Predbežné znenie

NÁVRHY GENERÁLNEHO ADVOKÁTA

ATHANASIOS RANTOS

prednesené 20. septembra 2022( )

Vec C‑252/21

Meta Platforms Inc., predtým Facebook Inc.,

Meta Platforms Ireland Limited, predtým Facebook Ireland Ltd.,

Facebook Deutschland GmbH

proti

Bundeskartellamt

za účasti:

Verbraucherzentrale Bundesverband e.V.

[návrh na začatie prejudiciálneho konania, ktorý podal Oberlandesgericht Düsseldorf (Vyšší krajinský súd Düsseldorf, Nemecko)]

„Návrh na začatie prejudiciálneho konania – Nariadenie (EÚ) 2016/679 – Ochrana fyzických osôb pri spracúvaní osobných údajov – Sociálne siete – Článok 4 bod 11 – Pojem ‚súhlas‘ dotknutej osoby – Súhlas udelený podniku spravujúcemu údaje s dominantným postavením – Článok 6 ods. 1 písm. b) až f) – Zákonnosť spracúvania – Spracúvanie nevyhnutné na plnenie zmluvy, ktorej je dotknutá osoba zmluvnou stranou alebo na účely oprávnených záujmov sledovaných prevádzkovateľom alebo treťou osobou – Spracúvanie nevyhnutné na splnenie zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa, na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby alebo na splnenie úlohy vykonávanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi – Článok 9 ods. 1 a článok 9 ods. 2 písm. e) – Osobitné kategórie osobných údajov – Osobné údaje, ktoré dotknutá osoba preukázateľne zverejnila – Články 51 až 66 – Právomoci vnútroštátneho orgánu na ochranu hospodárskej súťaže – Súlad s právomocami dozorných orgánov v oblasti ochrany osobných údajov – Prijatie opatrení podľa práva hospodárskej súťaže orgánom so sídlom v inom členskom štáte, ako je členský štát sídla hlavného dozorného orgánu v oblasti ochrany údajov“





Úvod

1. Návrh na začatie prejudiciálneho konania v tejto veci podal Oberlandesgericht Düsseldorf (Vyšší krajinský súd Düsseldorf, Nemecko) v spore medzi spoločnosťami patriacimi do skupiny Meta Platforms( ) a Bundeskartellamt (Spolkový úrad pre hospodársku súťaž, Nemecko), týkajúcom sa rozhodnutia, ktorým tento úrad zakázal žalobkyni vo veci samej spracúvať údaje spôsobom upraveným v podmienkach používania jej sociálnej siete Facebook, ako aj uplatňovať tieto podmienky používania služby a uložil jej povinnosť prijať opatrenia smerujúce k ukončeniu takýchto úkonov.( )

2. Prejudiciálne otázky sa v zásade týkajú na jednej strane právomocí vnútroštátneho orgánu na ochranu hospodárskej súťaže, akým je Bundeskartellamt, skúmať v rámci hlavného konania alebo incidenčne správanie sa podniku z hľadiska niektorých ustanovení nariadenia (EÚ) 2016/679( ) a na druhej strane vykladať tieto ustanovenia najmä z pohľadu spracúvania citlivých osobných údajov, relevantných podmienok zákonnosti spracúvania osobných údajov a udelenia slobodného súhlasu podniku s dominantným postavením.

Právny rámec

Právo Únie

3. Článok 4 GDPR stanovuje:

„Na účely tohto nariadenia:

…

11. ‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka,

…“

4. Článok 6 ods. 1 tohto nariadenia s názvom „Zákonnosť spracúvania“ znie:

„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok::

a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely,

b) spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy,

c) spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;

d) spracúvanie je nevyhnutné, aby sa ochránili životne dôležité záujmy dotknutej osoby alebo inej fyzickej osoby,

e) spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;

f) spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa.

Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.“

5. Článok 9 ods. 1 a 2 uvedeného nariadenia s názvom „Spracúvanie osobitných kategórií osobných údajov“ stanovuje:

„1. Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.

2. Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:

a) dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;

…

e) spracúvanie sa týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila,

…“

6. Článok 51 tohto nariadenia s názvom „Dozorný orgán“, ktorý je súčasťou kapitoly VI, nazvanej „Nezávislé dozorné orgány“, znie:

„1. Každý členský štát stanoví, že za monitorovanie uplatňovania tohto nariadenia je zodpovedný jeden alebo viacero nezávislých orgánov verejnej moci s cieľom chrániť základné práva a slobody fyzických osôb pri spracúvaní a uľahčiť voľný tok osobných údajov v rámci Únie…

2. Každý dozorný orgán prispieva ku konzistentnému uplatňovaniu tohto nariadenia v celej Únii. Na tento účel dozorné orgány spolupracujú navzájom, ako aj s Komisiou v súlade s kapitolou VII.

…“

Nemecké právo

7. Ustanovenie § 19 ods. 1 Gesetz gegen Wettbewerbsbeschränkungen (zákon proti obmedzovaniu hospodárskej súťaže, ďalej len „GWB“) stanovuje:

„Zneužívanie dominantného postavenia jedným alebo viacerými podnikmi je zakázané.“( )

8. Ustanovenie § 50f GWB stanovuje:

1. Orgány na ochranu hospodárskej súťaže, regulačné orgány, spolkový zmocnenec pre ochranu údajov a slobodu informácií, zmocnenci spolkových krajín pre ochranu údajov, ako aj príslušné orgány v zmysle článku 2 EU‑Verbraucherschutzdurchführungsgesetz [zákon o vykonaní práva Európskej únie v oblasti ochrany spotrebiteľov] si môžu bez ohľadu na zvolený postup vzájomne vymieňať informácie vrátane osobných údajov a obchodných tajomstiev v rozsahu potrebnom pre plnenie ich príslušných úloh, ako aj využívať uvedené informácie v rámci svojich postupov. …“

Spor vo veci samej, prejudiciálne otázky a konanie na Súdnom dvore

9. Meta Platforms spravuje ponuku online sociálnej siete „Facebook“ v Európskej únii (na adrese www.facebook.com) , ako aj iných online služieb, ako Instagram a WhatsApp. Ekonomický model sociálnych sietí spravovaných skupinou spoločností Meta Platforms je v zásade založený na jednej strane na poskytovaní bezplatných služieb sociálnych sietí súkromným používateľom a na druhej strane v predaji online reklamy, ktoré sú prispôsobené jednotlivým používateľom sociálnej siete a ktorých cieľom je zobraziť používateľovi tovary a služby, ktoré by pre neho mohli byť zaujímavé najmä s prihliadnutím na jeho osobné spotrebiteľské postoje, záujmy, kúpnu silu a osobnú situáciu. Technickým základom tohto typu reklamy je automatizované zostavovanie veľmi detailných profilov používateľov siete a ponúkaných online služieb na úrovni skupiny.( )

10. Pri zhromažďovaní a spracúvaní údajov používateľov sa Meta Platforms opiera o zmluvu o používaní uzavretú s používateľmi, ktorú uzatvoria kliknutím na tlačidlo „zaregistrovať sa“, čím títo používatelia prijímajú podmienky služby Facebook. Prijatie týchto podmienok služby je nevyhnutnou podmienkou pre používanie sociálnej siete Facebook.( ) Hlavná otázka v tejto veci sa týka praxe, ktorá spočíva, po prvé v získavaní údajov pochádzajúcich z iných služieb poskytovaných skupinou, ako aj z internetových stránok a tretích aplikácií získaných prostredníctvom súborov cookies uložených v počítači alebo v mobilnom koncovom zariadení používateľa, po druhé v prepojení týchto údajov s účtom dotknutého používateľa na Facebooku a po tretie v používaní týchto údajov (ďalej len „sporná prax“).

11. Bundeskartellamt začal viesť konanie proti skupine Meta Platforms, po ktorom sporným rozhodnutím uvedenej skupine zakázal spracúvať údaje spôsobom upraveným v podmienkach služby Facebook, ako aj používanie týchto podmienok a uložil jej povinnosť prijať opatrenia zamerané na ukončenie takýchto činností. Bundeskartellamt odôvodnil svoje rozhodnutie najmä tým, že sporné spracúvanie je zneužívaním dominantného postavenia tejto spoločnosti na trhu sociálnych sietí pre súkromných používateľov v Nemecku v zmysle § 19 GWB( ).

