Žádost o rozhodnutí o předběžné otázce podaná Oberlandesgericht Düsseldorf (Německo) dne 22. dubna 2021 – Facebook Inc. a další v. Bundeskartellamt
(Věc C-252/21)
Jednací jazyk: němčina
Předkládající soud
Oberlandesgericht Düsseldorf
Účastníci původního řízení
Stěžovatelky: Facebook Inc., Facebook Ireland Ltd, Facebook Deutschland GmbH
Odpůrce: Bundeskartellamt
Vedlejší účastník: Verbraucherzentrale Bundesverband e.V
Předběžné otázky
a) Je slučitelné s článkem 51 a násl. nařízení (EU) 2016/6791 (GDPR), pokud vnitrostátní orgán členského státu pro hospodářskou soutěž, jako je Bundeskartellamt (Spolkový úřad pro hospodářskou soutěž, Německo), který není dozorovým úřadem ve smyslu článku 51 a násl. GDPR a v jehož členském státě má podnik usazený mimo Evropskou unii provozovnu, která hlavní provozovně tohoto podniku, která se nachází v jiném členském státě a nese výlučnou odpovědnost za zpracování osobních údajů na celém území Evropské unie, poskytuje podporu v oblasti reklamy, komunikace a styku s veřejností, pro účely výkonu dohledu nad zneužíváním dominantního postavení podle soutěžního práva konstatuje, že smluvní podmínky hlavní provozovny týkající se zpracování údajů a jejich uplatňování porušují GDPR, a vydá rozhodnutí směřující k ukončení tohoto porušování?
b) V případě kladné odpovědi: Je to slučitelné s čl. 4 odst. 3 SEU, pokud vedoucí dozorový úřad v členském státě hlavní provozovny ve smyslu čl. 56 odst. 1 GDPR zároveň provádí šetření ohledně jejích smluvních podmínek týkajících se zpracování údajů?
V případě kladné odpovědi na první otázku:
a) Jedná se tehdy, jestliže uživatel internetu buď pouze zobrazí internetové stránky nebo aplikace, které mají vztah ke kritériím uvedeným v čl. 9 odst. 1 GDPR, jako například Flirting Apps, seznamovací služby pro gaye, internetové stránky politických stran, internetové stránky týkající se zdraví, nebo tam rovněž zadá data, například při registraci nebo objednávání, a jiný podnik, jako je společnost Facebook Ireland, prostřednictvím rozhraní, která jsou vložena do daných internetových stránek a aplikací, jako jsou „Facebook Business Tools“, nebo prostřednictvím cookies uložených do počítače nebo mobilního koncového zařízení uživatele internetu nebo podobných technologií ukládání dat shromažďuje údaje o zobrazení internetových stránek a aplikací ze strany uživatele a o tom, co tam uživatel zadal, propojuje je s údaji o účtu uživatele na stránkách facebook.com a využívá je, v případě daného shromažďování nebo propojování nebo využívání o zpracování citlivých údajů ve smyslu uvedeného ustanovení?
b) V případě kladné odpovědi: Představuje zobrazení těchto internetových stránek nebo zadání dat nebo stisknutí tlačítek poskytovatele, jako je společnost Facebook Ireland, která jsou vložena do těchto internetových stránek nebo aplikací („sociální moduly“ jako „To se mi líbí“, „Sdílet“ nebo „Facebook Login“ či „Account Kit“) zjevné zveřejnění údajů o zobrazení jako takovém nebo o zadání dat ze strany uživatele ve smyslu čl. 9 odst. 2 písm. e) GDPR?
Může se podnik, jako je společnost Facebook Ireland, který provozuje digitální sociální síť financovanou prostřednictvím reklamy a ve svých podmínkách používání služby nabízí personalizaci obsahů a reklamy, zabezpečení sítě, zlepšování produktů a konzistentní a plynulé používání veškerých produktů patřících koncernu, jehož je součástí, dovolávat právního důvodu zpracování spočívajícího v nezbytnosti pro splnění smlouvy podle čl. 6 odst. 1 písm. b) GDPR nebo týkajícího se zpracování pro účely oprávněných zájmů podle čl. 6 odst. 1 písm. f) GDPR, pokud pro tyto účely shromažďuje údaje získané v souvislosti s jinými službami patřícími koncernu, a z internetových stránek a aplikací třetích stran, a to prostřednictvím rozhraní, která jsou v nich vložena, jako jsou „Facebook Business Tools“, nebo prostřednictvím cookies uložených do počítače nebo mobilního koncového zařízení uživatele internetu či podobné technologie ukládání dat, propojuje je s účtem uživatele na stránkách facebook.com a využívá je?
