Cauza C‑252/21

Meta Platforms Inc., fostă Facebook Inc.,
Meta Platforms Ireland Ltd, fostă Facebook Ireland Ltd,
și
Facebook Deutschland GmbH

împotriva

Bundeskartellamt

(cerere de decizie preliminară formulată de Oberlandesgericht Düsseldorf)

Hotărârea Curții (Marea Cameră) din 4 iulie 2023

„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Rețele sociale online – Abuz de poziție dominantă al operatorului unei astfel de rețele – Abuz care constă în prelucrarea datelor cu caracter personal ale utilizatorilor acestei rețele prevăzută de condițiile generale de utilizare a acesteia – Competențele unei autorități de concurență a unui stat membru de a constata neconformitatea acestei prelucrări cu regulamentul menționat – Corelare cu competențele autorităților naționale de supraveghere a protecției datelor cu caracter personal – Articolul 4 alineatul (3) TUE – Principiul cooperării loiale – Articolul 6 alineatul (1) primul paragraf literele (a)-(f) din Regulamentul 2016/679 – Legalitatea prelucrării – Articolul 9 alineatele (1) și (2) – Prelucrare a unor categorii speciale de date cu caracter personal – Articolul 4 punctul 11 – Noțiunea de consimțământ”

1. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Rețele sociale online – Abuz de poziție dominantă al operatorului unei astfel de rețele – Abuz care constă în prelucrarea datelor cu caracter personal ale utilizatorilor acestei rețele prevăzută de condițiile generale de utilizare a acesteia – Competențele unei autorități naționale de concurență de a constata neconformitatea acestei prelucrări cu regulamentul menționat – Întindere – Corelare cu competențele autorităților naționale de supraveghere a protecției datelor cu caracter personal – Obligația de cooperare loială a autorității naționale de concurență cu autoritățile naționale de supraveghere

   [art. 4 alin. (3) TUE; art. 102 TFUE; Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 51, 55-58 și 60-65)]

   (a se vedea punctele 48-59 și 62-63 și dispozitiv 1)

2. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Prelucrare a unor categorii speciale de date cu caracter personal – Noțiune – Colectarea de către operatorul unei rețele sociale online, prin intermediul unor interfețe integrate, al unor module „cookie” sau al unor tehnologii de stocare similare, a datelor provenite din consultarea unor site‑uri internet și a unor aplicații, precum și a datelor introduse de utilizatorul acestei rețele sociale – Asocierea tuturor acestor date cu contul rețelei sociale al utilizatorului menționat și utilizarea datelor menționate de către acest operator – Includere – Condiție

   [Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (51) și art. 9 alin. (1)]

   (a se vedea punctul 73 și dispozitiv 2)

3. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Prelucrare a unor categorii speciale de date cu caracter personal – Interzicere – Derogări – Prelucrare care se referă la date care sunt făcute publice în mod manifest de persoana vizată – Date referitoare la consultarea de către un utilizator al unei rețele sociale online a unor site‑uri internet sau a unor aplicații în raport cu una sau mai multe dintre categoriile speciale de date, colectate de operatorul acestei rețele sociale prin intermediul modulelor „cookie” sau al tehnologiilor de stocare similare – Excludere – Introducerea unor date pe astfel de site‑uri internet sau în astfel de aplicații sau acționarea unor butoane de selecție integrate în aceste site‑uri și aplicații sau a unor butoane care permit utilizatorului să se identifice pe aceste site‑uri sau aplicații cu ajutorul datelor de acces legate de contul său de utilizator al rețelei sociale online – Includere – Condiție

   [Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 9 alin. (1) și alin. (2) lit. (e)]

   (a se vedea punctele 84 și 85 și dispozitiv 3)

4. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Condiții de legalitate a unei prelucrări de date cu caracter personal – Prelucrare necesară pentru executarea unui contract la care persoana vizată este parte – Noțiune – Colectare, efectuată de un operator al unei rețele sociale online, de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑uri internet sau a unor aplicații terțe – Asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și utilizarea datelor menționate – Includere – Condiție

   [Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 6 alin. (1) primul paragraf lit. (b)]

   (a se vedea punctele 91-93, 97-104 și 125 și dispozitiv 4)

5. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Condiții de legalitate a unei prelucrări de date cu caracter personal – Prelucrare necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu condiția să nu prevaleze interesele sau libertățile și drepturile fundamentale ale persoanei vizate, care necesită protejarea datelor – Noțiune – Colectare, efectuată de un operator al unei rețele sociale online, de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑uri internet sau a unor aplicații terțe – Asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și utilizarea datelor menționate – Includere – Condiții

