Sodba Sodišča (veliki senat) z dne 4. julija 2023.

SODBA SODIŠČA (veliki senat)

z dne 4. julija 2023 (*1)

Kazalo

Pravni okvir

Pravo Unije

Uredba (ES) št. 1/2003

SUVP

Nemško pravo

Spor o glavni stvari in vprašanja za predhodno odločanje

Vprašanja za predhodno odločanje

Prvo in sedmo vprašanje

Drugo vprašanje

Drugo vprašanje, točka (a)

Drugo vprašanje, točka (b)

Tretje, četrto in peto vprašanje

Uvodne ugotovitve

Tretje in četrto vprašanje

Peto vprašanje

Šesto vprašanje

Stroški

„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Spletna družbena omrežja – Zloraba prevladujočega položaja s strani operaterja takega omrežja – Zloraba, ki obsega obdelavo osebnih podatkov uporabnikov tega omrežja, določeno s splošnimi pogoji uporabe tega omrežja – Pristojnosti organa države članice, pristojnega za konkurenco, za ugotavljanje neskladnosti te obdelave s to uredbo – Povezava s pristojnostmi nacionalnih organov, pristojnih za nadzor varstva osebnih podatkov – Člen 4(3) PEU – Načelo lojalnega sodelovanja – Člen 6(1), prvi pododstavek, točke od (a) do (f), Uredbe 2016/679 – Zakonitost obdelave – Člen 9(1) in (2) – Obdelava posebnih vrst osebnih podatkov – Člen 4, točka 11 – Pojem ,privolitev‘“

V zadevi C‑252/21,

katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Oberlandesgericht Düsseldorf (višje deželno sodišče v Düsseldorfu, Nemčija) z odločbo z dne 24. marca 2021, ki je na Sodišče prispela 22. aprila 2021, v postopku

Meta Platforms Inc ., nekdanja Facebook Inc.,

Meta Platforms Ireland Ltd , nekdanja Facebook Ireland Ltd,

Facebook Deutschland GmbH

proti

Bundeskartellamt,

ob udeležbi

Verbraucherzentrale Bundesverband eV,

SODIŠČE (veliki senat),

v sestavi K. Lenaerts, predsednik, L. Bay Larsen, podpredsednik, A. Prechal, K. Jürimäe, predsednici senatov, C. Lycourgos, M. Safjan, predsednika senatov, L. S. Rossi (poročevalka), predsednica senata, D. Gratsias, predsednik senata, in M. L. Arastey Sahún, predsednica senata, J.-C. Bonichot, S. Rodin, F. Biltgen, M. Gavalec, Z. Csehi, sodniki, in O. Spineanu-Matei, sodnica,

generalni pravobranilec: A. Rantos,

sodni tajnik: D. Dittert, vodja oddelka,

na podlagi pisnega postopka in obravnave z dne 10. maja 2022,

ob upoštevanju stališč, ki so jih predložili:

• za Meta Platforms Inc., nekdanjo Facebook Inc., Meta Platforms Ireland Ltd, nekdanjo Facebook Ireland Ltd, in Facebook Deutschland GmbH M. Braun, M. Esser, L. Hesse, J. Höft in H.-G. Kamann, Rechtsanwälte,
• za Bundeskartellamt J. Nothdurft, K. Ost, I. Sewczyk in J. Topel, agenti,
• za Verbraucherzentrale Bundesverband eV S. Louven, Rechtsanwalt,
• za nemško vlado J. Möller in P.-L. Krüger, agenta,
• za češko vlado M. Smolek in J. Vláčil, agenta,
• za italijansko vlado G. Palmieri, agentka, skupaj z E. De Bonisem in P. Gentilijem, avvocati dello Stato,
• za avstrijsko vlado A. Posch, J. Schmoll in G. Kunnert, agenti,
• za Evropsko komisijo F. Erlbacher, H. Kranenborg in G. Meessen, agenti,

po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 20. septembra 2022

izreka naslednjo

Sodbo

1Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 4(3) PEU ter člena 6(1), člena 9(1) in (2), člena 51(1) in člena 56(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) ( UL 2016, L 119, str. 1 , v nadaljevanju: SUVP).

2Ta predlog je bil vložen v okviru spora med družbo Meta Platforms Inc., nekdanjo Facebook Inc., družbo Meta Platforms Ireland Ltd, nekdanjo Facebook Ireland Ltd, in družbo Facebook Deutschland GmbH na eni strani ter Bundeskartellamt (zvezni organ, pristojen za konkurenco, Nemčija) na drugi strani glede odločbe tega organa, da tem družbam prepove obdelavo nekaterih osebnih podatkov, ki je določena v splošnih pogojih uporabe družbenega omrežja Facebook (v nadaljevanju: splošni pogoji).

Pravni okvir

Pravo Unije

Uredba (ES) št. 1/2003

3Člen 5 Uredbe Sveta (ES) št. 1/2003 z dne 16. decembra 2002 o izvajanju pravil konkurence iz členov [101] in [102 PDEU] (UL, posebna izdaja v slovenščini, poglavje 8, zvezek 2, str. 205), naslovljen „Pristojnosti organov, pristojnih za konkurenco v državah članicah“, določa:

„Organi, pristojni za konkurenco v državah članicah, so pristojni za uporabo členov [101 in 102 PDEU] v posameznih primerih. Za ta namen lahko po uradni dolžnosti ali na podlagi pritožbe izdajo naslednje odločbe, ki:

• zahtevajo odpravo kršitve,
• odredijo začasne ukrepe,
• sprejmejo zaveze,
• naložijo globe, periodične denarne kazni ali druge sankcije, predvidene po nacionalnem pravu.

Kadar na podlagi razpoložljivih informacij pogoji za prepoved niso izpolnjeni, se lahko odločijo, da ni nobenega vzroka za njihovo ukrepanje.“

SUVP

4V uvodnih izjavah 1, 4, 38, 42, 43, 46, 47, 49 in 51 SUVP je navedeno:

„(1)

Varstvo posameznikov pri obdelavi osebnih podatkov je temeljna pravica. V členu 8(1) Listine Evropske unije o temeljnih pravicah (v nadaljnjem besedilu: Listina) in členu 16(1) [PDEU] je določeno, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj.

[…]

• (4) Obdelava osebnih podatkov bi morala biti oblikovana tako, da služi ljudem. Pravica do varstva osebnih podatkov ni absolutna pravica; v skladu z načelom sorazmernosti jo je treba obravnavati glede na vlogo, ki jo ima v družbi, in jo uravnotežiti z drugimi temeljnimi pravicami. Ta uredba spoštuje vse temeljne pravice in upošteva svoboščine in načela, priznana z Listino, kakor so zajeta v Pogodbah, zlasti spoštovanje zasebnega in družinskega življenja, stanovanja in komunikacij, varstvo osebnih podatkov, svobodo misli, vesti in vere, svobodo izražanja in obveščanja, svobodo gospodarske pobude, pravico do učinkovitega pravnega sredstva in nepristranskega sodišča ter kulturno, versko in jezikovno raznolikost.

[…]

• (38) Otroci potrebujejo posebno varstvo v zvezi s svojimi osebnimi podatki, saj se morda manj zavedajo zadevnih tveganj, posledic in zaščitnih ukrepov in svojih pravic v zvezi z obdelavo osebnih podatkov. Tako posebno varstvo bi moralo zadevati zlasti uporabo osebnih podatkov otrok v namene trženja ali ustvarjanja osebnostnih ali uporabniških profilov in zbiranje osebnih podatkov v zvezi z otroci pri uporabi storitev, ki se nudijo neposredno otroku. Privolitev nosilca starševske odgovornosti ne bi smela biti potrebna v okviru storitev preventive ali svetovanja, ki se nudijo neposredno otroku.

[…]

• (42) Kadar obdelava temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, bi moral biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v dejanje obdelave. […] Da bi posameznik, na katerega se nanašajo osebni podatki, lahko dal ozaveščeno privolitev, bi moral poznati vsaj identiteto upravljavca in namene obdelave osebnih podatkov. Privolitev se ne bi smela šteti za prostovoljno, če posameznik, na katerega se nanašajo osebni podatki, nima možnosti dejanske ali prostovoljne izbire ali privolitve ne more zavrniti ali preklicati brez škode.
• (43) Za zagotovitev, da je privolitev dana prostovoljno, privolitev ne bi smela biti veljavna pravna podlaga za obdelavo osebnih podatkov v posebnem primeru, ko obstaja očitno neravnotežje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem, zlasti kadar je upravljavec javni organ in je zato malo verjetno, da je bila privolitev dana prostovoljno v vseh okoliščinah te specifične situacije. Za privolitev se domneva, da ni dana prostovoljno, če ne dovoljuje ločene privolitve za različna dejanja obdelave osebnih podatkov, čeprav bi taka ločena privolitev bila v posameznem primeru ustrezna, ali če je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo, čeprav za zadevno izvajanje taka privolitev ne bi bila potrebna.

[…]

• (46) Obdelava osebnih podatkov bi se morala prav tako šteti za zakonito, kadar je potrebna za zaščito interesa, ki je bistven za življenje posameznika, na katerega se nanašajo osebni podatki, ali za življenje druge fizične osebe. Obdelava osebnih podatkov na podlagi življenjskih interesov druge fizične osebe bi se načeloma lahko izvajala le, kadar obdelave ni mogoče očitno izvesti na drugi pravni podlagi. Nekatere vrste obdelave lahko služijo tako pomembnim razlogom v javnem interesu kot življenjskim interesom posameznika, na katerega se nanašajo osebni podatki, na primer kadar je obdelava potrebna v humanitarne namene, tudi za spremljanje epidemij in njihovega širjenja ali v izrednih humanitarnih razmerah, zlasti pri naravnih nesrečah in nesrečah, ki jih povzroči človek.
• (47) Zakoniti interesi upravljavca, tudi upravljavca, ki se mu osebni podatki lahko razkrijejo, ali tretje osebe lahko predstavljajo pravno podlago za obdelavo, če ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, pri čemer se upoštevajo razumna pričakovanja posameznikov, na katere se nanašajo osebni podatki, glede na njihovo razmerje do upravljavca. […] V vsakem primeru bi bila za ugotovitev obstoja zakonitega interesa potrebna skrbna ocena, tudi glede tega, ali posameznik, na katerega se nanašajo osebni podatki, lahko v času zbiranja osebnih podatkov in v njegovem okviru razumno pričakuje, da se bodo ti obdelali v zadevni namen. Interesi in temeljne pravice posameznika, na katerega se nanašajo osebni podatki, bi zlasti lahko prevladali nad interesi upravljavca podatkov, kadar se osebni podatki obdelujejo v okoliščinah, ko posamezniki, na katere se nanašajo osebni podatki, razumno ne pričakujejo nadaljnje obdelave. […] Obdelava osebnih podatkov za neposredno trženje se lahko šteje za opravljeno v zakonitem interesu.

[…]

• (49) Obdelava osebnih podatkov v obsegu, nujno potrebnem in sorazmernem za zagotovitev varnosti omrežja in informacij, tj. zmožnosti omrežja ali informacijskega sistema, da na določeni ravni zaupanja prepreči slučajne dogodke ali nezakonita ali zlonamerna dejanja, ki ogrožajo dostopnost, avtentičnost, celovitost in zaupnost shranjenih ali prenesenih osebnih podatkov ter varnost s tem povezanih storitev, ki jih ponujajo ali so dostopne prek teh omrežij in sistemov, […] pomeni zakoniti interes zadevnega upravljavca podatkov.

[…]

• (51) Posebno varstvo si zaslužijo osebni podatki, ki so po svoji naravi posebej občutljivi z vidika temeljnih pravic in svoboščin, saj bi lahko okoliščine njihove obdelave resno ogrozile temeljne pravice in svoboščine. Ti osebni podatki bi morali vključevati osebne podatke, ki razkrivajo rasno ali etnično poreklo, pri čemer uporaba pojma ‚rasno poreklo‘ v tej uredbi ne pomeni, da [Evropska] unija priznava teorije, ki poskušajo dokazati obstoj različnih človeških ras. Obdelava fotografij se ne bi smela sistematično šteti za obdelavo posebnih vrst osebnih podatkov, saj spadajo v opredelitev biometričnih podatkov le, kadar so obdelane s posebnimi tehničnimi sredstvi, ki omogočajo edinstveno identifikacijo ali avtentikacijo posameznika. Takšni osebni podatki se ne bi smeli obdelovati, razen če je obdelava dovoljena v posebnih primerih iz te uredbe, pri čemer je treba upoštevati, da se lahko v pravu držav članic opredelijo posebne določbe o varstvu podatkov, s katerimi se prilagodi uporaba pravil iz te uredbe zaradi izpolnjevanja pravne obveznosti ali zaradi izvajanja naloge v javnem interesu ali izvajanja javne oblasti, dodeljene upravljavcu. Poleg posebnih zahtev za takšno obdelavo bi morala veljati splošna načela in druga pravila iz te uredbe, zlasti glede pogojev zakonite obdelave. Izrecno bi morala biti določena odstopanja od splošne prepovedi obdelave takšnih posebnih vrst osebnih podatkov, med drugim kadar posameznik, na katerega se nanašajo osebni podatki, da izrecno privolitev, ali glede posebnih potreb, zlasti kadar se obdelava izvaja v okviru zakonitih dejavnosti nekaterih združenj ali ustanov, katerih namen je omogočiti uresničevanje temeljnih svoboščin.“

5Člen 4 te uredbe določa:

„V tej uredbi

• (1) ‚osebni podatki‘ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); […]
• (2) ‚obdelava‘ pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje;

[…]

• (7) ‚upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice;

[…]

• (11) ‚privolitev posameznika, na katerega se nanašajo osebni podatki‘ pomeni vsako prostovoljno, konkretno, informirano in nedvoumno ravnanje v obliki izjave ali jasnega pritrdilnega dejanja, iz katerega je mogoče sklepati na želje posameznika, na katerega se nanašajo osebni podatki, s katerim izrazi strinjanje z obdelavo osebnih podatkov, ki se nanašajo nanj;

[…]

• (23) ‚čezmejna obdelava osebnih podatkov‘ pomeni bodisi:
• (a) obdelavo osebnih podatkov, ki poteka v Uniji v okviru dejavnosti ustanovitev upravljavca ali obdelovalca v več kot eni državi članici, kadar ima upravljavec ali obdelovalec ustanovitev v več kot eni državi članici, bodisi
• (b) obdelavo osebnih podatkov, ki poteka v Uniji v okviru dejavnosti edine ustanovitve upravljavca ali obdelovalca, vendar obdelava znatno vpliva ali bi lahko znatno vplivala na posameznike, na katere se nanašajo osebni podatki, v več kot eni državi članici;

[…]“

6Člen 5 navedene uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, v odstavkih 1 in 2 določa:

„1. Osebni podatki so:

• (a) obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki (‚zakonitost, poštenost in preglednost‘);
• (b) zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; […]
• (c) ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (‚najmanjši obseg podatkov‘);

[…]

2Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (‚odgovornost‘).“

7Člen 6 iste uredbe, naslovljen „Zakonitost obdelave“, določa:

„1. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

• (a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
• (b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
• (c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
• (d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
• (e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
• (f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Točka (f) prvega pododstavka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

[…]

3Podlaga za obdelavo iz točk (c) in (e) odstavka 1 je določena v skladu s:

• (a) pravom Unije; ali
• (b) pravom države članice, ki velja za upravljavca.

