Begäran om förhandsavgörande framställd av Oberlandesgericht Düsseldorf (Tyskland) den 22 april 2021 – Facebook Inc. m.fl. mot Bundeskartellamt
(Mål C-252/21)
Rättegångsspråk: tyska
Hänskjutande domstol
Oberlandesgericht Düsseldorf
Parter i det nationella målet
Klagande: Facebook Inc., Facebook Ireland Ltd, Facebook Deutschland GmbH
Motpart: Bundeskartellamt
Ytterligare part i målet: Verbraucherzentrale Bundesverband e.V.
Tolkningsfrågor
1. a) Är det förenligt med artikel 51 och följande artiklar GDPR1 att en nationell konkurrensmyndighet i en medlemsstat, såsom Bundeskartellamt (som inte är tillsynsmyndighet i den mening som avses i artikel 51 och följande artiklar GDPR), i samband med konkurrensrättslig tillsyn av missbruk av dominerande ställning, fastställer att avtalsvillkoren avseende behandlingen av personuppgifter för ett i en annan medlemsstat beläget huvudsakligt verksamhetsställe för ett företag som har hemvist utanför Europeiska unionen och tillämpningen av dessa villkor åsidosätter GDPR samt meddelar ett föreläggande om att överträdelsen ska upphöra, då det huvudsakliga verksamhetsstället är ensamt ansvarig för behandlingen av personuppgifter inom hela Europeiska unionen och företaget har ett verksamhetsställe i den förstnämnda medlemsstaten, vilket understödjer det huvudsakliga verksamhetsstället med marknadsföring, kommunikation och public relations?
b) Om denna fråga ska besvaras jakande: Är detta förenligt med artikel 4.3 FEU om det samtidigt pågår en utredning av det huvudsakliga verksamhetsställets avtalsvillkor avseende behandling av personuppgifter, som genomförs av den ansvariga tillsynsmyndigheten i den medlemsstat där det huvudsakliga verksamhetsstället är beläget i den mening som avses i artikel 56.1 GDPR?
Om fråga 1 ska besvaras jakande:
2. a) Om internetanvändare antingen endast går in på webbplatser eller appar som omfattas av kriterierna i artikel 9.1 GDPR – såsom flört-appar, dejtingsajter för homosexuella, politiska partiers webbplatser eller hälsorelaterade webbplatser – eller även lämnar uppgifter på dessa webbplatser eller appar, exempelvis genom att registrera sig eller göra beställningar, och ett annat företag, såsom Facebook Ireland, använder gränssnitt som är integrerade i dessa webbplatser eller appar, såsom Facebook Tools, eller webbkakor eller andra lagringstekniker som är inlagda på internetanvändarens dator eller mobilenhet, för att samla in uppgifter om besöken på dessa webbplatser eller appar och om de uppgifter som de lämnat där, och knyter samman dessa uppgifter med uppgifter från internetanvändarnas Facebookkonton, ska denna insamling och/eller sammanknytning och/eller användning anses utgöra behandling av känsliga uppgifter i den mening som avses i denna bestämmelse?
b) Om denna fråga ska besvaras jakande: Innebär användarens besök av dessa webbplatser och appar och/eller lämnande av uppgifter och/eller klickande på någon av de knappar som integrerats på webbplatserna och apparna av en tjänsteleverantör som Facebook Ireland (”sociala insticksprogram” som ”gilla”, ”dela” eller ”Facebook Login” och ”Account Kit”) att användaren har offentliggjort uppgifterna om besöket som sådant och/eller de inmatade uppgifterna på ett tydligt sätt, i den mening som avses i artikel 9.2 e GDPR?
3. Kan ett företag som Facebook Ireland, som driver ett reklamfinansierat digitalt socialt nätverk och som enligt sina användarvillkor erbjuder personaliserat innehåll, personaliserad reklam, nätverkssäkerhet, produktförbättring och kontinuerlig och sömlös användning av alla koncernens produkter, motivera att det, för detta ändamål, samlar in uppgifter från andra koncerntjänster och från tredje mans webbplatser och appar via gränssnitt som är integrerade i dessa, såsom ”Facebook Business Tools”, eller via webbkakor eller liknande lagringstekniker som är inlagda på på internetanvändarens dator eller mobilenhet, och att företaget använder uppgifterna och sammanknyter dem med användarens Facebookkonto, med hänvisning till att behandlingen av personuppgifter är laglig på den grunden att den är nödvändig för att fullgöra ett avtal i enlighet med artikel 6.1 b GDPR, eller att den är nödvändig för ändamål som rör berättigade intressen i enlighet med artikel 6.1 f GDPR?
