PRESUDA SUDA (veliko vijeće)

4. srpnja 2023. ( *1 ) ( i )

Sadržaj

	Pravni okvir
	Pravo Unije
	Uredba (EZ) br. 1/2003
	OUZP
	Njemačko pravo
	Glavni postupak i prethodna pitanja
	Prethodna pitanja
	Prvo i sedmo pitanje
	Drugo pitanje
	Drugo pitanje, točka (a)
	Drugo pitanje, točka (b)
	Treće, četvrto i peto pitanje
	Uvodne napomene
	Treće i četvrto pitanje
	Peto pitanje
	Šesto pitanje
	Troškovi

„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Internetske društvene mreže – Zlouporaba vladajućeg položaja operatora takve mreže – Zlouporaba koja se sastoji u obradi osobnih podataka korisnikâ te mreže koja je predviđena njezinim općim uvjetima uporabe – Ovlasti tijela država članica nadležnih za tržišno natjecanje za utvrđenje neusklađenosti tog postupanja s tom uredbom – Odnos s nadležnostima nacionalnih tijela koja su zadužena za nadzor zaštite osobnih podataka – Članak 4. stavak 3. UEU‑a – Načelo lojalne suradnje – Članak 6. stavak 1. prvi podstavak točke (a) do (f) Uredbe 2016/679 – Zakonitost obrade – Članak 9. stavci 1. i 2. – Obrada posebnih kategorija osobnih podataka – Članak 4. točka 11. – Pojam ‚privola’”

U predmetu C‑252/21,

povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Oberlandesgericht Düsseldorf (Visoki zemaljski sud u Düsseldorfu, Njemačka), odlukom od 24. ožujka 2021., koju je Sud zaprimio 22. travnja 2021., u postupku

Meta Platforms Inc., prije Facebook Inc.,

Meta Platforms Ireland Limited, prije Facebook Ireland Ltd.,

Facebook Deutschland GmbH

protiv

Bundeskartellamt,

uz sudjelovanje:

Verbraucherzentrale Bundesverband eV,

SUD (veliko vijeće),

u sastavu: K. Lenaerts, predsjednik, L. Bay Larsen, potpredsjednik, A. Prechal, K. Jürimäe, C. Lycourgos, M. Safjan, L. S. Rossi (izvjestiteljica), D. Gratsias i M. L. Arastey Sahún, predsjednici vijeća, J.-C. Bonichot, S. Rodin, F. Biltgen, M. Gavalec, Z. Csehi i O. Spineanu‑Matei, suci,

nezavisni odvjetnik: A. Rantos,

tajnik: D. Dittert, načelnik odjela,

uzimajući u obzir pisani dio postupka i nakon rasprave održane 10. svibnja 2022.,

uzimajući u obzir očitovanja koja su podnijeli:

–	za Meta Platforms Inc., prije Facebook Inc., Meta Platforms Ireland Ltd, prije Facebook Ireland Ltd, i Facebook Deutschland GmbH, M. Braun, M. Esser, L. Hesse, J. Höft i H.-G. Kamann, Rechtsanwälte,

–	za Bundeskartellamt, J. Nothdurft, K. Ost, I. Sewczyk i J. Topel, u svojstvu agenata,

–	za Verbraucherzentrale Bundesverband eV, S. Louven, Rechtsanwalt,

–	za njemačku vladu, J. Möller i P.-L. Krüger, u svojstvu agenata,

–	za češku vladu, M. Smolek i J. Vláčil, u svojstvu agenata,

–	za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju E. De Bonisa i P. Gentilija, avvocati dello Stato,

–	za austrijsku vladu, A. Posch, J. Schmoll i G. Kunnert, u svojstvu agenata,

–	za Europsku komisiju, F. Erlbacher, H. Kranenborg i G. Meessen, u svojstvu agenata,

saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 20. rujna 2022.,

donosi sljedeću

Presudu

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 4. stavka 3. UEU‑a i članka 6. stavka 1., članka 9. stavaka 1. i 2., članka 51. stavka 1. i članka 56. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).

Zahtjev je upućen u okviru spora između društva Meta Platforms Inc., prije Facebook Inc., društva Meta Platforms Ireland Ltd, prije Facebook Ireland Ltd, i društva Facebook Deutschland GmbH, s jedne strane, i Bundeskartellamta (Savezni ured za zaštitu tržišnog natjecanja, Njemačka), s druge strane, u pogledu odluke tog tijela kojom se tim društvima zabranjuje da obrađuju određene osobne podatke na način predviđen općim uvjetima uporabe društvene mreže Facebook (u daljnjem tekstu: opći uvjeti).

Pravni okvir

Pravo Unije

Uredba (EZ) br. 1/2003

Člankom 5. Uredbe Vijeća (EZ) br. 1/2003 od 16. prosinca 2002. o provedbi pravila o tržišnom natjecanju koja su propisana člancima [101. i 102. UFEU‑a] (SL 2003., L 1, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 8., svezak 1., str. 165. i ispravak SL 2016., L 173, str. 108.), naslovljenim „Ovlasti tijela država članica nadležn[ih] za tržišno natjecanje”, određeno je:

„Tijela država članica nadležna za tržišno natjecanje imaju ovlasti primjenjivati članke [101. i 102. UFEU‑a] u pojedinačnim slučajevima. U tu svrhu, ona mogu, po službenoj dužnosti ili postupajući po pritužbi, donositi odluke u kojima će:

–	zahtijevati da se povreda otkloni,

–	odrediti privremene mjere,

–	prihvatiti obveze,

–	izricati kazne, dnevne ili druge kazne predviđene nacionalnim propisima.

Ako na temelju informacija koje posjeduju nisu ispunjeni uvjeti za utvrđivanje zabrane, ona mogu također odlučiti da ne postoji temelj za njihovo daljnje postupanje.”

OUZP

U uvodnim izjavama 1., 4., 38., 42., 43., 46., 47., 49. i 51. OUZP‑a određeno je:

„(1)	Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima (‚Povelja’) te člankom 16. stavkom 1. Ugovora o funkcioniranju Europske unije (UFEU) utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.

[…]

(4)

Obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka nije apsolutno pravo; mora ga se razmatrati u vezi s njegovom funkcijom u društvu te ga treba ujednačiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti. Ovom se Uredbom poštuju sva temeljna prava i uvažavaju slobode i načela priznata Poveljom koja su sadržana u Ugovorima, osobito poštovanje privatnog i obiteljskog života, doma i komuniciranja, zaštita osobnih podataka, sloboda mišljenja, savjesti i vjeroispovijedi, sloboda izražavanja i informiranja, sloboda poduzetništva, pravo na [djelotvorni] pravni lijek i pošteno suđenje te pravo na kulturnu, vjersku i jezičnu raznolikost.

[…]

(38)

Djeca zaslužuju posebnu zaštitu u pogledu svojih osobnih podataka budući [da] mogu biti manje svjesna rizika, posljedica i predmetnih zaštitnih mjera te svojih prava u vezi s obradom osobnih podataka. Takvo pravo na posebnu zaštitu trebalo bi se posebno odnositi na upotrebu osobnih podataka djece u svrhu marketinga ili stvaranja osobnih ili korisničkih profila te prikupljanje osobnih podataka o djeci prilikom upotrebe usluga koje se izravno nude djetetu. Privola nositelja roditeljske odgovornosti ne bi trebala biti nužna u kontekstu preventivnih usluga ili usluga savjetovanja koje su ponuđene izravno djetetu.

[…]

(42)

Ako se obrada temelji na privoli ispitanika, voditelj obrade trebao bi moći dokazati da je ispitanik dao privolu za postupak obrade. […] Da bi ispitanik mogao dati privolu informiran, trebao bi barem znati identitet voditelja obrade i svrhe obrade za koju se upotrebljavaju osobni podaci. Ne može se smatrati da je privola dana dobrovoljno ako ispitanik nema istinski ili slobodan izbor ili ako nije u mogućnosti odbiti ili povući privolu bez posljedica.

(43)

Kako bi se osiguralo da je privola dana dobrovoljno, ona ne bi smjela predstavljati valjanu pravnu osnovu za obradu osobnih podataka u određenom slučaju kada postoji jasna neravnoteža između ispitanika i voditelja obrade, posebno ako je voditelj obrade tijelo javne vlasti i stoga nije vjerojatno da je s obzirom na sve okolnostima te posebne situacije privola dana dobrovoljno. Smatra se da privola nije dana dobrovoljno ako se njome ne omogućuje davanje zasebne privole za različite postupke obrade podataka, unatoč tome što je primjerena pojedinačnom slučaju ili ako izvršenje ugovora, među ostalim i pružanje usluge, ovisi o privoli i ako takva privola nije nužna za takvo izvršenje.

[…]

(46)

Obrada osobnih podataka trebala bi se također smatrati zakonitom ako je potrebna za zaštitu interesa koji je neophodan za očuvanje života ispitanika ili druge fizičke osobe. Obrada osobnih podataka na temelju životno važnih interesa druge fizičke osobe u načelu bi se smjela obavljati samo ako se obrada očito ne može temeljiti na drugoj pravnoj osnovi. Neke vrste obrade mogu poslužiti i za važne potrebe javnog interesa i životno važne interese ispitanika kao, na primjer, ako je obrada potrebna u humanitarne svrhe, među ostalim za praćenje epidemija i njihovog širenja ili u humanitarnim krizama, posebno u slučajevima prirodnih katastrofa i katastrofa uzrokovanih ljudskim djelovanjem.

(47)

Legitimni interesi voditelja obrade, među ostalim onih interesa voditelja obrade kojem se osobni podaci mogu otkriti ili treće strane, mogu predstavljati pravnu osnovu za obradu pod uvjetom da interesi ili temeljna prava i slobode ispitanika nemaju prednost, uzimajući u obzir razumna očekivanja ispitanika koja se temelje na njihovom odnosu s voditeljem obrade. […] U svakom slučaju postojanje legitimnog interesa zahtijevalo bi pažljivu procjenu, među ostalim i toga može li ispitanik u vrijeme i u kontekstu prikupljanja osobnih podataka razumno očekivati obradu u dotičnu svrhu. Interesi i temeljna prava ispitanika posebno bi mogli nadvladati interes voditelja obrade ako se osobni podaci obrađuju u okolnostima u kojima ispitanici razumno ne očekuju daljnju obradu. […] Obrada osobnih podataka koja je nužna u svrhe sprečavanja prijevara također predstavlja legitiman interes dotičnog voditelja obrade podataka.

[…]

(49)

Obrada osobnih podataka u mjeri koja je nužna i proporcionalna za potrebe osiguravanja sigurnosti mreže i informacija, odnosno sposobnosti mreže ili informacijskog sustava da se odupre, na danom stupnju povjerljivosti, slučajnim događajima ili nezakonitim ili zlonamjernim radnjama koje ugrožavaju dostupnost, autentičnost, integritet i povjerljivost pohranjenih ili prenesenih osobnih podataka te sigurnost povezanih usluga koje nude ili koje su dostupne putem tih mreža i sustava, […] smatra se legitimnim interesom dotičnog voditelja obrade podataka.

[…]

(51)

Osobni podaci koji su po svojoj naravi posebno osjetljive prirode u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do značajnih rizika za temeljna prava i slobode. Ti bi osobni podaci trebali obuhvatiti osobne podatke koji otkrivaju rasno ili etničko podrijetlo, pri čemu upotreba termina „rasno podrijetlo” u ovoj Uredbi ne podrazumijeva to da [Europska u]nija prihvaća teorije koje pokušavaju odrediti postojanje odvojenih ljudskih rasa. Obradu fotografija ne bi trebalo sustavno smatrati obradom posebnih kategorija osobnih podataka jer su one biti obuhvaćene samo definicijom biometrijskih podataka pri obradi posebnim tehničkim sredstvima kojima se omogućuje jedinstvena identifikacija ili autentifikacija pojedinca. Takvi osobni podaci ne bi se smjeli obrađivati osim ako je obrada dopuštena u posebnim slučajevima navedenima u ovoj Uredbi, uzimajući u obzir da pravom država članica mogu biti propisane posebne odredbe o zaštiti podataka kako bi se prilagodila primjena pravila iz ove Uredbe radi poštovanja pravne obveze ili za obavljanje zadaće koja se obavlja u javnom interesu ili pri izvršavanju službene ovlasti koju ima voditelj obrade. Osim posebnih zahtjeva za takvu obradu, trebala bi se primjenjivati opća načela i druga pravila iz ove Uredbe, posebno u pogledu uvjeta za zakonitu obradu. Odstupanja od opće zabrane obrade takvih posebnih kategorija osobnih podataka trebala bi biti izričito predviđena, među ostalim ako je ispitanik dao svoju izričitu privolu ili u vezi s posebnim potrebama, pogotovo ako se obrada provodi u sklopu legitimnih aktivnosti određenih udruženja ili zaklada čiji je cilj dopustiti ostvarivanje temeljnih sloboda.”

Članak 4. te uredbe predviđa:

„Za potrebe ove uredbe:

1.	‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’); […]

‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

[…]

‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;

[…]

11.	‚privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose;

[…]

23.

‚prekogranična obrada’ znači ili

(a)	obrada osobnih podataka koja se odvija u Uniji u kontekstu aktivnosti poslovnih nastana u više od jedne države članice voditelja obrade ili izvršitelja obrade, a voditelj obrade ili izvršitelj obrade ima poslovni nastan u više od jedne države članice; ili

(b)	obrada osobnih podataka koja se odvija u Uniji u kontekstu aktivnosti jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade, ali koja bitno utječe ili je izgledno da će bitno utjecati na ispitanike u više od jedne države članice.

[…]”

Članak 5. navedene uredbe, naslovljen „Načela obrade osobnih podataka”, u stavcima 1. i 2. predviđa:

„1. Osobni podaci moraju biti:

(a)	zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);

b)	prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; […]

c)	primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’);

[…]

2. Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

Članak 6. te uredbe, naslovljen „Zakonitost obrade”, glasi kako slijedi:

„1. Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a)	ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

(b)	obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;

(c)	obrada je nužna radi poštovanja pravnih obveza voditelja obrade;

(d)	obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;

(e)	obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;

(f)	obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.

