EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 62021CC0252
Opinion of Advocate General Rantos delivered on 20 September 2022.#Meta Platforms Inc and Others v Bundeskartellamt.#Request for a preliminary ruling from the Oberlandesgericht Düsseldorf.#Reference for a preliminary ruling – Protection of natural persons with regard to the processing of personal data – Regulation (EU) 2016/679 – Social networks – Abuse of a dominant position by the operator of such a network – Abuse which entails the processing of the personal data of the users of that network as provided for in its general terms of use – Powers of a competition authority of a Member State to find that processing is not consistent with that regulation – Reconciliation with the powers of the national data protection supervisory authorities – Article 4(3) TEU – Principle of sincere cooperation – Points (a) to (f) of the first subparagraph of Article 6(1) of Regulation 2016/679 – Whether the processing is lawful – Article 9(1) and (2) – Processing of special categories of personal data – Article 4(11) – Concept of ‘consent’.#Case C-252/21.
Заключение на генералния адвокат A. Rantos, представено на 20 септември 2022 г.
Meta Platforms Inc. и др. срещу Bundeskartellamt.
Преюдициално запитване, отправено от Oberlandesgericht Düsseldorf.
Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Социални онлайн мрежи — Злоупотреба с господстващо положение на оператора на такава мрежа — Злоупотреба, която се състои в обработването на лични данни на ползвателите на тази мрежа, предвидено от общите условия за използване на мрежата — Правомощия на орган за защита на конкуренцията на дадена държава членка да констатира несъответствието на това обработване с този регламент — Съчетаване с правомощията на националните надзорни органи за защита на личните данни — Член 4, параграф 3 ДЕС — Принцип на лоялно сътрудничество — Член 6, параграф 1, първа алинея, букви а) — е) от Регламент 2016/679 — Законосъобразност на обработването — Член 9, параграфи 1 и 2 — Обработване на специални категории лични данни — Член 4, точка 11 — Понятието „съгласие.
Дело C-252/21.
Заключение на генералния адвокат A. Rantos, представено на 20 септември 2022 г.
Meta Platforms Inc. и др. срещу Bundeskartellamt.
Преюдициално запитване, отправено от Oberlandesgericht Düsseldorf.
Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Социални онлайн мрежи — Злоупотреба с господстващо положение на оператора на такава мрежа — Злоупотреба, която се състои в обработването на лични данни на ползвателите на тази мрежа, предвидено от общите условия за използване на мрежата — Правомощия на орган за защита на конкуренцията на дадена държава членка да констатира несъответствието на това обработване с този регламент — Съчетаване с правомощията на националните надзорни органи за защита на личните данни — Член 4, параграф 3 ДЕС — Принцип на лоялно сътрудничество — Член 6, параграф 1, първа алинея, букви а) — е) от Регламент 2016/679 — Законосъобразност на обработването — Член 9, параграфи 1 и 2 — Обработване на специални категории лични данни — Член 4, точка 11 — Понятието „съгласие.
Дело C-252/21.
Court reports – general
ECLI identifier: ECLI:EU:C:2022:704
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
A. RANTOS
представено на 20 септември 2022 година ( 1 )
Дело C‑252/21
Meta Platforms Inc., по-рано Facebook Inc.,
Meta Platforms Ireland Limited, по-рано Facebook Ireland Ltd.,
Facebook Deutschland GmbH
срещу
Bundeskartellamt,
при участието на:
Verbraucherzentrale Bundesverband e.V.
(Преюдициално запитване, отправено от Oberlandesgericht Düsseldorf (Върховен областен съд Дюселдорф, Германия)
„Преюдициално запитване — Регламент (ЕС) 2016/679 — Защита на физическите лица във връзка с обработването на лични данни — Социални мрежи — Член 4, точка 11 — Понятие „съгласие“ на субекта на данните — Съгласие, дадено на предприятие, администратор в господстващо положение — Член 6, параграф 1, букви б)—е) — Законосъобразност на обработването — Обработване, необходимо за изпълнението на договор, по който субектът на данните е страна, или за целите на легитимните интереси на администратора или на трето лице — Обработване, необходимо за спазването на законово задължение, което се прилага спрямо администратора, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице, или за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора — Член 9, параграф 1 и член 9, параграф 2, буква д) — Специални категории лични данни — Лични данни, които явно са направени обществено достояние от субекта на данните — Членове 51—66 — Правомощия на националния орган за защита на конкуренцията — Връзка с правомощията на надзорните органи за защита на личните данни — Определяне на правила съгласно конкурентното право от орган, който се намира в държава членка, различна от тази на водещия надзорен орган за защита на данните“
Въведение
1. |
Настоящото преюдициално запитване е отправено от Oberlandesgericht Düsseldorf (Върховен областен съд Дюселдорф, Германия) в рамките на спор между дружества от групата Meta Platforms ( 2 ) и Bundeskartellamt (Федерален орган за защита на конкуренцията, Германия) относно решението, с което последният налага забрана на жалбоподателя по главното производство да извършва обработването на данни, предвидено в условията за ползване на социалната му мрежа Facebook, както и за прилагането на тези условия за ползване, и налага мерки за преустановяване на тези дейности ( 3 ). |
2. |
Преюдициалните въпроси се отнасят основно, от една страна, до компетентността на национален орган за защита на конкуренцията като Bundeskartellamt да разглежда — главно или инцидентно — действия на предприятие в светлината на някои разпоредби от Регламент (ЕС) 2016/679 ( 4 ), и от друга страна, до тълкуването на разпоредбите, що се отнася по-специално до обработването на чувствителни лични данни, релевантните условия за законосъобразност на обработването на лични данни и за предоставянето на свободно изразено съгласие на предприятие с господстващо положение. |
Правна уредба
Правото на Съюза
3. |
Член 4 от ОРЗД предвижда: „За целите на настоящия регламент: […]
[…]“. |
4. |
Член 6, параграф 1 от този регламент, озаглавен „Законосъобразност на обработването“, гласи следното: „Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи“. |
5. |
Член 9 от посочения регламент е озаглавен „Обработване на специални категории лични данни“ и параграфи 1 и 2 от него гласят: „1. Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице. 2. Параграф 1 не се прилага, ако е налице едно от следните условия:
[…]
[…]“. |
6. |
Член 51 от същия регламент със заглавие „Надзорен орган“, който е част от глава VI, озаглавена от своя страна „Независими надзорни органи“, има следния текст: „1. Всяка държава членка осигурява един или повече независими публични органи, които са отговорни за наблюдението на прилагането на настоящия регламент, за да се защитят основните права и свободи на физическите лица във връзка с обработването и да се улесни свободното движение на личните данни в рамките на Съюза […]. 2. Всеки надзорен орган допринася за последователното прилагане на настоящия регламент в рамките на Съюза. За тази цел надзорните органи си сътрудничат помежду си и с Комисията в съответствие с глава VII. […]“. |
Германското право
7. |
Член 19, параграф 1 от Gesetz gegen Wettbewerbsbeschränkungen (Закон срещу ограниченията на конкуренцията, наричан по-нататък „GWB“) гласи: „Забранено е използването от страна на едно или повече предприятия на господстващо положение с цел злоупотреба“ ( 5 ). |
8. |
Член 50f от GWB предвижда: „(1) Органите за защита на конкуренцията, регулаторните органи, Федералната служба за защита на данните и свободата на информацията, регионалните администратори за защита на данните и компетентните органи по смисъла на член 2 от EU‑Verbraucherschutzdurchführungsgesetz [Закон за прилагане на правото на защита на потребителите на Европейския съюз] могат, независимо от избраната процедура, да обменят помежду си информация, включително лични данни и търговски тайни, доколкото това е необходимо за изпълнението на съответните им задължения, както и да използват тази информация в рамките на техните процедури. […]“. |
Спорът по главното производство, преюдициалните въпроси и производството пред Съда
9. |
Meta Platforms управлява услугите на онлайн социалната мрежа „Facebook“ в Европейския съюз (на адрес www.facebook.com), както и други онлайн услуги, сред които Instagram и WhatsApp. Икономическият модел на управляваните от Meta Platforms социални мрежи се състои в същността си, от една страна, в предлагане на безплатни услуги на социална мрежа за частни ползватели, и от друга страна, в продажба на онлайн реклама, която е съобразена с индивидуалния ползвател на социалната мрежа и има за цел да покаже на ползвателя стоките и услугите, които биха могли да го заинтересуват по-конкретно въз основа на личното му потребителско поведение, неговите интереси, покупателна способност и житейска ситуация. Техническото основание за този вид реклама е автоматизираното изготвяне на много подробни профили на ползвателите на мрежата и на предлаганите онлайн услуги на равнището на групата ( 6 ). |
10. |
За събирането и обработването на данните на ползвателите Meta Platforms се основава на договор за използване, сключен с неговите ползватели посредством натискането на бутон „Регистрация“, с коeто тези ползватели приемат условията за ползване на Facebook. Приемането на тези условия за ползване е съществено условие за ползването на социалната мрежа Facebook ( 7 ). Централният въпрос по настоящото дело се отнася до практиката, състояща се, първо, в събирането на данни, произлизащи от други услуги на групата, както и от уебсайтове и приложения на трети лица, чрез интегрирани в тях интерфейси или чрез записани на компютъра или мобилното устройство на ползвателя бисквитки, второ, в свързването на тези данни с акаунта на съответния ползвател във Facebook, и трето, в използването на посочените данни (наричана по-нататък „спорната практика“). |
11. |
Bundeskartellamt образува производство срещу Meta Platforms, вследствие на което със спорното решение забранява на същата предвиденото в условията за ползване на Facebook обработване на данни, както и прилагането на тези условия, и ѝ налага мерки за преустановяване на тези действия. Bundeskartellamt мотивира своето решение по-конкретно с това, че въпросното обработване на данни представлява злоупотреба с господстващото положение на това дружество на пазара на социални мрежи за частни ползватели в Германия по смисъла на член 19 от GWB ( 8 ). |
12. |
На 11 февруари 2019 г. Meta Platforms подава жалба срещу спорното решение пред запитващата юрисдикция, Oberlandesgericht Düsseldorf (Върховен областен съд, Дюселдорф) ( 9 ), която изпитва съмнения, в основни линии, от една страна, относно възможността национални органи за защита на конкуренцията да контролират съответствието на обработване на данни с формулираните в ОРЗД изисквания, както и да установяват и санкционират нарушаването на разпоредбите на ОРЗД, и от друга страна, относно тълкуването и прилагането на някои разпоредби от този регламент. |
13. |
При тези условия Oberlandesgericht Düsseldorf (Върховен областен съд Дюселдорф) решава да спре производството и да постави на Съда следните преюдициални въпроси:
При утвърдителен отговор на въпрос 7 е необходимо да се даде отговор на въпроси 3—5, що се отнася до данните от използването на притежаваната от групата услуга Instagram“. |
14. |
Писмени становища са представили Meta Platforms, германското, чешкото, италианското и австрийското правителство, Bundeskartellamt, Verbraucherzentrale Bundesverband e.V. (Сдружение на потребителите, Германия), както и Европейската комисия. Тези страни са изразили и устни становища в съдебното заседание за изслушване на устните състезания, проведено на 10 май 2022 г. |
Анализ
15. |
Преюдициалните въпроси — предмет на настоящото дело, са свързани с тълкуването на редица разпоредби от ОРЗД и се отнасят по същността си, първо, до правомощието на орган за защита на конкуренцията да установява и санкционира нарушение на правилата за обработването на лични данни и задълженията му за сътрудничество с водещия орган по смисъла на ОРЗД (първи и седми преюдициален въпрос), второ, до забраната за обработване на чувствителни лични данни и до условията за даване на съгласие за използването им (втори преюдициален въпрос), трето, до законосъобразността на обработването на лични данни в светлината на някои основания (трети, четвърти и пети преюдициален въпрос), и четвърто, валидността на съгласието за обработване на лични данни, дадено на предприятие в господстващо положение (шести преюдициален въпрос). |