[…]

[…] Pravo Unije ali pravo države članice izpolnjuje cilj javnega interesa in je sorazmerno z zakonitim ciljem, za katerega si prizadeva.“

8Člen 7 SUVP, naslovljen „Pogoji za privolitev“, določa:

„1. Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.

[…]

4Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe.“

9Člen 9 te uredbe, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:

„1. Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genetskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.

2Odstavek 1 se ne uporablja, če velja eno od naslednjega:

• (a) posameznik, na katerega se nanašajo osebni podatki, je dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov, razen kadar pravo Unije ali pravo države članice določa, da posameznik, na katerega se nanašajo osebni podatki, ne sme odstopiti od prepovedi iz odstavka 1;

[…]

• (e) obdelava je povezana z osebnimi podatki, ki jih posameznik, na katerega se nanašajo osebni podatki, sam objavi;
• (f) obdelava je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov ali kadar koli sodišča izvajajo svojo sodno pristojnost;

[…]“

10Člen 13 navedene uredbe, ki se nanaša na „[i]nformacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki“, v odstavku 1 določa:

„Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije:

[…]

• (c) namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
• (d) kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;

[…]“

11Poglavje VI SUVP, ki se nanaša na „[n]eodvisne nadzorne organe“, vsebuje člene od 51 do 59 te uredbe.

12Člen 51 navedene uredbe, naslovljen „Nadzorni organ“, v odstavkih 1 in 2 določa:

„1. Vsaka država članica zagotovi enega ali več neodvisnih javnih organov, ki so pristojni za spremljanje uporabe te uredbe, da se zaščitijo temeljne pravice in svoboščine posameznikov v zvezi z obdelavo ter olajša prost pretok osebnih podatkov v Uniji […].

2Vsak nadzorni organ prispeva k dosledni uporabi te uredbe v vsej Uniji. V ta namen nadzorni organi sodelujejo med seboj in [z Evropsko] komisijo v skladu s poglavjem VII.“

13Člen 55 te uredbe, naslovljen „Pristojnost“, določa:

„1. Vsak nadzorni organ je na ozemlju svoje države članice pristojen za opravljanje dodeljenih nalog in izvajanje prenesenih pooblastil v skladu s to uredbo.

2Kadar obdelavo izvajajo javni organi ali zasebna telesa, ki delujejo na podlagi točke (c) ali (e) člena 6(1), je pristojen nadzorni organ zadevne države članice. V takih primerih se člen 56 ne uporablja.“

14Člen 56 SUVP, naslovljen „Pristojnosti vodilnega nadzornega organa“, določa:

„Nadzorni organ glavnega ali edinega sedeža upravljavca ali obdelovalca je brez poseganja v člen 55 pristojen, da deluje kot vodilni nadzorni organ za obdelavo, ki jo izvaja ta upravljavec ali obdelovalec na čezmejni ravni, v skladu s postopkom iz člena 60.“

15Člen 57 te uredbe, naslovljen „Naloge“, v odstavku 1 določa:

„Brez poseganja v druge naloge, določene v tej uredbi, vsak nadzorni organ na svojem ozemlju:

• (a) spremlja in zagotavlja uporabo te uredbe;

[…]

• (g) sodeluje z drugimi nadzornimi organi, med drugim z izmenjavo informacij, in jim zagotavlja medsebojno pomoč, da se zagotovi doslednost pri uporabi in izvajanju te uredbe;

[…]“

16Člen 58 navedene uredbe v odstavku 1 določa seznam preiskovalnih pooblastil vsakega nadzornega organa in v odstavku 5 določa, da „[v]saka država članica z zakonom določi, da ima njen nadzorni organ pooblastila, da sodne organe opozori na kršitve te uredbe in po potrebi začne sodne postopke ali v njih drugače sodeluje, da se zagotovi izvajanje določb te uredbe“.

17Oddelek 1, naslovljen „Sodelovanje“, poglavja VII SUVP, naslovljenega „Sodelovanje in skladnost“, vsebuje člene od 60 do 62 te uredbe. Člen 60, ki se nanaša na „[s]odelovanje med vodilnim nadzornim organom in drugimi zadevnimi nadzornimi organi“, v odstavku 1 določa:

„Vodilni nadzorni organ sodeluje z drugimi zadevnimi nadzornimi organi v skladu s tem členom in si prizadeva za soglasje. Vodilni nadzorni organ in zadevni nadzorni organi si izmenjujejo vse ustrezne informacije.“

18Člen 61 SUVP, naslovljen „Medsebojna pomoč“, v odstavku 1 določa:

„Nadzorni organi drug drugemu zagotovijo zadevne informacije in medsebojno pomoč, da dosledno izvajajo in uporabljajo to uredbo, ter uvedejo ukrepe za učinkovito medsebojno sodelovanje. Medsebojna pomoč obsega zlasti zahteve za informacije in nadzorne ukrepe, kot so zahteve za predhodno dovoljenje in posvetovanja, preglede ter preiskave.“

19Člen 62 te uredbe, naslovljen „Skupno ukrepanje nadzornih organov“, v odstavkih 1 in 2 določa:

„1. Nadzorni organi po potrebi skupaj ukrepajo, tudi z izvajanjem skupnih preiskav in skupnih izvršilnih ukrepov, pri katerih sodelujejo člani ali osebje nadzornih organov drugih držav članic.

2Kadar ima upravljavec ali obdelovalec sedeže v več državah članicah, ali kadar je verjetno, da bodo dejanja obdelave pomembno vplivala na znatno število posameznikov, na katere se nanašajo osebni podatki, v več kot eni državi članici, ima nadzorni organ vsake od teh držav članic pravico do sodelovanja pri skupnem ukrepanju. […]“

20Oddelek 2 poglavja VII SUVP, naslovljen „Skladnost“, vsebuje člene od 63 do 67 te uredbe. Člen 63, naslovljen „Mehanizem za skladnost“, določa:

„Da bi prispevali k dosledni uporabi te uredbe v vsej Uniji, nadzorni organi sodelujejo med seboj in po potrebi s Komisijo, in sicer prek mehanizma za skladnost, kakor je določen v tem oddelku.“

21Člen 64(2) te uredbe določa:

„Kateri koli nadzorni organ, predsednik [Evropskega odbora za varstvo podatkov] ali Komisija lahko zahteva, da katero koli zadevo splošne uporabe ali z učinkom v več kot eni državi članici preuči [Evropski odbor za varstvo podatkov], ki da mnenje, zlasti kadar pristojni nadzorni organ ne izpolni obveznosti glede medsebojne pomoči v skladu s členom 61 ali glede skupnega ukrepanja v skladu s členom 62.“

22Člen 65 navedene uredbe, naslovljen „Reševanje sporov s strani odbora“, v odstavku 1 določa:

„Da se zagotovi pravilna in dosledna uporaba te uredbe v posameznih primerih, [Evropski odbor za varstvo podatkov] sprejme zavezujočo odločitev v naslednjih primerih:

• (a) kadar je, v primeru iz člena 60(4), zadevni nadzorni organ dal ustrezen in utemeljen ugovor osnutku odločitve vodilnega nadzornega organa ter se vodilni nadzorni organ z ugovorom ni strinjal ali je tak ugovor zavrnil kot neustrezen ali neutemeljen. Zavezujoča odločitev velja za vse zadeve, na katere se nanaša ustrezen in utemeljen ugovor, zlasti kadar gre za kršitev te uredbe;
• (b) kadar obstajajo nasprotujoča si stališča o tem, kateri zadevni nadzorni organ je pristojen za glavni sedež;

[…]“

Nemško pravo

23Člen 19(1) Gesetz gegen Wettbewerbsbeschränkungen (zakon o preprečevanju omejevanja konkurence) v različici, objavljeni 26. junija 2013 (BGBl. 2013 I, str. 1750, 3245), kakor je bil nazadnje spremenjen s členom 2 zakona z dne 16. julija 2021 (BGBl. 2021 I, str. 2959) (v nadaljevanju: GWB), določa:

„Zloraba prevladujočega položaja na trgu s strani enega ali več podjetij je prepovedana.“

24Člen 32(1) GWB določa:

„Organ, pristojen za konkurenco, lahko podjetju ali skupini podjetij naloži obveznost, da prenehajo kršiti katero od določb iz tega dela oziroma iz člena 101 ali člena 102 Pogodbe o delovanju Evropske unije.“

25Člen 50f GWB v odstavku 1 določa:

„Organi za varstvo konkurence, regulativni organi, zvezni pooblaščenec za varstvo podatkov in svobodo obveščanja, deželni pooblaščenci za varstvo podatkov ter pristojni organi v smislu člena 2 EU‑Verbraucherschutzdurchführungsgesetz [(zakon o izvajanju prava Evropske unije o varstvu potrošnikov)] si lahko ne glede na izbrani postopek izmenjujejo informacije, vključno z osebnimi podatki ter industrijskimi in poslovnimi skrivnostmi, kolikor je to potrebno za opravljanje njihovih nalog, in te informacije uporabijo v okviru svojih postopkov. […]“

Spor o glavni stvari in vprašanja za predhodno odločanje

26Družba Meta Platforms Ireland upravlja ponudbo spletnega družbenega omrežja Facebook v Uniji in med drugim na naslovu www.facebook.com promovira storitve, ki so za zasebne uporabnike brezplačne. Druga podjetja skupine Meta v Uniji ponujajo druge spletne storitve, med katerimi so Instagram, WhatsApp, Oculus in – do 13. marca 2020 – Masquerade.

27Poslovni model spletnega družbenega omrežja Facebook temelji na financiranju s spletnim oglaševanjem, ki se izvaja po meri za posamezne uporabnike družbenega omrežja, zlasti glede na njihov odnos do potrošnje, interese, kupno moč in osebne okoliščine. Tako oglaševanje je tehnično izvedljivo z avtomatizirano določitvijo podrobnih profilov uporabnikov omrežja in spletnih storitev, ki se ponujajo na ravni skupine Meta. Za to se poleg podatkov, ki jih ti uporabniki neposredno navedejo ob registraciji za zadevne spletne storitve, zbirajo tudi drugi podatki, ki se nanašajo na navedene uporabnike in njihove naprave, znotraj in zunaj tega družbenega omrežja in spletnih storitev, ki jih zagotavlja skupina Meta, pri čemer se ti podatki povezujejo z različnimi računi uporabnikov. Na podlagi splošnega pregleda teh podatkov je mogoče izpeljati podrobne ugotovitve o preferencah in interesih navedenih uporabnikov.

28Družba Meta Platforms Ireland se za obdelavo navedenih podatkov opira na pogodbo o uporabi, h kateri uporabniki družbenega omrežja Facebooka pristopijo z aktiviranjem polja „vpis“ in s katero ti uporabniki sprejmejo splošne pogoje, ki jih je določila ta družba. Sprejetje teh pogojev je za uporabo družbenega omrežja Facebook nujno. Kar zadeva obdelavo osebnih podatkov, se splošni pogoji sklicujejo na politike uporabe podatkov in piškotkov, ki jih je določila navedena družba. Na podlagi teh politik družba Meta Platforms Ireland zbira podatke v zvezi z uporabniki in napravami, ki se nanašajo na dejavnosti uporabnikov znotraj in zunaj družbenega omrežja, ter te podatke poveže z računi zadevnih uporabnikov na Facebooku. Kar zadeva zadnjenavedene podatke, ki se nanašajo na dejavnosti zunaj družbenega omrežja (v nadaljevanju tudi: podatki off Facebook), gre na eni strani za podatke v zvezi z obiskom tretjih spletnih strani in aplikacij, ki so s Facebookom povezane prek vmesnikov za programiranje – „orodja Facebook Business“, in na drugi strani za podatke v zvezi z uporabo drugih spletnih storitev, ki spadajo v skupino Meta, med katerimi so Instagram, WhatsApp, Oculus in – do 13. marca 2020 – Masquerade.

29Zvezni urad za varstvo konkurence je proti družbam Meta Platforms, Meta Platforms Ireland in Facebook Deutschland začel postopek, ob zaključku katerega jim je z odločbo z dne 6. februarja 2019, izdano na podlagi členov 19(1) in 32 GWB, v bistvu prepovedal, da v splošnih pogojih uporabo družbenega omrežja Facebook s strani zasebnih uporabnikov, ki prebivajo v Nemčiji, pogojujejo z obdelavo njihovih podatkov off Facebook in da brez njihove privolitve obdelujejo te podatke na podlagi splošnih pogojev, ki so tedaj veljali. Poleg tega jim je naložil, naj te splošne pogoje prilagodijo, tako da je iz njih jasno razvidno, da navedeni podatki ne bodo niti zbrani, niti povezani z računi uporabnikov na Facebooku, niti uporabljeni brez privolitve zadevnega uporabnika, ter pojasnil, da taka privolitev ni veljavna, če je ta pogoj za uporabo družbenega omrežja.

