1.

Настоящото преюдициално запитване е отправено от Oberlandesgericht Düsseldorf (Върховен областен съд Дюселдорф, Германия) в рамките на спор между дружества от групата Meta Platforms ( 2 ) и Bundeskartellamt (Федерален орган за защита на конкуренцията, Германия) относно решението, с което последният налага забрана на жалбоподателя по главното производство да извършва обработването на данни, предвидено в условията за ползване на социалната му мрежа Facebook, както и за прилагането на тези условия за ползване, и налага мерки за преустановяване на тези дейности ( 3 ).

2.

Преюдициалните въпроси се отнасят основно, от една страна, до компетентността на национален орган за защита на конкуренцията като Bundeskartellamt да разглежда — главно или инцидентно — действия на предприятие в светлината на някои разпоредби от Регламент (ЕС) 2016/679 ( 4 ), и от друга страна, до тълкуването на разпоредбите, що се отнася по-специално до обработването на чувствителни лични данни, релевантните условия за законосъобразност на обработването на лични данни и за предоставянето на свободно изразено съгласие на предприятие с господстващо положение.

3.

Член 4 от ОРЗД предвижда:

„За целите на настоящия регламент:

[…]

[…]“.

4.

Член 6, параграф 1 от този регламент, озаглавен „Законосъобразност на обработването“, гласи следното:

„Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи“.

5.

Член 9 от посочения регламент е озаглавен „Обработване на специални категории лични данни“ и параграфи 1 и 2 от него гласят:

„1.   Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице.

2.   Параграф 1 не се прилага, ако е налице едно от следните условия:

[…]

[…]“.

6.

Член 51 от същия регламент със заглавие „Надзорен орган“, който е част от глава VI, озаглавена от своя страна „Независими надзорни органи“, има следния текст:

„1.   Всяка държава членка осигурява един или повече независими публични органи, които са отговорни за наблюдението на прилагането на настоящия регламент, за да се защитят основните права и свободи на физическите лица във връзка с обработването и да се улесни свободното движение на личните данни в рамките на Съюза […].

2.   Всеки надзорен орган допринася за последователното прилагане на настоящия регламент в рамките на Съюза. За тази цел надзорните органи си сътрудничат помежду си и с Комисията в съответствие с глава VII.

[…]“.

7.

Член 19, параграф 1 от Gesetz gegen Wettbewerbsbeschränkungen (Закон срещу ограниченията на конкуренцията, наричан по-нататък „GWB“) гласи:

„Забранено е използването от страна на едно или повече предприятия на господстващо положение с цел злоупотреба“ ( 5 ).

8.

Член 50f от GWB предвижда:

„(1)   Органите за защита на конкуренцията, регулаторните органи, Федералната служба за защита на данните и свободата на информацията, регионалните администратори за защита на данните и компетентните органи по смисъла на член 2 от EU‑Verbraucherschutzdurchführungsgesetz [Закон за прилагане на правото на защита на потребителите на Европейския съюз] могат, независимо от избраната процедура, да обменят помежду си информация, включително лични данни и търговски тайни, доколкото това е необходимо за изпълнението на съответните им задължения, както и да използват тази информация в рамките на техните процедури. […]“.

9.

Meta Platforms управлява услугите на онлайн социалната мрежа „Facebook“ в Европейския съюз (на адрес www.facebook.com), както и други онлайн услуги, сред които Instagram и WhatsApp. Икономическият модел на управляваните от Meta Platforms социални мрежи се състои в същността си, от една страна, в предлагане на безплатни услуги на социална мрежа за частни ползватели, и от друга страна, в продажба на онлайн реклама, която е съобразена с индивидуалния ползвател на социалната мрежа и има за цел да покаже на ползвателя стоките и услугите, които биха могли да го заинтересуват по-конкретно въз основа на личното му потребителско поведение, неговите интереси, покупателна способност и житейска ситуация. Техническото основание за този вид реклама е автоматизираното изготвяне на много подробни профили на ползвателите на мрежата и на предлаганите онлайн услуги на равнището на групата ( 6 ).

10.

За събирането и обработването на данните на ползвателите Meta Platforms се основава на договор за използване, сключен с неговите ползватели посредством натискането на бутон „Регистрация“, с коeто тези ползватели приемат условията за ползване на Facebook. Приемането на тези условия за ползване е съществено условие за ползването на социалната мрежа Facebook ( 7 ). Централният въпрос по настоящото дело се отнася до практиката, състояща се, първо, в събирането на данни, произлизащи от други услуги на групата, както и от уебсайтове и приложения на трети лица, чрез интегрирани в тях интерфейси или чрез записани на компютъра или мобилното устройство на ползвателя бисквитки, второ, в свързването на тези данни с акаунта на съответния ползвател във Facebook, и трето, в използването на посочените данни (наричана по-нататък „спорната практика“).

11.

Bundeskartellamt образува производство срещу Meta Platforms, вследствие на което със спорното решение забранява на същата предвиденото в условията за ползване на Facebook обработване на данни, както и прилагането на тези условия, и ѝ налага мерки за преустановяване на тези действия. Bundeskartellamt мотивира своето решение по-конкретно с това, че въпросното обработване на данни представлява злоупотреба с господстващото положение на това дружество на пазара на социални мрежи за частни ползватели в Германия по смисъла на член 19 от GWB ( 8 ).

