1.

Oberlandesgericht Düsseldorf (Düsseldorfissa sijaitseva osavaltion ylioikeus, Saksa) on esittänyt nyt käsiteltävän ennakkoratkaisupyynnön asiassa, jossa asianosaisina ovat Meta Platforms ‑konserniin kuuluvat yhtiöt ( 2 ) ja Bundeskartellamt (liittovaltion kilpailuviranomainen, Saksa) ja joka koskee päätöstä, jolla viimeksi mainittu kielsi pääasian valittajaa käsittelemästä tietoja Facebookin yhteisöpalvelun käyttöehtojen mukaisesti ja panemasta näitä ehtoja täytäntöön sekä velvoitti sen toteuttamaan toimenpiteitä tämän toiminnan lopettamiseksi. ( 3 )

2.

Ennakkoratkaisukysymykset koskevat pääasiallisesti yhtäältä Bundeskartellamtin kaltaisen kansallisen kilpailuviranomaisen toimivaltaa tutkia ensisijaisesti tai liitännäisesti yrityksen käyttäytymistä asetuksen (EU) 2016/679 ( 4 ) tiettyjen säännösten perusteella ja toisaalta näiden tulkintaa tarkasteltaessa muun muassa arkaluonteisten henkilötietojen käsittelyä, henkilötietojen käsittelyn laillisuuden kannalta merkityksellisiä edellytyksiä sekä määräävässä markkina‑asemassa olevalle yritykselle annettavan vapaaehtoisen suostumuksen ilmaisemista.

3.

Yleisen tietosuoja‑asetuksen 4 artiklassa säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

– –

– –”

4.

Kyseisen asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1 kohdassa säädetään seuraavaa:

”Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

Ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.”

5.

Kyseisen asetuksen 9 artiklan, jonka otsikko on ”Erityisiä henkilötietoryhmiä koskeva käsittely”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.   Sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys, sekä geneettisten tietojen käsittely, biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely on kiellettyä.

2.   Edellä olevaa 1 kohtaa ei sovelleta, jos sovelletaan jotakin seuraavista:

– –

– –”

6.

Saman asetuksen VI lukuun ”Riippumattomat valvontaviranomaiset” sisältyvässä 51 artiklassa, jonka otsikko on ”Valvontaviranomainen”, säädetään seuraavaa:

”1.   Kunkin jäsenvaltion on varmistettava, että yksi tai useampi riippumaton viranomainen on vastuussa tämän asetuksen soveltamisen valvonnasta luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi käsittelyssä ja henkilötietojen vapaan liikkuvuuden helpottamiseksi unionissa – –.

2.   Jokaisen valvontaviranomaisen on myötävaikutettava tämän asetuksen yhdenmukaiseen soveltamiseen kaikkialla unionissa. Tätä varten valvontaviranomaisten on tehtävä yhteistyötä keskenään ja komission kanssa VII luvun mukaisesti.

– –”

7.

Kilpailunrajoituksista annetun lain (Gesetz gegen Wettbewerbsbeschränkungen, jäljempänä GWB) 19 §:n 1 momentissa säädetään seuraavaa:

”Määräävän markkina‑aseman käyttäminen väärin yksin tai yhdessä muiden yritysten kanssa on kiellettyä.” ( 5 )

8.

GWB:n 50f §:ssä säädetään seuraavaa:

”(1)   Kilpailuviranomaiset, sääntelyviranomaiset, liittovaltion tietosuoja‑ ja tiedonvapausvaltuutettu, osavaltioiden tietosuojavaltuutetut sekä Euroopan unionin kuluttajansuojan täytäntöönpanosta annetun lain (EU‑Verbraucherschutzdurchführungsgesetz) 2 §:ssä tarkoitetut toimivaltaiset viranomaiset voivat valitusta menettelystä riippumatta vaihtaa keskenään tietoja, mukaan lukien henkilötietoja ja liikesalaisuuksia, jos tämä on tarpeen niiden tehtävien hoitamiseksi, sekä käyttää näitä tietoja menettelyissään. – –”

9.

Meta Platforms hallinnoi Facebook‑nimisen verkkoyhteisöpalvelun (osoitteessa www.facebook.com) sekä muiden verkkopalvelujen, muun muassa Instagramin ja WhatsAppin, tarjoamista Euroopan unionissa. Meta Platformsin hallinnoima yhteisöpalvelujen taloudellinen malli koostuu lähinnä yhtäältä ilmaisten yhteisöpalvelujen tarjoamisesta yksityisille käyttäjille ja toisaalta yksittäisille yhteisöpalvelun käyttäjille räätälöidyn sellaisen verkkomainonnan myymisestä, jonka tarkoituksena on, että tällaisille käyttäjälle näytetään juuri ne tavarat ja palvelut, joista hän saattaa olla kiinnostunut muun muassa kulutuskäyttäytymisensä, mielenkiinnon kohteidensa, ostovoimansa ja elämäntilanteensa perusteella. Tällainen mainonta perustuu teknisesti palvelun käyttäjien ja konsernin tasolla tarjottavien verkkopalvelujen erittäin yksityiskohtaisten automatisoitujen profiilien laatimiseen. ( 6 )

10.

Käyttäjätietojen keräämiseksi ja käsittelemiseksi Meta Platforms tukeutuu käyttäjiensä kanssa tekemäänsä käyttösopimukseen, joka tehdään rekisteröitymispainikkeella, jolla kyseiset käyttäjät hyväksyvät Facebookin käyttöehdot. Kyseisten käyttöehtojen hyväksyminen on olennainen edellytys Facebookin yhteisöpalvelun käytölle. ( 7 ) Käsiteltävän asian keskeinen osa koskee käytäntöä, jossa ensinnäkin kerätään tietoja, jotka on saatu konsernin muilta palveluilta sekä kolmansilta verkkosivuilta ja kolmansista sovelluksista niihin liitettyjen rajapintojen tai käyttäjän tietokoneelle tai mobiililaitteelle asennettujen evästeiden kautta, toiseksi yhdistetään nämä tiedot asianomaisen käyttäjän Facebook‑tiliin ja kolmanneksi käytetään kyseisiä tietoja (jäljempänä riidanalainen käytäntö).

11.

Bundeskartellamt aloitti Meta Platformsia vastaan menettelyn, jonka seurauksena se kielsi riidanalaisella päätöksellä tätä käsittelemästä tietoja Facebookin käyttöehtojen mukaisesti ja soveltamasta kyseisiä käyttöehtoja sekä velvoitti Meta Platformsin toteuttamaan toimenpiteitä tällaisen toiminnan lopettamiseksi. Bundeskartellamt perusteli päätöstään erityisesti sillä, että kyseinen käsittely on GWB:n 19 §:ssä tarkoitettua määräävän markkina‑aseman väärinkäyttöä Saksassa asuville yksityiskäyttäjille tarjottavien yhteisöpalvelujen markkinoilla. ( 8 )

12.

