Pagaidu versija

ĢENERĀLADVOKĀTA ATANASIJA RANTA [ATHANASIOS RANTOS]

SECINĀJUMI,

sniegti 2022. gada 20. septembrī ( )

Lieta C‑252/21

Meta Platforms Inc., iepriekš – Facebook Inc.,

Meta Platforms Ireland Limited, iepriekš – Facebook Ireland Ltd.,

Facebook Deutschland GmbH

pret

Bundeskartellamt,

piedaloties:

Verbraucherzentrale Bundesverband e. V.

(Oberlandesgericht Düsseldorf (Federālās zemes Augstākā tiesa Diseldorfā, Vācija) lūgums sniegt prejudiciālu nolēmumu)

Lūgums sniegt prejudiciālu nolēmumu – Regula (ES) 2016/679 – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Sociālie tīkli – 4. panta 11. punkts – Datu subjekta “piekrišanas” jēdziens – Piekrišana, kas dota pārzinim, kas ir dominējošā stāvoklī esošs uzņēmums – 6. panta 1. punkta b)–f) apakšpunkts – Apstrādes likumīgums – Apstrāde, kas vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei vai pārziņa vai trešās personas leģitīmo interešu ievērošanai – Apstrāde, kas vajadzīga, lai izpildītu uz pārzini attiecināmu juridisku pienākumu, lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses vai lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras – 9. panta 1. punkts un 2. punkta e) apakšpunkts – Īpašas personas datu kategorijas – Personas dati, kurus datu subjekts apzināti ir publiskojis – 51.–66. pants – Valsts konkurences iestādes pilnvaras – Saistība ar personas datu aizsardzības uzraudzības iestāžu pilnvarām – Pasākumi saskaņā ar konkurences tiesībām, ko veic iestāde, kas atrodas citā dalībvalstī, nevis tajā, kurā atrodas vadošā iestāde datu aizsardzības uzraudzībai





Ievads

1. Šo lūgumu sniegt prejudiciālu nolēmumu ir iesniegusi Oberlandesgericht Düsseldorf (Federālās zemes Augstākā tiesa Diseldorfā, Vācija) tiesvedībā starp Meta Platforms grupas sabiedrībām ( ) un Bundeskartellamt (Federālais karteļu birojs, Vācija) par lēmumu, kurā šis birojs aizliedza prasītājam pamatlietā veikt datu apstrādi, kas paredzēta tā sociālā tīkla Facebook lietošanas noteikumos, kā arī šo lietošanas noteikumu īstenošanu, un noteica pasākumus šo darbību izbeigšanai ( ).

2. Prejudiciālie jautājumi būtībā attiecas uz, pirmkārt, tādas valsts konkurences iestādes kā Bundeskartellamt, kompetenci pārbaudīt, galvenokārt vai pakārtoti, uzņēmuma rīcību atsevišķu Regulas (ES) 2016/679 ( ) normu kontekstā un, otrkārt, to interpretāciju tostarp attiecībā uz sensitīvo personas datu apstrādi, nosacījumiem, kuriem ir nozīme saistībā ar personas datu apstrādes likumīgumu, un brīvi paustu piekrišanu dominējošā stāvoklī esošam uzņēmumam.

Atbilstošās tiesību normas

Savienības tiesības

3. VDAR 4. pantā ir paredzēts:

“Šajā regulā:

[..]

11) datu subjekta “piekrišana” ir jebkura brīvi sniegta, konkrēta, apzināta un viennozīmīga norāde uz datu subjekta vēlmēm, ar kuru viņš paziņojuma vai skaidri apstiprinošas darbības veidā sniedz piekrišanu savu personas datu apstrādei;

[..].”

4. Šīs regulas 6. panta 1. punkts “Apstrādes likumīgums” ir izteikts šādi:

“Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:

a) datu subjekts ir devis piekrišanu savu personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem;

b) apstrāde ir vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei vai pasākumu veikšanai pēc datu subjekta pieprasījuma pirms līguma noslēgšanas;

c) apstrāde ir vajadzīga, lai izpildītu uz pārzini attiecināmu juridisku pienākumu;

d) apstrāde ir vajadzīga, lai aizsargātu datu subjekta vai citas fiziskas personas vitālas intereses;

e) apstrāde ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras;

f) apstrāde ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm, jo īpaši, ja datu subjekts ir bērns.

Pirmās daļas f) apakšpunktu nepiemēro apstrādei, ko veic publiskas iestādes, pildot savus uzdevumus.”

5. Minētās regulas 9. panta “Īpašu kategoriju personas datu apstrāde” 1. un 2. punktā ir noteikts:

“1. Ir aizliegta tādu personas datu apstrāde, kas atklāj rases vai etnisko piederību, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībās, un ģenētisko datu, biometrisko datu, lai veiktu fiziskas personas unikālu identifikāciju, veselības datu vai datu par fiziskas personas dzimumdzīvi vai seksuālo orientāciju apstrāde.

2. Šā panta 1. punktu nepiemēro, ja ir piemērojams kāds no šādiem pamatojumiem:

a) datu subjekts ir devis nepārprotamu piekrišanu šo personas datu apstrādei vienam vai vairākiem konkrētiem nolūkiem, izņemot, ja Savienības vai dalībvalsts tiesību akti paredz, ka 1. punktā minēto aizliegumu datu subjekts nevar atcelt;

[..]

e) apstrāde attiecas uz personas datiem, kurus datu subjekts apzināti ir publiskojis;

[..].”

6. Šīs pašas regulas 51. pantā “Uzraudzības iestāde”, kas ietilpst tās VI nodaļā “Neatkarīgas uzraudzības iestādes”, ir noteikts:

“1. Katra dalībvalsts paredz, ka viena vai vairākas neatkarīgas publiskas iestādes ir atbildīgas par šīs regulas piemērošanas uzraudzību, lai aizsargātu fizisku personu pamattiesības un pamatbrīvības saistībā ar apstrādi un veicinātu personas datu brīvu apriti Savienībā [..].

2. Katra uzraudzības iestāde palīdz nodrošināt šīs regulas konsekventu piemērošanu visā Savienībā. Minētajā nolūkā uzraudzības iestādes sadarbojas cita ar citu un ar Komisiju saskaņā ar VII nodaļu.

[..]”

Vācijas tiesības

7. Gesetz gegen Wettbewerbsbeschränkungen (Likums par konkurences ierobežojumu novēršanu, turpmāk tekstā – “GWB”) 19. panta 1. punktā ir noteikts:

“Ja viens vai vairāki uzņēmumi tirgū ir dominējošā stāvoklī, tiem šo stāvokli ir aizliegts izmantot ļaunprātīgi.” ( )

8. GWB 50f pantā ir paredzēts:

“(1) Konkurences iestādes, regulatīvās iestādes, Federālais datu aizsardzības un informācijas brīvības pārstāvis, federālo zemju atbildīgie personas datu aizsardzības jomā, kā arī kompetentās iestādes EU-Verbraucherschutzdurchführungsgesetz [Likuma par Eiropas Savienības patērētāju tiesību aizsardzību īstenošanu] 2. panta izpratnē, neatkarīgi no izvēlētās procedūras, var savstarpēji apmainīties ar informāciju, tostarp ar personas datiem un komercnoslēpumiem, ja tas ir vajadzīgs to attiecīgo uzdevumu izpildei, kā arī izmantot šos datus savās procedūrās. [..]”

Pamatlieta, prejudiciālie jautājumi un tiesvedība Tiesā

9. Meta Platforms pārvalda tiešsaistes sociālā tīkla “Facebook” piedāvājumu Eiropas Savienībā (šādā adresē www.facebook.com), kā arī citus tiešsaistes pakalpojumus, tostarp Instagram un WhatsApp. Meta Platforms pārvaldīto sociālo tīklu ekonomiskais modelis galvenokārt paredz, pirmkārt, piedāvāt bezmaksas sociālā tīkla pakalpojumus privātiem lietotājiem un, otrkārt, pārdot tiešsaistes reklāmas, kuras ir pielāgotas individuāliem sociālā tīkla lietotājiem un kuru mērķis ir rādīt attiecīgajiem lietotājiem tās reklāmas, kas, citastarp pamatojoties uz lietotāja individuāliem patēriņa ieradumiem, interesēm, pirktspēju un dzīves situāciju, viņus varētu interesēt. Šāda veida reklāmu pamatā tehnoloģiski ir tīkla lietotāju ļoti detalizētu profilu un grupas līmenī piedāvātu tiešsaistes pakalpojumu automātiska izveidošana ( ).