12. Meta Platforms podala 11. februára 2019 proti spornému rozhodnutiu na Oberlandesgericht Düsseldorf (Vyšší krajinský súd Düsseldorf, Nemecko)( ), ako vnútroštátny súd, žalobu, v ktorej vyjadruje predovšetkým svoje pochybnosti na jednej strane o oprávnení vnútroštátnych orgánov na ochranu hospodárskej súťaže monitorovať súlad spracúvania údajov s požiadavkami stanovenými GDPR, konštatovať porušenie jeho ustanovení a uložiť príslušnú sankciu a na druhej strane sa pýta na výklad a uplatnenie niektorých ustanovení tohto nariadenia.

13. Za týchto podmienok Oberlandesgericht Düsseldorf (Vyšší krajinský súd Düsseldorf) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

„1. a) Je zlučiteľné s článkom 51 a nasl. GDPR, ak vnútroštátny orgán na ochranu hospodárskej súťaže členského štátu, ako je Bundeskartellamt, ktorý nie je dozorným orgánom v zmysle článku 51 a nasl. GDPR a v ktorého členskom štáte má podnik usadený mimo Európskej únie prevádzkareň, ktorá hlavnej prevádzkarni tohto podniku, ktorá sa nachádza v inom členskom štáte a nesie výlučnú zodpovednosť za spracúvanie osobných údajov na celom území Európskej únie, poskytuje pomoc v oblasti reklamy, komunikácie a styku s verejnosťou, v rámci výkonu dohľadu nad zneužívaním dominantného postavenia podľa práva hospodárskej súťaže konštatuje, že zmluvné podmienky hlavnej prevádzkarne týkajúce sa spracúvania údajov a ich vykonávanie porušujú GDPR, a vydá rozhodnutie na ukončenie tohto porušovania?

b) V prípade kladnej odpovede: Je zlučiteľné s článkom 4 ods. 3 ZEÚ, ak vedúci dozorný orgán v členskom štáte, v ktorom sa nachádza hlavná prevádzkareň, v zmysle článku 56 ods. 1 GDPR súčasne prešetruje zmluvné podmienky tejto prevádzkarne týkajúce sa spracúvania údajov?

V prípade kladnej odpovede na prvú otázku:

2. a) Ak používateľ internetu buď len navštívi internetové stránky alebo aplikácie, ktoré súvisia s kritériami uvedenými v článku 9 ods. 1 GDPR, ako sú napríklad aplikácie na flirtovanie, zoznamovacie aplikácie pre homosexuálov, internetové stránky politických strán, internetové stránky týkajúce sa zdravia, alebo na týchto stránkach, resp. v týchto aplikáciách tiež zadá údaje, napríklad pri registrácii alebo objednávkach, a… podnik, ako je [Meta Platforms Ireland], prostredníctvom rozhraní, ktoré sú vložené do týchto internetových stránok a aplikácií, ako sú ‚Facebook Business Tools‘, alebo prostredníctvom súborov cookies uložených do počítača alebo mobilného koncového zariadenia používateľa internetu alebo podobných technológií ukladania údajov, zhromažďuje údaje o navštívení týchto internetových stránok a aplikácií používateľom a o údajoch, ktoré na nich, resp. v nich používateľ zadal, prepája ich s údajmi o účtu používateľa na stránkach Facebook.com a používa ich, je toto zhromažďovanie a/alebo prepájanie a/alebo používanie spracúvaním citlivých údajov v zmysle tohto ustanovenia?

b) V prípade kladnej odpovede: Predstavuje navštívenie týchto internetových stránok a aplikácií a/alebo zadanie údajov a/alebo kliknutie na tlačidlá poskytovateľa, ako je [Meta Platforms Ireland], ktoré sú vložené do týchto internetových stránok alebo aplikácií (‚pluginy sociálnych sietí‘ ako ‚páči sa mi to‘, ‚zdieľať‘ alebo ‚Facebook login‘ alebo ‚account kit‘) zjavné zverejnenie údajov o navštívení ako také a/alebo údajov zadaných používateľom v zmysle článku 9 ods. 2 písm. e) GDPR?

3. Môže sa podnik, ako je [Meta Platforms Ireland], ktorý prevádzkuje sociálnu sieť financovanú prostredníctvom reklamy a vo svojich Podmienkach používania služby ponúka personalizáciu obsahov a reklamy, bezpečnosť siete, zlepšovanie produktov a konzistentné a plynulé používanie všetkých produktov skupiny, odvolávať na dôvod založený na nevyhnutnosti pre splnenie zmluvy podľa článku 6 ods. 1 písm. b) GDPR alebo na zohľadnení oprávnených záujmov podľa článku 6 ods. 1 písm. f) GDPR, ak na tieto účely zhromažďuje údaje získané v súvislosti s inými službami skupiny a z internetových stránok a aplikácií tretích strán, a to prostredníctvom rozhraní, ktoré sú do nich vložené, ako sú ‚Facebook Business Tools‘, alebo prostredníctvom súborov cookies uložených do počítača alebo mobilného koncového zariadenia používateľa internetu či prostredníctvom podobných technológií ukladania údajov, prepája ich s účtom používateľa na stránkach Facebook.com a používa ich?

4. Môžu v takom prípade

– neplnoletosť používateľov na účely personalizácie obsahov a reklamy, zlepšovania produktov, bezpečnosti siete a inej ako marketingovej komunikácie zacielenej na používateľa,

– poskytovanie meraní, analýz a iných obchodných služieb inzerentom, vývojárom a ďalším partnerom, aby mohli vyhodnocovať a zlepšovať svoje služby,

– poskytovanie marketingovej komunikácie zacielenej na používateľa, aby podnik mohol zlepšovať svoje produkty a vykonávať priamy marketing,

– spoločensky prospešný výskum a inovácie na účely zlepšovania stavu techniky a vedeckého chápania dôležitých spoločenských otázok a na účely pozitívneho ovplyvňovania spoločnosti a sveta,

– informovanie orgánov príslušných na účely vedenia trestného stíhania alebo výkonu trestu a odpovede na právne žiadosti na účely prechádzania, odhaľovania a stíhania trestných činov, porušení podmienok používania služieb a zásad alebo iného škodlivého konania,

tiež predstavovať oprávnený záujem v zmysle článku 6 ods. 1 [písm. f)] GDPR, ak podnik na tieto účely zhromažďuje údaje získané v súvislosti s inými službami skupiny a z internetových stránok a aplikácií tretích strán prostredníctvom rozhraní, ktoré sú do nich vložené, ako sú ‚Facebook Business Tools‘, alebo prostredníctvom súborov cookies uložených do počítača alebo mobilného koncového zariadenia používateľa internetu či prostredníctvom podobných technológií ukladania údajov, prepája ich s účtom používateľa na stránkach Facebook.com a používa ich?

5. Môže byť v takomto prípade zhromažďovanie údajov získaných v súvislosti s inými službami skupiny a z internetových stránok a aplikácií tretích strán prostredníctvom rozhraní, ktoré sú do nich vložené, ako sú ‚Facebook Business Tools‘, alebo prostredníctvom súborov cookies uložených do počítača alebo mobilného koncového zariadenia používateľa internetu či prostredníctvom podobných technológií ukladania údajov, ich prepájanie s účtom používateľa na stránkach Facebook.com a ich používanie alebo používanie údajov, ktoré už boli zákonne zhromaždené a prepojené iným spôsobom, v konkrétnych prípadoch odôvodnené aj podľa článku 6 ods. 1 písm. c), d) a e) GDPR, napríklad na účely odpovede na právoplatnú žiadosť o poskytnutie určitých údajov [písmeno c)], na zamedzenie škodlivému správaniu a na podporu bezpečnosti [písmeno d)], na výskum vykonávaný na sociálne účely a s cieľom podporiť ochranu, integritu a bezpečnosť [písmeno e)]?

6. Môže byť platný a slobodný súhlas, najmä v zmysle článku 4 ods. 11 GDPR, udelený podniku s dominantným postavením na trhu, ako je [Meta Platforms Ireland], v súlade s článkom 6 ods. 1 písm. a) a článkom 9 ods. 2 písm. a) GDPR?

