Sag C-319/20

Meta Platforms Ireland Limited, tidligere Facebook Ireland Limited

mod

Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.

(anmodning om præjudiciel afgørelse indgivet af Bundesgerichtshof)

Domstolens dom (Tredje Afdeling) af 28. april 2022

»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 80 – repræsentation af registrerede ved en sammenslutning, der ikke arbejder med gevinst for øje – gruppesøgsmål anlagt af en sammenslutning, der varetager beskyttelsen af forbrugernes interesser, uden bemyndigelse og uafhængigt af, om en registrerets konkrete rettigheder er blevet krænket – søgsmål støttet på forbuddet mod urimelig handelspraksis, en overtrædelse af en lov om forbrugerbeskyttelse eller forbuddet mod at anvende ugyldige almindelige forretningsbetingelser«

Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – repræsentation af registrerede – søgsmålskompetence – sammenslutning, der varetager beskyttelsen af forbrugernes interesser – gruppesøgsmål anlagt af denne sammenslutning uden bemyndigelse og uafhængigt af, om en registrerets konkrete rettigheder er blevet krænket – søgsmål støttet på en tilsidesættelse af regler om forbrugerbeskyttelse eller bekæmpelse af urimelig handelspraksis – lovlighed – betingelse

[Europa-Parlamentets og Rådets forordning 2016/679, art. 80, stk. 2]

(jf. præmis 57-60, 63-79 og 83 samt domskonkl.)

Resumé

Meta Platforms Ireland forvalter udbuddet af tjenester i det sociale onlinenetværk Facebook og er den dataansvarlige for personoplysninger om brugerne af dette sociale netværk i EU. Internetplatformen Facebook indeholder på internetsiden www.facebook.de et område kaldet »App-Zentrum« (app-center), hvor Meta Platforms Ireland stiller gratis spil leveret af tredjemand til rådighed for brugerne. Når brugeren søger efter visse af disse spil, får denne en meddelelse om, at anvendelsen af den pågældende applikation gør det muligt for det selskab, der udbyder spillet, at indhente en række personoplysninger, og tillader dette i brugerens navn at offentliggøre visse oplysninger. Ved anvendelsen af denne applikation accepterer brugeren de almindelige forretningsbetingelser og politikken på området for databeskyttelse. For så vidt angår et bestemt spil informeres brugeren desuden om, at applikationen har tilladelse til at offentliggøre fotos og andre oplysninger i brugerens navn.

Den tyske forbundssammenslutning for forbrugercentraler og ‑sammenslutninger ( 1 ) var af den opfattelse, at de oplysninger, der blev givet med de pågældende spil i app-centret, var urimelige. I sin egenskab af organ med søgsmålskompetence med henblik på at nedlægge påstand om, at tilsidesættelser af forbrugerbeskyttelseslovgivningen bringes til ophør ( 2 ), anlagde Bundesverband følgelig et søgsmål med påstand om forbud mod Meta Platforms Ireland. Søgsmålet blev anlagt, uden at der forelå en konkret krænkelse af en registrerets ret til beskyttelse af personoplysninger eller en bemyndigelse fra en sådan person. Den afgørelse, hvormed der blevet givet medhold i dette søgsmål, blev appelleret af Meta Platforms Ireland, som, efter at denne appel var blevet forkastet, efterfølgende anlagde sag ved Bundesgerichtshof (forbundsdomstol, Tyskland). Da denne ret var i tvivl om, hvorvidt Bundesverbands søgsmål kunne antages til realitetsbehandling, og navnlig, om Bundesverband havde søgsmålskompetence med henblik på at anlægge et søgsmål mod Meta Platforms Ireland, forelagde den sagen for Domstolen.

I dommen fastslog Domstolen, at artikel 80, stk. 2, i databeskyttelsesforordningen ( 3 ) ikke er til hinder for, at en sammenslutning, der varetager beskyttelsen af forbrugernes interesser, uden bemyndigelse, som er blevet givet denne med henblik herpå, og uafhængigt af en krænkelse af en registrerets konkrete rettigheder kan anlægge sag mod den, der formodes at have krænket beskyttelsen af personoplysninger, ved at gøre gældende, at der foreligger en tilsidesættelse af forbuddet mod urimelig handelspraksis, en lov om forbrugerbeskyttelse eller forbuddet mod at anvende ugyldige almindelige forretningsbetingelser. Et sådant søgsmål er muligt, eftersom den pågældende behandling af oplysninger kan påvirke de rettigheder, som identificerede eller identificerbare fysiske personer har i henhold til databeskyttelsesforordningen.

Domstolens bemærkninger

Domstolen bemærkede først, at selv om databeskyttelsesforordningen ( 4 ) har til formål at sikre en harmonisering af de nationale lovgivninger om beskyttelse af personoplysninger, som i princippet er fuldstændig, indgår denne forordnings artikel 80, stk. 2, blandt de bestemmelser, som overlader medlemsstaterne et skøn med hensyn til gennemførelsen heraf ( 5 ). For at et gruppesøgsmål uden bemyndigelse på området for beskyttelse af personoplysninger, der er fastsat i denne bestemmelse, kan anlægges, skal medlemsstaterne således gøre brug af den mulighed, som bestemmelsen giver dem, for i deres nationale ret at fastsætte denne form for repræsentation af registrerede. Medlemsstaterne skal imidlertid, når de gør brug af denne mulighed, anvende deres skønsmargen på de betingelser og inden for de grænser, der er fastsat i databeskyttelsesforordningen, og de skal lovgive på en sådan måde, at denne forordnings indhold og formål ikke berøres.

Dernæst fremhævede Domstolen, at databeskyttelsesforordningens artikel 80, stk. 2, ved at give medlemsstaterne mulighed for at fastsætte en mekanisme for gruppesøgsmål mod den, der formodes at have krænket beskyttelsen af personoplysninger, fastsætter en række krav, der skal overholdes. For det første anerkendes det således, at et organ, en organisation eller en sammenslutning, der opfylder de kriterier, der er opregnet i databeskyttelsesforordningen, har søgsmålskompetence ( 6 ). En sammenslutning, der varetager beskyttelsen af forbrugernes interesser, såsom Bundesverband, som forfølger et mål af almen interesse, der består i at sikre de registreredes rettigheder og frihedsrettigheder i deres egenskab af forbrugere, kan være omfattet af dette begreb, fordi gennemførelsen af et sådant formål kan være forbundet med beskyttelsen af sidstnævntes personoplysninger. For det andet forudsætter anlæggelsen af det nævnte gruppesøgsmål, at det omhandlede organ/den omhandlede organisation, uafhængigt af enhver bemyndigelse, det/den er blevet betroet, har grund til at formode, at en registrerets rettigheder i henhold til databeskyttelsesforordningen er blevet krænket som følge af behandlinger af vedkommendes personoplysninger.

På den ene side kræver anlæggelse af et gruppesøgsmål ( 7 ) således ikke, at det omhandlede organ/den omhandlede organisation forudgående individuelt identificerer den registrerede, der specifikt er berørt af en behandling af oplysninger, som angiveligt er i strid med databeskyttelsesforordningens bestemmelser. Med henblik herpå kan udpegelsen af en kategori eller gruppe af personer, der berøres af en sådan behandling, ligeledes være tilstrækkelig ( 8 ).

På den anden side kræver anlæggelsen af et sådant søgsmål ikke, at der foreligger en konkret krænkelse af de rettigheder, som en person har i henhold til databeskyttelsesforordningen. Med henblik på at anerkende et organs/en organisations søgsmålskompetence er det nemlig tilstrækkeligt at gøre gældende, at den pågældende behandling af oplysninger kan påvirke de rettigheder, som identificerede eller identificerbare fysiske personer har i henhold til den nævnte forordning, uden at det er nødvendigt at godtgøre, at den registrerede i en bestemt situation har lidt en reel skade som følge af krænkelsen af dennes rettigheder. Henset til det formål, der forfølges med databeskyttelsesforordningen, bidrager den omstændighed, at sammenslutninger, der varetager beskyttelsen af forbrugernes interesser, såsom Bundesverband, bemyndiges til gennem en mekanisme for gruppesøgsmål at anlægge søgsmål med henblik på at bringe behandlinger, der er i strid med databeskyttelsesforordnings bestemmelser, til ophør, uafhængigt af krænkelsen af rettighederne for en person, der er individuelt og konkret berørt af denne tilsidesættelse, ubestrideligt til at styrke de registreredes rettigheder og til at sikre dem et højt beskyttelsesniveau.

Endelig præciserede Domstolen, at tilsidesættelsen af en regel om beskyttelse af personoplysninger samtidigt kan medføre en tilsidesættelse af reglerne om forbrugerbeskyttelse eller urimelig handelspraksis. Databeskyttelsesforordningen ( 9 ) tillader således medlemsstaterne at gøre brug af deres mulighed for at fastsætte, at sammenslutninger, der varetager beskyttelsen af forbrugernes interesser, bemyndiges til at anlægge sag til prøvelse af tilsidesættelser af de rettigheder, der er fastsat i databeskyttelsesforordningen, gennem regler, der har til formål at beskytte forbrugerne eller bekæmpe urimelig handelspraksis.

( 1 ) – Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (herefter »Bundesverband«).

( 2 ) – I henhold til tysk ret omfatter lovene om forbrugerbeskyttelse ligeledes bestemmelserne om lovligheden af en virksomheds eller en erhvervsdrivendes indsamling eller behandling eller anvendelse af en forbrugers personoplysninger.

( 3 ) – Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«). I henhold til artikel 80, stk. 2, »[kan] medlemsstaterne fastsætte, at ethvert organ, enhver organisation eller enhver sammenslutning, jf. denne artikels stk. 1, uafhængigt af en bemyndigelse fra den registrerede har ret til at indgive en klage i den pågældende medlemsstat til den tilsynsmyndighed, der er kompetent i henhold til artikel 77, og til at udøve de rettigheder, der er omhandlet i artikel 78 og 79, hvis det/den har grund til at formode, at den registreredes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling [af personoplysninger vedrørende vedkommende]«.

( 4 ) – Således som dette fremgår af artikel 1, stk. 1, sammenholdt med 9., 10. og 13. betragtning til denne forordning.

( 5 ) – I medfør af »åbningsbestemmelser«.

( 6 ) – Navnlig i databeskyttelsesforordningens artikel 80, stk. 1. Denne bestemmelse henviser til »et organ, en organisation eller en sammenslutning, der er etableret i overensstemmelse med en medlemsstats nationale ret, som ikke arbejder med gevinst for øje, hvis vedtægtsmæssige formål er af almen interesse, og som er aktiv på området for beskyttelse af registreredes rettigheder og frihedsrettigheder med hensyn til beskyttelse af deres personoplysninger«.

( 7 ) – I henhold til databeskyttelsesforordningens artikel 80, stk. 2.

( 8 ) – Navnlig henset til rækkevidden af begrebet »den registrerede« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1), der omfatter såvel en »identificeret fysisk person« som en »identificerbar fysisk person«.

( 9 ) – Navnlig databeskyttelsesforordningens artikel 80, stk. 2.