10. Lietotāju datu vākšanai un apstrādei Meta Platforms balstās uz lietošanas līgumu, kas ar tā lietotājiem noslēgts, nospiežot pogu “Reģistrēties”, ar kuru minētie lietotāji tādējādi pieņem Facebook lietošanas noteikumus. Šo lietošanas noteikumu pieņemšana ir būtisks nosacījums Facebook sociālā tīkla lietošanai ( ). Izskatāmās lietas centrā ir prakse, kuras ietvaros, pirmkārt, tiek vākti dati no citiem pašas grupas pakalpojumiem, kā arī no trešām tīmekļa vietnēm un lietotnēm, izmantojot tajās iekļautās saskarnes vai interneta lietotāja datorā vai mobilajā galiekārtā izvietotās sīkdatnes, otrkārt, šie dati tiek sasaistīti ar attiecīgā lietotāja Facebook kontu un, treškārt, minētie dati tiek izmantoti (turpmāk tekstā – “strīdīgā prakse”).

11. Bundeskartellamt uzsāka procedūru pret Meta Platforms, kuras rezultātā tas ar apstrīdēto lēmumu aizliedza pēdējam minētajam lietošanos noteikumos paredzēto datu apstrādi, kā arī šo noteikumu īstenošanu un tam noteica pasākumus šo darbību izbeigšanai. Bundeskartellamt pamatoja savu lēmumu it īpaši ar to, ka konkrētā datu apstrāde ir bijusi šīs sabiedrības dominējošā stāvokļa ļaunprātīga izmantošana privātiem lietotājiem domāto sociālo tīklu tirgū Vācijā GWB 19. panta izpratnē ( ).

12. 2019. gada 11. februārī Meta Platforms apstrīdēto lēmumu pārsūdzēja Oberlandesgericht Düsseldorf (Federālās zemes Augstākā tiesa Diseldorfā) – iesniedzējtiesā ( ), kam būtībā ir šaubas, pirmkārt, par iespēju valsts konkurences iestādēm uzraudzīt datu apstrādes atbilstību VDAR noteiktajām prasībām, kā arī konstatēt un sodīt par tās tiesību normu pārkāpumu un, otrkārt, par noteiktu šīs regulas normu interpretāciju un piemērošanu.

13. Šādos apstākļos Oberlandesgericht Düsseldorf (Federālās zemes Augstākā tiesa Diseldorfā, Vācija) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:

“1) a) Vai ar VDAR 51. un nākamajiem pantiem ir saderīgi, ja dalībvalsts konkurences iestāde, tāda kā Federālais karteļu birojs, kura nav uzraudzības iestāde VDAR 51. un nākamo pantu nozīmē, un kuras dalībvalstī uzņēmumam, kurš nav dibināts Eiropas Savienībā, atrodas uzņēmējdarbības vieta, kas reklāmas, komunikācijas un sabiedrisko attiecību jomā atbalsta šī uzņēmuma galveno uzņēmējdarbības vietu, kura atrodas citā dalībvalstī un kurai ir ekskluzīva atbildība par personas datu apstrādi visā Eiropas Savienības teritorijā, nolūkā novērst pārkāpumu aizliegtu vienošanos gadījumā konstatē, ka galvenās uzņēmējdarbības vietas līguma noteikumi par datu apstrādi un šo noteikumu īstenošana ir pretrunā VDAR noteikumiem, un izdod rīkojumu novērst šo pārkāpumu?

b) Ja tas tā ir, vai ar LES 4. panta 3. punktu ir saderīgi, ja vadošā uzraudzības iestāde galvenās uzņēmējdarbības vietas dalībvalstī VDAR 56. panta 1. punkta nozīmē vienlaicīgi izmeklēšanas procedūrā izvērtē tās līguma noteikumus par datu apstrādi?

Ja uz pirmo jautājumu ir jāatbild apstiprinoši:

2) a) Vai tad, ja interneta lietotājs vai nu tikai atver tīmekļa vietnes vai lietotnes, kurām ir saistība ar VDAR 9. panta 1. punktā minētiem kritērijiem, kā, piemēram, flirtēšanas lietotnes, homoseksuālu personu iepazīšanās portālus, politisku partiju tīmekļa vietnes, tīmekļa vietnes veselības jomā, vai arī ievada tajās datus, piemēram, reģistrējoties vai izdarot pasūtījumus, un cits uzņēmums, tāds kā Facebook Ireland, izmantojot tīmekļa vietnēs un lietotnēs iekļautās saskarnes, tādas kā “Facebook Business Tools”, vai arī, izmantojot interneta lietotāja datorā vai mobilajā galiekārtā izvietotās sīkdatnes vai līdzīgas uzkrāšanas tehnoloģijas, vāc datus par lietotāja atvērtām tīmekļa vietnēm un lietotnēm un ievadītajiem datiem, sasaista tos ar lietotāja [Facebook] konta datiem un izmanto tos, datu vākšana un/vai sasaistīšana un/vai izmantošana ir sensitīvu datu apstrāde šīs tiesību normas nozīmē?

b) Ja tas tā ir, vai, atverot šīs tīmekļa vietnes un lietotnes un/vai ievadot datus un/vai nospiežot šajās tīmekļa vietnēs vai lietotnēs tāda pakalpojumu sniedzēja kā Facebook Ireland ievietotas pogas (“sociālos spraudņus” kā “Patīk”, “Dalīties” vai “Facebook Login” vai “Account Kit”), tā ir apzināta datu publiskošana VDAR 9. panta 2. punkta e) apakšpunkta nozīmē, kas notiek, lietotājam tās atverot un/vai ievadot datus?

3) Vai tāds uzņēmums kā Facebook Ireland, kurš uztur digitālu sociālo tīklu, ko finansē no reklāmām, un savos Lietošanas noteikumos piedāvā satura un reklāmas personalizēšanu, tīkla drošību, produktu uzlabošanu un visu uzņēmumu grupas produktu nepārtrauktu un netraucētu lietošanu, var atsaukties uz pamatojumu par apstrādes vajadzību līguma izpildei atbilstoši VDAR 6. panta 1. punkta b) apakšpunktam vai par apstrādes vajadzību leģitīmo interešu ievērošanai atbilstoši VDAR 6. panta 1. punkta f) apakšpunktam, ja uzņēmums šiem mērķiem vāc datus no citiem savas uzņēmumu grupas pakalpojumiem un trešām tīmekļa vietnēm un lietotnēm, izmantojot tajās iekļautās saskarnes, tādas kā “Facebook Business Tools”, vai arī, izmantojot interneta lietotāja datorā vai mobilajā galiekārtā izvietotās sīkdatnes vai līdzīgas uzkrāšanas tehnoloģijas, tos sasaista ar lietotāja [Facebook] kontu un izmanto?

4) Vai šādā gadījumā arī:

– lietotāja nepilngadība satura un reklāmas personalizēšanai, produktu uzlabošanai, tīkla drošībai un ar mārketingu nesaistītai saziņai ar lietotāju,

– mērījumu, analīzes un citu uzņēmuma pakalpojumu sniegšana reklāmdevējiem, programmētājiem un citiem partneriem, lai viņi varētu novērtēt un uzlabot savus rezultātus,

– mārketinga komunikācijas nodrošināšana ar lietotāju, lai uzņēmums var uzlabot savus produktus un veikt tiešo tirgvedību,

– izpēte un jaunrade kopējam labumam, lai sekmētu esošās tehniskās iespējas un attiecīgi zinātnisko izpratni par svarīgām sociālām tēmām un pozitīvi ietekmētu sabiedrību un pasauli,

– kriminālvajāšanas un tiesību aizsardzības iestāžu informēšana un atbilde uz juridiskās informācijas pieprasījumiem, lai novērstu, atklātu un sodītu par noziedzīgiem nodarījumiem, neatļautu lietošanu, Lietošanas noteikumu un uzņēmuma īstenotās politikas pārkāpumiem un citām neatbilstīgām darbībām,

var būt leģitīmas intereses VDAR 6. panta 1. punkta f) apakšpunkta nozīmē, ja uzņēmums šiem mērķiem vāc datus no citiem savas uzņēmumu grupas pakalpojumiem un trešām tīmekļa vietnēm un lietotnēm, izmantojot tajās iekļautās saskarnes, tādas kā “Facebook Business Tools”, vai arī, izmantojot interneta lietotāja datorā vai mobilajā galiekārtā izvietotās sīkdatnes vai līdzīgas uzkrāšanas tehnoloģijas, sasaista tos ar lietotāja [Facebook] kontu un izmanto?

