanese štetu korisniku koji to učini.

Zaključak

78. S obzirom na prethodna razmatranja, predlažem Sudu da na prethodna pitanja koja je uputio Oberlandesgericht Düsseldorf (Visoki zemaljski sud u Düsseldorfu, Njemačka) odgovori na sljedeći način:

1. Članke 51. do 66. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

treba tumačiti na način da:

tijelo za zaštitu tržišnog natjecanja, u okviru svojih ovlasti u smislu pravila o tržišnom natjecanju, može podredno ispitati usklađenost ispitanih praksi s pravilima te uredbe, pri čemu uzima u obzir svaku odluku ili istragu nadležnog nadzornog tijela na temelju navedene uredbe i obavještava nacionalno nadzorno tijelo te se, po potrebi, s njime savjetuje.

2. Članak 9. stavak 1. Uredbe 2016/679

treba tumačiti na način da:

zabrana obrade osjetljivih osobnih podataka može uključivati obradu podataka koju provodi upravitelj internetske društvene mreže i koja uključuje prikupljanja podataka od korisnika kada on posjećuje druge internetske stranice ili aplikacije ili u njih unosi te podatke, povezivanje navedenih podataka s korisničkim računom na društvenoj mreži i njihovu upotrebu, pod uvjetom da obrađene informacije, pojedinačno razmatrane ili grupirane, omogućuju izradu profila korisnika prema kategorijama navedenima na popisu osjetljivih osobnih podataka iz te odredbe.

Članak 9. stavak 2. točku (e) te uredbe treba tumačiti na način da:

korisnik očito ne objavljuje podatke na temelju činjenice da su oni otkriveni posjećivanjem internetskih stranica i aplikacija ili uneseni na te internetske stranice ili aplikacije ili da oni proizlaze upotrebom opcija koje se nalaze na internetskim stranicama ili aplikacijama.

3. Članak 6. stavak 1. točke (b), (c), (d), (e) i (f) Uredbe 2016/679

treba tumačiti na način da:

praksa koja se sastoji, kao prvo, od prikupljanja podataka iz drugih usluga koje koncern pruža te iz trećih internetskih stranica i aplikacija preko sučelja koja one sadržavaju ili preko kolačića za pohranu omogućenih na računalu ili prijenosnoj terminalnoj opremi korisnika, kao drugo, od povezivanja tih podataka s Facebook računom dotičnog korisnika i, kao treće, od upotrebe navedenih podataka, ili neke od aktivnosti koje čine tu praksu mogu biti obuhvaćene iznimkama predviđenima tim odredbama, pod uvjetom da svaka ispitana metoda obrade podataka ispunjava uvjete predviđene konkretnim opravdanjem koje je voditelj obrade naveo i da je stoga:

– obrada objektivno nužna za pružanje usluga povezanih s Facebook računom;

– obrada nužna za ostvarivanje legitimnog interesa koji je naveo voditelj obrade ili treća strana ili strane kojima se podaci otkrivaju i da ne utječe neproporcionalno na temeljna prava i slobode ispitanika;

– obrada nužna kako bi se odgovorilo na pravno valjani upit koji se odnosi na određene podatke, kako bi se spriječilo štetno postupanje i promicala sigurnost ili radi istraživanja u korist društva te potrebe za promicanjem zaštite, integriteta i sigurnosti.

4. Članak 6. stavak 1. točku (a) i članak 9. stavak 2. točku (a) Uredbe 2016/679

treba tumačiti na način da:

sama okolnost da poduzetnik koji upravlja društvenom mrežom ima vladajući položaj na nacionalnom tržištu internetskih društvenih mreža za privatne korisnike ne može sama po sebi učiniti nevaljanom privolu korisnika te mreže za obradu njegovih osobnih podataka u smislu članka 4. točke 11. te uredbe. Međutim, takva okolnost ima ulogu u ocjeni dobrovoljnosti privole u smislu te odredbe, a na voditelju obrade je da dokaže, po potrebi uzimajući u obzir postojanje očite neravnoteže odnosa snaga između ispitanika i voditelja obrade, moguću obvezu davanja privole za obradu osobnih podataka koji nisu strogo nužni za pružanje predmetnih usluga, nužnost zasebne privole za svaku svrhu obrade i nužnost da se spriječi da povlačenje privole nanese štetu korisniku koji to učini.