16. |
В следващите точки ще разгледам най-напред първия и седмия преюдициален въпрос, а след това останалите преюдициални въпроси по реда, в който са поставени, като групирам третия, четвъртия и петия преюдициален въпрос. |
По първия преюдициален въпрос
17. |
С първия си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали когато орган за защита на конкуренцията преследва нарушения на правилата за конкуренция, той може, от една страна, да се произнесе, на главно основание ( 10 ), по нарушението на правилата на ОРЗД за обработване на данни от предприятие с основно място на установяване, което се намира в друга държава членка и носи изключителната отговорност за обработването на лични данни за цялата територия на Съюза, и от друга страна, да разпореди това нарушение да бъде преустановено (първи въпрос, буква а), и при утвърдителен отговор — дали компетентният по силата на член 56, параграф 1 от ОРЗД водещ надзорен орган може впоследствие да проведе процедура по разследване във връзка с условията на това предприятие относно обработването на данни (първи въпрос, буква б). |
18. |
Същевременно — и при условие запитващата юрисдикция да провери това — ми се струва, че в спорното решение Bundeskartellamt не санкционира нарушение на ОРЗД от Meta Platforms, а разглежда, единствено за целта на прилагането на правилата за конкуренция, твърдяно нарушение на забраната за злоупотреба с господстващо положение от страна на същото, като взема предвид, наред с останалото, несъвместимостта на поведението на това предприятие с разпоредбите на ОРЗД. |
19. |
Поради това според мен, доколкото засяга възможността орган за защита на конкуренцията да се произнесе, на главно основание, по нарушаването на правилата на ОРЗД, и да разпореди преустановяване на това нарушение по смисъла на този регламент, първият въпрос, буква а) е неотносим ( 11 ). |
20. |
От това следва, че първият въпрос, буква б), който е обусловен от утвърдителния отговор на първия въпрос, буква а), също е неотносим ( 12 ). |
По седмия преюдициален въпрос
21. |
Със седмия си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали когато орган за защита на конкуренцията преследва нарушения на правилата за конкуренция, той може да установи инцидентно ( 13 ) дали условията за обработване на данни и тяхното прилагане са съобразени с ОРЗД (седми въпрос, буква а), и при утвърдителен отговор — дали разглеждане от органа за защита на конкуренцията е възможно и когато в същото време компетентният водещ надзорен орган провежда процедура по разследване на тези условия (седми въпрос, буква б). |
22. |
Що се отнася, на първо място, до седмия въпрос, буква а), според мен, макар орган за защита на конкуренцията да не е компетентен да установи нарушение на ОРЗД ( 14 ), този регламент по принцип допуска възможността други органи освен надзорните при упражняване на тяхната собствена компетентност и правомощия инцидентно да отчитат съвместимостта на дадено поведение с разпоредбите на ОРЗД. По мое мнение такъв е случаят, що се отнася в частност до упражняването от орган за защита на конкуренцията на правомощията, които са му предоставени с член 102 ДФЕС и член 5, първа алинея от Регламент (ЕО) № 1/2003 ( 15 ), или с която и да е друга съответна национална разпоредба ( 16 ). |
23. |
Всъщност при упражняването на своите правомощия органът за защита на конкуренцията трябва да прецени по‑специално дали разглежданото поведение представлява използване на методи, различни от тези, които са характерни за конкуренция въз основа на качествата, предвид правния и икономическия контекст, в който се вписва такова поведение ( 17 ). В това отношение дали посоченото поведение е в съответствие с разпоредбите на ОРЗД, не само по себе си, а като се вземат предвид всички обстоятелства по конкретния случай, може да представлява важна индиция, за да се установи дали това поведение представлява използване на методи, които направляват нормална конкуренция, като същевременно се уточнява, че дали дадено поведение представлява злоупотреба от гледна точка на член 102 ДФЕС не става ясно от неговото съответствие, или от липсата на такова, с ОРЗД или с други правни норми ( 18 ). |
24. |
Ето защо считам, че разглеждането на злоупотреба с господстващо положение на пазара може да оправдае тълкуването от страна на орган за защита на конкуренцията на разпоредби, които не са от областта на конкурентното право като тези на ОРЗД ( 19 ), като същевременно се уточни, че такова разглеждане се осъществява инцидентно ( 20 ) и не предопределя прилагането на този регламент от компетентните надзорни органи ( 21 ). |
25. |
Що се отнася, на второ място, до седмия въпрос, буква б), запитващата юрисдикция иска да се установи какви са — в рамките на прилагането на принципа на лоялно сътрудничество, закрепен в член 4, параграф 3 ДЕС — задълженията, които има по отношение на компетентния водещ надзорен орган по смисъла на ОРЗД, орган за защита на конкуренцията, когато тълкува разпоредби на този регламент, и по-точно, когато същото поведение като разгледаното от органа за защита на конкуренцията е предмет на разглеждане от страна на компетентния водещ надзорен орган. |
26. |
В случая разглеждането, макар и инцидентно, на поведение на дадено предприятие в светлината на нормите на ОРЗД от орган за защита на конкуренцията крие риск от разминавания между последния и надзорните органи, що се отнася до тълкуването на този регламент, което по принцип може да накърни еднаквото тълкуване на ОРЗД ( 22 ). |
27. |
Правото на Съюза не предвижда подробни правила за сътрудничество между орган за защита на конкуренцията и надзорните органи по смисъла на ОРЗД в подобна ситуация. В частност, по настоящото дело не са приложими нито механизмът за сътрудничество между компетентните органи по смисъла на ОРЗД при прилагането на същия ( 23 ), нито други прецизни правила относно сътрудничеството между административни органи като тези относно сътрудничеството между органите за защита на конкуренцията и относно сътрудничеството между последните и Комисията при прилагането на правилата за конкуренция ( 24 ). |
28. |
Същевременно, когато орган за защита на конкуренцията тълкува ОРЗД, той все пак е обвързан от принципа на лоялно сътрудничество, закрепен в член 4, параграф 3 ДЕС, по силата на който Съюзът и държавите членки, включително административните им органи ( 25 ), при пълно взаимно зачитане си съдействат при изпълнението на задачите, произтичащи от Договорите. По-специално, трета алинея от тази разпоредба предвижда, че държавите членки съдействат на Съюза при изпълнението на неговите задачи и се въздържат от всякакви мерки, които биха могли да застрашат постигането на целите на Съюза ( 26 ). По-нататък, като всеки административен орган, който отговаря за прилагането на правото на Съюза, органите за защита на конкуренцията са обвързани от принципа на добра администрация като общ принцип на правото на Съюза, който включва по-конкретно широко задължение на националните органи за полагане на грижа и за оказване на съдействие ( 27 ). |
29. |
Така при липсата на подробни правила относно механизмите за сътрудничество, които законодателят на Съюза евентуално трябва да приеме, когато орган за защита на конкуренцията тълкува разпоредбите на ОРЗД, той най-малкото има задължения за предоставяне на информация и сведения, и за сътрудничество по отношение на компетентните органи по смисъла на този регламент, в изпълнение на националните норми, които уреждат неговите правомощия (принцип на процесуална автономия на държавите членки) и при зачитане на принципите на равностойност и на ефективност ( 28 ). |
30. |
Според мен от това следва, че когато компетентният водещ надзорен орган се произнася по прилагането на някои разпоредби на ОРЗД по отношение на идентична или сходна практика, органът за защита на конкуренцията по принцип няма да може да се отклони от тълкуването на водещия надзорен орган, който единствено е компетентен да прилага този регламент ( 29 ), и ще трябва, доколкото е възможно, и по-специално при зачитане на правото на защита на засегнатите лица, да се съобрази с евентуалните приети от него решения, които се отнасят до същото поведение ( 30 ), и в случай на съмнения относно тълкуването, дадено в конкретния случай от компетентния орган, да се консултира с него или при необходимост, когато същият се намира в друга държава членка, да се консултира с националния надзорен орган ( 31 ). |
31. |
По-нататък, при липсата на решение на компетентния надзорен орган органът за защита на конкуренцията трябва все пак да уведоми същия ( 32 ) и да си сътрудничи с него, когато този орган е започнал процедура по разследване на същата практика или е изразил намерение да направи това, и евентуално да изчака резултата от осъщественото от надзорния орган разглеждане, преди да извърши собствена преценка, доколкото е практически осъществимо и в частност не изключва изискването органът за защита на конкуренцията да спазва разумен срок за разследване и да зачита правото на защита на засегнатите лица ( 33 ). |
32. |
В случая според мен фактът, че е започнато сътрудничество с надзорните органи, които отговарят на национално равнище ( 34 ), и неформално е установен контакт с ирландския водещ надзорен орган — обстоятелства, посочени от Bundeskartellamt, които запитващата юрисдикция следва да провери — може да е достатъчен, за да се приеме, че този орган е изпълнил задълженията си за полагане на грижа и за лоялно сътрудничество ( 35 ). |
33. |
В заключение, предлагам на седмия преюдициален въпрос да се отговори, че членове 51—66 от ОРЗД трябва да се тълкуват в смисъл, че орган за защита на конкуренцията, в рамките на правомощията си по смисъла на правилата в областта на конкуренцията, може да разгледа инцидентно съвместимостта на разглежданите практики с разпоредбите на ОРЗД, като същевременно вземе предвид всяко решение или разследване на компетентния надзорен орган по ОРЗД, и като уведоми за това националния надзорен орган, и съответно се консултира с него. |
По втория преюдициален въпрос
34. |
С втория си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 9, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че спорната практика, когато засяга посещаването на интернет страници и приложения на трети лица ( 36 ), представлява обработване на изброените чувствителни лични данни ( 37 ), което е забранено ( 38 ) (втори въпрос, буква a), а при утвърдителен отговор, дали член 9, параграф 2, буква д) от този регламент трябва да се тълкува в смисъл, че ползвател явно прави обществено достояние по смисъла на тази разпоредба данните, които, от една страна, са разкрити при посещаването на тези уебстраници и приложения, или, от друга страна, тези, които са въведени посредством или произтичат от натискането на интегрираните в тези уебстраници или приложения бутони ( 39 ) (втори въпрос, буква б). |
35. |
Що се отнася, на първо място, до втори въпрос, буква а), припомням, че по силата на член 9, параграф 1 от ОРЗД обработването на чувствителни лични данни е забранено. Както е видно от съображение 51 от този регламент, специалната защита на тези данни е мотивирана с факта, че по своето естество те са особено чувствителни от гледна точка на основните права и свободи и обработването им би могло да създаде значителни рискове за тези права и свободи. Освен това, въпреки донякъде неясния текст на тази разпоредба ( 40 ), според мен тя не въвежда същностна разлика между лични данни, които са чувствителни, тъй като „разкриват“ определена ситуация, и данни, които са чувствителни сами по себе си, както предполага запитващата юрисдикция ( 41 ). |
36. |
В случая според мен е очевидно, че спорната практика представлява обработване на лични данни, което по принцип може да попадне в приложното поле на тази разпоредба и да бъде забранено, когато обработваните данни „разкриват“ една от изброените в нея чувствителни ситуации. Следователно трябва да се установи дали и до каква степен посещаването на уебсайтове и приложения или въвеждането на данни в тях могат да „разкриват“ една от чувствителните ситуации, визирани във въпросната разпоредба. |
37. |