5. Vai šādā gadījumā datu vākšana no citiem savas uzņēmumu grupas pakalpojumiem un trešām tīmekļa vietnēm un lietotnēm, izmantojot tajās iekļautās saskarnes, tādas kā “Facebook Business Tools”, vai arī, izmantojot interneta lietotāja datorā vai mobilajā galiekārtā izvietotās sīkdatnes vai līdzīgas uzkrāšanas tehnoloģijas, to sasaistīšana ar lietotāja [Facebook] kontu un izmantošana vai arī jau citādā veidā likumīgi savāktu un sasaistītu datu izmantošana individuālā gadījumā var būt pamatota arī atbilstoši VDAR 6. panta 1. punkta c), d) un e) apakšpunktam, lai, piemēram, atbildētu uz likumīgu pieprasījumu par konkrētiem datiem (c) apakšpunkts), lai novērstu neatbilstīgas darbības un veicinātu drošību (d) apakšpunkts), lai veiktu pētījumus sabiedrības interesēs un veicinātu aizsardzību, integritāti un drošību (e) apakšpunkts)?

6) Vai tirgū dominējošam uzņēmumam, tādam kā Facebook Ireland, var tikt izteikta efektīva, it īpaši VDAR 4. panta 11. punktā paredzēta brīva piekrišana VDAR 6. panta 1. punkta a) apakšpunkta un VDAR 9. panta 2. punkta a) apakšpunkta nozīmē?

Ja uz pirmo jautājumu ir jāatbild noliedzoši:

7) a) Vai dalībvalsts konkurences iestāde, tāda kā Federālais karteļu birojs, kura nav uzraudzības iestāde VDAR 51. un nākamo pantu nozīmē un izvērtē tirgū dominējoša uzņēmuma pārkāpumu pret ļaunprātīgas rīcības aizliegumu aizliegtu vienošanos jomā, kas nav no datu apstrādes noteikumiem un to īstenošanas izrietošs VDAR noteikumu pārkāpums, piemēram, interešu izsvēršanas procesā var konstatēt, vai attiecīgā uzņēmuma datu apstrādes noteikumi un to īstenošana atbilst VDAR noteikumiem?

b) Ja jā, vai LES 4. panta 3. punkta kontekstā tā tas ir arī tad, ja atbilstoši VDAR 56. panta 1. punktam kompetentā vadošā uzraudzības iestāde vienlaicīgi izmeklēšanas procedūrā izvērtē attiecīgā uzņēmuma datu apstrādes noteikumus?

Ja atbilde uz septīto jautājumu ir apstiprinoša, vai ir jāatbild uz 3.–5. jautājumu attiecībā uz datiem, kas iegūti no tās pašas uzņēmumu grupas pakalpojuma Instagram.”

14. Rakstveida apsvērumus iesniedza Meta Platforms, Vācijas, Čehijas, Itālijas un Austrijas valdības, Bundeskartellamt, Verbraucherzentrale Bundesverband e. V. (Patērētāju asociācija, Vācija), kā arī Eiropas Komisija. Šie lietas dalībnieki sniedza arī mutvārdu apsvērumus 2022. gada 10. maija tiesas sēdē mutvārdu paskaidrojumu uzklausīšanai.

Vērtējums

15. Prejudiciālie jautājumi, kas ir uzdoti šajā lietā, par vairāku VDAR tiesību normu interpretāciju, būtībā skar, pirmkārt, konkurences iestādes kompetenci konstatēt un sodīt par noteikumu personas datu apstrādes jomā pārkāpumu un tās pienākumu sadarboties ar vadošo iestādi VDAR izpratnē (pirmais un septītais prejudiciālais jautājums), otrkārt, aizliegumu apstrādāt sensitīvus personas datus un nosacījumus, kas piemērojami piekrišanai to apstrādei (otrais prejudiciālais jautājums), treškārt, personas datu apstrādes likumību konkrētu pamatojumu kontekstā (trešais līdz piektais prejudiciālais jautājums) un, ceturtkārt, dominējošā stāvoklī esošam uzņēmumam sniegtas piekrišanas personas datu apstrādei spēkā esamību (sestais prejudiciālais jautājums).

16. Nākamajos punktos es vispirms izskatīšu pirmo un septīto prejudiciālo jautājumu un pēc tam – pārējos prejudiciālos jautājumus to uzdošanas secībā, apvienojot trešo, ceturto un piekto prejudiciālo jautājumu.

Par pirmo prejudiciālo jautājumu

17. Ar pirmo prejudiciālo jautājumu iesniedzējtiesa būtībā jautā, vai konkurences iestāde, izmeklējot konkurences tiesību normu pārkāpumus, var, pirmkārt, lemt, galvenokārt ( ), par to, vai uzņēmums, kura galvenais atbildīgais nodibinājums, kas ir vienīgais personas datu apstrādātājs visā Savienībā, atrodas citā dalībvalstī, ir pārkāpis VDAR noteikumus par datu apstrādi un, otrkārt, uzdot pārtraukt šo pārkāpumu (pirmā jautājuma a) apakšpunkts), un apstiprinošas atbildes gadījumā, vai saskaņā ar VDAR 56. panta 1. punktu kompetentā vadošā uzraudzības iestāde vēl var veikt šī uzņēmuma datu apstrādes noteikumu pārbaudi (pirmā jautājuma b) apakšpunkts).

18. Tomēr – neskarot pārbaudi, kas jāveic iesniedzējtiesai – man šķiet, ka Bundeskartellamt apstrīdētajā lēmumā nav sodījusi par Meta Platforms izdarītu VDAR pārkāpumu, bet gan vienīgi konkurences noteikumu piemērošanas nolūkā veikusi pārbaudi par minētās īstenotu iespējamu dominējošā stāvokļa ļaunprātīgu izmantošanu, citastarp ņemot vērā šī uzņēmuma rīcības neatbilstību VDAR.

19. Līdz ar to, manuprāt, pirmā jautājuma a) apakšpunkts, ciktāl tas attiecas uz iespēju konkurences iestādei lemt, galvenokārt, par VDAR noteikumu pārkāpumu un likt izbeigt šo pārkāpumu šīs regulas izpratnē, ir neefektīvs ( ).

20. No tā izriet, ka pirmā jautājuma b) apakšpunkts, kas ir pakārtots apstiprinošai atbildei uz pirmā jautājuma a) apakšpunktu, arī ir neefektīvs ( ).

Par septīto prejudiciālo jautājumu

21. Ar septīto prejudiciālo jautājumu iesniedzējtiesa būtībā jautā, vai konkurences iestāde, izmeklējot konkurences tiesību normu pārkāpumus, var konstatēt ( ), pakārtoti, vai datu apstrādes noteikumi un to īstenošana atbilst VDAR (septītā jautājuma a) apakšpunkts), un, ja atbilde ir apstiprinoša, vai konkurences iestādes pārbaude ir iespējama arī tad, ja šie noteikumi vienlaikus tiek pārbaudīti procedūrā, ko veic kompetentā vadošā uzraudzības iestāde (septītā jautājuma b) apakšpunkts).

22. Pirmām kārtām, saistībā ar septītā jautājuma a) apakšpunktu man šķiet, ka, lai gan konkurences iestādei nav kompetences konstatēt VDAR pārkāpumu ( ), šai regulai principā nav pretrunā tas, ka citas iestādes, kas nav uzraudzības iestādes, īstenojot savu kompetenci un pilnvaras, varētu ņemt vērā, pakārtoti, rīcības atbilstību VDAR normām. Manuprāt, tas tā it īpaši ir gadījumā, kad konkurences iestāde īsteno pilnvaras, kas tai ir piešķirtas ar LESD 102. pantu un Regulas (EK) Nr. 1/2003 5. panta pirmo daļu ( ) vai ar kādu citu atbilstošu valsts tiesību normu ( ).

23. Proti, konkurences iestādei, īstenojot savas pilnvaras, tostarp ir jāizvērtē, vai pārbaudāmās rīcības ietvaros izmantotie līdzekļi atšķiras no tiem, kādus izmanto uz sniegumu balstītā konkurencē, ņemto vērā šīs rīcības juridisko un ekonomisko kontekstu ( ). Šajā ziņā minētās rīcības atbilstība vai neatbilstība VDAR tiesību normām, nevis kā tādām, bet gan ņemot vērā visus lietas apstākļus, var būt būtiska norāde, lai konstatētu, vai šī rīcība ietver līdzekļus, kādus izmanto uz sniegumu balstītā konkurencē, vienlaikus precizējot, ka tas, vai rīcība ir vai nav ļaunprātīga, ņemot vērā LESD 102. pantu, neizriet no tās atbilstības vai neatbilstības VDAR vai citām tiesību normām ( ).