   [Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentele (47) și (49), art. 6 alin. (1) primul paragraf lit. (f)]

   (a se vedea punctele 105-124 și 126 și dispozitiv 5)

6. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Condiții de legalitate a unei prelucrări de date cu caracter personal – Prelucrare necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice – Prelucrare necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice urmărit de operator – Noțiune – Colectare, efectuată de un operator al unei rețele sociale online, de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑uri internet sau a unor aplicații terțe – Asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și utilizarea datelor menționate – Excludere – Verificare care incumbă instanței naționale

   [Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (46), art. 6 alin. (1) primul paragraf lit. (d) și (e)]

   (a se vedea punctele 137 și 139 și dispozitiv 7)

7. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Condiții de legalitate a unei prelucrări de date cu caracter personal – Prelucrare necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului – Noțiune – Colectare, efectuată de un operator al unei rețele sociale online, de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑uri internet sau a unor aplicații terțe – Asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și utilizarea datelor menționate – Includere – Condiții

   [Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 6 alin. (1) primul paragraf lit. (c)]

   (a se vedea punctul 138 și dispozitiv 6)

8. Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Noțiunea de consimțământ – Poziție dominantă pe piața rețelelor sociale online ocupată de operatorul unei rețele sociale online – Împrejurare care nu se opune unui consimțământ valabil al utilizatorilor unei astfel de rețele pentru prelucrarea datelor lor efectuată de acest operator – Împrejurare care constituie un element important în vederea stabilirii validității și în special a libertății consimțământului astfel dat de utilizatorii acestei rețele sociale – Sarcina probei care revine operatorului rețelei sociale menționate

   [Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentele (42) și (43), art. 4 pct. 11, art. 6 alin. (1) primul paragraf lit. (a) și art. 9 alin. (2) lit. (a)]

   (a se vedea punctele 143-154 și dispozitiv 8)

Rezumat

Societatea Meta Platforms este proprietara rețelei sociale online „Facebook”, care este gratuită pentru utilizatorii privați. Modelul de afaceri al acestei rețele sociale se bazează pe finanțarea prin publicitate online, care se face personalizat pentru utilizatorii individuali ai acesteia. O astfel de publicitate este posibilă din punct de vedere tehnic prin alcătuirea automată a unor profiluri foarte detaliate ale utilizatorilor rețelei și ai serviciilor online oferite la nivelul grupului Meta. Astfel, pentru a putea utiliza rețeaua socială menționată, utilizatorii trebuie, la momentul înscrierii lor, să accepte condițiile generale stabilite de Meta Platforms, care fac trimitere la politicile de utilizare a datelor și a modulelor „cookie” stabilite de această societate. În temeiul acestora din urmă, pe lângă datele pe care acești utilizatori le furnizează în mod direct cu ocazia înregistrării lor, Meta Platforms colectează de asemenea date referitoare la activitățile utilizatorilor respectivi în cadrul și în afara rețelei sociale și le asociază conturilor Facebook ale utilizatorilor respectivi. În ceea ce privește aceste din urmă date, desemnate de asemenea ca „date off Facebook”, este vorba, pe de o parte, despre date privind consultarea unor pagini de internet și a unor aplicații terțe și, pe de altă parte, despre date referitoare la utilizarea altor servicii online care aparțin grupului Meta (printre care Instagram și WhatsApp). Datele astfel colectate, în ansamblu, permit să se desprindă concluzii detaliate cu privire la preferințele și interesele acelorași utilizatori.

Prin decizia din 6 februarie 2019, Bundeskartellamt (Oficiul Federal al Concurenței, Germania) a interzis Meta Platforms, pe de o parte, să subordoneze, în condițiile generale în vigoare la acel moment ( 1 ), utilizarea rețelei sociale Facebook de către utilizatori privați care au reședința în Germania de prelucrarea datelor lor off Facebook și pe de altă parte, să prelucreze, fără consimțământul lor, aceste date. În plus, Oficiul Federal al Concurenței i‑a impus să adapteze aceste condiții generale astfel încât să reiasă cu claritate că datele menționate nu vor fi colectate, nici asociate cu conturile de utilizatori Facebook, nici utilizate fără consimțământul utilizatorilor în cauză. În sfârșit, această autoritate a subliniat că un asemenea consimțământ nu este valid atunci când reprezintă o condiție pentru utilizarea rețelei sociale. Acesta și‑a motivat decizia prin faptul că prelucrarea datelor în cauză, care nu ar fi conformă cu RGPD ( 2 ), ar constitui o exploatare abuzivă a poziției dominante a Meta Platforms pe piața rețelelor sociale online.