V prípade zápornej odpovede na prvú otázku:

7. a) Môže vnútroštátny orgán na ochranu hospodárskej súťaže členského štátu, ako je Bundeskartellamt, ktorý nie je dozorným orgánom v zmysle článku 51 a nasl. GDPR a ktorý prešetruje porušenie zákazu zneužitia podľa práva hospodárskej súťaže zo strany podniku s dominantným postavením na trhu, ktoré nespočíva v tom, že jeho podmienky spracúvania údajov a ich vykonávanie porušujú GDPR, napríklad v rámci zváženia záujmov určiť, či sú podmienky spracúvania údajov tohto podniku a ich vykonávanie v súlade s GDPR?

b) V prípade kladnej odpovede: Platí to so zreteľom na článok 4 ods. 3 ZEÚ aj vtedy, keď vedúci dozorný orgán, ktorý je príslušný podľa článku 56 ods. 1 GDPR, súčasne prešetruje podmienky tohto podniku týkajúce sa spracúvania údajov?

V prípade kladnej odpovede na siedmu otázku je potrebné odpovedať na tretiu až piatu otázku, pokiaľ ide o údaje získané v súvislosti s používaním služby Instagram, ktorá patrí podniku.“

14. Písomné pripomienky predložili Meta Platforms, nemecká, talianska, česká a rakúska vláda, Bundeskartellamt, Verbraucherzentrale Bundesverband e.V. (Združenie spotrebiteľov, Nemecko), ako aj Európska komisia. Títo účastníci konania tiež predniesli svoje ústne pripomienky na pojednávaní, ktoré sa uskutočnilo 10. mája 2022.

Posúdenie

15. Prejudiciálne otázky, ktoré sú predmetom tohto konania a zameriavajú sa na výklad viacerých ustanovení GDPR, sa v zásade týkajú právomoci orgánu na ochranu hospodárskej súťaže zistiť a potrestať porušenie pravidiel v oblasti spracúvania osobných údajov a povinnosti tohto orgánu spolupracovať s hlavným dozorným orgánom v zmysle GDPR (prvá a siedma prejudiciálna otázka), po druhé, zákazu spracúvania citlivých osobných údajov a podmienok platných pre vyslovenie súhlasu s ich použitím (druhá prejudiciálna otázka), po tretie zákonnosti spracúvania osobných údajov z hľadiska niektorých odôvodnení (tretia až piata prejudiciálna otázka) a po štvrté platnosti súhlasu so spracúvaním osobných údajov udeleného podniku s dominantným postavením (šiesta prejudiciálna otázka).

16. V nasledujúcich bodoch sa budem najskôr zaoberať prvou a siedmou prejudiciálnou otázkou a následne ostatnými prejudiciálnymi otázkami v poradí, v akom boli predložené, pričom na tretiu až piatu otázku odpoviem spoločne.

O prvej prejudiciálnej otázke

17. Svojou prvou prejudiciálnou otázkou sa vnútroštátny súd v zásade pýta či v prípade, ak stíha porušenie pravidiel hospodárskej súťaže, môže orgán na ochranu hospodárskej súťaže na jednej strane rozhodnúť v rámci hlavného návrhu( ) o porušení pravidiel platných pre spracúvanie osobných údajov podľa GDPR podnikom, ktorého hlavná prevádzkareň výlučne zodpovedná za spracúvanie osobných údajov na celom území Únie, má svoje sídlo v inom členskom štáte, a na druhej strane nariadiť ukončenie tohto porušovania [prvá otázka písm. a)] a v prípade kladnej odpovede, či zodpovedný hlavný dozorný orgán podľa článku 56 ods. 1 GDPR môže naďalej skúmať podmienky spracúvania údajov tohto podniku [prvá otázka písm. b)].

18. S výhradou posúdenia vnútroštátnym súdom sa však domnievam, že Bundeskartellamt v spornom rozhodnutí nesankcionoval porušenie GDPR skupinou Meta Platforms, ale na účely uplatnenia pravidiel hospodárskej súťaže len pristúpil k preskúmaniu údajného porušenia zákazu zneužívania dominantného postavenia s prihliadnutím okrem iného aj na rozpor správania sa tohto podniku s ustanoveniami GDPR.

19. Preto podľa môjho názoru je prvá prejudiciálna otázka písm. a), v rozsahu v akom sa týka možnosti orgánu hospodárskej súťaže rozhodnúť predovšetkým o porušení pravidiel RGPD a nariadiť zastavenie tohto porušovania v zmysle uvedeného nariadenia, irelevantná.( )

20. Z uvedeného vyplýva, že prvá otázka písm. b), ktorá je podmienená kladnou odpoveďou na prvú otázku písm. a), je taktiež irelevantná.( )

O siedmej prejudiciálnej otázke

21. Svojou siedmou prejudiciálnou otázkou sa vnútroštátny súd v zásade pýta, či orgán na ochranu hospodárskej súťaže v prípade, ak incidenčne postihuje porušenia pravidiel hospodárskej súťaže( ) môže rozhodnúť o tom, či sú podmienky spracúvania osobných údajov a ich uplatnenie v súlade s GDPR [siedma otázka písm. a)] a v prípade kladnej odpovede, či orgán na ochranu hospodárskej súťaže môže vykonať posúdenie aj vtedy, ak tieto podmienky zároveň podliehajú preskúmaniu zodpovedným hlavným dozorným orgánom [siedma otázka, písm. b)].

22. Čo sa týka po prvé siedmej otázky písm. a), domnievam sa, že aj keď orgán na ochranu hospodárskej súťaže nemá právomoc konštatovať porušenie GDPR( ), táto skutočnosť nebráni v zásade tomu, aby iné ako dozorné orgány v rámci výkonu ich vlastných právomocí incidenčne prihliadli na súlad správania sa s ustanoveniami GDPR. O takýto prípad ide podľa môjho názoru najmä vtedy, ak orgán na ochranu hospodárskej súťaže vykonáva právomoci, ktoré mu zveruje článok 102 ZFEÚ a článok 5 ods. 1 nariadenia (ES) č. 1/2003( ), resp. akékoľvek iné relevantné vnútroštátne ustanovenie.( )

23. Pri výkone týchto právomocí musí totiž orgán na ochranu hospodárskej súťaže predovšetkým rozhodnúť, či posudzované správanie spočíva v použití iných prostriedkov, ako sú prostriedky hospodárskej súťaže na základe výkonnosti, pričom je povinný prihliadať aj na právny a hospodársky kontext, v ktorom sa správanie uskutočňuje.( ) V tomto ohľade môže byť súlad alebo nesúlad takéhoto správania s ustanoveniami GDPR, nielen sám osebe, ale s prihliadnutím na všetky okolnosti prejednávanej veci, dôležitou okolnosťou pre rozhodnutie o tom, či dotknuté správanie možno považovať za použitie prostriedkov, ktorými sa riadi bežná hospodárska súťaž, pričom je potrebné spresniť, že zneužívajúca, resp. nezneužívajúca povaha správania sa z hľadiska článku 102 ZFEÚ nevyplýva z jeho súladu alebo nesúladu s GDPR alebo inými právnymi normami.( )

24. Preto sa domnievam, že skúmanie zneužitia dominantného postavenia na trhu môže poskytovať orgánu na ochranu hospodárskej súťaže dôvod na to, aby vykladal normy nesúťažného práva, akými sú ustanovenia GDPR( ), pričom treba spresniť, že takéto posúdenie sa vykoná incidenčným spôsobom( ) a nemá vplyv na uplatnenie uvedeného nariadenia zodpovednými dozornými orgánmi.( )

25. Po druhé čo sa týka siedmej otázky písm. b), vnútroštátny súd sa pýta, aké povinnosti má orgán na ochranu hospodárskej súťaže v rámci uplatnenia zásady lojálnej spolupráce upravenej v článku 4 ods. 3 ZFEÚ voči zodpovednému vedúcemu dozornému orgánu v zmysle GDPR, keď vykladá ustanovenia tohto nariadenia a presnejšie, ak je rovnaké správanie, ako to, ktoré skúma orgán na ochranu hospodárskej súťaže, predmetom posudzovania zodpovedným vedúcim dozorným orgánom.

