Trybunał Sprawiedliwości Unii Europejskiej („TSUE”) wydał wyrok w sprawie C 252/211 Meta Platforms i in. v. Bundeskartellamt. Orzeczenie TSUE koncentruje się na: i) możliwości stwierdzenia naruszenia przepisów RODO2 przez krajowy organ ochrony konkurencji w ramach prowadzonego postępowania antymonopolowego oraz ii) dopuszczalności stosowania przez Meta Platforms profilowania użytkowników serwisu Facebook mającego miejsce zarówno podczas użytkowania serwisu, jak i podczas korzystania z zewnętrznych stron i aplikacji.
—
[1] Wyrok Trybunału Sprawiedliwości Unii Europejskiej z dnia 4 lipca 2023 r. w sprawie C‑252/21
Alert został przygotowany przez kancelarię KRK Kieszkowska Rutkowska Kolasiński.
Jeśli mieliby Państwo w tym zakresie jakieś pytania, służymy pomocą.
1. Okoliczności sprawy
Sprawa, w wyniku której skierowano do TSUE pytania, dotyczyła postępowania prowadzonego przez niemiecki federalny urząd do spraw konkurencji (z niem. Bundeskartellamt – „BKA”) przeciwko Meta Platforms Ireland („Meta”) – spółce zarządzającej portalem Facebook w Unii Europejskiej.
BKA uznał, że Meta posiada pozycję dominującą na rynku internetowych sieci społecznościowych dla użytkowników prywatnych w Niemczech i zakazał Meta:
- uzależniania możliwości korzystania z Facebooka od zaakceptowania przez użytkownika ogólnych warunków korzystania z portalu, które przewidywały łączenie przez Meta danych pozyskiwanych bezpośrednio w wyniku korzystania z Facebooka z danymi generowanymi w wyniku korzystania z zewnętrznych stron internetowych, aplikacji lub innych platform, należących do spółek z grupy Meta lub podmiotów trzecich („Źródła Zewnętrzne”);
- przetwarzania tych danych bez zgody użytkownika,
uznając te działania za nadużycie pozycji dominującej. Organ uzasadnił swoją decyzję stwierdzając, że powyższe praktyki są niezgodne z przepisami RODO.
Meta odwołała się od decyzji BKA do sądu, który w toku sprawy zadał TSUE szereg pytań prejudycjalnych.
2. Ocena naruszenia przepisów RODO przez organy ochrony konkurencji
Sąd niemiecki spytał w pierwszej kolejności, czy organ ochrony konkurencji w toku badania, czy doszło do naruszenia przepisów prawa ochrony konkurencji zakazujących nadużywania pozycji dominującej, może samodzielnie badać zgodność przetwarzania danych z RODO.
TSUE wskazał, że organ ochrony konkurencji może badać i oceniać zgodność działań przedsiębiorcy z normami innymi niż przepisy prawa konkurencji, w tym z przepisami RODO, jeżeli jest to konieczne w toku badania, czy doszło do nadużycia pozycji dominującej.
Organ ochrony konkurencji, wydając decyzję stwierdzającą nadużycie pozycji dominującej, powinien na podstawie wszystkich szczególnych okoliczności sprawy ocenić, czy zachowanie przedsiębiorcy skutkuje uniemożliwieniem utrzymania istniejącego poziomu konkurencji lub jej rozwoju poprzez wykorzystanie środków odmiennych od tych, które stosuje się w warunkach normalnej konkurencji. Zgodność lub niezgodność działania z przepisami RODO może stanowić przesłankę mającą znaczenie dla ustalenia, czy zachowanie stanowi naruszenie prawa konkurencji.
TSUE wskazał również, że jeżeli zachowanie przedsiębiorcy oceniane przez organ ochrony konkurencji było już przedmiotem decyzji właściwego organu ochrony danych lub sądu, organ ochrony konkurencji będzie związany ich ustaleniami – ale może dokonać własnej oceny stwierdzonego stanu faktycznego na gruncie prawa konkurencji. Jeżeli natomiast zachowanie przedsiębiorcy nie było wcześniej oceniane przez organ ochrony danych, organ ochrony konkurencji powinien skonsultować się z organem ochrony danych i oba organy powinny ze sobą współpracować w celu zapewnienia spójnego stosowania RODO. TSUE zastrzegł jednak, że w braku reakcji organu ochrony danych w rozsądnym terminie organ ochrony konkurencji może kontynuować własne dochodzenie i ostatecznie dokonać samodzielnej oceny.