24. Tādējādi es uzskatu, ka pārbaude par dominējošā stāvokļa tirgū ļaunprātīgu izmantošanu var pamatot to, ka konkurences iestāde interpretē tiesību normas, kas neietilpst no konkurences tiesībās, piemēram, VDAR normas ( ), vienlaikus precizējot, ka šādu pārbaudi veic pakārtoti ( ), un tā neskar kompetento uzraudzības iestāžu veikto šīs regulas piemērošanu ( ).

25. Otrām kārtām, saistībā ar septītā jautājuma b) apakšpunktu iesniedzējtiesa izvirza jautājumu par to, kādi ir konkurences iestādes pienākumi, interpretējot VDAR normas, saistībā ar LES 4. panta 3. punktā paredzētā lojālas sadarbības principa piemērošanu attiecībā pret kompetento vadošo uzraudzības iestādi šīs regulas izpratnē, un konkrētāk, kad konkurences iestādes pārbaudītu rīcību pārbauda vadošā kompetentā iestāde.

26. Šajā lietā konkurences iestādes veikta uzņēmuma rīcības pārbaude VDAR normu kontekstā, lai arī pakārtota, ietver risku, ka šī iestāde un uzraudzības iestādes šo regulu interpretē atšķirīgi, kas principā var apdraudēt VDAR vienveidīgu interpretāciju ( ).

27. Savienības tiesībās šādā situācijā nav paredzēti detalizēti noteikumi par sadarbību starp konkurences iestādi un uzraudzības iestādēm VDAR izpratnē. Konkrētāk, šajā lietā nav piemērojams ne sadarbības mehānisms starp kompetentajām iestādēm VDAR izpratnē, piemērojot šo regulu ( ), ne arī citi precīzi noteikumi par administratīvo iestāžu sadarbību, piemēram, noteikumi par sadarbību starp konkurences iestādēm un starp tām un Komisiju, piemērojot konkurences tiesību normas ( ).

28. Tādējādi konkurences iestādei, interpretējot VDAR, tomēr ir saistošs LES 4. panta 3. punktā nostiprinātais lojālas sadarbības princips, saskaņā ar kuru Savienība un dalībvalstis, tostarp to administratīvās iestādes ( ) ar savstarpējo cieņu palīdz cita citai veikt uzdevumus, ko nosaka Līgumos. It īpaši šīs normas trešajā daļā ir paredzēts, ka dalībvalstis sekmē Savienības uzdevumu izpildi un atturas no jebkādiem pasākumiem, kuri varētu apdraudēt Savienības mērķu sasniegšanu ( ). Turklāt konkurences iestādei, tāpat kā katrai administratīvai iestādei, kam ir uzdota Savienības tiesību piemērošana, ir saistošs labas pārvaldības princips kā Savienības tiesību vispārējais princips, kas tostarp ietver dalībvalstu iestāžu plašu rūpības pienākumu ( ).

29. Līdz ar to, tā kā nepastāv konkrētas tiesību normas attiecībā uz sadarbības sistēmu, kuras Savienības likumdevējam galu galā ir jāpieņem, konkurences iestādei, interpretējot VDAR normas, attiecībā pret kompetentajām iestādēm ir saistošs vismaz pienākums informēt, iegūt informāciju un sadarboties šīs regulas izpratnē, saskaņā ar valsts tiesībām, kas reglamentē tās pilnvaras (dalībvalstu procesuālās autonomijas princips), un ievērojot līdzvērtības un efektivitātes principu ( ).

30. No tā, manuprāt, izriet, ka tad, ja kompetentā vadošā uzraudzības iestāde ir lēmusi par noteiktu VDAR normu piemērošanu attiecībā uz tādu pašu vai līdzīgu praksi, konkurences iestāde principā nevarētu atkāpties no interpretācijas, kādu ir sniegusi šī iestāde, kurai vienīgajai ir kompetence šīs regulas piemērošanai ( ), un iespēju robežās un it īpaši ievērojot datu subjektu tiesības uz aizstāvību būtu jāizpilda iespējamie tās pieņemtie lēmumi attiecībā uz to pašu rīcību ( ), ja ir šaubas par kompetentās iestādes sniegto interpretāciju konkrētajā gadījumā, konsultējoties ar to vai, iespējams, ja tā atrodas citā dalībvalstī, – ar valsts uzraudzības iestādi ( ).

31. Turklāt, ja kompetentā uzraudzības iestāde nav pieņēmusi lēmumu, konkurences iestādei tā tomēr ir jāinformē ( ) un ar to jāsadarbojas, ja šī iestāde ir uzsākusi tās pašas prakses pārbaudi vai ir izrādījusi nolūku to darīt un, iespējams, jāsagaida šīs iestādes veiktās pārbaudes iznākums, pirms sākt savu izvērtējumu, ciktāl tas ir piemēroti un it īpaši neskar to, kā konkurences iestāde ievēro saprātīgu pārbaudes termiņu un datu subjektu tiesības uz aizstāvību ( ).

32. Šajā lietā man šķiet, ka ar to, ka ir tikusi uzsākta sadarbība ar valsts līmenī atbildīgajām uzraudzības iestādēm ( ) un arī neformāla saziņa ar Īrijas vadošo uzraudzības iestādi – apstākļi, uz kuriem atsaucas Bundeskartellamt un kuri ir jāpārbauda iesniedzējtiesai – var pietikt, lai secinātu, ka šī iestāde ir izpildījusi savu rūpības un lojālas sadarbības pienākumu ( ).

33. Noslēgumā es ierosinu uz septīto prejudiciālo jautājumu atbildēt, ka VDAR 51.–66. pants ir jāinterpretē tādējādi, ka konkurences iestāde savu pilnvaru ietvaros konkurences jomas tiesību normu izpratnē var pārbaudīt, pakārtoti, pārbaudāmās prakses atbilstību VDAR noteikumiem, vienlaikus ņemot vērā visus VDAR izpratnē kompetentās uzraudzības iestādes lēmumus vai izmeklēšanas un informējot valsts uzraudzības iestādi un nepieciešamības gadījumā konsultējoties ar to.

Par otro prejudiciālo jautājumu

34. Ar savu otro prejudiciālo jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 9. panta 1. punkts ir jāinterpretē tādējādi, ka strīdīgā prakse, ciktāl tā attiecas uz trešo tīmekļa vietņu un lietotņu apmeklēšanu ( ), ir uzskaitīto ( ) sensitīvo personas datu apstrāde, kas ir aizliegta ( ), (otrā jautājuma a) apakšpunkts) un, ja atbilde ir apstiprinoša, vai šīs regulas 9. panta 2. punkta e) apakšpunkts ir jāinterpretē tādējādi, ka interneta lietotājs šīs tiesību normas izpratnē apzināti publisko datus, pirmkārt, kas atklāti, apmeklējot tīmekļa vietnes un lietotnes, vai, otrkārt, ievadīti vai rodas, nospiežot izvēles pogas, kas iekļautas šajās tīmekļa vietnēs vai lietotnēs ( ) (otrais jautājums, b) apakšpunkts).

35. Pirmām kārtām, saistībā ar otrā jautājuma a) apakšpunktu atgādināšu, ka saskaņā ar VDAR 9. panta 1. punktu sensitīvo personas datu apstrāde ir aizliegta. Šo datu īpašā aizsardzība, kā izriet no šīs regulas 51. apsvēruma, ir pamatota ar to, ka tie pēc savas būtības ir īpaši sensitīvi no pamatbrīvību un pamattiesību viedokļa, un to apstrāde varētu radīt nopietnu risku šīm pamattiesībām un brīvībām. Turklāt, neraugoties uz šīs tiesību normas formulējuma nedaudz neskaidro raksturu ( ), man nešķiet, kā to pieļauj iesniedzējtiesa, ka ar to tiek ieviesta būtiska atšķirība starp personas datiem, kas ir sensitīvi, jo tie “atklāj” konkrētu situāciju, un datiem, kas paši par sevi ir sensitīvi ( ).

36. Šajā lietā, manuprāt, ir acīmredzami, ka apstrīdētā prakse ietver personas datu apstrādi, kas principā varētu ietilpt šīs tiesību normas piemērošanas jomā un būt aizliegta, ja apstrādātie dati “atklāj” vienu no tajā uzskaitītajām sensitīvajām situācijām. Tātad jākonstatē, vai un kādā mērā tīmekļa vietņu un lietotņu apmeklējums vai datu ievadīšana tajās var “atklāt” sensitīvu situāciju, kas ierakstīta konkrētajā normā.