30Zvezni urad za varstvo konkurence je svojo odločitev utemeljil z dejstvom, da obdelava podatkov zadevnih uporabnikov, kot je določena v splošnih pogojih in ki jo je izvajala družba Meta Platforms Ireland, pomeni zlorabo prevladujočega položaja te družbe na trgu spletnih družbenih omrežij za zasebne uporabnike v Nemčiji v smislu člena 19(1) GWB. Natančneje, zvezni organ za varstvo konkurence je menil, da ti splošni pogoji kot izraz tega prevladujočega položaja pomenijo zlorabo, ker naj v njih predvidena obdelava podatkov off Facebook ne bi bila v skladu z vrednotami, na katerih temelji SUVP, in naj je zlasti ne bi bilo mogoče utemeljiti z vidika člena 6(1) in člena 9(2) te uredbe.

31Družbe Meta Platforms, Meta Platforms Ireland in Facebook Deutschland so 11. februarja 2019 zoper odločbo zveznega urada za varstvo konkurence vložile tožbo pri Oberlandesgericht Düsseldorf (višje deželno sodišče v Düsseldorfu, Nemčija).

32Družba Meta Platforms je 31. julija 2019 uvedla nove splošne pogoje, v katerih je izrecno navedeno, da uporabnik namesto plačila za uporabo Facebookovih produktov izjavlja, da privoli v oglase.

33Poleg tega družba Meta Platforms od 28. januarja 2020 na svetovni ravni ponuja „ Off-Facebook-Activity “, ki uporabnikom družbenega omrežja Facebook omogoča prejem povzetka informacij, ki se nanašajo nanje in ki so jih družbe skupine Meta pridobile v zvezi z njihovimi dejavnostmi na drugih spletnih straneh in v drugih aplikacijah, pri čemer lahko te podatke, če želijo, za nazaj in za v prihodnje ločijo od svojega računa na „Facebook.com“.

34Oberlandesgericht Düsseldorf (višje deželno sodišče v Düsseldorfu) dvomi, na prvem mestu, o možnosti, da nacionalni organi, pristojni za konkurenco, v okviru izvajanja svojih pristojnosti nadzirajo skladnost obdelave osebnih podatkov z zahtevami iz SUVP; na drugem mestu, glede možnosti operaterja spletnega družbenega omrežja, da obdeluje občutljive osebne podatke posameznika, na katerega se nanašajo osebni podatki, v smislu člena 9(1) in (2) te uredbe; na tretjem mestu, v zvezi z zakonitostjo obdelave osebnih podatkov zadevnega uporabnika s strani takega operaterja v skladu s členom 6(1) navedene uredbe ter, na četrtem mestu, v zvezi z veljavnostjo privolitve za tako obdelavo, dane podjetju s prevladujočim položajem na nacionalnem trgu spletnih družbenih omrežij, glede na člen 6(1), prvi pododstavek, točka a, in člen 9(2)(a) iste uredbe.

35V teh okoliščinah je Oberlandesgericht Düsseldorf (višje deželno sodišče v Düsseldorfu) menilo, da je rešitev spora o glavni stvari odvisna od odgovora, ki ga je treba dati na ta vprašanja, zato je prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

„1.

• (a) Ali je združljivo s členom 51 [SUVP] in naslednjimi, če nacionalni organ za varstvo konkurence, kot je zvezni urad za varstvo konkurence, ki ni nadzorni organ v smislu člena 51 SUVP in naslednjih in ki je v državi, kjer ima podjetje s sedežem zunaj Evropske unije podružnico, ki na področju oglaševanja, komunikacije in promocije podpira ‚glavno poslovno enoto‘ tega podjetja, ki ima sedež v drugi državi članici in ki je izključno odgovorna za obdelavo osebnih podatkov za celotno ozemlje Evropske unije, v okviru nadzora kršitev pravil konkurenčnega prava ugotovi, da ‚glavni sedež‘ s pogodbenimi pogoji, ki se nanašajo na obdelavo podatkov, in njihovim izvajanjem krši SUVP, ter izda odredbo za prenehanje te kršitve?
• (b) Če je odgovor pritrdilen: Ali je združljivo s členom 4(3) PEU, če vodilni nadzorni organ v državi članici ‚glavnega sedeža‘ v smislu člena 56(1) SUVP hkrati vodi postopek preiskave njegovih pogodbenih pogojev, ki se nanašajo na obdelavo podatkov?

Če je odgovor na prvo vprašanje pritrdilen:

• 2. (a)

Ali gre potem – v primeru, ko internetni uporabnik spletna mesta ali aplikacije, povezane z merili iz člena 9(1) SUVP, kot so aplikacije za zmenke, platforme za iskanje istospolnih partnerjev, spletna mesta političnih strank ali z zdravjem povezana spletna mesta, zgolj obišče ali vanje vnese tudi podatke, na primer pri registraciji ali naročilih, neko […] podjetje, kot je [Meta Platforms Ireland], pa prek vmesnikov, vključenih v ta spletna mesta in aplikacije, kot so ‚orodja Facebook Business‘, ali prek piškotkov oziroma podobnih tehnologij za shranjevanje, nameščenih na računalniku ali mobilni terminalni opremi internetnega uporabnika, zbira podatke o uporabnikovih obiskih spletnih mest in aplikacij ter o vanje vnesenih uporabnikovih podatkih, jih povezuje s podatki uporabnikovega računa [na Facebook.com] in uporablja – pri tem zbiranju in/ali povezovanju in/ali uporabi za obdelavo občutljivih podatkov v smislu navedene določbe?

• (b) Če je odgovor pritrdilen: Ali obisk teh spletnih mest in aplikacij in/ali vnos podatkov in/ali klik na polja, ki jih ponudnik, kot je [Meta Platforms Ireland], vključi v ta spletna mesta ali aplikacije (‚družbeni vtičniki‘, kot so ‚všeč mi je‘, ‚deli z drugimi‘ oziroma ‚Facebook Login‘ ali ‚ account kit ‘) pomeni, da uporabnik podatke o obisku kot takem in/ali vnesene podatke sam objavi v smislu člena 9(2)(e) SUVP?
• 3. Ali lahko podjetje, kot je [Meta Platforms Ireland], ki upravlja digitalno družbeno omrežje, financirano z oglasi, in v svojih pogojih za uporabo storitev ponuja personalizacijo vsebin in oglaševanja, varnost omrežja, izboljševanje proizvodov ter dosledno in nemoteno uporabo vseh koncernovih proizvodov, v utemeljitev navede potrebnost za izvajanje pogodbe v smislu člena 6(1)(b) SUVP ali upoštevanje zakonitih interesov v smislu člena 6(1)(f) SUVP, če v te zbira, povezuje z uporabnikovim računom [na Facebook.com] in uporablja podatke, ki izhajajo iz drugih koncernovih storitev ter prek vmesnikov, vključenih v tretja spletna mesta in aplikacije, kot so ‚orodja Facebook Business‘, ali prek piškotkov oziroma podobnih tehnologij za shranjevanje, nameščenih na računalniku ali mobilni terminalni opremi internetnega uporabnika?
• 4. Ali so lahko v takem primeru tudi
• mladoletnost uporabnika, in sicer za personalizacijo vsebin in trženja, izboljševanje proizvoda, varnost omrežja in netrženjsko komunikacijo, namenjeno uporabnikom,
• zagotavljanje meritev, analitičnih podatkov in drugih poslovnih storitev za oglaševalce, razvijalce in druge partnerje, da lahko ti ocenijo in izboljšajo svoje storitve,
• zagotavljanje trženjske komunikacije, namenjene uporabnikom, da lahko podjetje izboljša svoje proizvode in izvaja neposredno trženje,
• raziskave in inovacije za družbeno korist, da se izboljša stanje tehnike oziroma znanstveno razumevanje pomembnih družbenih tem ter pozitivno vpliva na družbo in svet,
• informiranje organov, ki so pristojni za kazenski pregon in izvrševanje kazni, ter odgovarjanje na poizvedbe, ki temeljijo na neki pravni podlagi, zaradi preprečevanja, odkrivanja in pregona kaznivih dejanj, nezakonite uporabe, kršitev pogojev za uporabo storitev in pravilnikov ter drugih škodljivih načinov vedenja

zakoniti interesi v smislu člena 6(1)(f) SUVP, če podjetje v navedene namene z uporabnikovim računom [na Facebook.com] zbira, povezuje in uporablja podatke, ki izhajajo iz drugih koncernovih storitev ter tretjih spletnih mest in aplikacij, prek vanje vključenih vmesnikov, kot so ‚orodja Facebook Business‘, ali prek piškotkov oziroma podobnih tehnologij za shranjevanje, nameščenih na računalniku ali mobilni terminalni opremi internetnega uporabnika?

• 5. Ali so lahko v takem primeru zbiranje podatkov iz drugih koncernovih storitev ter s tretjih spletnih mest in iz tretjih aplikacij, prek vanje vključenih vmesnikov, kot so ‚orodja Facebook Business‘, ali prek piškotkov oziroma podobnih tehnologij za shranjevanje, nameščenih na računalniku ali mobilni terminalni opremi internetnega uporabnika, povezovanje z uporabnikovim računom [na Facebook.com] in uporaba teh podatkov oziroma uporaba že drugje zakonito zbranih in povezanih podatkov v posamičnem primeru utemeljeni tudi na podlagi člena 6(1)(c), (d) in (e) SUVP, na primer, da bi se lahko odgovorilo na poizvedbo po določenih podatkih, ki temelji na neki pravni podlagi (točka (c)), preprečilo škodljivo vedenje in okrepila varnost (točka (d)), opravljale raziskave v družbeno koristne namene ter spodbujale zaščita, integriteta in varnost (točka (e))?
• 6. Ali je v razmerju do podjetja, ki ima prevladujoč položaj na trgu, kot je [Meta Platforms Ireland], mogoče dati veljavno – zlasti prostovoljno, kot določa člen 4, točka 11, SUVP – privolitev v smislu člena 6(1)(a) in člena 9(2)(a) SUVP?

Če je odgovor na prvo vprašanje nikalen:

• 7. (a)

Ali lahko nacionalni organ za varstvo konkurence države članice, kot je zvezni urad za varstvo konkurence, ki ni nadzorni organ v smislu člena 51 SUVP in naslednjih in ki preiskuje kršitev nekega podjetja s prevladujočim položajem na trgu zoper prepoved zlorabe na področju konkurenčnega prava – pri kateri ne gre za vprašanje, ali se s pogoji tega podjetja, ki se nanašajo na obdelavo podatkov, in z izvajanjem teh pogojev krši SUVP – na primer v okviru presoje uravnoteženosti interesov sprejme ugotovitve v zvezi s tem, ali so pogoji tega podjetja, ki se nanašajo na obdelavo podatkov, in njihovo izvajanje skladni s SUVP?

• (b) Če je odgovor pritrdilen: Ali ob upoštevanju člena 4(3) PEU to velja tudi takrat, kadar pristojni vodilni nadzorni organ iz člena 56(1) SUVP istočasno vodi postopek preiskave v zvezi s pogoji tega podjetja, ki se nanašajo na obdelavo podatkov?

Če je odgovor na sedmo vprašanje pritrdilen, je potreben odgovor na tretje, četrto in peto vprašanje v zvezi s podatki, ki izhajajo iz uporabe koncernove storitve Instagram.“

Vprašanja za predhodno odločanje

Prvo in sedmo vprašanje

36Predložitveno sodišče s prvim in sedmim vprašanjem, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 51 in naslednje SUVP razlagati tako, da lahko organ države članice, pristojen za konkurenco, v okviru preučitve zlorabe prevladujočega položaja s strani podjetja v smislu člena 102 PDEU ugotovi, da splošni pogoji uporabe tega podjetja v zvezi z obdelavo osebnih podatkov in njihovo izvajanje niso v skladu s SUVP, in če je odgovor pritrdilen, ali je treba člen 4(3) PEU razlagati tako, da je taka posredna ugotovitev organa, pristojnega za konkurenco, mogoča tudi, če so ti pogoji istočasno predmet postopka preučitve, ki ga na podlagi člena 56(1) SUVP izvaja pristojni vodilni nadzorni organ.

37Za odgovor na to vprašanje je treba najprej opozoriti, da člen 55(1) SUVP določa načelno pristojnost vsakega nadzornega organa za opravljanje nalog in izvrševanje pooblastil, podeljenih v skladu s to uredbo, na ozemlju njegove države članice (sodba z dne 15. junija 2021, Facebook Ireland in drugi, C‑645/19 , EU:C:2021:483 , točka 47 in navedena sodna praksa).

38Med nalogami, ki so tem nadzornim organom dodeljene, je naloga spremljanja uporabe SUVP in zagotavljanja njene uporabe, določena v členu 51(1) in členu 57(1)(a) te uredbe, da bi se zaščitile temeljne svoboščine in pravice posameznikov pri obdelavi njihovih osebnih podatkov in olajšal prosti pretok takih podatkov v Uniji. Poleg tega navedeni nadzorni organi v skladu s členoma 51(2) in 57(1)(g) navedene uredbe sodelujejo med seboj, med drugim z izmenjavo informacij, ter zagotavljajo medsebojno pomoč, da se zagotovi doslednost pri uporabi in izvajanju te uredbe.

39Za opravljanje teh nalog člen 58 SUVP navedenim nadzornim organom v odstavku 1 podeljuje preiskovalna pooblastila, v odstavku 2 popravljalna pooblastila, v odstavku 5 pa pooblastilo, da sodne organe opozorijo na kršitve te uredbe in po potrebi začnejo sodne postopke ali v njih drugače sodelujejo, da se zagotovi izvajanje določb te uredbe.

40Brez poseganja v pravilo o pristojnosti iz člena 55(1) SUVP člen 56(1) te uredbe za čezmejne obdelave v smislu člena 4, točka 23, te uredbe določa mehanizem „vse na enem mestu“, ki temelji na razdelitvi pristojnosti med „vodilnim nadzornim organom“ in drugimi zadevnimi nadzornimi organi ter na sodelovanju med vsemi temi organi v skladu s postopkom sodelovanja iz člena 60 navedene uredbe.