Meta Platforms valitti 11.2.2019 riidanalaisesta päätöksestä ennakkoratkaisua pyytäneeseen Oberlandesgericht Düsseldorfiin, ( 9 ) joka on lähinnä epävarma yhtäältä kansallisten kilpailuviranomaisten mahdollisuudesta valvoa, onko tietojenkäsittely yleisessä tietosuoja‑asetuksessa säädettyjen edellytysten mukaista, todeta sen säännösten rikkominen ja määrätä siitä seuraamuksia, sekä toisaalta kyseisen asetuksen tiettyjen säännösten tulkinnasta ja soveltamisesta.

13.

Oberlandesgericht Düsseldorf on tässä tilanteessa päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

Jos seitsemänteen kysymykseen vastataan myöntävästi, kolmanteen, neljänteen ja viidenteen kysymykseen on vastattava siltä osin kuin on kyse tiedoista, jotka kerätään konsernin Instagram‑palvelun käyttämisestä.”

14.

Kirjallisia huomautuksia ovat esittäneet Meta Platforms, Saksan, Tšekin, Italian ja Itävallan hallitukset, Bundeskartellamt, Verbraucherzentrale Bundesverband e.V. (kuluttajayhdistys, Saksa) sekä Euroopan komissio. Nämä osapuolet esittivät myös suullisia huomautuksia 10.5.2022 asianosaisten kuulemiseksi pidetyssä istunnossa.

15.

Käsiteltävän asian kohteena olevat ennakkoratkaisukysymykset, jotka koskevat yleisen tietosuoja‑asetuksen useiden säännösten tulkintaa, liittyvät lähinnä ensinnäkin kilpailuviranomaisen toimivaltaan todeta henkilötietojen käsittelyä koskevien sääntöjen rikkominen ja määrätä siitä seuraamuksia sekä sen velvoitteisiin tehdä yhteistyötä yleisessä tietosuoja‑asetuksessa tarkoitetun johtavan viranomaisen kanssa (ensimmäinen ja seitsemäs ennakkoratkaisukysymys), toiseksi arkaluonteisten henkilötietojen käsittelyn kieltämiseen ja niiden käyttöä koskevaan suostumukseen sovellettaviin ehtoihin (toinen ennakkoratkaisukysymys), kolmanneksi henkilötietojen käsittelyn lainmukaisuuteen tiettyjen oikeuttamisperusteiden perusteella (kolmas, neljäs ja viides ennakkoratkaisukysymys) sekä neljänneksi määräävässä markkina‑asemassa olevalle yritykselle annetun henkilötietojen käsittelyä koskevan suostumuksen pätevyyteen (kuudes ennakkoratkaisukysymys).

16.

Seuraavissa kohdissa käsittelen ensin ensimmäistä ja seitsemättä kysymystä ja sen jälkeen muita kysymyksiä siinä järjestyksessä, jossa ne on esitetty, ja yhdistän kolmannen, neljännen ja viidennen kysymyksen.

17.

Ensimmäisessä ennakkoratkaisukysymyksessään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä sitä, voiko kilpailuviranomainen kilpailusääntöjen rikkomista tutkiessaan yhtäältä lausua ensisijaisesti ( 10 ) siitä, onko yritys, jonka henkilötietojen käsittelystä yksin koko unionin alueella vastuussa oleva päätoimipaikka sijaitsee toisessa jäsenvaltiossa, rikkonut henkilötietojen käsittelyä koskevia yleisen tietosuoja‑asetuksen säännöksiä, ja toisaalta määrätä lopettamaan tämän rikkomisen (ensimmäisen kysymyksen a kohta), ja jos tähän kysymykseen vastataan myöntävästi, voiko yleisen tietosuoja‑asetuksen 56 artiklan 1 kohdan nojalla toimivaltainen johtava valvontaviranomainen tutkia kyseisen yrityksen henkilötietojen käsittelyä koskevia sopimusehtoja tutkimusmenettelyssä (ensimmäisen kysymyksen b kohta).

18.

Jollei ennakkoratkaisua pyytäneen tuomioistuimen suorittamasta tarkistuksesta muuta johdu, Bundeskartellamt ei mielestäni kuitenkaan määrännyt seuraamuksia Meta Platformsin syyllistymisestä yleisen tietosuoja‑asetuksen rikkomiseen vaan tutki pelkästään kilpailusääntöjä soveltaessaan Meta Platformsin väitettyä määräävän markkina‑aseman väärinkäytön kiellon rikkomista ottamalla huomioon muun muassa sen, ettei kyseisen yrityksen menettely ole yleisen tietosuoja‑asetuksen säännösten mukaista.

19.

Ensimmäisen kysymyksen a kohta on siksi mielestäni tehoton siltä osin kuin se koskee kilpailuviranomaisen mahdollisuutta lausua ensisijaisesti yleisen tietosuoja‑asetuksen säännösten rikkomisesta ja määrätä lopettamaan tämä rikkominen kyseisessä asetuksessa tarkoitetulla tavalla. ( 11 )

20.

Tästä seuraa, että myös ensimmäisen kysymyksen b kohta, joka edellyttää, että ensimmäisen kysymyksen a kohtaan vastataan myöntävästi, on tehoton. ( 12 )

21.

Seitsemännessä ennakkoratkaisukysymyksessään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä sitä, voiko kilpailuviranomainen kilpailusääntöjen rikkomista tutkiessaan liitännäisesti ( 13 ) ottaa kantaa siihen, vastaavatko henkilötietojen käsittelyä koskevat sopimusehdot ja niiden soveltaminen yleisessä tietosuoja‑asetuksessa säädettyä (seitsemännen kysymyksen a kohta), ja jos tähän kysymykseen vastataan myöntävästi, onko kilpailuviranomaisen suorittama tutkinta mahdollista myös silloin, kun toimivaltainen johtava valvontaviranomainen tutkii näitä ehtoja samaan aikaan tutkimusmenettelyssä (seitsemännen kysymyksen b kohta).

22.

Seitsemännen kysymyksen a kohdasta on todettava ensinnäkin, että vaikka kilpailuviranomainen ei ole toimivaltainen toteamaan yleisen tietosuoja‑asetuksen rikkomista, ( 14 ) kyseinen asetus ei lähtökohtaisesti ole esteenä sille, että muut viranomaiset kuin valvontaviranomaiset voivat omia toimivaltuuksiaan käyttäessään ottaa liitännäisesti huomioon menettelyn yhteensopivuuden yleisen tietosuoja‑asetuksen säännösten kanssa. Tämä pätee mielestäni erityisesti silloin, kun kilpailuviranomainen käyttää sille SEUT 102 artiklassa ja asetuksen (EY) N:o 1/2003 ( 15 ) 5 artiklan ensimmäisessä kohdassa tai vastaavassa kansallisessa oikeussäännössä ( 16 ) annettua toimivaltaa.

23.