В това отношение не мисля, че е необходимо (и винаги възможно) да се провежда разграничение между, от една страна, обикновен интерес на субекта на данните към определена информация, и от друга страна, принадлежността ѝ към някоя от категориите, посочени във въпросната разпоредба ( 42 ). Макар становищата на страните по главното производство да са противоположни в това отношение ( 43 ), считам, че отговор на този въпрос може да се търси само за всеки отделен случай и с оглед на всяко от действията, съставляващи спорната практика. |
38. |
Макар, както отбелязва германското правителство, самото събиране на чувствителни лични данни, свързани с посещаването на уебсайт или приложение, да не представлява само по себе си непременно обработване на чувствителни лични данни по смисъла на тази разпоредба ( 44 ), свързването на тези данни с акаунта във Facebook на съответния ползвател или използването им представлява поведение, което обаче по-лесно би могло да представлява такова обработване. Според мен решаващият критерий при прилагането на член 9, параграф 1 от ОРЗД е възможността обработваните данни да позволяват профилирането на ползвателя в зависимост от категориите, които произтичат от изброяването на чувствителни лични данни в тази разпоредба ( 45 ). |
39. |
В този контекст, за да може да се определи дали обработване на данни попада в приложното поле на тази разпоредба, би било полезно при необходимост да се разграничат, от една страна, обработването на данните, които на пръв поглед могат да бъдат класирани в категорията на чувствителните лични данни и които сами по себе си позволяват профилиране на субекта на данните, и от друга страна, обработването на данните, които сами по себе си не са чувствителни, но изискват последващо действие по прегрупиране, за да се направят надеждни изводи за профилирането на субекта на данните. |
40. |
При това положение следва да се уточни, че наличието на категоризиране по смисъла на тази разпоредба не зависи от това дали категоризирането е вярно или правилно ( 46 ). От значение е възможността такова категоризиране да породи значителен риск за основните права и свободи на субекта на данните, както се припомня в съображение 51 от ОРЗД — възможност, която не зависи от истинността му. |
41. |
Накрая, що се отнася до искането на запитващата юрисдикция да се установи дали за въпросната преценка е от значение каква е целта на използването ( 47 ), считам, обратно на поддържаното от жалбоподателя в главното производство, че по принцип не се изисква администраторът да обработва тези данни, „знаейки или имайки намерение да извлече пряко от тези данни специални категории информация“. Всъщност целта на въпросната разпоредба е по същество да се предотвратят по обективен начин значителни рискове за основните права и свободи на субектите на данни, породени от обработването на чувствителни лични данни, независимо от какъвто и да е субективен елемент като намерението на администратора. |
42. |
Що се отнася, на второ място, до втори въпрос, буква б), следва да се припомни, че по силата на член 9, параграф 2, буква д) от ОРЗД забраната за обработване на чувствителни лични данни не се прилага, ако обработването се отнася до лични данни, които явно са направени обществено достояние от субекта на данните. Освен това употребата в текста на тази разпоредба на наречието „явно“ и фактът, че посочената разпоредба представлява изключение от принципа на забрана на обработването на чувствителни лични данни ( 48 ) налагат това изключение да се прилага особено стриктно поради значителните рискове за основните права и свободи на субектите на данни ( 49 ). За да може да се приложи това изключение, ползвателят според мен трябва да има пълното съзнание, че с изричен акт ( 50 ) прави лични данни обществено достояние ( 51 ). |
43. |
В случая ми се струва, че поведение, изразяващо се в посещаване на уебсайтове и приложения, във въвеждането на данни в тези уебсайтове и приложения и в натискането на интегрираните в същите бутони, по принцип не може да се приравни на поведение, което явно прави обществено достояние чувствителни лични данни на ползвателя по смисъла на член 9, параграф 2, буква д) от ОРЗД. |
44. |
По-специално следва да се отбележи, че по принцип посещаването на уебсайтове и приложения предоставя достъп до данните за него само на оператора на въпросната интернет страница или приложение и на третите лица, на които той предава тези данни, какъвто е жалбоподателят по главното производство ( 52 ). По същия начин, макар с въвеждането на данни в уебсайтове и приложения субектът на данните да може пряко и доброволно да предоставя информация за някои чувствителни лични данни, следва да се отбележи също, че тази информация е достъпна само за оператора на въпросния уебсайт или приложение и за третите лица, на които той предава посочената информация. Следователно изключвам възможността подобни действия да свидетелстват за желанието тези данни да станат обществено достояние ( 53 ). По-нататък, макар да е очевидно, че с натискането на интегрирани в уебсайтове или приложения бутони ( 54 ) субектът на данните ясно изразява желанието си да обменя определена информация с кръг лица, външни за въпросния уебсайт или приложение, считам, че както посочва Bundeskartellamt, въпросното лице съзнава, че с това действие обменя информация с определен кръг лица, често дефиниран от самия ползвател ( 55 ), а не с обществеността ( 56 ). |
45. |
Накрая, що се отнася до релевантността на посоченото от запитващата юрисдикция евентуално съгласие, дадено от ползвателя по смисъла на член 5, параграф 3 от Директива 2002/58, личните данни да могат да се събират чрез „бисквитки“ („cookies“) или подобни технологии, считам, че с оглед на специфичната му цел то не може само по себе си да обоснове обработването на чувствителни лични данни, събирани чрез тези средства ( 57 ). Всъщност това съгласие, необходимо за инсталирането на техническо средство за събиране на информация за някои действия на ползвателя ( 58 ), не се отнася до обработването на чувствителни лични данни и не може да се приравни на желание тези данни да бъдат явно направени обществено достояние по смисъла на член 9, параграф 2, буква д) от ОРЗД ( 59 ). |
46. |
В заключение, предлагам на втория преюдициален въпрос да се отговори, че от една страна, член 9, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че забраната за обработване на чувствителни лични данни може да включва обработване на данни, извършвано от оператор на онлайн социална мрежа, състоящо се в събиране на данните на ползвател, когато той посещава други уебсайтове или приложения или въвежда в тях тези данни, в свързване на посочените данни с потребителския акаунт в социалната мрежа и тяхното използване, стига обработваната информация, разглеждана индивидуално или прегрупирана, да позволява профилирането на ползвателя според категориите, произтичащи от изброяването на чувствителни лични данни в тази разпоредба, и че от друга страна, член 9, параграф 2, буква д) от ОРЗД трябва да се тълкува в смисъл, че ползвател не прави явно обществено достояние данни, поради факта че същите са разкрити при посещаване на уебстраници и приложения или са въведени в тези уебстраници или приложения, или произтичат от натискането на интегрирани в тях бутони за избор. |
По третия, четвъртия и петия преюдициален въпрос
47. |
С третия, четвъртия и петия преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 6, параграф 1, букви б), в), г), д) и е) от ОРЗД трябва да се тълкува в смисъл, че спорната практика ( 60 ) попада в приложното поле на една от предвидените в тези разпоредби обосновки, и по-конкретно:
|
48. |
В самото начало, въпреки някои колебания относно допустимостта на четвъртия и петия преюдициален въпрос ( 68 ), предлагам на третия, четвъртия и петия преюдициален въпрос да се отговори съвместно, тъй като, главно по отношение на третия преюдициален въпрос, който е най-добре мотивиран, насоките, които ще изложа по-долу, биха могли да бъдат полезни на запитващата юрисдикция и при прилагането на разпоредбите, които са предмет на четвъртия и петия преюдициален въпрос. |
49. |
Отбелязвам, главно, че в съответствие с член 8 от Хартата на основните права на Европейския съюз (наричана по‑нататък „Хартата“) личните данни трябва да бъдат обработвани добросъвестно, за точно определени цели и въз основа на предвидено от закона легитимно основание. В това отношение в член 6, параграф 1 от ОРЗД се уточнява, че обработването на тези данни е законосъобразно само ако е изпълнено едно от шестте условия, посочени в тази разпоредба ( 69 ). |
50. |
В конкретния случай, най-напред, считам, че третият, четвъртият и петият преюдициален въпрос изискват подробен анализ за всеки отделен случай на различните клаузи в условията за ползване на Facebook в контекста на спорната практика, защото не е възможно да се установи дали по отношение на тази практика „предприятие като [Meta Platforms]“ може като цяло да се позовава на всички (или на някои от) основанията, посочени в член 6, параграф 1 от ОРЗД, макар да не може да се изключи, че понякога посочената практика или някои от нейните действия могат да попадат в обхвата на тази разпоредба ( 70 ). |
51. |
По-нататък, предвиденото в цитираните разпоредби обработване се извършва в конкретния случай въз основа на общите условия на договора, наложени от администратора при липсата на съгласие от страна на субекта на данните ( 71 ) и дори против волята му, което според мен изисква стриктно тълкуване на въпросните основания, по‑конкретно за да се избегне заобикаляне на условието за съгласие ( 72 ). |
52. |
Накрая, следва да се припомни, че в съответствие с член 5, параграф 2 от ОРЗД администраторът носи тежестта да докаже, че личните данни се обработват по правилата на този регламент и че в съответствие с член 13, параграф 1, буква в) от посочения регламент администраторът трябва да уточни целите на обработването, за което личните данни са предназначени, както и правното основание за обработването. |
По третия преюдициален въпрос
53. |
На първо място, според член 6, параграф 1, буква б) от ОРЗД обработването на лични данни е законосъобразно, доколкото е необходимо за изпълнението на договор, по който субектът на данните е страна ( 73 ). |
54. |
В това отношение припомням, че понятието „необходимост“ не е дефинирано в законодателството на Съюза, но според съдебната практика все пак е самостоятелно понятие на правото на Съюза ( 74 ). За да се приеме, че обработването е необходимо за изпълнението на договора, не е достатъчно то да се извършва по повод на изпълнението на договора, да е упоменато в договора ( 75 ), или дори просто да е от полза за изпълнението на договора ( 76 ). Според практиката на Съда обработването трябва да бъде обективно необходимо за изпълнението на договора, в смисъл че не трябва да съществуват реалистични и представляващи по‑малко вмешателство алтернативи ( 77 ) с оглед и на разумните очаквания на субекта на данните ( 78 ). Това предполага също, че когато предмет на договора са няколко услуги или отделни елементи от една и съща услуга, които могат да се изпълняват независимо едни от други, приложимостта на член 6, параграф 1, буква б) от ОРЗД би трябвало да се преценява в контекста на всяка от тези услуги поотделно ( 79 ). |
55. |
В рамките на тази обосновка запитващата юрисдикция споменава персонализирането на съдържанието и хомогенното и безпроблемно използване на продуктите (или по-скоро на услугите) на групата. |
56. |
Що се отнася до персонализирането на съдържанието, струва ми се, че макар да е възможно такава дейност в известна степен да бъде в интерес на ползвателя, тъй като позволява да се представя, по-специално в „новинарски поток“, съдържание, което в съответствие с автоматизирано оценяване съответства на интересите на потребителя, не е очевидно, че това е необходимо и за предоставянето на услугата на разглежданата социална мрежа, така че обработването на личните данни за тази цел да не изисква съгласието на този ползвател ( 80 ). За целите на тази проверка следва да се вземе предвид и че спорната практика не се отнася до обработването на свързани с ползвателя данни относно поведението му в страницата или в приложението Facebook, а на данни от външни източници и следователно потенциално неограничени. Ето защо си задавам въпроса до каква степен това обработване би могло да съответства на очакванията на средностатистически ползвател и по‑общо, каква е „степента на персонализиране“, която той може да очаква от услугата, за която се регистрира ( 81 ). |
57. |