41Poleg tega člen 61(1) SUVP nadzornim organom zlasti nalaga, da drug drugemu zagotovijo zadevne informacije in medsebojno pomoč, da dosledno izvajajo in uporabljajo to uredbo v vsej Uniji. Člen 63 navedene uredbe določa, da je za to določen mehanizem za skladnost, vzpostavljen v členih 64 in 65 te uredbe (sodba z dne 15. junija 2021, Facebook Ireland in drugi, C‑645/19 , EU:C:2021:483 , točka 52 in navedena sodna praksa).

42Ob tem je treba poudariti, da pravila o sodelovanju iz SUVP niso naslovljena na nacionalne organe, pristojne za konkurenco, temveč urejajo sodelovanje med zadevnimi nacionalnimi nadzornimi organi in vodilnim nadzornim organom ter po potrebi sodelovanje teh organov z Evropskim odborom za varstvo podatkov in Komisijo.

43Niti SUVP niti noben drug instrument prava Unije namreč ne določa posebnih pravil glede sodelovanja med nacionalnim organom, pristojnim za konkurenco, in zadevnimi nacionalnimi nadzornimi organi ali vodilnim nadzornim organom. Poleg tega nobena določba te uredbe nacionalnim organom, pristojnim za konkurenco, ne prepoveduje, da v okviru opravljanja svojih nalog ugotovijo, da obdelava podatkov, ki jo opravlja podjetje s prevladujočim položajem in ki lahko pomeni zlorabo tega položaja, ni v skladu s to uredbo.

44V zvezi s tem je treba, na prvem mestu, pojasniti, da nadzorni organi na eni strani in nacionalni organi, pristojni za konkurenco, na drugi strani opravljajo različne funkcije ter uresničujejo cilje in naloge, ki so jim lastni.

45Na eni strani je namreč, kot je bilo navedeno v točki 38 te sodbe, glavna naloga nadzornega organa v skladu s členom 51(1) in (2) ter členom 57(1)(a) in (g) SUVP spremljati in zagotavljati uporabo te uredbe ter hkrati prispevati k njeni dosledni uporabi v Uniji, da se zaščitijo temeljne pravice in svoboščine posameznikov pri obdelavi osebnih podatkov in olajša prosti pretok takih podatkov v Uniji. Za to ima nadzorni organ, kot je bilo opozorjeno v točki 39 te sodbe, različna pooblastila, ki so mu podeljena na podlagi člena 58 SUVP.

46Na drugi strani so v skladu s členom 5 Uredbe št. 1/2003 nacionalni organi, pristojni za konkurenco, pristojni za sprejemanje med drugim odločb, s katerimi se ugotovi, da je podjetje zlorabilo prevladujoči položaj v smislu člena 102 PDEU, katerega cilj je vzpostaviti sistem, ki zagotavlja, da na notranjem trgu ni izkrivljanja konkurence, tudi ob upoštevanju posledic take zlorabe za potrošnike na tem trgu.

47Kot je v bistvu navedel generalni pravobranilec v točki 23 sklepnih predlogov, mora organ, pristojen za konkurenco, v okviru sprejetja take odločbe na podlagi vseh specifičnih okoliščin zadeve presoditi, ali ravnanje podjetja s prevladujočim položajem učinkuje tako, da z drugačnimi sredstvi od tistih, ki so značilna za običajno konkurenco med proizvodi ali storitvami, ovira ohranitev ravni konkurence, ki obstaja na trgu, ali razvoj te konkurence (glej v tem smislu sodbo z dne 25. marca 2021, Deutsche Telekom/Komisija, C‑152/19 P , EU:C:2021:238 , točki 41 in 42 ). V zvezi s tem je lahko skladnost ali neskladnost takega ravnanja z določbami SUVP po potrebi pomemben indic med okoliščinami, ki so upoštevne za obravnavano zadevo, da se ugotovi, ali to ravnanje pomeni uporabo sredstev, ki so značilna za običajno konkurenco, in da se ocenijo posledice neke prakse na trg ali na potrošnike.

48Iz tega sledi, da se lahko v okviru preizkusa, ali je podjetje na določenem trgu zlorabilo prevladujoči položaj, izkaže, da mora organ zadevne države članice, pristojen za konkurenco, preučiti tudi skladnost ravnanja tega podjetja z drugimi predpisi od tistih s področja konkurenčnega prava, kot so pravila o varstvu osebnih podatkov iz SUVP.

49Vendar je treba ob upoštevanju različnih ciljev, ki se uresničujejo s pravili na področju konkurence, zlasti s členom 102 PDEU, na eni strani in s tistimi, določenimi na področju varstva osebnih podatkov na podlagi SUVP, na drugi strani, ugotoviti, da kadar nacionalni organ, pristojen za konkurenco, v okviru ugotovitve zlorabe prevladujočega položaja ugotovi kršitev te uredbe, ne nadomesti nadzornih organov. Natančneje, tak nacionalni organ, pristojen za konkurenco, ne spremlja uporabe te uredbe niti ne zagotavlja uporabe te uredbe s ciljem iz njenega člena 51(1), in sicer zaradi varstva temeljnih pravic in svoboščin posameznikov pri obdelavi in olajšanja prostega pretoka osebnih podatkov v Uniji. Poleg tega tak organ s tem, da se omeji na ugotovitev neskladnosti obdelave podatkov s SUVP zgolj zaradi ugotovitve zlorabe prevladujočega položaja in da naloži ukrepe za prenehanje te zlorabe na podlagi pravne podlage, ki izhaja iz konkurenčnega prava, ne opravlja nobene od nalog iz člena 57 te uredbe niti ne uporablja pooblastil, pridržanih nadzornemu organu na podlagi člena 58 navedene uredbe.

50Poleg tega je treba ugotoviti, da sta dostop do osebnih podatkov in njihova uporaba v digitalnem gospodarstvu zelo pomembna. Ta pomen je v okviru spora o glavni stvari ponazorjen s poslovnim modelom, na katerega se opira družbeno omrežje Facebook in ki predvideva, kot je bilo opozorjeno v točki 27 te sodbe, financiranje s trženjem personaliziranih oglasnih sporočil glede na uporabniške profile, določene na podlagi osebnih podatkov, ki jih zbira družba Meta Platforms Ireland.

51Kot je poudarila zlasti Komisija, sta dostop do osebnih podatkov in možnost obdelave teh podatkov postala pomemben parameter konkurence med podjetji v digitalnem gospodarstvu. Zato se z izključitvijo pravil na področju varstva osebnih podatkov iz pravnega okvira, ki ga morajo organi, pristojni za konkurenco, upoštevati pri preučitvi zlorabe prevladujočega položaja, ne bi upoštevala stvarnost tega gospodarskega razvoja in bi se lahko ogrozila učinkovitost konkurenčnega prava v Uniji.

52Vendar je treba, na drugem mestu, poudariti, da če nacionalni organ, pristojen za konkurenco, meni, da mora v okviru odločbe glede zlorabe prevladujočega položaja odločiti o skladnosti ali neskladnosti obdelave osebnih podatkov, ki jo izvaja zadevno podjetje, s SUVP, morata ta organ in zadevni nadzorni organ ali po potrebi pristojni vodilni nadzorni organ v smislu te uredbe med seboj sodelovati, da se zagotovi dosledna uporaba te uredbe.

53Namreč, kot je bilo navedeno v točkah 42 in 43 te sodbe, čeprav niti SUVP niti noben drug instrument prava Unije ne določa posebnih pravil v zvezi s tem, to ne spremeni dejstva, kot je generalni pravobranilec v bistvu navedel v točki 28 sklepnih predlogov, da kadar različni vpleteni nacionalni organi uporabljajo SUVP, morajo vsi spoštovati načelo lojalnega sodelovanja, določeno v členu 4(3) PEU. Na podlagi tega načela se morajo v skladu z ustaljeno sodno prakso države članice, vključno s svojimi upravnimi organi, na področjih, ki jih ureja pravo Unije, medsebojno spoštovati in si pomagati pri izpolnjevanju nalog, ki izhajajo iz Pogodb, sprejeti vse ustrezne ukrepe, da bi zagotovile izvajanje obveznosti, ki izhajajo med drugim iz aktov institucij Unije, ter se vzdržati vseh ukrepov, ki bi lahko ogrozili doseganje ciljev Unije (glej v tem smislu sodbi z dne 7. novembra 2013, UPC Nederland, C‑518/11 , EU:C:2013:709 , točka 59 , in z dne 1. avgusta 2022, Sea Watch, C‑14/21 in C‑15/21 , EU:C:2022:604 , točka 156 ).

54Tako se morajo ob upoštevanju tega načela nacionalni organi, pristojni za konkurenco, kadar morajo pri izvajanju svojih pristojnosti preučiti skladnost ravnanja podjetja z določbami SUVP, posvetovati in lojalno sodelovati z zadevnimi nacionalnimi nadzornimi organi ali vodilnim nadzornim organom, pri čemer morajo torej vsi ti organi v tem okviru spoštovati svoja pooblastila in pristojnosti, tako da se spoštujejo obveznosti, ki izhajajo iz SUVP, in cilji te uredbe ter da se ohrani njihov polni učinek.

55Preučitev ravnanja podjetja, ki jo organ, pristojen za konkurenco, opravi glede na pravila SUVP, lahko namreč povzroči tveganje razhajanj med tem organom in nadzornimi organi glede razlage te uredbe.

56Iz tega sledi, da mora nacionalni organ, pristojen za konkurenco, kadar v okviru preučitve, katere namen je ugotoviti, da je podjetje zlorabilo prevladujoči položaj v smislu člena 102 PDEU, meni, da je treba preučiti skladnost ravnanja tega podjetja z vidika določb SUVP, preveriti, ali je bilo to ravnanje ali podobno ravnanje že predmet odločitve pristojnega nacionalnega nadzornega organa ali vodilnega nadzornega organa ali celo Sodišča. Če je tako, nacionalni organ, pristojen za konkurenco, od teh odločitev ne more odstopati, vendar lahko iz njih izpelje lastne sklepe z vidika uporabe konkurenčnega prava.

57Kadar nacionalni organ, pristojen za konkurenco, dvomi o obsegu presoje, ki jo opravi pristojni nacionalni nadzorni organ ali vodilni nadzorni organ, kadar ta organa istočasno preučujejo zadevno ravnanje ali podobno ravnanje, ali kadar ob neobstoju preiskave navedenih organov meni, da ravnanje podjetja ni v skladu z določbami SUVP, se mora navedeni organ posvetovati s tema organoma in ju prositi za sodelovanje, da se odpravijo njegovi dvomi ali ugotovi, ali je treba počakati, da zadevni nadzorni organ sprejme odločitev, preden začne lastno presojo.

58Kadar pa se na nadzorni organ s prošnjo obrne nacionalni organ, pristojen za konkurenco, mora prvonavedeni organ na to zahtevo po informacijah ali sodelovanju odgovoriti v razumnem roku, in sicer tako, da organu, pristojnemu za konkurenco, posreduje informacije, ki jih ima na voljo in ki lahko omogočijo odpravo dvomov tega organa glede obsega presoje nadzornega organa, ali po potrebi obvesti nacionalni organ, pristojen za konkurenco, ali namerava začeti postopek sodelovanja z drugimi zadevnimi nadzornimi organi ali vodilnim nadzornim organom v skladu s členom 60 in naslednjimi SUVP, da bi sprejel odločitev o ugotovitvi skladnosti ali neskladnosti zadevnega ravnanja s to uredbo.

59Če zaprošeni nadzorni organ v razumnem roku ne odgovori, lahko nacionalni organ, pristojen za konkurenco, nadaljuje svojo preiskavo. Enako velja, kadar pristojni nacionalni nadzorni organ in vodilni nadzorni organ ne nasprotujeta temu, da se taka preiskava nadaljuje, ne da bi se počakalo na to, da sprejmeta odločitev.

60V obravnavanem primeru je iz spisa, s katerim razpolaga Sodišče, razvidno, da je zvezni urad za varstvo konkurence oktobra in novembra 2018, torej pred sprejetjem odločbe z dne 6. februarja 2019, stopil v stik z Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (zvezni pooblaščenec za varstvo podatkov in svobodo obveščanja, Nemčija), Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (pooblaščenec za varstvo podatkov in svobodo obveščanja v Hamburgu, Nemčija), ki je pristojen glede družbe Facebook Deutschland, in Data Protection Commission (DPC) (organ za varstvo podatkov, Irska), da bi te organe obvestil o svojem posegu. Poleg tega je razvidno, da je zvezni urad za varstvo konkurence pridobil potrditev, da navedeni organi tedaj niso vodili nobene preiskave v zvezi z dejanji, podobnimi tistim iz postopka v glavni stvari, in da niso podali nobenega ugovora zoper njegov poseg. Nazadnje, zvezni urad za varstvo konkurence se je v točkah 555 in 556 odločbe z dne 6. februarja 2019 izrecno skliceval na to sodelovanje.

61V teh okoliščinah in s pridržkom preverjanj, ki jih mora opraviti predložitveno sodišče, se zdi, da je zvezni urad za varstvo konkurence izpolnil svoje obveznosti lojalnega sodelovanja z zadevnimi nacionalnimi nadzornimi organi in vodilnim nadzornim organom.

62Ob upoštevanju navedenega je treba na prvo in sedmo vprašanje odgovoriti, da je treba člen 51 in naslednje SUVP ter člen 4(3) PEU razlagati tako, da lahko organ države članice, pristojen za konkurenco, s pridržkom spoštovanja svoje obveznosti lojalnega sodelovanja z nadzornimi organi, v okviru preizkusa zlorabe prevladujočega položaja s strani podjetja v smislu člena 102 PDEU ugotovi, da splošni pogoji uporabe tega podjetja v zvezi z obdelavo osebnih podatkov in njihovo izvajanje niso v skladu s to uredbo, če je ta ugotovitev potrebna za ugotovitev obstoja take zlorabe.