Kilpailuviranomaisen on nimittäin toimivaltaansa käyttäessään arvioitava muun muassa sitä, turvaudutaanko tutkittavassa toiminnassa muihin menetelmiin kuin ansioihin perustuvaan kilpailuun, kun otetaan huomioon kyseisen toiminnan oikeudellinen ja taloudellinen asiayhteys. ( 17 ) Se, onko kyseinen toiminta yleisen tietosuoja‑asetuksen säännösten mukaista – ei sellaisenaan mutta kaikki käsiteltävän asian olosuhteet huomioon ottaen – voi olla tässä yhteydessä tärkeä viite osoitettaessa, käytetäänkö kyseisessä toiminnassa normaalista kilpailusta poikkeavia keinoja, mutta on täsmennettävä, että se, onko toiminta SEUT 102 artiklan kannalta väärinkäyttöä, ei johdu siitä, onko toiminta yleisen tietosuoja‑asetuksen tai muiden oikeussääntöjen mukaista. ( 18 )

24.

Katson näin ollen, että määräävän markkina‑aseman väärinkäytön tutkiminen voi oikeuttaa kilpailuviranomaisen tulkitsemaan yleisen tietosuoja‑asetuksen säännösten kaltaisia kilpailuoikeuteen sisältymättömiä säännöksiä ( 19 ), ja täsmennän, että tällainen tutkimus tehdään liitännäisesti ( 20 ) eikä se vaikuta siihen, miten toimivaltaiset valvontaviranomaiset soveltavat kyseistä asetusta. ( 21 )

25.

Seitsemännen kysymyksen b kohdasta on toiseksi todettava, että ennakkoratkaisua pyytänyt tuomioistuin tiedustelee, mitä velvoitteita kilpailuviranomaisella on yleisessä tietosuoja‑asetuksessa tarkoitettuun toimivaltaiseen johtavaan valvontaviranomaiseen nähden sovellettaessa SEU 4 artiklan 3 kohdassa määrättyä vilpittömän yhteistyön periaatetta, kun kilpailuviranomainen tulkitsee kyseisen asetuksen säännöksiä ja tarkemmin sanottuna kun myös toimivaltainen johtava valvontaviranomainen tutkii samaa toimintaa.

26.

Käsiteltävässä asiassa kilpailuviranomaisen tutkiessa – vaikka vain liitännäisesti – yrityksen toimintaa yleisen tietosuoja‑asetuksen säännösten perusteella vaarana on, että se tulkitsee kyseistä asetusta eri tavoin kuin valvontaviranomaiset, mikä on lähtökohtaisesti omiaan haittaamaan yleisen tietosuoja‑asetuksen yhdenmukaista tulkintaa. ( 22 )

27.

Unionin oikeudessa ei ole yksityiskohtaisia sääntöjä kilpailuviranomaisen ja yleisessä tietosuoja‑asetuksessa tarkoitettujen valvontaviranomaisten välisestä yhteistyöstä tällaisessa tilanteessa. Tarkemmin sanottuna käsiteltävässä asiassa ei voida soveltaa yleisessä tietosuoja‑asetuksessa tarkoitettujen toimivaltaisten valvontaviranomaisten yhteistyömenettelyä kyseisen asetuksen soveltamisessa ( 23 ) eikä muita hallintoviranomaisten välistä yhteistyötä koskevia täsmällisiä sääntöjä, kuten niitä, jotka koskevat kilpailuviranomaisten välistä yhteistyötä sekä niiden ja komission välistä yhteistyötä kilpailusääntöjen soveltamisessa. ( 24 )

28.

Kun kilpailuviranomainen tulkitsee yleistä tietosuoja‑asetusta, sitä sitoo kuitenkin SEU 4 artiklan 3 kohdassa vahvistettu vilpittömän yhteistyön periaate, jonka mukaan unioni ja jäsenvaltiot, myös niiden hallintoviranomaiset, ( 25 ) kunnioittavat ja avustavat toisiaan perussopimuksista johtuvia tehtäviä täyttäessään. Kyseisen määräyksen kolmannessa alakohdassa määrätään erityisesti, että jäsenvaltiot tukevat unionia sen täyttäessä tehtäviään ja pidättäytyvät kaikista toimenpiteistä, jotka voisivat vaarantaa unionin tavoitteiden toteutumisen. ( 26 ) Lisäksi kilpailuviranomainen on kaikkien unionin oikeuden soveltamisesta vastaavien hallintoviranomaisten tavoin velvollinen noudattamaan hyvän hallinnon periaatetta, joka on unionin oikeuden yleinen periaate ja joka käsittää kansallisten viranomaisten laajan huolellisuus‑ ja huolenpitovelvoitteen. ( 27 )

29.

Koska siis ei ole olemassa yhteistyömenettelyjä koskevia täsmällisiä sääntöjä, jotka unionin lainsäätäjän on mahdollisesti annettava, kilpailuviranomaisella on yleisen tietosuoja‑asetuksen säännöksiä tulkitessaan ainakin tiedottamis‑, neuvonta‑ ja yhteistyövelvoitteita kyseisessä asetuksessa tarkoitettuja toimivaltaisia viranomaisia kohtaan niiden toimivaltaa koskevien kansallisten sääntöjen nojalla (jäsenvaltioiden menettelyllisen itsemääräämisoikeuden periaate) sekä vastaavuus‑ ja tehokkuusperiaatteiden mukaisesti. ( 28 )

30.

Mielestäni tästä seuraa, että kun toimivaltainen johtava valvontaviranomainen on ottanut kantaa yleisen tietosuoja‑asetuksen tiettyjen säännösten soveltamiseen saman tai samankaltaisen käytännön osalta, kilpailuviranomainen ei voi lähtökohtaisesti poiketa tämän kyseisen asetuksen tulkintaan yksin toimivaltaisen viranomaisen tulkinnasta, ( 29 ) ja sen on mahdollisuuksien mukaan muun muassa rekisteröityjen puolustautumisoikeuksia kunnioittaen noudatettava kyseisen viranomaisen tekemiä samaa toimintaa koskevia mahdollisia päätöksiä, ( 30 ) ja jos toimivaltaisen viranomaisen esittämästä tulkinnasta on epäilyjä käsiteltävässä asiassa, kilpailuviranomaisen on kuultava sitä tai kansallista valvontaviranomaista, jos toimivaltainen viranomainen sijaitsee toisessa jäsenvaltiossa. ( 31 )

31.

Lisäksi jos toimivaltainen valvontaviranomainen ei ole tehnyt päätöstä, kilpailuviranomaisen on kuitenkin ilmoitettava asiasta sille, ( 32 ) tehtävä yhteistyötä sen kanssa, kun kyseinen viranomainen on aloittanut tai ilmaissut aikovansa aloittaa saman käytännön tutkinnan, ja mahdollisesti odotettava viimeksi mainitun viranomaisen suorittaman tutkimuksen päättymistä ennen oman arviointinsa aloittamista siltä osin kuin se on asianmukaista eikä vaikuta muun muassa siihen, että kilpailuviranomainen noudattaa kohtuullisia käsittelyaikoja ja rekisteröityjen puolustautumisoikeuksia. ( 33 )

32.