26. V prejednávanej veci sa aj incidenčné posúdenie orgánu na ochranu hospodárskej súťaže týkajúce sa správania sa podniku z hľadiska ustanovení GDPR spája s rizikom rozdielneho výkladu tohto nariadenia týmto orgánom a dozornými orgánmi, čo by v zásade mohlo narušiť jednotný výklad GDPR.( )

27. Právo Únie neupravuje podrobné pravidlá spolupráce medzi orgánmi na ochranu hospodárskej súťaže a dozornými orgánmi v zmysle GDPR v takejto situácii. Presnejšie v prejednávanej veci sa nepoužije ani systém spolupráce medzi zodpovednými orgánmi v zmysle GDPR pri uplatňovaní tohto nariadenia,( ) ani iné podrobnejšie pravidlá spolupráce medzi správnymi orgánmi, akými sú pravidlá spolupráce medzi orgánmi na ochranu hospodárskej súťaže a pravidlá spolupráce medzi týmito orgánmi a Komisiou pri uplatňovaní pravidiel hospodárskej súťaže.( )

28. Pri výklade GDPR je však orgán na ochranu hospodárskej súťaže viazaný zásadou lojálnej spolupráce zakotvenou v článku 4 ods. 3 ZEÚ, podľa ktorej sa Únia a členské štáty vrátane ich správnych orgánov( ) vzájomne rešpektujú a vzájomne si pomáhajú pri vykonávaní úloh, ktoré vyplývajú zo Zmlúv. Predovšetkým podľa tretieho odseku tohto ustanovenia členské štáty pomáhajú Únii pri plnení jej úloh a neprijmú žiadne opatrenie, ktoré by mohlo ohroziť dosiahnutie cieľov Únie.( ) Okrem toho, ako každý správny orgán poverený uplatňovaním práva Únie, aj orgán na ochranu hospodárskej súťaže je viazaný zásadou riadnej správy vecí verejných ako všeobecnou zásadou práva Únie, ktorá okrem iného zahŕňa širokú povinnosť starostlivosti a obozretnosti zo strany vnútroštátnych orgánov.( )

29. To znamená, že v prípade, ak neexistujú presné pravidlá upravujúce systém spolupráce, prináleží normotvorcovi Únie, aby prípadne rozhodol, že orgán na ochranu hospodárskej súťaže je pri výklade ustanovení GDPR viazaný prinajmenšom informačnou a oznamovacou povinnosťou, ako aj povinnosťou spolupráce vo vzťahu k zodpovedným orgánom v zmysle tohto nariadenia a v súlade s vnútroštátnymi ustanoveniami, ktoré upravujú jeho právomoci (zásada procesnej autonómie členských štátov), pričom musí dodržiavať zásady rovnosti a účinnosti.( )

30. Z vyššie uvedeného podľa môjho názoru vyplýva, že v prípade, ak sa zodpovedný vedúci dozorný orgán vyjadril k uplatneniu určitých ustanovení GDPR v súvislosti s rovnakou alebo podobnou praxou, orgán na ochranu hospodárskej súťaže sa v zásade nebude môcť odchýliť od výkladu tohto orgánu, ktorý má výlučnú právomoc uplatniť toto nariadenie( ) a v čo možno najväčšom rozsahu pri zachovaní predovšetkým práva na obranu dotknutých osôb bude povinný postupovať v súlade s prípadnými rozhodnutiami vydanými týmto orgánom v súvislosti s rovnakým správaním( ) a v prípade pochybností v prejednávanej veci týkajúcich sa výkladu poskytnutého zodpovedným orgánom sa obrátiť na tento orgán alebo v prípade potreby, ak sa tento orgán nachádza v inom členskom štáte, prediskutovať vec s vnútroštátnym dozorným orgánom.( )

31. Okrem toho v prípade ak zodpovedný dozorný orgán vo veci nerozhodol, má orgán na ochranu hospodárskej súťaže aj naďalej povinnosť informovať tento orgán( ) a spolupracovať s ním, ak tento orgán začal skúmať rovnakú prax alebo vyjadril úmysel začať takéto preskúmanie a prípadne počkať do skončenia preskúmania tohto orgánu skôr, ako začne vlastné posúdenie, ak má primeranú povahu a nie je prekážkou pre dodržanie primeranej lehoty pre vyšetrovanie, ako aj zachovanie práv dotknutých osôb na obranu orgánom na ochranu hospodárskej súťaže.( )

32. V prejednávanej veci sa zdá, že začatie spolupráce so zodpovednými dozornými vnútroštátnymi orgánmi( ) a nadviazanie neformálneho kontaktu s hlavným írskym dozorným orgánom, ako aj okolnosti, na ktoré sa odvoláva Bundeskartellamt, a tá skutočnosť, že preskúmanie prináleží vykonať vnútroštátnemu orgánu, dostatočne odôvodňujú záver, že tento orgán si splnil svoje povinnosti náležitej starostlivosti a lojálnej spolupráce.( )

33. Vzhľadom na vyššie uvedené skutočnosti navrhujem odpovedať na siedmu prejudiciálnu otázku tak, že články 51 až 66 GDPR sa majú vykladať v tom zmysle, že orgán na ochranu hospodárskej súťaže v rámci svojich právomocí v zmysle pravidiel v oblasti hospodárskej súťaže môže incidenčne skúmať súlad posudzovaných praktík s pravidlami GDPR, pričom je povinný zohľadniť akékoľvek rozhodnutie alebo vyšetrovanie zodpovedného dozorného orgánu podľa GDPR a informovať o takomto preskúmaní vnútroštátny dozorný orgán, a v prípade potreby s ním vec konzultovať.

O druhej prejudiciálnej otázke

34. Svojou druhou prejudiciálnou otázkou sa vnútroštátny súd v zásade pýta, či sa má článok 9 ods.1 GDPR vykladať v tom zmysle, že sporná praktika v prípade, ak sa týka prehliadania internetových stránok a používania aplikácií tretích osôb,( ) patrí do rámca spracúvania vypočítaných citlivých osobných údajov,( ) ktoré je zakázané( ) [druhá otázka písm. a)] a v prípade kladnej odpovede, či sa článok 9 ods. 2 písm. e) tohto nariadenia má vykladať v tom zmysle, že používateľ v zmysle tohto ustanovenia zjavne zverejní na jednej strane údaje, ktoré sa uverejňujú pri prehliadaní internetových stránok a aplikácií alebo na druhej strane údaje, ktoré sú vložené alebo ktoré sa stanú viditeľnými pri kliknutí na tlačidlá zabudované do týchto internetových stránok alebo aplikácií( ) [druhá otázka písm. b)].

35. Čo sa týka po prvé druhej otázky písm. a), pripomínam, že podľa článku 9 ods. 1 GDPR sa zakazuje spracúvanie citlivých osobných údajov. Osobitná ochrana týchto údajov je v zmysle odôvodnenia 51 tohto nariadenia opodstatnená tým, že svojou povahou sú v súvislosti so základnými právami a slobodami obzvlášť citlivé a zasluhujú si osobitnú ochranu, keďže z ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká. Navyše aj napriek pomerne nejasnému zneniu tohto ustanovenia( ) sa mi nezdá, ako sa domnieva vnútroštátny orgán, že toto ustanovenie zavádza zásadne rozdielne zaobchádzanie s osobnými údajmi, ktoré majú citlivú povahu, pretože „vyplývajú“ z určitej situácie a údajmi, ktoré sú samé osebe citlivé.( )

36. V prejednávanej veci je podľa môjho názoru zrejmé, že sporná praktika je spracúvaním osobných údajov, ktoré môže v zásade patriť do pôsobnosti tohto ustanovenia a ktoré možno zakázať, ak spracúvané údaje „vyplývajú“ z niektorej z citlivých situácií vymenovaných v tomto ustanovení. Je preto potrebné rozhodnúť či a do akej miery môže prehliadanie internetových stránok a používanie aplikácií alebo vloženie údajov do týchto aplikácií „odhaľovať“ niektorú s citlivých situácií uvedených v spornom ustanovení.

37. V tomto ohľade mám pochybnosti o tom, že by bolo relevantné (a stále možné) rozlišovať na jednej strane medzi samotným záujmom dotknutej osoby o niektoré informácie a na druhej strane zaradením týchto údajov do niektorej z kategórií uvedených v predmetnom ustanovení.( ) Aj keď si postoje účastníkov konania vo veci samej v tomto ohľade navzájom odporujú( ) domnievam sa, že odpoveď na túto otázku možno hľadať len v každom individuálnom prípade a to s prihliadnutím na každú jednotlivú činnosť, ktorá je súčasťou spornej praktiky.