[…]

3. Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

(a)	pravu Unije; ili

(b)	pravu države članice kojem voditelj obrade podliježe.

[…]

[…] Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.”

Člankom 7. OUZP‑a, naslovljen „Uvjeti privole”, određeno je:

„1. Kada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.

[…]

4. Kada se procjenjuje je li privola bila dobrovoljna, u najvećoj mogućoj mjeri uzima se u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora.”

Članak 9. te uredbe, naslovljen „Obrada posebnih kategorija osobnih podataka”, predviđa:

„1. Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca

2. Stavak 1. ne primjenjuje se ako je ispunjen[o] jedno od sljedećeg:

(a)	ispitanik je dao izričitu privolu za obradu tih osobnih podataka za jednu ili više određenih svrha, osim ako se pravom Unije ili pravom države članice propisuje da ispitanik ne može ukinuti zabranu iz stavka 1.;

[…]

(e)	obrada se odnosi na osobne podatke za koje je očito da ih je objavio ispitanik;

(f)	obrada je nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva ili kad god sudovi djeluju u sudbenom svojstvu;

[…]”

Članak 13. navedene uredbe, koji se odnosi na „[i]nformacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, u stavku 1. predviđa:

„Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:

[…]

(c)	svrhe obrade radi kojih se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu;

(d)	ako se obrada temelji na članku 6. stavku 1. točki (f), legitimne interese voditelja obrade ili treće strane;

[…]”

11	Poglavlje VI. OUZP‑a, koje se odnosi na „[n]eovisna nadzorna tijela”, sadržava članke 51. do 59. te uredbe.

Članak 51. navedene uredbe, naslovljen „Zakonitost obrade”, u stavcima 1. i 2. predviđa:

„1. Svaka država članica osigurava da je jedno ili više neovisnih tijela javne vlasti odgovorno za praćenje primjene ove Uredbe kako bi se zaštitila temeljna prava i slobode pojedinaca u pogledu obrade i olakšao slobodan protok osobnih podataka unutar Unije […]

2. Svako nadzorno tijelo doprinosi dosljednoj primjeni ove Uredbe u cijeloj Uniji. U tu svrhu nadzorna tijela surađuju međusobno i s [Europskom k]omisijom u skladu s poglavljem VII.”

U skladu s člankom 55. te uredbe, naslovljenim „Nadležnost”:

„1. Svako nadzorno tijelo nadležno je za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene u skladu s ovom Uredbom na državnom području vlastite države članice.

2. Ako obradu obavljaju tijela javne vlasti ili privatna tijela koja postupaju na temelju članka 6. stavka 1. točke (c) ili (e), nadležno je nadzorno tijelo dotične države članice. U takvim slučajevima ne primjenjuje se članak 56.”

Članak 56. OUZP‑a‚ naslovljen „Nadležnost vodećeg nadzornog tijela”‚ u stavku 1. propisuje:

„Ne dovodeći u pitanje članak 55. nadzorno tijelo glavnog poslovnog nastana ili jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade nadležno je djelovati kao vodeće nadzorno tijelo za prekograničnu obradu koju provodi taj voditelj obrade ili izvršitelj obrade u skladu s postupkom utvrđenim u članku 60.”

Člankom 57. te uredbe, naslovljenim „Zadaće”, u stavku 1. određeno je:

„Ne dovodeći u pitanje ostale zadaće utvrđene u ovoj Uredbi, svako nadzorno tijelo na svom području:

(a)	prati i provodi primjenu ove Uredbe;

[…]

(g)	surađuje s drugim nadzornim tijelima, među ostalim dijeljenjem informacija, te pruža uzajamnu pomoć drugim nadzornim tijelima s ciljem osiguranja konzistentnosti primjene i provedbe ove Uredbe;

[…]”

Članak 58. navedene uredbe u stavku 1. utvrđuje popis istražnih ovlasti koje ima svako nadzorno tijelo i u svojem stavku 5. pobliže određuje da „[s]vaka država članica zakonom propisuje da njezino nadzorno tijelo ima ovlasti obavijestiti pravosudna tijela o povredama ove Uredbe i, prema potrebi, pokrenuti pravne postupke ili u njima na drugi način sudjelovati kako bi se provele odredbe ove Uredbe”.

Odjeljak 1., naslovljen „Suradnja”, poglavlja VII. OUZP‑a, koje je pak naslovljeno „Suradnja i konzistentnost”, sadržava članke 60. do 62. te uredbe. Članak 60., koji se odnosi na „[s]uradnj[u] vodećeg nadzornog tijela i drugih predmetnih nadzornih tijela”, u stavku 1. predviđa:

„Vodeće nadzorno tijelo surađuje s drugim predmetnim nadzornim tijelima u skladu s ovim člankom kako bi se nastojao postići konsenzus. Vodeće nadzorno tijelo i predmetna nadzorna tijela međusobno razmjenjuju sve bitne informacije.”

Članak 61. OUZP‑a‚ naslovljen „Uzajamna pomoć”‚ u stavku 1. propisuje:

„Nadzorna tijela međusobno si pružaju bitne informacije i uzajamnu pomoć kako bi konzistentno provela i primijenila ovu Uredbu i uspostavljaju mjere za djelotvornu uzajamnu suradnju. Uzajamna pomoć obuhvaća osobito zahtjeve za informacijama i mjerama nadzora, kao što su zahtjevi za provedbom prethodnog odobravanja i savjetovanja, inspekcija i istraga.”

Članak 62. te uredbe‚ naslovljen „Zajedničke operacije nadzornih tijela”‚ u stavcima 1. i 2. propisuje:

„1. Nadzorna tijela prema potrebi provode zajedničke operacije, uključujući zajedničke istrage i zajedničke mjere provedbe u kojima sudjeluju članovi ili osoblje nadzornih tijela drugih država članica.

2. Ako voditelj obrade ili izvršitelj obrade ima poslovne nastane u nekoliko država članica ili kad postoji vjerojatnost da će postupci obrade bitno utjecati na znatan broj ispitanika u više od jedne države članice, nadzorno tijelo svake od tih država članica ima pravo na sudjelovanje u zajedničkim operacijama. […]”

Odjeljak 2., naslovljen „Konzistentnost”, poglavlja VII. OUZP‑a sadržava članke 63. do 67. te uredbe. Članak 63., naslovljen „Mehanizam konzistentnosti”, glasi kako slijedi:

„Kako bi se doprinijelo dosljednoj primjeni ove Uredbe u cijeloj Uniji, nadzorna tijela surađuju međusobno i prema potrebi s Komisijom u okviru mehanizma konzistentnosti, kako je utvrđeno u ovom odjeljku.”

U skladu s člankom 64. stavkom 2. te uredbe:

„Svako nadzorno tijelo, predsjednik [Europskog odbora za zaštitu podataka] ili Komisija mogu zatražiti da svaki predmet opće primjene ili s učincima u više od jedne države članice pregleda Odbor kako bi on dao mišljenje, posebno ako nadležno nadzorno tijelo ne poštuje obveze o uzajamnoj pomoći u skladu s člankom 61. ili o zajedničkim operacijama u skladu s člankom 62.”

Članak 65. te uredbe‚ naslovljen „Rješavanje sporova pri Odboru”‚ u stavku 1. propisuje:

„Kako bi se osigurala ispravna i dosljedna primjena ove Uredbe u pojedinačnim slučajevima, [Europski odbor za zaštitu podataka] donosi obvezujuću odluku u sljedećim slučajevima:

(a)

ako je, u slučaju iz članka 60. stavka 4., predmetno nadzorno tijelo podnijelo relevantan i obrazložen prigovor na nacrt odluke vodećeg nadzornog tijela, a vodeće nadzorno tijelo nije uzelo u obzir prigovor ili je takav prigovor odbilo kao nerelevantan ili neobrazložen. Obvezujuća odluka odnosi se na sva pitanja koja su predmet relevantnog i obrazloženog prigovora, a posebno na pitanje kršenja ove Uredbe;

b)	ako postoje oprečna stajališta oko toga koje je od predmetnih nadzornih tijela nadležno za glavni poslovni nastan;

[…]”

Njemačko pravo

Člankom 19. stavkom 1. Gesetza gegen Wettbewerbsbeschränkungen (Zakon o suzbijanju ograničavanja tržišnog natjecanja), u verziji objavljenoj 26. lipnja 2013. (BGBl. 2013. I, str. 1750, 3245), koja je posljednje izmijenjena člankom 2. Zakona od 16. srpnja 2021. BGBl. 2021. I, str. 2959) (u daljnjem tekstu: GWB), određeno je:

„Zabranjeno je da jedan poduzetnik ili više njih zloupotrebljavaju vladajući položaj.”

24	U skladu s člankom 32. stavkom 1. GWB‑a: „Tijelo nadležno za tržišno natjecanje može zahtijevati od poduzetnikâ ili udruženja poduzetnika da otklone povredu odredbe ovog dijela ili članaka 101. i 102. Ugovora o funkcioniranju Europske unije.”

Člankom 50f. stavkom 1. GWB‑a predviđa se:

„Tijela nadležna za tržišno natjecanje, regulatorna tijela, savezni službenik za zaštitu podataka i slobodu informiranja, regionalni službenici za zaštitu podataka i nadležna tijela u smislu članka 2. EU‑Verbraucherschutzdurchführungsgesetza [(Zakon o provedbi prava Europske unije o zaštiti potrošača)] mogu međusobno razmjenjivati informacije, uključujući osobne podatke te trgovinske i poslovne tajne, neovisno o odabranom postupku, ako je to potrebno za obavljanje njihovih zadaća te mogu upotrijebiti te informacije u okviru postupaka koje provode. […]”

Glavni postupak i prethodna pitanja

Meta Platforms Ireland upravlja ponudom internetske društvene mreže Facebook u Uniji i promiče, osobito na adresi www.facebook.com, usluge koje su besplatne za privatne korisnike. Druga društva koncerna Meta u Uniji nude druge internetske usluge, među kojima su Instagram i WhatsApp, Oculus i – do 13. ožujka 2020. – Masquerade.

Poslovni model internetske društvene mreže Facebook temelji se na financiranju internetskim oglašavanjem, koje se prilagođava pojedinačnim korisnicima društvene mreže s obzirom na, osobito, njihove potrošačke navike, interese, kupovnu moć i osobnu situaciju. Takvo oglašavanje tehnički omogućuje automatizirana izrada detaljnih profila korisnika mreže i internetskih usluga koje nudi koncern Meta. U tu svrhu, osim podataka koje korisnici izravno pružaju prilikom svoje registracije za korištenje internetskih usluga o kojima je riječ, koncern Meta prikuplja i druge podatke o navedenim korisnicima i njihovim uređajima, u okviru te društvene mreže i internetskih usluga koje koncern Meta pruža i izvan njih, te ih zatim povezuje s njihovim različitim korisničkim računima. Sveobuhvatan uvid u te podatke omogućuje stvaranje detaljnih zaključaka o sklonostima i interesima tih korisnika.

Za potrebe obrade navedenih podataka Meta Platforms Ireland oslanja se na ugovor o uporabi kojem korisnici društvene mreže Facebook pristupaju odabirom opcije „Registriraj se”, čime prihvaćaju uvjete uporabe koje je utvrdilo to društvo. Prihvaćanje tih uvjeta nužno je za mogućnost uporabe društvene mreže Facebook. Kad je riječ o obradi osobnih podataka, u uvjetima uporabe upućuje se na pravila o upotrebi podataka i kolačića koje je utvrdilo navedeno društvo. U skladu s potonjima, Meta Platforms Ireland prikuplja podatke o korisnicima i uređajima koji se odnose na aktivnosti korisnikâ u okviru društvene mreže i izvan nje te povezuje te podatke s Facebook računima korisnika o kojima je riječ. Što se tiče potonjih podataka, koji se odnose na aktivnosti izvan društvene mreže (u daljnjem tekstu: off Facebook podaci), riječ je o, s jedne strane, podacima koji se odnose na posjećivanje trećih internetskih stranica i aplikacija, koje su povezane s Facebookom preko programskih sučelja – „Facebook Poslovni alati” – i, s druge strane, podacima koji se odnose na uporabu drugih internetskih usluga u vlasništvu koncerna Meta, među kojima su Instagram, WhatsApp, Oculus i – do 13. ožujka 2020. – Masquerade.

Savezni ured za zaštitu tržišnog natjecanja pokrenuo je postupak protiv društava Meta Platforms, Meta Platforms Ireland i Facebook Deutschland, nakon kojeg im je odlukom od 6. veljače 2019., koja se temeljila na članku 19. stavku 1. i članku 32. GWB‑a, u biti zabranjeno da u okviru općih uvjeta uvjetuju privatnim korisnicima koji borave u Njemačkoj uporabu društvene mreže Facebook obradom njihovih off Facebook podataka i da, bez njihove privole, obrađuju te podatke na temelju općih uvjeta koji su tada bili na snazi. Usto, njome je tim društvima naloženo da prilagode te opće uvjete tako da iz njih jasno proizlazi da navedeni podaci neće biti prikupljeni, povezani s Facebook računima korisnikâ ni upotrijebljeni bez privole korisnika o kojem je riječ te je pojašnjena činjenica da takva privola nije valjana ako je ona uvjet za uporabu društvene mreže.

Savezni ured za zaštitu tržišnog natjecanja obrazložio je svoju odluku činjenicom da obrada podataka korisnika o kojima je riječ, kako je predviđena općim uvjetima i kako ju je provelo društvo Meta Platforms Ireland, predstavlja zlouporabu vladajućeg položaja tog društva na tržištu internetskih društvenih mreža u pogledu privatnih korisnika u Njemačkoj, u smislu članka 19. stavka 1. GWB‑a. Osobito, prema mišljenju Saveznog ureda za zaštitu tržišnog natjecanja, ti su opći uvjeti, kao rezultat tog vladajućeg položaja, nepošteni jer njima predviđena obrada off Facebook podataka nije usklađena s vrijednostima na kojima počiva OUZP, a osobito se ne može opravdati s obzirom na članak 6. stavak 1. i članak 9. stavak 2. te uredbe.