12.

На 11 февруари 2019 г. Meta Platforms подава жалба срещу спорното решение пред запитващата юрисдикция, Oberlandesgericht Düsseldorf (Върховен областен съд, Дюселдорф) ( 9 ), която изпитва съмнения, в основни линии, от една страна, относно възможността национални органи за защита на конкуренцията да контролират съответствието на обработване на данни с формулираните в ОРЗД изисквания, както и да установяват и санкционират нарушаването на разпоредбите на ОРЗД, и от друга страна, относно тълкуването и прилагането на някои разпоредби от този регламент.

13.

При тези условия Oberlandesgericht Düsseldorf (Върховен областен съд Дюселдорф) решава да спре производството и да постави на Съда следните преюдициални въпроси:

При утвърдителен отговор на въпрос 7 е необходимо да се даде отговор на въпроси 3—5, що се отнася до данните от използването на притежаваната от групата услуга Instagram“.

14.

Писмени становища са представили Meta Platforms, германското, чешкото, италианското и австрийското правителство, Bundeskartellamt, Verbraucherzentrale Bundesverband e.V. (Сдружение на потребителите, Германия), както и Европейската комисия. Тези страни са изразили и устни становища в съдебното заседание за изслушване на устните състезания, проведено на 10 май 2022 г.

15.

Преюдициалните въпроси — предмет на настоящото дело, са свързани с тълкуването на редица разпоредби от ОРЗД и се отнасят по същността си, първо, до правомощието на орган за защита на конкуренцията да установява и санкционира нарушение на правилата за обработването на лични данни и задълженията му за сътрудничество с водещия орган по смисъла на ОРЗД (първи и седми преюдициален въпрос), второ, до забраната за обработване на чувствителни лични данни и до условията за даване на съгласие за използването им (втори преюдициален въпрос), трето, до законосъобразността на обработването на лични данни в светлината на някои основания (трети, четвърти и пети преюдициален въпрос), и четвърто, валидността на съгласието за обработване на лични данни, дадено на предприятие в господстващо положение (шести преюдициален въпрос).

16.

В следващите точки ще разгледам най-напред първия и седмия преюдициален въпрос, а след това останалите преюдициални въпроси по реда, в който са поставени, като групирам третия, четвъртия и петия преюдициален въпрос.

17.

С първия си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали когато орган за защита на конкуренцията преследва нарушения на правилата за конкуренция, той може, от една страна, да се произнесе, на главно основание ( 10 ), по нарушението на правилата на ОРЗД за обработване на данни от предприятие с основно място на установяване, което се намира в друга държава членка и носи изключителната отговорност за обработването на лични данни за цялата територия на Съюза, и от друга страна, да разпореди това нарушение да бъде преустановено (първи въпрос, буква а), и при утвърдителен отговор — дали компетентният по силата на член 56, параграф 1 от ОРЗД водещ надзорен орган може впоследствие да проведе процедура по разследване във връзка с условията на това предприятие относно обработването на данни (първи въпрос, буква б).

18.

Същевременно — и при условие запитващата юрисдикция да провери това — ми се струва, че в спорното решение Bundeskartellamt не санкционира нарушение на ОРЗД от Meta Platforms, а разглежда, единствено за целта на прилагането на правилата за конкуренция, твърдяно нарушение на забраната за злоупотреба с господстващо положение от страна на същото, като взема предвид, наред с останалото, несъвместимостта на поведението на това предприятие с разпоредбите на ОРЗД.

19.

Поради това според мен, доколкото засяга възможността орган за защита на конкуренцията да се произнесе, на главно основание, по нарушаването на правилата на ОРЗД, и да разпореди преустановяване на това нарушение по смисъла на този регламент, първият въпрос, буква а) е неотносим ( 11 ).

20.

От това следва, че първият въпрос, буква б), който е обусловен от утвърдителния отговор на първия въпрос, буква а), също е неотносим ( 12 ).

21.

Със седмия си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали когато орган за защита на конкуренцията преследва нарушения на правилата за конкуренция, той може да установи инцидентно ( 13 ) дали условията за обработване на данни и тяхното прилагане са съобразени с ОРЗД (седми въпрос, буква а), и при утвърдителен отговор — дали разглеждане от органа за защита на конкуренцията е възможно и когато в същото време компетентният водещ надзорен орган провежда процедура по разследване на тези условия (седми въпрос, буква б).

22.

Що се отнася, на първо място, до седмия въпрос, буква а), според мен, макар орган за защита на конкуренцията да не е компетентен да установи нарушение на ОРЗД ( 14 ), този регламент по принцип допуска възможността други органи освен надзорните при упражняване на тяхната собствена компетентност и правомощия инцидентно да отчитат съвместимостта на дадено поведение с разпоредбите на ОРЗД. По мое мнение такъв е случаят, що се отнася в частност до упражняването от орган за защита на конкуренцията на правомощията, които са му предоставени с член 102 ДФЕС и член 5, първа алинея от Регламент (ЕО) № 1/2003 ( 15 ), или с която и да е друга съответна национална разпоредба ( 16 ).

23.