Що се отнася до хомогенното и безпроблемно използване на услугите на групата, отбелязвам, че връзката между различните предлагани от жалбоподателя по главното производство услуги, например между Facebook и Instagram, несъмнено може да бъде от полза за ползвателя или дори понякога желана от него. Съмнявам се обаче, че обработване на лични данни, произхождащи от други услуги на групата (по-специално от Instagram) е необходимо за предоставяне на услугите на Facebook ( 82 ). |
58. |
На второ място, според член 6, параграф 1, буква е) от ОРЗД обработването на лични данни е законосъобразно, доколкото е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете. |
59. |
Според практиката на Съда въпросната разпоредба предвижда три кумулативни условия, за да бъде обработването на лични данни законосъобразно, а именно, първо, администраторът или третото лице, или третите лица, на които се разкриват данните, да преследват законни интереси, второ, обработването на личните данни да е необходимо за целите на преследваните законни интереси, и трето, основните права и свободи на лицето, ползващо се от защитата на данните, да нямат предимство ( 83 ). |
60. |
Най-напред, що се отнася до условието да се преследват законни цели, следва да се припомни, че в ОРЗД и съдебната практика признават различни видове интереси за законни ( 84 ), като същевременно се уточни, че в съответствие с член 13, параграф 1, буква г) от ОРЗД администраторът трябва да посочи легитимните интереси, които се преследват в рамките на член 6, параграф 1, буква е) от ОРЗД ( 85 ). |
61. |
На следващо място, що се отнася до условието обработването на личните данни да е необходимо за реализирането на преследвания легитимен интерес, според практиката на Съда дерогации и ограничения на принципа за защита на личните данни се предвиждат само доколкото това е стриктно необходимо ( 86 ). Следователно, при липсата на алтернативи, които в по-голяма степен зачитат защитата на личните данни, е необходимо да е налице тясна връзка между обработването и преследвания интерес, защото не е достатъчно обработването да е просто от полза за администратора. |
62. |
Накрая, що се отнася до претеглянето, от една страна, на интересите на администратора, и от друга — на интересите или на основните правата и свободи на субекта на данните, според практиката на Съда запитващата юрисдикция трябва да претегли засегнатите интереси ( 87 ). По-нататък, както се посочва в съображение 47 от ОРЗД, в рамките на това претегляне е необходимо да се вземат предвид основателните очаквания на субектите на данните въз основа на техните взаимоотношения с администратора и да се прецени дали субектът на данни може по времето и в контекста на събирането на лични данни основателно да очаква, че може да се осъществи обработване на личните данни за дадена цел. |
63. |
В рамките на тази обосновка запитващата юрисдикция посочва персонализирането на рекламата, мрежовата сигурност и подобряването на продукта. |
64. |
Що се отнася, най-напред, до персонализирането на рекламата, от съображение 47 от ОРЗД е видно, че обработването на лични данни с цел директен маркетинг (direct marketing) може да се разглежда като осъществявано поради законен интерес на администратора. Що се отнася обаче до необходимостта от обработването, следва да се отбележи, че въпросните данни произхождат от външни за Facebook източници и следователно се поставя въпросът каква е обективно необходимата в това отношение„степен на персонализиране“ на рекламата. Що се отнася до претеглянето на засегнатите интереси, според мен следва да се вземе предвид естеството на въпросните легитимни интереси (в случая чисто икономически интерес), както и въздействието на обработването върху ползвателя, включително разумните му очаквания и евентуалните защитни мерки, въведени от администратора ( 88 ). |
65. |
На следващо място, подобни съображения могат да се изтъкнат и по отношение на мрежовата сигурност. Всъщност, въпреки че такава обосновка може да послужи за легитимен интерес на администратора ( 89 ), не е съвсем ясно дали може да се направи извод, че в случая обработването е необходимо, като се има предвид и че въпросните данни са от външни за Facebook източници ( 90 ). Във всеки случай следва да се припомни, че администраторът трябва да уточни целите на сигурността, на които евентуално се основава всяко обработване. |
66. |
Накрая, що се отнася до подобряването на продукта, макар да са изключени подобрения, свързани със сигурността, които спадат към разгледаната по-горе конкретна обосновка, мисля, че такава обосновка би трябвало по-скоро да бъде в интерес на ползвателя, отколкото в интерес на администратора на данни. От тази гледна точка е трудно да се разбере до каква степен тя би могла да съставлява легитимен интерес на администратора, и за нея да не се изисква съгласието на ползвателя. Що се отнася до условието за необходимост и претегляне на засегнатите права и интереси, препращам към гореизложените съображения. |
По четвъртия и петия преюдициален въпрос
67. |
С четвъртия преюдициален въпрос, който по същество разширява втората част на третия преюдициален въпрос, запитващата юрисдикция иска да се установи дали повторяемостта на някои изброени ситуации включва наличието на легитимни интереси по смисъла на член 6, параграф 1, буква е) от ОРЗД, докато с петия преюдициален въпрос тя иска да се установи дали необходимостта за отговор на валидни законни искания за предоставяне на определени данни, необходимостта от борба с вредоносни практики и насърчаване на сигурността, за проучвания в полза на обществото и за подпомагане на безопасността, интегритета и сигурността могат да послужат за обосновка, която се прилага към спорната практика ( 91 ). |
68. |
Независимо от допустимостта на тези въпроси ( 92 ), считам най‑общо, че що се отнася до четвъртия преюдициален въпрос, не може да се изключи възможността някои клаузи, характерни за спорната практика, да бъдат обосновани от легитимни интереси при посочените от запитващата юрисдикция обстоятелства ( 93 ), а що се отнася до петия преюдициален въпрос, че в някои случаи спорната практика може да бъде обоснована въз основа на цитираните разпоредби. |
69. |
От акта за преюдициално запитване обаче не става ясно дали и до каква степен Meta Platform Ireland е посочило за всяка цел на обработване и видове обработвани данни конкретно преследваните легитимни интереси или другите евентуално относими към случая обосновки ( 94 ). Следователно с оглед на гореизложените съображения запитващата юрисдикция трябва да провери доколко при посочените от тази юрисдикция обстоятелства спорната практика е обоснована от наличието на легитимни интереси на Meta Platform Ireland по отношение на обработването на данни по смисъла на член 6, параграф 1, буква е) от ОРЗД или от някое друго от условията по член 6, параграф 1, букви в), г) и д) от този регламент. |
По отговора на третия, четвъртия и петия преюдициален въпрос
70. |
В заключение, предлагам на третия, четвъртия и петия преюдициален въпрос да се отговори, че член 6, параграф 1, букви б), в), г), д) и е) от ОРЗД трябва да се тълкува в смисъл, че спорната практика или някои от действията, съставляващи тази практика, могат да попаднат в обхвата на изключенията, предвидени в тези разпоредби, при условие че всеки разглеждан начин на обработване на данни отговаря на условията, предвидени в конкретната обосновка, изтъкната от администратора, и следователно:
|
По шестия преюдициален въпрос
71. |
С шестия си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 6, параграф 1, буква а) и член 9, параграф 2, буква а) от ОРЗД трябва да се тълкуват в смисъл, че валидно и свободно изразено съгласие по смисъла на член 4, точка 11 от този регламент може да се даде на предприятие с господстващо положение на националния пазар на онлайн социални мрежи за частни ползватели. |
72. |
В самото начало припомням, че член 6, параграф 1, буква а) и член 9, параграф 2, буква а) от ОРЗД предвиждат задължение за даване на съгласие от субекта на данните, съответно що се отнася до обработването на лични данни най-общо и до обработването на чувствителни лични данни. По-нататък, според член 4, точка 11 от ОРЗД за целите на този регламент „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени ( 95 ). |
73. |
Що се отнася по-специално до условието за „свободно изразено“ съгласие, което е единственото поставено под въпрос в случая, следва да се отбележи, че в съответствие със съображение 42 от ОРДЗ съгласието не би трябвало да се разглежда като свободно дадено, ако субектът на данни няма истински свободен избор ( 96 ) или не е в състояние да откаже или да оттегли съгласието си, без това да доведе до вредни последици за него ( 97 ). Освен това, както се предвижда в член 7, параграф 1 от ОРЗД (и се припомня в съображение 42 от него), когато обработването се извършва въз основа на съгласието на субекта на данните, администраторът трябва да е в състояние да докаже, че този субект е дал съгласие за обработване на личните му данни. |
74. |
Що се отнася до разглеждания случай, припомням най-напред, че както подчертава съображение 43, първо изречение от ОРЗД, съгласието не представлява валидно правно основание за обработването на лични данни, когато е налице „очевидна неравнопоставеност“ между субекта на данните и администратора ( 98 ), след това, че съгласно член 7, параграф 4 от ОРЗД, в момента на преценка дали съгласието е било свободно изразено, се отчита най-вече дали, inter alia, изпълнението на даден договор, включително предоставянето на услуга, е обусловено от съгласието за обработване на лични данни, което не е необходимо за изпълнението на този договор ( 99 ), и накрая, че в съответствие със съображение 43, второ изречение от ОРЗД се смята, че съгласието не е дадено свободно, ако не се предоставя възможност да бъде дадено отделно съгласие за различните операции по обработване на лични данни, макар и да е подходящо в конкретния случай ( 100 ). |
75. |
В случая считам, че евентуалното господстващо пазарно положение на администратор, който е оператор на социална мрежа, играе роля при преценката за наличието на свободно съгласие от страна на ползвателя на тази мрежа. Всъщност наличието на пазарна мощ на администратора може да създаде явна неравнопоставеност в съотношението на силите в смисъла, посочен в точка 74 от настоящото заключение ( 101 ). Следва да се уточни обаче, от една страна, че за да бъде релевантна такава пазарна мощ от гледна точка на прилагането на ОРЗД, тя не трябва непременно да се приравнява на прага на господстващо положение по смисъла на член 102 ДФЕС ( 102 ), и от друга страна, че само това обстоятелство не може по принцип да лиши съгласието от валидност ( 103 ). |
76. |
Следователно валидността на съгласието трябва да се преценява във всеки отделен случай, в светлината на останалите фактори, посочени в точки 73 и 74 от настоящото заключение и предвид всички обстоятелства по случая, както и това, че администраторът носи тежестта да докаже, че субектът на данните е дал съгласието си за обработването на свързани с него лични данни. |
77. |
В заключение, предлагам на шестия преюдициален въпрос да се отговори, че член 6, параграф 1, буква а) и член 9, параграф 2, буква а) от ОРЗД трябва да се тълкуват в смисъл, че само по себе си обстоятелството, че предприятието, което е оператор на социална мрежа, има господстващо положение на националния пазар на онлайн социални мрежи за частни ползватели, не може да лиши от валидност съгласието на ползвателя на тази мрежа за обработването на личните му данни по смисъла на член 4, точка 11 от ОРЗД. Това обстоятелство обаче има роля при преценката на свободното изразяване на съгласието по смисъла на тази разпоредба, което администраторът трябва да докаже, при необходимост — предвид евентуалното наличие на явна неравнопоставеност в отношенията между субекта на данните и администратора, евентуалното задължение за предоставяне на съгласие за обработването на лични данни, различни от стриктно необходимите за предоставянето на съответните услуги, необходимостта съгласието да е конкретно изразено за всяка цел на обработване и необходимостта да се избегне оттеглянето на съгласието да причини вреда на ползвателя, оттеглил съгласието си. |
Заключение
78. |
С оглед на гореизложените съображения предлагам на Съда да отговори на поставените от Oberlandesgericht Düsseldorf (Върховен областен съд Дюселдорф, Германия) преюдициални въпроси по следния начин:
|
( 1 ) Език на оригиналния текст: френски.