31	Društva Meta Platforms, Meta Platforms Ireland i Facebook Deutschland su 11. veljače 2019. podnijela tužbu protiv odluke Saveznog ureda za zaštitu tržišnog natjecanja Oberlandesgerichtu Düsseldorf (Visoki zemaljski sud u Düsseldorfu, Njemačka).

32	Meta Platforms Ireland je 31. srpnja 2019. predstavio nove opće uvjete u kojima je izričito navedeno da korisnik, umjesto plaćanja za uporabu Facebook proizvoda, izjavljuje da pristaje na oglase.

Usto, od 28. siječnja 2020. Meta Platforms diljem svijeta nudi opciju „Off‑Facebook‑activity”, koja korisnicima društvene mreže Facebook omogućuje da dobiju sažetak informacija koje se na njih odnose, koje društva koncerna Meta prikupljaju u pogledu njihovih aktivnosti na drugim internetskim stranicama i aplikacijama i da se, ako oni to žele, ti podaci, kako o prošloj tako i o budućoj aktivnosti, odvoje od njihova Facebook.com računa.

Oberlandesgericht Düsseldorf (Visoki zemaljski sud u Düsseldorfu) dvoji, kao prvo, u pogledu mogućnosti nacionalnih tijela nadležnih za tržišno natjecanje da, u okviru izvršavanja svojih nadležnosti, nadziru usklađenost obrade osobnih podataka sa zahtjevima sadržanima u OUZP‑u; kao drugo, u pogledu mogućnosti operatora internetske društvene mreže da obrađuje ispitanikove osjetljive osobne podatke, u smislu članka 9. stavaka 1. i 2. te uredbe; kao treće, u pogledu zakonitosti toga da takav operator obrađuje osobne podatke korisnika o kojem je riječ, u skladu s člankom 6. stavkom 1. navedene uredbe i kao četvrto, u pogledu valjanosti, s obzirom na članak 6. stavak 1. prvi podstavak točku (a) i članak 9. stavak 2. točku (a) te uredbe, privole dane poduzetniku koji ima vladajući položaj na nacionalnom tržištu internetskih društvenih mreža, za potrebe takve obrade.

U tom kontekstu, smatrajući da ishod glavnog postupka ovisi o odgovoru koji valja dati na ta pitanja, Oberlandesgericht Düsseldorf (Visoki zemaljski sud u Düsseldorfu) odlučio je prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

„1.

(a)

Je li u skladu s člankom 51. i sljedećim člancima OUZP‑a ako nacionalno tijelo države članice nadležno za tržišno natjecanje, kao što je Savezni ured za zaštitu tržišnog natjecanja, koje nije nadzorno tijelo u smislu članka 51. i sljedećih članaka OUZP‑a, u situaciji u kojoj poduzetnik sa sjedištem izvan Europske unije u navedenoj državi članici ima podružnicu, koja u području oglašavanja, komunikacije i odnosa s javnošću podupire glavni poslovni nastan tog poduzetnika smješten u drugoj državi članici, koji snosi isključivu odgovornost za obradu osobnih podataka za cijelo područje Europske unije, u okviru nadzora zlouporabe u području prava tržišnog natjecanja utvrdi da se ugovornim uvjetima glavnog poslovnog nastana koji se odnose na obradu podataka i provedbu tih uvjeta povređuje OUZP i ako to tijelo naloži prestanak te povrede?

(b)

U slučaju potvrdnog odgovora: je li to u skladu s člankom 4. stavkom 3. UEU‑a ako istodobno vodeće nadzorno tijelo u državi članici glavnog poslovnog nastana u smislu članka 56. stavka 1. OUZP‑a provodi postupak ispitivanja u pogledu ugovornih uvjeta tog glavnog poslovnog nastana koji se odnose na obradu podataka?

Ako je odgovor na prvo pitanje potvrdan:

(a)

Je li prilikom prikupljanja i/ili povezivanja i/ili uporabe riječ o obradi osjetljivih podataka u smislu odredbe članka 9. stavka 1. OUZP‑a u slučaju kad internetski korisnik samo posjećuje internetske stranice ili aplikacije koje su povezane s kriterijima iz tog članka 9., kao što su aplikacije za upoznavanje, stranice za pronalazak istospolnih partnera, internetske stranice političkih stranaka, internetske stranice sa zdravstvenim sadržajima, ili kad ondje unosi i podatke, primjerice prilikom registracije ili narudžbi, a […] društvo kao što je [Meta Platforms Ireland] preko sučelja koja sadržavaju internetske stranice i aplikacije, kao što je ‚Facebook Poslovni alati’, ili preko kolačića odnosno slične tehnologije za pohranu omogućene na računalu ili prijenosnoj terminalnoj opremi internetskog korisnika prikuplja podatke o tome da korisnik posjećuje te internetske stranice i aplikacije i o tome da je ondje izvršio unos, povezuje ih s podacima Facebook.com korisničkog računa te ih upotrebljava?

(b)

U slučaju potvrdnog odgovora: je li riječ o očitoj objavi podataka o posjećivanju kao takvom i/ili podataka unesenih u smislu članka 9. stavka 2. točke (e) OUZP‑a koju korisnik provodi posjećivanjem tih internetskih stranica i aplikacija i/ili unosom podataka i/ili upotrebom opcija (‚dodaci za društvene mreže’ (plugins) kao što su opcije ‚Sviđa mi se’, ‚Podijeli’ ili ‚Facebook registracija’ odnosno ‚account kit’) koje se nalaze na tim internetskim stranicama ili aplikacijama pružatelja kao što je [Meta Platforms Ireland]?

Može li se društvo kao što je [Meta Platforms Ireland], koje upravlja digitalnom društvenom mrežom koja se financira oglašavanjem i u svojim uvjetima uporabe nudi personalizaciju sadržaja i oglasa, mrežnu sigurnost, poboljšanje proizvoda te dosljednu i nesmetanu uporabu svih proizvoda u vlasništvu koncerna, pozvati na opravdanje koje se temelji na nužnosti izvršenja ugovora u skladu s člankom 6. stavkom 1. točkom (b) OUZP‑a ili na ostvarivanju legitimnih interesa u skladu s člankom 6. stavkom 1. točkom (f) OUZP‑a ako u te svrhe prikuplja podatke iz drugih usluga koje koncern pruža te iz trećih internetskih stranica i aplikacija preko sučelja koja one sadržavaju, kao što je ‚Facebook poslovni alati’, ili preko kolačića odnosno slične tehnologije za pohranu omogućene na računalu ili prijenosnoj terminalnoj opremi internetskog korisnika i te podatke povezuje s Facebook.com korisničkim računom te ih upotrebljava?

Mogu li u takvom slučaju također

–	maloljetnost korisnika za personalizaciju sadržaja i oglasa, poboljšanje proizvoda, mrežna sigurnost i komunikacija s korisnikom koja nema marketinšku svrhu;

–	omogućavanje mjerenja, analiza i drugih usluga koje društvo nudi oglašivačima, razvojnim i ostalim partnerima, kako bi oni mogli ocijeniti i poboljšati svoje usluge;

–	omogućavanje komunikacije s korisnikom koja ima marketinšku svrhu, kako bi poduzetnik mogao poboljšati svoje proizvode i provesti izravni marketing;

–	istraživanje i inovacije u socijalne svrhe s ciljem promicanja tehnoloških znanja odnosno znanstvenog shvaćanja u pogledu važnih socijalnih pitanja i radi postizanja pozitivnog utjecaja na društvo i svijet;

–	informacije tijela nadležnih za kazneni progon i za izvršenje kazni te odgovor na pravne upite s ciljem sprečavanja, otkrivanja i progona kaznenih djela, neovlaštenog korištenja, povreda uvjeta uporabe i pravila te drugih štetnih postupanja;

predstavljati legitimne interese u smislu članka 6. stavka 1. točke (f) OUZP‑a ako poduzetnik u te svrhe prikuplja podatke iz drugih usluga koje koncern pruža te iz trećih internetskih stranica i aplikacija preko sučelja koja one sadržavaju, kao što je ‚Facebook Poslovni alati’, ili preko kolačića odnosno slične tehnologije za pohranu omogućene na računalu ili prijenosnoj terminalnoj opremi internetskog korisnika i te podatke povezuje s Facebook.com korisničkim računom te ih upotrebljava?

Može li u takvom slučaju prikupljanje podataka koje koncern pruža i iz trećih internetskih stranica i aplikacija preko sučelja koja one sadržavaju, kao što je ‚Facebook Poslovni alati’, ili preko kolačića za pohranu omogućenih na računalu ili prijenosnoj terminalnoj opremi internetskog korisnika, povezivanje tih podataka s Facebook.com korisničkim računom te njihova uporaba ili uporaba podataka koji su već na drugi način zakonito prikupljeni i povezani, u pojedinačnom slučaju biti opravdano i na temelju članka 6. stavka 1. točaka (c), (d) i (e) OUZP‑a, kako bi se primjerice odgovorilo na pravno valjani upit koji se odnosi na određene podatke (točka (c)), kako bi se spriječilo štetno postupanje i promicala sigurnost (točka (d)) ili radi istraživanja u korist društva i radi promicanja zaštite, integriteta i sigurnosti (točka (e))?

6.	Može li se poduzetniku u vladajućem položaju na tržištu kao što je [Meta Platforms Ireland] dati valjana i dobrovoljna privola osobito u smislu članka 4. točke 11. OUZP‑a, u skladu s člankom 6. stavkom 1. točkom (a) i člankom 9. stavkom 2. točkom (a) OUZP‑a? Ako je odgovor na prvo pitanje niječan:

(a)

Može li nacionalno tijelo države članice nadležno za tržišno natjecanje, kao što je Savezni ured za zaštitu tržišnog natjecanja, koje nije nadzorno tijelo u smislu članka 51. i sljedećih članaka OUZP‑a i koje ispituje povredu poduzetnika u vladajućem položaju na tržištu u pogledu protiv zabrane zlouporabe u području prava tržišnog natjecanja, a koja se ne sastoji od činjenice da njegovi uvjeti obrade podataka i provedba tih uvjeta predstavljaju povredu OUZP‑a, primjerice u okviru odvagivanja interesa utvrditi jesu li uvjeti obrade podataka tog poduzetnika i njihova provedba u skladu s OUZP‑om?

(b)	U slučaju potvrdnog odgovora: vrijedi li to s obzirom na članak 4. stavak 3. UEU‑a i u slučaju kad vodeće nadzorno tijelo koje je nadležno na temelju članka 56. stavka 1. OUZP‑a istodobno provodi postupak ispitivanja u pogledu uvjeta obrade podataka tog poduzetnika?

Ako je odgovor na sedmo pitanje potvrdan, valja odgovoriti na pitanja 3. do 5. s obzirom na podatke prikupljene u okviru uporabe Instagrama koji je također usluga koju pruža taj koncern.”

Prethodna pitanja

Prvo i sedmo pitanje

Svojim prvim i sedmim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti želi doznati treba li članke 51. i sljedeće OUZP‑a tumačiti na način da tijelo države članice nadležno za tržišno natjecanje može utvrditi, u okviru ispitivanja zlouporabe vladajućeg položaja poduzetnika, u smislu članka 102. UFEU‑a, da opći uvjeti uporabe tog poduzetnika koji se odnose na obradu osobnih podataka i njihova provedba nisu usklađeni s OUZP‑om i, ako te članke treba tako tumačiti, treba li članak 4. stavak 3. UEU‑a tumačiti na način da je isto tako moguće da tijelo nadležno za tržišno natjecanje to podredno utvrdi ako u pogledu tih uvjeta vodeće nadležno tijelo provodi postupak ispitivanja, na temelju članka 56. stavka 1. OUZP‑a.

Kako bi se pružio odgovor na to pitanje, najprije valja podsjetiti na to da se člankom 55. stavkom 1. OUZP‑a utvrđuje načelna nadležnost svakog nadzornog tijela za izvršavanje zadaća i ovlasti koje su mu dodijeljene na državnom području države članice kojoj pripada‚ u skladu s tom uredbom (presuda od 15. lipnja 2021., Facebook Ireland i dr., C‑645/19, EU:C:2021:483, t. 47. i navedena sudska praksa).

Jedna od zadaća povjerenih tim nadzornim tijelima je osobito i zadaća nadzora primjene OUZP‑a i osiguranja njezina poštovanja, koja je predviđena u članku 51. stavku 1. i članku 57. stavku 1. točki (a) te uredbe, radi zaštite temeljnih sloboda i prava pojedinaca u pogledu obrade njihovih osobnih podataka te olakšavanja slobodnog protoka takvih podataka unutar Unije. Usto, u skladu s člankom 51. stavkom 2. i člankom 57. stavkom 1. točkom (g) navedene uredbe, navedena nadzorna tijela međusobno surađuju, među ostalim, dijeljenjem informacija, te pružaju uzajamnu pomoć drugim nadzornim tijelima s ciljem osiguranja konzistentnosti primjene i provedbe te uredbe.

Kako bi navedena nadzorna tijela ispunila te zadaće, članak 58. OUZP‑a stavkom 1. dodjeljuje im istražne ovlasti, stavkom 2. ovlast donošenja korektivnih mjera, a stavkom 5. ovlast obavještavanja pravosudnih tijela o povredama te uredbe i, prema potrebi, pokretanja pravnih postupaka kako bi se provele odredbe te uredbe.

Ne dovodeći u pitanje pravilo o nadležnosti sadržano u članku 55. stavku 1. OUZP‑a, članak 56. stavak 1. te uredbe u pogledu prekogranične obrade predviđa, u smislu članka 4. točke 23. te uredbe, sustav „sve na jednom mjestu” koji se temelji na raspodjeli nadležnosti između „vodećeg nadzornog tijela” i ostalih nadzornih tijela o kojima je riječ te na suradnji između svih tih tijela u skladu s postupkom suradnje predviđenim člankom 60. navedene uredbe.