Meta Platforms a introdus o acțiune împotriva acestei decizii la Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf, Germania). Având îndoieli cu privire, pe de o parte, la posibilitatea ca autoritățile naționale de concurență să controleze conformitatea unei prelucrări a datelor cu caracter personal cu cerințele prevăzute în RGPD, precum și, pe de altă parte, la interpretarea și aplicarea anumitor dispoziții din acest regulament, Tribunalul Regional Superior din Düsseldorf a sesizat Curtea cu titlu preliminar.

Prin hotărârea sa, Curtea, reunită în Marea Cameră, se pronunță cu privire la competența unei autorități naționale de concurență de a constata neconformitatea unei prelucrări a datelor cu caracter personal cu RGPD, precum și cu privire la corelarea sa cu competențele autorităților naționale de supraveghere a protecției datelor cu caracter personal ( 3 ). Pe de altă parte, ea aduce precizări cu privire la posibilitatea prelucrării de către un operator al unei rețele sociale a unor date cu caracter personal „sensibile” ale utilizatorilor săi, cu privire la condițiile de legalitate a prelucrării datelor efectuate de un astfel de operator, precum și cu privire la validitatea consimțământului dat în scopul unei astfel de prelucrări de către acești utilizatori unei întreprinderi care are o poziție dominantă pe piața națională a rețelelor sociale online.

Aprecierea Curții

În primul rând, în ceea ce privește competența unei autorități de concurență de a constata neconformitatea cu RGPD a unei prelucrări de date cu caracter personal, Curtea consideră că, sub rezerva respectării obligației sale de cooperare loială ( 4 ) cu autoritățile de supraveghere a protecției datelor cu caracter personal, o astfel de autoritate poate constata, în cadrul examinării unui abuz de poziție dominantă al unei întreprinderi ( 5 ), că nu sunt conforme cu acest regulament condițiile generale de utilizare a acestei întreprinderi referitoare la prelucrarea datelor cu caracter personal și punerea lor în aplicare, atunci când constatarea respectivă este necesară pentru a stabili existența unui asemenea abuz. Cu toate acestea, atunci când o autoritate de concurență constată o încălcare a RGPD în cadrul constatării unui abuz de poziție dominantă, aceasta nu se substituie autorităților de supraveghere.

Astfel, ținând seama de acest principiu, atunci când autoritățile naționale de concurență sunt chemate, în exercitarea competențelor lor, să examineze conformitatea unui comportament al unei întreprinderi cu dispozițiile RGPD, ele trebuie să se pună de acord și să coopereze în mod loial cu autoritățile de supraveghere naționale vizate sau cu autoritatea de supraveghere principală. Toate aceste autorități sunt, așadar, obligate să respecte atribuțiile și competențele lor, așa încât obligațiile care decurg din RGPD, precum și obiectivele acestui regulament să fie respectate, iar efectul lor util să fie menținut. Rezultă că, atunci când, în cadrul examinării prin care se urmărește constatarea unui abuz de poziție dominantă săvârșit de o întreprindere, o autoritate de concurență consideră că este necesar să examineze conformitatea unui comportament al acestei întreprinderi în lumina dispozițiilor RGPD, autoritatea menționată trebuie să verifice dacă acest comportament sau un comportament similar a făcut deja obiectul unei decizii din partea autorității de supraveghere naționale competente sau a autorității de supraveghere principale sau chiar a Curții. Dacă aceasta este situația, autoritatea de concurență nu se poate abate de la aceasta, rămânând totodată liberă să rețină propriile concluzii din perspectiva aplicării dreptului concurenței.

Atunci când are îndoieli cu privire la întinderea aprecierii efectuate de autoritatea națională de supraveghere competentă sau de autoritatea de supraveghere principală, atunci când comportamentul în cauză sau un comportament similar face în același timp obiectul unei examinări din partea acestor autorități sau atunci când, în lipsa unei investigații a autorităților menționate, consideră că un comportament al unei întreprinderi nu este conform cu dispozițiile RGPD, autoritatea de concurență trebuie să consulte aceste autorități și să le solicite cooperarea pentru a‑și înlătura îndoielile sau pentru a stabili dacă este necesar să aștepte adoptarea unei decizii de către autoritatea de supraveghere în cauză înainte de a începe propria apreciere. În absența unei obiecții din partea acestora sau a unui răspuns într‑un termen rezonabil, autoritatea de concurență își poate continua propria investigație.

În al doilea rând, în ceea ce privește prelucrarea unor categorii speciale de date cu caracter personal ( 6 ), Curtea apreciază că, în cazul în care un utilizator al unei rețele sociale online consultă site‑uri internet sau aplicații în raport cu una sau mai multe dintre aceste categorii și, dacă este cazul, introduce acolo date înscriindu‑se sau efectuând comenzi online, prelucrarea datelor cu caracter personal de către operatorul acestei rețele sociale online ( 7 ) trebuie să fie considerată o „prelucrare de categorii speciale de date cu caracter personal”, în sensul articolului 9 alineatul (1) din RGPD, atunci când această prelucrare de date permite să se divulge informații care se încadrează în una dintre aceste categorii speciale, indiferent dacă aceste informații privesc un utilizator al acestei rețele sau orice altă persoană fizică. O astfel de prelucrare a datelor este, în principiu, interzisă, sub rezerva anumitor derogări ( 8 ).

În această din urmă privință, Curtea precizează că, atunci când consultă site‑uri internet sau aplicații în raport cu una sau mai multe dintre categoriile speciale de date, un utilizator al unei rețele sociale online nu face publice în mod manifest ( 9 ), datele referitoare la consultarea menționată, colectate de operatorul acestei rețele sociale online prin intermediul modulelor „cookie” sau al tehnologiilor de stocare similare. Pe de altă parte, atunci când introduce date pe astfel de site‑uri internet sau în astfel de aplicații sau atunci când acționează butoane de selecție integrate în aceste site‑uri și aplicații, cum ar fi butoanele „Îmi place” sau „Distribuie” sau butoanele care permit utilizatorului să se identifice pe aceste site‑uri sau aplicații cu ajutorul datelor de acces legate de contul său de utilizator al rețelei sociale, al numărului său de telefon sau al adresei de e‑mail, un astfel de utilizator face publice în mod manifest datele astfel introduse sau care rezultă din acționarea acestor butoane numai în cazul în care și‑a exprimat în mod explicit opțiunea în prealabil, dacă este cazul pe baza unei configurări individuale efectuate în deplină cunoștință de cauză, de a face datele care îl privesc accesibile unui număr nelimitat de persoane.

În al treilea rând, în ceea ce privește, mai general, condițiile de legalitate a unei prelucrări de date cu caracter personal, Curtea amintește că, în temeiul RGPD, o prelucrare este legală dacă și în măsura în care persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice ( 10 ). În lipsa unui astfel de consimțământ sau atunci când acest consimțământ nu a fost dat în mod liber, specific, informat și lipsit de ambiguitate, o astfel de prelucrare este totuși justificată atunci când îndeplinește una dintre cerințele de necesitate ( 11 ), care sunt de strictă interpretare. Or, prelucrarea datelor cu caracter personal ale utilizatorilor săi efectuată de un operator al unei rețele sociale online poate fi considerată necesară pentru executarea unui contract la care acești utilizatori sunt părți numai cu condiția ca prelucrarea respectivă să fie în mod obiectiv indispensabilă pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată utilizatorilor menționați, astfel încât obiectul principal al contractului nu ar putea fi atins în lipsa acestei prelucrări.

În plus, potrivit Curții, prelucrarea datelor în cauză poate fi considerată necesară în scopul intereselor legitime urmărite de operator sau de un terț numai dacă operatorul menționat a indicat utilizatorilor de la care au fost colectate datele un interes legitim urmărit prin prelucrarea lor, dacă această prelucrare este efectuată în limitele strictului necesar pentru realizarea acestui interes legitim și dacă reiese dintr‑o evaluare comparativă a intereselor opuse, în raport cu ansamblul circumstanțelor relevante, că interesele sau libertățile și drepturile fundamentale ale acestor utilizatori nu prevalează asupra interesului legitim menționat al operatorului sau al unui terț. Or, Curtea consideră printre altele că, în lipsa unui consimțământ din partea lor, interesele și drepturile fundamentale ale utilizatorilor menționați prevalează asupra interesului operatorului unei rețele sociale online pentru personalizarea publicității prin care își finanțează activitatea.

În sfârșit, Curtea precizează că prelucrarea datelor în cauză este justificată dacă este într‑adevăr necesară în vederea respectării unei obligații legale care îi revine operatorului, în temeiul unei dispoziții de drept al Uniunii sau al dreptului statului membru în cauză, dacă acest temei juridic urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit, iar prelucrarea respectivă este efectuată în limitele strictului necesar.

În al patrulea și ultimul rând, în ceea ce privește validitatea consimțământului utilizatorilor în cauză pentru prelucrarea datelor lor în temeiul RGPD, Curtea consideră că împrejurarea că operatorul unei rețele sociale online ocupă o poziție dominantă pe piața rețelelor sociale online nu se opune ca atare posibilității ca utilizatorii unei astfel de rețele să își dea în mod valabil consimțământul pentru prelucrarea datelor lor cu caracter personal, efectuată de acest operator. Cu toate acestea, având în vedere că o asemenea poziție poate afecta libertatea de alegere a acestor utilizatori și poate crea un dezechilibru vădit între aceștia și operatorul menționat, ea constituie un element important pentru a stabili dacă, într‑adevăr, consimțământul a fost dat în mod valabil și în special în mod liber, aspect care trebuie dovedit de același operator ( 12 ).

În special, utilizatorii rețelei sociale în discuție trebuie să dispună de libertatea de a refuza în mod individual, în cadrul procesului contractual, să își dea consimțământul pentru anumite operațiuni de prelucrare de date care nu sunt necesare pentru executarea contractului, fără a fi însă obligați să renunțe integral la utilizarea acestei rețele sociale online, ceea ce implică faptul că respectivilor utilizatori li se oferă, dacă este cazul în schimbul unei remunerații adecvate, o alternativă echivalentă care nu este însoțită de asemenea operațiuni de prelucrare a datelor. În plus, este necesar ca un consimțământ distinct să poată fi dat pentru prelucrarea datelor off Facebook.

( 1 ) La 31 iulie 2019, Meta Platforms a introdus noi condiții generale prin care se indica în mod expres că utilizatorul, în loc să plătească pentru utilizarea produselor Facebook, declară că acceptă anunțurile publicitare.

( 2 ) Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD”).

( 3 ) În sensul articolelor 51-59 din RGPD.

( 4 ) Consacrată la articolul 4 alineatul (3) din TUE.

( 5 ) În sensul articolului 102 TFUE.

( 6 ) Prevăzute la articolul 9 alineatul (1) din RGPD. Această dispoziție prevede că „[s]e interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice”.

( 7 ) Această prelucrare constă în colectarea, prin intermediul unor interfețe integrate, al unor module „cookie” sau al unor tehnologii de stocare similare, a datelor provenite din consultarea acestor site‑uri și a acestor aplicații, precum și a datelor inserate de utilizator, în asocierea tuturor acestor date cu contul rețelei sociale al acestuia și în utilizarea datelor menționate de către operatorul respectiv.

( 8 ) Prevăzute la articolul 9 alineatul (2) din RGPD. Această dispoziție prevede: „[a]lineatul (1) nu se aplică în următoarele situații:

(a)persoana vizată și‑a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal pentru unul sau mai multe scopuri specifice, cu excepția cazului în care dreptul Uniunii sau dreptul intern prevede ca interdicția prevăzută la alineatul (1) să nu poată fi ridicată prin consimțământul persoanei vizate; […]

(e)prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de către persoana vizată;

(f)prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în instanță sau ori de câte ori instanțele acționează în exercițiul funcției lor judiciare;

[…]”

( 9 ) În sensul articolului 9 alineatul 2 litera (e) din RGPD.

( 10 ) Potrivit articolului 6 alineatul (1) primul paragraf litera (a) din Directiva RGPD.

( 11 ) Menționate la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din RGPD. În temeiul acestor dispoziții, prelucrarea este legală numai dacă și în măsura în care aceasta este printre altele necesară pentru executarea unui contract la care persoana vizată este parte [articolul 6 alineatul (1) primul paragraf litera (b) din RGPD], în vederea îndeplinirii unei obligații legale care îi revine operatorului [articolul 6 alineatul (1) primul paragraf litera (c) din RGPD] sau în scopul intereselor legitime urmărite de operator sau de o parte terță [articolul 6 alineatul (1) primul paragraf litera (f) din RGPD].

( 12 ) În temeiul articolului 7 alineatul (1) din RGPD.