( 2 ) А именно Meta Platforms Inc., по-рано Facebook Inc., Meta Platforms Ireland Limited, по-рано Facebook Ireland Ltd., и Facebook Deutschland GmbH (наричани по-нататък „Meta Platforms“ или „жалбоподателят по главното производство“).
( 3 ) Решение B6‑22/16 от 6 февруари 2019 г. (наричано по-нататък „спорното решение“).
( 4 ) Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1 и поправка в ОВ L 127, 2018 г., стр. 2, наричан по-нататък „ОРЗД“).
( 5 ) В редакцията, която е в сила до 18 януари 2021 г.
( 6 ) За тази цел Meta Platforms събира, освен данните, които ползвателите предоставят пряко при регистрацията си за съответните онлайн услуги, и други свързани с ползватели и устройства данни във и извън социалната мрежа и онлайн услугите, предоставяни от групата, и свързва тези данни с различните акаунти на съответните ползватели. Като цяло тези данни позволяват да се направят подробни изводи за предпочитанията и интересите на ползвателите.
( 7 ) Що се отнася в частност до обработването на лични данни, условията за ползване препращат към политиката за използване на данни и бисквитки (cookies), определена от Meta Platforms. По силата на тази политика Meta Platforms събира свързани с ползватели и техните устройства данни относно действията им във и извън социалната мрежа и ги отнася към техните акаунти във Facebook. Действията, извършени извън социалната мрежа, включват, от една страна, посещенията на интернет страници и приложения на трети лица, които са свързани с Facebook чрез програмни интерфейси (а именно „Facebook Business Tools“), и от друга — използването на останалите онлайн услуги, принадлежащи на групата Meta Platforms, сред които Instagram и WhatsApp.
( 8 ) Според Bundeskartellamt това обработване на данни като еманация на пазарна мощ нарушава разпоредбите на ОРЗД и не е обосновано с оглед на член 6, параграф 1 и член 9, параграф 2 от този регламент.
( 9 ) Впрочем на 31 юли 2019 г. — по инициатива на Европейската комисия и на национални асоциации за защита на потребителите на държавите членки — Meta Platforms въвежда нови условия за ползване, в които изрично се посочва, че ползвателят дава съгласието си за показване на реклами, вместо да плаща за използването на продуктите на Facebook. По-нататък, от 28 януари 2020 г. Meta Platforms предлага навсякъде по света т.нар. „Off-Facebook-аctivity“ („Дейност извън Facebook“), която позволява на ползвателите на Facebook да получават резюме на засягащата ги информация, която Facebook получава във връзка с техните действия на други интернет страници и приложения, и ако желаят, да преустановят свързването на тази информация с акаунта си във Facebook, както за миналото, така и за в бъдеще.
( 10 ) Струва ми се, че изразът „да установи […], че […] нарушават ОРЗД, и да разпореди това нарушение да бъде преустановено“, съдържащ се в първия преюдициален въпрос, трябва да се тълкува в този смисъл.
( 11 ) При всички положения, като се има предвид, че ОРЗД предвижда пълна хармонизация на правото на защита на личните данни, чийто централен елемент е хармонизиран механизъм за прилагане, основан на принципа „обслужване на едно гише“, предвиден в членове 51—67 от този регламент, ми се струва очевидно, че орган, различен от надзорните органи по смисъла на посочения регламент (като орган за защита на конкуренцията), не е компетентен нито да установява, на главно основание, нарушение на същия регламент, нито да прилага предвидените санкции.
( 12 ) Във всеки случай, като се има предвид, че орган за защита на конкуренцията не е компетентен нито да установява, на главно основание, нарушение на този регламент, нито да прилага предвидените санкции, считам, че с евентуално решение в този смисъл на орган за защита на конкуренцията не може да се изземват правомощията на надзорните органи по смисъла на ОРЗД.
( 13 ) Струва ми се, че в този смисъл следва да се тълкува изразът „да установява, например при претеглянето на интересите, дали условията на същото предприятие за обработването на данни и тяхното прилагане са съобразени с ОРЗД“, които се съдържат в седмия преюдициален въпрос.
( 14 ) Вж. бележка под линия 11 от настоящото заключение.
( 15 ) Регламент на Съвета от 16 декември 2002 година относно изпълнението на правилата за конкуренция, предвидени в членове [101 ДФЕС и 102 ДФЕС] (ОВ L 1, 2003 г., стр. 1; Специално издание на български език, 2007 г., глава 8, том 1, стр. 167).
( 16 ) Подобно на член 19 от GWB, на който се основава спорното решение.
( 17 ) Вж. например решение от 6 септември 2017 г., Intel/Комисия (C‑413/14 P, EU:C:2017:632, т. 136 и цитираната съдебна практика). Съдът впрочем уточнява, че член 102 ДФЕС е с общо приложение и обхватът му не може да бъде ограничаван от наличието на регулаторна рамка, приета от законодателя на Съюза, в случая — регулаторна рамка в областта на електронните съобщения (вж. в този смисъл решение от 10 юли 2014 г., Telefónica и Telefónica de España/Комисия, C‑295/12 P, EU:C:2014:2062, т. 128).
( 18 ) Всъщност в светлината на различните цели на двете категории норми е очевидно, че поведение във връзка с обработването на данни може да представлява нарушение на правилата за конкуренция дори когато е в съответствие с ОРЗД, и обратно, неправомерно поведение по смисъла на същия регламент не води непременно до извода, че то предполага нарушение на правилата за конкуренция. В това отношение Съдът уточнява, че съответствието на дадено поведение със специално законодателство не изключва приложимостта на членове 101 ДФЕС и 102 ДФЕС по отношение на същото поведение (вж. по-конкретно решение от 6 декември 2012 г., AstraZeneca/Комисия (C‑457/10 P, EU:C:2012:770, т. 132), в което Съдът също така припомня, че в повечето случаи злоупотребите с господстващо положение се изразяват в поведение, което е правомерно от гледна точка на другите клонове на правото, различни от правото в областта на конкуренцията). Действително, ако за злоупотреба се считаха само практиките, които са едновременно обективно ограничаващи конкуренцията и неправомерни, това би означавало, че само поради законосъобразността си, макар и потенциално увреждащо конкуренцията, дадено поведение не би могло да бъде санкционирано съгласно член 102 ДФЕС, което би застрашило постигането на целта на тази разпоредба — въвеждането на режим, който да гарантира, че конкуренцията няма да бъде нарушавана на вътрешния пазар (вж. в този смисъл заключението ми по дело Servizio Elettrico Nazionale и др., C‑377/20, EU:C:2021:998, т. 37). Според практиката на Съда членове 101 ДФЕС и 102 ДФЕС не се прилагат единствено ако антиконкурентно поведение е наложено на предприятията от национално законодателство или ако последното създава правна рамка, която премахва всяка възможност за конкурентно поведение от тяхна страна, като за разлика от това членове 101 ДФЕС и 102 ДФЕС могат да се приложат, ако се окаже, че националното законодателство оставя възможност за конкуренция, която може да бъде предотвратена, ограничена или нарушена от самостоятелното поведение на предприятията (вж. в този смисъл решение от 14 октомври 2010 г., Deutsche Telekom/Комисия, C‑280/08 P, EU:C:2010:603, т. 80 и цитираната съдебна практика).
( 19 ) Всъщност тълкуване в смисъл, че на органите за защита на конкуренцията се забранява при упражняване на техните правомощия да тълкуват разпоредбите на ОРЗД, би могло да постави под въпрос ефективното прилагане на конкурентното право на Съюза.
( 20 ) Освен това инцидентният характер на тълкуването на ОРЗД от органа за защита на конкуренцията не е пречка това тълкуване да бъде подложено на съдебен контрол от компетентните в областта на конкуренцията национални съдилища, които в случай на затруднения при тълкуването биха могли да сезират Съда с преюдициално запитване, както в настоящия случай, що се отнася от втория до шестия преюдициален въпрос.
( 21 ) Действително, тълкуването на ОРЗД от органа за защита на конкуренцията единствено за целите на прилагането на нормите (и евентуално за налагането на санкции), предвидени от конкурентното право, не може да лиши надзорните органи от тяхната компетентност и правомощия в рамките на този регламент. По-нататък, възможността за инцидентно тълкуване на посочения регламент от органа за защита на конкуренцията не създава повече затруднения, що се отнася до неговото прилагане, което е запазено за надзорните органи, нито що се отнася до налагането на принудителни мерки или санкции, тъй като мерките или санкциите, евентуално наложени от орган за защита на конкуренцията, се основават на правила, цели и легитимни интереси, различни от тези, които същият регламент защитава (поради тази причина впрочем в такова положение налагането на санкции от органа за защита на конкуренцията и от надзорния орган по смисъла на ОРЗД според мен не попада в обхвата на принципа ne bis in idem (вж. по аналогия решение от 22 март 2022 г., bpost, C‑117/20, EU:C:2022:202, т. 42—50).