3. Przetwarzanie szczególnych kategorii danych
Odnosząc się do pytań zadanych stricte na gruncie RODO, TSUE wskazał po pierwsze, że w sytuacji, gdy z danych pozyskiwanych przez Meta ze Źródeł Zewnętrznych, albo z połączenia tych danych z danymi pozyskiwanymi bezpośrednio w wyniku korzystania z Facebooka, da się wywnioskować informacje, które należą do szczególnych kategorii wskazanych w art. 9 ust. 2 RODO, dochodzi do przetwarzania szczególnych kategorii danych osobowych.
Ma to istotne znaczenie w sytuacjach, gdy z samego faktu korzystania z określonych stron internetowych, aplikacji lub platform, można wywnioskować informacje, które należą do szczególnych kategorii wskazanych w art. 9 ust. 2 RODO, np. informacje dotyczące zdrowia.
4. Oczywiste upublicznienie danych
TSUE wskazał również, że sam fakt korzystania z zewnętrznych stron internetowych, aplikacji lub platform, które przekazują te pozyskiwane w ten sposób o użytkowniku dane do Meta, nie oznacza, że są to dane „w sposób oczywisty upublicznione” przez użytkownika w rozumieniu art. 9 ust. 2 lit. e RODO.
Sąd poszedł dalej, dokonując restrykcyjnej interpretacji kryterium, od którego spełnienia zależy możliwość uznania, że użytkownik w sposób oczywisty upublicznił swoje dane.
TSUE uznał, że nawet kliknięcie przycisku „Lubię to”, „Udostępnij” lub użycie funkcjonalności umożliwiających użytkownikowi logowanie na portalu za pomocą konta Facebook, samo w sobie nie oznacza, że użytkownik w sposób oczywisty upublicznia dane.
Tylko jeżeli użytkownik ma możliwość podjęcia uprzedniej, poinformowanej decyzji co do kręgu odbiorców, którym udostępnia określone informacje korzystając z funkcjonalności takich jak „Lubię to” czy „Udostępnij”, można uznać, że wybór opcji udostępnienia informacji nieograniczonemu kręgowi odbiorców (a nie tylko zamkniętej grupie, np. swoim znajomym na Facebooku) oznacza oczywiste upublicznienie swoich danych.
Jeżeli takie indywidualne ustawienia nie są dostępne, dla udowodnienia, że użytkownik w sposób oczywisty upublicznił swoje dane, niezbędne będzie wykazanie, że użytkownik wyraził wyraźną zgodę na to, aby informacje były dostępne dla nieograniczonego kręgu odbiorców, na podstawie wyraźnych i jednoznacznych informacji przekazanych użytkownikowi przez taką zewnętrzną stronę internetową, aplikację lub platformę przed skorzystaniem z funkcjonalności takich jak „Lubię to” czy „Udostępnij”.
5. Przetwarzanie danych w celu realizacji umowy
TSUE stwierdził, że dane osobowe mogą być przetwarzane na podstawie art. 6 ust. 1 lit. b RODO (w celu realizacji umowy z podmiotem danych) tylko, jeżeli przetwarzanie to jest obiektywnie niezbędne do osiągnięcia celu, który stanowi integralną część świadczenia umownego na rzecz podmiotu danych, skutkiem czego główny cel umowy nie mógłby zostać osiągnięty bez tego przetwarzania.
Sąd wyraził przy tym wątpliwość, czy przetwarzanie w celu wyświetlania spersonalizowanych treści lub umożliwienia jak najpłynniejszego przechodzenia między usługami własnymi grupy, Meta spełnia kryteria art. 6 ust. 1 lit. b RODO.
6. Zgoda na przetwarzanie danych a pozycja dominująca
Co istotne, TSUE dopuścił możliwość przetwarzania danych przez przedsiębiorcę posiadającego pozycję dominującą na podstawie zgody podmiotu danych (zgodnie z art. 6 ust. 1 lit. a RODO i art. 9 ust. 2 lit. a RODO), pod warunkiem spełnienia wymogów dotyczących sposobu uzyskania zgody – w szczególności dobrowolności jej wyrażenia.
TSUE stwierdził jednak, że ponieważ pozycja dominująca może wpływać na swobodę wyboru podmiotów danych i stwarzać wyraźną nierównowagę między nimi a administratorem danych, fakt istnienia pozycji dominującej stanowi ważny czynnik przy ocenie, czy zgoda była rzeczywiście ważna, a w szczególności dobrowolna – i dodatkowo ciężar wykazania tej okoliczności spoczywa na administratorze.
7. Podsumowanie
Wyrok TSUE, oprócz bezpośredniego wpływu na prawo ochrony danych osobowych, może mieć również istotne konsekwencje w wielu postępowaniach przed organami ochrony konkurencji.
pr. Marcin Kolasiński
adw. Michał Chodorek
apl. radc. Adam Szczepaniak
Paweł Sobel