Всъщност при упражняването на своите правомощия органът за защита на конкуренцията трябва да прецени по‑специално дали разглежданото поведение представлява използване на методи, различни от тези, които са характерни за конкуренция въз основа на качествата, предвид правния и икономическия контекст, в който се вписва такова поведение ( 17 ). В това отношение дали посоченото поведение е в съответствие с разпоредбите на ОРЗД, не само по себе си, а като се вземат предвид всички обстоятелства по конкретния случай, може да представлява важна индиция, за да се установи дали това поведение представлява използване на методи, които направляват нормална конкуренция, като същевременно се уточнява, че дали дадено поведение представлява злоупотреба от гледна точка на член 102 ДФЕС не става ясно от неговото съответствие, или от липсата на такова, с ОРЗД или с други правни норми ( 18 ).

24.

Ето защо считам, че разглеждането на злоупотреба с господстващо положение на пазара може да оправдае тълкуването от страна на орган за защита на конкуренцията на разпоредби, които не са от областта на конкурентното право като тези на ОРЗД ( 19 ), като същевременно се уточни, че такова разглеждане се осъществява инцидентно ( 20 ) и не предопределя прилагането на този регламент от компетентните надзорни органи ( 21 ).

25.

Що се отнася, на второ място, до седмия въпрос, буква б), запитващата юрисдикция иска да се установи какви са — в рамките на прилагането на принципа на лоялно сътрудничество, закрепен в член 4, параграф 3 ДЕС — задълженията, които има по отношение на компетентния водещ надзорен орган по смисъла на ОРЗД, орган за защита на конкуренцията, когато тълкува разпоредби на този регламент, и по-точно, когато същото поведение като разгледаното от органа за защита на конкуренцията е предмет на разглеждане от страна на компетентния водещ надзорен орган.

26.

В случая разглеждането, макар и инцидентно, на поведение на дадено предприятие в светлината на нормите на ОРЗД от орган за защита на конкуренцията крие риск от разминавания между последния и надзорните органи, що се отнася до тълкуването на този регламент, което по принцип може да накърни еднаквото тълкуване на ОРЗД ( 22 ).

27.

Правото на Съюза не предвижда подробни правила за сътрудничество между орган за защита на конкуренцията и надзорните органи по смисъла на ОРЗД в подобна ситуация. В частност, по настоящото дело не са приложими нито механизмът за сътрудничество между компетентните органи по смисъла на ОРЗД при прилагането на същия ( 23 ), нито други прецизни правила относно сътрудничеството между административни органи като тези относно сътрудничеството между органите за защита на конкуренцията и относно сътрудничеството между последните и Комисията при прилагането на правилата за конкуренция ( 24 ).

28.

Същевременно, когато орган за защита на конкуренцията тълкува ОРЗД, той все пак е обвързан от принципа на лоялно сътрудничество, закрепен в член 4, параграф 3 ДЕС, по силата на който Съюзът и държавите членки, включително административните им органи ( 25 ), при пълно взаимно зачитане си съдействат при изпълнението на задачите, произтичащи от Договорите. По-специално, трета алинея от тази разпоредба предвижда, че държавите членки съдействат на Съюза при изпълнението на неговите задачи и се въздържат от всякакви мерки, които биха могли да застрашат постигането на целите на Съюза ( 26 ). По-нататък, като всеки административен орган, който отговаря за прилагането на правото на Съюза, органите за защита на конкуренцията са обвързани от принципа на добра администрация като общ принцип на правото на Съюза, който включва по-конкретно широко задължение на националните органи за полагане на грижа и за оказване на съдействие ( 27 ).

29.

Така при липсата на подробни правила относно механизмите за сътрудничество, които законодателят на Съюза евентуално трябва да приеме, когато орган за защита на конкуренцията тълкува разпоредбите на ОРЗД, той най-малкото има задължения за предоставяне на информация и сведения, и за сътрудничество по отношение на компетентните органи по смисъла на този регламент, в изпълнение на националните норми, които уреждат неговите правомощия (принцип на процесуална автономия на държавите членки) и при зачитане на принципите на равностойност и на ефективност ( 28 ).

30.

Според мен от това следва, че когато компетентният водещ надзорен орган се произнася по прилагането на някои разпоредби на ОРЗД по отношение на идентична или сходна практика, органът за защита на конкуренцията по принцип няма да може да се отклони от тълкуването на водещия надзорен орган, който единствено е компетентен да прилага този регламент ( 29 ), и ще трябва, доколкото е възможно, и по-специално при зачитане на правото на защита на засегнатите лица, да се съобрази с евентуалните приети от него решения, които се отнасят до същото поведение ( 30 ), и в случай на съмнения относно тълкуването, дадено в конкретния случай от компетентния орган, да се консултира с него или при необходимост, когато същият се намира в друга държава членка, да се консултира с националния надзорен орган ( 31 ).

31.

По-нататък, при липсата на решение на компетентния надзорен орган органът за защита на конкуренцията трябва все пак да уведоми същия ( 32 ) и да си сътрудничи с него, когато този орган е започнал процедура по разследване на същата практика или е изразил намерение да направи това, и евентуално да изчака резултата от осъщественото от надзорния орган разглеждане, преди да извърши собствена преценка, доколкото е практически осъществимо и в частност не изключва изискването органът за защита на конкуренцията да спазва разумен срок за разследване и да зачита правото на защита на засегнатите лица ( 33 ).

