Sprawa C‑252/21

Meta Platforms Inc., dawniej Facebook Inc.,
Meta Platforms Ireland Ltd, dawniej Facebook Ireland Ltd.,
i
Facebook Deutschland GmbH

przeciwko

Bundeskartellamt,

(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Oberlandesgericht Düsseldorf)

Wyrok Trybunału (wielka izba) z dnia 4 lipca 2023 r.

Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Internetowe sieci społecznościowe – Nadużycie pozycji dominującej przez operatora takiej sieci – Nadużycie polegające na przewidzianym w ogólnych warunkach korzystania z tej sieci przetwarzaniu danych osobowych jej użytkowników – Przysługujące organowi ochrony konkurencji państwa członkowskiego kompetencje do stwierdzenia niezgodności tego przetwarzania z tym rozporządzeniem – Powiązanie z kompetencjami organów krajowych odpowiedzialnych za kontrolowanie tego, czy dane osobowe są chronione – Artykuł 4 ust. 3 TUE – Zasada lojalnej współpracy – Artykuł 6 ust. 1 akapit pierwszy lit. a)-f) rozporządzenia 2016/679 – Zgodność przetwarzania z prawem – Artykuł 9 ust. 1 i 2 – Przetwarzanie szczególnych kategorii danych osobowych – Artykuł 4 pkt 11 – Pojęcie „zgody”

1. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Internetowe sieci społecznościowe – Nadużycie pozycji dominującej przez operatora takiej sieci – Nadużycie polegające na przewidzianym w ogólnych warunkach korzystania z tej sieci przetwarzaniu danych osobowych jej użytkowników – Przysługujące krajowemu organowi ochrony konkurencji kompetencje do stwierdzenia niezgodności tego przetwarzania z tym rozporządzeniem – Zakres – Powiązanie z kompetencjami organów krajowych odpowiedzialnych za kontrolowanie tego, czy dane osobowe są chronione – Ciążący na krajowym organie ochrony konkurencji obowiązek lojalnej współpracy z krajowymi organami nadzorczymi

   [art. 4 ust. 3 TUE; art. 102 TFUE; rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 51, 55–58, 60–65]

   (zob. pkt 48–59, 62, 63; pkt 1 sentencji)

2. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Przetwarzanie szczególnych kategorii danych osobowych – Pojęcie – Zbieranie przez operatora internetowej sieci społecznościowej, za pomocą zintegrowanych interfejsów, plików cookie lub podobnych technologii rejestracji, danych pochodzących z przeglądania stron internetowych i aplikacji, a także danych zamieszczonych przez użytkownika tej sieci społecznościowej – Łączenie całokształtu tych danych z kontem sieci społecznościowej tego użytkownika oraz wykorzystywanie owych danych przez tego operatora – Włączenie – Przesłanka

   (rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 51, art. 9 ust. 1)

   (zob. pkt 73; pkt 2 sentencji)

3. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Przetwarzanie szczególnych kategorii danych osobowych – Zakaz – Odstępstwa – Przetwarzanie danych w sposób oczywisty upublicznionych przez osobę, której te dane dotyczą – Dane dotyczące przeglądania przez użytkownika internetowej sieci społecznościowej stron internetowych lub aplikacji powiązanych z jedną lub kilkoma szczególnymi kategoriami danych, zbierane przez operatora tej sieci społecznościowej za pomocą plików cookie lub podobnych technologii rejestracji – Wyłączenie – Zamieszczanie danych na takich stronach internetowych lub w takich aplikacjach lub aktywacja zintegrowanych z nimi przycisków do dokonywania wyboru lub też przycisków umożliwiających użytkownikowi zidentyfikowanie się na tych stronach lub w tych aplikacjach za pomocą identyfikatorów połączenia związanych z jego kontem użytkownika w internetowej sieci społecznościowej – Włączenie – Przesłanka

   [rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 9 ust. 1, art. 9 ust. 2 lit. e)]

   (zob. pkt 84, 85; pkt 3 sentencji)

4. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Warunki legalności przetwarzania danych osobowych – Przetwarzanie niezbędne do wykonania umowy wiążącej osobę, której dane dotyczą – Pojęcie – Dokonywane przez operatora internetowej sieci społecznościowej zbieranie danych użytkowników takiej sieci pochodzących z innych serwisów grupy, do której należy ten operator, lub danych pochodzących z przeglądania przez tych użytkowników stron internetowych lub aplikacji osób trzecich – Łączenie tych danych z kontem sieci społecznościowej tych użytkowników oraz wykorzystywanie wspomnianych danych – Włączenie – Przesłanka

   [rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 6 ust. 1 akapit pierwszy lit. b)]

   (zob. pkt 91–93, 97–104, 125; pkt 4 sentencji)

5. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Warunki legalności przetwarzania danych osobowych – Przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią pod warunkiem, że interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych nie mają nadrzędnego charakteru wobec tych interesów – Pojęcie – Dokonywane przez operatora internetowej sieci społecznościowej zbieranie danych użytkowników takiej sieci pochodzących z innych serwisów grupy, do której należy ten operator, lub danych pochodzących z przeglądania przez tych użytkowników stron internetowych lub aplikacji osób trzecich – Łączenie tych danych z kontem sieci społecznościowej tych użytkowników oraz wykorzystywanie wspomnianych danych – Włączenie – Przesłanki

   [rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motywy 47, 49, art. 6 ust. 1 akapit pierwszy lit. f)]

   (zob. pkt 105–124, 126; pkt 5 sentencji)

6. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Warunki legalności przetwarzania danych osobowych – Przetwarzanie niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej – Przetwarzanie niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi – Pojęcie – Dokonywane przez operatora internetowej sieci społecznościowej zbieranie danych użytkowników takiej sieci pochodzących z innych serwisów grupy, do której należy ten operator, lub danych pochodzących z przeglądania przez tych użytkowników stron internetowych lub aplikacji osób trzecich – Łączenie tych danych z kontem sieci społecznościowej tych użytkowników oraz wykorzystywanie wspomnianych danych – Wyłączenie – Ustalenie spoczywające na sądzie krajowym

   [rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 46, art. 6 ust. 1 akapit pierwszy lit. d), e)]

   (zob. pkt 137, 139; pkt 7 sentencji)

7. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Warunki legalności przetwarzania danych osobowych – Przetwarzanie niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze danych – Pojęcie – Dokonywane przez operatora internetowej sieci społecznościowej zbieranie danych użytkowników takiej sieci pochodzących z innych serwisów grupy, do której należy ten operator, lub danych pochodzących z przeglądania przez tych użytkowników stron internetowych lub aplikacji osób trzecich – Łączenie tych danych z kontem sieci społecznościowej tych użytkowników oraz wykorzystywanie wspomnianych danych – Włączenie – Przesłanki

   [rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 6 ust. 1 akapit pierwszy lit. c)]

   (zob. pkt 138; pkt 6 sentencji)

8. Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Pojęcie zgody – Pozycja dominująca na rynku internetowych sieci społecznościowych zajmowana przez operatora internetowej sieci społecznościowej – Okoliczność, która nie stoi na przeszkodzie temu, aby użytkownicy takiej sieci udzielili ważnej zgody na dokonywane przez tego operatora przetwarzanie ich danych – Okoliczność stanowiąca czynnik odgrywający istotną rolę przy ustalaniu tego, czy zgoda udzielona w ten sposób przez użytkowników tej sieci społecznościowej jest ważna i, w szczególności, czy jest ona dobrowolna – Ciężar dowodu spoczywający na operatorze tej internetowej sieci społecznościowej

   [rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motywy 42, 43, art. 4 pkt 11, art. 6 ust. 1 akapit pierwszy lit. a), art. 9 ust. 2 lit. a)]

   (zob. pkt 143–154; pkt 8 sentencji)