( 22 ) Рискът от различно тълкуване впрочем е присъщ на всяка област, регламентирана от правна уредба, която органът за защита на конкуренцията трябва или може да вземе предвид, за да прецени законосъобразността на определено поведение от гледна точка на конкурентното право.
( 23 ) В глави VI и VII от ОРЗД се въвеждат по-специално механизми за „обслужване на едно гише“ за обмен на информация и за взаимопомощ между надзорните органи.
( 24 ) Вж. Регламент № 1/2003 и Директива (ЕС) 2019/1 на Европейския парламент и на Съвета от 11 декември 2018 година за предоставяне на правомощия на органите по конкуренция на държавите членки, за да бъдат по-ефективни в правоприлагането, и за гарантиране на правилното функциониране на вътрешния пазар (ОВ L 11, 2019 г., стр. 3).
( 25 ) Вж. по-конкретно в този смисъл решения от 14 ноември 1989 г., Италия/Комисия (14/88, EU:C:1989:421, т. 20), и от 11 юни 1991 г., Athanasopoulos и др. (C‑251/89, EU:C:1991:242, т. 57).
( 26 ) Впрочем самият въведен с ОРЗД механизъм за сътрудничество между надзорните органи може да се счита за lex specialis, който допълва и уточнява общия принцип на лоялно сътрудничество, прогласен в член 4, параграф 3 ДЕС (в доктрината вж. например Hijmans, H. Article 51 Supervisory authority — The EU General Data Protection Regulation (GDPR) — A Commentary, Oxford University Press, Oxford, 2020, р. 869). Същото се отнася и за другите инструменти за сътрудничество, съществуващи отпреди предвидения с ОРЗД, като например системата за сътрудничество между органите за защита на конкуренцията (вж. по-специално глава IV от Регламент № 1/2003).
( 27 ) Вж. в този смисъл заключението на генералния адвокат Trstenjak по дело Gorostiaga Atxalandabaso/Парламент (C‑308/07 P, EU:C:2008:498, т. 89).
( 28 ) Вж. по-специално решение от 2 юни 2022 г., Skeyes (C‑353/20, EU:C:2022:423, т. 52 и цитираната съдебна практика). Според мен насоки относно действията, които трябва да се предприемат, могат при необходимост да бъдат изведени от системата за сътрудничество, установена с ОРЗД, както и от тази, установена в областта на конкуренцията, като същевременно се уточнява, че при липсата на разпоредби ad hoc задължението за полагане на грижа, което има органът за защита на конкуренцията, не може да му наложи подробни задължения, каквито са по-конкретно предвидените в рамките на процедурите за сътрудничество и съгласуваност по глава VII от ОРЗД (например не може да се очаква органът за защита на конкуренцията да изпрати проект на решение на компетентния надзорен орган по смисъла на този регламент, за да получи неговото становище).
( 29 ) Вж. по-конкретно и по аналогия, що се отнася до област, обхваната от правната уредба на Съюза във фармацевтичната област, решение от 23 януари 2018 г., F. Hoffmann-La Roche и др. (C‑179/16, EU:C:2018:25, т. 58—64).
( 30 ) С други думи, самото решение е част от правната и фактическа рамка, която органът за защита на конкуренцията е длъжен да разгледа, макар и да е свободен да направи изводите си от гледна точка на прилагането на конкурентното право (вж. бележка под линия 18 от настоящото заключение).
( 31 ) Предвид ролята и функциите на националните надзорни органи в създадената с ОРЗД система за сътрудничество считам, че взаимодействие с националния надзорен орган може само по себе си да е достатъчно за изпълнение на задълженията на органа за защита на конкуренцията за полагане на грижа и за лоялно сътрудничество, по-конкретно когато той няма възможност (с оглед на приложимите процедури по националното право) или средства (в частност езикови) да взаимодейства по удовлетворителен начин с водещия надзорен орган на друга държава членка.
( 32 ) Или съответно, когато този орган е в друга държава членка — националния надзорен орган (вж. бележка под линия 31 от настоящото заключение).
( 33 ) Без да се забравя, че тълкуването, дадено на някои разпоредби от ОРЗД от орган за защита на конкуренцията при упражняване на неговите правомощия, не предопределя тълкуването и прилагането на същите от компетентните надзорни органи по смисъла на този регламент (вж. бележка под линия 21 от настоящото заключение).
( 34 ) В това отношение Bundeskartellamt посочва, че се е основал на германското конкурентно право, което му позволява да обменя информация с националните надзорни органи по смисъла на ОРЗД.
( 35 ) Това важи в още по-голяма степен, ако, както твърди Bundeskartellamt, германската Федерална служба за защита на конкуренцията и ирландският водещ надзорен орган са му потвърдили, че последният не е започнал никаква процедура по отношение на същите практики, по които той извършва проверка.
( 36 ) Запитващата юрисдикция се позовава по-специално на посещаването от ползвателя на интернет страници или приложения и въвеждането на данни в тях (например приложения за флирт или за хомосексуални запознанства, или сайтове на политически партии или със здравна насоченост) от страна на ползвателя, които генерират данни, защитени от въпросната разпоредба.
( 37 ) Наричани по-нататък „чувствителни лични данни“. Става дума за обработването на лични данни, разкриващи расов или етнически произход, политически идеи, религиозни или философски убеждения, членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице.
( 38 ) Отбелязвам инцидентно, че Bundeskartellamt храни съмнения относно релевантността на този въпрос за решаването на спора, тъй като в решението си той е взел предвид съгласие по смисъла на член 6, параграф 1, буква a) от ОРЗД, а не съгласие по член 9, параграф 2, буква a) от него.
( 39 ) Запитващата юрисдикция споменава в това отношение „социални плъгини“ като бутоните „Харесвам“ или „Споделяне“, на „Facebook Login“ [„Вход във Facebook“] (тоест възможността за идентифициране чрез идентификатори за връзка, свързани с акаунта във Facebook) и „аccount kit“ (тоест възможността за идентифициране в приложение или уебсайт, който не е непременно свързан с Facebook, с телефонен номер или с имейл адрес, без да има нужда от парола).
( 40 ) Отбелязвам също така, че е налице значителна непоследователност между текста на френски език на ОРЗД, който в първото изречение от тази разпоредба говори за обработване на лични данни, което „разкрива“ някои чувствителни ситуации, и текста на немски език (както и например на гръцки и италиански език), който споменава обработване на лични данни, които „разкриват“ тези ситуации. Освен при грешка от моя страна, текстът на френски език на тази разпоредба е в противоречие с повечето от текстовете на останалите езици. Впрочем в контекста на посочената разпоредба ми се струва по-логично глаголът „разкривам“ да се свърже с данните, тъй като по-нататък в нея се разглеждат данните, които са предмет на анализа, а не обработването. Това е видно и от текста на френски език на съображение 51 от ОРЗД, който уточнява, че чувствителните лични данни „следва да включват личните данни, разкриващи расов или етнически произход“ (курсивът е мой).
( 41 ) Според мен не е в съответствие с духа на член 9, параграф 1 от ОРЗД (и на този регламент), който е да защити някои чувствителни данни на лицето, да проведе разграничение например между, от една страна, расов или етнически произход, който включва забраната да се обработват не само данни, които го показват пряко, но и такива, разкриващи това положение, и от друга страна, генетични данни, забраната за обработване на които не се разпростира върху данните, разкриващи това положение, като следва да се добави, че невинаги е очевидно да се направи разграничение между, от една страна, данните, разкриващи някои положения (например расов или етнически произход), и от друга страна, данни, отнасящи се до други положения (например здравословното състояние). В това отношение следва да се отбележи, че макар член 9, параграф 1 от ОРЗД да се отнася по-конкретно до данни, отнасящи се до здравето, член 4, точка 15 от него дефинира „данните за здравословното състояние“ като „лични данни, свързани с физическото или психическото здраве на физическо лице, включително предоставянето на здравни услуги, които дават информация за здравословното му състояние“ (курсивът е мой). Както намеква германското правителство, възможно е тази непоследователност в текста на въпросната разпоредба да представлява само неособено успешен опит да се направи разграничение между същински данни с пряко информационно съдържание и „метаданни“, за които съответното информационно съдържание възниква само в конкретен контекст чрез оценка или привръзка.
( 42 ) По принцип, както изтъква жалбоподателят по главното производство, тези два аспекта са различни. Всъщност просто фактът, че ползвател е имал достъп до уебсайт или е взаимодействал с него, сам по себе си не разкрива непременно информация за неговите убеждения, здравословно състояние, политически възгледи и т.н., защото интересът към даден уебсайт не разкрива автоматично одобрение към идеите, разпространявани от или към категориите, представени на този уебсайт. Такъв е по-специално случаят с посещаването на уебсайт на политическа партия или на уебсайт, който предлага особена политическа идеология, което не включва непременно споделяне на тази идеология, а може да се извършва от любопитство, и дори в критичен дух към посочената идеология.
( 43 ) Според Meta Platforms фактът, че ползвател е посетил уебсайт или е взаимодействал с него, сам по себе си не разкрива чувствителна информация, защото дори ако се наблюдава или използва даден уебсайт, това не представлявало обработване на чувствителни лични данни. Такъв би бил случаят само ако ползвателите бъдат категоризирани посредством тази информация. Следователно данните, които са предмет на спорната практика, попадали в обхвата на защитата, предвидена в член 9, параграф 1 от ОРЗД, само ако се отнасят до една от посочените в нея категории и се обработват субективно, информирано и с намерението да се изведат тези категории информация. Според тълкуването на Bundeskartellamt — по мое мнение твърде стриктно — напротив, просто фактът, че субектът на данните посещава определена уебстраница или използва определено приложение, чийто основен предмет се числи към областите, изброени в член 9, параграф 1 от ОРЗД, вече отваря обхвата на предоставената от тази разпоредба защита. Защитата на чувствителните лични данни не зависела от намерението на администратора да използва тези данни, тъй като правата на субекта на данните вече са засегнати от факта, че посочените данни са извън сферата му на влияние.
( 44 ) Всъщност, както признава Европейският комитет по защита на данните (ЕКЗД), самият факт, че доставчикът на социални медии обработва големи количества данни, които потенциално биха могли да бъдат използвани за логическо извеждане на специални категории данни, не означава автоматично, че обработването попада в обхвата на член 9 от ОРЗД (вж. ЕКЗД, Насоки 8/2020 от 13 април 2021 г. относно изпращането на персонализирано съдържание на потребителите на социални медии (наричани по-нататък „Насоките на ЕКЗД 8/2020“), т. 124).
( 45 ) Според мен подобно тълкуване би позволило да се избегне положението, критикувано от жалбоподателя по главното производство, при което по същество администраторът нарушава по подразбиране ОРЗД, тъй като не би могъл да попречи на евентуалното получаване (по-конкретно чрез автоматизирани средства) на информация, която има косвена връзка с категориите чувствителни данни, без да се засяга задължението на администратора да приложи подходящи технически и организационни мерки, за да гарантира съобразено с риска ниво на сигурност, в съответствие с член 32 от ОРЗД.