32.

В случая според мен фактът, че е започнато сътрудничество с надзорните органи, които отговарят на национално равнище ( 34 ), и неформално е установен контакт с ирландския водещ надзорен орган — обстоятелства, посочени от Bundeskartellamt, които запитващата юрисдикция следва да провери — може да е достатъчен, за да се приеме, че този орган е изпълнил задълженията си за полагане на грижа и за лоялно сътрудничество ( 35 ).

33.

В заключение, предлагам на седмия преюдициален въпрос да се отговори, че членове 51—66 от ОРЗД трябва да се тълкуват в смисъл, че орган за защита на конкуренцията, в рамките на правомощията си по смисъла на правилата в областта на конкуренцията, може да разгледа инцидентно съвместимостта на разглежданите практики с разпоредбите на ОРЗД, като същевременно вземе предвид всяко решение или разследване на компетентния надзорен орган по ОРЗД, и като уведоми за това националния надзорен орган, и съответно се консултира с него.

34.

С втория си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 9, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че спорната практика, когато засяга посещаването на интернет страници и приложения на трети лица ( 36 ), представлява обработване на изброените чувствителни лични данни ( 37 ), което е забранено ( 38 ) (втори въпрос, буква a), а при утвърдителен отговор, дали член 9, параграф 2, буква д) от този регламент трябва да се тълкува в смисъл, че ползвател явно прави обществено достояние по смисъла на тази разпоредба данните, които, от една страна, са разкрити при посещаването на тези уебстраници и приложения, или, от друга страна, тези, които са въведени посредством или произтичат от натискането на интегрираните в тези уебстраници или приложения бутони ( 39 ) (втори въпрос, буква б).

35.

Що се отнася, на първо място, до втори въпрос, буква а), припомням, че по силата на член 9, параграф 1 от ОРЗД обработването на чувствителни лични данни е забранено. Както е видно от съображение 51 от този регламент, специалната защита на тези данни е мотивирана с факта, че по своето естество те са особено чувствителни от гледна точка на основните права и свободи и обработването им би могло да създаде значителни рискове за тези права и свободи. Освен това, въпреки донякъде неясния текст на тази разпоредба ( 40 ), според мен тя не въвежда същностна разлика между лични данни, които са чувствителни, тъй като „разкриват“ определена ситуация, и данни, които са чувствителни сами по себе си, както предполага запитващата юрисдикция ( 41 ).

36.

В случая според мен е очевидно, че спорната практика представлява обработване на лични данни, което по принцип може да попадне в приложното поле на тази разпоредба и да бъде забранено, когато обработваните данни „разкриват“ една от изброените в нея чувствителни ситуации. Следователно трябва да се установи дали и до каква степен посещаването на уебсайтове и приложения или въвеждането на данни в тях могат да „разкриват“ една от чувствителните ситуации, визирани във въпросната разпоредба.

37.

В това отношение не мисля, че е необходимо (и винаги възможно) да се провежда разграничение между, от една страна, обикновен интерес на субекта на данните към определена информация, и от друга страна, принадлежността ѝ към някоя от категориите, посочени във въпросната разпоредба ( 42 ). Макар становищата на страните по главното производство да са противоположни в това отношение ( 43 ), считам, че отговор на този въпрос може да се търси само за всеки отделен случай и с оглед на всяко от действията, съставляващи спорната практика.

38.

Макар, както отбелязва германското правителство, самото събиране на чувствителни лични данни, свързани с посещаването на уебсайт или приложение, да не представлява само по себе си непременно обработване на чувствителни лични данни по смисъла на тази разпоредба ( 44 ), свързването на тези данни с акаунта във Facebook на съответния ползвател или използването им представлява поведение, което обаче по-лесно би могло да представлява такова обработване. Според мен решаващият критерий при прилагането на член 9, параграф 1 от ОРЗД е възможността обработваните данни да позволяват профилирането на ползвателя в зависимост от категориите, които произтичат от изброяването на чувствителни лични данни в тази разпоредба ( 45 ).

39.

В този контекст, за да може да се определи дали обработване на данни попада в приложното поле на тази разпоредба, би било полезно при необходимост да се разграничат, от една страна, обработването на данните, които на пръв поглед могат да бъдат класирани в категорията на чувствителните лични данни и които сами по себе си позволяват профилиране на субекта на данните, и от друга страна, обработването на данните, които сами по себе си не са чувствителни, но изискват последващо действие по прегрупиране, за да се направят надеждни изводи за профилирането на субекта на данните.

40.

При това положение следва да се уточни, че наличието на категоризиране по смисъла на тази разпоредба не зависи от това дали категоризирането е вярно или правилно ( 46 ). От значение е възможността такова категоризиране да породи значителен риск за основните права и свободи на субекта на данните, както се припомня в съображение 51 от ОРЗД — възможност, която не зависи от истинността му.

41.