37. Šajā ziņā šaubos, vai ir nozīme (un vispār iespējams) nodalīt vienkāršu datu subjekta interesi par konkrētu informāciju, no vienas puses, un tā piederību kādai no konkrētajā normā minētajām kategorijām, no otras puses ( ). Ja lietas dalībnieku pamatlietā nostājas šajā ziņā ir pretējas ( ), es uzskatu, ka atbildi uz šo jautāju var rast tikai katrā konkrētā gadījumā, ņemot vērā visas strīdīgo praksi veidojošās darbības.

38. Lai gan, kā norāda Vācijas valdība, vienkārša sensitīvu personas datu vākšana saistībā ar tīmekļa vietnes vai lietotnes apmeklējumu pati par sevi ne vienmēr ir sensitīvo personas datu apstrāde šīs tiesību normas izpratnē ( ), šo datu sasaistīšana ar attiecīgā interneta lietotāja Facebook kontu vai to izmantošana ir rīcība, kas savukārt vienkāršāk varētu būt šāda apstrāde. Izšķirošais elements VDAR 9. panta 1. punkta piemērošanai, manuprāt, ir iespēja, ka apstrādātie dati ļauj interneta lietotāju profilēt pēc kategorijām, kas izriet no šajā tiesību normā ietvertā sensitīvu personas datu uzskaitījuma ( ).

39. Šajā kontekstā, lai varētu noteikt, vai datu apstrāde ietilpst šīs tiesību normas piemērošanas jomā, attiecīgā gadījumā varētu būt lietderīgi nošķirt tādu datu apstrādi, kurus prima facie var klasificēt sensitīvo personas datu kategorijā un kas paši par sevi pieļauj datu subjekta profilēšanu, no vienas puses, un tādu datu apstrādi, kas paši nav sensitīvi, bet prasa vēlāku grupēšanu, lai izdarītu ticamus secinājumus attiecīgās personas profilēšanai, no otras puses.

40. Tādējādi ir jāprecizē, ka kategorizēšana šīs tiesību normas izpratnē ir neatkarīga no jautājuma par to, vai šī kategorizēšana ir patiesa vai pareiza ( ). Nozīme ir iespējai, ka šāda kategorizēšana rada būtisku risku datu subjekta pamattiesībām un pamatbrīvībām, kā tas ir atgādināts VDAR 51. apsvērumā, iespējai – kas ir neatkarīga no tā, cik tā patiesa.

41. Visbeidzot, saistībā ar iesniedzējtiesas lūgumu noskaidrot, vai konkrētā izvērtējuma nolūkā ir nozīme izmantošanas mērķim ( ), pretēji tam, ko apgalvo prasītājs pamatlietā, es uzskatu, ka principā netiek prasīts, lai pārzinis apstrādātu šos datus, “apzinoties un ar nodomu no tiem tieši iegūt īpašas informācijas kategorijas”. Proti, konkrētās tiesību normas mērķis būtībā ir objektīvi novērst nopietnus riskus datu subjektu pamatbrīvībām un pamattiesībām, kuras apdraud sensitīvu personas datu apstrāde, neatkarīgi no jebkāda subjektīva elementa, piemēram, pārziņa nodoma.

42. Otrām kārtām, saistībā ar otrā jautājuma b) apakšpunktu atgādināšu, ka saskaņā ar VDAR 9. panta 2. punkta e) apakšpunktu aizliegums apstrādāt sensitīvus personas datus nav piemērojams, ja apstrāde attiecas uz personas datiem, kurus datu subjekts apzināti ir publiskojis. Turklāt šīs tiesību normas formulējumā ietvertā atsauce uz apstākļa vārdu “apzināti” un tas, ka minētā tiesību norma ir izņēmums no aizlieguma veikt sensitīvo personas datu apstrādi ( ), prasa īpaši šauri piemērot šo izņēmumu būtisku risku, kas gulstas uz attiecīgo personu pamattiesībām un pamatbrīvībām, dēļ ( ). Lai šo izņēmumu varētu piemērot, lietotājam, manuprāt, ir pilnībā jāapzinās, ka ar tiešu rīcību ( ) viņš publiskos personas datus ( ).

43. Šajā lietā man šķiet, ka rīcība, kas izpaužas tīmekļa vietņu un lietotņu apmeklējumā, datu ievadīšanā šajās vietnēs un lietotnēs un tajās iekļauto izvēles pogu nospiešanā principā nevar tikt pielīdzināta rīcībai, ar ko apzināti publisko lietotāja sensitīvus personas datus VDAR 9. panta 2. punkta e) apakšpunkta izpratnē.

44. Konkrētāk norādīšu, ka principā tīmekļa vietņu un lietotņu apmeklējuma rezultātā apmeklējuma dati kļūst pieejami tikai tīmekļa vietnes vai lietotnes pārvaldītājam un trešām personām, kurām tas šo informāciju nodod, piemēram, prasītājai pamatlietā ( ). Tāpat arī, ja, ievadot datus tīmekļvietnēs un lietotnēs, datu subjekts varētu tieši un labprātīgi sniegt informāciju par konkrētiem sensitīviem personas datiem, norādīšu arī, ka šī informācija ir pieejama tikai konkrētās vietnes vai lietotnes pārvaldītājam un trešām personām, kurām tas šo informāciju nodod. Tātad es izslēdzu, ka šāda rīcība varētu liecināt par vēlmi padarīt šos datus pieejamus sabiedrībai ( ). Turklāt, lai gan ir acīmredzams, ka, nospiežot tīmekļa vietnēs vai lietotnēs iekļautas izvēles pogas ( ), datu subjekts skaidri pauž vēlmi dalīties ar konkrētu informāciju ar sabiedrību ārpus konkrētās tīmekļa vietnes vai lietotnes, es uzskatu, kā to arī uzsver Bundeskartellamt, ka ar šo rīcību konkrētā personas apzinās, ka ar informāciju dalās ar noteiktu personu loku, kuru bieži ir definējis pats lietotājs ( ), nevis ar sabiedrību ( ).

45. Visbeidzot, saistībā ar to, kāda nozīme ir iespējamai lietotāja dotai piekrišanai Direktīvas 2002/58 5. panta 3. punkta izpratnē, lai personas datus varētu vākt, izmantojot sīkdatnes (cookies) vai līdzīgas tehnoloģijas, uz ko norāda iesniedzējtiesa, es uzskatu, ka šī piekrišana, ņemot vērā tās konkrēto mērķi, pati par sevi nevar attaisnot ar šiem līdzekļiem iegūtu sensitīvu datu apstrādi ( ). Proti, minētā piekrišana, kas ir nepieciešama konkrētu lietotāja darbību reģistrēšanas tehniska līdzekļa uzstādīšanai ( ), neattiecas uz sensitīvu personas datu apstrādi, un to nevar pielīdzināt vēlmei apzināti publiskot šos datus VDAR 9. panta 2. punkta e) apakšpunkta izpratnē ( ).

46. Noslēgumā es ierosinu uz otro prejudiciālo jautājumu atbildēt, ka, pirmkārt, VDAR 9. panta 1. punkts ir jāinterpretē tādējādi, ka aizliegums apstrādāt sensitīvus personas datus var ietvert tādu tiešsaistes sociālā tīkla operatora veiktu datu apstrādi, kas paredz lietotāja datu vākšanu, kad viņš apmeklē citas tīmekļa vietnes vai lietotnes vai tajās ievada šos datus, minēto datu sasaistīšanu ar sociālā tīkla lietotāja kontu un to izmantošanu, ja apstrādātā informācija, to skatot atsevišķi vai grupējot, pieļauj lietotāja profilēšanu atbilstoši kategorijām, kas izriet no sensitīvu datu uzskaitījuma šajā tiesību normā, un, otrkārt, VDAR 9. panta 2. punkta e) apakšpunkts ir jāinterpretē tādejādi, ka lietotājs apzināti nepublisko datus, kas atklāti, apmeklējot tīmekļa vietnes un lietotnes vai ievadīti šajās tīmekļa vietnēs vai lietotnēs, vai izriet no tajās iekļauto izvēles pogu nospiešanas.

