Ennakkoratkaisupyyntö, jonka Oberlandesgericht Düsseldorf (Saksa) on esittänyt 22.4.2021 – Facebook Inc. ym. vastaan Bundeskartellamt
(Asia C-252/21)
Oikeudenkäyntikieli: saksa
Ennakkoratkaisua pyytänyt tuomioistuin
Oberlandesgericht Düsseldorf
Pääasian asianosaiset
Valittajat: Facebook Inc., Facebook Ireland Ltd ja Facebook Deutschland GmbH
Vastapuoli: Bundeskartellamt
Muu osapuoli: Verbraucherzentrale Bundesverband e.V.
Ennakkoratkaisukysymykset
a) Sopiiko yleisen tietosuoja-asetuksen1 51 artiklan ja sitä seuraavien artiklojen kanssa yhteen se, että Bundeskartellamtin kaltainen jäsenvaltion kansallinen kilpailuviranomainen, joka ei ole yleisen tietosuoja-asetuksen 51 artiklassa ja sitä seuraavissa artikloissa tarkoitettu valvontaviranomainen ja jonka jäsenvaltiossa Euroopan unionin ulkopuolelle sijoittautuneella yrityksellä on toimipaikka, joka tukee mainoksien, viestinnän ja julkisuustyön osalta yrityksen toisessa jäsenvaltiossa sijaitsevaa päätoimipaikkaa, joka on yksin rekisterinpitäjänä vastuussa henkilötietojen käsittelystä koko Euroopan unionin alueella, toteaa kilpailuoikeudellisen väärinkäyttöjen valvonnan yhteydessä, että päätoimipaikan henkilötietojen käsittelyä koskevilla sopimusehdoilla ja niiden soveltamisella rikotaan yleistä tietosuoja-asetusta, ja antaa päätöksen, jolla se määrää lopettamaan tämän rikkomisen?
b) Jos tähän kysymykseen vastataan myöntävästi: Sopiiko tämä yhteen SEU 4 artiklan 3 kohdan kanssa, jos päätoimipaikan sijoittautumisjäsenvaltion yleisen tietosuoja-asetuksen 56 artiklan 1 kohdassa tarkoitettu johtava valvontaviranomainen samaan aikaan tutkii päätoimipaikan henkilötietojen käsittelyä koskevia sopimusehtoja tutkimusmenettelyssä?
a) Onko silloin, kun internetin käyttäjä joko pelkästään avaa verkkosivuja tai sovelluksia, joilla on liittymä yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuihin kriteereihin, kuten esimerkiksi flirttailusovelluksia, homoseksuaaliseen seuranhakuun tarkoitettuja sovelluksia tai sivustoja, poliittisten puolueiden verkkosivuja tai terveyteen liittyviä sivustoja, tai myös syöttää tietoja näille verkkosivuille tai näihin sovelluksiin, esimerkiksi rekisteröitymällä tai tekemällä tilauksia, ja toinen, Facebook Irelandin kaltainen yritys kerää verkkosivuille tai sovelluksiin sisältyvien rajapintojen, kuten Facebook Business Toolsin, avulla tai internetin käyttäjän tietokoneelle tai mobiililaitteelle asennettujen evästeiden tai vastaavien tallennusteknologioiden avulla tiedot siitä, että internetkäyttäjä on avannut verkkosivun tai sovelluksen, ja siitä, mitä tietoja käyttäjä on sinne syöttänyt, yhdistää ne käyttäjän Facebook.com-tilin tietoihin ja käyttää niitä, tietojen keräämisessä ja/tai niiden yhdistämisessä ja/tai niiden käytössä kyse mainitussa säännöksessä tarkoitetusta arkaluonteisten henkilötietojen käsittelystä?
b) Jos tähän kysymykseen vastataan myöntävästi: Onko tällaisten verkkosivujen tai sovellusten avaamista ja/tai tietojen syöttämistä ja/tai verkkosivuille tai sovelluksiin sisältyvien Facebook Irelandin kaltaisen palveluntarjoajan painikkeiden (sosiaaliset liitännäiset ”tykkää” ja ”jaa” tai Facebook Login tai Account Kit) käyttämistä pidettävä yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan e alakohdassa tarkoitettuna käyttäjän suorittamana tietojen nimenomaisesti julkiseksi saattamisena siltä osin kuin on kyse verkkosivujen tai sovellusten avaamista koskevista tiedoista sellaisinaan tai käyttäjän syöttämistä tiedoista?
Voiko Facebook Irelandin kaltainen yritys, joka ylläpitää mainosrahoitteista, digitaalista sosiaalista verkostoa ja joka tarjoaa käyttöehdoissaan sisältöjen ja mainonnan personalisointia, verkoston turvallisuutta, tuotteiden parantamista ja kokonaisvaltaista ja saumatonta kaikkien konsernin tuotteiden käyttöä, vedota yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdassa tarkoitettuun oikeutusperusteeseen, joka koskee käsittelyn tarpeellisuutta sopimuksen täytäntöön panemiseksi, tai kyseisen asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitettuun oikeutusperusteeseen, joka koskee oikeutettujen etujen toteuttamista, kun yritys kerää mainittuja tarkoituksia varten tietoja muista konsernin palveluista ja kolmansien verkkosivuilta ja sovelluksista kyseisille sivuille tai sovelluksiin sisältyvien rajapintojen, kuten Facebook Business Toolsin, avulla tai internetin käyttäjän tietokoneelle tai mobiililaitteelle asennettujen evästeiden tai vastaavien tallennusteknologioiden avulla, yhdistää ne käyttäjän Facebook.com-tiliin ja käyttää tietoja?