Накрая, що се отнася до искането на запитващата юрисдикция да се установи дали за въпросната преценка е от значение каква е целта на използването ( 47 ), считам, обратно на поддържаното от жалбоподателя в главното производство, че по принцип не се изисква администраторът да обработва тези данни, „знаейки или имайки намерение да извлече пряко от тези данни специални категории информация“. Всъщност целта на въпросната разпоредба е по същество да се предотвратят по обективен начин значителни рискове за основните права и свободи на субектите на данни, породени от обработването на чувствителни лични данни, независимо от какъвто и да е субективен елемент като намерението на администратора.

42.

Що се отнася, на второ място, до втори въпрос, буква б), следва да се припомни, че по силата на член 9, параграф 2, буква д) от ОРЗД забраната за обработване на чувствителни лични данни не се прилага, ако обработването се отнася до лични данни, които явно са направени обществено достояние от субекта на данните. Освен това употребата в текста на тази разпоредба на наречието „явно“ и фактът, че посочената разпоредба представлява изключение от принципа на забрана на обработването на чувствителни лични данни ( 48 ) налагат това изключение да се прилага особено стриктно поради значителните рискове за основните права и свободи на субектите на данни ( 49 ). За да може да се приложи това изключение, ползвателят според мен трябва да има пълното съзнание, че с изричен акт ( 50 ) прави лични данни обществено достояние ( 51 ).

43.

В случая ми се струва, че поведение, изразяващо се в посещаване на уебсайтове и приложения, във въвеждането на данни в тези уебсайтове и приложения и в натискането на интегрираните в същите бутони, по принцип не може да се приравни на поведение, което явно прави обществено достояние чувствителни лични данни на ползвателя по смисъла на член 9, параграф 2, буква д) от ОРЗД.

44.

По-специално следва да се отбележи, че по принцип посещаването на уебсайтове и приложения предоставя достъп до данните за него само на оператора на въпросната интернет страница или приложение и на третите лица, на които той предава тези данни, какъвто е жалбоподателят по главното производство ( 52 ). По същия начин, макар с въвеждането на данни в уебсайтове и приложения субектът на данните да може пряко и доброволно да предоставя информация за някои чувствителни лични данни, следва да се отбележи също, че тази информация е достъпна само за оператора на въпросния уебсайт или приложение и за третите лица, на които той предава посочената информация. Следователно изключвам възможността подобни действия да свидетелстват за желанието тези данни да станат обществено достояние ( 53 ). По-нататък, макар да е очевидно, че с натискането на интегрирани в уебсайтове или приложения бутони ( 54 ) субектът на данните ясно изразява желанието си да обменя определена информация с кръг лица, външни за въпросния уебсайт или приложение, считам, че както посочва Bundeskartellamt, въпросното лице съзнава, че с това действие обменя информация с определен кръг лица, често дефиниран от самия ползвател ( 55 ), а не с обществеността ( 56 ).

45.

Накрая, що се отнася до релевантността на посоченото от запитващата юрисдикция евентуално съгласие, дадено от ползвателя по смисъла на член 5, параграф 3 от Директива 2002/58, личните данни да могат да се събират чрез „бисквитки“ („cookies“) или подобни технологии, считам, че с оглед на специфичната му цел то не може само по себе си да обоснове обработването на чувствителни лични данни, събирани чрез тези средства ( 57 ). Всъщност това съгласие, необходимо за инсталирането на техническо средство за събиране на информация за някои действия на ползвателя ( 58 ), не се отнася до обработването на чувствителни лични данни и не може да се приравни на желание тези данни да бъдат явно направени обществено достояние по смисъла на член 9, параграф 2, буква д) от ОРЗД ( 59 ).

46.

В заключение, предлагам на втория преюдициален въпрос да се отговори, че от една страна, член 9, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че забраната за обработване на чувствителни лични данни може да включва обработване на данни, извършвано от оператор на онлайн социална мрежа, състоящо се в събиране на данните на ползвател, когато той посещава други уебсайтове или приложения или въвежда в тях тези данни, в свързване на посочените данни с потребителския акаунт в социалната мрежа и тяхното използване, стига обработваната информация, разглеждана индивидуално или прегрупирана, да позволява профилирането на ползвателя според категориите, произтичащи от изброяването на чувствителни лични данни в тази разпоредба, и че от друга страна, член 9, параграф 2, буква д) от ОРЗД трябва да се тълкува в смисъл, че ползвател не прави явно обществено достояние данни, поради факта че същите са разкрити при посещаване на уебстраници и приложения или са въведени в тези уебстраници или приложения, или произтичат от натискането на интегрирани в тях бутони за избор.

47.

С третия, четвъртия и петия преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 6, параграф 1, букви б), в), г), д) и е) от ОРЗД трябва да се тълкува в смисъл, че спорната практика ( 60 ) попада в приложното поле на една от предвидените в тези разпоредби обосновки, и по-конкретно:

48.

В самото начало, въпреки някои колебания относно допустимостта на четвъртия и петия преюдициален въпрос ( 68 ), предлагам на третия, четвъртия и петия преюдициален въпрос да се отговори съвместно, тъй като, главно по отношение на третия преюдициален въпрос, който е най-добре мотивиран, насоките, които ще изложа по-долу, биха могли да бъдат полезни на запитващата юрисдикция и при прилагането на разпоредбите, които са предмет на четвъртия и петия преюдициален въпрос.

49.