Par trešo, ceturto un piekto prejudiciālo jautājumu

47. Ar savu trešo, ceturto un piekto prejudiciālo jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 6. panta 1. punkta b), c), d), e) un f) apakšpunkts ir jāinterpretē tādējādi, ka strīdīgā prakse ( ) ietilpst kāda no šajās tiesību normās paredzētā attaisnojuma piemērošanas jomā, un konkrēti:

– apstrāde ir vajadzīga līguma izpildei ( ) vai apstrāde ir vajadzīga leģitīmo interešu ievērošanai ( ), ņemot vērā faktu, ka Meta Platforms apsaimnieko ar reklāmu finansētu sociālo tīklu, kas savos lietošanas noteikumos piedāvā satura un reklāmas personalizēšanu, tīkla drošību, produkta uzlabošanu un visu uzņēmumu grupas produktu nepārtrauktu un netraucētu lietošanu (trešais prejudiciālais jautājums);

– šo leģitīmo interešu ņemšana vērā ( ) noteiktu situāciju kontekstā ( ) (ceturtais prejudiciālais jautājums);

– vajadzība atbildēt uz likumīgu pieprasījumu par konkrētiem datiem ( ), vajadzība novērst neatbilstīgas darbības un veicināt drošību ( ) vai vajadzība veikt pētījumus sabiedrības interesēs un veicināt aizsardzību, integritāti un drošību ( ) (piektais prejudiciālais jautājums).

48. Iesākumā, neraugoties uz dažiem jautājumiem par ceturtā un piektā prejudiciālā jautājuma pieņemamību ( ), ierosinu uz trešo, ceturto un piekto prejudiciālo jautājumu atbildēt kopā, jo manis turpmāk sniegtās norādes, galvenokārt attiecībā uz trešo prejudiciālo jautājumu, kas ir vislabāk pamatotais, var iesniedzējtiesai arī noderēt, piemērojot tiesību normas, uz kurām attiecas ceturtais un piektais prejudiciālais jautājums.

49. Galvenokārt norādīšu, ka saskaņā ar Eiropas Savienības Pamattiesību hartas (turpmāk tekstā – “Harta”) 8. pantu personas dati ir jāapstrādā godprātīgi, noteiktiem mērķiem un ar likumīgu pamatojumu, kas paredzēts tiesību aktos. Šajā ziņā VDAR 6. panta 1. punktā ir precizēts, ka šo datu apstrāde ir likumīga tikai tad, ja ir piemērojams vismaz viens no šajā normā minētajiem pamatojumiem ( ).

50. Šajā lietā, vispirms, uzskatu, ka trešajam, ceturtajam un piektajam prejudiciālajam jautājumam ir jāveic detalizēts dažādu Facebook lietošanas noteikumu punktu vērtējums katrā konkrētā gadījumā apstrīdētās prakses kontekstā, jo nav iespējams noteikt, vai attiecībā uz šo praksi “tāds uzņēmums kā [Meta Platforms]” kopumā var atsaukties uz visiem (vai atsevišķiem) pamatojumiem, kas ir ietverti VDAR 6. panta 1. punktā, kaut arī nevar izslēgt, ka šī prakse vai dažas tās darbības var ietilpt šī panta darbības jomā ( ).

51. Turpinot, minētajās tiesību normās paredzētā apstrāde šajā lietā ir veikta, pamatojoties uz līguma vispārējiem noteikumiem, kurus ir noteicis pārzinis, bez datu subjekta piekrišanas ( ), vai pat pretēji viņa gribai, kas, manuprāt, konkrēto pamatojumu liek interpretēt šauri, it īpaši, lai izvairītos no piekrišanas nosacījuma apiešanas ( ).

52. Visbeidzot, atgādināšu, ka saskaņā ar VDAR 5. panta 2. punktu pārzinim ir uzlikts pienākums pierādīt, ka dati tiek apstrādāti atbilstoši šīs regulas standartam, un ka saskaņā ar minētās regulas 13. panta 1. punkta c) apakšpunktu personas datu pārzinim ir jāprecizē apstrādes mērķi, kādiem dati ir paredzēti, kā arī tās tiesiskais pamats.

Par trešo prejudiciālo jautājumu

53. Pirmām kārtām, saskaņā ar VDAR 6. panta 1. punkta b) apakšpunktu personas datu apstrāde ir likumīga, ja tā ir vajadzīga līguma, kura līgumslēdzēja puse ir datu subjekts, izpildei ( ).

54. Šajā ziņā atgādināšu, ka jēdziens “vajadzība” Savienības tiesību aktos netiek definēts, bet tomēr atbilstoši judikatūrai ir autonoms Savienības tiesību jēdziens ( ). Lai apstrāde būtu vajadzīga līguma izpildei, nepietiek, ka to veic saistībā ar līguma izpildi, ne arī ar tās pieminēšanu līgumā ( ) vai pat ar to, ka tā vienkārši ir lietderīga līguma izpildei ( ). Atbilstoši Tiesas judikatūrai apstrādei ir jābūt objektīvi vajadzīgai līguma izpildei tādā nozīmē, ka nevar būt citu reālu risinājumu, kas rada mazāk būtiskus aizskārumus ( ), ņemot vērā arī datu subjekta saprātīgās gaidas ( ). Tas paredz arī faktu, ka tad, ja līgumā ir ietverti vairāki pakalpojumi vai viena pakalpojuma atsevišķi elementi, kurus var izpildīt neatkarīgi vienu no otra, VDAR 6. panta 1. punkta b) apakšpunkta piemērojamība būtu jānovērtē atsevišķi katra šī pakalpojuma kontekstā ( ).

55. Šī pamatojuma ietvaros iesniedzējtiesa min satura personalizēšanu un visu uzņēmumu grupas produktu (vai drīzāk pakalpojumu) nepārtrauktu un netraucētu lietošanu.

56. Attiecībā uz satura personalizēšanu man šķiet, ka, lai gan šāda darbība zināmā mērā var būt lietotāja interesēs, jo tā ļauj it īpaši “laika joslā” attēlot saturu, kas pēc automatizēta novērtējuma atbilst lietotāja interesēm, nav redzams, kā tā būtu vajadzīga arī attiecīgā sociālā tīkla pakalpojuma sniegšanai tādējādi, lai personas datu apstrādei šiem nolūkiem nebūtu vajadzīga šī lietotāja piekrišana ( ). Veicot šo pārbaudi, būtu arī jāņem vērā tas, ka strīdīgā prakse attiecas nevis uz datu par lietotāja rīcību Facebook vietnē vai lietotnē apstrādi, bet gan uz datiem no ārējiem – un līdz ar to potenciāli neierobežotiem – avotiem. Tāpēc man rodas jautājums, kādā mērā šī apstrāde varētu atbilst vidējā lietotāja gaidām un vispārīgāk – kāda ir “personalizēšanas pakāpe”, ko tas var sagaidīt no pakalpojuma, kurā tas reģistrējas ( ).

57. Saistībā ar grupas pakalpojumu nepārtrauktu un netraucētu lietošanu norādīšu, ka saikne starp dažādiem prasītāja pamatlietā piedāvātajiem pakalpojumiem, piemēram, starp Facebook un Instagram, protams, var būt noderīga lietotājam vai pat dažreiz tas to var vēlēties. Tomēr šaubos, ka personas datu apstrāde, kas izriet no citiem grupas pakalpojumiem (tostarp Instagram), ir nepieciešama Facebook pakalpojumu sniegšanai ( ).

58. Otrām kārtām, saskaņā ar šīs regulas 6. panta 1. punkta f) apakšpunktu personas datu apstrāde ir likumīga, ja tā ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja prevalē datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, it īpaši, ja datu subjekts ir bērns.

59. Saskaņā ar Tiesas judikatūru konkrētajā tiesību normā ir paredzēti trīs kumulatīvi nosacījumi, kam ir jābūt izpildītiem, lai personas datu apstrāde būtu likumīga, proti, pirmkārt, datu pārziņa vai trešo personu, kurām dati tiek atklāti, likumīgu interešu esamība, otrkārt, vajadzība apstrādāt personas datus likumīgo interešu ievērošanai un, treškārt, nosacījums, ka neprevalē tās personas pamattiesības un pamatbrīvības, uz kuru attiecas datu aizsardzība ( ).

60. Vispirms saistībā ar leģitīmo interešu īstenošanu atgādināšu, ka VDAR un judikatūrā par leģitīmām ( ) atzīst plašu interešu spektru, vienlaikus precizējot, ka saskaņā ar VDAR 13. panta 1. punkta d) apakšpunktu pārzinim ir jānorāda likumīgās intereses, kas ir sasniedzamas atbilstoši VDAR 6. panta 1. punkta f) apakšpunktam ( ).

61. Pēc tam, runājot par nosacījumu, kas attiecas uz vajadzību apstrādāt datus leģitīmu interešu sasniegšanai, saskaņā ar Tiesas judikatūru atkāpes no personas datu aizsardzības principa un tā ierobežojumi ir piemērojami tikai tiktāl, ciktāl tas ir noteikti vajadzīgs ( ). Tātad ir jābūt ciešai saiknei starp apstrādi un sasniedzamo interesi, bez alternatīvām, kas vairāk ievērotu personas datu aizsardzību, jo nepietiek, ka apstrāde pārzinim ir vienkārši noderīga.