4. Kan i ett sådant fall även
– den omständigheten att användaren är minderårig, med avseende på personaliseringen av innehåll och reklam, produktförbättring, nätverkssäkerhet och kommunikation med användaren som inte är relaterad till marknadsföring,
– tillhandahållande av mätningar, analyser och andra företagstjänster till annonsörer, utvecklare och andra partners, i syfte att de ska kunna utvärdera och förbättra sina tjänster,
– tillhandahållande av marknadsföringskommunikation till användaren för att företaget ska kunna förbättra sina produkter och bedriva direktmarknadsföring,
– samhällsnyttig forskning och innovation för att främja den tekniska utvecklingen och den vetenskapliga förståelsen av viktiga sociala frågor och för att påverka samhället och världen positivt,
– att dela information med brottsbekämpande myndigheter och besvara förelägganden för att förhindra, avslöja och bekämpa brott, otillåten användning, brott mot användarvillkor och policies och annat skadligt beteende,
utgöra berättigade intressen i den mening som avses i artikel 6.1 f GDPR, när företaget för dessa ändamål sammanknyter uppgifter från andra koncerntjänster och från tredje mans webbplatser och appar med användarens Facebookkonto, via integrerade gränssnitt, såsom ”Facebook Business Tools”, eller via webbkakor eller andra lagringstekniker som är inlagda på internetanvändarens dator eller mobilenehet, och använder uppgifterna?
5. Är det i ett sådant fall möjligt att i det enskilda fallet, med stöd av artikel 6.2 c, d och e GDPR, motivera att företaget samlar in uppgifter från andra koncerntjänster och från tredje mans webbplatser och appar via integrerade gränssnitt, såsom ”Facebook Business Tools”, eller via webbkakor eller andra lagringstekniker som är inlagda på internetanvändarens dator eller mobilenhet och använder uppgifterna och sammanknyter dem med användarens Facebookkonto, eller använder uppgifter som redan har samlats in och sammanknutits på annat lagligt sätt – exempelvis för att besvara en rättsligt giltig begäran avseende vissa uppgifter (led c), för att bekämpa skadligt beteende och främja säkerhet (led d), för samhällsnyttig forskning och för att främja trygghet, integritet och säkerhet (led e)?
6. Går det att lämna giltigt samtycke, i den mening som avses i artikel 6.1 a och 9.2 a GDPR, och i synnerhet frivilligt samtycke enligt artikel 4.11 GDPR, till ett företag med dominerande ställning, såsom Facebook Ireland?
Om fråga 1 ska besvaras nekande:
7. a) Får en nationell konkurrensmyndighet i en medlemsstat, såsom Bundeskartellamt (som inte är tillsynsmyndighet i den mening som avses i artikel 51 och följande artiklar GDPR), och som prövar ett dominerande företags överträdelse av det konkurrensrättsliga förbudet mot missbruk av denna ställning, vilken dock inte består i att företagets avtalsvillkor avseende behandling av personuppgifter och tillämpningen av dessa villkor strider mot GDPR, till exempel inom ramen för intresseavvägningen, fastställa att företagets avtalsvillkor avseende behandling av personuppgifter och deras genomförande strider mot GDPR?
b) Om denna fråga ska besvaras jakande: Gäller detta, mot bakgrund av artikel 4.3 FEU, även om det samtidigt pågår en utredning av företagets avtalsvillkor avseende behandling av personuppgifter som genomförs av den ansvariga tillsynsmyndigheten enligt artikel 56.1 GDPR?
Om fråga 7 ska besvaras jakande krävs ett svar på frågorna 3–5 med avseende på uppgifter som härrör från användningen av koncernens tjänst Instagram.
____________
1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).