Отбелязвам, главно, че в съответствие с член 8 от Хартата на основните права на Европейския съюз (наричана по‑нататък „Хартата“) личните данни трябва да бъдат обработвани добросъвестно, за точно определени цели и въз основа на предвидено от закона легитимно основание. В това отношение в член 6, параграф 1 от ОРЗД се уточнява, че обработването на тези данни е законосъобразно само ако е изпълнено едно от шестте условия, посочени в тази разпоредба ( 69 ).

50.

В конкретния случай, най-напред, считам, че третият, четвъртият и петият преюдициален въпрос изискват подробен анализ за всеки отделен случай на различните клаузи в условията за ползване на Facebook в контекста на спорната практика, защото не е възможно да се установи дали по отношение на тази практика „предприятие като [Meta Platforms]“ може като цяло да се позовава на всички (или на някои от) основанията, посочени в член 6, параграф 1 от ОРЗД, макар да не може да се изключи, че понякога посочената практика или някои от нейните действия могат да попадат в обхвата на тази разпоредба ( 70 ).

51.

По-нататък, предвиденото в цитираните разпоредби обработване се извършва в конкретния случай въз основа на общите условия на договора, наложени от администратора при липсата на съгласие от страна на субекта на данните ( 71 ) и дори против волята му, което според мен изисква стриктно тълкуване на въпросните основания, по‑конкретно за да се избегне заобикаляне на условието за съгласие ( 72 ).

52.

Накрая, следва да се припомни, че в съответствие с член 5, параграф 2 от ОРЗД администраторът носи тежестта да докаже, че личните данни се обработват по правилата на този регламент и че в съответствие с член 13, параграф 1, буква в) от посочения регламент администраторът трябва да уточни целите на обработването, за което личните данни са предназначени, както и правното основание за обработването.

53.

На първо място, според член 6, параграф 1, буква б) от ОРЗД обработването на лични данни е законосъобразно, доколкото е необходимо за изпълнението на договор, по който субектът на данните е страна ( 73 ).

54.

В това отношение припомням, че понятието „необходимост“ не е дефинирано в законодателството на Съюза, но според съдебната практика все пак е самостоятелно понятие на правото на Съюза ( 74 ). За да се приеме, че обработването е необходимо за изпълнението на договора, не е достатъчно то да се извършва по повод на изпълнението на договора, да е упоменато в договора ( 75 ), или дори просто да е от полза за изпълнението на договора ( 76 ). Според практиката на Съда обработването трябва да бъде обективно необходимо за изпълнението на договора, в смисъл че не трябва да съществуват реалистични и представляващи по‑малко вмешателство алтернативи ( 77 ) с оглед и на разумните очаквания на субекта на данните ( 78 ). Това предполага също, че когато предмет на договора са няколко услуги или отделни елементи от една и съща услуга, които могат да се изпълняват независимо едни от други, приложимостта на член 6, параграф 1, буква б) от ОРЗД би трябвало да се преценява в контекста на всяка от тези услуги поотделно ( 79 ).

55.

В рамките на тази обосновка запитващата юрисдикция споменава персонализирането на съдържанието и хомогенното и безпроблемно използване на продуктите (или по-скоро на услугите) на групата.

56.

Що се отнася до персонализирането на съдържанието, струва ми се, че макар да е възможно такава дейност в известна степен да бъде в интерес на ползвателя, тъй като позволява да се представя, по-специално в „новинарски поток“, съдържание, което в съответствие с автоматизирано оценяване съответства на интересите на потребителя, не е очевидно, че това е необходимо и за предоставянето на услугата на разглежданата социална мрежа, така че обработването на личните данни за тази цел да не изисква съгласието на този ползвател ( 80 ). За целите на тази проверка следва да се вземе предвид и че спорната практика не се отнася до обработването на свързани с ползвателя данни относно поведението му в страницата или в приложението Facebook, а на данни от външни източници и следователно потенциално неограничени. Ето защо си задавам въпроса до каква степен това обработване би могло да съответства на очакванията на средностатистически ползвател и по‑общо, каква е „степента на персонализиране“, която той може да очаква от услугата, за която се регистрира ( 81 ).

57.

Що се отнася до хомогенното и безпроблемно използване на услугите на групата, отбелязвам, че връзката между различните предлагани от жалбоподателя по главното производство услуги, например между Facebook и Instagram, несъмнено може да бъде от полза за ползвателя или дори понякога желана от него. Съмнявам се обаче, че обработване на лични данни, произхождащи от други услуги на групата (по-специално от Instagram) е необходимо за предоставяне на услугите на Facebook ( 82 ).

58.

На второ място, според член 6, параграф 1, буква е) от ОРЗД обработването на лични данни е законосъобразно, доколкото е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.

59.

Според практиката на Съда въпросната разпоредба предвижда три кумулативни условия, за да бъде обработването на лични данни законосъобразно, а именно, първо, администраторът или третото лице, или третите лица, на които се разкриват данните, да преследват законни интереси, второ, обработването на личните данни да е необходимо за целите на преследваните законни интереси, и трето, основните права и свободи на лицето, ползващо се от защитата на данните, да нямат предимство ( 83 ).

60.