38. Ak tak, ako uvádza nemecká vláda, len samotné získanie citlivých osobných údajov o prehliadaní internetovej stránky alebo používaní aplikácie nie je samo osebe nevyhnutne spracúvaním citlivých osobných údajov v zmysle tohto ustanovenia,( ) spojenie týchto údajov s účtom Facebook dotknutého používateľa alebo ich používanie predstavujú správanie, ktoré by naopak bolo pomerne jednoducho možné považovať za takéto spracúvanie. Rozhodujúcim prvkom na účely uplatnenia článku 9 ods. 1 GDPR je podľa môjho názoru možnosť, že s pomocou spracúvaných údajov možno vytvoriť profil používateľa podľa kategórií vyplývajúcich zo zoznamu citlivých osobných údajov obsiahnutého v tomto ustanovení.( )

39. V tejto súvislosti by na účely posúdenia, či určité spracúvanie údajov patrí do pôsobnosti tohto ustanovenia, bolo vhodné prípadne rozlišovať na jednej strane medzi spracúvaním údajov, ktoré možno prima facie zaradiť do kategórie citlivých osobných údajov a s pomocou ktorých možno vytvoriť profil dotknutej osoby, a na druhej strane spracúvaním údajov, ktoré samy osebe nie sú citlivé, ale vyžadujú si následné prepojenie na to, aby bolo možné s dostatočnou istotou vytvoriť profil dotknutej osoby.

40. Vzhľadom na vyššie uvedené je potrebné spresniť, že existencia kategorizácie v zmysle tohto ustanovenia nezávisí od otázky, či je takáto kategorizácia pravdivá alebo správna.( ) Relevantná je len možnosť, že by takáto kategorizácia predstavovala významné riziko pre základné slobody a práva dotknutej osoby, ako pripomína článok 51 GDPR, teda možnosť, ktorá nezávisí od jej pravdivosti.

41. Napokon čo sa týka otázky vnútroštátneho súdu, ktorou sa snaží zistiť, či je cieľ používania relevantný na účely sporného posúdenia,( ) na rozdiel od žalobkyne vo veci samej sa domnievam, že sa v zásade nevyžaduje, aby prevádzkovateľ spracúval tieto údaje „s vedomím a s úmyslom získať priamo osobitné kategórie informácií“. Cieľom predmetného ustanovenia je totiž objektívne predchádzať významným rizikám pre základné slobody a základné práva dotknutých osôb, ktoré vyplývajú zo spracúvania citlivých osobných údajov nezávisle od akéhokoľvek subjektívneho prvku, akým je úmysel prevádzkovateľa.

42. Čo sa po druhé týka druhej prejudiciálnej otázky písm. b), pripomínam, že podľa článku 9 ods. 2 písm. e) GDPR sa zákaz spracúvania osobných údajov nevzťahuje na spracúvanie osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila. Okrem toho odkaz v znení tohto ustanovenia na príslovku „preukázateľne“ a skutočnosť, že predmetné ustanovenie má povahu výnimky zo spracúvania osobných údajov( ) si vyžadujú obzvlášť prísne použitie tejto výnimky z dôvodu závažných rizík pre základné práva a základné slobody dotknutých osôb.( ) Možnosť uplatnenia tejto výnimky si vyžaduje, aby si bol používateľ podľa môjho názoru plne vedomý, že výslovným úkonom( ) zverejňuje osobné údaje.( )

43. V prejednávanej veci sa domnievam, že správanie spočívajúce v prezeraní si internetových stránok a používaní aplikácií, vkladaní údajov na tieto stránky a do týchto aplikácií a kliknutí na tlačidlá zabudované do týchto internetových stránok alebo aplikácií nemožno v zásade považovať za správanie, ktoré preukázateľne sprístupňuje verejnosti citlivé osobné údaje používateľa v zmysle článku 9 ods. 2 písm. e) GDPR.

44. Konkrétnejšie zdôrazňujem, že prehliadanie si internetových stránok a používanie aplikácií v zásade sprístupňuje prezerané informácie výlučne správcovi dotknutej internetovej stránky alebo aplikácie a tretím osobám, ktorým táto osoba postúpi dotknuté informácie, ako v prípade žalobkyne vo veci samej.( ) Okrem toho aj v prípade, ak by dotknutá osoba vložením údajov na internetovú stránku a do aplikácií mohla poskytnúť priamo a dobrovoľne informácie o niektorých citlivých osobných údajoch, poznamenávam, že tieto informácie sú prístupné len pre správcu dotknutej stránky alebo aplikácie a pre tretie osoby, ktorým tento správca uvedené informácie postúpi. Preto vylučujem, že by takéto správanie mohlo odrážať vôľu sprístupniť takéto údaje verejnosti.( ) Navyše aj keď je zrejmé, že kliknutím na tlačidlá zabudované do týchto internetových stránok alebo aplikácií,( ) dotknutá osoba jasne vyjadruje svoju vôľu zdieľať niektoré informácie s externou verejnosťou na internetovej stránke alebo v spornej aplikácii, domnievam sa, ako zdôrazňuje aj Buneskartellamt, že v súvislosti s takýmto správaním si je dotknutá osoba vedomá, že zdieľa informácie s vymedzeným okruhom osôb, ktorý často určí samotný používateľ,( ) a nie s verejnosťou.( )

45. Napokon čo sa týka relevantnosti prípadného súhlasu udeleného používateľom v zmysle článku 5 ods. 3 smernice 2002/58 so získaním osobných údajov prostredníctvom ukazovateľov pripojenia (cookies) alebo podobných technológií, na ktoré sa odvoláva vnútroštátny súd, zastávam názor, že takýto súhlas nemôže vzhľadom na jeho osobitný cieľ sám osebe odôvodniť spracúvanie citlivých osobných údajov získaných s pomocou týchto nástrojov.( ) Uvedený súhlas, ktorý je nevyhnutný pre inštalovanie technického prostriedku na zachytenie niektorých činností používateľa,( ) sa nevzťahuje na spracúvanie citlivých osobných údajov a nemožno ho považovať za prejav vôle preukázateľne zverejniť tieto údaje v zmysle článku 9 ods. 2 písm. e) GDPR.( )

46. Vzhľadom na vyššie uvedené skutočnosti navrhujem odpovedať na druhú prejudiciálnu otázku tak, že na jednej strane sa má článok 9 ods. 1 GDPR vykladať v tom zmysle, že zákaz spracúvania citlivých osobných údajov môže zahŕňať aj spracúvanie údajov prevádzkovateľom online sociálnej siete, ktoré spočíva v získavaní údajov používateľa pri prezeraní iných internetových stránok alebo používaní aplikácií, resp. pri vkladaní údajov do takýchto stránok alebo aplikácií, prepojenie uvedených údajov s účtom používateľa sociálnej siete a ich použití, ak takéto spracúvané údaje posudzované individuálne alebo navzájom prepojené umožňujú vytvorenie profilu používateľa na základe kategórií vyplývajúcich zo zoznamu citlivých osobných údajov upraveného týmto ustanovením a na druhej strane, že sa má článok 9 ods. 2 písm. e) GDPR vykladať v tom zmysle, že používateľ preukázateľne nezverejňuje údaje len preto, že boli poskytnuté pri prehliadaní internetových stránok a používaní aplikácií alebo že boli vložené na takéto stránky alebo do aplikácií, alebo že vyplývajú zo stlačenia tlačidiel výberu, ktoré sú v nich zabudované.