Osim toga‚ članak 61. stavak 1. OUZP‑a obvezuje nadzorna tijela da‚ među ostalim‚ međusobno pružaju bitne informacije i uzajamnu pomoć‚ kako bi konzistentno provela i primijenila tu uredbu u cijeloj Uniji. Članak 63. navedene uredbe pojašnjava da je s tim ciljem predviđen mehanizam konzistentnosti‚ uspostavljen člancima 64. i 65. te uredbe (presuda od 15. lipnja 2021., Facebook Ireland i dr., C‑645/19, EU:C:2021:483, t. 52. i navedena sudska praksa).

Ipak, valja istaknuti da pravila o suradnji previđena OUZP‑om nisu upućena nacionalnim tijelima nadležnima za tržišno natjecanje, nego je njima uređena suradnja nacionalnih nadzornih tijela o kojima je riječ i vodećeg nadzornog tijela te, ovisno o slučaju, suradnja tih tijela s Europskim odborom za zaštitu podataka i Komisijom.

Naime, ni OUZP ni ijedan drugi instrument prava Unije ne previđa posebna pravila kad je riječ o suradnji nacionalnog tijela nadležnog za tržišno natjecanje i nacionalnih nadzornih tijela o kojima je riječ ili vodećeg nadzornog tijela. Usto, nijedna odredba te uredbe ne zabranjuje nacionalnim tijelima nadležnima za tržišno natjecanje da u okviru obavljanja svojih zadaća utvrde neusklađenost s navedenom uredbom obrade podataka koju vrši poduzetnik koji ima vladajući položaj i koja može predstavljati zlouporabu vladajućeg položaja.

44	S tim u vezi valja pojasniti, kao prvo, da nadzorna tijela, s jedne strane, i nacionalna tijela nadležna za tržišno natjecanje, s druge strane, obavljaju različite funkcije i nastoje ostvariti sebi svojstvene ciljeve i zadaće.

Naime, s jedne strane, kao što je navedeno u točki 38. ove presude, na temelju članka 51. stavaka 1. i 2. i članka 57. stavka 1. točaka (a) i (g) OUZP‑a, glavna je zadaća nadzornog tijela nadzor primjene te uredbe i osiguranje njezina poštovanja, uz istodobni doprinos njezinoj dosljednoj primjeni unutar Unije i to radi zaštite temeljnih sloboda i prava pojedinaca u pogledu obrade njihovih osobnih podataka te olakšavanja slobodnog protoka takvih podataka unutar Unije. U tu svrhu, kao što je istaknuto u točki 39. ove presude, nadzorno tijelo raspolaže različitim ovlastima koje su mu dodijeljene na temelju članka 58 OUZP‑a.

S druge strane, u skladu s člankom 5. Uredbe br. 1/2003, nacionalna tijela nadležna za tržišno natjecanje imaju ovlasti donositi, među ostalim, odluke kojima se utvrđuje zlouporaba vladajućeg položaja poduzetnika u smislu članka 102. UFEU‑a, čiji je cilj uspostava sustava kojim se osigurava nenarušavanje tržišnog natjecanja na unutarnjem tržištu, s obzirom, isto tako, na posljedice koje takva zlouporaba ima na potrošače na tom tržištu.

Kao što je u biti istaknuo nezavisni odvjetnik u točki 23. svojega mišljenja, prilikom donošenja takve odluke tijelo nadležno za tržišno natjecanje treba ocijeniti, na temelju svih posebnih okolnosti predmeta, otežava li postupanje poduzetnika u vladajućem položaju, koje se sastoji u upotrebi metoda različitih od metoda normalnog tržišnog natjecanja proizvoda ili usluga, održavanje razine tržišnog natjecanja koja još postoji na tržištu ili na razvoj tog tržišnog natjecanja (vidjeti u tom smislu presudu od 25. ožujka 2021., Deutsche Telekom/KomisijaC‑152/19 P, EU:C:2021:238, t. 41. i 42.). S tim u vezi, usklađenost ili neusklađenost takvog postupanja s odredbama OUZP‑a može, ovisno o slučaju, predstavljati važnu indiciju među relevantnim okolnostima slučaja na temelju koje se može utvrditi sastoji li se to postupanje u upotrebi metoda normalnog tržišnog natjecanja i na temelju koje se mogu ocijeniti posljedice koje određena praksa ima na tržište ili potrošače.

Iz toga slijedi da će, prilikom ispitivanja zlouporabe vladajućeg položaja poduzetnika na određenom tržištu, možda biti potrebno da tijelo države članice o kojoj je riječ nadležno za tržišno natjecanje isto tako ispita usklađenost postupanja tog poduzetnika s pravilima različitima od pravila prava tržišnog natjecanja, poput pravila u području zaštite osobnih podataka koja su predviđena OUZP‑om.

Uzimajući u obzir različite ciljeve koji se nastoje postići pravilima uspostavljenima u području tržišnog natjecanja, osobito člankom 102. UFEU‑a, s jedne strane, i pravilima predviđenima u području zaštite osobnih podataka na temelju OUZP‑a, s druge strane, valja utvrditi da, kada nacionalno tijelo nadležno za tržišno natjecanje podredno utvrdi povredu te uredbe u okviru utvrđenja zlouporabe vladajućeg položaja, ono ne zamjenjuje nadzorna tijela. Osobito, takvo nacionalno tijelo nadležno za tržišno natjecanje ne nadzire primjenu te uredbe ni ne osigurava njezino poštovanje radi postizanja cilja navedenog u njezinu članku 51. stavku 1., to jest radi zaštite temeljnih sloboda i prava pojedinaca u pogledu obrade i olakšavanja slobodnog protoka osobnih podataka unutar Unije. Usto, time što samo utvrđuje neusklađenost obrade podataka s OUZP‑om jedino radi utvrđenja zlouporabe vladajućeg položaja i time što nalaže mjere za prestanak te zlouporabe na temelju pravne osnove koja proizlazi iz prava tržišnog natjecanja, takvo tijelo ne obavlja ni jednu od zadaća iz članka 57. te uredbe, kao što se ni ne koristi ovlastima pridržanima nadzornom tijelu na temelju članka 58. navedene uredbe.

Osim toga, valja utvrditi da su pristup osobnim podacima i njihovo korištenje od presudnog značaja u okviru digitalnog gospodarstva. U okviru glavnog postupka taj je značaj vidljiv iz poslovnog modela društvene mreže Facebook, koji predviđa, kao što je navedeno u točki 27. ove presude, financiranje personaliziranim oglasima koji su prilagođeni korisničkim profilima izrađenima na temelju osobnih podataka koje je prikupio Meta Platforms Ireland.

Kao što osobito naglašava Komisija, pristup osobnim podacima i mogućnost obrade tih podataka postali su značajan parametar tržišnog natjecanja među poduzetnicima digitalnog gospodarstva. Stoga isključivanje pravila o zaštiti osobnih podatka iz pravnog okvira koji tijela nadležna za tržišno natjecanje moraju uzeti u obzir prilikom ispitivanja zlouporabe vladajućeg položaja ne bi uzelo u obzir postojanje tog gospodarskog razvoja te bi moglo narušiti djelotvornost prava tržišnog natjecanja u okviru Unije.

Međutim, kao drugo, valja istaknuti da u slučaju u kojem nacionalno tijelo nadležno za tržišno natjecanje smatra potrebnim da u okviru odluke o zlouporabi vladajućeg položaja odluči i o usklađenosti ili neusklađenosti s OUZP‑om načina na koji poduzetnik o kojem je riječ obrađuje osobne podatke, to tijelo i nadzorno tijelo o kojem je riječ ili, ovisno o slučaju, nadležno vodeće nadzorno tijelo u smislu te uredbe moraju međusobno surađivati kako bi osigurali dosljednu primjenu te uredbe.

Naime, iako, kao što je istaknuto u točkama 42. i 43. ove presude, ni OUZP ni ijedan drugi instrument prava Unije ne previđaju posebna pravila u tom smislu, ipak, kao što je u bitnome istaknuo nezavisni odvjetnik u točki 28. svojega mišljenja, kada različita nacionalna tijela sudionici primjenjuju OUZP, ona su dužna poštovati načelo lojalne suradnje sadržano u članku 4. stavku 3. UEU‑a. Na temelju tog načela, u skladu s ustaljenom sudskom praksom, u područjima koja su obuhvaćena pravom Unije, države članice, uključujući njihova upravna tijela, moraju uzajamno se poštovati i pomagati pri obavljanju zadaća koje proizlaze iz Ugovorâ, poduzimati sve odgovarajuće mjere kako bi osigurale ispunjavanje obveza koje proizlaze, među ostalim, iz akata institucija Unije te se suzdržavati od svake mjere koja bi mogla ugroziti postizanje ciljeva Unije (vidjeti u tom smislu presude od 7. studenoga 2013., UPC Nederland, C‑518/11, EU:C:2013:709, t. 59. i od 1. kolovoza 2022., Sea Watch, C‑14/21 i C‑15/21, EU:C:2022:604, t. 156.).

Stoga, uzimajući u obzir to načelo, kada su nacionalna tijela nadležna za tržišno natjecanje prilikom izvršavanja svojih nadležnosti dužna ispitati usklađenost postupanja određenog poduzetnika s odredbama OUZP‑a, ona se moraju uskladiti i lojalno surađivati s nacionalnim nadzornim tijelima o kojima je riječ ili s vodećim nadzornim tijelom, pri čemu su sva ta tijela stoga dužna u tom kontekstu poštovati svoje ovlasti i nadležnosti kako bi se poštovale obveze koje proizlaze iz OUZP‑a i ciljevi te uredbe i kako bi se očuvao njihov korisni učinak.

55	Naime, ispitivanje tijela nadležnog za tržišno natjecanje postupanja poduzetnika s obzirom na pravila OUZP‑a može sadržavati rizik od razilaženja tog tijela i nadzornih tijela kad je riječ o tumačenju te uredbe.

Iz toga slijedi da, kada, u okviru ispitivanja čiji je cilj utvrditi postojanje zlouporabe vladajućeg položaja određenog poduzetnika u smislu članka 102. UFEU‑a, nacionalno tijelo nadležno za tržišno natjecanje smatra da je nužno ispitati usklađenost postupanja tog poduzetnika s obzirom na odredbe OUZP‑a, navedeno tijelo mora provjeriti jesu li u pogledu tog postupanja ili sličnog postupanja nadležno nacionalno nadzorno tijelo ili vodeće nadzorno tijelo ili pak Sud već donijeli odluku. Ako je tomu tako, nacionalno tijelo nadležno za tržišno natjecanje ne može odstupiti od nje, ali ostaje slobodno da iz nje izvuče vlastite zaključke iz perspektive primjene prava tržišnog natjecanja.

Kada dvoji o dosegu ocjene koju provodi nadležno nacionalno nadzorno tijelo ili vodeće nadzorno tijelo, kada u pogledu postupanja o kojem je riječ ili sličnog postupanja ta tijela istodobno provode ispitivanje ili pak kada, ako navedena tijela nisu provela istragu, ono smatra da poduzetnikovo postupanje nije usklađeno s odredbama OUZP‑a, nacionalno tijelo nadležno za tržišno natjecanje mora se obratiti tim tijelima i od njih zahtijevati njihovu suradnju kako bi otklonilo te dvojbe ili odredilo treba li čekati da nadležno tijelo o kojem je riječ donese odluku prije nego li započne vlastito ocjenjivanje.

Kada nacionalno tijelo nadležno za tržišno natjecanje podnese zahtjev nadzornom tijelu, ono sa svoje strane mora odgovoriti na taj zahtjev za pružanje informacija ili za suradnju u razumnom roku tako da prvonavedenom tijelu dostavi informacije kojima raspolaže, a koje tom tijelu mogu omogućiti otklanjanje dvojbi o dosegu ocjene koju je izvršilo nadzorno tijelo ili, ovisno o slučaju, tako da nacionalno tijelo nadležno za tržišno natjecanje obavijesti o tomu namjerava li pokrenuti postupak suradnje s drugim nadzornim tijelima o kojima je riječ ili s vodećim nadzornim tijelom, u skladu s člankom 60. i sljedećima OUZP‑a kako bi donijelo odluku o utvrđenju usklađenosti ili neusklađenosti postupanja o kojem je riječ s tom uredbom.

Ako nadzorno tijelo ne odgovori na njegov zahtjev u razumnom roku, nacionalno tijelo nadležno za tržišno natjecanje može provesti vlastitu istragu. Isto vrijedi i ako nadležno nacionalno nadzorno tijelo i vodeće nadzorno tijelo ne prigovore tomu da se takva istraga provede bez čekanja da ona donesu odluku.

U predmetnom slučaju, iz spisa kojim raspolaže Sud proizlazi da je tijekom listopada i studenoga 2018., dakle prije donošenja odluke o kojoj je riječ u glavnom postupku, Savezni ured za zaštitu tržišnog natjecanja kontaktirao Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Savezni povjerenik za zaštitu podataka i slobodu informiranja, Njemačka), Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (Hamburški povjerenik za zaštitu podataka i slobodu informiranja, Njemačka), koji je nadležan u odnosu na Facebook Deutschland, i Data Protection Commission (DPC) (Povjerenstvo za zaštitu podataka, Irska), kako bi ta tijela obavijestio o svojem postupanju. Usto, Saveznom uredu za zaštitu tržišnog natjecanja je potvrđeno da navedena tijela tada nisu pokrenula nikakvu istragu o činjenicama koje su slične onima o kojima je riječ u glavnom postupku te ta tijela nisu ni na koji način prigovorila postupanju tog ureda. Naposljetku, u točkama 555. i 556. njegove odluke od 6. veljače 2019., Savezni ured za zaštitu tržišnog natjecanja izričito je spomenuo tu suradnju.