Streszczenie

Spółka Meta Platforms jest właścicielem internetowej sieci społecznościowej „Facebook”, która jest bezpłatna dla użytkowników prywatnych. Model biznesowy tej sieci społecznościowej opiera się na finansowaniu z reklam internetowych, które są dostosowane do indywidualnego użytkownika sieci społecznościowej. Pod względem technicznym tego typu reklama jest możliwa dzięki zautomatyzowanemu tworzeniu bardzo szczegółowych profili użytkowników sieci i usług internetowych oferowanych na poziomie grupy. Tak więc użytkownicy tej sieci społecznościowej, aby móc z niej korzystać, muszą w chwili rejestracji zaakceptować ogólne warunki ustalone przez Meta Platforms, które zawierają odesłanie do określonej przez tę spółkę polityki w zakresie korzystania z danych i plików cookie. Na podstawie tych warunków, oprócz danych, które użytkownicy ci dostarczają bezpośrednio przy swej rejestracji, Meta Platforms zbiera również dane dotyczące działań użytkowników w ramach sieci społecznościowej i poza nią i łączy je z kontami Facebook tych użytkowników. W przypadku tych ostatnich danych, określanych również jako „dane off Facebook”, chodzi, po pierwsze, o dane dotyczące przeglądania stron internetowych i aplikacji osób trzecich, i, po drugie, o dane dotyczące korzystania z innych należących do grupy Meta usług internetowych (takich jak Instagram i WhatsApp). Dokonanie całościowego przeglądu zbieranych w ten sposób danych pozwala na wyciągnięcie szczegółowych wniosków na temat preferencji i zainteresowań tych użytkowników.

Decyzją z dnia 6 lutego 2019 r. Bundeskartellamt (federalny organ ochrony konkurencji, Niemcy) zakazał Meta Platforms, po pierwsze, uzależniania w obowiązujących wówczas ogólnych warunkach umownych ( 1 ) korzystania z sieci społecznościowej Facebook przez użytkowników prywatnych zamieszkałych w Niemczech od przetwarzania ich danych off Facebook, i, po drugie, przetwarzania tych danych bez ich zgody. Ponadto ten federalny organ ochrony konkurencji nałożył na Meta Platforms obowiązek dostosowania tych ogólnych warunków w taki sposób, aby jasno z nich wynikało, iż dane te nie będą zbierane, łączone z kontami użytkowników Facebooka i wykorzystywane bez zgody użytkowników, których te dane dotyczą. Wreszcie, organ ten podkreślił, że taka zgoda jest nieważna, jeżeli stanowi warunek korzystania z tej sieci społecznościowej. Uzasadnił on swoją decyzję tym, że przetwarzanie rozpatrywanych danych, które nie byłoby zgodne z RODO ( 2 ), stanowiłoby nadużycie pozycji dominującej zajmowanej przez Meta Platforms na rynku internetowych sieci społecznościowych.

Meta Platforms wniosła na tę decyzję skargę do Oberlandesgericht Düsseldorf (wyższego sądu krajowego w Düsseldorfie, Niemcy). Mając wątpliwości, po pierwsze, co do tego, czy organy ochrony konkurencji mogą kontrolować zgodność przetwarzania danych osobowych z wymogami sformułowanymi w RODO, i, po drugie, co do wykładni i stosowania niektórych przepisów tego rozporządzenia, wyższy sąd krajowy w Düsseldorfie zwrócił się do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym.

W wydanym wyroku Trybunał w składzie wielkiej izby wypowiedział się w przedmiocie tego, czy krajowy organ ochrony konkurencji jest właściwy do tego, aby stwierdzić, że dane przetwarzanie danych osobowych jest niezgodne z RODO, a także w przedmiocie powiązania tej kompetencji z kompetencjami organów krajowych odpowiedzialnych za kontrolowanie tego, czy dane osobowe są chronione ( 3 ). Trybunał przedstawił ponadto wyjaśnienia w przedmiocie możliwości przetwarzania przez operatora danej sieci społecznościowej „wrażliwych” danych osobowych użytkowników tej sieci, w przedmiocie przesłanek zgodności z prawem przetwarzania danych osobowych przez takiego operatora oraz w przedmiocie ważności zgody udzielonej w celu takiego przetwarzania przez tych użytkowników przedsiębiorstwu zajmującemu pozycję dominującą na krajowym rynku internetowych sieci społecznościowych.