O tretej až piatej prejudiciálnej otázke

47. Svojou treťou až piatou prejudiciálnou otázkou sa vnútroštátny súd v zásade pýta, či sa má článok 6 ods. 1 písm. b), c), d), e) a f) GDPR vykladať v tom zmysle, že sporná praktika( ) spadá do pôsobnosti niektorého z odôvodnení upravených v týchto ustanoveniach, a to konkrétne:

– nevyhnutná povaha pre plnenie zmluvy( ) alebo zohľadnenie oprávnených záujmov( ) s ohľadom na tú skutočnosť, že Meta Platforms prevádzkuje sociálnu sieť financovanú pomocou reklamy a ktorá ponúka v podmienkach poskytovania služby personalizáciu obsahu a reklamy, bezpečnosť siete, zlepšenie produktu, ako aj konzistentné a plynulé používanie všetkých produktov ponúkaných skupinou (tretia prejudiciálna otázka),

– zohľadnenie oprávnených záujmov( ) v kontexte vybraných situácií( ) (štvrtá prejudiciálna otázka),

– potreba odpovedať na právne platnú žiadosť o poskytnutie niektorých údajov,( ) potreba bojovať proti škodlivému správaniu a podporovať bezpečnosť( ) alebo relevantnosť na účely výskumu pre dobro spoločnosti a potreba podporovať ochranu, integritu a bezpečnosť( ) (piata prejudiciálna otázka).

48. Na úvod a bez ohľadu na niektoré otázky týkajúce sa prípustnosti štvrtej a piatej prejudiciálnej otázky( ) navrhujem odpovedať na tretiu až piatu prejudiciálnu otázku spoločne, keďže usmernenia, ktoré poskytnem nižšie, najmä v súvislosti s treťou prejudiciálnou otázkou sú užitočné pre vnútroštátny súd pri uplatňovaní ustanovení, ktoré sú predmetom štvrtej a piatej prejudiciálnej otázky.

49. V prvom rade zdôrazňujem, že v súlade s článkom 8 Charty základných práv Európskej únie (ďalej len „Charta“) musia byť osobné údaje riadne spracúvané na určené účely na základe súhlasu dotknutej osoby alebo na inom oprávnenom základe ustanovenom zákonom. V tomto ohľade článok 6 ods. 1 GDPR spresňuje, že spracúvanie týchto údajov je zákonné len vtedy, ak je splnená jedna zo šiestich podmienok stanovených týmto ustanovením.( )

50. V prejednávanej veci sa v prvom rade domnievam, že tretia až piata prejudiciálna otázka si vyžadujú podrobné preskúmanie jednotlivých ustanovení podmienok služby Facebook v každom individuálnom prípade a v kontexte spornej praktiky, pretože nie je možné určiť, či v súvislosti s touto praktikou „sa spoločnosť, akou je [Meta Platforms]“ môže všeobecne odvolávať na všetky (alebo niektoré) odôvodnenia upravené v článku 6 ods. 1 GDPR, a to aj keď nemožno vylúčiť, že takáto praktika alebo niektoré z jej činností môžu v niektorých prípadoch patriť do pôsobnosti tohto článku.( )

51. Okrem toho spracúvanie upravené v citovaných ustanoveniach sa v prejednávanej veci vykonáva v súlade so všeobecnými podmienkami zmluvy nariadenými prevádzkovateľom, bez súhlasu dotknutej osoby,( ) resp. proti jeho vôli, čo podľa môjho názoru vyžaduje prísny výklad predmetných odôvodnení, a to najmä s cieľom vyhnúť sa obchádzaniu podmienky vyslovenia súhlasu.( )

52. Napokon pripomínam, že v súlade s článkom 5 ods. 2 GDPR znáša tento prevádzkovateľ dôkazné bremeno v tom zmysle, že osobné údaje sa spracúvajú v súlade s uvedeným nariadením a že v súlade s článkom 13 ods. 1 písm. c) uvedeného nariadenia prináleží prevádzkovateľovi, ktorý spracúva citlivé osobné údaje, aby spresnil účel, na ktorý sa majú údaje použiť, ako aj právny základ ich spracúvania.

O tretej prejudiciálnej otázke

53. Po prvé podľa článku 6 ods. 1 GDPR je spracúvanie osobných údajov zákonné iba vtedy a iba v tom rozsahu, keď je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba.( )

54. V tomto ohľade pripomínam, že pojem „potrebný“ nie je definovaný v právnej úprave Únie, ale v zmysle judikatúry sa považuje za autonómny pojem práva Únie.( ) Na to, aby sa spracúvanie považovalo za potrebné pre plnenie zmluvy nestačí, aby sa uskutočnilo pri plnení zmluvy, aby sa uvádzalo v zmluve( ) alebo aby bolo len užitočné pre plnenie zmluvy.( ) V zmysle judikatúry Súdneho dvora musí byť objektívne potrebné pre plnenie zmluvy v tom zmysle, že nemôžu existovať iné realistické a menej rušivé riešenia( ), a to aj s ohľadom na oprávnené očakávania dotknutej osoby.( ) To zahŕňa tiež skutočnosť, že ak zmluva pozostáva z viacerých odlišných služieb alebo prvkov tej istej služby, ktoré možno vykonať nezávisle od seba, uplatniteľnosť článku 6 ods. 1 písm. b) GDPR sa musí posúdiť v súvislosti s každou z týchto služieb samostatne.( )

55. V rámci takéhoto odôvodnenia vnútroštátny súd poukazuje na personalizáciu obsahov, ako aj na konzistentné a plynulé používanie produktov (alebo skôr služieb) charakteristických pre skupinu.

56. Čo sa týka personalizácie obsahov domnievam sa, že aj keď takáto činnosť môže byť do určitej miery v záujme používateľa, pretože mu umožňuje najmä v časti „news feed (kanál vybraných príspevkov)“ uverejňovať obsahy, ktoré na základe automatického hodnotenia zodpovedajú záujmom používateľa, nie je zrejmé, že je taktiež potrebná pre poskytnutie služieb spornej sociálnej siete, a teda že si spracúvanie osobných údajov na tieto účely nevyžaduje súhlas dotknutého používateľa.( ) Na účely tohto preskúmania je tiež potrebné zohľadniť, že sporná praktika sa nezameriava na spracúvanie údajov o správaní sa používateľa v rámci stránky alebo aplikácie Facebook, ale na spracúvanie údajov pochádzajúcich z externých zdrojov, ktoré môžu byť neobmedzené. Kladiem si preto otázku, do akej miery by takéto spracúvanie mohlo zodpovedať očakávaniam priemerného používateľa a presnejšie, aký je „stupeň personalizácie“, ktorý môže tento používateľ očakávať od služby, do ktorej sa zaregistruje.( )

57. Čo sa týka konzistentného a plynulého používania služieb charakteristických pre skupinu poznamenávam, že prepojenie medzi jednotlivými službami poskytovanými žalobkyňou vo veci samej, napríklad medzi službami Facebook a Instagram, môže byť pre používateľa užitočné alebo niekedy dokonca žiadané. Mám však pochybnosti o tom, že spracúvanie osobných údajov pochádzajúcich z iných služieb poskytovaných skupinou (najmä Instagram) je potrebné pre poskytovanie služby Facebook( ).

58. Po druhé, podľa článku 6 ods. 1 písm. f) GDPR, spracúvanie osobných údajov je zákonné, ak je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana okrem prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobou dieťa.

59. V zmysle judikatúry Súdneho dvora, sporné ustanovenie stanovuje tri kumulatívne podmienky na to, aby sa spracúvanie osobných údajov považovalo za zákonné, a to po prvé, sledovanie oprávneného záujmu prevádzkovateľom alebo tretími osobami, ktorým boli tieto údaje oznámené, po druhé potrebu spracúvania osobných údajov pre uskutočnenie sledovaného oprávneného záujmu a po tretie, požiadavku, aby neprevažovali základné práva a slobody osoby, na ktorú sa vzťahuje ochrana údajov( ).

60. Po prvé, čo sa týka sledovania oprávneného záujmu pripomínam, že GDPR a judikatúra uznávajú širokú paletu záujmov, ktoré sa považujú za oprávnené( ), pričom sa spresňuje, že v súlade s článkom 13 ods. 1 písm. d) GDPR prináleží prevádzkovateľovi, aby označil oprávnené záujmy sledované v rámci článku 6 ods. 1 písm. f) GDPR( ).

61. Čo sa ďalej týka podmienky založenej na potrebe spracúvania osobných údajov pre uskutočnenie sledovaného oprávneného záujmu, v zmysle judikatúry Súdneho dvora sa odchýlky a obmedzenia zásady ochrany osobných údajov musia obmedziť na to, čo je nevyhnutne potrebné( ). Musí preto existovať úzka súvislosť medzi spracúvaním a sledovaným cieľom bez toho, aby existovali alternatívne riešenia, ktoré by v širšej miere rešpektovali ochranu osobných údajov, pretože nestačí, aby bolo spracúvanie údajov založené len na jeho užitočnosti pre prevádzkovateľa.