61	U tim okolnostima, i uz pridržaj provjere suda koji je uputio zahtjev, čini se da je Savezni ured za zaštitu tržišnog natjecanja ispunio svoje obveze lojalne suradnje s nacionalnim nadzornim tijelima o kojima je riječ i s vodećim nadzornim tijelom.

Uzimajući u obzir prethodno navedeno, na prvo i sedmo prethodno pitanje valja odgovoriti tako da članak 51. i sljedeće OUZP‑a te članak 4. stavak 3. UEU‑a treba tumačiti na način da, pod uvjetom da tijelo države članice nadležno za tržišno natjecanje poštuje svoju obvezu lojalne suradnje s nadzornim tijelima, ono može utvrditi, u okviru ispitivanja zlouporabe vladajućeg položaja poduzetnika, u smislu članka 102. UFEU‑a, da opći uvjeti uporabe tog poduzetnika koji se odnose na obradu osobnih podataka i njihova provedba nisu usklađeni s tom uredbom, ako je to utvrđenje nužno za dokazivanje postojanja takve zlouporabe.

S obzirom na tu obvezu lojalne suradnje, nacionalno tijelo nadležno za tržišno natjecanje ne može odstupiti od odluke nacionalnog nadležnog nadzornog tijela ili nadležnog vodećeg nadzornog tijela koja se odnosi na te opće uvjete ili na slične opće uvjete. Kada ono dvoji o dosegu takve odluke, ako ta tijela istodobno ispituju navedene uvjete ili slične uvjete ili pak kada, ako navedena tijela nisu provela istragu ili donijela odluku, tijelo nadležno za tržišno natjecanje smatra da uvjeti o kojima je riječ nisu usklađeni s OUZP‑om, ono se mora obratiti tim nadzornim tijelima i od njih zahtijevati suradnju kako bi otklonilo svoje dvojbe ili odredilo treba li čekati da ta tijela donesu odluku prije nego li započne vlastito ocjenjivanje. Ako ta tijela tomu ne prigovore niti odgovore u razumnom roku, nacionalno tijelo nadležno za tržišno natjecanje može provesti vlastitu istragu.

Drugo pitanje

Svojim drugim pitanjem, točkom (a) sud koji je uputio zahtjev u biti pita treba li članak 9. stavak 1. OUZP‑a tumačiti na način da, u slučaju kada korisnik internetske društvene mreže posjećuje internetske stranice ili koristi aplikacije koje su povezane s jednom ili više kategorija obuhvaćenih tom odredbom i, ovisno o slučaju, ondje unosi podatke prilikom registracije ili obavljanjem internetskih narudžbi, način na koji taj operator te internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju, preko sadržanih sučelja, kolačića odnosno slične tehnologije za pohranu, podataka proizišlih iz posjećivanja tih stranica i korištenja tih aplikacija te podataka koje je unio korisnik, u povezivanju svih tih podataka s njegovim računom na društvenoj mreži i u uporabi tog operatora navedenih podataka, treba smatrati „obradom posebnih kategorija osobnih podataka”, u smislu navedene odredbe, koja je u načelu zabranjena, ne dovodeći u pitanje odstupanja predviđena tim člankom 9. stavkom 2.

Ako je tomu tako, sud koji je uputio zahtjev svojim drugim pitanjem točkom (b) u biti pita treba li članak 9. stavak 2. točku (e) OUZP‑a tumačiti na način da se, kada korisnik internetske društvene mreže posjećuje internetske stranice ili koristi aplikacije koje su povezane s kategorijama sadržanima u članku 9. stavku 1. OUZP‑a, unosi podatke na te stranice ili u te aplikacije ili odabire opcije koje se na njima nalaze, kao što su „Sviđa mi se” ili „Podijeli” ili opcije koje korisniku omogućuju da se prijavi na te stranice ili u te aplikacije koristeći se podacima za prijavu koji su povezani s njegovim korisničkim računom na internetskoj društvenoj mreži, njegovim telefonskim brojem ili njegovom adresom elektroničke pošte, smatra da je on očito objavio, u smislu prvonavedene odredbe, podatke koje je tom prilikom prikupio operator te internetske društvene mreže preko kolačića ili sličnih tehnologija za pohranu.

Drugo pitanje, točka (a)

Uvodna izjava 51. OUZP‑a određuje da osobni podaci koji su posebno osjetljive prirode u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do značajnih rizika za temeljna prava i slobode. U toj je uvodnoj izjavi pojašnjeno da se takvi osobni podaci ne bi smjeli obrađivati osim ako je obrada dopuštena u posebnim slučajevima predviđenima navedenom uredbom.

U tom kontekstu članak 9. stavak 1. OUZP‑a postavlja načelo zabrane obrade u njemu navedenih posebnih kategorija osobnih podataka. Riječ je, osobito, o podacima koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska uvjerenja ili o podacima koji se odnose na zdravlje, spolni život ili seksualnu orijentaciju pojedinca.

Radi primjene članka 9. stavka 1. OUZP‑a, kada operator internetske društvene mreže obrađuje osobne podatke, potrebno je provjeriti mogu li ti podaci otkriti informacije obuhvaćene jednom od kategorija koje su sadržane u toj odredbi, bilo da se te informacije odnose na korisnika te mreže ili na drugu fizičku osobu. Ako mogu, onda je takva obrada osobnih podataka zabranjena, ne dovodeći u pitanje odstupanja predviđena člankom 9. stavkom 2. OUZP‑a.

Kao što je u biti istaknuo nezavisni odvjetnik u točkama 40. i 41. svojega mišljenja, ta načelna zabrana predviđena člankom 9. stavkom 1. OUZP‑a ne ovisi o tomu je li informacija prikupljena obradom o kojoj je riječ točna ili nije i djeluje li voditelj obrade u cilju prikupljanja informacija obuhvaćenih jednom od posebnih kategorija predviđenih tom odredbom.

70	Naime, uzimajući u obzir značajne opasnosti za temeljne slobode i prava ispitanikâ, koje nastaju svakom obradom osobnih podataka koji su obuhvaćeni kategorijama navedenima u članku 9. stavku 1. OUZP‑a, njegov je cilj zabraniti takve obrade, neovisno o cilju koji se njima nastoji postići.

U predmetnom slučaju, obrada o kojoj je riječ u glavnom postupku koju provodi Meta Platforms Ireland ponajprije se sastoji u prikupljanju osobnih podataka korisnikâ društvene mreže Facebook kada oni posjećuju internetske stranice ili aplikacije – uključujući one koje mogu otkriti informacije obuhvaćene jednom ili više kategorija iz članka 9. stavka 1. OUZP‑a – i, ovisno o slučaju, ondje unose informacije registracijom ili obavljanjem internetskih narudžbi, zatim u povezivanju tih podataka s računima tih korisnika na društvenih mrežama i naposljetku u uporabi navedenih podataka.

S tim u vezi, zadaća je suda koji je uputio zahtjev da odredi može li se na temelju tako prikupljenih podataka, zasebno ili kada ih se poveže s Facebook računima korisnika o kojima je riječ, zaista otkriti takve informacije, bilo da se te informacije odnose na korisnika te mreže ili na drugu fizičku osobu. Međutim, uzimajući u obzir dvojbe tog suda, valja pojasniti da, uz pridržaj provjera suda koji je uputio zahtjev, obrada podataka o posjećivanju internetskih stranica ili korištenju aplikacija o kojima je riječ može u određenim slučajevima otkriti takve informacije, a da pritom nije potrebno da navedeni korisnici ondje unose informacije registracijom ili obavljanjem internetskih narudžbi.

Uzimajući u obzir prethodno navedeno, na drugo pitanje točku (a) valja odgovoriti tako da članak 9. stavak 1. OUZP‑a treba tumačiti na način da, u slučaju kada korisnik internetske društvene mreže posjećuje internetske stranice ili koristi aplikacije koje su povezane s jednom ili više kategorija koje sadržava ta odredba i, ovisno o slučaju, ondje unosi podatke prilikom registracije ili obavljanjem internetskih narudžbi, način na koji operator te internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju, preko sadržanih sučelja, kolačića odnosno slične tehnologije za pohranu, podataka proizišlih iz posjećivanja tih stranica i korištenja tih aplikacija te podataka koje je unio korisnik, u povezivanju svih tih podataka s njegovim računom na društvenoj mreži i u uporabi tog operatora navedenih podataka, treba smatrati „obradom posebnih kategorija osobnih podataka”, u smislu navedene odredbe, koja je u načelu zabranjena, ne dovodeći u pitanje odstupanja predviđena tim člankom 9. stavkom 2., ako ta obrada podataka omogućuje otkrivanje informacija obuhvaćenih jednom od tih kategorija, bilo da se te informacije odnose na korisnika te mreže ili na bilo koju drugu fizičku osobu.

Drugo pitanje, točka (b)

Kad je riječ o drugom pitanju, točki (b), kako je preoblikovano u točki 65. ove presude i koje se odnosi na odstupanje predviđeno člankom 9. stavkom 2. točkom (e) OUZP‑a, valja podsjetiti na to da se, na temelju te odredbe, načelna zabrana bilo kakve obrade posebnih kategorija osobnih podataka, ustanovljena tim člankom 9. stavkom 1. ne primjenjuje u slučaju u kojem se obrada odnosi na osobne podatke za koje je „očito da ih je objavio ispitanik”.

75	Uvodno valja istaknuti da se, s jedne strane, to odstupanje primjenjuje samo na podatke koje je očito objavio „ispitanik”. Stoga se ono ne primjenjuje na podatke osoba od kojih nijedna nije osoba koja je objavila te podatke.

S druge strane, u mjeri u kojoj predviđa iznimku od načela zabrane obrade posebnih kategorija osobnih podataka, članak 9. stavak 2. OUZP‑a treba tumačiti usko (vidjeti u tom smislu presude od 17. rujna 2014., Baltic Agro, C‑3/13, EU:C:2014:2227, t. 24. navedenu sudsku praksu i od 6. lipnja 2019., Weil, C‑361/18, EU:C:2019:473, t. 43. i navedenu susku praksu).

77	Iz toga slijedi da, za potrebe primjene iznimke iz članka 9. stavka 2. točke (e) OUZP‑a, valja provjeriti je li ispitanik namjeravao izričito i jasnom potvrdnom radnjom široj javnosti učiniti dostupnima osobne podatke o kojima je riječ.

S tim u vezi, kad je riječ, s jedne strane, o posjećivanju internetskih stranica ili korištenju aplikacija koje s povezane s jednom ili više kategorija iz članka 9. stavka 1. OUZP‑a, valja utvrditi da korisnik o kojem je riječ tim posjećivanjem ili korištenjem ni na koji način ne namjerava objaviti činjenicu da je posjetio te stranice ili koristio te aplikacije i podatke o tom posjećivanju ili korištenju koji mogu biti povezani s njime. Naime, potonji može u najboljem slučaju očekivati da upravitelj stranice ili aplikacije ima pristup tim podacima i da ih dijeli, ovisno o slučaju i ako je taj korisnik za to dao izričitu privolu, s određenim trećim stranama, a ne sa širom javnosti.

79	Stoga se iz puke činjenice da korisnik posjećuje takve stranice ili koristi takve aplikacije ne može zaključiti da je taj korisnik očito objavio navedene osobne podatke u smislu članka 9. stavka 2. točke (e) OUZP‑a.

S druge strane, što se tiče aktivnosti koje se sastoje u unošenju podataka na navedene internetske stranice ili u navedene aplikacije kao i u odabiru opcija sadržanih na ili u njima, poput opcija „Sviđa mi se” ili „Podjeli” ili opcija koje korisniku omogućuju da se prijavi na internetsku stranicu ili u aplikaciju koristeći se podacima za prijavu povezanima s njegovim Facebook korisničkim računom, telefonskim brojem ili adresom elektroničke pošte, valja istaknuti da te aktivnosti podrazumijevaju interakciju između tog korisnika i internetske stranice ili aplikacije o kojima je riječ i, ovisno o slučaju, internetske stranice internetske društvene mreže treće strane, pri čemu se oblici oglašavanja te interakcije mogu razlikovati jer ih navedeni korisnik može individualno podesiti.

U tim okolnostima, zadaća je suda koji je uputio zahtjev da provjeri mogu li korisnici o kojima je riječ odlučiti, na temelju informiranog podešavanja, da će podaci uneseni na internetske stranice ili u aplikacije o kojima je riječ te podaci koji proizlaze iz odabira opcija sadržanih u njima biti dostupni široj javnosti ili, suprotno tomu, više ili manje ograničenom broju odabranih osoba.

Kada su korisnici o kojima je riječ stvarno izvršili taj izbor i kada oni dobrovoljno unesu podatke na internetsku stranicu ili u aplikaciju ili kada odaberu opcije u njima sadržane, može se smatrati da oni očito objavljuju podatke koji se odnose na njih, u smislu članka 9. stavka 2. točke (e) OUZP‑a, samo ako su prethodno izričito izrazili svoj izbor, ovisno o slučaju, na temelju informiranog individualnog podešavanja, da ti podaci budu dostupni neograničenom broju osoba.

Suprotno tomu, ako nije ponuđeno takvo individualno podešavanje, valja smatrati, uzimajući u obzir ono što je navedeno u točki 77. ove presude, da, ako korisnici dobrovoljno unesu podatke na internetsku stranicu ili u aplikaciju ili odaberu opcije sadržane u njima, oni moraju, kako bi se smatralo da su očito objavili te podatke, dati izričitu privolu na temelju izričite informacije koja je pružena na toj stranici ili u toj aplikaciji prije takvog unošenja ili odabira, kako bi navedeni podaci mogli biti prikazani svakoj osobi koja ima pristup navedenoj stranici ili navedenoj aplikaciji.