Mohou v takovém případě i
– nezletilost uživatelů v případě personalizace obsahů a reklam, zlepšování produktů, zabezpečení sítě a jiné než marketingové komunikace s uživatelem,
– poskytování měření, analýz a dalších služeb pro firmy inzerentům, vývojářům a dalším partnerům, aby mohli vyhodnocovat a zlepšovat svou efektivitu,
– poskytování marketingové komunikace s uživatelem, aby podnik mohl zlepšovat své produkty a provádět přímý marketing,
– společensky prospěšný výzkum a inovace za účelem zlepšování stavu techniky, resp. vědeckého pochopení důležitých společenských témat a za účelem pozitivního ovlivňování společnosti a světa,
– informování bezpečnostních složek a odpovědi na právní žádosti za účelem prevence, odhalování a stíhání trestných činů, neoprávněného používání produktů, porušování podmínek používání služby a zásad a dalšího škodlivého jednání
být oprávněnými zájmy ve smyslu čl. 6 odst. 1 písm. f) GDPR, pokud podnik pro tyto účely shromažďuje údaje získané v souvislosti s jinými službami patřícími koncernu, jehož je součástí, a z internetových stránek a aplikací třetích stran prostřednictvím rozhraní, která jsou do nich vložena, jako jsou „Facebook Business Tools“, nebo prostřednictvím cookies uložených do počítače nebo mobilního koncového zařízení uživatele internetu nebo podobných technologií ukládání dat, propojuje je s účtem uživatele na stránkách facebook.com a využívá je?
Může být v takovém případě shromažďování údajů získaných v souvislosti s jinými službami patřícími koncernu a z internetových stránek a aplikací třetích stran prostřednictvím rozhraní, která jsou do nich vložena, jako jsou například „Facebook Business Tools“, nebo prostřednictvím cookies uložených do počítače nebo mobilního koncového zařízení uživatele internetu nebo podobných technologií ukládání dat, [jejich] propojování s účtem uživatele na stránkách facebook.com a využívání nebo využívání údajů, které již byly zákonně shromážděny a propojeny jiným způsobem, v konkrétních případech ospravedlněno rovněž na základě čl. 6 odst. 1 písm. c), d) a e) GDPR, například za účelem odpovědi na právoplatnou žádost o poskytnutí určitých údajů [písmeno c)], potírání škodlivého chování a zvyšování bezpečnosti [písmeno d)], výzkumu prováděného pro blaho společnosti a za účelem podpory bezpečnosti, integrity a zabezpečení [písmeno e)]?
Lze ve vztahu k podniku v dominantním postavení, jako je společnost Facebook Ireland, vyjádřit souhlas ve smyslu čl. 6 odst. 1 písm. a) a čl. 9 odst. 2 písm. a) GDPR, který je platný a zejména svobodný ve smyslu čl. 4 bodu 11 GDPR?
V případě záporné odpovědi na první otázku:
a) Může vnitrostátní orgán členského státu pro hospodářskou soutěž, jako je Spolkový úřad pro hospodářskou soutěž, který není dozorovým úřadem ve smyslu článku 51 a násl. GDPR a který prověřuje porušení zákazu zneužití stanoveného soutěžním právem ze strany podniku v dominantním postavení, které nespočívá v tom, že jeho podmínky zpracování údajů a jejich uplatňování porušují GDPR, například v rámci zvážení zájmů určit, zda jsou podmínky zpracování údajů tohoto podniku a jejich uplatňování v souladu s GDPR?
b) V případě kladné odpovědi: Je tomu tak s ohledem na čl. 4 odst. 3 SEU i v případě, že vedoucí dozorový úřad, který je příslušný podle čl. 56 odst. 1 GDPR, zároveň provádí šetření ohledně podmínek tohoto podniku pro zpracování údajů?
V případě kladné odpovědi na sedmou otázku je třeba zodpovědět třetí až pátou otázku ve vztahu k údajům získaným v souvislosti s používáním služby Instagram, která patří koncernu.
____________
1 Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1).