( 46 ) Вж. в този смисъл Насоки на ЕКЗД 8/2020, точка 125.
( 47 ) Запитващата юрисдикция посочва в това отношение персонализирането на социалната мрежа и рекламата, мрежовата сигурност, подобряването на услугите, предоставянето на резултати от измервания и анализи на рекламодатели, проучвания за социално благо, отговор на правни запитвания и изпълнение на законоустановени задължения, защита на жизненоважните интереси на ползвателите и на трети лица, изпълнение на задачи от обществен интерес.
( 48 ) Вж. по аналогия решение от 21 декември 2016 г., Tele2 Sverige и Watson и др. (C‑203/15 и C‑698/15, EU:C:2016:970, т. 89 и цитираната съдебна практика) относно тълкуването на член 15, параграф 1 от Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63), изменена с Директива 2009/136/ЕО на Европейския парламент и на Съвета от 25 ноември 2009 г. (ОВ L 337, 2009 г., стр. 11).
( 49 ) Вж. също Становище 6/2014, стр. 10 и 11 на работната група по член 29, която е независим консултативен орган, създаден на основание член 29 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10), и след приемането на ОРЗД, заменен от ЕКЗД.
( 50 ) Според мен това условие много се доближава до условието за съгласието на субекта на данни.
( 51 ) Припомням, че в съответствие с член 5, параграф 2 от ОРЗД администраторът носи тежестта да докаже, че личните данни се обработват по правилата на ОРЗД.
( 52 ) Впрочем, макар наблюдателен ползвател вероятно да осъзнава, че данните за свързване са достъпни за оператора на въпросния уебсайт или приложение, според мен не е толкова очевидно, че той също така осъзнава, че тези данни са достъпни и за оператора на неговия акаунт във Facebook.
( 53 ) Ползвателят съзнава най-много „връзката“ с оператора на уебсайта или приложението и третите лица, на които последният предава тези данни, но е възможно той дори да не съзнава тази връзка, защото според обстоятелствата би могъл да остане с впечатлението, че разкрива данни, евентуално анонимизирани, на обикновено устройство.
( 54 ) Това са бутони като „Харесвам“, „Споделяне“ и т.н. (вж. бележка под линия 39 от настоящото заключение).
( 55 ) Например в „предпочитания“ Facebook предлага на ползвателя няколко възможности за споделяне на наличните в неговия акаунт във Facebook данни.
( 56 ) Разбира се, не е изключено в специални случаи ползвателят с тези действия наистина да иска да предаде отнасяща се до него информация на неопределен брой лица. Например възможно е ползвателят да е регулирал настройки за споделяне на своя акаунт във Facebook, така че съдържанието в неговия профил да е достъпно за всички ползватели на социалната мрежа и да съзнава това. Дори при такива обстоятелства обаче не се разбира от само себе си, че с такова поведение ползвателят несъмнено е искал да изрази намерението явно да направи въпросните лични данни обществено достояние, предвид стриктния характер на въпросното изключение (вж. т. 42 от настоящото заключение).
( 57 ) Вж. в този смисъл решение от 29 юли 2019 г., Fashion ID (C‑40/17, EU:C:2019:629, т. 87—89).
( 58 ) По-конкретно „бисквитки (cookies)“ (вж. съображение 25 от Директива 2002/58).
( 59 ) Това съгласие впрочем не може да се приравни и на изрично съгласие за обработването на посочените данни по смисъла на член 9, параграф 2, буква а) от ОРЗД. Съгласието за профилиране по смисъла на член 22, параграф 1, буква в) от ОРЗД, чийто предмет очевидно е ограничен до профилирането, също не би могло да е от значение.
( 60 ) Що се отнася до петия преюдициален въпрос, запитващата юрисдикция включва в спорната практика — освен събирането, свързването на данните с акаунта на ползвателя във Facebook и използването на данни от други услуги на групата, и от уебсайтове и приложения на трети лица (вж. т. 10 от настоящото заключение) — и „използването на данни, които вече са събрани и свързани по друг законосъобразен начин с акаунта на ползвателя във Facebook“.
( 61 ) Член 6, параграф 1, буква б) от ОРЗД.
( 62 ) Член 6, параграф 1, буква е) от ОРЗД.
( 63 ) Член 6, параграф 1, буква е) от ОРЗД.
( 64 ) А именно малолетието/непълнолетието на потребителите, предоставянето на измервания, анализи и други търговски услуги, предоставянето на маркетингова комуникация с потребителя, проучвания и иновации за социални цели, както и споделянето на информация с правоприлагащи органи и отговор на законни искания.
( 65 ) Член 6, параграф 1, буква в) от ОРЗД.
( 66 ) Член 6, параграф 1, буква г) от ОРЗД.
( 67 ) Член 6, параграф 1, буква д) от ОРЗД.
( 68 ) Всъщност четвъртият преюдициален въпрос, изглежда, приканва Съда да се произнесе по прилагането, вместо по тълкуването на член 6, параграф 1, буква е) от ОРЗД, а петият преюдициален въпрос не уточнява мотивите, поради които запитващата юрисдикция храни съмнения относно тълкуването на член 6, параграф 1, букви в), г) и д) от този регламент.
( 69 ) Вж. Насоки на ЕКЗД 2/2019 от 8 октомври 2019 г. относно обработването на лични данни съгласно член 6, параграф 1, буква б) от ОРЗД при предоставянето на онлайн услуги на субектите на данни (наричани по‑нататък „Насоките на ЕКЗД 2/2019“), точка 1.
( 70 ) В това отношение, макар страните по главното производство в общи линии да са съгласни с предпоставката, че за целите на прилагането на въпросните обосновки се изисква анализ за всеки отделен случай, становищата им се различават по отношение на практическите последици от тази предпоставка. Bundeskartellamt подчертава, че администраторът трябва да установи подробно кои данни ще бъдат конкретно обработвани и в какъв сценарий на използване, и изтъква в частност, че жалбоподателят по главното производство се ограничава до това да посочи, че цялото обработване на данните от източници извън Facebook е необходимо за всяка от целите на обработването на данните, посочени в условията за ползване. Meta Platforms Ireland обаче счита, че без да разглежда особеностите на всяко обработване, Bundeskartellamt не може да изключи възможността спорната практика да се основава на въпросните обосновки и следователно не може да направи извод, че тази практика е несъвместима с ОРЗД.
( 71 ) Съгласието на ползвателя е предвидено в член 6, параграф 1, буква а) от ОРЗД.
( 72 ) В това отношение точка 16 от Насоките на ЕКЗД 2/2019 уточнява по‑специално че принципите за ограничение на целите (член 5, параграф 1, буква б) от ОРЗД) и за свеждане на данните до минимум (член 5, параграф 1, буква в) от ОРЗД) са особено важни при договорите за онлайн услуги, които обикновено не се договарят индивидуално заради изявения риск администраторите да се стремят да включват условия с цел да увеличат максимално евентуалното събиране и използване на данни, без да уточняват тези цели по подходящ начин, нито да предвиждат задължения за свеждане на данните до минимум.
( 73 ) Според точка 2 от Насоките на ЕКЗД 2/2019 тази разпоредба е в подкрепа на свободата на стопанска инициатива, гарантирана в член 16 от Хартата, и отразява факта, че понякога договорните задължения към субекта на данните не могат да бъдат изпълнени, ако субектът на данни не предостави определени лични данни. Уточнявам, че второто изискване по тази разпоредба, свързано с необходимостта от обработването за изпълнение на преддоговорни мерки, предприети по искане на субекта на данните, не е релевантно в случая. Същото важи и за наличието на валиден договор от гледна точка както на приложимото договорно право, така и на другите законови изисквания, включително тези относно потребителските договори (вж. по-конкретно Директива 93/13/ЕИО на Съвета от 5 април 1993 година относно неравноправните клаузи в потребителските договори (ОВ L 95, 1993 г., стр. 29; Специално издание на български език, 2007 г., глава 15, том 2, стр. 273), която не е предмет на преюдициалното запитване.
( 74 ) Вж. относно нормата, съответстваща на член 6, параграф 1, буква б) от ОРЗД, прогласена в член 7, буква д) от Директива 95/46, решение от 16 декември 2008 г., Huber (C‑524/06, EU:C:2008:724, т. 52).
( 75 ) Впрочем, макар само фактът, че обработването на лични данни е включено или упоменато в даден договор, да не е достатъчен, за да се включи въпросното обработване в приложното поле на член 6, параграф 1, буква б) от ОРЗД, обработването може да бъде обективно необходимо, дори ако не е изрично упоменато в договора, без да се засягат задълженията за прозрачност на администратора (вж. Насоки на ЕКЗД 2/2019, т. 27).
( 76 ) Вж. Насоки на ЕКЗД 2/2019, точка 25.
( 77 ) Вж. в този смисъл решение от 9 ноември 2010 г., Volker und Markus Schecke и Eifert (C‑92/09 и C‑93/09, EU:C:2010:662, т. 86), и Насоки на ЕКЗД 2/2019, точка 25. В това отношение в точки 27—32 от тези насоки се посочва по‑конкретно, че обработването трябва да бъде обективно необходимо за цел, която е част от предоставянето на договорната услуга на субекта на данните, тъй като администраторът трябва да докаже, че основният предмет на конкретния договор със субекта на данните не може да бъде изпълнен ефективно, ако не се извърши специалното обработване на съответните лични данни. В точка 33 от посочените насоки се съдържат въпроси, които служат като указания в това отношение.
( 78 ) Вж. Насоки на ЕКЗД 2/2019, точка 32.
( 79 ) Вж. Насоки на ЕКЗД 2/2019, точка 37.
( 80 ) В това отношение австрийското правителство с право отбелязва, че по-рано жалбоподателят по главното производство е позволявал на ползвателите на Facebook да избират между хронологично и персонализирано представяне на съдържанието на новинарския поток, което доказва, че е възможен алтернативен начин на представяне.
( 81 ) Без да се засяга преценката на запитващата юрисдикция, не считам, че събирането и използването на лични данни извън Facebook може да е необходимо за предоставянето на услугите, предлагани в рамките на профила във Facebook, така че първоначално даденото съгласие за достъп до социалната мрежа (а именно създаването на профил във Facebook) да може валидно да обхваща обработването на лични данни на ползвателя извън Facebook. Всъщност при това обстоятелство използването на въпросните услуги се обуславя от съгласие, което не е необходимо за изпълнението на договора, и в съответствие с член 7, параграф 4 от ОРЗД запитващата юрисдикция ще трябва да отчете най‑вече това обстоятелство (което съгласно съображение 43 от ОРЗД представлява презумпция за невалидност на съгласието, която администраторът трябва да обори по смисъла на член 7, параграф 1 от ОРЗД). Освен това според мен такова съгласие не би било съобразено и с правилото, което налага отделно съгласие за различни операции по обработване на лични данни (вж. т. 74, трета част от настоящото заключение), тъй като нищо не обвързва първоначалното съгласие на ползвателя за създаването на акаунт във Facebook с евентуалното му съгласие за обработването на лични данни извън Facebook. Впрочем дори при евентуално последващо съгласие, дадено конкретно за използването на данни извън Facebook, е важно да се провери дали администраторът предлага избор на равностойна услуга, която не предполага съгласие за обработването на лични данни за допълнителни цели (вж. Насоки на ЕКЗД 5/2020 от 4 май 2020 г. относно съгласието по смисъла на Регламент (ЕС)2016/679 (наричани по-нататък „Насоките на ЕКЗД 5/2020), точка 37, които уточняват също така, в точка 38, че администраторът не може да препраща към равностойна услуга, предоставяна от друг оператор).