62. Visbeidzot, runājot par to, kā samērot pārziņa intereses, no vienas puses, ar datu subjekta interesēm vai pamattiesībām un pamatbrīvībām, no otras puses, saskaņā ar Tiesas judikatūru iesniedzējtiesai ir jāveic iesaistīto interešu izvēršana ( ). Turklāt, kā tas ir norādīts VDAR 47. apsvērumā, šīs izsvēršanas ietvaros ir jāņem vērā datu subjektu saprātīgas gaidas, pamatojoties uz viņu attiecībām ar pārzini, un jānosaka, vai datu subjekts personas datu vākšanas brīdī un saistībā ar to savākšanu var saprātīgi sagaidīt, ka tie tiks apstrādāti noteiktā nolūkā.

63. Šī pamatojuma ietvaros iesniedzējtiesa min reklāmas personalizēšanu, tīkla drošību un produkta uzlabošanu.

64. Vispirms saistībā ar reklāmas personalizēšanu no VDAR 47. apsvēruma izriet, ka var uzskatīt, ka personas datu apstrāde tiešās tirgvedības (direct marketing) vajadzībām ir veikta pārziņa leģitīmās interesēs. Tomēr attiecībā uz apstrādes vajadzību ir jānorāda, ka konkrēto datu izcelsme ir no avotiem ārpus Facebook, un tātad rodas jautājums, kāda ir šajā ziņā objektīvi vajadzīgā reklāmas “personalizācijas pakāpe”. Saistībā ar iesaistīto interešu izsvēršanu, manuprāt, ir jāņem vērā konkrēto leģitīmo interešu raksturs (šajā gadījumā – tīri ekonomiskas intereses), kā arī apstrādes ietekme uz lietotāju, tostarp tā saprātīgajām gaidām, un iespējamie pārziņa īstenotie aizsardzības pasākumi ( ).

65. Līdzīgus apsvērumus var izdarīt arī attiecībā uz tīkla drošību. Proti, lai gan šāds pamatojums var būt datu pārziņa leģitīmās interesēs ( ), tomēr ne tika skaidri var secināt, ka apstrāde šajā lietā ir nepieciešama, ņemot vērā arī to, ka attiecīgie dati ir iegūti no avotiem ārpus Facebook ( ). Katrā ziņā atgādināšu, ka personas datu apstrādātājam ir jāprecizē drošības mērķi, kas galu galā ir katras apstrādes pamatā.

66. Visbeidzot, saistībā ar produkta uzlabošanu, ja izslēdz uzlabojumus saistībā ar drošību, uz ko attiecas iepriekš izvērtētais īpašais pamatojums, man šķiet, ka drīzāk šādam pamatojumam būtu jābūt datu subjekta, nevis apstrādes pārziņa interesēs. Šādā skatījumā ir grūti saprast, kādā mērā tas varētu atbilst pārziņa leģitīmām interesēm un izvairīties no lietotāja piekrišanas. Saistībā ar iesaistīto tiesību un interešu izsvēršanas nepieciešamības nosacījumu atsaukšos uz iepriekš minētajiem apsvērumiem.

Par ceturto un piekto prejudiciālo jautājumu

67. Ar ceturto prejudiciālo jautājumu, kas būtībā ir trešā prejudiciālā jautājuma otrās daļas paplašinājums par to, vai noteiktu uzskaitīto situāciju atkārtošanās ietver leģitīmas intereses VDAR 6. panta 1. punkta f) apakšpunkta izpratnē, kā arī ar piekto prejudiciālo jautājumu iesniedzējtiesa vēlas noskaidrot, vai vajadzība atbildēt uz likumīgu pieprasījumu par konkrētiem datiem, vajadzība novērst neatbilstīgas darbības un veicināt drošību vai vajadzība veikt pētījumus sabiedrības interesēs un veicināt aizsardzību, integritāti un drošību ir strīdīgajai praksei piemērojams attaisnojums ( ).

68. Neatkarīgi no šo jautājumu pieņemamības ( ), vispārīgi uzskatu, ka attiecībā uz ceturto prejudiciālo jautājumu nevar izslēgt, ka atsevišķus strīdīgo praksi raksturojošos noteikumus var attaisnot ar leģitīmām interesēm iesniedzējtiesas norādītajos apstākļos ( ) un attiecībā uz piekto prejudiciālo jautājumu vispārīgi uzskatu, ka atsevišķās situācijās strīdīgo praksi var attaisnot, pamatojoties uz minētajām tiesību normām.

69. Tomēr no lūguma sniegt prejudiciālu nolēmumu neizriet, vai un kādā mērā Meta Platforms Ireland katram apstrādes mērķim un apstrādāto datu veidam ir norādījis konkrēti sasniedzamās leģitīmās intereses vai citu attaisnojumu, kam, iespējams, ir nozīme šajā lietā ( ). Tādējādi iesniedzējtiesai, ņemot vērā iepriekš minētās norādes, ir jāpārbauda, kādā mērā strīdīgā prakse šīs tiesas norādītajos apstākļos ir attaisnota ar Meta Platform Ireland leģitīmām interesēm apstrādāt datus VDAR 6. panta 1. punkta f) apakšpunkta izpratnē vai ar kādu citu no šīs regulas 6. panta 1. punkta c), d) un e) apakšpunktā minētajiem nosacījumiem.

Par atbildi uz trešo, ceturto un piekto prejudiciālo jautājumu

70. Noslēgumā es ierosinu uz trešo, ceturto un piekto prejudiciālo jautājumu atbildēt, ka VDAR 6. panta 1. punkta b), c), d), e) un f) apakšpunkts ir jāinterpretē tādējādi, ka uz strīdīgo praksi vai atsevišķām to veidojošajām darbībām var attiekties šajās tiesību normās paredzētie izņēmumi, ja katrs pārbaudītais datu apstrādes veids atbilst pārziņa konkrēti norādītajā pamatojumā izvirzītajam pamatojumam, un ka tādējādi:

– apstrāde ir objektīvi vajadzīga, lai sniegtu pakalpojumus saistībā ar Facebook kontu;

– apstrāde ir vajadzīga, lai ievērotu leģitīmas intereses, uz kurām atsaucas pārzinis vai trešā persona, kurai personas doti ir atklāti, un netiek nesamērīgi skartas datu subjekta pamattiesības un pamatbrīvības;

– apstrāde ir vajadzīga, lai atbildētu uz likumīgu pieprasījumu sniegt konkrētus datus, novērst neatbilstīgas darbības un veicināt drošību vai lai veiktu pētījumus sabiedrības interesēs un veicinātu aizsardzību, integritāti un drošību.

Par sesto prejudiciālo jautājumu

71. Ar sesto prejudiciālo jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 6. panta 1. punkta a) apakšpunkts un 9. panta 2. punkta a) apakšpunkts ir jāinterpretē tādējādi, ka uzņēmumam, kuram ir dominējošs stāvoklis privātiem lietotājiem paredzēto valsts sociālo tīklu tirgū, var tikt dota spēkā esoša un brīvi sniegta piekrišana šīs regulas 4. panta 11. punkta izpratnē.

72. Vispirms atgādināšu, ka VDAR 6. panta 1. punkta a) apakšpunktā un 9. panta 2. punkta a) apakšpunktā ir paredzēts pienākums saņemt datu subjekta piekrišanu attiecīgi saistībā ar personas datu apstrādi kopumā un sensitīvu personas datu apstrādi. Turklāt atbilstoši VDAR 4. panta 11. punktam šajā regulā datu subjekta “piekrišana” ir jebkura brīvi sniegta, konkrēta, apzināta un viennozīmīga norāde uz datu subjekta vēlmēm, ar kuru viņš paziņojuma vai skaidri apstiprinošas darbības veidā sniedz piekrišanu savu personas datu apstrādei ( ).

73. Konkrētāk saistībā ar nosacījumu par to, lai piekrišana būtu “brīvi sniegta”, kas vienīgais tiek apšaubīts šajā lietā, norādīšu, ka saskaņā ar VDAR 42. apsvērumu piekrišana nebūtu uzskatāma par brīvi izteiktu, ja datu subjektam nav īstas vai brīvas izvēles ( ), vai viņš nevar atteikties vai atsaukt savu izvēli bez nelabvēlīgām sekām ( ). Turklāt, kā ir paredzēts VDAR 7. panta 1. punktā (un atgādināts tās 42. apsvērumā), ja apstrāde pamatojas uz datu subjekta piekrišanu, pārzinim būtu jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei.

