Právní rámec

Unijní právo

Nařízení (ES) č. 1/2003

GDPR

Německé právo

Spor v původním řízení a předběžné otázky

K předběžným otázkám

K první a sedmé otázce

K druhé otázce

K druhé otázce písm. a)

Ke druhé otázce písm. b)

Ke třetí až páté otázce

Úvodní poznámky

K třetí a čtvrté otázce

K páté otázce

K šesté otázce

K nákladům řízení

–

za Meta Platforms Inc., dříve Facebook Inc., Meta Platforms Ireland Ltd, dříve Facebook Ireland Ltd, a Facebook Deutschland GmbH: M. Braun, M. Esser, L. Hesse, J. Höft a H.-G. Kamann, Rechtsanwälte,

–

za Bundeskartellamt: J. Nothdurft, K. Ost, I. Sewczyk a J. Topel, jako zmocněnci,

–

za Verbraucherzentrale Bundesverband e.V.: S. Louven, Rechtsanwalt,

–

za německou vládu: J. Möller a P.-L. Krüger, jako zmocněnci,

–

za českou vládu: M. Smolek a J. Vláčil, jako zmocněnci,

–

za italskou vládu: G. Palmieri, jako zmocněnkyně, ve spolupráci s: E. De Bonis a P. Gentili, avvocati dello Stato,

–

za rakouskou vládu: A. Posch, J. Schmoll a G. Kunnert, jako zmocněnci,

–

za Evropskou komisi: F. Erlbacher, H. Kranenborg a G. Meessen, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 4 odst. 3 SEU, jakož i čl. 6 odst. 1, čl. 9. odst. 1 a 2, čl. 51 odst. 1 a čl. 56 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a oprava v Úř. věst. 2018, L 127, s. 2 a Úř. věst. 2021, L 74, s. 35, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi společnostmi Meta Platforms Inc., dříve Facebook Inc., Meta Platforms Ireland Ltd, dříve Facebook Ireland Ltd, a Facebook Deutschland GmbH na straně jedné a Bundeskartellamt (Spolkový úřad pro hospodářskou soutěž, Německo) na straně druhé ve věci rozhodnutí Bundeskartellamt zakázat výše uvedeným společnostem zpracovávání určitých osobních údajů upravené všeobecnými podmínkami pro používání sociální sítě „Facebook“ (dále jen „všeobecné podmínky“).

3

Článek 5 nařízení Rady (ES) č. 1/2003 ze dne 16. prosince 2002 o provádění pravidel hospodářské soutěže stanovených v článcích [101 a 102 SFEU] (Úř. věst. 2003, L 1, s. 1; Zvl. vyd. 08/02, s. 205), nadepsaný „Pravomoci orgánů pro hospodářskou soutěž členských států“, stanoví:

„Orgány pro hospodářskou soutěž členských států mají pravomoc používat články [101 a 102 SFEU] v jednotlivých případech. Za tímto účelem mohou z vlastního podnětu nebo na základě stížnosti přijímat tato rozhodnutí:

Pokud na základě informací, které mají k dispozici, nejsou splněny podmínky zákazu, mohou také rozhodnout, že není důvod k jejich zásahu.“

4

V bodech 1, 4, 38, 42, 43, 46, 47, 49 a 51 odůvodnění GDPR se uvádí:

[…]

[…]

[…]

[…]

[…]

[…]

5

Článek 4 tohoto nařízení stanoví:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]

[…]“

6

Článek 5 uvedeného nařízení, nadepsaný „Zásady zpracování osobních údajů“, v odstavcích 1 a 2 stanoví:

„1.   Osobní údaje musí být:

[…]

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

7

Článek 6 téhož nařízení, nadepsaný „Zákonnost zpracování“, zní takto:

„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.

[…]

3.   Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:

[…]

[…] Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.“

8

Článek 7 GDPR, nadepsaný „Podmínky vyjádření souhlasu“, stanoví:

„1.   Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.

[…]

4.   Při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.“

9

Článek 9 tohoto nařízení, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví:

„1.   Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

2.   Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:

[…]

[…]“

10

Článek 13 uvedeného nařízení, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, v odstavci 1 stanoví:

„Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

[…]

[…]“

11

V kapitole VI GDPR, nadepsané „Nezávislé dozorové úřady“, se nacházejí články 51 až 59 tohoto nařízení.

12

Článek 51 uvedeného nařízení, nadepsaný „Dozorový úřad“, v odstavcích 1 a 2 stanoví:

„1.   Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie […]

2.   Každý dozorový úřad přispívá k jednotnému uplatňování tohoto nařízení v celé Unii. Dozorové úřady za tímto účelem spolupracují mezi sebou a s [Evropskou k]omisí v souladu s kapitolou VII.“

13

Článek 55 téhož nařízení, nadepsaný „Příslušnost“, zní:

„1.   Každý dozorový úřad je na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.

2.   Pokud zpracování provádějí orgány veřejné moci nebo soukromé subjekty jednající na základě čl. 6 odst. 1 písm. c) nebo e), je příslušným dozorový úřad dotčeného členského státu. V takových případech se nepoužije článek 56.“

14

Článek 56 GDPR, nadepsaný „Příslušnost vedoucího dozorového úřadu“, v odstavci 1 stanoví:

„Aniž je dotčen článek 55, je dozorový úřad pro hlavní nebo jedinou provozovnu správce či zpracovatele příslušný k tomu, aby jednal jako vedoucí dozorový úřad v případě přeshraničního zpracování prováděného tímto správcem či zpracovatelem v souladu s postupem stanoveným v článku 60.“

15

Článek 57 tohoto nařízení, nadepsaný „Úkoly“, v odstavci 1 stanoví:

„Aniž jsou dotčeny další úkoly stanovené tímto nařízením, každý dozorový úřad na svém území:

[…]

[…]“

16

Článek 58 uvedeného nařízení obsahuje v odstavci 1 výčet vyšetřovacích pravomocí, které má každý dozorový úřad, a v odstavci 5 upřesňuje, že „[k]aždý členský stát v právních předpisech stanoví, že jeho dozorový úřad má pravomoc upozornit na porušení tohoto nařízení justiční orgány, a pokud je to vhodné, zahájit soudní řízení či se do něj jinak zapojit s cílem vymoci dodržení tohoto nařízení“.

17

V kapitole VII GDPR, nadepsané „Spolupráce a jednotnost“, oddíle 1, nadepsaném „Spolupráce“, se nacházejí články 60 až 62 tohoto nařízení. Článek 60, nadepsaný „Spolupráce mezi vedoucím dozorovým úřadem a dalšími dotčenými dozorovými úřady“, v odstavci 1 stanoví:

„Vedoucí dozorový úřad spolupracuje s ostatními dotčenými dozorovými úřady v souladu s tímto článkem ve snaze dosáhnout konsensu. Vedoucí dozorový úřad a dotčené dozorové úřady si vzájemně vyměňují veškeré relevantní informace.“

18

Článek 61 GDPR, nadepsaný „Vzájemná pomoc“, v odstavci 1 stanoví:

„Dozorové úřady si vzájemně poskytují relevantní informace a pomoc v zájmu soudržného provádění a uplatňování tohoto nařízení a zavedou opatření pro účinnou vzájemnou spolupráci. Vzájemná spolupráce zahrnuje zejména žádosti o informace a opatření v oblasti dozoru, například žádosti o předchozí povolení a konzultace, inspekce a šetření.“

19

Článek 62 tohoto nařízení, nadepsaný „Společné postupy dozorových úřadů“, v odstavcích 1 a 2 stanoví:

„1.   Dozorové úřady podle potřeby provádějí společné postupy, včetně společných šetření a společných donucovacích opatření, do nichž jsou zapojeni členové nebo pracovníci dozorových úřadů z jiných členských států.

2.   Pokud má správce nebo zpracovatel provozovny v několika členských státech, nebo pokud je pravděpodobné, že operacemi zpracování bude podstatně dotčen významný počet subjektů údajů ve více než jednom členském státě, má dozorový úřad každého z těchto členských států právo účastnit se společných postupů. […]“

20

V oddíle 2, nadepsaném „Jednotnost“, kapitoly VII GDPR se nacházejí články 63 až 67 tohoto nařízení. Článek 63, nadepsaný „Mechanismus jednotnosti“, zní následovně:

„S cílem přispět k jednotnému uplatňování tohoto nařízení v celé Unii spolupracují dozorové úřady mezi sebou navzájem a ve vhodných případech s Komisí prostřednictvím mechanismu jednotnosti stanoveného v tomto oddíle.“

21

Článek 64 odst. 2 tohoto nařízení stanoví:

„Kterýkoli dozorový úřad, předseda [Evropského sboru pro ochranu osobních údajů] nebo Komise mohou požádat, aby [Evropský sbor pro ochranu osobních údajů] posoudil jakoukoli záležitost s obecnou působností nebo s účinky ve více než jednom členském státě za účelem získání stanoviska, zejména v případě, kdy příslušný dozorový úřad nesplní povinnosti související se vzájemnou pomocí podle článku 61 nebo se společnými postupy podle článku 62.“

22

Článek 65 uvedeného nařízení, nadepsaný „Řešení sporů sborem“, v odstavci 1 stanoví:

„S cílem zajistit, aby toto nařízení bylo v jednotlivých případech správně a důsledně uplatňováno, přijme [Evropský sbor pro ochranu osobních údajů] závazné rozhodnutí v těchto případech:

[…]“

23

Ustanovení § 19 odst. 1 Gesetz gegen Wettbewerbsbeschränkungen (zákon proti omezování hospodářské soutěže), ve znění zveřejněném dne 26. června 2013 (BGBl. 2013 I, s. 1750, 3245), naposledy novelizovaného článkem 2 zákona ze dne 16. července 2021 (BGBl. 2021 I, s. 2959) (dále jen „GWB“), stanoví:

„Zneužití dominantního postavení na trhu jedním nebo více podniky je zakázáno.“

24

Ustanovení § 32 odst. 1 GWB zní takto:

„Orgán pro hospodářskou soutěž může podnikům nebo sdružením podniků uložit povinnost ukončit porušování ustanovení této části [tohoto zákona] nebo článků 101 a 102 Smlouvy o fungování Evropské unie.“

25

Ustanovení § 50f GWB v odstavci 1 stanoví:

„Orgány pro hospodářskou soutěž, regulační orgány, spolkový zmocněnec pro ochranu osobních údajů a svobodu informací, zmocněnci spolkových zemí pro ochranu osobních údajů, jakož i příslušné orgány ve smyslu § 2 EU-Verbraucherschutzdurchführungsgesetz [zákon, kterým se provádí právní úprava Evropské unie o ochraně spotřebitelů] si mohou mezi sebou bez ohledu na zvolený postup vyměňovat informace, včetně osobních údajů a obchodního tajemství, v rozsahu, v němž je to nezbytné pro plnění jejich příslušných úkolů, jakož i těchto informací využívat při své činnosti. […]“

26

Společnost Meta Platforms Ireland provozuje v Unii sociální síť Facebook a propaguje, mimo jiné na adrese www.facebook.com, služby, které jsou pro soukromé uživatele bezplatné. Další podniky skupiny Meta nabízejí v Unii další on-line služby, například Instagram, WhatsApp, Oculus a – do 13. března 2020 – Masquerade.