Käsiteltävässä asiassa se, että on muodollisesti otettu yhteyttä kansallisella tasolla toimivaltaisiin valvontaviranomaisiin ( 34 ) ja epävirallisesti myös Irlannin johtavaan valvontaviranomaiseen, mikä on Bundeskartellamtin mainitsema seikka, joka ennakkoratkaisua pyytäneen tuomioistuimen on tarkistettava, voi nähdäkseni riittää sen toteamiseen, että kyseinen viranomainen on täyttänyt huolellisuutta ja vilpitöntä yhteistyötä koskevat velvoitteensa. ( 35 )

33.

Näin ollen ehdotan, että seitsemänteen ennakkoratkaisukysymykseen vastataan, että yleisen tietosuoja‑asetuksen 51–66 artiklaa on tulkittava siten, että kilpailuviranomainen voi kilpailusäännöissä tarkoitetun toimivaltansa puitteissa tutkia liitännäisesti, ovatko tutkitut käytännöt yleisen tietosuoja‑asetuksen säännösten mukaisia, mutta sen on otettava huomioon kaikki yleisen tietosuoja‑asetuksen nojalla toimivaltaisen valvontaviranomaisen tekemät päätökset tai tutkimukset sekä ilmoitettava asiasta kansalliselle valvontaviranomaiselle ja tarvittaessa kuultava sitä.

34.

Toisella ennakkoratkaisukysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja‑asetuksen 9 artiklan 1 kohtaa tulkittava siten, että koska riidanalainen käytäntö koskee kolmansien verkkosivuilla ja sovelluksissa käymistä, ( 36 ) se kuuluu lueteltujen arkaluonteisten henkilötietojen ( 37 ) käsittelyyn, joka on kielletty ( 38 ) (toisen kysymyksen a kohta), ja jos näin on, onko kyseisen asetuksen 9 artiklan 2 kohdan e alakohtaa tulkittava siten, että käyttäjä saattaa nimenomaisesti julkiseksi kyseisessä säännöksessä tarkoitetulla tavalla tiedot, jotka yhtäältä ilmaistaan vierailemalla verkkosivuilla ja sovelluksissa, tai toisaalta tiedot, jotka syötetään käyttämällä kyseisiin verkkosivuihin tai sovelluksiin sisältyviä painikkeita tai jotka ilmenevät tällaisten painikkeiden ( 39 ) käyttämisestä (toisen kysymyksen b kohta).

35.

Toisen kysymyksen a kohdasta muistutan ensinnäkin, että yleisen tietosuoja‑asetuksen 9 artiklan 1 kohdan nojalla arkaluonteisten henkilötietojen käsittely on kielletty. Kuten kyseisen asetuksen johdanto‑osan 51 perustelukappaleesta ilmenee, näiden tietojen erityistä suojaa perustellaan sillä, että ne ovat erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta ja että niiden käsittely voisi aiheuttaa huomattavia riskejä perusoikeuksille ja ‑vapauksille. Vaikka kyseisen säännöksen sanamuoto on hieman epäselvä, ( 40 ) siinä ei ennakkoratkaisua pyytäneen tuomioistuimen oletuksesta poiketen nähdäkseni tehdä olennaista eroa sellaisten henkilötietojen, jotka ovat arkaluonteisia, koska niistä ”ilmenee” tietty tilanne, ja itsessään arkaluonteisten tietojen välillä. ( 41 )

36.

Käsiteltävässä asiassa on mielestäni ilmeistä, että riidanalainen käytäntö on henkilötietojen käsittelyä, joka voi lähtökohtaisesti kuulua kyseisen säännöksen soveltamisalaan ja olla kiellettyä, jos käsiteltävät tiedot ”ilmaisevat” jonkin siinä luetellun arkaluonteisen tilanteen. On siis selvitettävä, voiko verkkosivustojen ja sovellusten avaaminen tai tietojen syöttäminen niihin ”ilmaista” jonkin kyseisessä säännöksessä tarkoitetun arkaluonteisen tilanteen, ja jos voi, niin missä määrin.

37.

Epäilen tässä yhteydessä, onko merkityksellistä (ja aina mahdollista) erottaa toisistaan pelkkä rekisteröidyn kiinnostus tiettyihin tietoihin ja rekisteröidyn kuuluminen johonkin kyseisessä säännöksessä tarkoitettuun luokkaan. ( 42 ) Vaikka pääasian asianosaisilla on tästä vastakkaiset näkemykset, ( 43 ) tähän kysymykseen on mielestäni vastattava tapauskohtaisesti ja kunkin riidanalaisen käytännön osatekijän huomioon ottaen.

38.

Vaikka – kuten Saksan hallitus toteaa – pelkkä verkkosivustolla tai sovelluksessa vierailemiseen liittyvien arkaluonteisten henkilötietojen kerääminen ei sellaisenaan välttämättä ole kyseisessä säännöksessä tarkoitettua arkaluonteisten henkilötietojen käsittelyä, ( 44 ) näiden tietojen yhdistäminen asianomaisen käyttäjän Facebook‑tiliin tai niiden käyttö ovat käyttäytymistä, joka sitä vastoin voi helpommin olla tällaista käsittelyä. Yleisen tietosuoja‑asetuksen 9 artiklan 1 kohdan soveltamisen kannalta ratkaiseva seikka on mielestäni se, että käsitellyt tiedot mahdollistavat käyttäjän profiloinnin niiden ryhmien mukaan, jotka ilmenevät kyseisessä säännöksessä olevasta arkaluonteisten henkilötietojen luettelosta. ( 45 )

39.

Jotta tässä yhteydessä voitaisiin määrittää, kuuluuko tietojenkäsittely kyseisen säännöksen soveltamisalaan, voisi olla hyödyllistä erottaa tarvittaessa toisistaan sellaisten tietojen käsittely, jotka voidaan ensi näkemältä luokitella arkaluonteisten henkilötietojen ryhmään ja jotka sellaisenaan mahdollistavat rekisteröidyn profiloinnin, sekä sellaisten tietojen käsittely, jotka eivät itsessään ole arkaluonteisia mutta edellyttävät myöhempää yhdistämistä, jotta rekisteröidyn profilointia varten voidaan tehdä uskottavia päätelmiä.

40.

On kuitenkin täsmennettävä, ettei kyseisessä säännöksessä tarkoitetun luokittelun olemassaolo riipu siitä, kuvaako luokittelu todellisuutta. ( 46 ) Ratkaisevaa on se, että tällainen luokittelu voi aiheuttaa rekisteröidyn perusvapauksiin ja ‑oikeuksiin kohdistuvan merkittävän riskin, kuten yleisen tietosuoja‑asetuksen johdanto‑osan 51 perustelukappaleessa muistutetaan, eikä tämä mahdollisuus riipu sen todenperäisyydestä.