Ocena Trybunału

W pierwszej kolejności, co się tyczy kompetencji organu ochrony konkurencji do stwierdzenia niezgodności przetwarzania danych osobowych z RODO, Trybunał uznał, że, z zastrzeżeniem poszanowania ciążącego na nim obowiązku lojalnej współpracy ( 4 ) z organami nadzorczymi ds. ochrony danych, organ ten może, w ramach badania nadużycia pozycji dominującej przez dane przedsiębiorstwo ( 5 ), stwierdzić, iż ogólne warunki korzystania określone przez to przedsiębiorstwo w dziedzinie przetwarzania danych osobowych i wdrażanie tych warunków nie są zgodne z tym rozporządzeniem, jeżeli stwierdzenie to jest konieczne do wykazania istnienia takiego nadużycia. Niemniej jednak w przypadku, gdy dany organ ochrony konkurencji w ramach stwierdzenia przezeń nadużycia pozycji dominującej podnosi, że doszło do naruszenia przepisów RODO, nie wchodzi on w rolę organów nadzorczych.

Tak więc, biorąc pod uwagę zasadę lojalnej współpracy, w sytuacji gdy organy ochrony konkurencji w ramach wykonywania swoich uprawnień mają zbadać zgodność zachowania danego przedsiębiorstwa z przepisami RODO, powinny one konsultować się i lojalnie współpracować z krajowymi organami nadzorczymi, których sprawa dotyczy, lub z wiodącym organem nadzorczym. Wszystkie te organy łącznie są zatem zobowiązane do poszanowania przysługujących im odpowiednio uprawnień i kompetencji w taki sposób, aby wynikające z RODO obowiązki oraz cele tego rozporządzenia były respektowane, przy jednoczesnym zachowaniu ich skuteczności (effet utile). Wynika z tego, że w przypadku, gdy w ramach badania mającego na celu stwierdzenie nadużycia przez przedsiębiorstwo pozycji dominującej organ ochrony konkurencji uzna, iż konieczne jest zbadanie zgodności zachowania tego przedsiębiorstwa z przepisami RODO, organ ten powinien sprawdzić, czy to zachowanie lub zachowanie do niego podobne było już przedmiotem rozstrzygnięcia wydanego przez właściwy krajowy organ nadzorczy lub przez wiodący organ nadzorczy bądź też przez Trybunał. W takim przypadku organ ochrony konkurencji nie może odejść od tej zasady, zachowując jednak swobodę w wyciąganiu z tej sytuacji swoich własnych wniosków z perspektywy zastosowania prawa konkurencji.

Gdy ten organ ochrony konkurencji ma wątpliwości co do zakresu oceny dokonanej przez właściwy krajowy organ nadzorczy lub wiodący organ nadzorczy, gdy dane zachowanie lub zachowanie do niego podobne jest jednocześnie przedmiotem badania ze strony tych organów lub gdy, w braku przeprowadzenia przez te organy dochodzenia, uznaje on, że zachowanie przedsiębiorstwa nie jest zgodne z przepisami RODO, organ ten powinien skonsultować się z tymi organami i zwrócić się do nich o współpracę mającą na celu rozwianie wątpliwości lub ustalenie, czy przed dokonaniem swej własnej oceny winien on zaczekać na wydanie decyzji przez organ nadzorczy, którego sprawa dotyczy. W braku zgłoszenia przez te organy zastrzeżeń lub też w braku ustosunkowania się do takiego wniosku w rozsądnym terminie organ ochrony konkurencji może kontynuować prowadzone dochodzenie.

W drugiej kolejności, co się tyczy przetwarzania szczególnych kategorii danych osobowych ( 6 ), Trybunał uznał, że w przypadku, gdy użytkownik internetowej sieci społecznościowej przegląda strony internetowe lub aplikacje powiązane z jedną lub kilkoma z tych kategorii i, w stosownym przypadku, zamieszcza tam dane, rejestrując się na tych stronach czy też w tych aplikacjach lub składając zamówienia online, przetwarzanie danych osobowych przez operatora tej internetowej sieci społecznościowej ( 7 ) należy uznać za „przetwarzanie szczególnych kategorii danych osobowych” w rozumieniu art. 9 ust. 1 RODO, jeżeli pozwala ono na ujawnienie informacji należących do jednej z tych szczególnych kategorii, niezależnie od tego, czy informacje te dotyczą użytkownika tej sieci, czy jakiejkolwiek innej osoby fizycznej. Przetwarzanie danych jest co do zasady zakazane, z zastrzeżeniem pewnych odstępstw od tego zakazu ( 8 ).

W tym ostatnim względzie Trybunał wyjaśnił, że w sytuacji, gdy użytkownik internetowej sieci społecznościowej przegląda strony internetowe czy też aplikacje powiązane z jedną lub kilkoma ze szczególnych kategorii danych, nie upublicznia on w sposób oczywisty ( 9 ) dotyczących tego przeglądania danych zbieranych przez operatora tej sieci społecznościowej za pomocą plików cookie lub podobnych technologii rejestracji. Ponadto w sytuacji, gdy taki użytkownik zamieszcza dane na takich stronach internetowych lub w takich aplikacjach lub też gdy aktywuje zintegrowane z tymi stronami i aplikacjami przyciski wyboru, takie jak przyciski „lubię to” lub „udostępnij”, lub też przyciski umożliwiające użytkownikowi zidentyfikowanie się na tych stronach lub w tych aplikacjach za pomocą identyfikatorów połączenia związanych z jego kontem użytkownika w internetowej sieci społecznościowej, z jego numerem telefonu lub jego adresem elektronicznym, upublicznia on w oczywisty sposób dane zamieszczone w ten sposób lub wynikające z aktywowania tych przycisków jedynie w przypadku, gdy uprzednio wyraźnie wyraził swój wybór – w stosownym przypadku poprzez indywidualne zdefiniowanie z pełną znajomością rzeczy parametrów – publicznego udostępnienia dotyczących go danych nieograniczonej liczbie osób.

W trzeciej kolejności, jeśli chodzi o, bardziej ogólnie rzecz ujmując, warunki, po spełnieniu których dane przetwarzanie danych osobowych jest zgodne z prawem, Trybunał przypomniał, że zgodnie z RODO przetwarzanie danych jest zgodne z prawem jeśli – i w takim zakresie, w jakim – osoba, której dane dotyczą, wyraziła na to zgodę w określonym celu lub określonych celach ( 10 ). W braku takiej zgody lub gdy zgoda ta nie została udzielona w sposób dobrowolny, konkretny, świadomy i jednoznaczny, przetwarzanie takie jest niemniej jednak uzasadnione w sytuacji, gdy spełnia ono jeden z wymogów dotyczących niezbędności ( 11 ), które należy interpretować w sposób ścisły. Dokonywane przez operatora sieci społecznościowej przetwarzanie danych osobowych jej użytkowników można uznać za niezbędne do wykonania umowy, której użytkownicy ci są stronami, jedynie pod warunkiem, że przetwarzanie to jest obiektywnie niezbędne do osiągnięcia celu, który stanowi integralną część świadczenia umownego na rzecz tych samych użytkowników, skutkiem czego główny cel umowy nie mógłby zostać osiągnięty w braku tego przetwarzania.

Ponadto zdaniem Trybunału rozpatrywane przetwarzanie danych może zostać uznane za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią jedynie pod warunkiem, że operator ten wskazał użytkownikom, od których dane zostały pozyskane, prawnie uzasadniony interes, do którego realizacji służy przetwarzanie tych danych, że przetwarzanie to odbywa się w granicach tego, co jest absolutnie niezbędne do realizacji tego prawnie uzasadnionego interesu, oraz że z wyważenia przeciwstawnych interesów w świetle wszystkich istotnych okoliczności danej sprawy wynika, iż interesy lub podstawowe prawa i wolności tych użytkowników nie mają pierwszeństwa przed tym prawnie uzasadnionym interesem administratora lub osoby trzeciej. Trybunał uznał zaś w szczególności, że, w braku zgody z ich strony, interesy i prawa podstawowe wspomnianych użytkowników mają pierwszeństwo przed interesem operatora internetowej sieci społecznościowej w zakresie personalizacji reklamy, poprzez którą finansuje on swoją działalność.

Wreszcie, Trybunał wyjaśnił, że rozpatrywane przetwarzanie danych jest uzasadnione w sytuacji, gdy jest rzeczywiście niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze danych na podstawie przepisu prawa Unii lub prawa danego państwa członkowskiego, a ta podstawa prawna służy realizacji celu leżącego w interesie publicznym i jest proporcjonalna do prawnie uzasadnionego celu, a przetwarzanie to jest dokonywane w granicach tego, co jest absolutnie niezbędne.