Uzimajući u obzir prethodno navedeno, na drugo pitanje točku (b) valja odgovoriti tako da članak 9. stavak 2. točku (e) OUZP‑a treba tumačiti na način da, kada korisnik internetske društvene mreže posjećuje internetske stranice ili koristi aplikacije koje su povezane s jednom ili više kategorija iz članka 9. stavka 1. OUZP‑a, on očito ne objavljuje, u smislu prvonavedene odredbe, podatke o tom posjećivanju ili korištenju koje je operator te internetske društvene mreže prikupio preko kolačića ili sličnih tehnologija za pohranu.

Kada on unese podatke na te stranice ili u te aplikacije ili kada odabere opcije sadržane na tim stranicama ili tim aplikacijama, poput opcija „Sviđa mi se” ili „Podijeli” ili opcija koje korisniku omogućuju da se prijavi na te stranice ili u te aplikacije korištenjem podataka za prijavu povezanih s njegovim korisničkim računom na društvenoj mreži, njegovim telefonskim brojem ili njegovom adresom elektroničke pošte, takav korisnik očito objavljuje, u smislu tog članka 9. stavka 2. točke (e), podatke koji su tako uneseni ili tako proizlaze iz odabira tih opcija samo ako je prethodno izričito izrazio svoj izbor, ovisno o slučaju na temelju informiranog individualnog podešavanja, da podaci koji se odnose na njega budu javno dostupni neograničenom broju osoba.

Treće, četvrto i peto pitanje

Svojim trećim i četvrtim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti želi doznati treba li i pod kojim uvjetima članak 6. stavak 1. prvi podstavak točke (b) i (f) OUZP‑a tumačiti tako da se način na koji operator internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju podataka korisnika te mreže proizišlih iz drugih usluga koncerna kojem pripada taj operator ili proizišlih iz posjećivanja tih korisnika internetskih stranica trećih strana ili njihova korištenja aplikacija trećih strana, u povezivanju tih podataka s računom navedenih korisnika na društvenoj mreži i u uporabi navedenih podataka, može smatrati nužnim za izvršavanje ugovora u kojemu su ispitanici stranke, u smislu točke (b) ili za potrebe legitimnih interesa voditelja obrade ili treće strane, u smislu točke (f). Taj se sud osobito pita predstavljaju li određeni interesi koje izričito navodi „legitimni interes” u smislu potonje odredbe.

Svojim petim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 6. stavak 1. prvi podstavak točke (c) do (e) OUZP‑a tumačiti na način da se takvu obradu osobnih podataka može smatrati nužnom radi poštovanja pravnih obveza voditelja obrade, u smislu točke (c), kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe, u smislu točke (d) ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, u smislu točke (e), u slučaju u kojem se navedena obrada vrši kako bi se odgovorilo na pravno valjani upit koji se odnosi na određene podatke, kako bi se spriječilo štetno postupanje i promicala sigurnost odnosno radi istraživanja u korist društva i radi promicanja zaštite, integriteta i sigurnosti.

Uvodne napomene

Uvodno valja primijetiti, prvo, da su treće, četvrto i peto pitanje postavljeni zbog toga što se, kako proizlazi iz utvrđenja Saveznog ureda za zaštitu tržišnog natjecanja sadržanih u njegovoj odluci od 6. veljače 2019., ne može smatrati da su korisnici društvene mreže Facebook dali privolu za obradu njihovih podataka o kojima je riječ u glavnom postupku u smislu članka 6. stavka 1. prvog podstavka točke (a) i članka 9. stavka 2. točke (a) OUZP‑a. Stoga upravo u tom kontekstu sud koji je uputio zahtjev, dok istodobno u okviru svojeg šestog pitanja pita Sud o toj premisi, smatra da mora provjeriti ispunjava li ta obrada jedan od ostalih uvjeta zakonitosti, sadržanih u tom članku 6. stavku 1. prvom podstavku točkama (b) od (f) te uredbe.

U tom okviru valja istaknuti da prikupljanje, povezivanje i uporaba podataka, na koje se odnose treće, četvrto i peto pitanje, mogu istodobno obuhvaćati osjetljive podatke u smislu članka 9. stavka 1. OUZP‑a i podatke koji nisu osjetljivi. Valja pojasniti da, u slučaju u kojem je predmet takvih obrada skup podataka koji u isto vrijeme sadržava osjetljive podatke i podatke koji to nisu i ako se taj skup prikuplja istodobno, a da se pritom podaci ne mogu razdvojiti jedni od drugih u trenutku njihova prikupljanja, obradu svih tih podataka valja smatrati zabranjenom u smislu članka 9. stavka 1. OUZP‑a ako taj skup sadržava barem jedan osjetljiv podatak i ako nije primjenjivo nijedno odstupanje predviđeno člankom 9. stavkom 2. te uredbe.

Drugo, radi davanja odgovora na treće, četvrto i peto pitanje, valja podsjetiti na to da članak 6. stavak 1. OUZP‑a predviđa iscrpan i taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom. Dakle, da bi se mogla smatrati zakonitom, obrada mora biti obuhvaćena jednim od slučajeva predviđenih tom odredbom (presuda od 22. lipnja 2021, Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 99. i navedena sudska praksa).

91	U skladu s člankom 6. stavkom 1. prvim podstavkom točkom (a) te uredbe, obrada osobnih podataka zakonita je samo ako i u onoj mjeri u kojoj je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha.

92	Ako takva privola nije dana uopće ili nije dana dobrovoljno, posebno, informirano i nedvosmisleno, u smislu članka 4. točke 11. OUZP‑a, takva je obrada ipak opravdana ako ispunjava jedan od zahtjeva nužnosti sadržanih u članku 6. stavku 1. prvom podstavku točkama (b) do (f) te uredbe.

U tom kontekstu, opravdanja sadržana u potonjoj odredbo, u dijelu u kojem ona omogućuju ozakonjenje obrade osobnih podataka izvršene bez ispitanikove privole, moraju se tumačiti usko (vidjeti u tom smislu presudu od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe), C‑175/20, EU:C:2022:124, t. 73. i navedenu sudsku praksu).

Usto, kao što je Sud presudio, ako je moguće utvrditi da je obrada osobnih podataka nužna s obzirom na jedno od opravdanja sadržanih u članku 6. stavku 1. prvom podstavku točkama (b) do (f) OUZP‑a, više nije potrebno utvrditi je li ta obrada obuhvaćena i nekim od preostalih opravdanja (vidjeti u tom smislu presudu od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, t. 71.).

Naposljetku valja pojasniti da je, u skladu s člankom 5. OUZP‑a, na voditelju obrade teret dokazivanja da su ti podaci osobito prikupljeni u posebne, izričite i zakonite svrhe i zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika. Usto, u skladu s člankom 13. stavkom 1. točkom (c) te uredbe, ako su osobni podaci prikupljeni od ispitanika, zadaća je voditelja obrade da ispitanika informira o svrhama obrade radi kojih se upotrebljavaju ti podaci kao i pravnoj osnovi za tu obradu.

Iako je zadaća suda koji je uputio zahtjev da odredi jesu li različiti elementi obrade o kojoj je riječ u glavnom postupku opravdani nekom od nužnosti predviđenih člankom 6. stavkom 1. prvim podstavkom točkama b) do f) OUZP‑a, Sud mu ipak može dati korisne upute kako bi mu omogućio da riješi spor koji se pred njime vodi.

Treće i četvrto pitanje

97	Što se tiče, kao prvo, članka 6. stavka 1. prvog podstavka točke (b) OUZP‑a, njime je predviđeno da je obrada osobnih podataka zakonita ako je „nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora”.

S tim u vezi, kako bi se obrada osobnih podataka smatrala nužnom za izvršavanje ugovora, u smislu te odredbe, ona treba biti objektivno neophodna za ostvarivanje svrhe koja je sastavni dio ugovorne činidbe koja se pruža ispitaniku. Stoga voditelj obrade mora moći dokazati zašto se glavni predmet ugovora ne bi mogao ostvariti ako se ne izvrši obrada o kojoj je riječ.

Činjenica da je takva obrada navedena u ugovoru ili da je samo korisna za njegovo izvršenje sama po sebi nije relevantna s tim u vezi. Naime, odlučujući element za potrebe primjene opravdanja sadržanog u članku 6. stavku 1. prvom podstavku točki (b) OUZP‑a jest taj da obrada osobnih podataka koju vrši voditelj obrade bude ključna za pravilno izvršavanje ugovora koji su sklopili on i ispitanik i usto taj da ne postoje druga praktična i manje otegotna rješenja.

100

S tim u vezi, kao što je istaknuo nezavisni odvjetnik u točki 54. svojega mišljenja, ako se ugovor sastoji od nekoliko usluga ili različitih elemenata iste usluge koji se mogu pružiti neovisno jedan o drugom, primjenjivost članka 6. stavka 1. prvog podstavka točke (b) OUZP‑a treba ocijeniti u kontekstu svake od tih usluga zasebno.

101

U predmetnom slučaju, u okviru opravdanja koja mogu biti obuhvaćena područjem primjene te odredbe, sud koji je uputio zahtjev upućuje, kao na elemente kojima se osigurava prikladno izvršavanje ugovora koji su sklopili Meta Platforms Ireland i njegovi korisnici, na personalizaciju sadržajâ i na dosljednu i nesmetanu uporabu usluga svojstvenih koncernu Meta.

102

Kad je riječ, prvo, o opravdanju koje se temelji na personalizaciji sadržajâ, valja istaknuti da, iako je takva personalizacija korisna za korisnika, u mjeri u kojoj mu omogućuje osobito da mu se prikazuje sadržaj koji u velikoj mjeri odgovara njegovim interesima, ipak, uz pridržaj provjere suda koji je uputio zahtjev, personalizacija sadržaja nije nužna za ponudu tom korisniku usluga internetske društvene mreže. Te mu se usluge mogu, ovisno o slučaju, pružiti u obliku ekvivalentne alternative koja ne podrazumijeva takvu personalizaciju tako da potonja nije objektivno neophodna za ostvarenje svrhe koja je sastavni dio tih usluga.

103

Što se tiče, drugo, opravdanja koje se temelji na dosljednoj i nesmetanoj uporabi usluga svojstvenih koncernu Meta, iz spisa kojim raspolaže Sud proizlazi da pojedinac nije dužan koristiti različite usluge koje nudi taj koncern kako bi mogao kreirati korisnički račun na društvenoj mreži Facebook. Naime, različiti proizvodi i usluge koje nudi koncern mogu biti korisni neovisno jedni o drugima i uporaba svakog od tih proizvoda ili usluga temelji se na sklapanju zasebnog ugovora o uporabi.

104	Stoga i uz pridržaj provjere suda koji je uputio zahtjev, ne čini se da je obrada osobnih podataka koji su proizišli iz usluga različitih od usluga internetske društvene mreže koje nudi koncern Meta nužna za omogućavanje pružanja potonje usluge.

105

Kad je riječ, kao drugo, o članku 6. stavku 1. prvom podstavku točki (f), OUZP‑a, njime je predviđeno da je obrada osobnih podataka zakonita ako je „nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete”.

106

Kao što je Sud već presudio, tom su odredbom predviđena tri kumulativna uvjeta zakonitosti obrade osobnih podataka, odnosno, kao prvo, da je svrha obrade legitiman interes voditelja obrade ili treće strane, kao drugo, da je obrada osobnih podataka nužna za ostvarenje tog legitimnog interesa i, kao treće, uvjet da interesi ili temeljna prava i sloboda ispitanika za zaštitu podataka ne prevladavaju nad legitimnim interesom voditelja obrade ili treće strane (presuda od 17. lipnja 2021., M. I. C. M., C‑597/19, EU:C:2021:492, t. 106. i navedena sudska praksa).

107

Kad je riječ, prvo, o uvjetu koji se odnosi na ostvarivanje legitimnog interesa, valja pojasniti da je, u skladu s člankom 13. stavkom 1. točkom (d) OUZP‑a, zadaća voditelja obrade, u trenutku prikupljanja ispitanikovih osobnih podataka od samog ispitanika, naznačiti mu legitimne interese koji se nastoje ostvariti kada se ta obrada temelji na članku 6. stavku 1. prvom podstavku točki (f) te uredbe.

108

Što se tiče, drugo, uvjeta koji se odnosi na nužnost obrade osobnih podataka za ostvarenje legitimnog interesa koji se nastoji postići, njime se sudu koji je uputio zahtjev nalaže da provjeri da se legitimni interes obrade podataka koji se nastoji postići ne može razumno jednako učinkovito postići drugim sredstvima kojima se manje zadire u temeljne slobode i prava ispitanikâ, posebno prava na poštovanje privatnog života i na zaštitu osobnih podataka zajamčena člancima 7. i 8. Povelje (vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 110. i navedenu sudsku praksu).

109

U tom kontekstu također valja podsjetiti na to da se uvjet koji se odnosi na nužnost obrade mora ispitati zajedno s takozvanim načelom „smanjenja količine podataka” iz članka 5. stavka 1. točke (c) OUZP‑a, prema kojem osobni podaci moraju biti „primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju” (vidjeti u tom smislu presudu od 11. prosinca 2019., Asociaţia de Proprietari bloc M5A‑ScaraA, C‑708/18, EU:C:2019:1064, t. 48.).

110

U pogledu, treće, uvjeta da interesi ili temeljne slobode i prava ispitanika za zaštitu podataka ne prevladavaju nad legitimnim interesom voditelja obrade ili treće strane, Sud je već presudio da on podrazumijeva odvagivanje suprotstavljenih prava i interesa o kojima je riječ, koje ovisi, u načelu, o konkretnim okolnostima pojedinog slučaja te je, slijedom toga, zadaća suda koji je uputio zahtjev da izvrši to odvagivanje uzimajući u obzir te posebne okolnosti (presuda od 17. lipnja 2021., M. I. C. M., C‑597/19, EU:C:2021:492, t. 111. i navedena sudska praksa).