41.

Ennakkoratkaisua pyytäneen tuomioistuimen tiedustelusta, onko käytön tarkoituksella merkitystä kyseessä olevan arvioinnin kannalta, ( 47 ) totean lopuksi, että toisin kuin pääasian valittaja väittää, rekisterinpitäjän ei lähtökohtaisesti edellytetä käsittelevän näitä tietoja ”tietoisena ja aikomalla päätellä niistä suoraan erityisiä tietoryhmiä”. Kyseessä olevan säännöksen tarkoituksena on nimittäin lähinnä ehkäistä objektiivisesti rekisteröityjen perusvapauksille ja ‑oikeuksille aiheutuvia merkittäviä riskejä, jotka johtuvat arkaluonteisten henkilötietojen käsittelystä, riippumatta kaikista subjektiivisista seikoista, kuten rekisterinpitäjän tarkoituksesta.

42.

Toisen kysymyksen b kohdasta muistutan toiseksi, että yleisen tietosuoja‑asetuksen 9 artiklan 2 kohdan e alakohdan mukaan arkaluonteisten henkilötietojen käsittelyä koskevaa kieltoa ei sovelleta, jos käsittely koskee henkilötietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi. Lisäksi tämän säännöksen sanamuotoon sisältyvä adverbi ”nimenomaisesti” ja se, että kyseinen säännös on poikkeus periaatteesta, jonka mukaan arkaluonteisten henkilötietojen käsittely on kielletty, ( 48 ) edellyttävät, että tätä poikkeusta sovelletaan erityisen tiukasti rekisteröityjen perusoikeuksiin ja ‑vapauksiin kohdistuvien merkittävien riskien vuoksi. ( 49 ) Jotta tätä poikkeusta voidaan soveltaa, käyttäjän on mielestäni oltava täysin tietoinen siitä, että hän saattaa nimenomaisella toimella ( 50 ) henkilötietoja julkisiksi. ( 51 )

43.

Käsiteltävässä asiassa vaikuttaa siltä, ettei toimintaa, jossa käytetään verkkosivustoja ja sovelluksia, syötetään niihin tietoja sekä käytetään niihin sisältyviä valintapainikkeita, voida lähtökohtaisesti rinnastaa toimintaan, jossa käyttäjän arkaluonteiset henkilötiedot saatetaan nimenomaisesti julkisiksi yleisen tietosuoja‑asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetulla tavalla.

44.

Korostan erityisesti, että verkkosivustojen ja sovellusten käyttäminen johtaa lähtökohtaisesti siihen, että käyttöä koskevat tiedot ovat ainoastaan kyseessä olevan internetsivuston tai sovelluksen ylläpitäjän ja kolmansien osapuolten, joille tämä välittää kyseiset tiedot, kuten pääasian valittajan, saatavilla. ( 52 ) Huomautan lisäksi, että vaikka rekisteröity voi syöttämällä tietoja verkkosivustoille ja sovelluksiin antaa suoraan ja vapaaehtoisesti tietoja tietyistä arkaluonteisista henkilötiedoista, nämä tiedot ovat ainoastaan kyseisen sivuston tai sovelluksen ylläpitäjän ja kolmansien osapuolten, joille tämä välittää kyseiset tiedot, saatavilla. Tällainen käyttäytyminen ei siis nähdäkseni voi olla osoitus tahdosta saattaa nämä tiedot yleisesti saataville. ( 53 ) Vaikka lisäksi on selvää, että rekisteröity ilmaisee verkkosivustoihin tai sovelluksiin sisältyviä valintapainikkeita ( 54 )käyttämällä selvästi haluavansa jakaa tietyt tiedot kyseessä olevan internetsivuston tai sovelluksen ulkopuolisen yleisön kanssa, katson, kuten Bundeskartellamt korostaa, että kyseinen henkilö jakaa tällä käyttäytymisellään tietoisesti tietoja käyttäjän usein itse määrittelemän tietyn henkilöryhmän ( 55 ) eikä koko yhteisön kanssa. ( 56 )

45.

Tarkasteltaessa sen merkitystä, että käyttäjä antaa ennakkoratkaisua pyytäneen tuomioistuimen mainitseman, direktiivin 2002/58 5 artiklan 3 kohdassa tarkoitetun mahdollisen suostumuksen henkilötietojen keräämiseen evästeiden (cookies) tai vastaavien teknologioiden avulla, totean lopuksi, ettei näillä keinoilla kerättyjen arkaluonteisten henkilötietojen käsittelyä voida perustella pelkästään tällä suostumuksella sen erityisen tavoitteen vuoksi. ( 57 ) Kyseinen suostumus, jota tarvitaan käyttäjän tiettyjen toimintojen tallentamiseen käytettävän teknisen välineen ( 58 ) asentamiseksi, ei nimittäin koske arkaluonteisten henkilötietojen käsittelyä, eikä sitä voida rinnastaa tahtoon saattaa nämä tiedot nimenomaisesti julkisiksi yleisen tietosuoja‑asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitetulla tavalla. ( 59 )

46.

Näin ollen ehdotan, että toiseen ennakkoratkaisukysymykseen vastataan, että yleisen tietosuoja‑asetuksen 9 artiklan 1 kohtaa on yhtäältä tulkittava siten, että arkaluonteisten henkilötietojen käsittelyä koskeva kielto voi sisältää verkkoyhteisöpalvelun ylläpitäjän suorittaman tietojenkäsittelyn, joka koostuu käyttäjän tietojen keräämisestä, kun tämä vierailee muilla verkkosivustoilla tai sovelluksissa tai syöttää niille kyseiset tiedot, näiden tietojen yhdistämisestä yhteisöpalvelun käyttäjän tiliin ja niiden käytöstä, jos käyttäjä voidaan erikseen tarkasteltavien tai ryhmiteltyjen käsiteltävien tietojen avulla profiloida niiden ryhmien mukaan, jotka ilmenevät kyseisessä säännöksessä olevasta arkaluonteisten henkilötietojen luettelosta, ja että yleisen tietosuoja‑asetuksen 9 artiklan 2 kohdan e alakohtaa on toisaalta tulkittava siten, ettei käyttäjä saata tietoja nimenomaisesti julkisiksi, kun ne ovat tulleet ilmi vierailtaessa verkkosivuilla ja sovelluksissa, ne on syötetty kyseisille verkkosivuille tai sovelluksiin tai kun tiedot on saatu verkkosivuihin tai sovelluksiin sisältyvien valintapainikkeiden käyttämisen ansiosta.

47.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kolmannella, neljännellä ja viidennellä kysymyksellään lähinnä, onko yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan b, c, d, e ja f alakohtaa tulkittava siten, että riidanalainen käytäntö ( 60 ) kuuluu jonkin kyseisissä säännöksissä säädetyn oikeuttamisperusteen, erityisesti seuraavien oikeuttamisperusteiden, soveltamisalaan:

48.

