Решението на Европейския съд по дело C-252/21 предизвика одобрителни реакции на EDPB и NOYB
Meta Platforms Ireland управлява социалната онлайн мрежа Facebook в Съюза. При регистрирането си във Facebook ползвателите му приемат общите условия, определени от това дружество, а оттам и политиките за използване на данни и бисквитки. Съгласно тези политики Meta Platforms Ireland събира данни за дейностите на ползвателите в и извън социалната мрежа и свързва тези данни с акаунтите на съответните ползватели във Facebook. Що се отнася до данните за дейностите извън тази мрежа, наричани също „данни off Facebook“, става дума, от една страна, за данните за посещения на уебсайтове и приложения на трети лица, и от друга, за данните за използването на други онлайн услуги, собственост на групата Meta (сред които са Instagram и WhatsApp). Така събраните данни дават възможност по-специално да се персонализират рекламните съобщения, предназначени за ползвателите на Facebook.
Германският федерален орган за защита на конкуренцията забранява по-специално да се обвързва в общите условия използването на социалната мрежа Facebook от частни ползватели, които живеят в Германия, с обработването на техните данни off Facebook и тези данни да се обработват без съгласието на въпросните ползватели. Този орган мотивира решението си с това, че тъй като не е съобразено с Общия регламент относно защитата на личните данни (GDPR)1, споменатото обработване представлява злоупотреба с господстващото положение на Meta Platforms Ireland на германския пазар на социални онлайн мрежи.
Сезиран с жалба срещу това решение, Висш областен съд Дюселдорф иска от Съда да изясни дали националните органи за защита на конкуренцията могат да проверят дали дадено обработване на данни е в съответствие с изискванията на GDPR. Освен това германският съд отправя до Съда въпроси за тълкуването и прилагането на някои разпоредби на GDPR спрямо обработването на данни от оператор на социална онлайн мрежа.
В днешното си решение Съдът отбелязва, че при разглеждането на злоупотреба с господстващо положение, извършена от дадено предприятие, може да се окаже необходимо органът за защита на конкуренцията на съответната държава членка да провери и дали поведението на това предприятие е в съответствие с правила, различни от правилата в областта на правото на конкуренция, като предвидените от GDPR правила. При все това, когато констатира наличието на нарушение на GDPR, националният орган за защита на конкуренцията не замества надзорните органи, създадени с този регламент. Всъщност преценката дали е спазен GDPR се извършва само за да се установи злоупотреба с господстващо положение и да се наложат мерки за преустановяването на тази злоупотреба съгласно правилата на правото в областта на конкуренция.
За да се гарантира съгласуваното прилагане на GDPR националните органи за защита на конкуренцията трябва да се съгласуват и да си сътрудничат лоялно с органите, които следят за спазването на този регламент. По-специално, когато счита, че е необходимо да разгледа поведението на дадено предприятие през призмата на GDPR, националният орган за защита на конкуренцията трябва да провери дали това поведение или сходно поведение вече е било предмет на решение на компетентния надзорен орган или пък на Съда. Ако е така, националният орган за защита на конкуренцията не може да дерогира това решение, но същевременно има свободата да направи собствените си изводи от гледна точка на прилагането на правото на конкуренция.
Съдът също така отбелязва, че извършваното от Meta Platforms Ireland обработване изглежда обхваща и специални категории лични данни, които наред с останалото могат да разкрият расов или етнически произход, политически възгледи, религиозни убеждения или сексуална ориентация и обработването на които поначало е забранено от GDPR. Ето защо националният съд следва да прецени дали някои от събраните данни реално позволяват разкриването на такава информация, независимо дали тази информация се отнася до ползвател на тази социална мрежа или до друго физическо лице.
По отношение на въпроса дали обработването на такива т.нар. „чувствителни“ данни по изключение е разрешено поради факта, че субектът на данни явно ги направил обществено достояние, Съдът отбелязва, че сам по себе си фактът, че даден ползвател посещава уебсайтове или приложения, които могат да разкрият такава информация, изобщо не означава, че той явно прави обществено достояние данните си, по смисъла на GDPR. Освен това, същото важи когато даден ползвател въвежда данни в такива сайтове или приложения или пък натиска вградени там бутони, освен ако изрично е изразил предварително решението си да направи свързаните с него данни публично достъпни за неограничен брой лица.
Що се отнася до извършваното от Meta Platforms Ireland обработване в по-широк смисъл, включително на „нечувствителните“ данни, Съдът по-нататък проверява дали това обработване попада в обхвата на основанията, предвидени от GDPR, които могат да направят законосъобразно обработването на данни, извършено без съгласието на субекта на данни. В тази насока той приема, че необходимостта за изпълнението на договор, по който субектът на данни е страна, обосновава спорната практика само ако обработването на данни обективно е толкова необходимо, че основната цел на договора не би могла да бъде постигната без него. Без да се засяга проверката, която трябва да бъде извършена от националния съд, Съдът изразява съмнение, че е възможно персонализирането на съдържание или хомогенното и безпроблемно използване на услугите на групата Meta да отговарят на тези критерии. Освен това според Съда персонализирането на рекламата, с която се финансира социалната онлайн мрежа Facebook, няма как като легитимен интерес, преследван от Meta Platforms Ireland, да обоснове разглежданото обработване на данни, доколкото липсва съгласие на субекта на данни.
Накрая, Съдът отбелязва, че обстоятелството, че в качеството си на администратор операторът на социална онлайн мрежа има господстващо положение на пазара на социалните мрежи, само по себе си не изключва възможността ползвателите на тази мрежа да дадат валидно съгласие, по смисъла на GDPR, за извършваното от този оператор обработване на личните им данни. Доколкото обаче такова положение може да засегне свободата на избор на тези ползватели и да доведе до очевидна неравнопоставеност между тях и администратора, то е важен фактор за преценката дали съгласието действително е било дадено валидно, и по-специално свободно. Този оператор носи тежестта за доказване.
1 Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1).
Реакции в Twitter
EDPB: съдът потвърди нашата позиция, че администраторите на лични данни могат да разчитат само на договор като правно основание за обработка, която е обективно необходима за изпълнение на договора
NOYB: съдът затвори вратичките, които адвокатите на Meta се опитваха да използват последните 5 години