62. Čo sa napokon týka na jednej strane zváženia záujmov prevádzkovateľa a na druhej strane záujmov alebo základných slobôd a práv dotknutej osoby, prináleží v zmysle judikatúry Súdneho dvora vnútroštátnemu súdu, aby vykonal takéto zváženie dotknutých záujmov( ). Navyše ako vyplýva aj z odôvodnenia 47 GDPR, v rámci takéhoto zváženia je nevyhnutne potrebné prihliadať na primerané očakávania dotknutých osôb vyplývajúce z ich vzťahu k prevádzkovateľovi a určiť, či môže dotknutá osoba v danom čase a kontexte získavania osobných údajov primerane očakávať, že údaje môžu byť spracúvané na tento účel.

63. V rámci tohto odôvodnenia vnútroštátny súd uvádza personalizáciu reklamy, bezpečnosť siete a zlepšenie produktu.

64. V prvom rade čo sa týka personalizácie reklamy, z odôvodnenia 47 GDPR vyplýva, že spracúvanie osobných údajov na účely priameho marketingu možno považovať za oprávnený záujem prevádzkovateľa. Čo sa však týka potrebnosti spracúvania, treba poznamenať, že sporné údaje pochádzajú z externých zdrojov vo vzťahu k Facebooku, a preto vzniká otázka, aký je „stupeň personalizácie“ reklamy, ktorý je objektívne potrebný v tomto ohľade. Čo sa týka zváženia dotknutých záujmov je potrebné podľa môjho názoru zohľadniť povahu dotknutého oprávneného záujmu (v prejednávanej veci ide výlučne o ekonomický záujem), ako aj vplyv spracúvania na používateľa vrátane jeho primeraných očakávaní a prípadných ochranných opatrení prijatých prevádzkovateľom.( )

65. Podobné úvahy možno následne uviesť aj v súvislosti s bezpečnosťou siete. Totiž aj keď takéto odôvodnenie môže byť oprávneným záujmom prevádzkovateľa,( ) nie je úplne zrejmé, že by takéto spracúvanie bolo v prejednávanej veci potrebné aj s ohľadom na to, že sporné údaje pochádzajú z externých zdrojov vo vzťahu k Facebooku.( ) V každom prípade pripomínam, že prináleží prevádzkovateľovi, aby spresnil účely bezpečnosti, o ktoré sa prípadne opiera každé spracúvanie.

66. Napokon, čo sa týka zlepšenia produktu, aj keď sú zlepšenia týkajúce sa bezpečnosti, ktoré patria medzi osobitné odôvodnenia preskúmané neskôr, vylúčené, domnievam sa, že takéto odôvodnenie by malo byť skôr v záujme používateľa, ako prevádzkovateľa. Z tohto pohľadu je ťažké pochopiť, do akej miery by mohli predstavovať oprávnený záujem prevádzkovateľa a nevyžadovať si súhlas používateľa. Čo sa týka podmienky potrebnosti a zváženia medzi dotknutými právami a záujmami, odkazujem na úvahy uvedené vyššie.

O štvrtej a piatej prejudiciálnej otázke

67. Štvrtá prejudiciálna otázka, ktorá je v zásade doplnením druhej časti tretej prejudiciálnej otázky, má za cieľ zistiť, či opakovanie sa niektorých vymenovaných situácií predpokladá existenciu oprávneného záujmu v zmysle článku 6 ods. 1 písm. f) GDPR, kým svojou piatou prejudiciálnou otázkou sa vnútroštátny súd snaží zistiť, či potreba vyhovieť právoplatnej žiadosti o poskytnutie určitých údajov, bojovať proti škodlivému správaniu a podporovať bezpečnosť alebo výskumné účely pre dobro spoločnosti a potreba podporovať ochranu, integritu a bezpečnosť môžu byť odôvodneniami uplatniteľnými na spornú praktiku.( )

68. Nezávisle od prípustnosti týchto otázok( ) sa vo všeobecnosti domnievam, že v prípade štvrtej prejudiciálnej otázky nemožno vylúčiť, že niektoré ustanovenia upravujúce spornú praktiku možno odôvodniť oprávnenými záujmami v prípade okolností uvádzaných vnútroštátnym súdom( ) a čo sa týka piatej prejudiciálnej otázky, že v určitých situáciách môže byť sporná praktika odôvodnená na základe citovaných ustanovení.

69. Z rozhodnutia vnútroštátneho súdu však nevyplýva či, a do akej miery, Meta Platforms Ireland označila v súvislosti s jednotlivými cieľmi spracúvania a typom spracúvaných údajov oprávnené záujmy, ktoré konkrétne sleduje, ako aj ďalšie odôvodnenia, ktoré by prípadne mohli byť relevantné v prejednávanej veci.( ) Prináleží preto vnútroštátnemu súdu, aby s ohľadom na vyššie uvedené skutočnosti posúdil, do akej miery je v prípade skutkových okolností uvádzaných týmto súdom sporná praktika odôvodnená existenciou oprávnených záujmov spoločnosti Meta Platforms Ireland na spracúvaní údajov v zmysle článku 6 ods. 1 písm. f) GDPR alebo inou z podmienok upravených v článku 6 ods. 1 písm. c), d) a e) tohto nariadenia.

O odpovedi na tretiu až piatu prejudiciálnu otázku

70. Vzhľadom na vyššie uvedené navrhujem odpovedať na tretiu až piatu prejudiciálnu otázku v tom zmysle, že článok 6 ods. 1 písm. b), c), d), e) a f) GDPR sa má vykladať v tom zmysle, že sporná praktika alebo niektoré činnosti, ktoré sú jej súčasťou, môžu patriť do pôsobnosti výnimiek upravených v týchto ustanoveniach, ak každé jednotlivé posudzované spracúvanie údajov spĺňa podmienky upravené v odôvodnení, na ktoré sa v konkrétnom prípade prevádzkovateľ odvoláva, a teda, že:

– spracúvanie je objektívne potrebné na poskytnutie služieb súvisiacich s účtom Facebook,

– spracúvanie je potrebné na uskutočnenie oprávneného záujmu, na ktorý sa odvoláva prevádzkovateľ alebo tretia, resp. tretie osoby, ktorým sú údaje poskytnuté, a neprimerane nezasahuje do základných práv a základných slobôd dotknutých osôb,

– spracúvanie je potrebné na účely odpovede na právoplatnú žiadosť o poskytnutie niektorých údajov, boja proti škodlivému správaniu a podpory bezpečnosti alebo na účely výskumu v prospech spoločnosti a podpory ochrany, integrity a bezpečnosti.

O šiestej prejudiciálnej otázke

71. Svojou šiestou prejudiciálnou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 6 ods. 1 písm. a) a článok 9 ods. 2 písm. a) GDPR vykladať v tom zmysle, že súkromní používatelia môžu udeliť platný a slobodný súhlas v zmysle článku 4 bodu 11 tohto nariadenia podniku s dominantným postavením na vnútroštátnom trhu s online sociálnymi sieťami.

72. Na úvod pripomínam, že článok 6 ods. 1 písm. a) a článok 9 ods. 2 písm. a) GDPR upravujú povinnosť získať súhlas dotknutej osoby, jednak v súvislosti so všeobecným spracúvaním osobných údajov a jednak so spracúvaním citlivých osobných údajov. Okrem toho podľa článku 4 bodu 11 GDPR na účely tohto nariadenia sa pod pojmom „súhlas“ dotknutej osoby myslí akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka.( )

73. Čo sa týka presnejšie podmienky „slobodného“ súhlasu, ktorá je ako jediná spochybňovaná v prejednávanej veci, zdôrazňujem, že v súlade s odôvodnením 42 GDPR by sa nemal súhlas považovať za slobodný, ak dotknutá osoba nemá skutočnú alebo slobodnú voľbu( ) a nemôže odmietnuť či odvolať súhlas bez toho, aby čelila nepriaznivým následkom.( ) Okrem toho tak, ako vyplýva z článku 7 ods. 1 GDPR (a je pripomenuté v odôvodnení 42 tohto nariadenia), ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba udelila súhlas so spracúvaním jej osobných údajov.