W czwartej i ostatniej kolejności, co się tyczy ważności wyrażonej przez użytkowników, których dane dotyczą, zgody na przetwarzanie na podstawie RODO ich danych osobowych, Trybunał uznał, że okoliczność polegająca na tym, iż operator internetowej sieci społecznościowej zajmuje pozycję dominującą na rynku internetowych sieci społecznościowych, nie stoi sama w sobie na przeszkodzie temu, by użytkownicy takiej sieci mogli skutecznie wyrazić zgodę na przetwarzanie ich danych osobowych przez tego operatora. Jednakże zważywszy, że taka pozycja może mieć wpływ na swobodę wyboru tych użytkowników i prowadzić do wyraźnego braku równowagi między nimi a tym operatorem, stanowi ona element istotny dla ustalenia tego, czy zgoda ta została rzeczywiście udzielona skutecznie i – w szczególności – dobrowolnie, czego udowodnienie należy do tego operatora ( 12 ).

W szczególności użytkownicy danej sieci społecznościowej powinni mieć swobodę odmówienia indywidualnie, w ramach procesu zmierzającego do zawarcia umowy, wyrażenia zgody na poszczególne operacje przetwarzania danych, które nie są niezbędne do wykonania umowy, przy czym nie są oni jednak zobowiązani do całkowitego zrezygnowania z korzystania z oferowanej internetowej sieci społecznościowej, co oznacza, że użytkownikom tym oferuje się, w stosownym przypadku za odpowiednim wynagrodzeniem, równoważną alternatywę, która nie jest powiązana z takimi operacjami przetwarzania danych. Ponadto musi istnieć możliwość wyrażenia odrębnej zgody na przetwarzanie danych off Facebook.

( 1 ) W dniu 31 lipca 2019 r. Meta Platforms wprowadziła nowe ogólne warunki umowne, w których wyraźnie wskazano że użytkownik, zamiast płacić za korzystanie z produktów Facebook, wyraża zgodę na wyświetlanie mu reklam.

( 2 ) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie Dz.U. 2021, L 74, s. 35–37; zwane dalej „RODO”).

( 3 ) W rozumieniu art. 51–59 RODO.

( 4 ) O którym mowa w art. 4 ust. 3 TUE.

( 5 ) W rozumieniu art. 102 TFUE.

( 6 ) O których mowa w art. 9 ust. 1 RODO. Zgodnie z tym przepisem „[z]abrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby”.

( 7 ) Przetwarzanie to polega na zbieraniu, za pomocą zintegrowanych interfejsów, plików cookie lub podobnych technologii rejestracji, danych pochodzących z przeglądania tych stron internetowych lub aplikacji osób, a także danych zamieszczonych przez użytkownika, łączeniu wszystkich tych danych z kontem sieci społecznościowej tego użytkownika i wykorzystywaniu tych danych przez tego operatora.

( 8 ) O których mowa w art. 9 ust. 2 RODO. Przepis ten stanowi: „[u]stęp 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:

a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1; […]

e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;

f) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy;

[…]”.

( 9 ) W rozumieniu art. 9 ust. 2 RODO.

( 10 ) Zgodnie z brzmieniem art. 6 ust. 1 akapit pierwszy lit. a) RODO.

( 11 ) O których mowa w art. 6 ust. 1 akapit pierwszy lit. b)-f) RODO. Zgodnie z tymi przepisami przetwarzanie jest zgodne z prawem tylko wtedy gdy – i w takim zakresie, w jakim – jest ono niezbędne między innymi do wykonania umowy, której stroną jest osoba, której dane dotyczą [art. 6 ust. 1 akapit pierwszy lit. b) RODO], do wypełnienia obowiązku prawnego ciążącego na administratorze [art. 6 ust. 1 akapit pierwszy lit. c) RODO] lub do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub osobę trzecią [art. 6 ust. 1 akapit pierwszy lit. f) RODO].

( 12 ) Zgodnie z art. 7 ust. 1 RODO.