Jos näin on, voidaanko myös
– sisältöjen ja mainonnan personalisoinnin, tuotteiden parantamisen, verkoston turvallisuuden ja muun kuin markkinointiin liittyvän käyttäjäviestinnän kannalta käyttäjän alaikäisyyttä,
– mittausten tietojen, analytiikan ja muiden yrityspalvelujen tarjoamista mainostaja-asiakkaille, kehittäjille ja muille yhteistyökumppaneille, jotta kyseiset toimijat voivat arvioida omia palvelujaan ja parantaa niitä,
– kuluttajaan kohdistuvan markkinointiviestinnän mahdollistamista, jotta yritys voi parantaa tuotteitaan ja harjoittaa suoramarkkinointia,
– sosiaalisin tarkoitusperin toteutettua tutkimusta tai innovaatioita, joiden tarkoituksena on tukea tekniikan kehitystä tai tieteellistä ymmärtämystä tärkeistä sosiaalisista teemoista ja vaikuttaa positiivisesti yhteiskuntaan ja maailmaan,
– tietojen antamista rikostutkinta- ja täytäntöönpanoviranomaisille ja vastaamista oikeudellisiin tiedusteluihin, jotta saadaan estettyä, paljastettua ja tutkittua rikoksia, luvatonta käyttöä, käyttöehtojen ja käytäntöjen rikkomisia ja muita haitallisia käyttäytymistapoja,
pitää yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitettuina oikeutettuina etuina, kun yritys kerää näitä tarkoituksia varten tietoja muista konsernin palveluista ja kolmansien verkkosivuilta ja sovelluksista kyseisille sivuille tai sovelluksiin sisältyvien rajapintojen, kuten Facebook Business Toolsin, avulla tai internetin käyttäjän tietokoneelle tai mobiililaitteelle asennettujen evästeiden tai vastaavien tallennusteknologioiden avulla, yhdistää ne käyttäjän Facebook.com-tiliin ja käyttää tietoja?
Jos näin on, voidaanko tietojen kerääminen muista konsernin palveluista ja kolmansien verkkosivuilta ja sovelluksista kyseisille sivuille tai sovelluksiin sisältyvien rajapintojen, kuten Facebook Business Toolsin, avulla tai internetin käyttäjän tietokoneelle tai mobiililaitteelle asennettujen evästeiden tai vastaavien tallennusteknologioiden avulla, tietojen yhdistäminen käyttäjän Facebook.com-tiliin ja tietojen käyttäminen tai jo muuten laillisesti kerättyjen ja yhdistettyjen tietojen käyttäminen oikeuttaa yksittäistapauksittain myös yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c, d tai e alakohdan nojalla, esimerkiksi vastauksen antamisella lailliseen tiettyjen tietojen luovuttamista koskevaan pyyntöön (c alakohta), haitallisen käyttäytymisen estämisellä ja turvallisuuden edistämisellä (d alakohta) tai yhteiskunnan etua edistävällä tutkimuksella tai suojelun, eheyden ja turvallisuuden varmistamisella (e alakohta)?
Voidaanko Facebook Irelandin kaltaiselle määräävässä markkina-asemassa olevalle yritykselle antaa pätevällä tavalla erityisesti yleisen tietoturva-asetuksen 4 artiklan 11 kohdassa tarkoitetulla tavalla vapaaehtoinen, kyseisen asetuksen 6 artiklan 1 kohdan a alakohdassa ja 9 artiklan 2 kohdan a alakohdassa tarkoitettu suostumus?
Jos ensimmäiseen kysymykseen vastataan kieltävästi:
a) Voiko Bundeskartellamtin kaltainen jäsenvaltion kansallinen kilpailuviranomainen, joka ei ole yleisen tietoturva-asetuksen 51 artiklassa ja sitä seuraavissa artikloissa tarkoitettu valvontaviranomainen ja joka tutkii kilpailuoikeudellisen väärinkäyttöä koskevan kiellon rikkomista, johon määräävässä markkina-asemassa oleva yritys on syyllistynyt ja joka ei liity siihen, että yrityksen henkilötietojen käsittelyä koskevilla sopimusehdoilla ja niiden soveltamisella rikottaisiin kyseisessä asetuksessa säädettyä, esimerkiksi intressipunninnan yhteydessä ottaa kantaa siihen, vastaavatko yrityksen henkilötietojen käsittelyä koskevat sopimusehdot ja niiden soveltaminen yleisessä tietosuoja-asetuksessa säädettyä?
b) Jos tähän kysymykseen vastataan myöntävästi: Kun otetaan huomioon SEU 4 artiklan 3 kohdassa määrätty, onko näin myös silloin, kun yleisen tietosuoja-asetuksen 56 artiklan 1 kohdassa tarkoitettu toimivaltainen johtava valvontaviranomainen samaan aikaan tutkii yrityksen henkilötietojen käsittelyä koskevia sopimusehtoja tutkimusmenettelyssä?
Jos seitsemänteen kysymykseen vastataan myöntävästi, on vastattava kolmanteen, neljänteen ja viidenteen kysymykseen siltä osin kuin on kyse tiedoista, jotka kerätään konsernin Instagram-palvelun käyttämisestä.
____________
1 Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1).