( 82 ) Както отбелязва австрийското правителство, струва ми се решаващо да се констатира в това отношение, че различните продукти на групата могат да се използват независимо едни от други, и че използването на всяка услуга се основава на отделен договор за използване. Освен това, както отбелязва Bundeskartellamt, вместо да се счита за необходимо за функционирането на услугите на групата, хомогенното и безпроблемно използване на тези услуги трябва да се счита по-скоро за представляващо интерес за ползвателя, така че по принцип изглежда по‑уместно това да бъде негов избор.
( 83 ) Вж. по аналогия решение от 4 май 2017 г., Rīgas satiksme (C‑13/16, EU:C:2017:336, т. 28), относно правилото, съответстващо на член 6, параграф 1, буква е) от ОРЗД, прогласено в член 7, буква е) от Директива 95/46.
( 84 ) Както отбелязва генералният адвокат Bobek в заключението си по дело Fashion ID (C‑40/17, EU:C:2018:1039, т. 122), понятието за законни интереси в контекста на Директива 95/46 изглежда доста разтегливо и отворено за тълкувания. Всъщност, както изтъква жалбоподателят по главното производство, Съдът признава редица интереси за законни (вж. по-специално решения от 13 май 2014 г., Google Spain и Google (C‑131/12, EU:C:2014:317, т. 81), от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779, т. 55), от 4 май 2017 г., Rīgas satiksme (C‑13/16, EU:C:2017:336, т. 29), от 24 септември 2019 г., GC и др. (Премахване на чувствителни данни от резултатите при търсене) (C‑136/17, EU:C:2019:773, т. 53), от 11 декември 2019 г., Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, т. 59), и от 17 юни 2021 г., M.I.C.M. (C‑597/19, EU:C:2021:492, т. 108 и 109). Според мен същият извод трябва да се изведе от ОРЗД, в съображение 47 от който се споменава по‑конкретно, като илюстрация, положение, при което субектът на данни е клиент или подчинен на администратора на лични данни и обработването на лични данни с цел предотвратяване на измами или за целите на директен маркетинг, а в съображение 49 от който се посочва мрежовата и информационната сигурност и сигурността на предлаганите услуги.
( 85 ) Което според мен включва изискването да се уточни коя операция по обработване на какъв легитимен интерес се основава.
( 86 ) Вж. решения от 4 май 2017 г., Rīgas satiksme (C‑13/16, EU:C:2017:336, т. 30), и от 17 юни 2021 г., M.I.C.M. (C‑597/19, EU:C:2021:492, т. 110).
( 87 ) Вж. в този смисъл решения от 4 май 2017 г., Rīgas satiksme (C‑13/16, EU:C:2017:336, т. 31), и от 17 юни 2021 г., M.I.C.M. (C‑597/19, EU:C:2021:492, т. 111). В това отношение Съдът припомня, че член 7, буква е) от Директива 95/46 (който съответства на член 6, параграф 1, буква е) от ОРЗД) не допуска държава членка да изключи категорично и безусловно възможността за обработване на някои категории лични данни, без да позволи претегляне във всеки конкретен случай на съответните противоположни права и интереси, като уточнява, че държава членка не може да определи за тези категории окончателно резултата от претеглянето на противоположните права и интереси, без да допуска различен резултат в зависимост от обстоятелствата на конкретния случай (решение от 19 октомври 2016 г., Breyer, C‑582/14, EU:C:2016:779, т. 62 и цитираната съдебна практика).
( 88 ) Точка III.3.4 от Становище 6/2014 на работната група по член 29 съдържа интересни съображения по този въпрос.
( 89 ) Всъщност според съображение 49 от ОРЗД обработването на лични данни в степен, която е стриктно необходима и пропорционална на целите за гарантиране на мрежовата и информационната сигурност, е легитимен интерес на съответния администратор. Това може да включва например предотвратяването на непозволен достъп до електронни съобщителни мрежи и разпространението на зловреден софтуер. Отбелязвам също, че съгласно член 32 от ОРЗД администраторът, наред с останалото, прилага подходящи технически и организационни мерки за осигуряване на съобразено с риска ниво на сигурност, и в съответствие с член 5, параграф 1, буква е) от този регламент личните данни трябва да се обработват по начин, който гарантира подходящо ниво на сигурност.
( 90 ) Следователно трябва да се провери до каква степен обработването на лични данни извън уебсайта или приложението Facebook е необходимо за сигурността му. Макар запитващата юрисдикция да отбелязва в това отношение възможността за използване на данни от WhatsApp във функция антиспам (като се използват данни от акаунтите в WhatsApp, които изпращат спам съобщения за вземане на мерки срещу съответните акаунти във Facebook) и на данни от Instagram, за да се установят съмнителни или неправомерни действия, се съмнявам, че жалбоподателят по главното производство може да си приписва правото да обработва лични данни за целите на „полицията“ в широк смисъл, като се има предвид, че според практиката на Съда в (различната, но свързана) област на данните за електронните съобщения, дори законодателни мерки, които предвиждат превантивно общо и неизбирателно запазване на данни за трафик и на данни за местонахождение, са в разрез с Директива 2002/58 (вж. решение от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 168). Освен това в хипотезата, при която необходимостта от гарантиране на мрежовата сигурност попада в обхвата на законово изискване, администраторът може да се позове на специалната обосновка, предвидена в член 6, параграф 1, буква в) от ОРЗД.
( 91 ) В съответствие с член 6, параграф 1, букви в), г) и д) от ОРДЗ.
( 92 ) Вж. точка 48 от настоящото заключение.
( 93 ) Като се имат предвид различните легитимни интереси, признати от съдебната практика (вж. т. 60 от настоящото заключение). Например по принцип ми се струва очевидно, че защитата на малолетните/непълнолетните лица може да обоснове приемането на подходящи защитни мерки, с които да им се забранява достъп до неподходящо или опасно съдържание.
( 94 ) Всъщност съгласно член 13, параграф 1, букви в) и г) от ОРЗД администраторът трябва конкретно да посочи за всяка цел на обработване легитимните интереси, преследвани от него или от трето лице.
( 95 ) В решение от 11 ноември 2020 г., Orange Romania (C‑61/19, EU:C:2020:901, т. 35 и 36 и цитираната съдебна практика), Съдът уточнява, че текстът на член 4, точка 11 от ОРЗД, който определя „съгласие[то] на субекта на данни“, се оказва още по-стриктен от този на член 2, буква з) от Директива 95/46, тъй като изисква „свободно изразено, конкретно, информирано и недвусмислено“ указание за волята на субекта на данни под формата на изявление или „ясно потвърждаващо действие“, което изразява съгласието му свързаните с него лични данни да бъдат обработени.
( 96 ) Както подчертава ЕКЗД, прилагателното „свободно“ предполага реален избор и контрол от страна на субекта на данни (вж. ЕКЗД, т. 13). В същата точка се уточнява например, че съгласието не е свободно изразено, ако, от една страна, субектът на данните се чувства принуден да даде съгласие или да понесе значителни отрицателни последствия, ако не даде съгласието си, и от друга страна, съгласието е включено като неподлежаща на договаряне част от общите условия. Следователно, съгласието няма да се счита за свободно изразено, ако този субект не в състояние да откаже или да оттегли съгласието си, без това да доведе до вредни за него последици. В този случай, както подчертава жалбоподателят по главното производство, единственото неудобство, което субектът на данните трябва да приеме, е че услугата може евентуално да няма същата функционалност или качество, доколкото обработването на данните, за което не е дадено съгласие, е технически необходимо за това.
( 97 ) В това отношение Насоките на ЕКЗД 5/2020 споменават измама, сплашване, принуда или всяка значителна отрицателна последица, ако субектът на данните откаже да даде съгласието си и напомнят за задължението на администратора да докаже, че този субект на данни разполага с истинска свобода на избор, що се отнася до даването и оттеглянето на съгласието (т. 47).
( 98 ) Освен ситуациите, свързани с отношения с публични органи и с трудови правоотношения, посочени в съображение 43, за каквито в случая не става въпрос, в точка 24 от Насоките на ЕКЗД 5/2020 се посочват по-конкретно положения, при които субектът на данните в действителност не е в състояние да направи избор или при които съществува риск от измама, сплашване, принуда или значителни отрицателни последствия (например значителни допълнителни разходи), ако не даде съгласието си.
( 99 ) Този въпрос отчасти се припокрива с въпроса, предмет на първата част от третия преюдициален въпрос (вж. т. 53—57 от настоящото заключение). Съображение 43, второ изречение от ОРЗД уточнява, че в такова положение се презумира, че съгласието не е свободно изразено (според точка 26 от Насоките на ЕКЗД 5/2020 по този начин ОРЗД гарантира, че обработването на лични данни, за които се иска съгласие, не може да представлява пряка или косвена насрещна престация по договор), тъй като използването на думата „смята се“ показва ясно, че случаите, в които съгласието е валидно, ще бъдат наистина изключителни (вж. т. 35 от тези насоки). Освен това използването на израза „inter alia“ в член 7, параграф 4 от ОРЗД показва неизчерпателно формулиране, което означава, че редица други ситуации могат да попаднат в приложното поле на тази разпоредба, включително всеки неподходящ натиск или влияние върху субекта на данни, непозволяващ на субекта на данни да изрази свободната си воля (Насоки на ЕКЗД 5/2020, точка 14).
( 100 ) Съображение 32 от ОРЗД уточнява по-специално че съгласието следва да обхваща всички дейности по обработване, извършени за една и съща цел или цели и че когато обработването преследва повече цели, за всички тях следва да бъде дадено съгласие. В това отношение в Насоките на ЕКЗД 5/2020 се говори за „разграничаване“ на съгласието като пречка за свободното му изразяване (т. 44).
( 101 ) Такова положение благоприятства по-конкретно налагането на условия, които не са необходими за изпълнението на договора (вж. т. 53—57 от настоящото заключение).
( 102 ) С други думи, както отбелязва Комисията, степента на относителна пазарна мощ на предприятието, която е критична за действителността на съгласието по силата на ОРЗД, не може непременно да се приравни на прага на господстващо положение на пазара по смисъла на член 102 ДФЕС.
( 103 ) Разбира се, макар само по себе си наличието на господстващо положение да допуска възможността да се даде свободно съгласие за обработване на лични данни, само липсата на такова положение не е достатъчна, от друга страна, за да гарантира при всякакви обстоятелства, че такова съгласие е валидно изразено.