Най-напред, що се отнася до условието да се преследват законни цели, следва да се припомни, че в ОРЗД и съдебната практика признават различни видове интереси за законни ( 84 ), като същевременно се уточни, че в съответствие с член 13, параграф 1, буква г) от ОРЗД администраторът трябва да посочи легитимните интереси, които се преследват в рамките на член 6, параграф 1, буква е) от ОРЗД ( 85 ).

61.

На следващо място, що се отнася до условието обработването на личните данни да е необходимо за реализирането на преследвания легитимен интерес, според практиката на Съда дерогации и ограничения на принципа за защита на личните данни се предвиждат само доколкото това е стриктно необходимо ( 86 ). Следователно, при липсата на алтернативи, които в по-голяма степен зачитат защитата на личните данни, е необходимо да е налице тясна връзка между обработването и преследвания интерес, защото не е достатъчно обработването да е просто от полза за администратора.

62.

Накрая, що се отнася до претеглянето, от една страна, на интересите на администратора, и от друга — на интересите или на основните правата и свободи на субекта на данните, според практиката на Съда запитващата юрисдикция трябва да претегли засегнатите интереси ( 87 ). По-нататък, както се посочва в съображение 47 от ОРЗД, в рамките на това претегляне е необходимо да се вземат предвид основателните очаквания на субектите на данните въз основа на техните взаимоотношения с администратора и да се прецени дали субектът на данни може по времето и в контекста на събирането на лични данни основателно да очаква, че може да се осъществи обработване на личните данни за дадена цел.

63.

В рамките на тази обосновка запитващата юрисдикция посочва персонализирането на рекламата, мрежовата сигурност и подобряването на продукта.

64.

Що се отнася, най-напред, до персонализирането на рекламата, от съображение 47 от ОРЗД е видно, че обработването на лични данни с цел директен маркетинг (direct marketing) може да се разглежда като осъществявано поради законен интерес на администратора. Що се отнася обаче до необходимостта от обработването, следва да се отбележи, че въпросните данни произхождат от външни за Facebook източници и следователно се поставя въпросът каква е обективно необходимата в това отношение„степен на персонализиране“ на рекламата. Що се отнася до претеглянето на засегнатите интереси, според мен следва да се вземе предвид естеството на въпросните легитимни интереси (в случая чисто икономически интерес), както и въздействието на обработването върху ползвателя, включително разумните му очаквания и евентуалните защитни мерки, въведени от администратора ( 88 ).

65.

На следващо място, подобни съображения могат да се изтъкнат и по отношение на мрежовата сигурност. Всъщност, въпреки че такава обосновка може да послужи за легитимен интерес на администратора ( 89 ), не е съвсем ясно дали може да се направи извод, че в случая обработването е необходимо, като се има предвид и че въпросните данни са от външни за Facebook източници ( 90 ). Във всеки случай следва да се припомни, че администраторът трябва да уточни целите на сигурността, на които евентуално се основава всяко обработване.

66.

Накрая, що се отнася до подобряването на продукта, макар да са изключени подобрения, свързани със сигурността, които спадат към разгледаната по-горе конкретна обосновка, мисля, че такава обосновка би трябвало по-скоро да бъде в интерес на ползвателя, отколкото в интерес на администратора на данни. От тази гледна точка е трудно да се разбере до каква степен тя би могла да съставлява легитимен интерес на администратора, и за нея да не се изисква съгласието на ползвателя. Що се отнася до условието за необходимост и претегляне на засегнатите права и интереси, препращам към гореизложените съображения.

67.

С четвъртия преюдициален въпрос, който по същество разширява втората част на третия преюдициален въпрос, запитващата юрисдикция иска да се установи дали повторяемостта на някои изброени ситуации включва наличието на легитимни интереси по смисъла на член 6, параграф 1, буква е) от ОРЗД, докато с петия преюдициален въпрос тя иска да се установи дали необходимостта за отговор на валидни законни искания за предоставяне на определени данни, необходимостта от борба с вредоносни практики и насърчаване на сигурността, за проучвания в полза на обществото и за подпомагане на безопасността, интегритета и сигурността могат да послужат за обосновка, която се прилага към спорната практика ( 91 ).

68.

Независимо от допустимостта на тези въпроси ( 92 ), считам най‑общо, че що се отнася до четвъртия преюдициален въпрос, не може да се изключи възможността някои клаузи, характерни за спорната практика, да бъдат обосновани от легитимни интереси при посочените от запитващата юрисдикция обстоятелства ( 93 ), а що се отнася до петия преюдициален въпрос, че в някои случаи спорната практика може да бъде обоснована въз основа на цитираните разпоредби.

69.

От акта за преюдициално запитване обаче не става ясно дали и до каква степен Meta Platform Ireland е посочило за всяка цел на обработване и видове обработвани данни конкретно преследваните легитимни интереси или другите евентуално относими към случая обосновки ( 94 ). Следователно с оглед на гореизложените съображения запитващата юрисдикция трябва да провери доколко при посочените от тази юрисдикция обстоятелства спорната практика е обоснована от наличието на легитимни интереси на Meta Platform Ireland по отношение на обработването на данни по смисъла на член 6, параграф 1, буква е) от ОРЗД или от някое друго от условията по член 6, параграф 1, букви в), г) и д) от този регламент.