111

S tim u vezi, iz samog teksta članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a proizlazi da je nužno, u okviru tog odvagivanja, obratiti posebnu pažnju na situaciju u kojoj je ispitanik dijete. Naime, u skladu s uvodnom izjavom 38. te uredbe, djeca zaslužuju posebnu zaštitu u pogledu svojih osobnih podataka budući da mogu biti manje svjesna rizika, posljedica i predmetnih zaštitnih mjera te svojih prava u vezi s obradom osobnih podataka. Stoga se takva posebna zaštita mora osobito odnositi na upotrebu osobnih podataka djece u svrhu marketinga ili stvaranja osobnih ili korisničkih profila te prikupljanja osobnih podataka o djeci prilikom upotrebe usluga koje se izravno nude djetetu.

112	Usto, kao što proizlazi iz uvodne izjave 47. OUZP‑a, interesi i temeljna prava ispitanika posebno bi mogli nadvladati interes voditelja obrade ako se osobni podaci obrađuju u okolnostima u kojima ispitanici razumno ne očekuju daljnju obradu.

113

U predmetnom slučaju, u okviru opravdanja koja mogu biti obuhvaćena područjem primjene članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a, sud koji je uputio zahtjev upućuje na personalizaciju oglašavanja, sigurnost mreže, poboljšanje proizvoda, informacije tijela nadležnih za kazneni progon i za izvršenje kazni, na činjenicu da je korisnik maloljetnik, na istraživanje i inovaciju u društvene svrhe, ponude usmjerene na oglašivače i druge profesionalne partnere, komercijalnih komunikacijskih usluga namijenjenih korisniku i alata za analizu koji im omogućuju ocijeniti njihove izvedbe.

114

S tim u vezi, najprije valja istaknuti da zahtjev za prethodnu odluku ne sadržava objašnjenja na temelju kojih se može razumjeti kako bi istraživanje i inovacija u društvene svrhe ili činjenica da je korisnik maloljetnik mogli opravdati, kao legitimni interesi u smislu članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a, prikupljanje i iskorištavanje podataka o kojima je riječ. Slijedom toga, Sud ne može donijeti odluku s tim u vezi.

115	Kad je riječ, prvo, o personalizaciji oglašavanja, valja istaknuti da se, u skladu s uvodnom izjavom 47. te uredbe, može smatrati da postoji legitiman interes voditelja obrade prilikom obrade osobnih podataka provedene za potrebe izravnog marketinga.

116

Međutim, usto je potrebno da takva obrada bude nužna za ostvarenje tog interesa i da interesi ili temeljne slobode i prava ispitanika ne prevladavaju nad njime. U okviru tog odvagivanja suprotstavljenih prava i interesa o kojima je riječ, to jest onih voditelja obrade, s jedne strane i ispitanikovih, s druge strane, valja uzeti u obzir, kako je navedeno u točki 112. ove presude, osobito ispitanikova razumna očekivanja i opseg obrade o kojoj je riječ te njezin učinak na tu osobu.

117

S tim u vezi, valja istaknuti da, usprkos besplatnosti usluga internetske društvene mreže kao što je Facebook, njezin korisnik ne može razumno očekivati da operator te društvene mreže bez njegove privole obrađuje njegove osobne podatke u svrhe personalizacije i oglašavanja. U tim okolnostima, valja smatrati da interesi i temeljna prava takvog korisnika prevladavaju nad interesom tog operatora za takvu personalizaciju oglašavanja kojom financira svoju aktivnost tako da obrada tog operatora u te svrhe ne može biti obuhvaćena člankom 6. stavkom 1. prvim podstavkom točkom (f) OUZP‑a.

118

Osim toga, obrada o kojoj je riječ u glavnom postupku osobito je opsežna s obzirom na to da se odnosi na potencijalno neograničene podatke i da ima značajan učinak na korisnika, čiju velika većina odnosno gotovo sve aktivnosti na internetu nadzire Meta Platforms Ireland, što u njemu može pobuditi osjećaj neprekidnog nadzora njegova privatnog života.

119	Drugo, što se tiče cilja jamstva sigurnosti mreže, on predstavlja, kao što je navedeno u uvodnoj izjavi 49. OUZP‑a, legitimni interes društva Meta Platforms Ireland, koji može opravdati obradu o kojoj je riječ u glavnom postupku.

120

Međutim, kad je riječ o nužnosti te obrade za ostvarivanje tog legitimnog interesa, sud koji je uputio zahtjev morat će provjeriti je li se i u kojoj mjeri obrada osobnih podatka prikupljenih iz izvora koji se nalaze izvan društvene mreže Facebook pokazala zaista nužnom za osiguranje toga da ne bude ugrožena unutarnja sigurnost te mreže.

121

U tom kontekstu, kao što je istaknuto u točkama 108. i 109. ove presude, on će također morati provjeriti, s jedne strane, može li se legitimni interes obrade podataka koji se nastoji ostvariti razumno jednako učinkovito postići drugim sredstvima kojima se manje zadire u temeljne slobode i prava ispitanikâ, posebno prava na poštovanje privatnog života i na zaštitu osobnih podataka zajamčena člancima 7. i 8. Povelje i, s druge strane, poštuje li se načelo „smanjenja količine podataka” , sadržano u članku 5. stavku 1. točki (c) OUZP‑a.

122

Treće, kad je riječ o cilju poboljšanja proizvoda, ne može se a priori isključiti da interes voditelja obrade da poboljša svoj proizvod ili svoju uslugu kako bi mu/joj poboljšao izvedbu i učinio ga/je privlačnijim/privlačnijom može predstavljati legitimni interes kojim se može opravdati obrada osobnih podataka i da takva obrada može biti nužna za ostvarenje tog interesa.

123

Međutim, i uz pridržaj konačne ocjene koju s tim u vezi mora provesti sud koji je uputio zahtjev, dvojbeno je, kad je riječ o obradi podataka o kojoj je riječ u glavnom postupku, bi li cilj koji se odnosi na poboljšanje proizvoda mogao, uzimajući u obzir opseg te obrade i njezin značajan učinak na korisnika, i okolnost da potonji ne može razumno očekivati da te podatke obrađuje Meta Platforms Ireland, prevladati nad interesima i temeljnim pravima takvog korisnika, to više kada je taj korisnik dijete.

124

Četvrto, što se tiče cilja koji je naveo sud koji je uputio zahtjev koji se odnosi na informacije tijela nadležnih za kazneni progon i za izvršenje kazni s ciljem sprečavanja, otkrivanja i progona kaznenih djela, valja utvrditi da taj cilj u načelu ne može predstavljati legitimni interes koji nastoji ostvariti voditelj obrade u smislu članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a. Naime, privatni operator kao što je društvo Meta Platforms Ireland ne može se pozvati na takav legitiman interes, koji nema veze s njegovom gospodarskom i komercijalnom djelatnošću. Suprotno tomu, navedeni cilj može opravdati obradu koju vrši takav operator kada je to objektivno nužno radi poštovanja pravne obveze tog operatora.

125

S obzirom na prethodno navedeno, na treće i četvrto pitanja valja odgovoriti na način da članak 6. stavak 1. prvi podstavak točku (b) OUZP‑a treba tumačiti tako da se način na koji operator internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju podataka korisnika te mreže proizišlih iz drugih usluga koncerna kojem pripada taj operator ili proizišlih iz posjećivanja tih korisnika internetskih stranica trećih strana ili njihova korištenja aplikacija trećih strana, u povezivanju tih podataka s računom navedenih korisnika na društvenoj mreži i u uporabi navedenih podataka, može smatrati nužnim za izvršavanje ugovora u kojemu su ispitanici stranke, u smislu te odredbe, samo pod uvjetom da je ta obrada objektivno neophodna za ostvarenje svrhe koja je sastavni dio ugovorne činidbe namijenjene tim korisnicima tako da se glavni predmet ugovora ne može ostvariti ako se ne izvrši ta obrada.

126

Članak 6. stavak 1. prvi podstavak točku (f) OUZP‑a treba tumačiti na način da se takvu obradu može smatrati nužnom za potrebe legitimnih interesa voditelja obrade ili treće strane, u smislu te odredbe, samo pod uvjetom da je navedeni operator korisnicima od kojih su prikupljeni podaci naznačio legitimni interes koji se ostvaruje tom obradom, da se ta obrada provodi u granicama onoga što je strogo nužno za ostvarivanje tog legitimnog interesa i da iz odvagivanja suprotstavljenih interesa, s obzirom na sve relevantne okolnosti, proizlazi da interesi ili temeljne slobode i prava tih korisnika ne prevladavaju nad navedenim legitimnim interesom voditelja obrade ili treće strane.

Peto pitanje

127

Kao prvo, u mjeri u kojoj se ovo pitanje odnosi na članak 6. stavak 1. prvi podstavak točke (c) i (e) OUZP‑a, valja podsjetiti na to da je, na temelju te točke (c), obrada osobnih podataka zakonita ako je nužna radi poštovanja pravne obveze voditelja obrade. Usto, u skladu s tom točkom, zakonita je obrada i ona koja je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade.

128

Člankom 6. stavkom 3. OUZP‑a pobliže je određeno osobito, s obzirom na ta dva slučaja zakonitosti, da se pravna osnova obrade određuje u pravu Unije ili pravu države članice kojem voditelj obrade podliježe i da se tom pravnom osnovom mora ostvariti cilj od javnog interesa te ona mora biti razmjerna zakonitom cilju koji se želi postići.

129

U predmetnom slučaju sud koji je uputio zahtjev želi doznati može li se obrada osobnih podataka, poput one o kojoj je riječ u glavnom postupku, smatrati opravdanom, s obzirom na članak 6. stavak 1. prvi podstavak točku (c) OUZP‑a, „kako bi se [njome] odgovorilo na pravno valjani upit koji se odnosi na određene podatke”, a s obzirom na njezin članak 6. stavak 1. prvi podstavak točku (e), ako joj je cilj „istraživanje u korist društva” i „promicanje zaštite, integriteta i sigurnosti”.

130	Međutim, valja utvrditi da taj sud nije Sudu dostavio elemente na temelju kojih potonji može konkretno odlučiti o tome.

131	Stoga će biti zadaća tog suda provjeriti, s obzirom na uvjete navedene u točki 128. ove presude, može li se obradu o kojoj je riječ smatrati opravdanom istaknutim svrhama.

132

Osobito, uzimajući u obzir navedeno u točki 124. ove presude, zadaća tog suda bit će istražiti, za potrebe primjene članka 6. stavka 1. prvog podstavka točke (c) OUZP‑a, ima li Meta Platforms Ireland pravnu obvezu prikupljanja i pohrane osobnih podataka preventivno kako bi mogao odgovoriti na bilo koje pitanje kojim nacionalno tijelo želi pribaviti određene podatke o korisnicima tog društva.

133

Isto tako, bit će zadaća suda koji je uputio zahtjev da ocijeni, s obzirom na članak 6. stavak 1. prvi podstavak točku (e) OUZP‑a je li društvu Meta Platforms Ireland povjerena zadaća od javnog interesa ili zadaća u okviru izvršavanju službene ovlasti, osobito kako bi osiguralo istraživanje u korist društva i promicalo zaštitu integritet i sigurnost, pri čemu se pojašnjava da je, s obzirom na suštinski gospodarsku i komercijalnu prirodu njegove djelatnosti, malo vjerojatno da je tom privatnom operatoru povjerena takva zadaća.

134	Usto, sud koji je uputio zahtjev morat će, po potrebi, provjeriti provodi li se, uzimajući u obzir opseg obrade podataka koju provodi Meta Platforms Ireland i njezin značajan utjecaj na korisnike društvene mreže Facebook, ta obrada u granicama onoga što je strogo nužno.

135	Što se tiče, kao drugo, članka 6. stavka 1. prvog podstavka točke (d) OUZP‑a, tom je odredbom predviđeno da je obrada osobnih podataka zakonita ako je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe.

136

Kao što proizlazi iz uvodne izjave 46. te uredbe, ta se odredba odnosi na posebnu situaciju u kojoj je obrada osobnih podataka nužna kako bi se zaštitili interesi koji su neophodno važni za očuvanje života ispitanika ili druge fizičke osobe. S tim u vezi, u toj uvodnoj izjavi se kao primjeri, među ostalim, navode humanitarne svrhe, poput praćenja epidemija i njihova širenja te humanitarne krize, poput prirodnih katastrofa i katastrofa uzrokovanih ljudskim djelovanjem.

137

Iz tih primjera i uskog načina na koji valja tumačiti članak 6. stavak 1. prvi podstavak točku (d) OUZP‑a, proizlazi da se, s obzirom na prirodu usluga koje pruža operator internetske društvene mreže, takav operator, čija je djelatnost suštinski gospodarska i komercijalna, ne može pozvati na zaštitu interesa koji su neophodni za očuvanje života svojih korisnika ili druge osobe kako bi opravdao, apsolutno, potpuno apstraktno i preventivno, zakonitost obrade podataka poput one o kojoj je riječ u glavnom postupku.

138

S obzirom na prethodno navedeno, na peto pitanje valja odgovoriti na način da članak 6. stavak 1. prvi podstavak točku (c) OUZP‑a treba tumačiti tako da je način na koji operator internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju podataka korisnika te mreže proizišlih iz drugih usluga koncerna kojem pripada taj operator ili proizišlih iz posjećivanja tih korisnika internetskih stranica trećih strana ili njihova korištenja aplikacija trećih strana, u povezivanju tih podataka s računom navedenih korisnika na društvenoj mreži i u uporabi navedenih podataka, opravdan, u smislu te odredbe, ako je ta obrada zaista nužna radi poštovanja pravnih obveza voditelja obrade, na temelju odredbe prava Unije ili prava države članice o kojoj je riječ, ako se tom pravnom osnovom ostvaruje cilj u javnom interesu i ta je pravna osnova razmjerna zakonitom cilju koji se želi postići i ako se ta obrada provodi u granicama onoga što je strogo nužno.

139

Članak 6. stavak 1. prvi podstavak točke (d) i (e) OUZP‑a treba tumačiti na način da se takvu obradu osobnih podataka ne može u načelu i uz pridržaj provjere suda koji je uputio zahtjev, smatrati nužnom kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe, u smislu točke (d) ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, u smislu točke (e).