74. V rozsahu relevantnom pre toto konanie v prvom rade pripomínam, že tak, ako zdôrazňuje odôvodnenie 43 prvá veta GDPR, súhlas nie je platným právnym dôvodom na spracúvanie osobných údajov, ak medzi postavením dotknutej osoby a prevádzkovateľa existuje „jednoznačný nepomer“( ) a ďalej, že v zmysle článku 7 ods. 4 GDPR, pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný( ) a napokon, že v súlade s odôvodnením 43 druhou vetou GDPR sa súhlas nepovažuje za poskytnutý slobodne, ak nie je možné dať samostatný súhlas na jednotlivé spracovateľské operácie osobných údajov, hoci v prejednávanej veci je to vhodné.( )

75. V prejednávanej veci sa domnievam, že prípadné dominantné postavenie na trhu prevádzkovateľa poskytujúceho služby sociálnej siete zohráva úlohu pri posudzovaní existencie slobodného súhlasu udeleného používateľom tejto siete. Existencia trhovej sily na strane prevádzkovateľa totiž pravdepodobne vytvára jasnú mocenskú nerovnováhu v zmysle bodu 74 vyššie.( ) Treba však na jednej strane spresniť, že na to, aby sa takáto trhová sila považovala za relevantnú z hľadiska uplatnenia GDPR, nemala by sa nevyhnutne stotožňovať z hranicou dominantného postavenia v zmysle článku 102 ZFEÚ,( ) a na druhej strane, že len táto okolnosť nemôže sama osebe v zásade zbaviť súhlas akejkoľvek platnosti.( )

76. Platnosť súhlasu sa preto musí skúmať v každom individuálnom prípade s ohľadom na iné skutočnosti uvedené v bodoch 73 a 74 vyššie a s ohľadom na všetky okolnosti prejednávanej veci, ako aj na tú okolnosť, že dôkazné bremeno súvisiace s tvrdením, že dotknutá osoba udelila svoj súhlas so spracúvaním osobných údajov, ktoré sa jej týkajú, znáša prevádzkovateľ.

77. Vzhľadom na vyššie uvedené skutočnosti navrhujem odpovedať na šiestu prejudiciálnu otázku v tom zmysle, že článok 6 ods. 1 písm. a) a článok 9 ods. 2 písm. a) GDPR sa majú vykladať v tom zmysle, že len samotná skutočnosť, že podnik, ktorý prevádzkuje sociálnu sieť, má dominantné postavenie na vnútroštátnom trhu s online sociálnymi sieťami pre súkromných používateľov, nemôže sama osebe zbaviť súhlas používateľa tejto siete so spracúvaním jeho osobných údajov platnosti v zmysle článku 4 bodu 11 GDPR. Táto okolnosť je však relevantná pri posudzovaní slobodne udeleného súhlasu v zmysle tohto ustanovenia, čo musí preukázať prevádzkovateľ, a to prípadne aj s ohľadom na existenciu zrejmého nepomeru moci medzi dotknutou osobou a prevádzkovateľom, prípadnú povinnosť vysloviť súhlas so spracúvaním iných osobných údajov ako tých, ktoré sú nevyhnutné pre poskytovanie sporných služieb, ako aj požiadavku, aby bol súhlas osobitne udelený na každý účel spracúvania zvlášť a potrebu zabrániť tomu, aby odvolanie súhlasu spôsobilo ujmu používateľovi, ktorý súhlas odvoláva.

Návrhy

78. Vzhľadom na vyššie uvedené úvahy Súdnemu dvoru navrhujem, aby na prejudiciálne otázky položené Oberlandesgericht Düsseldorf (Vyšší krajinský súd Düsseldorf, Nemecko) odpovedal takto:

1. Články 51 až 66 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa majú vykladať v tom zmysle, že:

orgán na ochranu hospodárskej súťaže v rámci výkonu svojich právomocí v zmysle pravidiel v oblasti hospodárskej súťaže môže incidenčne skúmať súlad posudzovaných praktík s pravidlami tohto nariadenia, pričom je povinný zohľadniť akékoľvek rozhodnutie alebo vyšetrovanie zodpovedného dozorného orgánu podľa uvedeného nariadenia a informovať o takomto preskúmaní vnútroštátny dozorný orgán, a v prípade potreby s ním vec konzultovať

2. Článok 9 ods. 1 nariadenia 2016/679

sa má vykladať v tom zmysle, že:

zákaz spracúvania citlivých osobných údajov môže zahŕňať aj spracúvanie údajov prevádzkovateľom online sociálnej siete, ktoré spočíva v získavaní údajov používateľa pri prezeraní iných internetových stránok alebo používaní aplikácií, resp. pri vkladaní údajov do takýchto stránok alebo aplikácií, prepojenie uvedených údajov s účtom používateľa sociálnej siete a ich použití, ak takéto spracúvané údaje posudzované individuálne alebo navzájom prepojené umožňujú vytvorenie profilu používateľa na základe kategórií vyplývajúcich zo zoznamu citlivých osobných údajov upraveného týmto ustanovením

Článok 9 ods. 2 písm. e) tohto nariadenia

sa má vykladať v tom zmysle, že:

používateľ preukázateľne nezverejňuje údaje len preto, že boli poskytnuté pri prehliadaní internetových stránok a používaní aplikácií alebo že boli vložené na takéto stránky alebo do aplikácií, alebo že vyplývajú zo stlačenia tlačidiel výberu, ktoré sú v nich zabudované.

3. Článok 6 ods. 1 písm. b), c), d), e) a f), nariadenia 2016/679

sa má vykladať v tom zmysle, že:

praktika spočívajúca po prvé v získavaní údajov pochádzajúcich z iných služieb poskytovaných skupinou, ako aj z internetových stránok a aplikácií tretích osôb prostredníctvom zabudovaných rozhraní do týchto stránok alebo aplikácií, resp. prostredníctvom súborov cookie alebo podobných technológií ukladania, ktoré sú umiestnené na počítači alebo mobilnom koncovom zariadení používateľa, po druhé v prepojení týchto údajov s účtom dotknutého používateľa v sieti Facebook a po tretie v použití uvedených údajov alebo niektorých činností tvoriacich túto praktiku, môže patriť do pôsobnosti výnimiek upravených týmito ustanoveniami, ak každý z posudzovaných spôsobov spracúvania údajov spĺňa podmienky upravené pre uplatnenie odôvodnenia, na ktoré sa prevádzkovateľ v konkrétnom prípade odvoláva, a teda, že:

– spracúvanie je objektívne potrebné na poskytnutie služieb súvisiacich s účtom Facebook,

– spracúvanie je potrebné na uskutočnenie oprávneného záujmu, na ktorý sa odvoláva prevádzkovateľ alebo tretia, resp. tretie osoby, ktorým sú tieto údaje poskytované, a neprimerane nezasahuje do základných práv a základných slobôd dotknutej osoby,

– spracúvanie je potrebné na účely odpovede na právoplatnú žiadosť o predloženie určitých údajov, boja proti škodlivému správaniu a podpory bezpečnosti alebo na účely výskumu v prospech spoločnosti a podpory ochrany, integrity a bezpečnosti.

4. Článok 6 ods. 1 písm. a) a článok 9 ods. 2 písm. a), nariadenia 2016/679

sa majú vykladať v tom zmysle, že:

len samotná skutočnosť, že podnik, ktorý prevádzkuje sociálnu sieť, má dominantné postavenie na vnútroštátnom trhu s online sociálnymi sieťami pre súkromných používateľov, nemôže sama osebe zbaviť súhlas používateľa tejto siete so spracúvaním jeho osobných údajov platnosti v zmysle článku 4 bodu 11 tohto nariadenia. Táto okolnosť je však relevantná pri posudzovaní slobodne udeleného súhlasu v zmysle tohto ustanovenia, čo musí preukázať prevádzkovateľ, a to prípadne aj s ohľadom na existenciu zrejmého nepomeru moci medzi dotknutou osobou a prevádzkovateľom, prípadnú povinnosť vysloviť súhlas so spracúvaním iných osobných údajov ako tých, ktoré sú nevyhnutné pre poskytovanie sporných služieb, ako aj požiadavku, aby bol súhlas osobitne udelený na každý účel spracúvania zvlášť a potrebu zabrániť tomu, aby odvolanie súhlasu spôsobilo ujmu používateľovi, ktorý súhlas odvoláva.