74. Attiecībā uz to, kam ir nozīme šajā lietā, atgādināšu, ka, vispirms, kā tiek uzsvērts VDAR 43. apsvēruma pirmajā teikumā, piekrišana nav derīgs juridiskais pamats personas datu apstrādei, kad datu subjekta un pārziņa attiecībās pastāv “skaidra nevienlīdzība” ( ), turpinājumā, ka saskaņā ar VDAR 7. panta 4. punktu, novērtējot, vai piekrišana ir sniegta brīvi, maksimāli ņem vērā to, vai cita starpā līguma izpilde, tostarp pakalpojuma sniegšana, ir atkarīga no piekrišanas tādai personas datu apstrādei, kura nav nepieciešama minētā līguma izpildei ( ) un, visbeidzot, ka saskaņā ar VDAR 43. apsvēruma otro teikumu uzskata arī, ka piekrišana nav sniegta brīvi, ja tā neparedz atsevišķu piekrišanu dažādām personas datu apstrādes darbībām, neraugoties uz to, ka tas ir atbilstīgi konkrētajā gadījumā ( ).

75. Šajā lietā uzskatu, ka datu pārziņa, kas izmanto sociālo tīklu, iespējamam dominējošam stāvoklim tirgū ir nozīme, izvērtējot, vai šī tīkla lietotājs ir brīvi sniedzis savu piekrišanu. Proti, pārziņa varas pozīcija tirgū varētu radīt acīmredzamu līdzsvara trūkumu spēka attiecībās, tādā nozīmē, kā ir norādīts šo secinājumu 74. punktā ( ). Tomēr jāprecizē, ka, pirmkārt, lai šādai varas pozīcijai tirgū būtu nozīme VDAR piemērošanas kontekstā, tai nav noteikti jāsasniedz dominējoša stāvokļa slieksnis LESD 102. panta izpratnē ( ) un, otrkārt, tikai šis stāvoklis principā nevarētu būt pamats, lai piekrišanai liegtu jebkādu spēkā esamību ( ).

76. Līdz ar to piekrišanas spēkā esamība ir jāpārbauda katrā konkrētā gadījumā, ņemot vērā citus faktorus, kas minēti šo secinājumu 73. un 74. punktā, un ņemot vērā visus lietas apstākļus un to, ka pārzinim ir pienākums pierādīt, ka datu subjekts ir devis savu piekrišanu savu personas datu apstrādei.

77. Noslēgumā es ierosinu uz sesto prejudiciālo jautājumu atbildēt, ka VDAR 6. panta 1. punkta a) apakšpunkts un 9. panta 2. punkta a) apakšpunkts ir jāinterpretē tādējādi, ka tikai apstāklis, ka uzņēmumam, kas izmanto sociālo tīklu, ir dominējošs stāvoklis privātiem lietotājiem paredzētu valsts tiešsaistes sociālo tīklu tirgū, pats par sevi nevar būt pamats, lai liegtu atzīt šī tīkla lietotāja piekrišanas savu personas datu apstrādei spēkā esamību VDAR 4. panta 11. punkta izpratnē. Šādam apstāklim tomēr ir nozīme, izvērtējot piekrišanas brīvību šīs tiesību normas izpratnē, kas pārzinim ir jāpierāda, vajadzības gadījumā ņemot vērā acīmredzamu līdzsvara neesamību varas attiecībās starp datu subjektu un pārzini, iespējamo pienākumu piekrist personas datu apstrādei, kas nav obligāti nepieciešami attiecīgo pakalpojumu sniegšanai, vajadzību, lai piekrišana īpaši attiektos uz katru datu apstrādes nolūku, un vajadzību izvairīties no tā, ka piekrišanas atsaukšana rada risku lietotājam, kurš savu piekrišanu atsauc.

Secinājumi

78. Ņemot vērā iepriekš minētos apsvērumus, es ierosinu Tiesai uz Oberlandesgericht Düsseldorf (Federālās zemes Augstākā tiesa Diseldorfā, Vācija) uzdotajiem prejudiciālajiem jautājumiem atbildēt šādi:

1) Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 51.–66. pants

ir jāinterpretē tādējādi, ka:

konkurences iestāde savu pilnvaru ietvaros konkurences jomas tiesību normu izpratnē var pārbaudīt, pakārtoti, pārbaudāmās prakses atbilstību VDAR noteikumiem, vienlaikus ņemot vērā visus VDAR izpratnē kompetentās uzraudzības iestādes lēmumus vai izmeklēšanas un informējot valsts uzraudzības iestādi un nepieciešamības gadījumā konsultējoties ar to.

2) Regulas Nr. 2016/679 9. panta 1. punkts

ir jāinterpretē tādējādi, ka:

aizliegums apstrādāt sensitīvus personas datus var ietvert tādu tiešsaistes sociālā tīkla operatora veiktu datu apstrādi, kas paredz lietotāja datu vākšanu, kad viņš apmeklē citas tīmekļa vietnes vai lietotnes vai tajās ievada šos datus, minēto datu sasaistīšanu ar sociālā tīkla lietotāja kontu un to izmantošanu, ja apstrādātā informācija, to skatot atsevišķi vai grupējot, pieļauj lietotāja profilēšanu atbilstoši kategorijām, kas izriet no sensitīvu datu uzskaitījuma šajā tiesību normā

Šīs regulas 9. panta 2. punkta e) apakšpunkts ir jāinterpretē tādējādi, ka:

lietotājs apzināti nepublisko datus tādējādi, ka tie tikuši atklāti, apmeklējot tīmekļa vietnes un lietotnes vai ievadīti šajās tīmekļa vietnēs vai lietotnēs, vai izriet no tajās iekļauto izvēles pogu nospiešanas.

3) Regulas 2016/679 6. panta 1. punkta b), c), d), e) un f) apakšpunkts

ir jāinterpretē tādējādi, ka:

uz praksi, kuras ietvaros, pirmkārt, tiek vākti dati no citiem pašas grupas pakalpojumiem, kā arī no trešām tīmekļa vietnēm un lietotnēm, izmantojot tajās iekļautās saskarnes vai interneta lietotāja datorā vai mobilajā galiekārtā izvietotās sīkdatnes, otrkārt, šie dati tiek sasaistīti ar attiecīgā lietotāja Facebook kontu un, treškārt, minētie dati tiek izmantoti, vai uz atsevišķām šo praksi veidojošām darbībām var attiekties šajās tiesību normās paredzētie izņēmumi, ja katrs pārbaudītais datu apstrādes veids atbilst pārziņa konkrēti norādītajā attaisnojumā izvirzītajam pamatojumam, un ka tādējādi:

– apstrāde ir objektīvi vajadzīga, lai sniegtu pakalpojumus saistībā ar Facebook kontu;

– apstrāde ir vajadzīga, lai ievērotu leģitīmas intereses, uz kurām atsaucas pārzinis vai trešā persona, kurai personas doti ir atklāti, un netiek nesamērīgi skartas datu subjekta pamattiesības un pamatbrīvības;

– apstrāde ir vajadzīga, lai atbildētu uz likumīgu pieprasījumu sniegt konkrētus datus, novērst neatbilstīgas darbības un veicināt drošību vai lai veiktu pētījumus sabiedrības interesēs un veicinātu aizsardzību, integritāti un drošību.

4) Regulas 2016/679 6. panta 1. punkta a) apakšpunkts un 9. panta 2. punkta a) apakšpunkts

ir jāinterpretē tādējādi, ka:

tikai apstāklis, ka uzņēmumam, kas izmanto sociālo tīklu, ir dominējošs stāvoklis privātiem lietotājiem paredzētu valsts tiešsaistes sociālo tīklu tirgū, pats par sevi nevar būt pamats, lai liegtu atzīt šī tīkla lietotāja piekrišanas savu personas datu apstrādei spēkā esamību šīs regulas 4. panta 11. punkta izpratnē. Šādam apstāklim tomēr ir nozīme, izvērtējot piekrišanas brīvību šīs tiesību normas izpratnē, kas pārzinim ir jāpierāda, vajadzības gadījumā ņemot vērā acīmredzamu līdzsvara neesamību varas attiecībās starp datu subjektu un pārzini, iespējamo pienākumu piekrist personas datu apstrādei, kas nav obligāti nepieciešami attiecīgo pakalpojumu sniegšanai, vajadzību, lai piekrišana īpaši attiektos uz katru datu apstrādes nolūku, un vajadzību izvairīties no tā, ka piekrišanas atsaukšana rada risku lietotājam, kurš savu piekrišanu atsauc.