27

Obchodní model sociální sítě Facebook je založen na financování prostřednictvím on-line reklamy, která je přizpůsobena na míru jednotlivým uživatelům sociální sítě zejména v závislosti na jejich spotřebitelských návycích, jejich zájmech, kupní síle a jejich osobní situaci. Technicky je tato reklama umožněna automatizovaným sestavováním detailních profilů uživatelů sítě a on-line služeb nabízených na úrovni skupiny Meta. Za tímto účelem jsou vedle údajů, které tito uživatelé zadávají přímo při registraci k příslušným on-line službám, shromažďovány i další údaje týkající se uvedených uživatelů a jejich zařízení, a to v rámci této sociální sítě a on-line služeb poskytovaných skupinou Meta i mimo tuto síť a tyto služby, a propojovány s jejich různými příslušnými uživatelskými účty. Tyto údaje jako celek umožňují činit detailní závěry o preferencích a zájmech těchto uživatelů.

28

Při zpracovávání uvedených údajů se společnost Meta Platforms Ireland opírá o uživatelskou smlouvu, kterou uživatelé sociální sítě Facebook uzavírají kliknutím na tlačítko „zaregistrovat se“ a kterou tito uživatelé vyjadřují souhlas s podmínkami používání služby vypracovanými touto společností. Souhlas s těmito podmínkami je nezbytný pro používání sociální sítě Facebook. Pokud jde o zpracování osobních údajů, odkazují všeobecné podmínky na zásady ochrany osobních údajů a zásady používání souborů cookies stanovené uvedenou společností. Na základě těchto zásad shromažďuje společnost Meta Platforms Ireland údaje o uživatelích a zařízeních, o aktivitách uživatelů na sociální síti i mimo ni a přiřazuje je k účtům dotyčných uživatelů na Facebooku. Pokud jde o posledně uvedené údaje týkající se aktivit mimo sociální síť (dále jen rovněž „údaje off Facebook“), jedná se jednak o údaje týkající se zobrazení internetových stránek a aplikací třetích osob, které jsou propojeny s Facebookem prostřednictvím programových rozhraní – „Facebook Business Tools“ – a jednak o údaje týkající se používání jiných on-line služeb patřících do skupiny Meta, například Instagram, WhatsApp, Oculus a – do 13. března 2020 – Masquerade.

29

Spolkový úřad pro hospodářskou soutěž zahájil proti společnostem Meta Platforms, Meta Platforms Ireland a Facebook Deutschland řízení, na jehož konci jim rozhodnutím ze dne 6. února 2019, založeným na § 19 odst. 1 a § 32 GWB, v podstatě zakázal, aby ve všeobecných podmínkách podmiňovaly používání sociální sítě Facebook soukromými uživateli s bydlištěm v Německu zpracováním jejich údajů off Facebook a bez jejich souhlasu tyto údaje zpracovávaly na základě tehdy platných všeobecných podmínek. Kromě toho jim uložil povinnost upravit tyto všeobecné podmínky tak, aby z nich jasně vyplývalo, že uvedené údaje nebudou shromažďovány, propojovány s uživatelskými účty na Facebooku ani používány bez souhlasu dotyčného uživatele, a objasnil, že takový souhlas není platný, představuje-li podmínku pro používání sociální sítě.

30

Spolkový úřad pro hospodářskou soutěž odůvodnil své rozhodnutí tím, že zpracování údajů o dotyčných uživatelích, jak je upraveno ve všeobecných podmínkách a prováděno společností Meta Platforms Ireland, představuje zneužití dominantního postavení této společnosti na trhu sociálních sítí pro soukromé uživatele v Německu ve smyslu § 19 odst. 1 GWB. Konkrétně jsou tyto všeobecné podmínky jakožto vyjádření tohoto dominantního postavení podle Spolkového úřadu pro hospodářskou soutěž zneužívající, jelikož zpracování údajů off Facebook v nich upravené není v souladu s hodnotami, na nichž je založeno GDPR, a zejména nemůže být odůvodněno s ohledem na čl. 6 odst. 1 a čl. 9 odst. 2 tohoto nařízení.

31

Dne 11. února 2019 podaly společnosti Meta Platforms, Meta Platforms Ireland a Facebook Deutschland proti rozhodnutí Spolkového úřadu pro hospodářskou soutěž žalobu k Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu, Německo).

32

Dne 31. července 2019 zavedla společnost Meta Platforms Ireland nové všeobecné podmínky, které výslovně uváděly, že uživatel namísto placení za využívání produktů Facebooku prohlásí, že souhlasí s reklamními sděleními.

33

Kromě toho od 28. ledna 2020 nabízí společnost Meta Platforms celosvětově tzv. Off-Facebook-Activity, která uživatelům sociální sítě Facebook umožňuje získávat přehled informací, které se jich týkají a jež společnosti skupiny Meta získávají v souvislosti se svými aktivitami na jiných internetových stránkách a aplikacích, a na přání oddělit tyto údaje od jejich účtu Facebook.com, a to jak do minulosti, tak do budoucna.

34

Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu) má zaprvé pochybnosti o tom, zda vnitrostátní orgány pro hospodářskou soutěž smějí v rámci výkonu svých pravomocí kontrolovat soulad zpracování osobních údajů s požadavky stanovenými v GDPR; zadruhé má pochybnosti o tom, zda provozovatel sociální sítě smí zpracovávat citlivé osobní údaje subjektu údajů ve smyslu čl. 9 odst. 1 a 2 tohoto nařízení; zatřetí má pochybnosti o tom, zda je zpracování osobních údajů dotyčného uživatele ze strany takového provozovatele v souladu s čl. 6 odst. 1 uvedeného nařízení zákonné, a začtvrté má pochybnosti o tom, zda je souhlas udělený podniku v dominantním postavení na vnitrostátním trhu sociálních sítí pro účely takového zpracování platný s ohledem na čl. 6 odst. 1 první pododstavec písm. a) a čl. 9 odst. 2 písm. a) téhož nařízení.

35

V tomto kontextu měl Oberlandesgericht Düsseldorf (Vrchní zemský soud v Düsseldorfu) za to, že řešení sporu v původním řízení závisí na tom, jak bude odpovězeno na tyto otázky, a proto se rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

V případě kladné odpovědi na první otázku:

V případě kladné odpovědi na sedmou otázku je třeba zodpovědět třetí až pátou otázku ve vztahu k údajům získaným v souvislosti s používáním služby Instagram, která patří podniku.“

36

Podstatou první a sedmé otázky předkládajícího soudu, kterými je třeba se zabývat společně, je, zda musí být článek 51 a následující GDPR vykládány v tom smyslu, že orgán členského státu pro hospodářskou soutěž může v rámci posuzování, zda došlo ke zneužití dominantního postavení ze strany podniku ve smyslu článku 102 SFEU, konstatovat, že všeobecné podmínky používání služby vypracované tímto podnikem a týkající se zpracování osobních údajů a jejich provádění nejsou v souladu s GDPR, a v případě kladné odpovědi, zda musí být čl. 4 odst. 3 SEU vykládán v tom smyslu, že takové konstatování incidenční povahy ze strany orgánu pro hospodářskou soutěž je možné i tehdy, když jsou tyto podmínky současně posuzovány v řízení vedeném vedoucím dozorovým úřadem příslušným podle čl. 56 odst. 1 GDPR.

37

Za účelem odpovědi na tuto otázku je třeba bez dalšího připomenout, že čl. 55 odst. 1 GDPR stanoví, že každý dozorový úřad je na území svého členského státu v zásadě příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením (rozsudek ze dne 15. června 2021, Facebook Ireland a další, C‑645/19, EU:C:2021:483, bod 47 a citovaná judikatura).

38

Mezi úkoly, které jsou těmto dozorovým úřadům svěřeny, patří úkoly monitorovat a vymáhat uplatňování tohoto nařízení, stanovené v jeho čl. 51 odst. 1 a čl. 57 odst. 1 písm. a), s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb takových údajů v rámci Unie. Kromě toho v souladu s čl. 51 odst. 2 a čl. 57 odst. 1 písm. g) uvedeného nařízení uvedené dozorové úřady vzájemně spolupracují, mimo jiné formou sdílení informací, a v tomto rámci si poskytují vzájemnou pomoc s cílem zajistit jednotné uplatňování a prosazování tohoto nařízení.

39

K plnění těchto úkolů přiznává článek 58 GDPR uvedeným dozorovým úřadům v odstavci 1 vyšetřovací pravomoci, v odstavci 2 pravomoc přijímat nápravná opatření a v odstavci 5 pravomoc upozornit na porušení tohoto nařízení justiční orgány, a pokud je to vhodné, zahájit soudní řízení s cílem vymoci dodržení ustanovení tohoto nařízení.

40

Aniž je dotčeno pravidlo příslušnosti uvedené v čl. 55 odst. 1 GDPR, stanoví čl. 56 odst. 1 tohoto nařízení pro přeshraniční zpracování ve smyslu čl. 4 bodu 23 tohoto nařízení mechanismus „jediného kontaktního místa“ založený na rozdělení příslušnosti mezi „vedoucí dozorový úřad“ a další dotyčné dozorové úřady, jakož i na spolupráci mezi všemi těmito úřady v souladu s postupem spolupráce upraveným v článku 60 uvedeného nařízení.

41

Článek 61 odst. 1 GDPR dále ukládá dozorovým úřadům mimo jiné povinnost si vzájemně poskytovat relevantní informace a pomoc v zájmu soudržného provádění a uplatňování tohoto nařízení v celé Unii. Článek 63 uvedeného nařízení stanoví, že za tímto účelem je v jeho článcích 64 a 65 stanoven mechanismus jednotnosti (rozsudek ze dne 15. června 2021, Facebook Ireland a další, C‑645/19, EU:C:2021:483, bod 52 a citovaná judikatura).

42

Je však třeba uvést, že pravidla spolupráce stanovená v GDPR nejsou určena vnitrostátním orgánům pro hospodářskou soutěž, ale upravují spolupráci mezi dotyčnými vnitrostátními dozorovými úřady a vedoucím dozorovým úřadem, jakož i případně spolupráci těchto úřadů s Evropským sborem pro ochranu osobních údajů a Komisí.

43

GDPR ani žádný jiný nástroj unijního práva totiž nestanoví zvláštní pravidla pro spolupráci mezi vnitrostátním orgánem pro hospodářskou soutěž a dotyčnými vnitrostátními dozorovými úřady nebo vedoucím dozorovým úřadem. Kromě toho žádné ustanovení tohoto nařízení nezakazuje vnitrostátním orgánům pro hospodářskou soutěž, aby v rámci výkonu svých funkcí konstatovaly nesoulad zpracování údajů prováděného podnikem v dominantním postavení, které může představovat zneužití tohoto postavení, s uvedeným nařízením.

44

V tomto ohledu je třeba zaprvé upřesnit, že dozorové úřady na jedné straně a vnitrostátní orgány pro hospodářskou soutěž na straně druhé vykonávají odlišné funkce a sledují cíle a plní úkoly, které jsou jim vlastní.

45

Jak totiž bylo na jedné straně uvedeno v bodě 38 tohoto rozsudku, podle čl. 51 odst. 1 a 2, jakož i čl. 57 odst. 1 písm. a) a g) GDPR je hlavním úkolem dozorového úřadu monitorovat a vymáhat uplatňování tohoto nařízení a zároveň přispívat k jeho jednotnému uplatňování v Unii, a to za účelem ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnění volného pohybu těchto údajů v rámci Unie. Za tímto účelem, jak bylo připomenuto v bodě 39 tohoto rozsudku, má dozorový úřad různé pravomoci, které jsou mu svěřeny na základě článku 58 GDPR.

46

Na druhé straně v souladu s článkem 5 nařízení č. 1/2003 mají vnitrostátní orgány pro hospodářskou soutěž pravomoc přijímat mimo jiné rozhodnutí konstatující zneužití dominantního postavení ze strany podniku ve smyslu článku 102 SFEU, jejichž cílem je zavedení systému zajišťujícího, aby na vnitřním trhu nebyla narušována hospodářská soutěž, rovněž s ohledem na důsledky takového zneužití pro spotřebitele na tomto trhu.

47

Jak v podstatě uvedl generální advokát v bodě 23 svého stanoviska, musí orgán pro hospodářskou soutěž při přijímání takového rozhodnutí na základě všech specifických okolností věci posoudit, zda v důsledku jednání podniku v dominantním postavení je – za použití jiných prostředků než těch, které jsou používány při běžné soutěži výrobků nebo služeb – bráněno zachování stupně hospodářské soutěže, který na trhu existuje, nebo rozvoji této hospodářské soutěže (v tomto smyslu viz rozsudek ze dne 25. března 2021, Deutsche Telekom v. Komise, C‑152/19 P, EU:C:2021:238, body 41 a 42). V tomto ohledu soulad nebo nesoulad takového jednání s ustanoveními GDPR může případně mezi relevantními okolnostmi projednávaného případu představovat významnou indicii pro určení, zda toto jednání představuje použití prostředků běžné hospodářské soutěže, jakož i pro hodnocení důsledků určité praktiky pro trh nebo pro spotřebitele.

48

Z toho vyplývá, že v rámci posuzování, zda došlo ke zneužití dominantního postavení ze strany podniku na určitém trhu, se může ukázat nezbytným, aby orgán pro hospodářskou soutěž dotyčného členského státu posoudil rovněž soulad jednání tohoto podniku s jinými normami než normami práva hospodářské soutěže, například s pravidly v oblasti ochrany osobních údajů stanovenými v GDPR.

49

S ohledem na odlišné cíle sledované pravidly hospodářské soutěže, zejména článkem 102 SFEU, na jedné straně a pravidly v oblasti ochrany osobních údajů na základě GDPR na straně druhé je přitom třeba konstatovat, že pokud vnitrostátní orgán pro hospodářskou soutěž incidenčně poukáže na porušení tohoto nařízení v rámci konstatování zneužití dominantního postavení, nenahrazuje dozorové úřady. Takový vnitrostátní orgán pro hospodářskou soutěž zejména nemonitoruje ani nevymáhá uplatňování tohoto nařízení s cílem uvedeným v čl. 51 odst. 1 GDPR, kterým je ochrana základních práv a svobod fyzických osob v souvislosti se zpracováním údajů a usnadnění volného pohybu osobních údajů v rámci Unie. Kromě toho takový orgán tím, že pouze poukazuje na nesoulad zpracování údajů s GDPR s jediným účelem konstatovat zneužití dominantního postavení, a že ukládá opatření směřující k ukončení tohoto zneužití na základě práva hospodářské soutěže, neplní žádný z úkolů uvedených v článku 57 tohoto nařízení ani nevyužívá pravomocí vyhrazených dozorovému úřadu na základě článku 58 uvedeného nařízení.

50

Kromě toho je třeba konstatovat, že přístup k osobním údajům i jejich využívání mají v rámci digitální ekonomiky zásadní význam. Tento význam ilustruje v rámci sporu v původním řízení obchodní model, z něhož vychází sociální síť Facebook a který počítá – jak bylo připomenuto v bodě 27 tohoto rozsudku – s financováním prostřednictvím komercializace individualizovaných reklamních sdělení v závislosti na uživatelských profilech vytvořených na základě osobních údajů shromážděných společností Meta Platforms Ireland.

51

Jak zdůraznila zejména Komise, přístup k osobním údajům a možnost zpracování těchto údajů se staly významným parametrem hospodářské soutěže mezi podniky v digitální ekonomice. Vyloučením pravidel v oblasti ochrany osobních údajů z právního rámce, který musí orgány pro hospodářskou soutěž zohlednit při posuzování, zda došlo ke zneužití dominantního postavení, by tudíž byla ignorována realita tohoto hospodářského vývoje a mohla by být ohrožena účinnost práva hospodářské soutěže v rámci Unie.

52

Zadruhé je však třeba uvést, že v případě, kdy vnitrostátní orgán pro hospodářskou soutěž považuje za nezbytné vyjádřit se v rámci rozhodnutí týkajícího se zneužití dominantního postavení k tomu, zda je zpracování osobních údajů prováděné dotčeným podnikem v souladu s GDPR, či nikoli, musí tento orgán a dotyčný dozorový úřad nebo případně příslušný vedoucí dozorový úřad ve smyslu tohoto nařízení vzájemně spolupracovat, aby bylo zajištěno jednotné uplatňování tohoto nařízení.

53

I když – jak bylo uvedeno v bodech 42 a 43 tohoto rozsudku – GDPR ani žádný jiný nástroj unijního práva nestanoví v tomto ohledu zvláštní pravidla, nic to totiž nemění na tom, jak uvedl generální advokát v bodě 28 svého stanoviska, že při uplatňování GDPR jsou všechny jednotlivé zúčastněné vnitrostátní orgány vázány zásadou loajální spolupráce zakotvenou v čl. 4 odst. 3 SEU. Podle této zásady se podle ustálené judikatury v oblastech spadajících do unijního práva musí členské státy, včetně jejich správních orgánů, vzájemně respektovat a pomáhat si při plnění úkolů vyplývajících ze Smluv, přijímat veškerá vhodná opatření k plnění závazků, které vyplývají zejména z aktů orgánů Unie, a zdržet se všech opatření, jež by mohla ohrozit dosažení cílů Unie (v tomto smyslu viz rozsudky ze dne 7. listopadu 2013, UPC Nederland, C‑518/11, EU:C:2013:709, bod 59, a ze dne 1. srpna 2022, Sea Watch, C‑14/21 a C‑15/21, EU:C:2022:604, bod 156).

54

S ohledem na tuto zásadu tedy platí, že pokud vnitrostátní orgány pro hospodářskou soutěž považují při výkonu svých pravomocí za nutné posoudit, zda je jednání určitého podniku v souladu s ustanoveními GDPR, musí své kroky sladit s dotyčnými vnitrostátními dozorovými úřady nebo s vedoucím dozorovým úřadem a loajálně s nimi spolupracovat, přičemž všechny tyto orgány jsou v tomto kontextu povinny respektovat své příslušné pravomoci tak, aby byly dodrženy povinnosti vyplývající z GDPR, jakož i cíle tohoto nařízení a byl zachován jejich užitečný účinek.

55

Posuzování jednání podniku orgánem pro hospodářskou soutěž ve světle norem GDPR totiž může přinášet riziko rozdílů mezi tímto orgánem a dozorovými úřady, pokud jde o výklad tohoto nařízení.

56

Z toho plyne, že pokud má vnitrostátní orgán pro hospodářskou soutěž v rámci posuzování, zda určitý podnik zneužil dominantní postavení ve smyslu článku 102 SFEU, za to, že je nezbytné přezkoumat soulad jednání tohoto podniku s ustanoveními GDPR, musí uvedený orgán ověřit, zda toto jednání nebo podobné jednání již bylo předmětem rozhodnutí ze strany příslušného vnitrostátního dozorového úřadu nebo vedoucího dozorového úřadu nebo Soudního dvora. Pokud tomu tak je, nemůže se od nich vnitrostátní orgán pro hospodářskou soutěž odchýlit, avšak může z nich vyvodit vlastní závěry z hlediska použití práva hospodářské soutěže.

57

Má-li vnitrostátní orgán pro hospodářskou soutěž úřad pochybnosti o rozsahu posouzení provedeného příslušným vnitrostátním dozorovým úřadem nebo vedoucím dozorovým úřadem, je-li dotčené jednání nebo podobné jednání současně předmětem přezkumu ze strany těchto orgánů nebo má-li v případě neprovedení šetření uvedených orgánů za to, že jednání podniku není v souladu s ustanoveními GDPR, musí vnitrostátní orgán pro hospodářskou soutěž konzultovat tyto orgány a požádat je o spolupráci, aby rozptýlil své pochybnosti nebo aby určil, zda je třeba před provedením vlastního posouzení vyčkat přijetí rozhodnutí ze strany dotyčného dozorového úřadu.

58

Pokud je dozorový úřad požádán vnitrostátním orgánem pro hospodářskou soutěž, musí na tuto žádost o informace nebo spolupráci odpovědět v přiměřené lhůtě tak, že tomuto orgánu sdělí informace, které má k dispozici a které mohou umožnit rozptýlit pochybnosti tohoto orgánu o rozsahu posouzení provedeného dozorovým úřadem, nebo případně tak, že informuje vnitrostátní orgán pro hospodářskou soutěž, zda má v úmyslu zahájit postup spolupráce s ostatními dotyčnými dozorovými úřady nebo s vedoucím dozorovým úřadem v souladu s článkem 60 a následujícími GDPR za účelem přijetí rozhodnutí směřujícího ke zjištění, zda předmětné jednání je, či není v souladu s tímto nařízením.

59

Neodpoví-li dožádaný dozorový úřad v přiměřené lhůtě, může vnitrostátní orgán pro hospodářskou soutěž pokračovat ve svém vlastním šetření. Totéž platí, pokud příslušný vnitrostátní dozorový úřad a vedoucí dozorový úřad nevznesou námitky proti tomu, aby takové šetření pokračovalo bez čekání na jejich rozhodnutí.

60

V projednávané věci ze spisu, který má Soudní dvůr k dispozici, vyplývá, že v říjnu a listopadu 2018, tedy před přijetím rozhodnutí ze dne 6. února 2019, Spolkový úřad pro hospodářskou soutěž kontaktoval Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (spolkový pověřenec pro ochranu údajů a svobodu informací, Německo), Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (pověřenec pro ochranu údajů a svobodu informací v Hamburku, Německo), který je příslušný pro společnost Facebook Deutschland, a Data Protection Commission (DPC) (Úřad pro ochranu údajů, Irsko), aby tyto orgány informoval o tom, že začal konat. Kromě toho se jeví, že Spolkový úřad pro hospodářskou soutěž obdržel potvrzení, že uvedené orgány v té době neprováděly žádné šetření týkající se skutečností podobných těm, o které se jedná ve věci v původním řízení, a nevznesly proti jeho aktivitě námitky. A konečně Spolkový úřad pro hospodářskou soutěž v bodech 555 a 556 svého rozhodnutí ze dne 6. února 2019 na tuto spolupráci výslovně odkázal.

61

Za těchto podmínek a s výhradou ověření, která musí provést předkládající soud, se jeví, že Spolkový úřad pro hospodářskou soutěž splnil své povinnosti loajální spolupráce s dotyčnými vnitrostátními dozorovými úřady i s vedoucím dozorovým úřadem.

62

S ohledem na výše uvedené je třeba na první a sedmou otázku odpovědět tak, že článek 51 a následující GDPR, jakož i čl. 4 odst. 3 SEU musí být vykládány v tom smyslu, že s výhradou dodržení povinnosti loajální spolupráce s dozorovými úřady může orgán členského státu pro hospodářskou soutěž v rámci posuzování, zda došlo ke zneužití dominantního postavení ze strany podniku ve smyslu článku 102 SFEU, konstatovat, že všeobecné podmínky používání služby vypracované tímto podnikem a týkající se zpracování osobních údajů a jejich provádění nejsou v souladu s tímto nařízením, je-li toto zjištění nezbytné k prokázání existence takového zneužití.

63

S ohledem na tuto povinnost loajální spolupráce se vnitrostátní orgán pro hospodářskou soutěž nemůže odchýlit od rozhodnutí příslušného vnitrostátního dozorového úřadu nebo vedoucího dozorového úřadu týkajícího se těchto nebo podobných všeobecných podmínek. Má-li orgán pro hospodářskou soutěž pochybnosti o dosahu takového rozhodnutí, jsou-li uvedené nebo podobné podmínky současně předmětem přezkumu ze strany těchto orgánů nebo má-li orgán pro hospodářskou soutěž v případě neexistence šetření nebo rozhodnutí uvedených orgánů za to, že dotčené podmínky nejsou v souladu s GDPR, musí konzultovat tytéž dozorové úřady a požádat je o spolupráci, aby rozptýlil své pochybnosti nebo určil, zda je třeba vyčkat přijetí jejich rozhodnutí před zahájením vlastního posouzení. Nevznesou-li námitky nebo neodpoví-li v přiměřené lhůtě, může vnitrostátní orgán pro hospodářskou soutěž pokračovat ve vlastním šetření.

64

Podstatou druhé otázky písm. a) předkládajícího soudu je, zda čl. 9 odst. 1 GDPR musí být vykládán v tom smyslu, že v případě, kdy uživatel sociální sítě zobrazí internetové stránky nebo aplikace související s jednou nebo více kategoriemi uvedenými v tomto ustanovení a případně do nich zadá údaje, a to tím, že se registruje nebo uskuteční on-line objednávky, musí být zpracování osobních údajů provozovatelem této sociální sítě, spočívající v tom, že jsou prostřednictvím integrovaných rozhraní, souborů cookies nebo podobných technologií pro ukládání dat shromažďovány údaje pocházející ze zobrazení těchto stránek a aplikací, jakož i údaje zadané uživatelem, v propojování všech těchto údajů s účtem uživatele na sociální síti a ve využití těchto údajů tímto provozovatelem, považováno za „zpracování zvláštních kategorií osobních údajů“ ve smyslu uvedeného ustanovení, které je až na výjimky stanovené v tomto čl. 9 odst. 2 v zásadě zakázáno.

65

V případě kladné odpovědi se předkládající soud svou druhou otázkou písm. b) v podstatě táže, zda čl. 9 odst. 2 písm. e) GDPR musí být vykládán v tom smyslu, že pokud uživatel sociální sítě zobrazí internetové stránky nebo aplikace, které mají spojitost s kategoriemi uvedenými v čl. 9 odst. 1 GDPR, zadá údaje na těchto internetových stránkách nebo v těchto aplikacích nebo klikne na tlačítka na těchto stránkách nebo aplikacích, jako jsou tlačítka „to se mi líbí“ nebo „sdílet“ nebo tlačítka umožňující uživateli identifikovat se na těchto stránkách nebo těchto aplikacích pomocí přihlašovacích údajů propojených s jeho uživatelským účtem na sociální síti, jeho telefonním číslem nebo e-mailovou adresou, má se za to, že ve smyslu prvně uvedeného ustanovení zjevně zveřejnil údaje shromážděné při této příležitosti provozovatelem této sociální sítě prostřednictvím souborů cookies nebo podobných technologií pro ukládání dat.

66

Bod 51 odůvodnění GDPR uvádí, že osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody. Tento bod odůvodnění upřesňuje, že takové osobní údaje by neměly být zpracovávány, pokud není zpracování povoleno ve zvláštních případech stanovených uvedeným nařízením.

67

V této souvislosti čl. 9 odst. 1 GDPR zakotvuje zásadu zákazu zpracování zvláštních kategorií osobních údajů, které zmiňuje. Jedná se mimo jiné o údaje o rasovém či etnickém původu, politických názorech a náboženském vyznání, jakož i údaje o zdravotním stavu, sexuálním životě nebo sexuální orientaci fyzické osoby.

68

Pro účely použití čl. 9 odst. 1 GDPR je třeba v případě zpracování osobních údajů prováděného provozovatelem sociální sítě ověřit, zda tyto údaje mohou odhalit informace spadající do jedné z kategorií uvedených v tomto ustanovení, ať již se tyto informace týkají uživatele této sítě, nebo jiné fyzické osoby. V případě kladné odpovědi je takové zpracování osobních údajů až na výjimky stanovené v čl. 9 odst. 2 GDPR zakázáno.

69

Jak v podstatě uvedl generální advokát v bodech 40 a 41 svého stanoviska, je tento principiální zákaz stanovený v čl. 9 odst. 1 GDPR nezávislý na tom, zda jsou informace odhalené dotčeným zpracováním správné, či nikoli, a zda správce jedná za účelem získání informací spadajících do některé ze zvláštních kategorií uvedených v tomto ustanovení.

70

S ohledem na závažná rizika pro základní práva a svobody subjektů údajů způsobená jakýmkoli zpracováním osobních údajů spadajících do kategorií uvedených v čl. 9 odst. 1 GDPR je totiž cílem tohoto článku zakázat toto zpracování bez ohledu na jeho deklarovaný účel.

71

V projednávané věci spočívá zpracování dotčené ve věci v původním řízení prováděné společností Meta Platforms Ireland především ve shromažďování osobních údajů uživatelů sociální sítě Facebook, když zobrazí internetové stránky nebo aplikace – včetně těch, které mohou odhalit informace spadající do jedné nebo více kategorií uvedených v čl. 9 odst. 1 GDPR – a případně do nich vkládají informace v rámci registrace nebo při uskutečňování on-line objednávek, dále v propojování těchto údajů s účtem těchto uživatelů na sociální síti a konečně v použití uvedených údajů.

72

V tomto ohledu bude na předkládajícím soudu, aby určil, zda takto shromážděné údaje samy o sobě nebo prostřednictvím propojení s účty dotčených uživatelů na Facebooku skutečně umožňují odhalit takové informace, ať již se tyto informace týkají uživatele této sítě, nebo jakékoli jiné fyzické osoby. S ohledem na otázky tohoto soudu je však třeba upřesnit, že s výhradou ověření, která musí tento soud provést, se jeví, že zpracování údajů týkajících se zobrazení předmětných internetových stránek nebo aplikací může v některých případech takové informace odhalit, aniž by bylo nezbytné, aby uvedení uživatelé do těchto stránek vkládali informace tím, že se na nich budou registrovat nebo budou uskutečňovat on-line objednávky.

73

S ohledem na výše uvedené je třeba na druhou otázku písm. a) odpovědět tak, že čl. 9 odst. 1 GDPR musí být vykládán v tom smyslu, že v případě, kdy uživatel sociální sítě zobrazí internetové stránky nebo aplikace mající vztah k jedné nebo více kategoriím uvedeným v tomto ustanovení, a případně do nich zadá údaje tím, že se zaregistruje nebo uskuteční on-line objednávky, musí být zpracování osobních údajů provozovatelem této sociální sítě, které spočívá ve shromažďování údajů získaných zobrazením těchto stránek a aplikací a údajů zadaných uživatelem prostřednictvím integrovaných rozhraní, souborů cookies nebo podobných technologií pro ukládání dat, v propojování všech těchto údajů s účtem uživatele na sociální síti a v použití uvedených údajů tímto provozovatelem, považováno za „zpracování zvláštních kategorií osobních údajů“ ve smyslu uvedeného ustanovení, které je až na výjimky stanovené v tomto čl. 9 odst. 2 v zásadě zakázáno, pokud mohou být v důsledku tohoto zpracování údajů odhaleny informace spadající do jedné z těchto kategorií, ať již se tyto informace týkají uživatele této sítě, nebo jakékoli jiné fyzické osoby.

74

Pokud jde o druhou otázku písm. b), jak byla přeformulována v bodě 65 tohoto rozsudku a která se týká výjimky stanovené v čl. 9 odst. 2 písm. e) GDPR, je třeba připomenout, že podle tohoto ustanovení principiální zákaz jakéhokoli zpracování zvláštních kategorií osobních údajů stanovený v tomto čl. 9 odst. 1 neplatí v případě, že se zpracování týká osobních údajů „zjevně zveřejněných subjektem údajů“.

75

Je třeba předeslat, že se tato výjimka vztahuje pouze na údaje zjevně zveřejněné „subjektem údajů“. Nevztahuje se tudíž na údaje týkající se jiných osob, než té, která tyto údaje zveřejnila.

76

Dále je třeba uvést, že jelikož čl. 9 odst. 2 GDPR stanoví výjimku ze zásady zákazu zpracování zvláštních kategorií osobních údajů, musí být vykládán restriktivně (v tomto smyslu viz rozsudky ze dne 17. září 2014, Baltic Agro, C‑3/13, EU:C:2014:2227, bod 24 a citovaná judikatura, a ze dne 6. června 2019, Weil, C‑361/18, EU:C:2019:473, bod 43 a citovaná judikatura).

77

Z toho plyne, že pro účely uplatnění výjimky stanovené v čl. 9 odst. 2 písm. e) GDPR je třeba ověřit, zda subjekt údajů zamýšlel výslovně a jednoznačným potvrzujícím úkonem zpřístupnit předmětné osobní údaje široké veřejnosti.

78

Pokud jde v tomto ohledu o zobrazení internetových stránek nebo aplikací majících vztah k jedné nebo více kategoriím uvedeným v čl. 9 odst. 1 GDPR, je třeba konstatovat, že tímto zobrazením nemá dotyčný uživatel v žádném případě v úmyslu zveřejnit skutečnost, že zobrazil tyto stránky nebo tyto aplikace, ani údaje týkající se tohoto zobrazení, které mohou být spojeny s jeho osobou. Tento uživatel totiž může nanejvýš očekávat, že provozovatel internetových stránek nebo aplikace bude mít přístup k těmto údajům a že je bude případně sdílet – s výhradou výslovného souhlasu uděleného tímto uživatelem – s určitými třetími osobami, a nikoli s širokou veřejností.

79

Z pouhého zobrazení takových internetových stránek nebo aplikací uživatelem tedy nelze dovodit, že uvedené osobní údaje byly tímto uživatelem zjevně zveřejněny ve smyslu čl. 9 odst. 2 písm. e) GDPR.

80

Na druhé straně, pokud jde o aktivity spočívající v zadávání údajů na uvedených internetových stránkách nebo v uvedených aplikacích, jakož i v kliknutí na taková tlačítka na těchto internetových stránkách nebo aplikacích, jako jsou tlačítka „to se mi líbí“ nebo „sdílet“ nebo tlačítka umožňující uživateli přihlásit se k internetové stránce nebo k aplikaci za použití přihlašovacích údajů spojených s jeho uživatelským účtem na Facebooku, jeho telefonním číslem nebo e-mailovou adresou, je třeba uvést, že s těmito aktivitami je spojena interakce mezi tímto uživatelem a předmětnou internetovou stránkou nebo aplikací a případně internetovou stránkou sociální sítě, jejíž formy publicity se mohou lišit, neboť mohou být uvedeným uživatelem individuálně nastaveny.

81

Za těchto podmínek přísluší předkládajícímu soudu, aby ověřil, zda dotyční uživatelé mají možnost se na základě nastavení provedeného se znalostí věci rozhodnout, že údaje zadané na předmětných internetových stránkách nebo v aplikacích, jakož i údaje vyplývající z kliknutí na tlačítka na těchto stránkách zpřístupní široké veřejnosti, nebo naopak více či méně omezenému počtu vybraných osob.

82

Pokud dotyční uživatelé takovou volbu skutečně mají, lze mít za to, že když dobrovolně zadávají údaje na internetové stránce nebo v aplikaci nebo kliknou na tlačítka na této stránce nebo v této aplikaci, zjevně zveřejňují údaje, které se jich týkají, ve smyslu čl. 9 odst. 2 písm. e) GDPR, pouze v případě, že tito uživatelé na základě individuálního nastavení provedeného s plnou znalostí věci jasně vyjádřili svou volbu, že tyto údaje mají být zpřístupněny neomezenému počtu osob, což přísluší ověřit předkládajícímu soudu.

83

Není-li však takové individuální nastavení nabízeno, je třeba mít s ohledem na to, co bylo uvedeno v bodě 77 tohoto rozsudku, za to, že pokud uživatelé dobrovolně zadají údaje na internetové stránce nebo v aplikaci nebo kliknou na tlačítka na těchto stránkách nebo v těchto aplikacích, musí k tomu, aby bylo možné mít za to, že tyto údaje zjevně zveřejnili, na základě výslovné informace poskytnuté touto stránkou nebo aplikací před takovým zadáním nebo kliknutím výslovně souhlasit s tím, že uvedené údaje mohou být zobrazeny jakoukoli osobou, která má přístup k uvedené stránce nebo aplikaci.

84

S ohledem na výše uvedené je třeba na druhou otázku písm. b) odpovědět tak, že čl. 9 odst. 2 písm. e) GDPR musí být vykládán v tom smyslu, že pokud uživatel sociální sítě zobrazí internetové stránky nebo aplikace mající vztah k jedné nebo více kategoriím uvedeným v čl. 9 odst. 1 GDPR, nezveřejňuje zjevně údaje týkající se tohoto zobrazení shromážděné provozovatelem této sociální sítě prostřednictvím souborů cookies nebo podobných technologií pro ukládání dat ve smyslu prvně uvedeného ustanovení.

85

Pokud takový uživatel zadává údaje na takových internetových stránkách nebo v takovýchto aplikacích nebo klikne-li na tlačítka „to se mi líbí“ nebo „sdílet“ nebo tlačítka umožňující uživateli identifikovat se na těchto stránkách nebo v těchto aplikacích pomocí přihlašovacích údajů spojených s jeho uživatelským účtem na sociální síti, telefonním číslem nebo e-mailovou adresou, zjevně zveřejňuje ve smyslu tohoto čl. 9 odst. 2 písm. e) takto zadané údaje nebo údaje vyplývající z kliknutí na tato tlačítka pouze v případě, že předem výslovně vyjádřil svou volbu, případně na základě individuálního nastavení provedeného s plnou znalostí věci, zpřístupnit údaje, které se ho týkají, neomezenému počtu osob.

86

Podstatou třetí a čtvrté otázky předkládajícího soudu, které je třeba posoudit společně, je, zda a za jakých podmínek musí být čl. 6 odst. 1 první pododstavec písm. b) a f) GDPR vykládán v tom smyslu, že zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem těchto uživatelů na sociální síti a v použití těchto údajů lze považovat za nezbytné pro splnění smlouvy, jejíž smluvními stranami jsou subjekty údajů, ve smyslu písmene b), nebo pro účely oprávněných zájmů správce nebo třetí strany ve smyslu písmene f). Tento soud si zejména klade otázku, zda některé zájmy, které výslovně uvádí, představují „oprávněný zájem“ ve smyslu posledně uvedeného ustanovení.

87

Podstatou páté otázky předkládajícího soudu je, zda čl. 6 odst. 1 první pododstavec písm. c) až e) GDPR musí být vykládán v tom smyslu, že takové zpracování osobních údajů může být považováno za nezbytné pro splnění právní povinnosti, která se na správce vztahuje, ve smyslu písmene c), pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby ve smyslu písmene d), nebo splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, ve smyslu písmene e), pokud je toto zpracování prováděno za účelem odpovědi na právoplatnou žádost o poskytnutí určitých údajů za účelem boje proti škodlivému chování a podpory bezpečnosti a za účelem výzkumu prováděného v zájmu společnosti a s cílem podpořit ochranu, integritu a bezpečnost.