63Glede na to obveznost lojalnega sodelovanja nacionalni organ, pristojen za konkurenco, ne sme odstopati od odločbe pristojnega nacionalnega nadzornega organa ali pristojnega vodilnega nadzornega organa v zvezi s temi splošnimi pogoji ali podobnimi splošnimi pogoji. Kadar organ, pristojen za konkurenco, dvomi o obsegu take odločbe, kadar so navedeni pogoji ali podobni pogoji istočasno predmet preučitve teh organov ali tudi kadar organ, pristojen za konkurenco, ob tem, da ni preiskave ali odločbe navedenih organov, meni, da zadevni pogoji niso skladni s SUVP, se mora s temi nadzornimi organi posvetovati in zaprositi za njihovo sodelovanje, da odpravi svoje dvome ali ugotovi, ali je treba počakati, da ti sprejmejo odločbo, preden začne svojo presojo. Če ti organi temu ne ugovarjajo ali ne odgovorijo v razumnem roku, lahko nacionalni organ, pristojen za konkurenco, svojo preiskavo nadaljuje.

Drugo vprašanje

64Predložitveno sodišče z drugim vprašanjem, točka (a), v bistvu sprašuje, ali je treba člen 9(1) SUVP razlagati tako, da če uporabnik spletnega družbenega omrežja obišče spletna mesta ali aplikacije, povezane z eno ali več kategorijami, navedenimi v tej določbi, in po potrebi na teh spletnih mestih ali v te aplikacije vnese podatke tako, da se vpiše ali opravlja spletna naročila, je treba obdelavo osebnih podatkov s strani operaterja tega spletnega družbenega omrežja, ki zajema zbiranje – prek integriranih vmesnikov, piškotkov ali podobnih tehnologij za zapisovanje – podatkov, pridobljenih z obiskom teh spletnih mest in aplikacij, ter podatkov, ki jih je vnesel uporabnik, povezovanje vseh teh podatkov z računom tega uporabnika na družbenem omrežju in uporabo teh podatkov s strani operaterja, šteti za „obdelavo posebnih vrst osebnih podatkov“ v smislu te določbe, ki je načeloma prepovedana, razen v primeru odstopanj, določenih v tem členu 9(2).

65Če je odgovor pritrdilen, predložitveno sodišče z drugim vprašanjem, točka (b), v bistvu sprašuje, ali je treba člen 9(2)(e) SUVP razlagati tako, da kadar uporabnik spletnega družbenega omrežja obišče spletna mesta ali aplikacije, povezane s kategorijami iz člena 9(1) SUVP, na teh spletnih mestih ali v te aplikacije vnese podatke ali klikne na izbirna polja, ki so v njih integrirana, kot so polje „všeč mi je“ ali „deli z drugimi“ oziroma polja, ki uporabniku omogočajo identifikacijo na teh spletnih mestih ali v teh aplikacijah z uporabo identifikatorjev povezave, povezanih z njegovim uporabniškim računom na spletnem družbenem omrežju, njegovo telefonsko številko ali njegovim elektronskim naslovom, se šteje, da je v smislu prve od teh določb sam objavil podatke, ki jih je ob tej priložnosti prek piškotkov ali podobnih tehnologij za zapisovanje zbral operater tega spletnega družbenega omrežja.

Drugo vprašanje, točka (a)

66V uvodni izjavi 51 SUVP je navedeno, da si posebno varstvo zaslužijo osebni podatki, ki so po svoji naravi posebej občutljivi z vidika temeljnih pravic in svoboščin, saj bi lahko okoliščine njihove obdelave resno ogrozile temeljne pravice in svoboščine. V tej uvodni izjavi je pojasnjeno, da se taki osebni podatki ne bi smeli obdelovati, razen če je obdelava dovoljena v posebnih primerih iz navedene uredbe.

67V tem okviru člen 9(1) SUVP določa načelo prepovedi obdelave posebnih vrst osebnih podatkov, ki so v njem navedeni. Gre med drugim za podatke, ki razkrivajo rasno ali etnično poreklo, politično mnenje ali versko prepričanje, podatke v zvezi z zdravjem oziroma podatke v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.

68Za namene uporabe člena 9(1) SUVP je treba v primeru obdelave osebnih podatkov, ki jo izvaja operater spletnega družbenega omrežja, preveriti, ali ti podatki omogočajo razkritje informacij, ki spadajo v eno od kategorij iz te določbe, ne glede na to, ali se te informacije nanašajo na uporabnika tega omrežja ali na katerega koli drugega posameznika. Če je odgovor pritrdilen, je taka obdelava osebnih podatkov torej prepovedana, razen v primeru odstopanj, določenih v členu 9(2) SUVP.

69Kot je generalni pravobranilec v bistvu navedel v točkah 40 in 41 sklepnih predlogov, je ta načelna prepoved iz člena 9(1) SUVP neodvisna od tega, ali je informacija, razkrita z zadevno obdelavo, točna ali ne in ali upravljavec deluje z namenom pridobitve informacij, ki spadajo v eno od posebnih kategorij iz te določbe.

70Ob upoštevanju velikih tveganj za temeljne svoboščine in pravice posameznikov, na katere se nanašajo osebni podatki, ki jih povzroča vsaka obdelava osebnih podatkov, ki spadajo v kategorije iz člena 9(1) SUVP, je namreč cilj te uredbe to obdelavo prepovedati ne glede na njen prikazani namen.

71V obravnavanem primeru obdelava iz postopka v glavni stvari, ki jo izvaja družba Meta Platforms Ireland, zajema, najprej, zbiranje osebnih podatkov uporabnikov družbenega omrežja Facebook, ko ti obiščejo spletna mesta ali aplikacije – vključno s tistim ali tisto, ki bi lahko razkrila informacije, ki spadajo v eno ali več kategorij iz člena 9(1) SUVP – in po potrebi na teh spletnih mestih ali v te aplikacije vnesejo informacije tako, da se vpišejo ali opravljajo spletna naročila, dalje, povezovanje teh podatkov z računom teh uporabnikov na družbenem omrežju in, nazadnje, uporabo navedenih podatkov.

72V zvezi s tem bo moralo predložitveno sodišče ugotoviti, ali tako zbrani podatki sami po sebi ali s povezovanjem z računi zadevnih uporabnikov na Facebooku dejansko omogočajo razkritje takih informacij, ne glede na to, ali se te informacije nanašajo na uporabnika tega omrežja ali na katerega koli drugega posameznika. Vendar je treba ob upoštevanju vprašanj tega sodišča pojasniti, da je – s pridržkom preverjanj, ki jih mora opraviti to sodišče – očitno, da lahko obdelava podatkov v zvezi z obiskom zadevnih spletnih mest ali aplikacij v nekaterih primerih razkrije take informacije, ne da bi morali navedeni uporabniki na teh spletnih mestih ali v te aplikacije vnesti informacije tako, da se vpišejo ali opravljajo spletna naročila.

73Ob upoštevanju zgoraj navedenega je treba na drugo vprašanje, točka (a), odgovoriti, da je treba člen 9(1) SUVP razlagati tako, da če uporabnik spletnega družbenega omrežja obišče spletna mesta ali aplikacije v povezavi z eno ali več kategorijami iz te določbe, in po potrebi na teh spletnih mestih ali v te aplikacije vnese podatke tako, da se vpiše ali opravlja spletna naročila, je treba obdelavo osebnih podatkov, ki jo izvaja operater tega spletnega družbenega omrežja ter ki zajema zbiranje – prek integriranih vmesnikov, piškotkov ali podobnih tehnologij za zapisovanje – podatkov, ki izhajajo iz obiska teh spletnih mest in aplikacij, ter podatkov, ki jih je vnesel uporabnik, povezovanje vseh teh podatkov z računom tega uporabnika na družbenem omrežju in uporabo teh podatkov s strani tega operaterja, šteti za „obdelavo posebnih vrst osebnih podatkov“ v smislu te določbe, ki je načeloma prepovedana, razen v primeru odstopanj, določenih v tem členu 9(2), če ta obdelava podatkov omogoča razkritje informacij, ki spadajo v eno od teh kategorij, ne glede na to, ali se te informacije nanašajo na uporabnika tega omrežja ali na katerega koli drugega posameznika.

Drugo vprašanje, točka (b)

74V zvezi z drugim vprašanjem, točka (b), kot je bilo preoblikovano v točki 65 te sodbe in ki se nanaša na odstopanje iz člena 9(2)(e) SUVP, je treba opozoriti, da se v skladu s to določbo načelna prepoved vsakršne obdelave posebnih vrst osebnih podatkov iz tega člena 9(1) ne uporablja, če se obdelava nanaša na osebne podatke, ki jih „posameznik, na katerega se nanašajo osebni podatki, sam objavi“.

75Najprej je treba po eni strani poudariti, da se to odstopanje uporablja samo za podatke, ki jih „posameznik, na katerega se nanašajo osebni podatki“, sam objavi. Zato se ne uporablja za podatke, ki se nanašajo na osebe, ki niso tiste, ki so te podatke same objavile.

76Po drugi strani je treba člen 9(2) SUVP, ker določa izjemo od načela prepovedi obdelave posebnih vrst osebnih podatkov, razlagati ozko (glej v tem smislu sodbi z dne 17. septembra 2014, Baltic Agro, C‑3/13 , EU:C:2014:2227 , točka 24 in navedena sodna praksa, in z dne 6. junija 2019, Weil, C‑361/18 , EU:C:2019:473 , točka 43 in navedena sodna praksa).

77Iz tega sledi, da je treba za uporabo izjeme iz člena 9(2)(e) SUVP preveriti, ali je posameznik, na katerega se nanašajo osebni podatki, izrecno in z jasnim pritrdilnim dejanjem želel javnosti omogočiti dostop do zadevnih osebnih podatkov.

78V zvezi s tem je treba na eni strani v zvezi z obiskom spletnih mest ali aplikacij v povezavi z eno ali več kategorijami iz člena 9(1) SUVP, ugotoviti, da z njim zadevni uporabnik nikakor ne namerava objaviti dejstva, da je obiskal ta spletna mesta ali te aplikacije, in podatkov v zvezi s tem obiskom, ki jih je mogoče povezati z njim. Ta lahko namreč kvečjemu pričakuje, da bo imel upravljavec spletnega mesta ali aplikacije dostop do teh podatkov in da jih bo po potrebi in s pridržkom izrecne privolitve tega uporabnika delil z nekaterimi tretjimi osebami, ne pa s širšo javnostjo.

79Tako zgolj iz tega, da uporabnik obišče taka spletna mesta ali take aplikacije, ni mogoče sklepati, da je ta uporabnik navedene osebne podatke sam objavil v smislu člena 9(2)(e) SUVP.

80Na drugi strani, kar zadeva dejavnosti vnosa podatkov na navedena spletna mesta ali v navedene aplikacije in klikom na izbirna polja, ki so integrirana v ta spletna mesta ali aplikacije, kot so polja „všeč mi je“ ali „deli z drugimi“ oziroma polja, ki uporabniku omogočajo, da se na spletnem mestu ali v aplikaciji identificira z uporabo identifikatorjev povezave, povezanih z njegovim uporabniškim računom na Facebooku, z njegovo telefonsko številko ali z njegovim elektronskim naslovom, je treba poudariti, da te dejavnosti vključujejo interakcijo med tem uporabnikom in zadevnim spletnim mestom ali aplikacijo ter po potrebi spletnim mestom spletnega družbenega omrežja, pri čemer gre za interakcijo, katere oblike priobčitve javnosti se lahko razlikujejo, saj so lahko predmet individualne nastavitve navedenega uporabnika.

81V teh okoliščinah mora predložitveno sodišče preveriti, ali imajo zadevni uporabniki možnost, da se na podlagi nastavitev, uporabljenih ob poznavanju dejstev, odločijo, da bodo podatki, vneseni na zadevna spletna mesta ali v zadevne aplikacije, in podatki, ki izhajajo iz klika na izbirna polja, integrirana v ta spletna mesta ali aplikacije, dostopni širši javnosti ali, nasprotno, bolj ali manj omejenemu številu izbranih oseb.

82Kadar imajo zadevni uporabniki dejansko tako izbiro, je mogoče – kadar prostovoljno vnesejo podatke na spletno mesto ali v aplikacijo ali kliknejo na izbirna polja, ki so vanju integrirana – šteti, da sami objavijo podatke, ki se nanašajo nanje, v smislu člena 9(2)(e) SUVP, le, če so na podlagi individualnih nastavitev, uporabljenih ob celovitem poznavanju dejstev, jasno izrazili svojo izbiro, da so ti podatki dostopni neomejenemu številu oseb, kar pa mora preveriti predložitveno sodišče.

83Nasprotno pa je treba, če take individualne nastavitve niso predlagane, ob upoštevanju tega, kar je bilo navedeno v točki 77 te sodbe, šteti, da kadar uporabniki prostovoljno vnesejo podatke na spletno mesto ali v aplikacijo oziroma kliknejo na izbirna polja, ki so vanju integrirana, je za to, da bi se štelo, da so te podatke sami objavili, potrebno, da na podlagi izrecne informacije, ki je podana na tem spletnem mestu ali v tej aplikaciji pred takim vnosom ali klikom, izrecno privolijo, da si navedene podatke lahko ogleda vsaka oseba, ki ima dostop do navedenega spletnega mesta ali navedene aplikacije.

84Ob upoštevanju zgoraj navedenega je treba na drugo vprašanje, točka (b), odgovoriti, da je treba člen 9(2)(e) SUVP razlagati tako, da kadar uporabnik spletnega družbenega omrežja obišče spletna mesta ali aplikacije v povezavi z eno ali več kategorijami iz člena 9(1) SUVP, podatkov v zvezi s tem obiskom, ki jih je operater tega spletnega družbenega omrežja zbral prek piškotkov ali podobnih tehnologij za zapisovanje, navedeni uporabnik ne objavi sam v smislu prve od teh določb.

85Kadar uporabnik vnese podatke na taka spletna mesta ali v take aplikacije ali klikne na izbirna polja, ki so integrirana v ta spletna mesta ali aplikacije, kot so polja „všeč mi je“ ali „deli z drugimi“ oziroma polja, ki uporabniku omogočajo, da se na teh spletnih mestih ali v teh aplikacijah identificira z uporabo identifikatorjev povezave, povezanih z njegovim uporabniškim računom na družbenem omrežju, z njegovo telefonsko številko ali z njegovim elektronskim naslovom, tak uporabnik tako vstavljene podatke ali podatke, ki izhajajo iz klika na ta polja, objavi sam v smislu tega člena 9(2)(e) le v primeru, da je predhodno izrecno izrazil svojo izbiro – po potrebi na podlagi individualnih nastavitev, uporabljenih ob polnem poznavanju zadeve – da so podatki, ki se nanašajo nanj, javno dostopni neomejenemu številu oseb.

Tretje, četrto in peto vprašanje

86Predložitveno sodišče želi s tretjim in četrtim vprašanjem, ki ju je treba obravnavati skupaj, v bistvu izvedeti, ali in pod katerimi pogoji je treba člen 6(1), prvi pododstavek, točki (b) in (f), SUVP razlagati tako, da se obdelava osebnih podatkov, ki jo izvaja operater spletnega družbenega omrežja ter ki zajema zbiranje podatkov uporabnikov takega omrežja, ki izhajajo iz drugih storitev skupine, ki ji pripada ta operater, ali ki izhajajo iz tega, da so ti uporabniki obiskali spletna mesta ali aplikacije tretjih, povezovanje teh podatkov z računom navedenih uporabnikov na družbenem omrežju in uporabo teh podatkov, lahko šteje za potrebno za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, v smislu točke (b), ali zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba v smislu točke (f). To sodišče se zlasti sprašuje, ali za to nekateri interesi, ki jih izrecno navaja, pomenijo „zakoniti interes“ v smislu zadnjenavedene določbe.

87Predložitveno sodišče s petim vprašanjem v bistvu sprašuje, ali je treba člen 6(1), prvi pododstavek, točke od (c) do (e), SUVP razlagati tako, da se za tako obdelavo osebnih podatkov lahko šteje, da je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca v smislu točke (c), za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe v smislu točke (d) ali za opravljanje naloge v javnem interesu oziroma pri izvajanju javne oblasti, dodeljene upravljavcu v smislu točke (e), v primeru, v katerem se navedena obdelava izvaja zaradi odgovora na pravno veljavno poizvedbo za predložitev nekaterih podatkov, zaradi boja proti škodljivemu vedenju in okrepitve varnosti, zaradi opravljanja raziskav v družbeno koristne namene ter zaradi spodbujanja zaščite, integritete in varnosti.

Uvodne ugotovitve

88Najprej je treba ugotoviti, prvič, da so tretje, četrto in peto vprašanje postavljena, ker v skladu z ugotovitvami zveznega urada za varstvo konkurence v odločbi z dne 6. februarja 2019 ni mogoče šteti, da so uporabniki družbenega omrežja Facebook privolili v obdelavo svojih podatkov iz postopka v glavni stvari v smislu člena 6(1), prvi pododstavek, točka a, in člena 9(2)(a) SUVP. V tem okviru torej predložitveno sodišče, čeprav je s šestim vprašanjem Sodišče vprašalo glede te problematike, meni, da mora preveriti, ali ta obdelava ustreza enemu od drugih pogojev za zakonitost iz člena 6(1), prvi pododstavek, točke od b do f, te uredbe.

89V tem okviru je treba poudariti, da lahko dejanja zbiranja, povezovanja in uporabe podatkov, navedena v tretjem, četrtem in petem vprašanju, hkrati zajemajo občutljive podatke v smislu člena 9(1) SUVP in neobčutljive podatke. Pojasniti pa je treba, da je treba v primeru, v katerem je niz podatkov, ki vsebuje tako občutljive kot neobčutljive podatke, predmet takih dejanj in se med drugim zbira v svežnju, ne da bi bilo mogoče podatke v času tega zbiranja ločiti med seboj, šteti, da je obdelava tega niza podatkov prepovedana v smislu člena 9(1) SUVP, če ta niz vsebuje vsaj en občutljiv podatek in se zanj ne uporablja nobeno od odstopanj iz člena 9(2) te uredbe.

90Drugič, za odgovor na tretje, četrto in peto vprašanje je treba opozoriti, da člen 6(1), prvi pododstavek, SUVP določa izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita. Da bi se obdelava lahko štela za zakonito, mora spadati v okvir enega od primerov, opredeljenih v tej določbi (sodba z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19 , EU:C:2021:504 , točka 99 in navedena sodna praksa).

91V skladu s členom 6(1), prvi pododstavek, točka (a), te uredbe je obdelava osebnih podatkov zakonita, le in kolikor je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov v enega ali več določenih namenov.

92Če take privolitve ni ali če ta privolitev ni bila dana prostovoljno, izrecno, informirano in nedvoumno v smislu člena 4, točka 11, SUVP, je taka obdelava vseeno upravičena, če izpolnjuje eno od zahtev nujnosti iz člena 6(1), prvi pododstavek, točke od (b) do (f), te uredbe.

93V tem okviru je treba utemeljitve iz te zadnjenavedene določbe, ker omogočajo, da je obdelava osebnih podatkov, opravljena brez privolitve posameznika, na katerega se nanašajo osebni podatki, zakonita, razlagati ozko (glej v tem smislu sodbo z dne 24. februarja 2022, Valsts ieņēmumu dienests (Obdelava osebnih podatkov za davčne namene) ( C‑175/20 , EU:C:2022:124 , točka 73 in navedena sodna praksa).

94Poleg tega, kot je razsodilo Sodišče, kadar je mogoče ugotoviti, da je obdelava osebnih podatkov potrebna glede na eno od utemeljitev iz člena 6(1), prvi pododstavek, točke od (b) do (f), SUVP, ni treba ugotoviti, ali ta obdelava spada tudi v okvir druge utemeljitve (glej v tem smislu sodbo z dne 1. avgusta 2022, Vyriausioji tarnybinės inikos komisija, C‑184/20 , EU:C:2022:601 , točka 71 ).

95Nazadnje je treba pojasniti, da mora v skladu s členom 5 SUVP upravljavec dokazati, da se ti podatki med drugim zbirajo za določene, izrecne in zakonite namene ter da se v zvezi s posameznikom, na katerega se nanašajo osebni podatki, obdelujejo zakonito, pošteno in na pregleden način. Poleg tega člen 13(1)(c) te uredbe določa, da kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki, mora upravljavec tega posameznika obvestiti o namenih obdelave teh podatkov in o pravni podlagi za to obdelavo.

96Čeprav bo moralo predložitveno sodišče ugotoviti, ali so različni elementi obdelave iz postopka v glavni stvari utemeljeni z eno ali drugo potrebo iz člena 6(1), prvi pododstavek, točke od (b) do (f), SUVP, mu lahko Sodišče vseeno zagotovi koristne napotke, ki mu omogočajo rešitev spora, o katerem odloča.

Tretje in četrto vprašanje

97Na prvem mestu, člen 6(1), prvi pododstavek, točka (b), SUVP določa, da je obdelava osebnih podatkov zakonita, če je „potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe“.

98V zvezi s tem mora biti obdelava osebnih podatkov, da bi se štela za potrebno za izvajanje pogodbe v smislu te določbe, objektivno nujna za uresničitev namena, ki je sestavni del pogodbene dajatve, namenjene posamezniku, na katerega se nanašajo osebni podatki. Upravljavec mora tako biti zmožen dokazati, zakaj glavni predmet pogodbe ne bi mogel biti dosežen brez zadevne obdelave.

99Dejstvo, da je taka obdelava navedena v pogodbi ali da je zgolj koristna za njeno izvajanje, v zvezi s tem samo po sebi ni upoštevno. Odločilni element za uporabo utemeljitve iz člena 6(1), prvi pododstavek, točka (b), SUVP je namreč, da je obdelava osebnih podatkov, ki jo izvaja upravljavec, bistvena za pravilno izvajanje pogodbe, sklenjene med njim in posameznikom, na katerega se nanašajo osebni podatki, in da zato ni drugih praktičnih rešitev, ki bi manj posegale v pravice.

100V zvezi s tem je treba, kot je generalni pravobranilec navedel v točki 54 sklepnih predlogov, kadar pogodba zajema več storitev ali več ločenih elementov iste storitve, ki jih je mogoče izpolniti neodvisno drug od drugega, uporabo člena 6(1), prvi pododstavek, točka (b), SUVP presojati ločeno v okviru vsake od teh storitev.

101V obravnavanem primeru se predložitveno sodišče v okviru utemeljitev, ki lahko spadajo na področje uporabe te določbe, sklicuje na personalizacijo vsebin ter homogeno in nemoteno uporabo storitev skupine Meta kot elementa, katerih namen je zagotoviti ustrezno izvajanje pogodbe, sklenjene med družbo Meta Platforms Ireland in njenimi uporabniki.

102Prvič, v zvezi z utemeljitvijo, ki se nanaša na personalizacijo vsebin, je treba poudariti, da čeprav je taka personalizacija koristna za uporabnika, saj mu zlasti omogoča, da vidi vsebino, ki v veliki meri ustreza njegovim interesom, to ne spremeni dejstva – kar mora preveriti predložitveno sodišče – da ni razvidno, da bi bila personalizacija vsebin nujna za to, da se temu uporabniku ponudijo storitve spletnega družbenega omrežja. Te storitve se mu lahko po potrebi zagotovijo v obliki enakovredne alternative, ki ne vključuje take personalizacije, tako da ta ni objektivno nujna za cilj, ki je sestavni del teh storitev.

103Drugič, v zvezi z utemeljitvijo, ki se nanaša na homogeno in nemoteno uporabo storitev skupine Meta, je iz spisa, s katerim razpolaga Sodišče, razvidno, da se osebi ni treba prijaviti za različne storitve, ki jih ponuja skupina Meta, da bi lahko ustvarila uporabniški račun na družbenem omrežju Facebook. Različni produkti in storitve, ki jih ponuja ta skupina, se namreč lahko uporabljajo neodvisno drug od drugega, uporaba vsakega proizvoda ali storitve pa temelji na sklenitvi ločene pogodbe o uporabi.

104Zato kaže – kar mora preveriti predložitveno sodišče – da obdelava osebnih podatkov, ki izhajajo iz drugih storitev, kot je storitev spletnega družbenega omrežja, ki jih ponuja skupina Meta, ni potrebna za omogočanje opravljanja te zadnjenavedene storitve.

105Na drugem mestu, člen 6(1), prvi pododstavek, točka (f), SUVP določa, da je obdelava osebnih podatkov zakonita, če je „potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok“.

106Kot je Sodišče že razsodilo, ta določba predpisuje tri kumulativne pogoje za to, da so obdelave osebnih podatkov, na katere se nanaša, zakonite, in sicer, prvič, da si upravljavec ali tretja oseba prizadeva za zakoniti interes, drugič, da je obdelava osebnih podatkov potrebna za uresničitev zakonitega interesa, ki se mu sledi, in tretjič, da nad zakonitim interesom upravljavca ali tretje osebe ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (sodba z dne 17. junija 2021, M.I.C.M., C‑597/19 , EU:C:2021:492 , točka 106 in navedena sodna praksa).

107Prvič, v zvezi s pogojem glede prizadevanja za zakoniti interes je treba pojasniti, da mora upravljavec v skladu s členom 13(1)(d) SUVP, kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, tega posameznika obvestiti o zakonitih interesih, za uveljavljanje katerih si ta upravljavec prizadeva, če ta obdelava temelji na členu 6(1), prvi pododstavek, točka (f), te uredbe.

108Drugič, kar zadeva pogoj v zvezi z nujnostjo obdelave osebnih podatkov za uresničitev zakonitega interesa, za katerega se prizadeva, ta pogoj predložitvenemu sodišču nalaga, da preveri, da zakonitega interesa obdelave podatkov, ki se mu sledi, ni mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne svoboščine in pravice posameznikov, na katere se nanašajo osebni podatki, zlasti v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, zagotovljeni s členoma 7 in 8 Listine (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19 , EU:C:2021:504 , točka 110 in navedena sodna praksa).

109V tem okviru je treba tudi opozoriti, da je treba pogoj v zvezi s potrebo po obdelavi preučiti skupaj z načelom „najmanjšega obsega podatkov“ iz člena 5(1)(c) SUVP, v skladu s katerim morajo biti osebni podatki „ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo“ (glej v tem smislu sodbo z dne 11. decembra 2019, Asociația de Proprietari bloc M5A-ScaraA, C‑708/18 , EU:C:2019:1064 , točka 48 ).

110Tretjič, glede pogoja, da interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanaša varstvo podatkov, ne prevladajo nad zakonitim interesom upravljavca ali tretje osebe, je Sodišče že razsodilo, da ta pogoj pomeni tehtanje zadevnih nasprotujočih si pravic in interesov, ki je načeloma odvisno od konkretnih okoliščin posameznega primera, in da mora zato predložitveno sodišče to tehtanje opraviti ob upoštevanju teh specifičnih okoliščin (sodba z dne 17. junija 2021, M.I.C.M., C‑597/19 , EU:C:2021:492 , točka 111 in navedena sodna praksa).

111V zvezi s tem iz besedila člena 6(1), prvi pododstavek, točka (f), SUVP izhaja, da je treba v okviru takega tehtanja posebno pozornost nameniti položaju, v katerem je posameznik, na katerega se nanašajo osebni podatki, otrok. V skladu z uvodno izjavo 38 te uredbe si namreč otroci zaslužijo posebno varstvo v zvezi z obdelavo svojih osebnih podatkov, saj se morda manj zavedajo zadevnih tveganj, posledic in zaščitnih ukrepov ter svojih pravic v zvezi z tako obdelavo osebnih podatkov. Tako se mora tako posebno varstvo med drugim uporabljati za obdelavo osebnih podatkov otrok za namene trženja ali ustvarjanja osebnostnih profilov ali profilov uporabnika ali za ponujanje storitev, ki se neposredno nanašajo na otroke.

112Poleg tega, kot je razvidno iz uvodne izjave 47 SUVP, lahko interesi in temeljne pravice posameznika, na katerega se nanašajo osebni podatki, zlasti prevladajo nad interesom upravljavca, kadar se osebni podatki obdelujejo v okoliščinah, v katerih posamezniki, na katere se nanašajo osebni podatki, take obdelave razumno ne pričakujejo.

113V obravnavanem primeru se predložitveno sodišče v okviru utemeljitev, ki lahko spadajo na področje uporabe člena 6(1), prvi pododstavek, točka (f), SUVP, sklicuje na personalizacijo oglaševanja, varnost omrežja, izboljšanje proizvoda, obveščanje organov, pristojnih za kazenski pregon in izvrševanje kazni, dejstvo, da je uporabnik mladoleten, raziskave in inovacije za družbene namene ter ponudbe ‐ namenjene oglaševalcem in drugim poslovnim partnerjem ‐ storitev komercialne komunikacije, namenjene uporabniku, in analitičnih orodij, ki jim omogočajo oceno njihove uspešnosti.

114V zvezi s tem je treba najprej poudariti, da predlog za sprejetje predhodne odločbe ne vsebuje pojasnil, na podlagi katerih bi bilo mogoče razumeti, kako bi lahko raziskave in inovacije za družbene namene ali dejstvo, da je uporabnik mladoletnik, kot zakoniti interesi v smislu člena 6(1), prvi pododstavek, točka (f), SUVP upravičili zbiranje in uporabo zadevnih podatkov. Zato se Sodišče v zvezi s tem ne more izreči.

115Prvič, v zvezi s personalizacijo oglaševanja je treba poudariti, da se lahko v skladu z uvodno izjavo 47 te uredbe šteje, da je obdelava osebnih podatkov za namene trženja izvedena zaradi zakonitih interesov upravljavca.

116Vendar je potrebno tudi, da je taka obdelava potrebna za uresničitev tega interesa in da interesi ali temeljne svoboščine in pravice posameznika, na katerega se nanašajo osebni podatki, ne prevladajo nad navedenim interesom. V okviru tega tehtanja zadevnih nasprotujočih si pravic in interesov, in sicer pravic in interesov upravljavca na eni strani ter pravic in interesov posameznika, na katerega se nanašajo osebni podatki, na drugi strani, je treba upoštevati, kot je bilo navedeno v točki 112 te sodbe, zlasti razumna pričakovanja posameznika, na katerega se nanašajo osebni podatki, ter obseg zadevne obdelave in njen vpliv na tega posameznika.

117V zvezi s tem je treba poudariti, da kljub brezplačnosti storitev spletnega družbenega omrežja, kot je Facebook, uporabniku tega omrežja ni treba razumno pričakovati, da bo operater tega družbenega omrežja brez njegove privolitve obdelal njegove osebne podatke za namene personalizacije oglaševanja. V teh okoliščinah je treba šteti, da interesi in temeljne pravice takega uporabnika prevladajo nad interesom tega upravljavca za tako personalizacijo oglaševanja, s katerim financira svojo dejavnost, tako da obdelava, ki jo opravi v te namene, ne more spadati na področje uporabe člena 6(1), prvi pododstavek, točka (f), SUVP.

118Poleg tega je obdelava iz postopka v glavni stvari posebej široka, ker se nanaša na potencialno neomejene podatke in ker ima velik vpliv na uporabnika, čigar večino ali skoraj vse spletne dejavnosti spremlja družba Meta Platforms Ireland, kar lahko pri njem vzbudi občutek stalnega nadzora nad njegovo zasebnostjo.

119Drugič, cilj zagotavljanja varnosti omrežja je, kot je navedeno v uvodni izjavi 49 SUVP, zakoniti interes družbe Meta Platforms Ireland, ki lahko utemelji obdelavo iz postopka v glavni stvari.

120Vendar bo moralo predložitveno sodišče v zvezi s potrebo po tej obdelavi za uresničitev tega zakonitega interesa preveriti, ali in v kolikšni meri je obdelava osebnih podatkov, zbranih iz virov, ki niso del družbenega omrežja Facebook, dejansko potrebna za zagotovitev, da notranja varnost tega omrežja ni ogrožena.

121V tem okviru bo moralo, kot je bilo navedeno v točkah 108 in 109 te sodbe, preveriti tudi, prvič, ali zakonitega interesa obdelave podatkov, za katerega se prizadeva, ni mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, zlasti v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, zagotovljeni s členoma 7 in 8 Listine, in drugič, ali je spoštovano tako imenovano načelo „najmanjšega obsega podatkov“, določeno v členu 5(1)(c) SUVP.

122Tretjič, glede cilja izboljšanja proizvoda ni mogoče a priori izključiti, da lahko interes upravljavca, da izboljša svoj proizvod ali storitev, da bi ta postala učinkovitejša in tako privlačnejša, pomeni zakoniti interes, s katerim je mogoče utemeljiti obdelavo osebnih podatkov, in da je taka obdelava lahko potrebna za uresničevanje tega interesa.

123Vendar se, ob pridržku končne presoje, ki jo mora v zvezi s tem opraviti predložitveno sodišče, zdi dvomljivo, da lahko glede obdelave podatkov iz postopka v glavni stvari cilj izboljšanja proizvoda ob upoštevanju obsega te obdelave in njenega znatnega vpliva na uporabnika ter okoliščine, da ta uporabnik ne more razumno pričakovati, da bo družba Meta Platforms Ireland te podatke obdelovala, prevlada nad interesi in temeljnimi pravicami takega uporabnika, zlasti če je ta otrok.

124Četrtič, v zvezi s ciljem preprečevanja, odkrivanja in pregona kaznivih dejanj, ki ga navaja predložitveno sodišče in ki se nanaša na obveščanje organov, pristojnih za izvajanje kazenskega pregona in izvrševanje kazni, je treba ugotoviti, da ta cilj načeloma ne more pomeniti zakonitega interesa, za katerega si prizadeva upravljavec, v smislu člena 6(1), prvi pododstavek, točka (f), SUVP. Zasebni subjekt, kot je družba Meta Platforms Ireland, se namreč ne more sklicevati na tak zakoniti interes, ki ni povezan z njegovo gospodarsko in komercialno dejavnostjo. Navedeni cilj pa lahko utemelji obdelavo, ki jo izvaja tak upravljavec, kadar je ta obdelava objektivno potrebna za izpolnitev zakonske obveznosti, ki velja za tega upravljavca.

125Glede na vse navedeno je treba na tretje in četrto vprašanje odgovoriti, da je treba člen 6(1), prvi pododstavek, točka (b), SUVP razlagati tako, da se obdelava osebnih podatkov, ki jo izvaja operater spletnega družbenega omrežja ter ki zajema zbiranje podatkov uporabnikov takega omrežja, ki izhajajo iz drugih storitev skupine, ki ji pripada ta operater, ali ki izhajajo iz tega, da so ti uporabniki obiskali spletna mesta ali aplikacije tretjih, povezovanje teh podatkov z računom navedenih uporabnikov na družbenem omrežju in uporabo teh podatkov, lahko šteje za potrebno za izvajanje pogodbe, katere pogodbene stranke so posamezniki, na katere se nanašajo osebni podatki, v smislu te določbe le, če je ta obdelava objektivno nujna za uresničitev cilja, ki je sestavni del pogodbene dajatve, namenjene tem uporabnikom, tako da če te obdelave ni, glavnega predmeta pogodbe ni mogoče uresničiti.

126Člen 6(1), prvi pododstavek, točka (f), SUVP je treba razlagati tako, da je mogoče šteti, da je taka obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, v smislu te določbe le, če je navedeni operater uporabnikom, od katerih so bili podatki zbrani, navedel zakoniti interes, ki mu sledi obdelava teh podatkov, če se ta obdelava izvaja v mejah nujno potrebnega za uresničitev tega zakonitega interesa in če iz tehtanja nasprotujočih si interesov glede na vse upoštevne okoliščine izhaja, da interesi ali temeljne svoboščine in pravice teh uporabnikov ne prevladajo nad navedenim zakonitim interesom upravljavca ali tretje osebe.

Peto vprašanje

127Na prvem mestu, v delu, v katerem se to vprašanje nanaša na člen 6(1), prvi pododstavek, točki (c) in (e), SUVP, je treba opozoriti, da je v skladu s to točko (c) obdelava osebnih podatkov zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca. Poleg tega je v skladu s to točko (e) zakonita tudi obdelava, ki je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu.

128Člen 6(3) SUVP v zvezi s tema primeroma zakonitosti med drugim določa, da mora obdelava temeljiti na pravu Unije ali pravu države članice, ki velja za upravljavca, in da mora ta pravna podlaga izpolnjevati cilj javnega interesa in biti sorazmerna z zakonitim ciljem, za katerega si prizadeva.

129V obravnavanem primeru želi predložitveno sodišče izvedeti, ali je mogoče šteti, da je obdelava osebnih podatkov, kakršna je ta iz postopka v glavni stvari, utemeljena glede na člen 6(1), prvi pododstavek, točka (c), SUVP, kadar je njen namen „odgovor na pravno veljavno poizvedbo za predložitev nekaterih podatkov“, in glede na člen 6(1), prvi pododstavek, točka (e), te uredbe, kadar so njen predmet „raziskave v družbeno koristne namene“ in je njen namen „spodbujati zaščito, integriteto in varnost“.

130Vendar je treba ugotoviti, da to sodišče Sodišču ni predložilo elementov, ki bi mu omogočali, da se o tem konkretno izreče.

131Navedeno sodišče bo moralo torej ob upoštevanju pogojev, navedenih v točki 128 te sodbe, preveriti, ali je mogoče šteti, da je navedena obdelava utemeljena z navedenimi nameni.

132Natančneje, ob upoštevanju tega, kar je bilo navedeno v točki 124 te sodbe, bo moralo predložitveno sodišče za namene uporabe člena 6(1), prvi pododstavek, točka (c), SUVP preveriti, ali za družbo Meta Platforms Ireland velja zakonska obveznost preventivnega zbiranja in hrambe osebnih podatkov, da bi lahko odgovorila na vsako poizvedbo nacionalnega organa za pridobitev nekaterih podatkov o njenih uporabnikih.

133Prav tako bo moralo navedeno sodišče glede na člen 6(1), prvi pododstavek, točka (e), SUVP presoditi, ali je družbi Meta Platforms Ireland dodeljena naloga v javnem interesu ali pri izvajanju javne oblasti, zlasti zaradi zagotavljanja raziskav v družbeno koristne namene ter spodbujanja zaščite, integritete in varnosti, pri čemer je treba pojasniti, da se glede na naravo in predvsem gospodarsko in komercialno značilnost njene dejavnosti zdi malo verjetno, da bi bila temu zasebnemu subjektu dodeljena taka naloga.

134Poleg tega bo moralo predložitveno sodišče po potrebi preveriti, ali se ob upoštevanju obsega obdelave podatkov, ki jo izvaja družba Meta Platforms Ireland, in njenega znatnega vpliva na uporabnike družbenega omrežja Facebook ta obdelava izvaja v mejah tega, kar je nujno potrebno.

135Na drugem mestu, člen 6(1), prvi pododstavek, točka (d), SUVP določa, da je obdelava osebnih podatkov zakonita, kadar je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe.

136Kot je razvidno iz uvodne izjave 46 te uredbe, se ta določba nanaša na poseben položaj, v katerem je obdelava osebnih podatkov potrebna za zaščito interesa, ki je bistven za življenje posameznika, na katerega se nanašajo osebni podatki, ali za življenje druge fizične osebe. V zvezi s tem sta so tej uvodni izjavi kot primeri navedeni humanitarni nameni, kot je spremljanje epidemij in njihovega širjenja, ali izredne humanitarne razmere, kot so naravne nesreče in nesreče, ki jih povzroči človek.

137Iz teh primerov in iz ozke razlage, ki jo je treba uporabiti za člen 6(1), prvi pododstavek, točka (d), SUVP, izhaja, da se glede na naravo storitev, ki jih zagotavlja operater spletnega družbenega omrežja, tak operater, čigar dejavnost je v bistvu gospodarska in komercialna, ne more absolutno ter povsem abstraktno in preventivo sklicevati na varstvo interesa, ki je bistven za življenje njegovih uporabnikov ali druge osebe, da bi utemeljil zakonitost obdelave podatkov, kot je ta iz postopka v glavni stvari.

138Glede na navedeno je treba na peto vprašanje odgovoriti, da je treba člen 6(1), prvi pododstavek, točka (c), SUVP razlagati tako, da je obdelava osebnih podatkov, ki jo izvaja operater spletnega družbenega omrežja ter ki zajema zbiranje podatkov uporabnikov takega omrežja, ki izhajajo iz drugih storitev skupine, ki ji pripada ta operater, ali ki izhajajo iz tega, da so ti uporabniki obiskali spletna mesta ali aplikacije tretjih, povezovanje teh podatkov z računom navedenih uporabnikov na družbenem omrežju in uporabo teh podatkov, na podlagi te določbe upravičena, kadar je dejansko potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca, na podlagi določbe prava Unije ali prava zadevne države članice, če ta pravna podlaga izpolnjuje cilj javnega interesa in je sorazmerna z zakonitim ciljem, za katerega si prizadeva, in če se ta obdelava izvede v mejah tistega, kar je nujno potrebno.

139Člen 6(1), prvi pododstavek, točki (d) in (e), SUVP je treba razlagati tako, da za tako obdelavo osebnih podatkov načeloma in s pridržkom preverjanja, ki ga mora opraviti predložitveno sodišče, ni mogoče šteti, da je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe v smislu točke (d) ali za opravljanje naloge v javnem interesu oziroma pri izvajanju javne oblasti, dodeljene upravljavcu v smislu točke (e).

Šesto vprašanje

140Predložitveno sodišče s šestim vprašanjem v bistvu sprašuje, ali je treba člen 6(1), prvi pododstavek, točka (a), in člen 9(2)(a) SUVP razlagati tako, da je mogoče šteti, da privolitev, ki jo uporabnik spletnega družbenega omrežja da operaterju takega omrežja, izpolnjuje pogoje za veljavnost iz člena 4, točka 11, te uredbe, zlasti pogoj, da mora biti ta privolitev dana prostovoljno, če ima ta upravljavec prevladujoč položaj na trgu spletnih družbenih omrežij.

141Člen 6(1), prvi pododstavek, točka (a), in člen 9(2)(a) SUVP zahtevata privolitev posameznika, na katerega se nanašajo osebni podatki, za obdelavo njegovih osebnih podatkov za enega ali več določenih namenov oziroma za obdelavo posebnih vrst podatkov iz tega člena 9(1).

142V členu 4, točka 11, SUVP je pojem „privolitev“ opredeljen kot „vsaka prostovoljna, izrecna, informirana in nedvoumna izjava volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj“.

143Glede vprašanj predložitvenega sodišča je treba, na prvem mestu, opozoriti, da v skladu z uvodno izjavo 42 SUVP ni mogoče šteti, da je bila privolitev dana prostovoljno, če posameznik, na katerega se nanašajo osebni podatki, nima možnosti dejanske ali prostovoljne izbire ali privolitve ne more zavrniti oziroma preklicati brez škode.

144Na drugem mestu, v uvodni izjavi 43 te uredbe je navedeno, da za zagotovitev, da je privolitev dana prostovoljno, privolitev ne bi smela biti veljavna pravna podlaga za obdelavo osebnih podatkov, če obstaja očitno neravnotežje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem. V tej uvodni izjavi je tudi pojasnjeno, da se domneva, da privolitev ni dana prostovoljno, če ni mogoča ločena privolitev za različna dejanja obdelave osebnih podatkov, čeprav bi bila taka ločena privolitev v posameznem primeru ustrezna.

145Na tretjem mestu, člen 7(4) SUVP določa, da se pri ugotavljanju, ali je bila privolitev dana prostovoljno, med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe.

146Na šesto vprašanje je treba odgovoriti na podlagi teh preudarkov.

147V zvezi s tem je sicer treba ugotoviti, da okoliščina, da ima operater spletnega družbenega omrežja kot upravljavec prevladujoč položaj na trgu družbenih omrežij, kot taka ni ovira za to, da bi lahko uporabniki tega družbenega omrežja veljavno privolili v smislu člena 4, točka 11, SUVP v obdelavo svojih osebnih podatkov, ki jo izvaja ta operater.

148To pa ne spremeni dejstva, kot je generalni pravobranilec v bistvu navedel v točki 75 sklepnih predlogov, da je treba tako okoliščino upoštevati pri presoji veljavnosti in zlasti prostovoljnosti privolitve uporabnika navedenega omrežja, saj lahko vpliva na svobodno izbiro tega uporabnika, ki morda ne more zavrniti ali preklicati svoje privolitve, ne da bi utrpel škodo, kot je navedeno v uvodni izjavi 42 SUVP.

149Poleg tega lahko obstoj takega prevladujočega položaja povzroči očitno neravnotežje v smislu uvodne izjave 43 SUVP med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem, pri čemer to neravnotežje prispeva zlasti k naložitvi pogojev, ki niso nujno potrebni za izvajanje pogodbe, kar je treba upoštevati v skladu s členom 7(4) te uredbe. V tem okviru je treba opozoriti, kot je bilo navedeno v točkah od 102 do 104 te sodbe, da ni razvidno – s pridržkom preverjanj, ki jih mora opraviti predložitveno sodišče – da je obdelava iz postopka v glavni stvari nujno potrebna za izvajanje pogodbe med družbo Meta platforms Ireland in uporabniki družbenega omrežja Facebook.

150Tako morajo imeti ti uporabniki svobodo, da v okviru pogodbenega procesa posamično zavrnejo privolitev za specifična dejanja obdelave podatkov, ki niso potrebna za izvajanje pogodbe, ne da bi se morali v celoti odpovedati uporabi storitve, ki jo ponuja upravljavec spletnega družbenega omrežja, kar pomeni, da se navedenim uporabnikom po potrebi za ustrezno plačilo ponudi enakovredna alternativa, ki ni povezana s takimi dejanji obdelave podatkov.

151Poleg tega je ob upoštevanju obsega obdelave zadevnih podatkov in njenega znatnega vpliva na uporabnike tega omrežja ter okoliščine, da ti uporabniki ne morejo razumno pričakovati, da bo operater družbenega omrežja obdelal druge podatke od tistih, ki se nanašajo na njihovo obnašanje znotraj tega omrežja, v smislu te uvodne izjave 43 ustrezno, da se lahko poda ločena privolitev za obdelavo zadnjenavedenih podatkov na eni strani in podatkov off Facebook na drugi strani. Predložitveno sodišče mora preveriti obstoj take možnosti, če pa te ni, je treba domnevati, da privolitev navedenih uporabnikov v obdelavo podatkov off Facebook ni bila dana prostovoljno.

152Nazadnje je treba opozoriti, da mora v skladu s členom 7(1) SUVP v primerih, ko obdelava temelji na privolitvi, upravljavec dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo osebnih podatkov, ki se nanašajo nanj.

153Predložitveno sodišče bo moralo ob upoštevanju teh meril in podrobne preučitve vseh okoliščin obravnavane zadeve ugotoviti, ali so uporabniki družbenega omrežja Facebook veljavno in zlasti prostovoljno dali privolitev v obdelavo iz postopka v glavni stvari.

154Ob upoštevanju navedenega je treba na šesto vprašanje odgovoriti, da je treba člen 6(1), prvi pododstavek, točka (a), in člen 9(2)(a) SUVP razlagati tako, da okoliščina, da ima operater spletnega družbenega omrežja prevladujoč položaj na trgu spletnih družbenih omrežij, sama po sebi ni ovira za to, da lahko uporabniki takega omrežja podajo veljavno privolitev v smislu člena 4, točka 11, te uredbe za obdelavo svojih osebnih podatkov, ki jo izvede ta operater. Vendar je ta okoliščina pomemben dejavnik pri ugotavljanju, ali je bila privolitev dejansko podana veljavno in zlasti prostovoljno, kar mora dokazati navedeni operater.

Stroški

155Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (veliki senat) razsodilo:

• 1. Člen 51 in naslednje Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) ter člen 4(3) PEU

je treba razlagati tako, da

lahko organ države članice, pristojen za konkurenco, s pridržkom spoštovanja svoje obveznosti lojalnega sodelovanja z nadzornimi organi, v okviru preizkusa zlorabe prevladujočega položaja s strani podjetja v smislu člena 102 PDEU ugotovi, da splošni pogoji uporabe tega podjetja v zvezi z obdelavo osebnih podatkov in njihovo izvajanje niso v skladu s to uredbo, če je ta ugotovitev potrebna za ugotovitev obstoja take zlorabe.

Glede na to obveznost lojalnega sodelovanja nacionalni organ, pristojen za konkurenco, ne sme odstopati od odločitve pristojnega nacionalnega nadzornega organa ali pristojnega vodilnega nadzornega organa v zvezi s temi splošnimi pogoji ali podobnimi splošnimi pogoji. Kadar organ, pristojen za konkurenco, dvomi o obsegu take odločbe, kadar so navedeni pogoji ali podobni pogoji istočasno predmet preučitve teh organov ali tudi kadar organ, pristojen za konkurenco, ob tem, da ni preiskave ali odločbe navedenih organov, meni, da zadevni pogoji niso skladni z Uredbo 2016/679, se mora s temi nadzornimi organi posvetovati in zaprositi za njihovo sodelovanje, da odpravi svoje dvome ali ugotovi, ali je treba počakati, da ti sprejmejo odločbo, preden začne svojo presojo. Če ti organi temu ne ugovarjajo ali ne odgovorijo v razumnem roku, lahko nacionalni organ, pristojen za konkurenco, svojo preiskavo nadaljuje.

• 2. Člen 9(1) Uredbe 2016/679

je treba razlagati tako, da

če uporabnik spletnega družbenega omrežja obišče spletna mesta ali aplikacije v povezavi z eno ali več kategorijami iz te določbe, in po potrebi na teh spletnih mestih ali v te aplikacije vnese podatke tako, da se vpiše ali opravlja spletna naročila, je treba obdelavo osebnih podatkov, ki jo opravlja operater tega spletnega družbenega omrežja ter ki zajema zbiranje – prek integriranih vmesnikov, piškotkov ali podobnih tehnologij za zapisovanje – podatkov, ki izhajajo iz obiska teh spletnih mest in aplikacij, ter podatkov, ki jih je vnesel uporabnik, povezovanje vseh teh podatkov z računom tega uporabnika na družbenem omrežju in uporabo teh podatkov s strani tega operaterja, šteti za „obdelavo posebnih vrst osebnih podatkov“ v smislu te določbe, ki je načeloma prepovedana, razen v primeru odstopanj, določenih v tem členu 9(2), če ta obdelava omogoča razkrije informacij, ki spadajo v eno od teh kategorij, ne glede na to, ali se te informacije nanašajo na uporabnika tega omrežja ali na katerega koli drugega posameznika.

• 3. Člen 9(2)(e) Uredbe 2016/679

je treba razlagati tako, da

kadar uporabnik spletnega družbenega omrežja obišče spletna mesta ali aplikacije v povezavi z eno ali več kategorijami iz člena 9(1) te uredbe, podatkov v zvezi s tem obiskom, ki jih je operater tega spletnega družbenega omrežja zbral prek piškotkov ali podobnih tehnologij za zapisovanje, navedeni uporabnik ne objavi sam v smislu prve od teh določb.

Kadar uporabnik vnese podatke na taka spletna mesta ali v take aplikacije ali klikne na izbirna polja, ki so integrirana v ta spletna mesta ali aplikacije, kot so polja „všeč mi je“ ali „deli z drugimi“ oziroma polja, ki uporabniku omogočajo, da se na teh spletnih mestih ali v teh aplikacijah identificira z uporabo identifikatorjev povezave, povezanih z njegovim uporabniškim računom na družbenem omrežju, z njegovo telefonsko številko ali z njegovim elektronskim naslovom, tak uporabnik tako vnesene podatke ali podatke, ki izhajajo iz klika na ta polja, objavi sam v smislu tega člena 9(2)(e) le v primeru, da je predhodno izrecno izrazil svojo izbiro – po potrebi na podlagi individualnih nastavitev, uporabljenih ob celovitem poznavanju zadeve – da so podatki, ki se nanašajo nanj, javno dostopni neomejenemu številu oseb.

• 4. Člen 6(1), prvi pododstavek, točka (b), Uredbe 2016/679

je treba razlagati tako, da

se obdelava osebnih podatkov, ki jo izvaja operater spletnega družbenega omrežja ter ki zajema zbiranje podatkov uporabnikov takega omrežja, ki izhajajo iz drugih storitev skupine, ki ji pripada ta operater, ali ki izhajajo iz tega, da so ti uporabniki obiskali spletna mesta ali aplikacije tretjih, povezovanje teh podatkov z računom navedenih uporabnikov na družbenem omrežju in uporabo navedenih podatkov, lahko šteje za potrebno za izvajanje pogodbe, katere pogodbene stranke so posamezniki, na katere se nanašajo osebni podatki, v smislu te določbe le, če je ta obdelava objektivno nujna za uresničitev cilja, ki je sestavni del pogodbene dajatve, namenjene tem uporabnikom, tako da če te obdelave ni, glavnega predmeta pogodbe ni mogoče uresničiti.

• 5. Člen 6(1), prvi pododstavek, točka (f), Uredbe 2016/679

je treba razlagati tako, da

se obdelava osebnih podatkov, ki jo izvaja operater spletnega družbenega omrežja ter ki zajema zbiranje podatkov uporabnikov takega omrežja, ki izhajajo iz drugih storitev skupine, ki ji pripada ta operater, ali ki izhajajo iz tega, da so ti uporabniki obiskali spletna mesta ali aplikacije tretjih, povezovanje teh podatkov z računom navedenih uporabnikov na družbenem omrežju in uporabo teh podatkov, lahko šteje za potrebno zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, v smislu te določbe le, če je navedeni operater uporabnikom, od katerih so bili podatki zbrani, navedel zakoniti interes, ki mu sledi obdelava teh podatkov, če se ta obdelava izvaja v mejah nujno potrebnega za uresničitev tega zakonitega interesa in če iz tehtanja nasprotujočih si interesov glede na vse upoštevne okoliščine izhaja, da interesi ali temeljne svoboščine in pravice teh uporabnikov ne prevladajo nad navedenim zakonitim interesom upravljavca ali tretje osebe.

• 6. Člen 6(1), prvi pododstavek, točka (c), Uredbe 2016/679

je treba razlagati tako, da

je obdelava osebnih podatkov, ki jo izvaja operater spletnega družbenega omrežja ter ki zajema zbiranje podatkov uporabnikov takega omrežja, ki izhajajo iz drugih storitev skupine, ki ji pripada ta operater, ali ki izhajajo iz tega, da so ti uporabniki obiskali spletna mesta ali aplikacije tretjih, povezovanje teh podatkov z računom navedenih uporabnikov na družbenem omrežju in uporabo teh podatkov, na podlagi te določbe upravičena, kadar je dejansko potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca, na podlagi določbe prava Unije ali prava zadevne države članice, če ta pravna podlaga izpolnjuje cilj javnega interesa in je sorazmerna z zakonitim ciljem, za katerega si prizadeva, in če se ta obdelava izvede v mejah tistega, kar je nujno potrebno.

• 7. Člen 6(1), prvi pododstavek, točki (d) in (e), Uredbe št. 2016/679

je treba razlagati tako, da

za obdelavo osebnih podatkov, ki jo izvaja operater spletnega družbenega omrežja ter ki zajema zbiranje podatkov uporabnikov takega omrežja, ki izhajajo iz drugih storitev skupine, ki ji pripada ta operater, ali ki izhajajo iz tega, da so ti uporabniki obiskali spletna mesta ali aplikacije tretjih, povezovanje teh podatkov z računom navedenih uporabnikov na družbenem omrežju in uporabo teh podatkov, načeloma in s pridržkom preverjanja, ki ga mora opraviti predložitveno sodišče, ni mogoče šteti, da je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe v smislu točke (d) ali za opravljanje naloge v javnem interesu oziroma pri izvajanju javne oblasti, dodeljene upravljavcu v smislu točke (e).

• 8. Člen 6(1), prvi pododstavek, točka (a), in člen 9(2)(a) Uredbe 2016/679

je treba razlagati tako, da

okoliščina, da ima operater spletnega družbenega omrežja prevladujoč položaj na trgu spletnih družbenih omrežij, sama po sebi ni ovira za to, da lahko uporabniki takega omrežja podajo veljavno privolitev v smislu člena 4, točka 11, te uredbe za obdelavo svojih osebnih podatkov, ki jo izvede ta operater. Vendar je ta okoliščina pomemben dejavnik pri ugotavljanju, ali je bila privolitev dejansko podana veljavno in zlasti prostovoljno, kar mora dokazati navedeni operater.

Podpisi

(*1) Jezik postopka: nemščina.