Šesto pitanje

140

Svojim šestim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 6. stavak 1. prvi podstavak točku (a) i članak 9. stavak 2. točku (a) OUZP‑a tumačiti na način da se može smatrati da privola koju je korisnik internetske društvene mreže dao operatoru te mreže ispunjava uvjete valjanosti predviđene člankom 4. točkom 11. te uredbe, a osobito uvjet u skladu s kojim se ta privola mora dati dobrovoljno, ako taj operator ima vladajući položaj na tržištu internetskih društvenih mreža.

141	Članak 6. stavak 1. prvi podstavak točka (a) i članak 9. stavak 2. točka (a) OUZP‑a zahtijevaju ispitanikovu privolu za obradu njegovih osobnih podataka u jednu ili više posebnih svrha i za obradu posebnih kategorija osobnih podataka predviđenih tim člankom 9. stavkom 1.

142	Sa svoje strane, člankom 4. točkom 11. OUZP‑a pojam „privola” definiran je kao da znači „svako dobrovoljno, posebno informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose”.

143	S obzirom na pitanja suda koji je uputio zahtjev, valja podsjetiti na to, kao prvo, da se u skladu s uvodnom izjavom 42. OUZP‑a ne može smatrati da je privola dana dobrovoljno ako ispitanik nema istinski ili slobodan izbor ili ako nije u mogućnosti odbiti ili povući privolu bez posljedica.

144

Uvodna izjava 43. te uredbe određuje da, kako bi se osiguralo da je privola dana dobrovoljno, ona ne bi smjela predstavljati valjanu pravnu osnovu za obradu osobnih podataka u određenom slučaju kada postoji jasna neravnoteža između ispitanika i voditelja obrade. Tom je uvodnom izjavom također pobliže određeno da se smatra da privola nije dana dobrovoljno ako se njome ne omogućuje davanje zasebne privole za različite postupke obrade podataka, unatoč tome što je primjerena pojedinačnom slučaju.

145

Kao treće, članak 7. stavak 4. OUZP‑a predviđa da se, kada se procjenjuje je li privola bila dobrovoljna, u najvećoj mogućoj mjeri uzima u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora.

146	Na šesto pitanje potrebno je odgovoriti uzimajući u obzir ta razmatranja.

147

S tim u vezi, valja utvrditi da je točno da okolnost da operator internetske društvene mreže, kao voditelj obrade, ima vladajući položaj na tržištu društvenih mreža sama po sebi ne sprečava to da korisnici te mreže mogu valjano dati privolu, u smislu članka 4. točke 11. OUZP, za to da taj operator obrađuje njihove osobne podatke.

148

Ipak, kao što je u biti istaknuo nezavisni odvjetnik u točki 75. svojega mišljenja, takvu okolnost valja uzeti u obzir prilikom ocjene valjanosti, a osobito dobrovoljnosti privole koju daje korisnik navedene mreže, s obzirom na to da ona može utjecati na slobodu izbora tog korisnika koji možda neće moći odbiti ili povući privolu bez posljedica, kao što je navedeno u uvodnoj izjavi 42. OUZP‑a.

149

Usto, postojanje takvog vladajućeg položaja može stvoriti jasnu neravnotežu, u smislu uvodne izjave 43. OUZP‑a, između ispitanika i voditelja obrade, pri čemu ta neravnoteža pogoduje osobito nametanju uvjeta koji nisu strogo nužni za izvršavanje ugovora, što valja uzeti u obzir u skladu s člankom 7. stavkom 4. te uredbe. U tom kontekstu valja podsjetiti na to, kao što je već navedeno u točkama 102. do 104. ove presude, da, uz pridržaj provjera suda koji je uputio zahtjev, obrada o kojoj je riječ u glavnom postupku nije strogo nužna za izvršavanje ugovora između društva Meta Platforms Ireland i korisnika društvene mreže Facebook.

150

Stoga ti korisnici moraju imati slobodu da u okviru sklapanja ugovora pojedinačno odbiju dati svoju privolu za određene načine obrade koji nisu nužni za izvršavanje ugovora, a da pritom zato ne moraju u cijelosti odustati od uporabe usluge koju nudi operator internetske društvene mreže, što podrazumijeva da navedenim korisnicima bude ponuđena, ovisno o slučaju uz odgovarajuću naknadu, ekvivalentna alternativa koja nije popraćena takvom obradom podataka.

151

K tomu, uzimajući u obzir opseg obrade podataka o kojoj je riječ i njezin značajan učinak na korisnike te mreže te okolnost da ti korisnici ne mogu razumno očekivati da operator te društvene mreže obrađuje podatke koji se razlikuju od onih koji se odnose na njihovo postupanje unutar te mreže, primjereno je, u smislu te uvodne izjave 43., da se zasebna privola mora dati za obradu potonjih podataka, s jedne strane, i za obradu off Facebook podataka, s druge strane. Zadaća je suda koji je uputio zahtjev da provjeri postoji li takva mogućnost, a ako ona ne postoji, valja pretpostaviti da navedeni korisnici nisu slobodno dali privolu za obradu off Facebook podataka.

152	Naposljetku, valja podsjetiti na to da je, na temelju članka 7. stavka 1. OUZP‑a, kada se obrada temelji na privoli, teret dokazivanja toga da je ispitanik dao privolu za obradu svojih osobnih podataka na voditelju obrade.

153	Zadaća je suda koji je uputio zahtjev da, s obzirom na te kriterije i podrobno ispitivanje svih okolnosti slučaja, odredi jesu li korisnici društvene mreže Facebook valjano, a osobito, dobrovoljno dali svoju privolu za obradu o kojoj je riječ u glavnom postupku.

154

Uzimajući u obzir prethodno navedeno, na šesto pitanje valja odgovoriti tako da članak 6. stavak 1. prvi podstavak točku (a) i članak 9. stavak 2. točku (a) OUZP‑a treba tumačiti na način da okolnost da operator internetske društvene mreže ima vladajući položaj na tržištu internetskih društvenih mreža sama po sebi ne sprečava to da korisnici te mreže mogu valjano dati privolu, u smislu članka 4. točke 11. te uredbe, za to da taj operator obrađuje njihove osobne podatke. Međutim, ta okolnost predstavlja važan element za utvrđivanje toga je li privola zaista dana valjano i osobito dobrovoljno, što je dužan dokazati navedeni operator.

Troškovi

155	Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (veliko vijeće) odlučuje:

Članke 51. i sljedeće Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) i članak 4. stavak 3. UEU‑a

treba tumačiti na način da:

pod uvjetom da tijelo države članice nadležno za tržišno natjecanje poštuje svoju obvezu lojalne suradnje s nadzornim tijelima, ono može utvrditi, u okviru ispitivanja zlouporabe vladajućeg položaja poduzetnika, u smislu članka 102. UFEU‑a, da opći uvjeti uporabe tog poduzetnika koji se odnose na obradu osobnih podataka i njihova provedba nisu usklađeni s tom uredbom, ako je to utvrđenje nužno za dokazivanje postojanja takve zlouporabe.

S obzirom na tu obvezu lojalne suradnje, nacionalno tijelo nadležno za tržišno natjecanje ne može odstupiti od odluke nacionalnog nadležnog nadzornog tijela ili nadležnog vodećeg nadzornog tijela koja se odnosi na te opće uvjete ili na slične opće uvjete. Kada ono dvoji o dosegu takve odluke, ako ta tijela istodobno ispituju navedene uvjete ili slične uvjete ili pak kada, ako navedena tijela nisu provela istragu ili donijela odluku, tijelo nadležno za tržišno natjecanje smatra da uvjeti o kojima je riječ nisu usklađeni s Uredbom 2016/679, ono se mora obratiti tim nadzornim tijelima i od njih zahtijevati suradnju kako bi otklonilo svoje dvojbe ili odredilo treba li čekati da ta tijela donesu odluku prije nego li započne vlastito ocjenjivanje. Ako ta tijela tomu ne prigovore niti odgovore u razumnom roku, nacionalno tijelo nadležno za tržišno natjecanje može provesti vlastitu istragu.

Članak 9. stavak 1. Uredbe 2016/679

treba tumačiti na način da:

u slučaju kada korisnik internetske društvene mreže posjećuje internetske stranice ili koristi aplikacije koje su povezane s jednom ili više kategorija koje sadržava ta odredba i, ovisno o slučaju, ondje unosi podatke prilikom registracije ili obavljanjem internetskih narudžbi, način na koji operator te internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju, preko sadržanih sučelja, kolačića odnosno slične tehnologije za pohranu, podataka proizišlih iz posjećivanja tih stranica i korištenja tih aplikacija te podataka koje je unio korisnik, u povezivanju svih tih podataka s njegovim računom na društvenoj mreži i u uporabi tog operatora navedenih podataka, treba smatrati „obradom posebnih kategorija osobnih podataka”, u smislu navedene odredbe, koja je u načelu zabranjena, ne dovodeći u pitanje odstupanja predviđena tim člankom 9. stavkom 2., ako ta obrada podataka omogućuje otkrivanje informacija obuhvaćenih jednom od tih kategorija, bilo da se te informacije odnose na korisnika te mreže ili na drugu fizičku osobu.

Članak 9. stavak 2. točku (e) Uredbe 2016/679

treba tumačiti na način da:

kada korisnik internetske društvene mreže posjećuje internetske stranice ili koristi aplikacije koje su povezane s jednom ili više kategorija iz članka 9. stavka 1. te uredbe, on očito ne objavljuje, u smislu prvonavedene odredbe, podatke o tom posjećivanju ili korištenju koje je operator te internetske društvene mreže prikupio preko kolačića ili sličnih tehnologija za pohranu.

Članak 6. stavak 1. prvi podstavak točku (b) Uredbe 2016/679,

treba tumačiti tako da se:

način na koji operator internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju podataka korisnika te mreže proizišlih iz drugih usluga koncerna kojem pripada taj operator ili proizišlih iz posjećivanja tih korisnika internetskih stranica trećih strana ili njihova korištenja aplikacija trećih strana, u povezivanju tih podataka s računom navedenih korisnika na društvenoj mreži i u uporabi navedenih podataka, može smatrati nužnim za izvršavanje ugovora u kojemu su ispitanici stranke, u smislu te odredbe, samo pod uvjetom da je ta obrada objektivno neophodna za ostvarenje svrhe koja je sastavni dio ugovorne činidbe namijenjene tim korisnicima tako da se glavni predmet ugovora ne može ostvariti ako se ne izvrši ta obrada.

Članak 6. stavak 1. prvi podstavak točku (f) Uredbe 2016/679,

treba tumačiti na način da se:

način na koji operator internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju podataka korisnika te mreže proizišlih iz drugih usluga koncerna kojem pripada taj operator ili proizišlih iz posjećivanja tih korisnika internetskih stranica trećih strana ili njihova korištenja aplikacija trećih strana, u povezivanju tih podataka s računom navedenih korisnika na društvenoj mreži i u uporabi navedenih podataka, može smatrati nužnim za potrebe legitimnih interesa voditelja obrade ili treće strane, u smislu te odredbe, samo pod uvjetom da je navedeni operator korisnicima od kojih su prikupljeni podaci naznačio legitimni interes koji se ostvaruje tom obradom, da se ta obrada provodi u granicama onoga što je strogo nužno za ostvarivanje tog legitimnog interesa i da iz odvagivanja suprotstavljenih interesa, s obzirom na sve relevantne okolnosti, proizlazi da interesi ili temeljne slobode i prava tih korisnika ne prevladavaju nad navedenim legitimnim interesom voditelja obrade ili treće strane.

Članak 6. stavak 1. prvi podstavak točku (c) Uredbe 2016/679,

treba tumačiti tako da je:

način na koji operator internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju podataka korisnika te mreže proizišlih iz drugih usluga koncerna kojem pripada taj operator ili proizišlih iz posjećivanja tih korisnika internetskih stranica trećih strana ili njihova korištenja aplikacija trećih strana, u povezivanju tih podataka s računom navedenih korisnika na društvenoj mreži i u uporabi navedenih podataka, opravdan, u smislu te odredbe, ako je ta obrada zaista nužna radi poštovanja pravnih obveza voditelja obrade, na temelju odredbe prava Unije ili prava države članice o kojoj je riječ, ako se tom pravnom osnovom ostvaruje cilj u javnom interesu i ta je pravna osnova razmjerna zakonitom cilju koji se želi postići i ako se ta obrada provodi u granicama onoga što je strogo nužno.

Članak 6. stavak 1. prvi podstavak točke (d) i (e) Uredbe 2016/679

treba tumačiti tako da se:

način na koji operator internetske društvene mreže obrađuje osobne podatke, a koji se sastoji u prikupljanju podataka korisnika te mreže proizišlih iz drugih usluga koncerna kojem pripada taj operator ili proizišlih iz posjećivanja tih korisnika internetskih stranica trećih strana ili njihova korištenja aplikacija trećih strana, u povezivanju tih podataka s računom navedenih korisnika na društvenoj mreži i u uporabi navedenih podataka ne može u načelu i uz pridržaj provjere suda koji je uputio zahtjev, smatrati nužnim kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe, u smislu točke (d) ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, u smislu točke (e).

Članak 6. stavak 1. prvi podstavak točku (a) i članak 9. stavak 2. točku (a) Uredbe 2016/679

treba tumačiti na način da:

okolnost da operator internetske društvene mreže ima vladajući položaj na tržištu internetskih društvenih mreža sama po sebi ne sprečava to da korisnici te mreže mogu valjano dati privolu, u smislu članka 4. točke 11. te uredbe, za to da taj operator obrađuje njihove osobne podatke. Međutim, ta okolnost predstavlja važan element za utvrđivanje toga je li privola zaista dana valjano i osobito dobrovoljno, što je dužan dokazati navedeni operator.

Potpisi

( *1 ) Jezik postupka: njemački

( i ) Nakon prvotne objave u točke 73. i 138. ovog teksta te točke 2., 5. i 6. izreke unesena je jezična izmjena.