Aluksi on todettava, että joistakin neljännen ja viidennen kysymyksen tutkittavaksi ottamista koskevista kysymyksistä epäilyistä ( 68 ) ehdotan, että kolmanteen, neljänteen ja viidenteen kysymykseen vastataan yhdessä, koska jäljempänä esittämäni lähinnä kolmatta ennakkoratkaisukysymystä koskevat huomautukset voivat olla ennakkoratkaisua pyytäneelle tuomioistuimelle hyödyllisiä sovellettaessa neljännen ja viidennen ennakkoratkaisukysymyksen kohteena olevia säännöksiä.

49.

Totean ensisijaisesti, että Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan mukaan henkilötietojen käsittelyn on oltava asianmukaista, ja sen on tapahduttava tiettyä tarkoitusta varten ja laissa säädetyn oikeuttavan perusteen nojalla. Yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdassa täsmennetään tältä osin, että tällaisten tietojen käsittely on lainmukaista ainoastaan, jos vähintään yksi kyseisessä säännöksessä säädetyistä kuudesta edellytyksestä täyttyy. ( 69 )

50.

Katson ensinnäkin, että käsiteltävässä asiassa kolmas, neljäs ja viides ennakkoratkaisukysymys edellyttävät riidanalaisen käytännön yhteydessä Facebookin käyttöehtojen eri lausekkeiden tarkkaa tapauskohtaista analyysia, koska on mahdotonta määrittää, voiko ”[Meta Platformsin] kaltainen yritys” kokonaisuudessaan vedota tämän käytännön yhteydessä kaikkiin (tai tiettyihin) yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdassa mainittuihin oikeuttamisperusteisiin, vaikka ei voidakaan sulkea pois sitä, että kyseinen käytäntö tai tietyt sen toiminnot voivat tietyissä tapauksissa kuulua kyseisen artiklan soveltamisalaan. ( 70 )

51.

Seuraavaksi totean, että mainituissa säännöksissä tarkoitettu käsittely suoritetaan käsiteltävässä asiassa rekisterinpitäjän asettamien yleisten sopimusehtojen perusteella ilman rekisteröidyn suostumusta ( 71 ) tai jopa vastoin hänen tahtoaan, minkä vuoksi kyseessä olevia oikeuttamisperusteita on mielestäni tulkittava suppeasti erityisesti suostumusta koskevan edellytyksen kiertämisen estämiseksi. ( 72 )

52.

Muistutan lopuksi, että yleisen tietosuoja‑asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjän velvollisuutena on osoittaa, että henkilötietoja käsitellään kyseisen asetuksen mukaisesti, ja että saman asetuksen 13 artiklan 1 kohdan c alakohdan mukaan henkilötietojen käsittelystä vastaavan rekisterinpitäjän on täsmennettävä henkilötietojen käsittelyn tarkoitukset ja käsittelyn oikeusperuste.

53.

Ensinnäkin yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan b alakohdan mukaan henkilötietojen käsittely on lainmukaista, jos se on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena. ( 73 )

54.

Muistutan tässä yhteydessä, ettei tarpeellisuuden käsitettä ole määritelty unionin lainsäädännössä mutta se on oikeuskäytännön mukaan unionin oikeuden itsenäinen käsite. ( 74 ) Jotta käsittely on tarpeen sopimuksen täytäntöön panemiseksi, ei riitä, että käsittely suoritetaan sopimuksen täytäntöönpanon yhteydessä, että se mainitaan sopimuksessa ( 75 ) tai että se on yksinkertaisesti hyödyllistä sopimuksen täytäntöönpanon kannalta. ( 76 ) Unionin tuomioistuimen oikeuskäytännön mukaan käsittelyn on oltava objektiivisesti tarpeen sopimuksen täytäntöön panemiseksi siten, ettei ole realistisia, vähemmän tunkeilevia ratkaisuja, ( 77 ) kun otetaan huomioon myös rekisteröidyn kohtuulliset odotukset. ( 78 ) Tämä merkitsee myös sitä, että kun sopimus koostuu useista erillisistä palveluista tai palvelun osista, jotka voidaan kohtuudella suorittaa toisistaan riippumatta, yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan b alakohdan soveltamista on arvioitava kunkin kyseessä olevan palvelun osalta erikseen. ( 79 )

55.

Tämän oikeuttamisperusteen yhteydessä ennakkoratkaisua pyytänyt tuomioistuin mainitsee sisältöjen personoinnin sekä konsernin tuotteiden (tai pikemminkin palvelujen) kokonaisvaltaisen ja saumattoman käytön.

56.

Vaikka sisällön personointi voi tietyssä määrin olla käyttäjän edun mukaista, koska sen avulla voidaan esittää muun muassa Newsfeedissä sisältöjä, joista käyttäjä on automatisoidun arvioinnin perusteella kiinnostunut, mielestäni ei ole kuitenkaan selvää, että personointi on tarpeen myös kyseisen yhteisöpalvelun tarjoamiseksi siten, ettei henkilötietojen käsittely näitä tarkoituksia varten edellytä kyseisen käyttäjän suostumusta. ( 80 ) Tässä tarkastelussa on myös otettava huomioon, että riidanalaisessa käytännössä ei ole kyse käyttäjän käyttäytymistä Facebook‑sivulla tai ‑sovelluksessa koskevien tietojen käsittelystä vaan ulkopuolisista lähteistä peräisin olevien ja siten mahdollisesti rajoittamattomien tietojen käsittelystä. Pohdin siis, missä määrin tämä käsittely voisi vastata keskivertokäyttäjän odotuksia, ja yleisemmin, mitä ”personoinnin astetta” hän voi odottaa palvelusta, johon hän rekisteröityy. ( 81 )

57.

Konsernin palvelujen kokonaisvaltaisesta ja saumattomasta käytöstä huomautan, että käyttäjä voi hyötyä pääasian valittajan tarjoamien eri palvelujen, esimerkiksi Facebookin ja Instagramin, välisestä yhteydestä tai joskus jopa toivoa sitä. Epäilen kuitenkin sitä, onko muista konsernin palveluista (erityisesti Instagramista) saatavien henkilötietojen käsittely tarpeen Facebookin palvelujen tarjoamiseksi. ( 82 )

58.

Toiseksi yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan f alakohdan mukaan henkilötietojen käsittely on lainmukaista, jos se on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.

59.

Unionin tuomioistuimen oikeuskäytännön mukaan kyseisessä säännöksessä säädetään kolmesta kumulatiivisesta edellytyksestä henkilötietojen käsittelyn laillisuudelle, eli edellytetään ensinnäkin, että tietojen käsittely tapahtuu rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, toiseksi, että käsittely on tarpeen oikeutetun intressin toteuttamiseksi, ja kolmanneksi, että henkilön, jota tietosuoja koskee, perusoikeudet ja ‑vapaudet eivät syrjäytä tätä intressiä. ( 83 )

60.