88

Na úvod je třeba zaprvé poznamenat, že třetí až pátá otázka jsou položeny z důvodu, že podle zjištění Spolkového úřadu pro hospodářskou soutěž v jeho rozhodnutí ze dne 6. února 2019 nelze mít za to, že uživatelé sociální sítě Facebook udělili souhlas se zpracováním svých údajů dotčených ve věci v původním řízení ve smyslu čl. 6 odst. 1 první pododstavec písm. a) a čl. 9 odst. 2 písm. a) GDPR. V tomto kontextu má tedy předkládající soud – ačkoli se Soudního dvora na tento předpoklad táže v rámci šesté otázky – za to, že musí ověřit, zda toto zpracování odpovídá některé z ostatních podmínek zákonnosti uvedených v tomto čl. 6 odst. 1 první pododstavec písm. b) až f) tohoto nařízení.

89

V tomto rámci je třeba uvést, že operace shromažďování, propojování a používání údajů, na něž míří třetí až pátá otázka, mohou zahrnovat jak citlivé údaje ve smyslu čl. 9 odst. 1 GDPR, tak necitlivé údaje. Je přitom třeba upřesnit, že v případě, kdy je soubor údajů, který obsahuje jak citlivé, tak necitlivé údaje, předmětem takových operací a je zejména shromažďován jako celek, aniž mohou být údaje v okamžiku tohoto shromažďování od sebe odděleny, musí být zpracování tohoto souboru údajů považováno za zakázané ve smyslu čl. 9 odst. 1 GDPR, pokud obsahuje alespoň jeden citlivý údaj a nepoužije se žádná z výjimek uvedených v čl. 9 odst. 2 tohoto nařízení.

90

Zadruhé je za účelem odpovědi na třetí až pátou otázku třeba připomenout, že čl. 6 odst. 1 první pododstavec GDPR stanoví taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby mohlo být zpracování považováno za oprávněné, musí tedy jít o jeden z případů stanovených v tomto ustanovení [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 99 a citovaná judikatura].

91

Podle čl. 6 odst. 1 prvního pododstavce písm. a) tohoto nařízení je zpracování osobních údajů zákonné, pokud subjekt údajů udělil souhlas pro jeden či více konkrétních účelů a pouze v odpovídajícím rozsahu.

92

Bez takového souhlasu, nebo pokud tento souhlas nebyl udělen svobodně, konkrétně, informovaným a jednoznačným způsobem ve smyslu čl. 4 bodu 11 GDPR, je takové zpracování přesto odůvodněné, pokud splňuje jeden z požadavků nezbytnosti uvedených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) tohoto nařízení.

93

V této souvislosti musí být odůvodnění stanovená v posledně uvedeném ustanovení – jelikož mohou vést k tomu, že zpracování osobních údajů bude zákonné i bez souhlasu subjektu údajů – vykládána restriktivně [v tomto smyslu viz rozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely), C‑175/20, EU:C:2022:124, bod 73 a citovaná judikatura].

94

Soudní dvůr mimoto judikoval, že je-li možné konstatovat, že zpracování osobních údajů je nezbytné s ohledem na některý z důvodů stanovených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) GDPR, není třeba zjišťovat, zda se na toto zpracování vztahuje i nějaký další z těchto důvodů (v tomto smyslu viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 71).

95

A konečně je třeba upřesnit, že v souladu s článkem 5 nařízení GDPR je na správci, aby prokázal, že tyto údaje jsou shromažďovány zejména pro určité, výslovně vyjádřené a legitimní účely a že jsou ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem. Kromě toho podle čl. 13 odst. 1 písm. c) tohoto nařízení platí, že pokud se osobní údaje získávají od subjektu údajů, je správce povinen informovat subjekt údajů o účelech zpracování, pro které jsou tyto údaje určeny, a o právním základu tohoto zpracování.

96

I když je na předkládajícím soudu, aby určil, zda jsou jednotlivé prvky zpracování, o které se jedná ve věci v původním řízení, odůvodněny tou či onou potřebou uvedenou v čl. 6 odst. 1 prvním pododstavci písm. b) až f) GDPR, Soudní dvůr mu nicméně může poskytnout užitečná vodítka, jež mu umožní rozhodnout spor, který mu byl předložen.

97

Pokud jde na prvním místě o čl. 6 odst. 1 první pododstavec písm. b) GDPR, ten stanoví, že zpracování osobních údajů je zákonné, pokud je „nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy“.

98

V tomto ohledu k tomu, aby bylo zpracování osobních údajů považováno za nezbytné pro splnění smlouvy ve smyslu tohoto ustanovení, musí být objektivně nezbytné pro uskutečnění účelu, který je nedílnou součástí smluvního plnění určeného subjektu údajů. Správce tedy musí být schopen prokázat, proč by bez předmětného zpracování nemohlo být dosaženo hlavního předmětu smlouvy.

99

Skutečnost, že je takové zpracování zmíněno ve smlouvě nebo že je pouze užitečné pro její splnění, je sama o sobě v tomto ohledu irelevantní. Pro účely uplatnění odůvodnění uvedeného v čl. 6 odst. 1 prvním pododstavci písm. b) GDPR je totiž rozhodující, že zpracování osobních údajů prováděné správcem je zásadní pro správné splnění smlouvy uzavřené mezi správcem a subjektem údajů, a tudíž neexistují jiná proveditelná a méně omezující řešení.

100

V tomto ohledu platí, jak uvedl generální advokát v bodě 54 svého stanoviska, že pokud smlouva upravuje několik služeb nebo několik různých složek jedné služby, které mohou být poskytnuty nezávisle na sobě, musí být použitelnost čl. 6 odst. 1 prvního pododstavce písm. b) GDPR posuzována odděleně v kontextu každé z těchto služeb.

101

V projednávané věci předkládající soud v rámci odůvodnění, která mohou spadat do působnosti tohoto ustanovení, odkazuje jako na skutečnosti směřující k zajištění řádného splnění smlouvy uzavřené mezi společností Meta Platforms Ireland a jejími uživateli na personalizaci obsahu, jakož i stejnorodé a plynulé využívání služeb poskytovaných skupinou Meta.

102

Pokud jde zaprvé o odůvodnění vycházející z personalizace obsahu, je třeba uvést, že i když je taková personalizace pro uživatele užitečná, neboť mu mimo jiné umožňuje zobrazení obsahu, který do značné míry odpovídá jeho zájmům, nic to nemění na tom, že s výhradou ověření, které musí provést předkládající soud, se personalizace obsahu nejeví být nezbytná k tomu, aby tomuto uživateli byly nabízeny služby sociální sítě. Tyto služby mu mohou být případně poskytovány ve formě rovnocenné alternativy nezahrnující takovou personalizaci, takže tato personalizace není objektivně nezbytná pro účel, který je nedílnou součástí těchto služeb.

103

Pokud jde zadruhé o odůvodnění vycházející ze stejnorodého a plynulého využívání služeb poskytovaných skupinou Meta, ze spisu, jejž má Soudní dvůr k dispozici, vyplývá, že osoba není povinna přihlásit se k různým službám nabízeným skupinou Meta, aby mohla vytvořit uživatelský účet v sociální síti Facebook. Jednotlivé produkty a služby nabízené touto skupinou totiž mohou být používány nezávisle na sobě a použití každého produktu nebo služby je založeno na uzavření samostatné uživatelské smlouvy.

104

S výhradou ověření předkládajícím soudem se tudíž zpracování osobních údajů pocházejících z jiných služeb než služby sociální sítě, které nabízí skupina Meta, nejeví být nezbytné k tomu, aby bylo umožněno poskytování posledně uvedené služby.

105

Pokud jde na druhém místě o čl. 6 odst. 1 první pododstavec písm. f) GDPR, ten stanoví, že zpracování osobních údajů je zákonné, pokud je „nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě“.

106

Jak již Soudní dvůr judikoval, stanoví toto ustanovení tři kumulativní podmínky pro to, aby bylo zpracování osobních údajů, na které se vztahuje, zákonné, a to zaprvé sledování oprávněného zájmu správce nebo třetí strany, zadruhé nezbytnost zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu a zatřetí podmínku, že před tímto zájmem nemají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů (rozsudek ze dne 17. června 2021, M. I. C. M, C‑597/19, EU:C:2021:492, bod 106 a citovaná judikatura).

107

Pokud jde zaprvé o podmínku týkající se sledování oprávněného zájmu, je třeba upřesnit, že v souladu s čl. 13 odst. 1 písm. d) GDPR je na správci, aby v okamžiku, kdy jsou osobní údaje týkající se subjektu údajů od tohoto subjektu získány, sdělil uvedenému subjektu sledované oprávněné zájmy, pokud je toto zpracování založeno na čl. 6 odst. 1 prvním pododstavci písm. f) tohoto nařízení.

108

Pokud jde zadruhé o podmínku týkající se nezbytnosti zpracování osobních údajů pro uskutečnění sledovaného oprávněného zájmu, ta předkládajícímu soudu ukládá, aby ověřil, že sledovaného oprávněného zájmu na zpracování údajů nemůže být rozumně dosaženo stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv a svobod subjektů údajů, zejména pak práv na respektování soukromého života a ochranu osobních údajů, které jsou zaručeny články 7 a 8 Listiny [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 110 a citovaná judikatura].

109

V této souvislosti je třeba rovněž připomenout, že podmínka nezbytnosti zpracování údajů musí být posuzována společně se zásadou „minimalizace údajů“ zakotvenou v čl. 5 odst. 1 písm. c) GDPR, podle kterého musí být osobní údaje „přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány“ (v tomto smyslu viz rozsudek ze dne 11. prosince 2019, Asociația de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, bod 48).

110

Pokud jde zatřetí o podmínku, že zájmy nebo základní práva a svobody subjektu, na který se vztahuje ochrana údajů, nemají přednost před oprávněným zájmem správce nebo třetí osoby, Soudní dvůr již rozhodl, že tato podmínka zahrnuje vyvážení protichůdných práv a zájmů, které v zásadě závisí na konkrétních okolnostech každého jednotlivého případu, a že je tedy na předkládajícím soudu, aby toto vyvážení provedl s přihlédnutím k těmto specifickým okolnostem (rozsudek ze dne 17. června 2021, M. I. C. M., C‑597/19, EU:C:2021:492, bod 111 a citovaná judikatura).

111

V tomto ohledu ze samotného znění čl. 6 odst. 1 prvního pododstavce písm. f) GDPR vyplývá, že v rámci takového vážení je nezbytné věnovat zvláštní pozornost situaci, kdy je subjektem údajů dítě. Podle bodu 38 odůvodnění tohoto nařízení totiž děti zasluhují zvláštní ochranu osobních údajů, protože si mohou být méně vědomy rizik, důsledků a záruk a svých práv v souvislosti se zpracováním osobních údajů. Tato zvláštní ochrana by se měla vztahovat zejména na používání osobních údajů dětí pro účely marketingu nebo vytváření osobnostních či uživatelských profilů a shromažďování osobních údajů týkajících se dětí při využívání služeb nabízených přímo dětem.

112

Kromě toho, jak vyplývá z bodu 47 odůvodnění GDPR, by zájmy a základní práva subjektu údajů mohly mít přednost před zájmy správce údajů zejména tehdy, jestliže ke zpracování osobních údajů dochází za okolností, kdy subjekty údajů jejich další zpracování důvodně neočekávají.

113

V projednávané věci předkládající soud v rámci odůvodnění, která mohou spadat do působnosti čl. 6 odst. 1 prvního pododstavce písm. f) GDPR, odkazuje na personalizaci reklamy, bezpečnost sítě, zlepšení produktu, informování orgánů činných v trestním řízení, jakož i výkon trestů, na skutečnost, že uživatel je nezletilou osobou, na výzkum a inovace pro sociální účely, jakož i nabídku služeb obchodní komunikace zacílenou na uživatele a analytických nástrojů, které jim umožňují zhodnotit jejich výkonnost, určenou inzerentům a jiným profesionálním partnerům.

114

V tomto ohledu je třeba bez dalšího uvést, že žádost o rozhodnutí o předběžné otázce neobsahuje vysvětlení umožňující pochopit, jak by výzkum a inovace pro sociální účely nebo skutečnost, že uživatel je nezletilou osobou, mohly jakožto oprávněné zájmy ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR odůvodnit shromažďování a využívání předmětných údajů. Soudní dvůr se proto nemůže v tomto ohledu vyjádřit.

115

Pokud jde zaprvé o personalizaci reklamy, je třeba poukázat na to, že z bodu 47 odůvodnění tohoto nařízení vyplývá, že zpracování osobních údajů pro účely přímého marketingu lze považovat za zpracování prováděné z důvodu oprávněného zájmu správce.

116

Je však ještě třeba, aby toto zpracování bylo nezbytné k naplnění tohoto zájmu a aby zájmy nebo základní práva a svobody subjektu údajů neměly před tímto právem přednost. V rámci tohoto poměřování předmětných protichůdných práv a zájmů, a sice práv a zájmů správce na straně jedné a práv a zájmů subjektu údajů na straně druhé, je třeba zohlednit – jak bylo uvedeno v bodě 112 tohoto rozsudku – mimo jiné rozumná očekávání subjektu údajů a rozsah předmětného zpracování a jeho dopad na tuto osobu.

117

V tomto ohledu je třeba uvést, že i přes bezplatnost služeb takové sociální sítě, jako je Facebook, nemůže uživatel této sítě rozumně očekávat, že provozovatel této sociální sítě bude bez souhlasu tohoto uživatele zpracovávat jeho osobní údaje pro účely personalizace reklamy. Za těchto podmínek je třeba mít za to, že zájmy a základní práva takového uživatele mají přednost před zájmem tohoto provozovatele na takové personalizaci reklamy, kterou financuje svou činnost, takže zpracování prováděné tímto provozovatelem za takovým účelem nemůže spadat pod čl. 6 odst. 1 první pododstavec písm. f) GDPR.

118

Kromě toho je zpracování dotčené ve věci v původním řízení obzvláště rozsáhlé, jelikož se týká potenciálně neomezených údajů a má významný dopad na uživatele, když velkou část jeho činností, ne-li všechny jeho činnosti, sleduje společnost Meta Platforms Ireland, což u uživatele může vzbudit dojem, že jeho soukromý život je nepřetržitě sledován.

119

Zadruhé, pokud jde o cíl spočívající v zajištění bezpečnosti sítě, tento cíl představuje, jak uvádí bod 49 odůvodnění GDPR, oprávněný zájem společnosti Meta Platforms Ireland, který může odůvodnit zpracování dotčené ve věci v původním řízení.

120

Pokud však jde o nezbytnost tohoto zpracování pro sledování tohoto oprávněného zájmu, bude předkládající soud muset ověřit, zda a v jakém rozsahu je zpracování osobních údajů shromážděných ze zdrojů pocházejících mimo sociální síť Facebook skutečně nezbytné k zajištění toho, aby vnitřní bezpečnost této sítě nebyla ohrožena.

121

V tomto kontextu, jak bylo uvedeno v bodech 108 a 109 tohoto rozsudku, bude předkládající soud muset rovněž ověřit, zda sledovaného oprávněného zájmu na zpracování údajů nelze rozumně dosáhnout stejně účinným způsobem jinými prostředky, které méně zasahují do základních práv a svobod subjektů údajů, zejména do práv na respektování soukromého života a na ochranu osobních údajů, zaručených články 7 a 8 Listiny, a zda je dodržena tzv. zásada „minimalizace údajů“ zakotvená v čl. 5 odst. 1 písm. c) GDPR.

122

Zatřetí, pokud jde o cíl spočívající ve zlepšení produktu, nelze a priori vyloučit, že zájem správce na zlepšení jeho produktu nebo služby, aby se staly výkonnějšími, a tím i přitažlivějšími, může představovat oprávněný zájem umožňující odůvodnit zpracování osobních údajů a že takové zpracování může být nezbytné pro sledování tohoto zájmu.

123

S výhradou konečného posouzení, které musí v tomto ohledu provést předkládající soud, však lze pochybovat o tom, že pokud jde o zpracování údajů dotčené ve věci v původním řízení, může mít cíl spočívající ve zlepšení produktu s ohledem na rozsah tohoto zpracování a jeho významný dopad na uživatele, jakož i okolnost, že uživatel nemůže rozumně očekávat, že tyto údaje budou zpracovány společností Meta Platforms Ireland, přednost před zájmy a základními právy takového uživatele, a to tím spíše v případě, že se jedná o dítě.

124

Začtvrté, pokud jde o cíl uvedený předkládajícím soudem, který se týká informování orgánů činných v trestním řízení a při výkonu trestů, směřující k předcházení, odhalování a stíhání trestných činů, je třeba konstatovat, že tento cíl nemůže v zásadě představovat oprávněný zájem sledovaný správcem ve smyslu čl. 6 odst. 1 prvního pododstavce písm. f) GDPR. Takový soukromý subjekt, jako je společnost Meta Platforms Ireland, se totiž nemůže dovolávat takového oprávněného zájmu nesouvisejícího s jeho hospodářskou a obchodní činností. Naproti tomu může být uvedeným cílem odůvodněno zpracování prováděné takovým subjektem, pokud je objektivně nezbytné ke splnění právní povinnosti, které tento subjekt podléhá.

125

S ohledem na výše uvedené je třeba na třetí a čtvrtou otázku odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. b) GDPR musí být vykládán v tom smyslu, že zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem uvedených uživatelů na sociální síti a v použití uvedených údajů, může být považováno za nezbytné pro splnění smlouvy, jejíž stranami jsou subjekty údajů, ve smyslu tohoto ustanovení, pouze za podmínky, že je toto zpracování objektivně nezbytné pro uskutečnění účelu, který je nedílnou součástí smluvního plnění určeného týmž uživatelům, takže by bez tohoto zpracování nemohlo být dosaženo hlavního předmětu smlouvy.

126

Článek 6 odst. 1 první pododstavec písm. f) GDPR musí být vykládán v tom smyslu, že takové zpracování může být považováno za nezbytné pro účely oprávněných zájmů sledovaných správcem nebo třetí osobou ve smyslu tohoto ustanovení pouze za podmínky, že uvedený provozovatel informoval uživatele, od nichž byly údaje shromážděny, o oprávněném zájmu sledovaném jejich zpracováním, že toto zpracování je prováděno v mezích toho, co je nezbytně nutné pro uskutečnění tohoto oprávněného zájmu, a že z poměření protichůdných zájmů s ohledem na všechny relevantní okolnosti vyplývá, že zájmy nebo základní práva a svobody těchto uživatelů nemají přednost před uvedeným oprávněným zájmem správce nebo třetí strany.

127

Zaprvé je třeba v rozsahu, v němž se tato otázka týká čl. 6 odst. 1 prvního pododstavce písm. c) a e) GDPR, připomenout, že podle tohoto písmene c) je zpracování osobních údajů zákonné, pokud je nezbytné pro splnění právní povinnosti, která se na správce vztahuje. Kromě toho je podle tohoto písmene e) zákonné také zpracování, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce.

128

Článek 6 odst. 3 GDPR ohledně obou těchto případů, kdy je zpracování zákonné, mimo jiné upřesňuje, že zpracování musí být založeno na unijním právu nebo na právu členského státu, které se na správce vztahuje, a že tento právní základ musí splňovat cíl veřejného zájmu a být přiměřený sledovanému legitimnímu cíli.

129

V projednávané věci se předkládající soud táže, zda takové zpracování osobních údajů, o jaké jde ve věci v původním řízení, může být považováno za odůvodněné s ohledem na čl. 6 odst. 1 první pododstavec písm. c) GDPR, pokud má za cíl „odpovědět na právoplatnou žádost o poskytnutí určitých údajů“, a s ohledem na čl. 6 odst. 1 první pododstavec písm. e) tohoto nařízení, pokud je jeho cílem „výzkum prováděný v zájmu společnosti“ a za účelem „podpory ochrany, integrity a bezpečnosti“.

130

Je však třeba konstatovat, že tento soud neposkytl Soudnímu dvoru informace, které by mu v tomto ohledu umožnily konkrétně rozhodnout.

131

Bude tedy na uvedeném soudu, aby s ohledem na podmínky uvedené v bodě 128 tohoto rozsudku ověřil, zda lze uvedené zpracování považovat za odůvodněné uvedenými účely.

132

Konkrétně bude s ohledem na to, co bylo uvedeno v bodě 124 tohoto rozsudku, na předkládajícím soudu, aby pro účely použití čl. 6 odst. 1 prvního pododstavce písm. c) GDPR ověřil, zda má společnost Meta Platforms Ireland zákonnou povinnost shromažďovat a uchovávat osobní údaje preventivně, aby mohla odpovědět na jakoukoli žádost vnitrostátního orgánu směřující k získání určitých údajů týkajících se jejích uživatelů.

133

Stejně tak bude na uvedeném soudu, aby s ohledem na čl. 6 odst. 1 první pododstavec písm. e) GDPR posoudil, zda je společnost Meta Platforms Ireland pověřena úkolem ve veřejném zájmu nebo při výkonu veřejné moci, zejména s cílem zajistit výzkum v zájmu společnosti, jakož i podporovat ochranu, integritu a bezpečnost, přičemž je třeba upřesnit, že se s ohledem na povahu a převážně hospodářský a obchodní charakter její činnosti jeví jako málo pravděpodobné, že by tento soukromý hospodářský subjekt byl takovým úkolem pověřen.

134

Kromě toho bude muset předkládající soud případně ověřit, zda s ohledem na rozsah zpracování údajů prováděného společností Meta Platforms Ireland a na jeho významný dopad na uživatele sociální sítě Facebook je toto zpracování prováděno v mezích toho, co je nezbytně nutné.

135

Pokud jde zadruhé o čl. 6 odst. 1 první pododstavec písm. d) GDPR, toto ustanovení stanoví, že zpracování osobních údajů je zákonné, pokud je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby.

136

Jak vyplývá z bodu 46 odůvodnění tohoto nařízení, týká se toto ustanovení zvláštní situace, kdy je zpracování osobních údajů nezbytné pro ochranu životně důležitého zájmu subjektu údajů nebo jiné fyzické osoby. Tento bod odůvodnění uvádí v tomto ohledu jako příklad humanitární účely, včetně monitorování epidemií a jejich šíření, nebo naléhavé humanitární situace, zejména přírodní a člověkem způsobené katastrofy.

137

Z těchto příkladů, jakož i z restriktivního výkladu, který je třeba dát čl. 6 odst. 1 prvnímu pododstavci písm. d) GDPR, vyplývá, že s ohledem na povahu služeb poskytovaných provozovatelem sociální sítě se takový provozovatel, jehož činnost má převážně hospodářskou a obchodní povahu, nemůže dovolávat ochrany životně důležitého zájmu svých uživatelů nebo jiné osoby, aby povšechně a čistě abstraktně a preventivně odůvodnil zákonnost takového zpracování údajů, jako je zpracování dotčené ve věci v původním řízení.

138

S ohledem na výše uvedené je třeba na pátou otázku odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. c) GDPR musí být vykládán v tom smyslu, že zpracování osobních údajů prováděné provozovatelem sociální sítě, které spočívá ve shromažďování údajů o uživatelích takové sítě, které pocházejí z jiných služeb skupiny, do níž tento provozovatel patří, nebo ze zobrazení internetových stránek nebo aplikací třetích osob těmito uživateli, v propojování těchto údajů s účtem uvedených uživatelů na sociální síti a v použití uvedených údajů, je na základě tohoto ustanovení odůvodněno, jestliže je skutečně nezbytné ke splnění právní povinnosti, která se na správce vztahuje na základě ustanovení unijního práva nebo práva dotyčného členského státu, tento právní základ odpovídá cíli veřejného zájmu a je přiměřený sledovanému legitimnímu cíli a toto zpracování je prováděno v mezích toho, co je nezbytně nutné.

139

Článek 6 odst. 1 první pododstavec písm. d) a e) GDPR musí být vykládán v tom smyslu, že takové zpracování osobních údajů nemůže být – v zásadě a s výhradou ověření, které musí provést předkládající soud – považováno za nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby ve smyslu písmene d) nebo pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, ve smyslu písmene e).

140

Podstatou šesté otázky předkládajícího soudu je, zda čl. 6 odst. 1 první pododstavec písm. a) a čl. 9 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že lze mít za to, že souhlas, který uživatel sociální sítě udělí provozovateli takové sítě, splňuje podmínky platnosti stanovené v čl. 4 bodě 11 tohoto nařízení, zejména podmínku, že tento souhlas musí být udělen svobodně, pokud má tento provozovatel dominantní postavení na trhu sociálních sítí.

141

Článek 6 odst. 1 první pododstavec písm. a) GDPR vyžaduje souhlas subjektu údajů se zpracováním jeho osobních údajů pro jeden či více konkrétních účelů a čl. 9 odst. 2 písm. a) GDPR vyžaduje souhlas subjektu údajů se zpracováním zvláštních kategorií údajů uvedených v tomto čl. 9 odst. 1.

142

Podle čl. 4 bodu 11 GDPR se „souhlasem“ rozumí „jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů“.

143

S ohledem na pochybnosti předkládajícího soudu je třeba zaprvé připomenout, že podle bodu 42 odůvodnění GDPR nelze souhlas považovat za svobodný, pokud subjekt údajů nemá skutečnou nebo svobodnou volbu nebo nemůže souhlas odmítnout nebo odvolat, aniž by byl poškozen.

144

Zadruhé bod 43 odůvodnění tohoto nařízení uvádí, že s cílem zajistit, aby byl souhlas svobodný, by vyjádření souhlasu nemělo představovat platný právní důvod pro zpracování osobních údajů v případě, kdy mezi subjektem údajů a správcem existuje jasná nerovnováha. Tento bod odůvodnění rovněž upřesňuje, že lze předpokládat, že souhlas není svobodný, není-li možné vyjádřit samostatný souhlas s jednotlivými operacemi zpracování osobních údajů, i když je to v daném případě vhodné.

145

Zatřetí čl. 7 odst. 4 GDPR stanoví, že při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.

146

Na šestou otázku je třeba odpovědět na základě těchto úvah.

147

V tomto ohledu je třeba konstatovat, že okolnost, že provozovatel sociální sítě má jakožto správce dominantní postavení na trhu sociálních sítí, zajisté jako taková nebrání tomu, aby uživatelé této sociální sítě mohli platně udělit souhlas se zpracováním svých osobních údajů tímto provozovatelem ve smyslu čl. 4 bodu 11 GDPR.

148

To však nemění nic na tom, jak v podstatě uvedl generální advokát v bodě 75 svého stanoviska, že taková okolnost musí být zohledněna při posouzení, zda je souhlas udělený uživatelem této sítě platný, a zejména svobodný, jelikož může ovlivnit svobodu volby tohoto uživatele, který nemusí být schopen odmítnout nebo odvolat svůj souhlas, aniž by byl poškozen, jak uvádí bod 42 odůvodnění GDPR.

149

Kromě toho existence takového dominantního postavení může způsobit zjevnou nerovnováhu ve smyslu bodu 43 odůvodnění GDPR mezi subjektem údajů a správcem, přičemž tato nerovnováha mimo jiné nahrává vytvoření podmínek, které nejsou nezbytně nutné pro splnění smlouvy, což musí být v souladu s čl. 7 odst. 4 tohoto nařízení zohledněno. V této souvislosti je třeba připomenout, jak bylo uvedeno v bodech 102 až 104 tohoto rozsudku, že s výhradou ověření, která musí provést předkládající soud, se nejeví, že je zpracování dotčené ve věci v původním řízení nezbytně nutné pro splnění smlouvy mezi společností Meta Platforms Ireland a uživateli sociální sítě Facebook.

150

Tito uživatelé proto musí mít v rámci smluvního procesu možnost individuálně neudělit souhlas se zvláštními operacemi zpracování údajů, které nejsou nezbytně nutné pro splnění smlouvy, aniž by byli povinni se v plném rozsahu vzdát využívání služby nabízené provozovatelem sociální sítě, což znamená, že uvedeným uživatelům bude nabídnuta, případně za přiměřenou odměnu, rovnocenná alternativa, se kterou nejsou spojeny takovéto operace zpracování údajů.

151

Navíc s ohledem na rozsah předmětného zpracování údajů a jeho významný dopad na uživatele této sítě, jakož i na okolnost, že tito uživatelé nemohou rozumně očekávat, že provozovatel bude zpracovávat jiné údaje než údaje týkající se jejich chování v rámci sociální sítě, je ve smyslu tohoto bodu 43 odůvodnění přiměřené, aby mohl být udělen samostatný souhlas jednak s posledně uvedenými údaji a jednak s údaji off Facebook. Je na předkládajícím soudu, aby existenci takové možnosti ověřil; neexistuje-li taková možnost, je nutné mít za to, že souhlas uvedených uživatelů se zpracováním údajů off Facebook nebyl dán svobodně.

152

Konečně je třeba připomenout, že podle čl. 7 odst. 1 GDPR v případech, kdy je zpracování založeno na souhlasu, nese správce důkazní břemeno, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.

153

Právě ve světle těchto kritérií a podrobného posouzení všech okolností projednávané věci bude na předkládajícím soudu, aby určil, zda uživatelé sociální sítě Facebook platně, a především svobodně udělili souhlas se zpracováním dotčeným ve věci v původním řízení.

154

S ohledem na výše uvedené je třeba na šestou otázku odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. a) a čl. 9 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že okolnost, že provozovatel sociální sítě má dominantní postavení na trhu sociálních sítí, jako taková nebrání tomu, aby uživatelé takové sítě mohli platně poskytnout souhlas se zpracováním svých osobních údajů tímto provozovatelem ve smyslu čl. 4 bodu 11 tohoto nařízení. Tato okolnost je nicméně významným prvkem při určování toho, zda byl souhlas skutečně udělen platně a především svobodně, což přísluší prokázat uvedenému provozovateli.

155

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto: