EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 62021CC0252
Opinion of Advocate General Rantos delivered on 20 September 2022.#Meta Platforms Inc and Others v Bundeskartellamt.#Request for a preliminary ruling from the Oberlandesgericht Düsseldorf.#Reference for a preliminary ruling – Protection of natural persons with regard to the processing of personal data – Regulation (EU) 2016/679 – Social networks – Abuse of a dominant position by the operator of such a network – Abuse which entails the processing of the personal data of the users of that network as provided for in its general terms of use – Powers of a competition authority of a Member State to find that processing is not consistent with that regulation – Reconciliation with the powers of the national data protection supervisory authorities – Article 4(3) TEU – Principle of sincere cooperation – Points (a) to (f) of the first subparagraph of Article 6(1) of Regulation 2016/679 – Whether the processing is lawful – Article 9(1) and (2) – Processing of special categories of personal data – Article 4(11) – Concept of ‘consent’.#Case C-252/21.
Stanovisko generálního advokáta A. Rantose přednesené dne 20. září 2022.
Meta Platforms Inc. a další v. Bundeskartellamt.
Žádost o rozhodnutí o předběžné otázce podaná Oberlandesgericht Düsseldorf.
Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Sociální sítě na internetu – Zneužití dominantního postavení provozovatelem takové sítě – Zneužití spočívající ve zpracování osobních údajů uživatelů této sítě upraveném ve všeobecných podmínkách pro její používání – Pravomoci orgánu členského státu pro hospodářskou soutěž konstatovat nesoulad tohoto zpracování s tímto nařízením – Vztah k pravomocem vnitrostátních orgánů odpovědných za dohled nad ochranou osobních údajů – Článek 4 odst. 3 SEU – Zásada loajální spolupráce – Článek 6 odst. 1 první pododstavec písm. a) až f) nařízení 2016/679 – Zákonnost zpracování – Článek 9 odst. 1 a 2 – Zpracování zvláštních kategorií osobních údajů – Článek 4 bod 11 – Pojem ‚souhlas‘.
Věc C-252/21.
Stanovisko generálního advokáta A. Rantose přednesené dne 20. září 2022.
Meta Platforms Inc. a další v. Bundeskartellamt.
Žádost o rozhodnutí o předběžné otázce podaná Oberlandesgericht Düsseldorf.
Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Sociální sítě na internetu – Zneužití dominantního postavení provozovatelem takové sítě – Zneužití spočívající ve zpracování osobních údajů uživatelů této sítě upraveném ve všeobecných podmínkách pro její používání – Pravomoci orgánu členského státu pro hospodářskou soutěž konstatovat nesoulad tohoto zpracování s tímto nařízením – Vztah k pravomocem vnitrostátních orgánů odpovědných za dohled nad ochranou osobních údajů – Článek 4 odst. 3 SEU – Zásada loajální spolupráce – Článek 6 odst. 1 první pododstavec písm. a) až f) nařízení 2016/679 – Zákonnost zpracování – Článek 9 odst. 1 a 2 – Zpracování zvláštních kategorií osobních údajů – Článek 4 bod 11 – Pojem ‚souhlas‘.
Věc C-252/21.
Court reports – general
ECLI identifier: ECLI:EU:C:2022:704
STANOVISKO GENERÁLNÍHO ADVOKÁTA
ATHANASIOSE RANTOSE
přednesené dne 20. září 2022 ( 1 )
Věc C‑252/21
Meta Platforms Inc., dříve Facebook Inc.,
Meta Platforms Ireland Limited, dříve Facebook Ireland Ltd.,
Facebook Deutschland GmbH
proti
Bundeskartellamt
za účasti:
Verbraucherzentrale Bundesverband e.V.
[žádost o rozhodnutí o předběžné otázce podaná Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu, Německo)]
„Řízení o předběžné otázce – Nařízení (EU) 2016/679 – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Sociální sítě – Článek 4 bod 11 – Pojem „souhlas“ subjektu údajů – Souhlas vyjádřený v souvislosti s podnikem odpovědným za zpracování údajů v dominantním postavení – Článek 6 odst. 1 písm. b) až f) – Zákonnost zpracování – Zpracování nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro účely oprávněných zájmů příslušného správce či třetí strany – Zpracování nezbytné pro dodržení zákonné povinnosti, která se na správce vztahuje, pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby nebo pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce – Článek 9 odst. 1 a čl. 9 odst. 2 písm. e) – Zvláštní kategorie osobních údajů – Osobní údaje zjevně zveřejněné subjektem údajů – Články 51 až 66 – Pravomoci vnitrostátního orgánu pro hospodářskou soutěž – Skloubení s pravomocemi dozorových úřadů na ochranu osobních údajů – Přijetí opatření v oblasti práva hospodářské soutěže ze strany úřadu nacházejícího se v jiném členském státě než vedoucí dozorový úřad na ochranu osobních údajů“
Úvod
1. |
Tuto žádost o rozhodnutí o předběžné otázce podal Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu, Německo) v rámci sporu mezi společnostmi skupiny Meta Platforms ( 2 ) a Bundeskartellamt (Spolkovým úřadem pro hospodářskou soutěž, Německo) ohledně rozhodnutí, kterým Bundeskartellamt zakázal stěžovatelce v původním řízení zpracování osobních údajů stanovené v podmínkách používání služby její sociální sítě Facebook, jakož i uplatňování těchto podmínek používání služby, a uložil opatření směřující k ukončení těchto činností ( 3 ). |
2. |
Předběžné otázky se v zásadě týkají na jedné straně pravomoci vnitrostátního orgánu pro hospodářskou soutěž, jako je Bundeskartellamt, přezkoumat ve věci samé nebo incidenčně chování podniku ve světle některých ustanovení nařízení (EU) 2016/679 ( 4 ) a na druhé straně jejich výkladu zejména s ohledem na zpracování citlivých osobních údajů, relevantních podmínek zákonnosti zpracování osobních údajů a projevu svobodného souhlasu v souvislosti s podnikem v dominantním postavení. |
Právní rámec
Unijní právo
3. |
Článek 4 GDPR stanoví: „Pro účely tohoto nařízení se rozumí: […]
[…]„ |
4. |
Článek 6 odst. 1 tohoto nařízení, nadepsaný „Zákonnost zpracování“, zní takto: „Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.“ |
5. |
Článek 9 odst. 1 a 2 uvedeného nařízení, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví: „1. Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby. 2. Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:
[…]
[…]“ |
6. |
Článek 51 tohoto nařízení, nadepsaný „Dozorový úřad“, který je součástí kapitoly VI nařízení nazvané „Nezávislé dozorové úřady“, uvádí: „1. Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie […] 2. Každý dozorový úřad přispívá k jednotnému uplatňování tohoto nařízení v celé Unii. Dozorové úřady za tímto účelem spolupracují mezi sebou a s Komisí v souladu s kapitolou VII. […]“ |
Německé právo
7. |
Článek 19 odst. 1 Gesetz gegen Wettbewerbsbeschränkungen (zákon proti omezování hospodářské soutěže, dále jen „GWB“) stanoví: „Využívání dominantního postavení, které má zneužívající povahu, jedním nebo více podniky je zakázáno.“ ( 5 ) |
8. |
Článek 50f GWB stanoví: „(1) Úřady pro hospodářskou soutěž, regulační úřady, spolkový zmocněnec pro ochranu osobních údajů a svobodu informací, zmocněnci spolkových zemí pro ochranu osobních údajů, jakož i příslušné orgány ve smyslu článku 2 EU-Verbraucherschutzdurchführungsgesetz [zákon, kterým se provádí právní úprava Evropské unie o ochraně spotřebitelů] si mohou mezi sebou bez ohledu na zvolený postup vyměňovat informace, včetně osobních údajů a obchodního tajemství v rozsahu, v jakém je to nezbytné pro plnění jejich příslušných úkolů, jakož i těchto informací využívat při své činnosti. […]“ |
Spor v původním řízení, předběžné otázky a řízení před Soudním dvorem
9. |
Společnost Meta Platforms spravuje nabídku online sociální sítě „Facebook“ v Evropské unii (na adrese www.facebook.com), jakož i další online služby, například Instagram a WhatsApp. Hospodářský model sociálních sítí spravovaných společností Meta Platforms v podstatě spočívá na jedné straně v nabízení bezplatných služeb sociálních sítí soukromým uživatelům a na druhé straně v prodeji online reklamy šité na míru jednotlivým uživatelům sociální sítě, jejímž cílem je prezentovat uživateli produkty a služby, které by ho mohly zajímat zejména z důvodu jeho osobních spotřebitelských postojů, jeho zájmů, kupní síly a osobní situace. Technickým základem tohoto typu reklamy je automatizované sestavení velmi detailních profilů uživatelů sítě a online služeb nabízených na úrovni skupiny ( 6 ). |
10. |
Při shromažďování a zpracování uživatelských údajů se společnost Meta Platforms opírá o smlouvu o užívání uzavřenou se svými uživateli stisknutím tlačítka „Zaregistrovat se“, čímž tito uživatelé přijímají podmínky služby Facebook. Přijetí těchto podmínek služby je nezbytnou podmínkou pro používání sociální sítě Facebook ( 7 ). Problém, který je jádrem projednávané věci, se týká praxe spočívající zaprvé ve shromažďování údajů z jiných služeb patřících koncernu, jakož i z internetových stránek a aplikací třetích stran prostřednictvím do nich integrovaných rozhraní nebo prostřednictvím souborů cookies uložených v počítači nebo mobilním koncovém zařízení uživatele, zadruhé, propojením těchto údajů s facebookovým účtem dotyčného uživatele a zatřetí používáním uvedených údajů (dále jen „sporná praxe“). |
11. |
Bundeskartellamt zahájil proti společnosti Meta Platforms řízení, po kterém napadeným rozhodnutím zakázal společnosti Meta Platforms zpracovávat údaje na základě podmínek služby Facebook a uplatňovat tyto podmínky a uložil jí opatření směřující k ukončení těchto činností. Bundeskartellamt založil své rozhodnutí zejména na skutečnosti, že předmětné zpracování představuje zneužití dominantního postavení této společnosti na trhu sociálních sítí pro soukromé uživatele v Německu ve smyslu článku 19 GWB ( 8 ). |
12. |
Dne 11. února 2019 společnost Meta Platforms podala proti spornému rozhodnutí stížnost k Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu) ( 9 ), předkládajícímu soudu, který má na jedné straně v zásadě pochybnosti o možnostech vnitrostátních orgánů pro hospodářskou soutěž monitorovat soulad zpracovávání údajů s požadavky stanovenými v GDPR, jakož i zjišťovat a sankcionovat porušování ustanovení GDPR, a na druhé straně o výkladu a uplatňování některých ustanovení tohoto nařízení. |
13. |
Za těchto okolností se Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
V případě kladné odpovědi na sedmou otázku je třeba zodpovědět třetí až pátou otázku ve vztahu k údajům získaným v souvislosti s používáním služby Instagram, která patří koncernu.“ |
14. |
Písemná vyjádření předložila společnost Meta Platforms, německá, česká, italská a rakouská vláda, Bundeskartellamt, Verbraucherzentrale Bundesverband e.V. (sdružení spotřebitelů, Německo) a také Evropská komise. Tyto strany rovněž přednesly ústní vyjádření během jednání, které se konalo dne 10. května 2022. |
Analýza
15. |
Předběžné otázky, které jsou předmětem projednávané věci a které se týkají výkladu několika ustanovení GDPR, se v zásadě týkají zaprvé pravomoci orgánu pro hospodářskou soutěž zjišťovat a postihovat porušení pravidel v oblasti zpracování osobních údajů a jeho povinnosti spolupracovat s vedoucím orgánem ve smyslu GDPR (první a sedmá předběžná otázka), zadruhé zákazu zpracování citlivých osobních údajů a podmínek udělení souhlasu s jejich využitím (druhá předběžná otázka), zatřetí zákonnosti zpracování osobních údajů ve světle určitých odůvodnění (třetí až pátá předběžná otázka) a začtvrté platnosti souhlasu se zpracováním osobních údajů daného podniku v dominantním postavení (šestá předběžná otázka). |
16. |
V následujících bodech se budu zabývat nejprve první a sedmou předběžnou otázkou a poté dalšími předběžnými otázkami v pořadí, v jakém byly položeny, přičemž třetí až pátou předběžnou otázku spojím do jedné otázky. |
K první předběžné otázce
17. |
Podstatou první předběžné otázky předkládajícího soudu je, zda orgán pro hospodářskou soutěž, jestliže stíhá porušení pravidel hospodářské soutěže, může na jedné straně rozhodnout především ( 10 ) o porušení pravidel zpracování údajů GDPR ze strany podniku, jehož hlavní provozovna, výlučně odpovědná za zpracování osobních údajů na celém území Unie, se nachází v jiném členském státě, a na druhé straně může nařídit ukončení tohoto porušování [první otázka písm. a)], a v případě kladné odpovědi, zda vedoucí dozorový úřad příslušný podle čl. 56 odst. 1 GDPR ještě může podmínky zpracování údajů této společnosti podrobit přezkumnému postupu [první otázka písm. b)]. |
18. |
Nicméně s výhradou ověření předkládajícím soudem se mi zdá, že Bundeskartellamt ve sporném rozhodnutí nepotrestal porušení GDPR společností Meta Platforms, ale přistoupil pouze k použití pravidel hospodářské soutěže k posouzení údajného porušení zákazu zneužití dominantního postavení touto společností s přihlédnutím, mimo jiné, k nesouladu jednání tohoto podniku s ustanoveními GDPR. |
19. |
Proto je, podle mého názoru, první otázka písm. a), v rozsahu, v němž se týká možnosti orgánu pro hospodářskou soutěž vyjádřit se primárně k porušení pravidel GDPR a nařídit ukončení tohoto porušování ve smyslu tohoto nařízení, irelevantní ( 11 ). |
20. |
Z toho vyplývá, že první otázka písm. b), která je podmíněna kladnou odpovědí na první otázku písm. a), je rovněž irelevantní ( 12 ). |
K sedmé předběžné otázce
21. |
Podstatou sedmé předběžné otázky předkládajícího soudu je, zda orgán pro hospodářskou soutěž může při stíhání porušení pravidel hospodářské soutěže incidenčně určit ( 13 ), zda jsou podmínky zpracování údajů a jejich provádění v souladu s GDPR [sedmá otázka písm. a)] a v případě kladné odpovědi, zda je možný i přezkum orgánem pro hospodářskou soutěž, jestliže tyto podmínky současně podléhají přezkumnému postupu příslušného vedoucího dozorového orgánu [sedmá otázka písm. b)]. |
22. |
Pokud jde, zaprvé o sedmou otázku písm. a), zdá se mi, že i když orgán pro hospodářskou soutěž není příslušný určovat porušení GDPR ( 14 ), toto nařízení v zásadě nebrání tomu, aby jiné orgány než dozorové úřady mohly při výkonu svých vlastních kompetencí a pravomocí incidenčně brát v úvahu slučitelnost určitého chování s ustanoveními GDPR. To je podle mého názoru zejména případ, kdy orgán pro hospodářskou soutěž vykonává pravomoci, které mu svěřuje článek 102 SFEU a čl. 5 první pododstavec nařízení (ES) č. 1/2003 ( 15 ) nebo jakýkoli jiný obdobný vnitrostátní právní předpis ( 16 ). |
23. |
Při výkonu svých pravomocí musí totiž orgán pro hospodářskou soutěž zejména posoudit, zda posuzované chování spočívá v použití jiných prostředků než těch, které se týkají hospodářské soutěže na základě výkonnosti, s přihlédnutím k právním a hospodářským souvislostem, v nichž k tomuto chování dochází ( 17 ). V tomto ohledu může soulad či nesoulad uvedeného chování s ustanoveními GDPR, nikoli sám o sobě, ale s přihlédnutím ke všem okolnostem věci, představovat důležité vodítko pro určení, zda toto chování představuje použití prostředků, kterými se řídí běžná hospodářská soutěž, přičemž je upřesněno, že zneužívající nebo nezneužívající povaha chování s ohledem na článek 102 SFEU nevyplývá z jeho souladu nebo nesouladu s GDPR nebo jinými právními předpisy ( 18 ). |
24. |
Domnívám se proto, že zkoumání zneužití dominantního postavení na trhu může odůvodnit, že orgán pro hospodářskou soutěž vykládá normy, na které se nevztahuje právo hospodářské soutěže, jako jsou normy GDPR ( 19 ), přičemž upřesňuje, že kontrola se provádí incidenčně ( 20 ) a nepředpokládá použití tohoto nařízení příslušnými dozorovými úřady ( 21 ). |
25. |
Zadruhé, pokud jde o sedmou otázku písm. b), předkládající soud si klade otázku, jaké jsou povinnosti orgánu pro hospodářskou soutěž v rámci uplatňování zásady loajální spolupráce zakotvené v čl. 4 odst. 3 SEU, jestliže provádí výklad ustanovení tohoto nařízení, pokud jde o příslušný vedoucí dozorový úřad ve smyslu GDPR, a konkrétněji, jestliže stejné chování, jako je chování zkoumané orgánem pro hospodářskou soutěž, podléhá přezkumu ze strany příslušného vedoucího dozorového úřadu. |
26. |
V projednávané věci totiž přezkum chování podniku ve světle norem GDPR orgánem pro hospodářskou soutěž, byť incidenční, s sebou nese riziko rozdílů mezi ním a dozorovými úřady, pokud jde o výklad tohoto nařízení, což by mohlo poškodit jednotný výklad GDPR ( 22 ). |
27. |
Unijní právo nestanoví v takové situaci podrobná pravidla, pokud jde o spolupráci mezi orgánem pro hospodářskou soutěž a dozorovými úřady ve smyslu GDPR. Přesněji řečeno, ani mechanismus spolupráce mezi příslušnými orgány ve smyslu GDPR při jeho uplatňování ( 23 ), ani jiná konkrétní pravidla ohledně spolupráce mezi správními orgány, jako jsou pravidla týkající se spolupráce mezi orgány pro hospodářskou soutěž a spolupráce mezi nimi a Komisí při uplatňování pravidel hospodářské soutěže ( 24 ), se v tomto případě nepoužijí. |
28. |
Orgán pro hospodářskou soutěž je nicméně při výkladu GDPR vázán zásadou loajální spolupráce zakotvenou v čl. 4 odst. 3 SEU, podle níž se Unie a členské státy, včetně jejich správních orgánů ( 25 ), vzájemně respektují a pomáhají si při plnění úkolů vyplývajících ze Smluv. Zejména třetí pododstavec tohoto ustanovení stanoví, že členské státy usnadňují Unii plnění jejích úkolů a zdrží se všech opatření, jež by mohla ohrozit dosažení cílů Unie ( 26 ). Kromě toho, jako každý správní orgán pověřený uplatňováním unijního práva je orgán pro hospodářskou soutěž vázán zásadou řádné správy jako obecnou zásadou unijního práva, která zahrnuje zejména rozšířenou povinnost řádné péče a péče příslušející vnitrostátním orgánům ( 27 ). |
29. |
Při neexistenci přesných pravidel, pokud jde o mechanismy spolupráce, jejichž přijetí může být případně na unijním zákonodárci, má tedy orgán pro hospodářskou soutěž při výkladu ustanovení GDPR přinejmenším informační a sdělovací povinnost a povinnost spolupráce s příslušnými orgány ve smyslu tohoto nařízení za použití vnitrostátních norem, které upravují jejich pravomoci (zásada procesní autonomie členských států) a v souladu se zásadami rovnocennosti a účinnosti ( 28 ). |
30. |
Z toho podle mého názoru vyplývá, že pokud příslušný vedoucí dozorový úřad rozhodl o uplatnění některých ustanovení GDPR s ohledem na shodnou nebo obdobnou praxi, orgán pro hospodářskou soutěž se v zásadě nemůže odchýlit od výkladu tohoto orgánu, který je jako jediný příslušný k uplatňování tohoto nařízení ( 29 ), a musí, pokud je to možné a zejména v souladu s právem subjektů údajů na obhajobu, dodržovat případná rozhodnutí přijatá tímto orgánem týkající se stejného jednání ( 30 ) a v případě pochybností v konkrétním případě o výkladu podaném příslušným orgánem jej konzultovat, nebo případně, pokud se nachází v jiném členském státě, konzultovat s vnitrostátním dozorovým úřadem ( 31 ). |
31. |
Kromě toho, při neexistenci rozhodnutí příslušného dozorového úřadu je nicméně na orgánu pro hospodářskou soutěž, aby jej informoval ( 32 ) a spolupracoval s ním, jakmile tento úřad zahájí zkoumání stejné praktiky nebo projeví úmysl tak učinit, a případně počkal na výsledek šetření provedeného tímto úřadem, než zahájí vlastní posuzování, pokud je to vhodné a nepoškozuje to zejména dodržování přiměřené doby šetření ze strany orgánu pro hospodářskou soutěž a práva na obhajobu dotčených osob ( 33 ). |
32. |
V projednávané věci se mi zdá, že skutečnost, že byla navázána spolupráce s příslušnými dozorovými úřady na vnitrostátní úrovni ( 34 ) a rovněž byl neformálně kontaktován hlavní irský dozorový úřad, tedy okolnosti, na které poukazuje Bundeskartellamt a jež má ověřit předkládající soud, může stačit k závěru, že tento orgán splnil své povinnosti řádné péče a loajální spolupráce ( 35 ). |
33. |
Závěrem navrhuji odpovědět na sedmou předběžnou otázku, že články 51 až 66 GDPR je třeba vykládat v tom smyslu, že orgán pro hospodářskou soutěž může v rámci svých pravomocí ve smyslu pravidel hospodářské soutěže incidenčně přezkoumat soulad prověřovaných praktik s pravidly GDPR, přičemž je třeba vzít v úvahu veškerá rozhodnutí nebo šetření příslušného dozorového úřadu podle GDPR, informovat vnitrostátní dozorový úřad a v případě potřeby s ním věc konzultovat. |
Ke druhé předběžné otázce
34. |
Podstatou druhé předběžné otázky předkládajícího soudu je, zda čl. 9 odst. 1 GDPR musí být vykládán v tom smyslu, že sporná praxe, pokud jde o zobrazování internetových stránek a aplikací třetích stran ( 36 ), spadá do zpracování uvedených citlivých osobních údajů ( 37 ), což je zakázáno ( 38 ) [druhá otázka písm. a)], a v případě kladné odpovědi, zda čl. 9 odst. 2 písm. e) uvedeného nařízení musí být vykládán v tom smyslu, že uživatel zjevně zveřejňuje ve smyslu tohoto ustanovení údaje, které zanechává při používání internetových stránek a aplikací, nebo na druhé straně údaje, které zadává nebo jež vyplývají z aktivace tlačítek integrovaných do těchto internetových stránek nebo aplikací ( 39 ) [druhá otázka písm. b)]. |
35. |
Pokud jde v první řadě o otázku 2 písm. a), připomínám, že podle čl. 9 odst. 1 GDPR je zpracování citlivých osobních údajů zakázáno. Zvláštní ochrana těchto údajů je motivována, jak vyplývá z bodu 51 odůvodnění uvedeného nařízení, skutečností, že jsou svou povahou zvláště citlivé z hlediska základních práv a svobod a že jejich zpracování by mohlo tato základní práva a svobody významně ohrozit. Kromě toho se mi, navzdory poněkud nejasné povaze znění tohoto ustanovení ( 40 ), nezdá, že, jak předpokládá předkládající soud, zavádí podstatný rozdíl mezi osobními údaji, které jsou citlivé, protože „vypovídají“ o určité situaci, a údaji, jež jsou samy o sobě citlivé ( 41 ). |
36. |
V projednávané věci je podle mého názoru zřejmé, že sporná praxe představuje zpracování osobních údajů, které v zásadě může spadat do působnosti tohoto ustanovení a může být zakázáno, pokud zpracovávané údaje „vypovídají“ o některé z citlivých situací uvedených v tomto ustanovení. Je proto nutné zjistit, zda a do jaké míry může zobrazení internetových stránek a aplikací nebo vkládání do nich údajů „vypovídat“ o některé z citlivých situací, na které se předmětné ustanovení vztahuje. |
37. |
V tomto ohledu pochybuji, že je relevantní (a vždy možné) rozlišovat mezi na jedné straně pouhým zájmem subjektu údajů o určité informace a na straně druhé příslušností tohoto subjektu k některé z kategorií, na které se dané ustanovení vztahuje ( 42 ). Ačkoli jsou v tomto ohledu stanoviska účastníků původního řízení protichůdná ( 43 ), domnívám se, že odpověď na tuto otázku lze hledat pouze případ od případu a s ohledem na každou z činností tvořících spornou praxi. |
38. |
Pokud, jak zdůrazňuje německá vláda, pouhé shromažďování citlivých osobních údajů souvisejících se zobrazováním internetových stránek nebo aplikace není samo o sobě nutně zpracováním citlivých osobních údajů ve smyslu tohoto ustanovení ( 44 ), spojení těchto údajů s facebookovým účtem dotyčného uživatele nebo jejich použití jsou chováním, které by naopak mohlo snadno představovat takové zpracování. Rozhodujícím prvkem pro účely uplatnění čl. 9 odst. 1 GDPR je dle mého názoru možnost, že zpracovávané údaje umožňují profilování uživatele podle kategorií, které vyplývají z výčtu citlivých osobních údajů prováděného tímto ustanovením ( 45 ). |
39. |
V této souvislosti, aby bylo možné určit, zda zpracování údajů spadá do oblasti působnosti tohoto ustanovení, by mohlo být užitečné rozlišovat tam, kde je to vhodné, na jedné straně zpracování údajů, které lze prima facie zařadit do kategorie citlivých osobních údajů a jež samy o sobě umožňují profilování subjektu údajů a na druhé straně zpracování údajů, které samy o sobě nejsou citlivé, ale vyžadují následné přeskupení za účelem vyvození věrohodných závěrů pro profilování subjektu údajů. |
40. |
Je však třeba upřesnit, že existence kategorizace ve smyslu tohoto ustanovení je nezávislá na otázce, zda je tato kategorizace pravdivá nebo správná ( 46 ). Důležitá je možnost, že taková kategorizace představuje významné riziko pro základní svobody a základní práva subjektu údajů, jak je uvedeno v bodě 51 odůvodnění GDPR, což je možnost nezávislá na její pravdivosti. |
41. |
Pokud jde konečně o žádost předkládajícího soudu, kterou se snaží zjistit, zda je účel užívání relevantní pro účely dotčeného posouzení ( 47 ), domnívám se, na rozdíl od toho, co tvrdí stěžovatelka v původním řízení, že není v zásadě nezbytné, aby správce tyto údaje zpracovával, „vědomě a s úmyslem přímo z nich odvodit zvláštní kategorie informací“. Cílem předmětného ustanovení je totiž v podstatě objektivním způsobem předcházet významným rizikům pro základní svobody a základní práva subjektů údajů, která jsou způsobena zpracováním citlivých osobních údajů, nezávisle na jakémkoli subjektivním prvku, jako je záměr správce. |
42. |
Zadruhé, pokud jde o druhou otázku písm. b), připomínám, že podle čl. 9 odst. 2 písm. e) GDPR se zákaz zpracování citlivých osobních údajů nepoužije, pokud se zpracování týká osobních údajů zjevně zveřejněných subjektem údajů. Navíc odkaz ve znění tohoto ustanovení na příslovce „zjevně“ a skutečnost, že toto ustanovení představuje výjimku ze zásady zákazu zpracování citlivých osobních údajů ( 48 ), ukládá zvláště striktní použití této výjimky z důvodu značných rizik ohrožujících základní práva a svobody subjektů údajů ( 49 ). Aby se tato výjimka mohla použít, musí si být uživatel dle mého názoru plně vědom toho, že explicitním aktem ( 50 ) zveřejňuje osobní údaje ( 51 ). |
43. |
V projednávané věci se mi zdá, že chování spočívající v zobrazování internetových stránek a aplikací, vkládání údajů do těchto stránek a aplikací a v aktivaci v nich integrovaných tlačítek nelze v zásadě srovnávat s chováním, kterým dochází ke zjevnému zveřejňování citlivých osobních údajů uživatele ve smyslu čl. 9 odst. 2 písm. e) GDPR. |
44. |
Konkrétně připomínám, že zobrazení internetových stránek a aplikací v zásadě zpřístupňuje zobrazované údaje pouze správci příslušných internetových stránek nebo aplikace a třetím stranám, kterým tyto informace předává, jako je stěžovatelka v původním řízení ( 52 ). Obdobně, pokud by subjekt údajů vložením údajů na internetové stránky a do aplikací mohl přímo a dobrovolně poskytnout informace o určitých citlivých osobních údajích, upozorňuji rovněž, že tyto informace jsou přístupné pouze správci příslušných internetových stránek nebo aplikace a třetím stranám, kterým tyto informace předá. Vylučuji proto, že by takové chování mohlo svědčit o touze zpřístupnit tato data celému společenství ( 53 ). Dále, pokud je zřejmé, že aktivací tlačítek začleněných do internetových stránek nebo aplikací ( 54 ) subjekt údajů jasně vyjadřuje vůli sdílet určité informace s veřejností mimo dotyčné internetové stránky nebo aplikaci, jsem toho názoru, stejně jako zdůrazňuje Bundeskartellamt, že tímto chováním si subjekt údajů uvědomuje sdílení informací s určitým okruhem osob, často definovaným samotným uživatelem ( 55 ), a nikoli s celým společenstvím ( 56 ). |
45. |
Pokud jde konečně o relevanci případného souhlasu uděleného uživatelem ve smyslu čl. 5 odst. 3 směrnice 2002/58, aby osobní údaje mohly být shromažďovány prostřednictvím identifikátorů (cookies) nebo podobných technologií zmíněných předkládajícím soudem, domnívám se, že tento souhlas s ohledem na svůj konkrétní cíl nemůže sám o sobě odůvodnit zpracování citlivých osobních údajů shromážděných těmito prostředky ( 57 ). Uvedený souhlas, nezbytný pro instalaci technického prostředku pro zaznamenávání určitých činností uživatele ( 58 ), se totiž netýká zpracování citlivých osobních údajů a nelze jej přirovnat k úmyslu zjevně zveřejnit tyto údaje ve smyslu čl. 9 odst. 2 písm. e) GDPR ( 59 ). |
46. |
Závěrem navrhuji odpovědět na druhou otázku tak, že na jedné straně je třeba čl. 9 odst. 1 GDPR vykládat v tom smyslu, že zákaz zpracování citlivých osobních údajů může zahrnovat zpracování údajů prováděné provozovatelem online sociální sítě spočívající ve shromažďování údajů od uživatele, když si zobrazuje jiné internetové stránky nebo aplikace nebo do nich tyto údaje vkládá, v propojení těchto údajů s účtem uživatele sociální sítě a v jejich použití, pokud zpracovávané informace, individuálně posuzované či agregované, umožňují profilování uživatele podle kategorií, které vyplynou z výčtu citlivých osobních údajů tímto ustanovením, a že na druhé straně čl. 9 odst. 2 písm. e) GDPR musí být vykládán v tom smyslu, že uživatel zjevně nezveřejňuje údaje pouze proto, že byly odhaleny při zobrazení internetových stránek a aplikací nebo byly vloženy do těchto internetových stránek či do aplikací nebo vyplývají z aktivace v nich integrovaných tlačítek. |
Ke třetí až páté předběžné otázce
47. |
Podstatou třetí až páté předběžné otázky předkládajícího soudu je, zda čl. 6 odst. 1 písm. b), c), d), e) a f) GDPR musí být vykládán v tom smyslu, že sporná praxe ( 60 ) spadá do oblasti působnosti některého z odůvodnění stanovených těmito ustanoveními, konkrétně:
|
48. |
Úvodem, bez ohledu na některé otázky týkající se přípustnosti čtvrté a páté předběžné otázky ( 68 ), navrhuji odpovědět na třetí až pátou otázku společně, pokud údaje, které uvedu níže, zejména pokud jde o třetí předběžnou otázku, mohou být rovněž užitečné pro předkládající soud při použití ustanovení, která jsou předmětem čtvrté a páté předběžné otázky. |
49. |
V první řadě upozorňuji, že v souladu s článkem 8 Listiny základních práv Evropské unie (dále jen „Listina“) musí být osobní údaje zpracovány korektně, k přesně stanoveným účelům a na legitimním základě stanoveném zákonem. V tomto ohledu čl. 6 odst. 1 GDPR objasňuje, že zpracování takových údajů je zákonné pouze tehdy, je-li splněna jedna ze šesti podmínek uvedených v tomto ustanovení ( 69 ). |
50. |
V projednávané věci se především domnívám, že třetí až pátá předběžná otázka vyžaduje podrobnou analýzu, případ od případu, různých ustanovení podmínek používání služby Facebook v souvislosti se spornou praxí, protože není možné určit, zda s ohledem na tuto praxi může „společnost jako [Meta Platforms]“ v celém rozsahu využít veškerá (nebo některá) odůvodnění uvedená v čl. 6 odst. 1, GDPR, i když nelze vyloučit, že uvedená praxe nebo některé její činnosti mohou v určitých případech spadat do působnosti tohoto článku ( 70 ). |
51. |
Dále, zpracování předpokládané citovanými ustanoveními se v této věci provádí na základě všeobecných podmínek smlouvy uložených správcem, bez souhlasu subjektu údajů ( 71 ), nebo dokonce proti jeho vůli, což, dle mého názoru, volá po striktním výkladu předmětných odůvodnění, zejména proto, aby nedošlo k obcházení podmínky souhlasu ( 72 ). |
52. |
Nakonec připomínám, že v souladu s čl. 5 odst. 2 GDPR nese důkazní břemeno, že osobní údaje jsou zpracovávány v souladu se standardem tohoto nařízení, správce a že v souladu s čl. 13 odst. 1 písm. c) uvedeného nařízení je odpovědností správce osobních údajů specifikovat účely zpracování, pro které jsou údaje určeny, a právní základ pro zpracování. |
Ke třetí předběžné otázce
53. |
Zaprvé podle čl. 6 odst. 1 písm. b) GDPR je zpracování osobních údajů zákonné, pokud je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů ( 73 ). |
54. |
V tomto ohledu připomínám, že pojem „nezbytnost“ není v unijním právu definován, nicméně podle judikatury představuje autonomní pojem unijního práva ( 74 ). K tomu, aby bylo zpracování nezbytné pro plnění smlouvy, nestačí, že je prováděno u příležitosti plnění smlouvy, že je uvedeno ve smlouvě ( 75 ) nebo dokonce, že je pouze užitečné pro plnění smlouvy ( 76 ). Podle judikatury Soudního dvora musí být zpracování objektivně nezbytné pro plnění smlouvy v tom smyslu, že nesmí existovat jiná realistická a méně rušivá řešení ( 77 ), a to i s přihlédnutím k přiměřeným očekáváním subjektu údajů ( 78 ). To zahrnuje také skutečnost, že pokud se smlouva skládá z několika odlišných služeb nebo prvků téže služby, které lze provádět nezávisle na sobě, měla by být použitelnost čl. 6 odst. 1 písm. b) GDPR posuzována v souvislosti s každou z těchto služeb samostatně ( 79 ). |
55. |
V rámci tohoto odůvodnění předkládající soud zmiňuje personalizaci obsahu a jednotné a plynulé používání vlastních produktů (nebo spíše služeb) patřících koncernu. |
56. |
Pokud jde o personalizaci obsahu, zdá se mi, že pokud taková činnost může být do určité míry v zájmu uživatele v tom smyslu, že umožňuje prezentovat, zejména v „news feed“, obsah, který podle automatizovaného vyhodnocení odpovídá zájmům uživatele, není zřejmé, že je pro poskytování služeb dotčené sociální sítě rovněž nezbytný, a to tak, že zpracování osobních údajů pro tyto účely nevyžaduje souhlas daného uživatele ( 80 ). Pro účely tohoto přezkumu je rovněž třeba vzít v úvahu, že sporná praxe se netýká zpracování údajů týkajících se chování uživatele na internetových stránkách nebo v aplikaci Facebook, ale údajů pocházejících z vnějších zdrojů, které jsou tedy potenciálně neomezené. Kladu si tedy otázku, do jaké míry by toto zacházení mohlo odpovídat očekáváním průměrného uživatele a obecněji, jaký je „stupeň personalizace“, jež může tento průměrný uživatel očekávat od služby, ve které se registruje ( 81 ). |
57. |
Pokud jde o jednotné a plynulé využívání služeb patřících koncernu, podotýkám, že propojení mezi různými službami nabízenými stěžovatelkou v původním řízení, například mezi Facebookem a Instagramem, může být pro uživatele jistě užitečné, nebo někdy dokonce žádoucí. Pochybuji však, že zpracování osobních údajů z jiných služeb patřících koncernu (zejména Instagramu) je pro poskytování služeb Facebooku nezbytné ( 82 ). |
58. |
Zadruhé podle čl. 6 odst. 1 písm. f) GDPR je zpracování osobních údajů zákonné, pokud je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě. |
59. |
Podle judikatury Soudního dvora předmětné ustanovení stanoví tři kumulativní podmínky pro to, aby bylo zpracování osobních údajů zákonné, a to zaprvé sledování oprávněného zájmu správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, zadruhé nezbytnost zpracování osobních údajů pro uskutečnění sledovaných oprávněných zájmů a zatřetí podmínku, že nemají přednost základní práva a svobody osoby, na kterou se vztahuje ochrana údajů ( 83 ). |
60. |
Pokud jde především o sledování oprávněného zájmu, připomínám, že GDPR a judikatura uznávají širokou škálu zájmů považovaných za oprávněné ( 84 ), přičemž upřesňují, že v souladu s čl. 13 odst. 1 písm. d) GDPR je na správci, aby označil oprávněné zájmy sledované v rámci čl. 6 odst. 1 písm. f) GDPR ( 85 ). |
61. |
Co se týče podmínky nezbytnosti zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu, výjimky ze zásady ochrany osobních údajů a její omezení musí být činěny v mezích toho, co je naprosto nezbytné ( 86 ). Proto je třeba, aby existovala úzká vazba mezi zpracováním a sledovaným zájmem, pokud neexistují alternativy, které by více respektovaly ochranu osobních údajů, protože nestačí, že zpracování závisí na prosté užitečnosti pro správce údajů. |
62. |
Pokud jde konečně o vyvažování zájmů správce údajů na jedné straně a zájmů nebo základních svobod a základních práv subjektu údajů na straně druhé, podle judikatury Soudního dvora, je věcí předkládajícího soudu, aby zvážil dotčené zájmy ( 87 ). Kromě toho, jak je uvedeno v bodě 47 odůvodnění GDPR, je v rámci tohoto vyvažování nezbytné vzít v úvahu přiměřená očekávání subjektů údajů na základě jejich vztahu se správcem a určit, zda subjekt údajů může rozumně očekávat, v okamžiku a v rámci shromažďování osobních údajů, že budou zpracovávány pro daný účel. |
63. |
V rámci tohoto odůvodnění předkládající soud zmiňuje personalizaci reklamy, zabezpečení sítě a zlepšování produktu. |
64. |
Pokud jde především o personalizaci reklamy, z bodu 47 odůvodnění GDPR vyplývá, že zpracování osobních údajů pro účely přímého marketingu lze považovat za zpracování prováděné z důvodu oprávněného zájmu správce. S ohledem na nezbytnost zpracování je však třeba uvést, že předmětná data pocházejí ze zdrojů mimo Facebook, a vyvstává tedy otázka, jaká „míra personalizace“ reklamy je v tomto ohledu objektivně nezbytná. Pokud jde o vyvažování dotčených zájmů, je podle mého názoru nutné vzít v úvahu povahu příslušného oprávněného zájmu (v tomto případě čistě ekonomický zájem), jakož i dopad zpracování na uživatele, včetně jeho přiměřených očekávání, a případná ochranná opatření zavedená správcem ( 88 ). |
65. |
Podobné úvahy lze dále učinit, pokud jde o bezpečnost sítě. Pokud takové odůvodnění může představovat oprávněný zájem správce ( 89 ), nelze tak zjevně vyvodit závěr, že zpracování je v tomto případě nezbytné, a to i s přihlédnutím k tomu, že dotčené údaje pocházejí ze zdrojů mimo Facebook ( 90 ). V každém případě připomínám, že je odpovědností správce údajů specifikovat bezpečnostní účely, na kterých je jakékoli zpracování založeno. |
66. |
Pokud jde konečně o vylepšení produktu, jestliže jsou vyloučena vylepšení související s bezpečností, která spadají do výše zkoumaného konkrétního odůvodnění, zdá se mi, že takové odůvodnění by mělo být spíše v zájmu uživatele než v zájmu správce údajů. Z tohoto pohledu je obtížné pochopit, do jaké míry by to mohlo představovat oprávněný zájem odpovědné osoby a uniknout souhlasu uživatele. Pokud jde o podmínku nezbytnosti a vyvážení předmětných práv a zájmů, odkazuji na předchozí úvahy. |
Ke čtvrté a páté předběžné otázce
67. |
Čtvrtá předběžná otázka, která v podstatě představuje rozšíření druhé části třetí předběžné otázky, má za cíl zjistit, zda opakování určitých vyjmenovaných situací znamená existenci oprávněného zájmu ve smyslu čl. 6 odst. 1 písm. f) GDPR, zatímco ve své páté předběžné otázce se předkládající soud táže, zda potřeba odpovědět na právně závaznou žádost o poskytnutí určitých údajů, potírat škodlivé chování a zvyšovat bezpečnost nebo výzkum prováděný pro blaho společnosti a za účelem podpory bezpečnosti, integrity a zabezpečení představují odůvodnění použitelná pro spornou praxi ( 91 ). |
68. |
Bez ohledu na přípustnost těchto otázek ( 92 ) se obecně domnívám, že pokud jde o čtvrtou předběžnou otázku, nelze vyloučit, že některá ustanovení charakterizující spornou praxi mohou být odůvodněna oprávněnými zájmy za okolností, na které odkazuje předkládající soud ( 93 ), a pokud jde o pátou předběžnou otázku, že v určitých situacích může být sporná praxe odůvodněna na základě uvedených ustanovení. |
69. |
Z předkládacího rozhodnutí však nevyplývá, zda a v jakém rozsahu společnost Meta Platforms Ireland označila pro každý účel zpracování a typ zpracovávaných údajů konkrétně sledované oprávněné zájmy nebo jiná odůvodnění, která mohou být v tomto případě relevantní ( 94 ). Je tedy na předkládajícím soudu, aby s ohledem na výše uvedené skutečnosti přezkoumal, do jaké míry je za okolností uvedených tímto soudem sporná praxe odůvodněna existencí oprávněných zájmů společnosti Meta Platforms Ireland na zpracování údajů ve smyslu čl. 6 odst. 1 písm. f) GDPR nebo jinou z podmínek uvedených v čl. 6 odst. 1 písm. c), d) a e) tohoto nařízení. |
K odpovědi na třetí až pátou předběžnou otázku
70. |
Závěrem navrhuji odpovědět na třetí až pátou předběžnou otázku, že čl. 6 odst. 1 písm. b), c), d), e) a f) GDPR musí být vykládán v tom smyslu, že sporná praxe, resp. některé z činností, z nichž se skládá, mohou spadat pod výjimky stanovené těmito ustanoveními za předpokladu, že každý zkoumaný způsob zpracování údajů splňuje podmínky stanovené v odůvodnění výslovně předloženém správcem, a že tedy:
|
K šesté předběžné otázce
71. |
Podstatou šesté předběžné otázky předkládajícího soudu je, zda čl. 6 odst. 1 písm. a) a čl. 9 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že společnosti s dominantním postavením na vnitrostátním trhu online sociálních sítí pro soukromé uživatele může být poskytnut platný a svobodný souhlas ve smyslu čl. 4 bodu 11 tohoto nařízení. |
72. |
Úvodem připomínám, že čl. 6 odst. 1 písm. a) a čl. 9 odst. 2 písm. a) GDPR stanoví povinnost souhlasu subjektu údajů, respektive pokud jde o zpracování osobních údajů obecně a zpracování citlivých osobních údajů. Kromě toho se podle čl. 4 bodu 11 GDPR pro účely tohoto nařízení „souhlasem“ subjektu údajů rozumí jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů ( 95 ). |
73. |
Pokud jde konkrétněji o podmínku „svobody“ souhlasu, jež je jediná, o kterou se v projednávané věci jedná, podotýkám, že v souladu s bodem 42 odůvodnění GDPR by souhlas neměl být považován za poskytnutý svobodně, pokud subjekt údajů nemá skutečnou svobodu volby ( 96 ) nebo nemůže souhlas odmítnout nebo odvolat, aniž by tím utrpěl újmu ( 97 ). Kromě toho, jak je stanoveno v čl. 7 odst. 1 GDPR (a připomenuto v bodě 42 odůvodnění tohoto nařízení), pokud je zpracování založeno na souhlasu subjektu údajů, měl by být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů. |
74. |
Pokud jde o projednávanou věc, nejprve připomínám, že, jak zdůrazňuje první věta bodu 43 odůvodnění GDPR, souhlas nepředstavuje platný právní důvod pro zpracování osobních údajů, pokud existuje „jasná nerovnováha“ mezi subjektem údajů a správcem ( 98 ), dále, že podle podmínek čl. 7 odst. 4 GDPR je při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné ( 99 ), a konečně, že v souladu s druhou větou bodu 43 odůvodnění GDPR se rovněž předpokládá, že souhlas není svobodný, není-li možné vyjádřit samostatný souhlas s jednotlivými operacemi zpracování osobních údajů, i když je to v dané věci vhodné ( 100 ). |
75. |
V projednávané věci se domnívám, že při posuzování existence svobodného souhlasu ze strany uživatele této sítě hraje úlohu případné dominantní postavení hlavní osoby odpovědné za zpracování osobních údajů provozující sociální síť na trhu. Existence situace tržní síly osoby odpovědné za zpracování osobních údajů totiž pravděpodobně vytvoří jasnou nerovnováhu silových vztahů ve smyslu uvedeném v bodě 74 tohoto stanoviska ( 101 ). Na jedné straně by však mělo být upřesněno, že aby taková situace tržní síly byla relevantní z hlediska uplatnění GDPR, nemusí se nutně ztotožňovat s dominantním postavením ve smyslu článku 102 SFEU ( 102 ), a na druhé straně, že tato okolnost sama o sobě v zásadě nemůže zbavit souhlas veškeré platnosti ( 103 ). |
76. |
Platnost souhlasu tedy bude muset být přezkoumána případ od případu s ohledem na další faktory uvedené v bodech 73 a 74 tohoto stanoviska a s přihlédnutím ke všem okolnostem případu a skutečnosti, že povinnost prokázat, že subjekt údajů udělil souhlas se zpracováním osobních údajů, které se ho týkají, spočívá na správci. |
77. |
Závěrem navrhuji odpovědět na šestou otázku, že čl. 6 odst. 1 písm. a) a čl. 9 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že pouhá okolnost, že podnik provozující sociální síť má dominantní postavení na vnitrostátním trhu s online sociálními sítěmi pro soukromé uživatele, nemůže sama o sobě zbavit souhlas uživatele této sítě se zpracováním jeho osobních údajů platnosti ve smyslu čl. 4 bodu 11 GDPR. Taková okolnost nicméně hraje úlohu při posuzování svobody souhlasu ve smyslu tohoto ustanovení, kterou musí prokázat správce, přičemž je nutno zohlednit existenci jasné nerovnováhy silových vztahů mezi subjektem údajů a správcem údajů, případnou povinnost udělit souhlas se zpracováním jiných osobních údajů, než těch, které jsou nezbytně nutné pro poskytování předmětných služeb, potřebu konkrétního souhlasu pro každý účel zpracování a potřebu zabránit tomu, aby odvolání souhlasu způsobilo újmu uživateli, který svůj souhlas odvolá. |
Závěr
78. |
S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr na otázky položené Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu, Německo) odpověděl takto:
|
( 1 ) – Původní jazyk: francouzština.
( 2 ) – Tedy Meta Platforms Inc., dříve Facebook Inc., Meta Platforms Ireland Limited, dříve Facebook Ireland Ltd., a Facebook Deutschland GmbH (dále jen „Meta Platforms“ nebo „stěžovatelka v původním řízení“).
( 3 ) – Rozhodnutí B6-22/16 ze dne 6. února 2019 (dále jen „sporné rozhodnutí“).
( 4 ) – Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a oprava Úř. věst. 2018, L 127, s. 2, dále jen „GDPR“).
( 5 ) – Ve znění účinném do 18. ledna 2021.
( 6 ) – Za tímto účelem shromažďuje společnost Meta Platforms kromě údajů, které uživatelé poskytují přímo při registraci do příslušných online služeb, další údaje týkající se uživatelů a zařízení, v rámci sociální sítě i mimo ni, a online služeb poskytovaných skupinou, a propojuje tyto údaje s různými příslušnými uživatelskými účty. Uvedené údaje celkově umožňují vyvodit podrobné závěry o preferencích a zájmech uživatelů.
( 7 ) – Pokud jde konkrétně o zpracování osobních údajů, podmínky služby odkazují na zásady používání údajů a identifikátorů (souborů cookies) stanovené společností Meta Platforms. V rámci těchto identifikátorů shromažďuje společnost Meta Platforms údaje o uživatelích, jejich zařízeních a o aktivitách uživatelů na sociální síti i mimo ni a přiřazuje je k jejich účtům na Facebooku. V případě aktivit uživatelů uskutečňovaných mimo sociální síť se jedná zaprvé o zobrazování internetových stránek a aplikací třetích stran, které jsou propojeny s Facebookem prostřednictvím programovacích rozhraní („Facebook Business Tools“), a zadruhé o využívání dalších služeb, které patří koncernu Meta Platforms, mimo jiné Instagram a WhatsApp.
( 8 ) – Podle Bundeskartellamt toto zpracovávání jako vyjádření tržní síly porušilo ustanovení GDPR a nebylo odůvodněné podle čl. 6 odst. 1 a čl. 9 odst. 2 tohoto nařízení.
( 9 ) – Ostatně společnost Meta Platforms zavedla dne 31. července 2019 z podnětu Evropské komise a vnitrostátních sdružení na ochranu spotřebitelů členských států nové podmínky používání služby výslovně uvádějící, že uživatel namísto placení za používání produktů Facebooku vyjadřuje souhlas se zobrazováním reklam. Kromě toho od 28. ledna 2020 nabízí společnost Meta Platforms celosvětově aktivitu mimo Facebook nazvanou „Off-Facebook-Activity“, která uživatelům Facebooku umožňuje získat přehled informací, jež Facebook získává o jejich aktivitách na jiných internetových stránkách a v jiných aplikacích, a na přání mohou tato data ohledně minulosti nebo budoucnosti odpojit od svého účtu.
( 10 ) – Zdá se mi, že formulaci „konstatuje, že […] porušují GDPR, […] a vydá rozhodnutí směřující k ukončení tohoto porušování“, která se objevuje v první otázce, je třeba vykládat v tomto smyslu.
( 11 ) – V každém případě, vzhledem k tomu, že GDPR stanoví úplnou harmonizaci právních předpisů o ochraně údajů, jejichž ústředním prvkem je harmonizovaný mechanismus provádění založený na zásadě „jediného kontaktního místa“ stanovené v článcích 51 až 67 uvedeného nařízení, zdá se mi zřejmé, že jiný orgán než dozorové orgány ve smyslu tohoto nařízení (např. orgán pro hospodářskou soutěž) není primárně příslušný zjišťovat porušení tohoto nařízení ani ukládat stanovené sankce.
( 12 ) – V každém případě, vzhledem ke skutečnosti, že orgán pro hospodářskou soutěž není v zásadě oprávněn konstatovat porušení tohoto nařízení ani ukládat stanovené sankce, domnívám se, že případné rozhodnutí orgánu pro hospodářskou soutěž v tomto smyslu nemůže zasahovat do pravomocí dozorových úřadů ve smyslu GDPR.
( 13 ) – Zdá se mi, že právě v tomto smyslu je vhodné vykládat formulaci „může […] například v rámci zvážení zájmů určit, zda jsou podmínky zpracování údajů tohoto podniku a jejich uplatňování v souladu s GDPR“, která se objevuje v sedmé předběžné otázce.
( 14 ) – Viz poznámka pod čarou 11 tohoto stanoviska.
( 15 ) – Nařízení Rady ze dne 16. prosince 2002 o provádění pravidel hospodářské soutěže stanovených v článcích [101 a 102 SFEU] (Úř. věst. 2003, L 1, s. 1).
( 16 ) – Například článek 19 GWB, o nějž se opírá sporné rozhodnutí.
( 17 ) – Viz například rozsudek ze dne 6. září 2017, Intel v. Komise (C‑413/14 P, EU:C:2017:632, bod 136 a citovaná judikatura). Soudní dvůr dále upřesnil, že působnost článku 102 SFEU je obecná a nemůže být omezena existencí regulatorního rámce přijatého unijním zákonodárcem, v tomto případě regulatorním rámcem pro elektronické komunikace (v tomto smyslu viz rozsudek ze dne 10. července 2014, Telefónica a Telefónica de España v. Komise, C‑295/12 P, EU:C:2014:2062, bod 128).
( 18 ) – Ve světle rozdílných cílů obou kategorií norem je totiž zřejmé, že jednání týkající se zpracování údajů může představovat porušení pravidel hospodářské soutěže, i když je v souladu s GDPR, a naopak protiprávní jednání ve smyslu GDPR nemusí nutně vést k závěru, že představuje porušení pravidel hospodářské soutěže. V tomto ohledu Soudní dvůr upřesnil, že soulad chování s konkrétními právními předpisy nevylučuje použitelnost článků 101 a 102 SFEU na stejné chování [viz zejména rozsudek ze dne 6. prosince 2012, AstraZeneca v. Komise (C‑457/10 P, EU:C:2012:770, bod 132), v němž Soudní dvůr rovněž připomněl, že zneužití dominantního postavení spočívá ve většině případů v jednání, které je jinak z hlediska jiných oblastí práva, než je právo hospodářské soutěže, legální]. Pokud by totiž pouze jednání, která objektivně omezují hospodářskou soutěž a jsou současně právně protiprávní, byla považována za zneužívající ve smyslu článku 102 SFEU, znamenalo by to, že by jednání pouze z důvodu své legality, i když potenciálně škodlivé pro hospodářskou soutěž, nemohlo být sankcionováno podle článku 102 SFEU, což by narušilo cíl tohoto ustanovení, který spočívá v zavedení režimu, jenž zajištuje, aby nebyla na vnitřním trhu narušena hospodářská soutěž (v tomto smyslu viz moje stanovisko ve věci Servizio Elettrico Nazionale a další, C‑377/20, EU:C:2021:998 bod 37). Podle judikatury Soudního dvora se totiž články 101 a 102 SFEU nepoužijí pouze tehdy, je-li podnikům protisoutěžní jednání uloženo vnitrostátními právními předpisy nebo tvoří-li tyto předpisy právní rámec, který sám o sobě vylučuje jakoukoliv možnost jejich soutěžního jednání. Články 101 a 102 SFEU se naopak mohou použít, ukáže-li se, že vnitrostátní právní předpisy zachovávají možnost hospodářské soutěže, jež mohou podniky samostatným jednáním vyloučit, omezit nebo narušit (v tomto smyslu viz rozsudek ze dne 14. října 2010, Deutsche Telekom v. Komise, C‑280/08 P, EU:C:2010:603, bod 80 a citovaná judikatura).
( 19 ) – Výklad, podle kterého by bylo zakázáno orgánům pro hospodářskou soutěž vykládat při výkonu svých pravomocí ustanovení GDPR, by totiž pravděpodobně zpochybnil účinné uplatňování unijního práva hospodářské soutěže.
( 20 ) – Ostatně incidenční povaha výkladu GDPR orgánem pro hospodářskou soutěž nebrání tomu, aby tento výklad podléhal soudnímu přezkumu před vnitrostátními soudy příslušnými v záležitostech hospodářské soutěže, které by mohly být v případě obtíží s výkladem připraveny na to, aby předložily Soudnímu dvoru žádost o rozhodnutí o předběžné otázce, jako v projednávané věci, pokud jde o druhou až šestou otázku.
( 21 ) – Výklad GDPR ze strany orgánu pro hospodářskou soutěž pouze za účelem uplatňování norem (a případně uložení sankcí) stanovených právem v oblasti hospodářské soutěže nemůže ve skutečnosti zbavit dozorové úřady jejich kompetencí a pravomocí v rámci tohoto nařízení. Kromě toho možnost incidenčního výkladu uvedeného nařízení orgánem pro hospodářskou soutěž nečiní žádné další potíže, pokud jde o jeho uplatňování, které je vyhrazeno dozorovým úřadům, ani pokud jde o ukládání nápravných opatření či sankcí, neboť opatření nebo sankce případně uložené orgánem pro hospodářskou soutěž jsou založeny na jiných pravidlech, cílech a oprávněných zájmech než ty, které jsou chráněny stejným nařízením [z tohoto důvodu ostatně, podle mého názoru, v takové situaci nespadá ukládání sankcí ze strany orgánu pro hospodářskou soutěž a dozorového úřadu ve smyslu GDPR pod zásadu ne bis in idem (viz analogicky rozsudek ze dne 22. března 2022, bpost, C‑117/20, EU:C:2022:202, body 42 až 50)].
( 22 ) – Riziko odlišného výkladu se může ostatně objevit v každé oblasti upravené předpisy, které orgán pro hospodářskou soutěž musí nebo může vzít v úvahu při posuzování zákonnosti určitého chování s ohledem na právo hospodářské soutěže.
( 23 ) – Kapitoly VI a VII GDPR zavádí zejména mechanismy „jediného kontaktního místa“ pro výměnu informací a pro vzájemnou pomoc mezi dozorovými úřady.
( 24 ) – Viz nařízení č. 1/2003 a směrnice Evropského parlamentu a Rady (EU) 2019/1 ze dne 11. prosince 2018 o posílení postavení orgánů pro hospodářskou soutěž v členských státech tak, aby mohly účinněji prosazovat pravidla, a o zajištění řádného fungování vnitřního trhu (Úř. věst. 2019, L 11, s. 3).
( 25 ) – Viz zejména v tomto smyslu rozsudky ze dne 14. listopadu 1989, Itálie v. Komise (14/88, EU:C:1989:421, bod 20), a ze dne 11. června 1991, Athanasopoulos a další (C‑251/89, EU:C:1991:242, bod 57).
( 26 ) – Mechanismus spolupráce mezi dozorovými úřady zavedený nařízením GDPR lze navíc sám o sobě považovat za lex specialis, který doplňuje a upřesňuje obecnou zásadu loajální spolupráce vyjádřenou v čl. 4 odst. 3 SEU (viz zejména, v právní nauce, Hijmans, H., „Article 51 Supervisory authority“, The EU General Data Protection Regulation (GDPR): A Commentary, Oxford, 2020, s. 869). Totéž platí pro další nástroje spolupráce, které existovaly již dříve než nástroj stanovený GDPR, jako je systém spolupráce mezi orgány pro hospodářskou soutěž (viz zejména kapitola IV nařízení č. 1/2003).
( 27 ) – V tomto smyslu viz stanovisko generální advokátky V. Trstenjak ve věci Gorostiaga Atxalandabaso v. Parlament (C‑308/07 P, EU:C:2008:498, bod 89).
( 28 ) – Viz zejména rozsudek ze dne 2. června 2022, Skeyes (C‑353/20, EU:C:2022:423, bod 52 a citovaná judikatura). Podle mého názoru budou moci údaje o krocích, které je třeba podniknout, vycházet případně ze systému spolupráce zavedeného nařízením GDPR, jakož i ze systému zavedeného v oblasti hospodářské soutěže, přičemž by bylo upřesněno, že v případě neexistence ustanovení ad hoc povinnost péče, kterou má orgán pro hospodářskou soutěž, nejde tak daleko, aby ji podřídila podrobným povinnostem, zejména povinnostem stanoveným v rámci postupu spolupráce a dozoru nad jednotností upraveného v kapitole VII GDPR (nelze například očekávat, že orgán pro hospodářskou soutěž zašle návrh rozhodnutí příslušnému dozorovému úřadu ve smyslu tohoto nařízení, aby získal jeho stanovisko).
( 29 ) – Viz zejména, obdobně pokud jde o odvětví, na něž se vztahují unijní právní předpisy ve farmaceutické oblasti, rozsudek ze dne 23. ledna 2018, F. Hoffmann-La Roche a další (C‑179/16, EU:C:2018:25, body 58 až 64).
( 30 ) – Jinak řečeno, toto rozhodnutí je samo součástí právního a faktického rámce, který je orgán pro hospodářskou soutěž povinen přezkoumat, přičemž si ponechává volnost vyvodit své závěry z hlediska uplatňování práva hospodářské soutěže (viz poznámka pod čarou 18 tohoto stanoviska).
( 31 ) – Vzhledem k úloze a funkcím vnitrostátních dozorových úřadů v systému spolupráce zavedeném GDPR se domnívám, že interakce s vnitrostátním dozorovým úřadem může sama o sobě stačit ke splnění povinností náležité péče a loajální spolupráce orgánu pro hospodářskou soutěž, zejména pokud tento orgán nemá možnost (s ohledem na postupy platného vnitrostátního práva) nebo prostředky (zejména jazykové) uspokojivě spolupracovat s vedoucím dozorovým úřadem jiného členského státu.
( 32 ) – Nebo případně, pokud je tento úřad v jiném členském státě, vnitrostátní dozorový úřad (viz poznámka pod čarou 31 tohoto stanoviska).
( 33 ) – Připomínám, že výklad některých ustanovení GDPR podaný orgánem pro hospodářskou soutěž při výkonu jeho pravomocí není na újmu výkladu a uplatňování těchto ustanovení příslušnými dozorovými úřady ve smyslu tohoto nařízení (viz poznámka pod čarou 21 tohoto stanoviska).
( 34 ) – Bundeskartellamt v tomto ohledu tvrdí, že se opíral o německé právo hospodářské soutěže, které mu umožňuje výměnu informací s vnitrostátními dozorovými úřady ve smyslu GDPR.
( 35 ) – Tím spíše, jak tvrdí Bundeskartellamt, pokud mu německý spolkový dozorový úřad a irský hlavní dozorový úřad potvrdily, že irský hlavní dozorový úřad nezahájil žádné řízení ohledně stejných praktik, které prověřoval Bundeskartellamt.
( 36 ) – Předkládající soud odkazuje zejména na zobrazování internetových stránek nebo aplikací uživatelem a vkládání údajů na tyto stránky nebo do těchto aplikací (jako jsou seznamovací služby pro gaye, stránky politických stran nebo stránky týkající se zdraví), které generují údaje chráněné dotčeným ustanovením.
( 37 ) – Dále jen „citlivé osobní údaje“. Jedná se o zpracování osobních údajů, které odhalují rasový nebo etnický původ, politické názory, náboženství nebo filozofické přesvědčení nebo členství v odborech, dále o zpracování genetických údajů, biometrických údajů pro účely jedinečné identifikace fyzické osoby, údajů o zdravotním stavu nebo údajů týkající se sexuálního života nebo sexuální orientace fyzické osoby.
( 38 ) – Mimochodem podotýkám, že Bundeskartellamt má pochybnosti o relevanci této otázky pro řešení sporu, a to z důvodu, že ve svém rozhodnutí zohlednil souhlas ve smyslu čl. 6 odst. 1 písm. a) GDPR a nikoli souhlas podle čl. 9 odst. 2 písm. a) GDPR.
( 39 ) – Předkládající soud v této souvislosti odkazuje na sociální „plugins“, jako jsou tlačítka „To se mi líbí“ nebo „Sdílet“, na „Facebook Login“ (tedy na možnost identifikace pomocí identifikátorů připojení propojených s účtem uživatele na Facebooku) a na „Account Kit“ (tj. možnost identifikovat se v aplikaci nebo na stránce, která nemusí být nutně spojena s Facebookem, pomocí telefonního čísla nebo e-mailové adresy, bez potřeby hesla).
( 40 ) – Povšiml jsem si také značného nesouladu mezi francouzskou verzí GDPR, která v první větě tohoto ustanovení odkazuje na zpracování osobních údajů, které „vypovídá“ o určité citlivé situaci, a německou verzí (jakož i, zejména, řeckou a italskou verzí), která odkazuje na zpracování osobních údajů, které „vypovídají“ o těchto situacích. Pokud se nemýlím, francouzská verze tohoto ustanovení je v rozporu s většinou ostatních jazykových verzí. Navíc se mi v souvislosti s uvedeným ustanovením zdá logičtější spojit sloveso „vypovídat“ s údaji, protože dále v tomto ustanovení jsou předmětem analýzy údaje, nikoli zpracování. To je patrné i z francouzského znění bodu odůvodnění 51 GDPR, který upřesňuje, že mezi citlivé osobní údaje „by měly patřit osobní údaje vypovídající o rasovém či etnickém původu“ (zvýraznění provedeno autorem stanoviska).
( 41 ) – Podle mého názoru by nebylo v souladu s duchem čl. 9 odst. 1 GDPR (a tohoto nařízení), který má chránit některé citlivé osobní údaje, rozlišovat např. na jedné straně mezi rasovým nebo etnickým původem, což by znamenalo zákaz zpracovávat nejen údaje, které to přímo naznačují, ale také údaje, jež o této situaci vypovídají, a na straně druhé genetické údaje, u nichž by se zákaz zpracování nevztahoval na údaje, které o této situaci vypovídají, s tím, že by nebylo vždy snadné rozlišit na jedné straně údaje, jež vypovídají o určitých situacích (např. rasový nebo etnický původ), a na druhé straně údaje týkající se jiných situací (např. zdraví). V tomto ohledu podotýkám, že zatímco čl. 9 odst. 1 GDPR se vztahuje zejména na údaje týkající se zdraví, čl. 4 odst. 15 tohoto nařízení definuje „údaje o zdravotním stavu“ jako „osobní údaje týkající se fyzického nebo duševního zdraví fyzické osoby, včetně údajů o poskytnutí zdravotních služeb, které vypovídají o jejím zdravotním stavu“ (zvýraznění provedeno autorem stanoviska). Stejně jak to vykládá německá vláda, může se stát, že tato nejednotnost ve znění dotčeného ustanovení představuje pouze nepříliš úspěšný pokus o rozlišení mezi čistými údaji s přímým informačním obsahem a „metadaty“, pro něž se odpovídající informační obsah vyskytuje pouze v konkrétní souvislosti, pomocí hodnocení nebo spojení v určitém kontextu.
( 42 ) – Jak tvrdí stěžovatelka v původním řízení, tyto dva aspekty jsou v zásadě odlišné. Pouhá skutečnost, že uživatel vstoupil na internetové stránky nebo na ně reagoval, sama o sobě nutně nevypovídá o jeho přesvědčení, zdraví, politických názorech atd., protože zájem o internet automaticky nevypovídá o přihlášení se k propagovaným myšlenkám nebo ke kategoriím představovaným těmito stránkami. To je zejména případ zobrazování stránek politické strany nebo stránek, jež představují určitou konkrétní politickou ideologii, zobrazování, která nemusí nutně znamenat sdílení této ideologie, ale může být prováděno ze zvědavosti, nebo dokonce i z důvodu kritického postoje k uvedené ideologii.
( 43 ) – Podle společnosti Meta Platforms skutečnost, že uživatel vstoupil na internetové stránky nebo na ně reagoval, sama o sobě nevypovídá nic o citlivých informacích, protože i kdyby byl zájem o internetové stránky zaznamenán nebo využit, nepředstavovalo by to zpracování citlivých osobních údajů. To by platilo pouze v případě, že by uživatelé byli kategorizováni prostřednictvím těchto údajů. Údaje, které jsou předmětem sporné praxe, by proto spadaly pod ochranu podle čl. 9 odst. 1 GDPR pouze tehdy, pokud by se týkaly jedné z kategorií v něm uvedených a byly zpracovávány subjektivně, se znalostí věci a se záměrem vyvodit z nich tyto kategorie informací. Podle výkladu Bundeskartellamt, který je podle mého názoru příliš rigidní, naproti tomu pouhá skutečnost, že subjekt údajů nahlíží na určité internetové stránky nebo používá určitou aplikaci, jejíž hlavní předmět spadá do oblastí uvedených v čl. 9 odst. 1 GDPR, již otevírá pole ochrany, kterou toto ustanovení poskytuje. Ochrana citlivých osobních údajů nezávisí na úmyslu správce tyto údaje použít, neboť práva subjektu údajů jsou dotčena již tím, že uvedené údaje jsou vyňaty ze sféry jeho vlivu.
( 44 ) – Jak uznal Evropský sbor pro ochranu osobních údajů (EDPB), pouhá skutečnost, že poskytovatel sociálních médií zpracovává velké objemy údajů, které by mohly být potenciálně použity k vyvození zvláštních kategorií údajů, automaticky neznamená, že zpracování spadá pod článek 9 GDPR [viz pokyny EDPB 8/2020 ze dne 13. dubna 2021 o zaměření na uživatele sociálních médií (dále jen „pokyny EDPB 8/2020“), bod 124].
( 45 ) – Takovým výkladem by se podle mého názoru předešlo situaci odsuzované stěžovatelkou v původním řízení, v níž by správce v podstatě standardně porušoval GDPR, jelikož by nemohl zabránit případnému příjmu informací (zejména automatizovanými prostředky), které mají nepřímou souvislost s kategoriemi citlivých údajů, aniž je dotčena povinnost správce údajů provést vhodná technická a organizační opatření, aby byla zaručena úroveň bezpečnosti přiměřená riziku, v souladu s článkem 32 GDPR.
( 46 ) – V tomto smyslu viz pokyny EDPB 8/2020, bod 125.
( 47 ) – Předkládající soud v tomto ohledu zmiňuje personalizaci sociální sítě a reklamy, zabezpečení sítě, zlepšování služeb, poskytování služeb měření a analýzy pro inzerenty, průzkum pro všeobecný užitek, reakce na právní požadavky, dodržování zákonných povinností, ochrana životně důležitých zájmů uživatelů a třetích osob, úkoly plněné ve veřejném zájmu.
( 48 ) – Viz obdobně rozsudek ze dne 21. prosince 2016, Tele2 Sverige a Watson a další (C‑203/15 a C‑698/15, EU:C:2016:970, bod 89 a citovaná judikatura) týkající se výkladu čl. 15 odst. 1 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 (Úř. věst. 2009, L 337, s. 11).
( 49 ) – Viz také oznámení 6/2014, s. 10 a 11, pracovní skupiny „Článek 29“, nezávislého poradního orgánu zřízeného podle článku 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15. s. 355) a po přijetí GDPR nahrazené EDPB.
( 50 ) – Tato podmínka se podle mého názoru velmi blíží souhlasu subjektu údajů.
( 51 ) – Připomínám, že v souladu s čl. 5 odst. 2 GDPR je to nepochybně správce, kdo musí doložit, že osobní údaje jsou zpracovávány v souladu se standardem GDPR.
( 52 ) – Na druhou stranu, zatímco pozorný uživatel si je pravděpodobně vědom toho, že přihlašovací údaje jsou přístupné provozovateli příslušných internetových stránek nebo aplikace, není podle mého názoru rovněž zřejmé, že si je také vědom toho, že tyto informace jsou také přístupné správci jeho účtu na Facebooku.
( 53 ) – Uživatel si je vědom nanejvýš svého „vztahu“ se správcem internetových stránek nebo aplikace a třetími stranami, kterým správce tyto informace předává, ale může se stát, že si tohoto vztahu není ani vědom, protože v závislosti na okolnostech by mohl mít pocit, že odhaluje informace, a to podle okolností anonymně, pouhému přístroji.
( 54 ) – Jedná se například o tlačítka „To se mi líbí“, „Sdílet“ atd. (viz poznámka pod čarou 39 tohoto stanoviska).
( 55 ) – Facebook například nabízí uživateli v rámci jeho preferencí několik možností sdílení informací, které jsou k dispozici na jeho facebookovém účtu.
( 56 ) – Nelze sice vyloučit, že v konkrétních případech chce uživatel těmito úkony skutečně předat informace, které se ho týkají, neurčitému počtu osob. Je například možné, že uživatel nakonfiguroval možnosti sdílení svého účtu na Facebooku tak, aby obsah přítomný na jeho profilu byl přístupný všem uživatelům této sociální sítě, čehož si je vědom. Ani za takových okolností však není samozřejmé, že uživatel chtěl takovým chováním nepochybně vyjádřit úmysl zjevně zveřejnit předmětné osobní údaje s ohledem na striktní povahu předmětné výjimky (viz bod 42 tohoto stanoviska).
( 57 ) – V tomto smyslu viz rozsudek ze dne 29. července 2019, Fashion ID (C‑40/17, EU:C:2019:629, body 87 až 89).
( 58 ) – Zejména „identifikátory (cookies)“ (viz bod 25 odůvodnění směrnice 2002/58).
( 59 ) – Tento souhlas jinak nelze dále ztotožňovat s výslovným souhlasem se zpracováním uvedených údajů ve smyslu čl. 9 odst. 2 písm. a) GDPR. Relevantní by nemohl být dále ani souhlas s profilováním ve smyslu čl. 22 odst. 1 písm. c) GDPR, jehož předmět je zjevně omezen na zpracování profilování.
( 60 ) – Pokud jde o pátou předběžnou otázku, předkládající soud zahrnul do sporné praxe – kromě shromažďování, propojení s účtem uživatele na Facebooku a používání údajů z jiných služeb patřících koncernu, jakož i z internetových stránek třetích stran a aplikací (viz bod 10 tohoto stanoviska) – také „využívání údajů, které již byly zákonně shromážděny a propojeny s účtem uživatele na Facebooku“.
( 61 ) – Článek 6 odst. 1 písm. b) GDPR.
( 62 ) – Článek 6 odst. 1 písm. f) GDPR.
( 63 ) – Článek 6 odst. 1 písm. f) GDPR.
( 64 ) – Konkrétně nezletilost uživatelů, poskytování měření, analýz a dalších komerčních služeb, poskytování marketingových sdělení uživatelům, výzkum a inovace pro sociální účely, jakož i sdílení informací s donucovacími orgány a reakce na právně závazné žádosti.
( 65 ) – Článek 6 odst. 1 písm. c) GDPR.
( 66 ) – Článek 6 odst. 1 písm. d) GDPR.
( 67 ) – Článek 6 odst. 1 písm. e) GDPR.
( 68 ) – Zdá se totiž, že čtvrtá předběžná otázka vyzývá Soudní dvůr, aby se vyjádřil spíše k použití než k výkladu čl. 6 odst. 1 písm. f) GDPR, a pátá předběžná otázka neupřesňuje důvody, pro něž má předkládající soud pochybnosti o výkladu čl. 6 odst. 1 písm. c), d) a e) uvedeného nařízení.
( 69 ) – Viz pokyny EDPB 2/2019 ze dne 8. října 2019 o zpracování osobních údajů podle čl. 6 odst. 1 písm. b) GDPR v rámci poskytování online služeb subjektům údajů (dále jen „pokyny EDPB 2/2019“), bod 1.
( 70 ) – V tomto ohledu, i když se účastníci původního řízení v podstatě shodují na předpokladu, že pro účely použití dotčených odůvodnění je nutná analýza případ od případu, jejich postoje se liší, pokud jde o praktické důsledky tohoto předpokladu. Bundeskartellamt zdůrazňuje, že je odpovědností správce zevrubně stanovit, které údaje budou konkrétně zpracovány v jakém scénáři použití, a argumentuje zejména tím, že žalobce v původním řízení se omezil na tvrzení, že veškeré zpracování údajů pocházejících ze zdrojů mimo Facebook by bylo nezbytné pro každý z účelů zpracování údajů, které jsou uvedeny v podmínkách používání služby. Společnost Meta Platforms Ireland se naproti tomu domnívá, že pokud by Bundeskartellamt neprozkoumal zvláštnosti každého zpracování, nemohl by vyloučit, že by sporná praxe mohla být založena na předmětných odůvodněních, a proto nemohla dojít k závěru, že by tato praxe byla neslučitelná s GDPR.
( 71 ) – Souhlas uživatele je stanoven v čl. 6 odst. 1 písm. a) GDPR.
( 72 ) – V tomto ohledu pokyny EDPB 2/2019 v bodě 16 upřesňují zejména, že zásady omezení účelu [čl. 5 odst. 1 písm. b) GDPR] a minimalizace údajů [čl. 5 odst. 1 písm. c) GDPR] jsou zvláště důležité u smluv o poskytování služeb online, které se obecně nesjednávají individuálně, a to kvůli zvýšenému riziku, že se správci budou snažit zahrnout podmínky pro maximalizaci sběru a možného použití údajů, aniž by tyto účely dostatečně specifikovali nebo stanovili povinnosti minimalizace údajů.
( 73 ) – Podle pokynů EDPB 2/2019, bod 2, toto ustanovení posiluje svobodu podnikání, která je zaručena v článku 16 Listiny, a odráží skutečnost, že v některých případech nelze smluvní závazky vůči subjektu údajů splnit, aniž by tento subjekt údajů poskytl určité osobní údaje. Upřesňuji, že druhý případ upravený tímto ustanovením, týkající se potřeby zpracování pro provedení předsmluvních opatření přijatých na žádost subjektu údajů, není v tomto případě relevantní. Totéž platí pro otázku existence platné smlouvy s ohledem jak na platné smluvní právo, tak na další právní požadavky, včetně těch, které se týkají smluv uzavíraných se spotřebiteli [viz zejména směrnice 93/13/EHS ze dne 5. dubna 1993 o nepřiměřených podmínkách ve spotřebitelských smlouvách (Úř. věst. 1993, L 95, s. 29; Zvl. vyd. 15/02, s. 288)], která není předmětem žádosti o rozhodnutí o předběžné otázce.
( 74 ) – Viz, pokud jde o normu odpovídající čl. 6 odst. 1 písm. b) GDPR uvedenou v čl. 7 písm. e) směrnice 95/46, rozsudek ze dne 16. prosince 2008, Huber (C‑524/06, EU:C:2008:724, bod 52).
( 75 ) – Ostatně, pokud pouhá zmínka nebo odkaz na zpracování osobních údajů ve smlouvě nepostačuje k tomu, aby dané zpracování spadalo do působnosti čl. 6 odst. 1 písm. b) GDPR, může být zpracování objektivně nezbytné, i když to není výslovně uvedeno ve smlouvě, aniž jsou dotčeny povinnosti správce, pokud jde o transparentnost (viz pokyny EDPB 2/2019, bod 27).
( 76 ) – Viz pokyny EDPB 2/2019, bod 25.
( 77 ) – V tomto smyslu viz rozsudek ze dne 9. listopadu 2010, Volker und Markus Schecke a Eifert (C‑92/09 a C‑93/09, EU:C:2010:662, bod 86), jakož i pokyny EDPB 2/2019 bod 25. V tomto ohledu tyto pokyny v bodech 27 až 32 odkazují zejména na to, že zpracování je objektivně nezbytné pro účel, který je nedílnou součástí poskytování této smluvní služby subjektu údajů, přičemž správce musí být schopen prokázat, v čem nelze účinně plnit hlavní účel konkrétní smlouvy uzavřené se subjektem údajů bez konkrétního zpracování dotčených osobních údajů. V bodě 33 tyto pokyny poskytují v tomto ohledu vodítko.
( 78 ) – Viz pokyny EDPB 2/2019 bod 32.
( 79 ) – Viz pokyny EDPB 2/2019 bod 37.
( 80 ) – V tomto ohledu rakouská vláda relevantním způsobem uvádí, že dříve stěžovatelka v původním řízení umožňovala uživatelům Facebooku vybrat si mezi chronologickou prezentací nebo personalizovanou prezentací obsahu news feed, což prokazuje, že je možný alternativní způsob.
( 81 ) – S výhradou posouzení předkládajícím soudem se nedomnívám, že shromažďování a používání osobních údajů mimo Facebook může být nezbytné pro poskytování služeb nabízených v rámci profilu na Facebooku, takže původně udělený souhlas s přístupem na sociální síť (tedy otevření facebookového profilu) může platně pokrýt zpracování osobních údajů uživatele mimo Facebook. Za takových okolností by použití dotyčných služeb skutečně podléhalo souhlasu, který není nezbytný pro plnění smlouvy, a v souladu s čl. 7 odst. 4 GDPR si musí předkládající soud velmi dobře uvědomovat tuto okolnost (která v souladu s bodem 43 odůvodnění GDPR představuje presumpci neplatnosti souhlasu, kterou musí správce vyvrátit ve smyslu čl. 7 odst. 1 GDPR). Dále by takový souhlas podle mého názoru neodpovídal pravidlu, které ukládá samostatný souhlas s ohledem na různé operace při zpracování osobních údajů (viz třetí část bodu 74 tohoto stanoviska), neboť nic nespojuje původní souhlas uživatele s otevřením účtu na Facebooku s případným souhlasem uživatele se zpracováním osobních údajů mimo Facebook. Ostatně, i v případě možného pozdějšího souhlasu, uděleného speciálně pro použití údajů mimo Facebook, je důležité prověřit, zda správce údajů nabízí volbu rovnocenné služby, která nezahrnuje souhlas se zpracováním osobních údajů pro doplňkové účely [viz pokyny EDPB 5/2020 ze dne 4. května 2020 o souhlasu ve smyslu nařízení (EU) 2016/679 (dále jen „pokyny EDPB 5/2020“), bod 37, které rovněž v bodě 38 upřesňují, že správce nemůže odkazovat na rovnocennou službu poskytovanou jiným operátorem].
( 82 ) – Jak zdůrazňuje rakouská vláda, v tomto ohledu se mi zdá rozhodující uvést, že různé produkty patřící koncernu lze používat nezávisle na sobě a že využívání každé služby je založeno na odlišné smlouvě o užívání. Navíc, jak poznamenává Bundeskartellamt, spíše než aby bylo jednotné a plynulé využívání těchto služeb považováno za nezbytné pro fungování služeb patřících koncernu, mělo by být považováno za zájmy uživatele, takže by se v zásadě zdálo vhodnější, než volba druhé možnosti.
( 83 ) – Viz obdobně rozsudek ze dne 4. května 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, bod 28), týkající se normy odpovídající čl. 6 odst. 1 písm. f) GDPR uvedené v čl. 7 písm. f) směrnice 95/46.
( 84 ) – Jak je zdůrazněno ve stanovisku generálního advokáta M. Bobka ve věci Fashion ID (C‑40/17, EU:C:2018:1039, bod 122), pojem „oprávněný zájem“ v rámci směrnice 95/46 se zdá být poměrně pružný a otevřený. Jak totiž tvrdí stěžovatelka v původním řízení, Soudní dvůr uznal některé zájmy za oprávněné [viz zejména rozsudek ze dne 13. května 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 81), ze dne 19. října 2016, Breyer (C‑582/14, EU:C:2016:779, bod 55), ze dne 4. května 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, bod 29), ze dne 24. září 2019, GC a další (Odstranění odkazů na citlivé údaje) (C‑136/17, EU:C:2019:773, bod 53), ze dne 11. prosince 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, bod 59) a ze dne 17. června 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, body 108 a 109)]. Stejný závěr lze podle mého názoru vyvodit z GDPR, jehož bod 47 odůvodnění uvádí zejména, pro ilustraci, situaci, kdy je subjekt údajů zákazníkem správce nebo je v jeho službách a zpracování osobních údajů pro účely prevence podvodů nebo vyhledávání, a z nichž bod 49 odůvodnění zmiňuje bezpečnost sítě a informací, jakož i nabízených služeb.
( 85 ) – To podle mého názoru zahrnuje požadavek na upřesnění, která operace při zpracování je založena na kterém oprávněném zájmu.
( 86 ) – Viz rozsudek ze dne 4. května 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, bod 30) a rozsudek ze dne 17. června 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, bod 110).
( 87 ) – V tomto smyslu viz rozsudek ze dne 4. května 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, bod 31) a rozsudek ze dne 17. června 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, bod 111). Soudní dvůr v tomto ohledu připomněl, že čl. 7 písm. f) směrnice 95/46 [který odpovídá čl. 6 odst 1 písm. f) GDPR] brání tomu, aby členský stát vyloučil kategorickým a obecným způsobem možnost zpracování určitých kategorií osobních údajů a neumožnil vyvážení proti sobě stojících práv a zájmů v konkrétním případě, a upřesnil, že členský stát tedy nemůže pro tyto kategorie předepisovat s konečnou platností výsledek vyvážení proti sobě stojících práv a zájmů, aniž by připouštěl odlišný výsledek z důvodu zvláštních okolností konkrétní věci (rozsudek ze dne 19. října 2016, Breyer, C‑582/14, EU:C:2016:779, bod 62 a citovaná judikatura).
( 88 ) – Zajímavé úvahy v tomto ohledu uvádí stanovisko 6/2014 pracovní skupiny „Článek 29“ v odstavci III.3.4.
( 89 ) – Podle bodu 49 odůvodnění GDPR představuje zpracování osobních údajů v rozsahu nezbytně nutném a přiměřeném pro zajištění bezpečnosti sítí a informací oprávněný zájem dotčeného správce údajů. Mohlo by se jednat například o zabránění neoprávněnému přístupu k sítím elektronických komunikací a šíření škodlivých kódů. Beru také na vědomí, že mimo jiné v souladu s článkem 32 GDPR správce zavádí vhodná technická a organizační opatření, aby zaručil úroveň zabezpečení odpovídající riziku a že v souladu s čl. 5 odst. 1 f) uvedeného nařízení musí být osobní údaje zpracovávány tak, aby bylo zajištěno odpovídající zabezpečení osobních údajů.
( 90 ) – Je proto nutné ověřit, do jaké míry je zpracování osobních údajů mimo stránky nebo aplikaci Facebook nezbytné pro její bezpečnost. Pokud předkládající soud uvede v tomto ohledu možnost použití údajů WhatsApp v antispamové funkci (využití informací z účtů WhatsApp, které rozesílají spam, aby bylo možné podniknout kroky proti odpovídajícím účtům na Facebooku) a údajů Instagramu k identifikaci sporného nebo nezákonného jednání, pochybuji, že by si stěžovatelka v původním řízení mohla přisvojit právo zpracovávat osobní údaje pro „policejní“ účely v širokém smyslu, vzhledem k tomu, že podle judikatury Soudního dvora v (jiné, ale související) oblasti dat z elektronických komunikací, ani legislativní opatření, která preventivně stanoví plošné a nerozlišující uchovávání provozních a lokalizačních údajů, nejsou slučitelná se směrnicí 2002/58 [viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C 511/18, C 512/18 a C 520/18, EU:C:2020:791, bod 168)]. Dále v případě, že je potřeba zaručit bezpečnost sítě zákonným požadavkem, může se správce odvolat na konkrétní odůvodnění stanovené v čl. 6 odst. 1 písm. c) GDPR.
( 91 ) – V souladu s čl. 6 odst. 1 písm. c), d) a e) GDPR.
( 92 ) – Viz bod 48 tohoto stanoviska.
( 93 ) – Vzhledem k široké škále oprávněných zájmů uznaných judikaturou (viz bod 60 tohoto stanoviska). Zdá se mi například v zásadě zřejmé, že ochrana nezletilých může odůvodnit přijetí vhodných ochranných opatření, jejichž cílem je zabránit jim v přístupu k nevhodnému nebo nebezpečnému obsahu.
( 94 ) – V souladu s čl. 13 odst. 1 písm. c) a d) GDPR je totiž povinností správce zejména uvést pro každý účel zpracování oprávněné zájmy, které sleduje on sám nebo třetí osoba.
( 95 ) – V rozsudku ze dne 11. listopadu 2020, Orange Romania (C‑61/19, EU:C:2020:901, bod 35 a 36 a citovaná judikatura), Soudní dvůr upřesnil, že znění čl. 4 bodu 11 tohoto nařízení, který definuje „souhlas subjektu údajů“ zejména pro účely čl. 6 odst. 1 písm. a) tohoto nařízení, se totiž jeví ještě přísnější než znění čl. 2 písm. h) směrnice 95/46, jelikož vyžaduje „svobodný, konkrétní, informovaný a jednoznačný“ projev vůle, kterým subjekt dává prohlášením či „jiným zjevným potvrzením“ svolení ke zpracování svých osobních údajů.
( 96 ) – Jak zdůrazňuje EDPB, přídavné jméno „svobodný“ znamená skutečný výběr a kontrolu pro subjekty údajů (viz pokyny EDPB 5/2020, bod 13). Tentýž bod zejména upřesňuje, že souhlas nebyl dán svobodně, pokud se na jedné straně subjekt údajů cítí být k souhlasu nucen nebo ponese významné negativní důsledky, pokud svůj souhlas neudělí, a na druhé straně je souhlas prezentován jako součást obchodních podmínek, o níž nelze jednat. Souhlas proto nebude považován za svobodně udělený, pokud jej tato osoba nemůže bez újmy odmítnout nebo odvolat. V tomto případě, jak zdůrazňuje žalobce v původním řízení, jedinou nevýhodou, kterou musí subjekt údajů akceptovat, je to, že služba nemusí mít případně stejnou funkčnost nebo kvalitu, pokud je k tomu technicky nezbytné zpracování údajů, pro které nebyl souhlas udělen.
( 97 ) – V tomto ohledu pokyny EDPB 5/2020 zmiňují podvod, zastrašování, nátlak nebo jakýkoli významný negativní následek, pokud subjekt údajů odmítne udělit souhlas, a připomíná, že správce musí prokázat, že tento subjekt údajů má skutečnou svobodu volby, pokud jde o udělení a odvolání souhlasu (bod 47).
( 98 ) – Kromě situací týkajících se vztahů s orgány veřejné moci a pracovněprávních vztahů uvedených v bodě 43 odůvodnění, které nejsou v tomto případě relevantní, odkazuje bod 24 pokynů EDPB 5/2020 zejména na situace, kdy subjekt údajů skutečně není schopen uplatnit výběr, nebo tam, kde existuje riziko podvodu, zastrašování, nátlaku nebo významných negativních důsledků (např. značné dodatečné náklady), pokud neudělí souhlas.
( 99 ) – Tato otázka se částečně překrývá s tou, která je předmětem první části třetí předběžné otázky (viz body 53 až 57 tohoto stanoviska). Druhá věta bodu 43 odůvodnění GDPR upřesňuje, že v takové situaci se má za to, že souhlas nebyl udělen svobodně (podle bodu 26 pokynů EDPB 5/2020 přitom GDPR zajišťuje, že zpracování osobních údajů, pro které se požaduje souhlas, se nemůže přímo ani nepřímo stát předmětem plnění smlouvy), použití termínu „předpokládaný“ jasně naznačuje, že případy, kdy je souhlas platný, budou zcela výjimečné (viz bod 35 těchto pokynů). Navíc z použití slov „mimo jiné“ plyne, že čl. 7 odst. 4 GDPR nebyl zpracován vyčerpávajícím způsobem, což znamená, že do působnosti tohoto ustanovení může spadat řada dalších situací, včetně jakéhokoli nepřiměřeného nátlaku nebo vlivu vykonávaného na subjekt údajů a bránící mu ve výkonu jeho vůle (pokyny EDPB 5/2020, bod 14).
( 100 ) – Bod 32 odůvodnění GDPR zejména upřesňuje, že udělený souhlas by měl být platný pro všechny činnosti zpracování, které mají stejný účel nebo stejné účely, a že pokud má zpracování více účelů, měl by být souhlas udělen pro všechny z nich. V tomto ohledu pokyny EDPB 5/2020 odkazují na „granularitu“ souhlasu jako na překážku jeho svobodné povahy (bod 44).
( 101 ) – Taková situace je příznivá zejména pro uložení podmínek, které nejsou pro plnění smlouvy nezbytné (viz body 53 až 57 tohoto stanoviska).
( 102 ) – Jinými slovy, jak uvádí Komise, míra relativní tržní síly podniku, která je kritická pro platnost souhlasu podle GDPR, nemůže být nutně ztotožňována s dominantním postavením na trhu ve smyslu článku 102 SFEU.
( 103 ) – Samozřejmě, pokud existence dominantního postavení sama o sobě nevylučuje možnost udělit svobodný souhlas se zpracováním osobních údajů, neexistence takového postavení sama o sobě nestačí k tomu, aby za všech okolností zaručila, že takový souhlas je platně udělen.