Muistutan aluksi oikeutetun edun tavoittelusta, että yleisessä tietosuoja‑asetuksessa ja oikeuskäytännössä tunnustetaan lukuisia oikeutettuina pidettäviä etuja ( 84 ) ja täsmennetään, että yleisen tietosuoja‑asetuksen 13 artiklan 1 kohdan c alakohdan mukaan rekisterinpitäjän on ilmoitettava yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan f alakohdan yhteydessä tavoitellut oikeutetut edut. ( 85 )

61.

Henkilötietojen käsittelyn tarpeellisuutta oikeutetun edun toteuttamiseksi koskevasta edellytyksestä on seuraavaksi todettava, että unionin tuomioistuimen oikeuskäytännön mukaan henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa. ( 86 ) Käsittelyn ja tavoitellun edun välillä on siksi oltava läheinen yhteys silloin, kun ei ole vaihtoehtoja, joissa henkilötietoja suojattaisiin paremmin, sillä ei riitä, että käsittelystä on hyötyä ainoastaan rekisterinpitäjälle.

62.

Tasapainon löytämisestä rekisterinpitäjän etujen ja rekisteröidyn etujen tai perusoikeuksien ja ‑vapauksien välillä on lopuksi todettava, että unionin tuomioistuimen oikeuskäytännön mukaan ennakkoratkaisua pyytäneen tuomioistuimen on punnittava kyseessä olevia etuja keskenään. ( 87 ) Kuten yleisen tietosuoja‑asetuksen johdanto‑osan 47 perustelukappaleessa todetaan, tämän punninnan yhteydessä on lisäksi välttämätöntä ottaa huomioon rekisteröityjen kohtuulliset odotukset, jotka perustuvat heidän ja rekisterinpitäjän väliseen suhteeseen, sekä arvioida, voiko rekisteröity kohtuudella odottaa henkilötietojen keruun ajankohtana ja sen yhteydessä, että henkilötietoja voidaan käsitellä tiettyä tarkoitusta varten.

63.

Ennakkoratkaisua pyytänyt tuomioistuin mainitsee tämän oikeuttamisperusteen yhteydessä mainonnan personoinnin, verkkoturvallisuuden ja tuotteiden parantamisen.

64.

Yleisen tietosuoja‑asetuksen johdanto‑osan 47 perustelukappaleesta ilmenee aluksi mainosten personoinnista, että henkilötietojen käsittelyä suoramarkkinointitarkoituksissa voidaan pitää rekisterinpitäjän oikeutetun edun toteuttamiseksi suoritettuna. Käsittelyn tarpeellisuudesta on kuitenkin todettava, että kyseessä olevat tiedot ovat peräisin Facebookin ulkopuolisista lähteistä, joten herää kysymys siitä, mikä on tässä yhteydessä objektiivisesti tarpeellisen mainonnan ”personoinnin aste”. Vertailtavien etujen punninnassa on mielestäni otettava huomioon kyseessä olevan oikeutetun edun luonne (käsiteltävässä asiassa puhtaasti taloudellinen etu) sekä käsittelyn vaikutus käyttäjään sen kohtuulliset odotukset mukaan luettuina ja rekisterinpitäjän mahdollisesti toteuttamat suojatoimenpiteet. ( 88 )

65.

Verkkoturvallisuudesta voidaan seuraavaksi esittää samankaltaisia toteamuksia. Vaikka tällainen perustelu voi olla rekisterinpitäjän oikeutettu etu, ( 89 ) on nimittäin vähemmän selvää, että käsittely on tarpeen käsiteltävässä asiassa, kun otetaan huomioon myös se, että kyseessä olevat tiedot ovat peräisin Facebookin ulkopuolisista lähteistä. ( 90 ) Muistutan joka tapauksessa, että rekisterinpitäjän on täsmennettävä ne turvallisuustarkoitukset, joihin kukin käsittelytilanne mahdollisesti perustuu.

66.

Tuotteiden parantamisesta on lopuksi todettava, että vaikka suljettaisiin pois turvallisuuteen liittyvät parannukset, jotka kuuluvat edellä tarkasteltuun erityiseen oikeuttamisperusteeseen, tällaisen perusteen pitäisi mielestäni olla pikemminkin käyttäjän kuin rekisterinpitäjän edun mukainen. Tästä näkökulmasta tarkasteltuna on vaikea ymmärtää, missä määrin se voisi olla rekisterinpitäjän oikeutettu etu ja ettei se edellyttäisi käyttäjän suostumusta. Tarpeellisuutta koskevan edellytyksen sekä kyseessä olevien oikeuksien ja etujen punnitsemisen osalta viittaan edellä esitettyihin toteamuksiin.

67.

Neljännessä ennakkoratkaisukysymyksessä, jossa lähinnä laajennetaan kolmannen ennakkoratkaisukysymyksen toista osaa, tiedustellaan, merkitseekö tiettyjen lueteltujen tilanteiden toistuminen yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitetun oikeutetun edun olemassaoloa, ja viidennellä ennakkoratkaisukysymyksellään kansallinen tuomioistuin pyrkii selvittämään, voidaanko riidanalainen käytäntö oikeuttaa vastauksen antamisella lailliseen tiettyjen tietojen luovuttamista koskevaan pyyntöön, haitallisen käyttäytymisen estämisellä ja turvallisuuden edistämisellä tai yhteiskunnan etua edistävällä tutkimuksella sekä suojelun, eheyden ja turvallisuuden varmistamisella. ( 91 )

68.

Riippumatta näiden kysymysten tutkittavaksi ottamisesta ( 92 ) katson yleisesti, ettei neljännen ennakkoratkaisukysymyksen yhteydessä voida sulkea pois sitä, että tietyt riidanalaista käytäntöä luonnehtivat lausekkeet voidaan ennakkoratkaisua pyytäneen tuomioistuimen mainitsemissa olosuhteissa perustella oikeutetuilla eduilla, ( 93 ) ja viidennestä ennakkoratkaisukysymyksestä totean, että riidanalainen käytäntö voi tietyissä tilanteissa olla oikeutettua mainittujen säännösten perusteella.

69.

Ennakkoratkaisupyynnöstä ei kuitenkaan ilmene, onko Meta Platforms Ireland ilmoittanut kunkin käsiteltyjen tietojen käsittelyä ja tyypittelyä koskevan tarkoituksen osalta konkreettisesti tavoitellut oikeutetut edut tai muut käsiteltävän asian kannalta mahdollisesti merkitykselliset perustelut, ja jos on, niin missä määrin. ( 94 ) Ennakkoratkaisua pyytäneen tuomioistuimen on siten edellä esitetyt seikat huomioon ottaen tutkittava, missä määrin riidanalainen käytäntö on kyseisen tuomioistuimen mainitsemissa olosuhteissa oikeutettu sillä perusteella, että Meta Platforms Irelandilla on yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitettuja tietojen käsittelyyn liittyviä oikeutettuja etuja, tai jonkin muun kyseisen asetuksen 6 artiklan 1 kohdan c, d ja e alakohdassa säädetyn edellytyksen perusteella.