70.

В заключение, предлагам на третия, четвъртия и петия преюдициален въпрос да се отговори, че член 6, параграф 1, букви б), в), г), д) и е) от ОРЗД трябва да се тълкува в смисъл, че спорната практика или някои от действията, съставляващи тази практика, могат да попаднат в обхвата на изключенията, предвидени в тези разпоредби, при условие че всеки разглеждан начин на обработване на данни отговаря на условията, предвидени в конкретната обосновка, изтъкната от администратора, и следователно:

71.

С шестия си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 6, параграф 1, буква а) и член 9, параграф 2, буква а) от ОРЗД трябва да се тълкуват в смисъл, че валидно и свободно изразено съгласие по смисъла на член 4, точка 11 от този регламент може да се даде на предприятие с господстващо положение на националния пазар на онлайн социални мрежи за частни ползватели.

72.

В самото начало припомням, че член 6, параграф 1, буква а) и член 9, параграф 2, буква а) от ОРЗД предвиждат задължение за даване на съгласие от субекта на данните, съответно що се отнася до обработването на лични данни най-общо и до обработването на чувствителни лични данни. По-нататък, според член 4, точка 11 от ОРЗД за целите на този регламент „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени ( 95 ).

73.

Що се отнася по-специално до условието за „свободно изразено“ съгласие, което е единственото поставено под въпрос в случая, следва да се отбележи, че в съответствие със съображение 42 от ОРДЗ съгласието не би трябвало да се разглежда като свободно дадено, ако субектът на данни няма истински свободен избор ( 96 ) или не е в състояние да откаже или да оттегли съгласието си, без това да доведе до вредни последици за него ( 97 ). Освен това, както се предвижда в член 7, параграф 1 от ОРЗД (и се припомня в съображение 42 от него), когато обработването се извършва въз основа на съгласието на субекта на данните, администраторът трябва да е в състояние да докаже, че този субект е дал съгласие за обработване на личните му данни.

74.

Що се отнася до разглеждания случай, припомням най-напред, че както подчертава съображение 43, първо изречение от ОРЗД, съгласието не представлява валидно правно основание за обработването на лични данни, когато е налице „очевидна неравнопоставеност“ между субекта на данните и администратора ( 98 ), след това, че съгласно член 7, параграф 4 от ОРЗД, в момента на преценка дали съгласието е било свободно изразено, се отчита най-вече дали, inter alia, изпълнението на даден договор, включително предоставянето на услуга, е обусловено от съгласието за обработване на лични данни, което не е необходимо за изпълнението на този договор ( 99 ), и накрая, че в съответствие със съображение 43, второ изречение от ОРЗД се смята, че съгласието не е дадено свободно, ако не се предоставя възможност да бъде дадено отделно съгласие за различните операции по обработване на лични данни, макар и да е подходящо в конкретния случай ( 100 ).

75.

В случая считам, че евентуалното господстващо пазарно положение на администратор, който е оператор на социална мрежа, играе роля при преценката за наличието на свободно съгласие от страна на ползвателя на тази мрежа. Всъщност наличието на пазарна мощ на администратора може да създаде явна неравнопоставеност в съотношението на силите в смисъла, посочен в точка 74 от настоящото заключение ( 101 ). Следва да се уточни обаче, от една страна, че за да бъде релевантна такава пазарна мощ от гледна точка на прилагането на ОРЗД, тя не трябва непременно да се приравнява на прага на господстващо положение по смисъла на член 102 ДФЕС ( 102 ), и от друга страна, че само това обстоятелство не може по принцип да лиши съгласието от валидност ( 103 ).

76.

Следователно валидността на съгласието трябва да се преценява във всеки отделен случай, в светлината на останалите фактори, посочени в точки 73 и 74 от настоящото заключение и предвид всички обстоятелства по случая, както и това, че администраторът носи тежестта да докаже, че субектът на данните е дал съгласието си за обработването на свързани с него лични данни.

77.

В заключение, предлагам на шестия преюдициален въпрос да се отговори, че член 6, параграф 1, буква а) и член 9, параграф 2, буква а) от ОРЗД трябва да се тълкуват в смисъл, че само по себе си обстоятелството, че предприятието, което е оператор на социална мрежа, има господстващо положение на националния пазар на онлайн социални мрежи за частни ползватели, не може да лиши от валидност съгласието на ползвателя на тази мрежа за обработването на личните му данни по смисъла на член 4, точка 11 от ОРЗД. Това обстоятелство обаче има роля при преценката на свободното изразяване на съгласието по смисъла на тази разпоредба, което администраторът трябва да докаже, при необходимост — предвид евентуалното наличие на явна неравнопоставеност в отношенията между субекта на данните и администратора, евентуалното задължение за предоставяне на съгласие за обработването на лични данни, различни от стриктно необходимите за предоставянето на съответните услуги, необходимостта съгласието да е конкретно изразено за всяка цел на обработване и необходимостта да се избегне оттеглянето на съгласието да причини вреда на ползвателя, оттеглил съгласието си.

78.

С оглед на гореизложените съображения предлагам на Съда да отговори на поставените от Oberlandesgericht Düsseldorf (Върховен областен съд Дюселдорф, Германия) преюдициални въпроси по следния начин: