GDPR допуска възможността и други органи при упражняване на тяхната собствена компетентност и правомощия инцидентно да отчитат съвместимостта на дадено поведение с разпоредбите на регламента
Съгласието, необходимо за инсталирането на бисквитки, не се отнася до обработването на чувствителни лични данни и не може да се приравни на желание тези данни да бъдат явно направени обществено достояние по смисъла на член 9, параграф 2, буква д) от ОРЗД, казва в заключението си генералният адвокат Атанасиос Рантос по дело C-252/21, свързано с Meta Platforms:
„Meta Platforms е собственик на онлайн социалната мрежа „Facebook“. Ползвателите на тази социална мрежа трябва да приемат условията за ползване на Facebook, които препращат към политиката за използване на данни и бисквитки (cookies), определена от Meta Platforms. По силата на същата Meta Platforms събира данни, произлизащи от други услуги на групата Meta Platforms, като Instagram и WhatsApp, както и от уебсайтове и приложения на трети лица, чрез интегрирани в тях интерфейси или чрез записани на компютъра или мобилното устройство на ползвателя бисквитки. Освен това Meta Platforms свързва тези данни с акаунта на съответния ползвател във Facebook, и ги използва в частност с рекламни цели.
Германският федерален орган за защита на конкуренцията забранява на Meta Platforms предвиденото в условията за ползване на Facebook обработване на данни, както и прилагането на тези условия, и ѝ налага мерки за преустановяване на тези действия. Всъщност този орган приема, че въпросното обработване на данни, което не е в съответствие с Общия регламент относно защитата на данните (GDPR, ОРЗД), представлява злоупотреба с господстващото положение на Meta Platforms на пазара на социални мрежи за частни ползватели в Германия.
Meta Platforms подава жалба срещу решението на горепосочения орган пред Върховен областен съд, Дюселдорф, който пита Съда дали националните органи за защита на конкуренцията имат право да преценяват съответствието на дадено обработване на данни с ОРЗД. Освен това германската юрисдикция поставя на Съда въпроси относно тълкуването и прилагането на някои разпоредби от ОРЗД.
В заключението си генералният адвокат Атанасиос Рантос, на първо място, приема, че макар орган за защита на конкуренцията да не е компетентен да установи нарушение на ОРЗД, той все пак може при упражняване на своята собствена компетентност да отчита съвместимостта на дадена търговска практика с ОРЗД. В това отношение генералният адвокат подчертава, че дали дадена практика е в съответствие с ОРЗД, като се вземат предвид всички обстоятелства по конкретния случай, може да представлява важна индиция, за да се установи дали тя представлява нарушение на правилата за конкуренция.
Същевременно генералният адвокат уточнява, че орган за защита на конкуренцията може да преценява спазването на ОРЗД само инцидентно и без да засяга правомощията на компетентния по силата на този регламент надзорен орган. Следователно органът за защита на конкуренцията трябва да взема предвид всяко решение или разследване на компетентния надзорен орган, да уведомява същия за всяка релевантна подробност и съответно, да се консултира с него.
На второ място, генералният адвокат е на мнение, че само по себе си обстоятелството, че предприятието, което е оператор на социална мрежа, има господстващо положение на националния пазар на онлайн социални мрежи за частни ползватели, не поставя под въпрос валидността на съгласието на ползвателя на тази мрежа за обработването на личните му данни. Това обстоятелство обаче има роля при преценката на свободното изразяване на съгласието, което администраторът на данни трябва да докаже.
На трето място, генералният адвокат счита, че спорната практика на Meta Platforms или някои от нейните елементи могат да попаднат в обхвата на обосновките, предвидени от ОРЗД за обработването на данни без съгласието на субекта на данните, при условие че разглежданите елементи на тази практика са действително необходими за предоставянето на свързаните с акаунта във Facebook услуги. Същевременно, според генералния адвокат, въпреки че персонализирането на съдържанието и на рекламата и хомогенното и безпроблемно използване на услугите на групата Meta Platforms, мрежовата сигурност или пък подобряването на продукта несъмнено могат да бъдат в интерес на ползвателя или на администратора на данни, тези елементи от спорната практика не изглеждат необходими за предоставянето на горепосочените услуги.
На четвърто място, генералният адвокат отбелязва, че забраната за обработване на чувствителни лични данни, свързани например с расовия или етническия произход, здравословното състояние или сексуалната ориентация на субекта на данните, може също да се отнася до обработването на спорните данни. Това е така, когато обработваната информация, разглеждана индивидуално или прегрупирана, позволява профилирането на ползвателя според чувствителните характеристики, визирани от ОРЗД.
В този контекст генералният адвокат подчертава, че за да може да се прави позоваване на изключението от тази забрана, отнасящо се до данните, които явно са направени обществено достояние от субекта на данните, ползвателят трябва да има пълното съзнание, че с изричен акт прави лични данни обществено достояние. Според генералния адвокат обаче поведение, изразяващо се в посещаване на уебсайтове и приложения, във въвеждането на данни в тези уебсайтове и приложения и в натискането на интегрирани в същите бутони за избор, по принцип не може да се приравни на поведение, което явно прави обществено достояние чувствителните лични данни на ползвателя.“
Преюдициалните въпроси — предмет на делото, са свързани с тълкуването на редица разпоредби от GDPR (ОРЗД) и се отнасят по същността си, първо, до правомощието на орган за защита на конкуренцията да установява и санкционира нарушение на правилата за обработването на лични данни и задълженията му за сътрудничество с водещия орган по смисъла на ОРЗД (първи и седми преюдициален въпрос), второ, до забраната за обработване на чувствителни лични данни и до условията за даване на съгласие за използването им (втори преюдициален въпрос), трето, до законосъобразността на обработването на лични данни в светлината на някои основания (трети, четвърти и пети преюдициален въпрос), и четвърто, валидността на съгласието за обработване на лични данни, дадено на предприятие в господстващо положение (шести преюдициален въпрос).
В Заключението се казва, че член 6, параграф 1, буква а) и член 9, параграф 2, буква а) от Регламент 2016/679 трябва да се тълкуват в смисъл, че:
само по себе си обстоятелството, че предприятието, което е оператор на онлайн социална мрежа, има господстващо положение на националния пазар на онлайн социални мрежи за частни ползватели, не може да лиши от валидност съгласието на ползвателя на тази мрежа за обработването на личните му данни по смисъла на член 4, точка 11 от този регламент. Това обстоятелство обаче има роля при преценката на свободното изразяване на съгласието по смисъла на тази разпоредба, което администраторът трябва да докаже, при необходимост — предвид наличието на явна неравнопоставеност в отношенията между субекта на данните и администратора, евентуалното задължение за предоставяне на съгласие за обработване на лични данни, различни от стриктно необходимите за предоставянето на съответните услуги, необходимостта съгласието да е конкретно изразено за всяка цел на обработване и необходимостта да се избегне оттеглянето на съгласието да причини вреда на ползвателя, оттеглил съгласието си.