70.

Ehdotan näin ollen, että kolmanteen, neljänteen ja viidenteen ennakkoratkaisukysymykseen vastataan, että yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan b, c, d, e ja f alakohtaa on tulkittava siten, että riidanalainen käytäntö tai osa sen muodostavista toiminnoista voi kuulua kyseisissä säännöksissä säädettyjen poikkeusten soveltamisalaan, jos kukin tarkasteltu tietojenkäsittelytapa täyttää rekisterinpitäjän esittämän konkreettisen perustelun edellytykset ja jos siten

71.

Kuudennella ennakkoratkaisukysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan a alakohtaa ja 9 artiklan 2 kohdan a alakohtaa tulkittava siten, että yksityiskäyttäjille tarjottavien yhteisöpalvelujen kansallisilla markkinoilla määräävässä markkina‑asemassa olevalle yritykselle voidaan antaa pätevällä tavalla yleisen tietoturva‑asetuksen 4 artiklan 11 alakohdassa tarkoitettu vapaaehtoinen suostumus.

72.

Muistutan aluksi, että yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan a alakohdassa ja 9 artiklan 2 kohdan a alakohdassa säädetään velvoitteesta, jonka mukaan rekisteröidyn on annettava suostumus henkilötietojen käsittelyyn yleisesti ja arkaluonteisten henkilötietojen käsittelyyn. Lisäksi tietosuoja‑asetuksen 4 artiklan 11 alakohdan mukaan rekisteröidyn suostumuksella tarkoitetaan kyseisessä asetuksessa mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen. ( 95 )

73.

Erityisesti suostumuksen vapaaehtoisuutta koskevasta edellytyksestä, joka on ainoa käsiteltävässä asiassa riitautettu edellytys, totean, että yleisen tietosuoja‑asetuksen johdanto‑osan 42 perustelukappaleen mukaan suostumusta ei voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta ( 96 ) ja jos hän ei voi myöhemmin kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa. ( 97 ) Kuten yleisen tietosuoja‑asetuksen 7 artiklan 1 kohdassa säädetään (ja sen johdanto‑osan 42 perustelukappaleessa muistutetaan), jos käsittely perustuu rekisteröidyn suostumukseen, rekisterinpitäjän olisi lisäksi kyettävä osoittamaan, että kyseinen henkilö on antanut suostumuksensa henkilötietojensa käsittelyyn.

74.

Käsiteltävässä asiassa merkityksellisistä seikoista muistutan aluksi, että – kuten yleisen tietosuoja‑asetuksen johdanto‑osan 43 perustelukappaleen ensimmäisessä virkkeessä korostetaan – suostumus ei ole pätevä oikeudellinen peruste henkilötietojen käsittelylle, jos rekisteröidyn ja rekisterinpitäjän välillä on ”selkeä epäsuhta”, ( 98 ) seuraavaksi, että yleisen tietosuoja‑asetuksen 7 artiklan 4 kohdan mukaan suostumuksen vapaaehtoisuutta arvioitaessa on otettava mahdollisimman kattavasti huomioon muun muassa se, onko palvelun tarjoamisen tai muun sopimuksen täytäntöönpanon ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten, ( 99 ) ja lopuksi, että yleisen tietosuoja‑asetuksen johdanto‑osan 43 perustelukappaleen toisen virkkeen mukaan suostumusta ei katsota myöskään vapaaehtoisesti annetuksi, jos ei ole mahdollista antaa erillistä suostumusta eri henkilötietojen käsittelytoimille huolimatta siitä, että tämä on asianmukaista yksittäistapauksissa. ( 100 )

75.

Yhteisöpalvelua ylläpitävän henkilötiedoista vastaavan rekisterinpitäjän mahdollisella määräävällä markkina‑asemalla on nähdäkseni merkitystä käsiteltävässä asiassa arvioitaessa sitä, antaako kyseisen palvelun käyttäjä suostumuksen vapaaehtoisesti. Henkilötiedoista vastaavan rekisterinpitäjän markkinavoimatilanne voi nimittäin johtaa voimasuhteiden selvään epätasapainoon edellä tämän ratkaisuehdotuksen 74 kohdassa tarkoitetulla tavalla. ( 101 ) On kuitenkin täsmennettävä yhtäältä, että jotta tällainen markkinavoimatilanne olisi merkityksellinen yleisen tietosuoja‑asetuksen soveltamisen kannalta, sitä ei tarvitse välttämättä rinnastaa SEUT 102 artiklassa tarkoitettuun määräävään asemaan, ( 102 ) ja toisaalta, että pelkästään tämä seikka ei lähtökohtaisesti voi tehdä suostumuksesta täysin pätemätöntä. ( 103 )

76.

Näin ollen suostumuksen pätevyyttä on tutkittava tapauskohtaisesti tämän ratkaisuehdotuksen 73 ja 74 kohdassa mainittujen muiden tekijöiden perusteella ottaen huomioon kaikki käsiteltävän asian olosuhteet ja se, että rekisterinpitäjä on velvollinen osoittamaan, että rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn.

77.

Näin ollen ehdotan, että kuudenteen ennakkoratkaisukysymykseen vastataan, että yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan a alakohtaa ja 9 artiklan 2 kohdan a alakohtaa on tulkittava siten, että pelkästään se seikka, että yhteisöpalvelua ylläpitävällä yrityksellä on määräävä markkina‑asema yksityiskäyttäjille tarjottavien verkkoyhteisöpalvelujen kansallisilla markkinoilla, ei voi merkitä sitä, että kyseisen palvelun käyttäjän henkilötietojensa käsittelyyn antama suostumus menettää tietosuoja‑asetuksen 4 artiklan 11 alakohdassa tarkoitetun pätevyytensä. Tällaisella seikalla on kuitenkin merkitystä arvioitaessa kyseisessä säännöksessä tarkoitetun suostumuksen vapaaehtoisuutta, joka rekisterinpitäjän on osoitettava, kun otetaan tarvittaessa huomioon rekisteröidyn ja rekisterinpitäjän voimasuhteiden selkeä epätasapaino, mahdollinen velvollisuus antaa suostumus muiden kuin kyseessä olevien palvelujen tarjoamisen kannalta ehdottoman välttämättömien henkilötietojen käsittelyyn sekä se, että suostumuksen on oltava yksilöity kuhunkin käsittelytarkoitukseen ja ettei suostumuksen peruuttamisesta saa aiheutua vahinkoa sopimuksensa peruuttaneelle käyttäjälle.

78.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Oberlandesgericht Düsseldorfin esittämiin ennakkoratkaisukysymyksiin seuraavasti: