Cerere de decizie preliminară introdusă de Oberlandesgericht Düsseldorf (Germania) la 22 aprilie 2021 – Facebook Inc. și alții/Bundeskartellamt
(Cauza C-252/21)
Limba de procedură: germana
Instanța de trimitere
Oberlandesgericht Düsseldorf
Părțile din procedura principală
Reclamante: Facebook Inc., Facebook Ireland Ltd, Facebook Deutschland GmbH
Pârât: Bundeskartellamt
Cu participarea: Verbraucherzentrale Bundesverband e.V.
Întrebările preliminare
a) Este compatibil cu articolul 51 și următoarele din Regulamentul (UE) 2016/6791 (RGPD) faptul că o autoritate națională de concurență a unui stat membru, precum Bundeskartellamt (Oficiul Federal al Concurenței, Germania), care nu este o autoritate de supraveghere în sensul articolului 51 și următoarele din RGPD și în al cărei stat membru o întreprindere stabilită în afara Uniunii Europene deține o filială care furnizează filialei principale situate într-un alt stat membru a acestei întreprinderi – care este unica responsabilă pentru prelucrarea datelor cu caracter personal pentru întregul teritoriu al Uniunii Europene – servicii de sprijin în domeniul publicității, al comunicării și al relațiilor publice, constată, în cadrul supravegherii abuzurilor în materie de concurență, o încălcare a RGPD prin condițiile contractuale ale sediului principal privind prelucrarea datelor și prin punerea în aplicare a acestora și emite o decizie privind încetarea acestei încălcări?
b) În cazul unui răspuns afirmativ, acest lucru este compatibil cu articolul 4 alineatul (3) TUE dacă, în același timp, autoritatea principală de supraveghere din statul membru al filialei principale în sensul articolului 56 alineatul (1) din RGPD supune condițiile contractuale de prelucrare a datelor ale acestui sediu unei proceduri de anchetă?
În cazul unui răspuns afirmativ la întrebarea 1:
a) Atunci când un utilizator de internet fie doar consultă site-uri sau aplicați care au legătură cu criteriile prevăzute la articolul 9 alineatul (1) din RGPD, cum ar fi aplicații de flirt, site-uri de întâlniri pentru homosexuali, site-uri ale partidelor politice, site-uri de sănătate, fie introduce date pe aceste site-uri, cum ar fi cu ocazia înregistrării sau a comenzilor, iar o altă întreprindere precum Facebook Ireland colectează date referitoare la consultarea site-urilor și a aplicaților de către utilizator și pe cele introduse de acesta pe site-urile respective, prin intermediul interfețelor integrate în site-uri și în aplicații, precum „Instrumentele Facebook pentru afaceri” sau prin intermediul modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, asociază aceste date cu datele contului Facebook.com al utilizatorului și le utilizează în privința colectării și/sau a asocierii și/sau a utilizării, este vorba despre prelucrarea a unor date sensibile în sensul acestei dispoziții?
b) În cazul unui răspuns afirmativ, consultarea acestor site-uri și aplicații și/sau introducerea unor date și/sau acționarea butoanelor integrate în aceste site-uri sau aplicații („pluginuri sociale” precum „Îmi place”, „Distribuie” sau „Conectare Facebook” ori „Account Kit”) ale unui furnizor precum Facebook Ireland echivalează cu a face publice în mod manifest datele referitoare la consultare ca atare și/sau la datele introduse de utilizator în sensul articolului 9 alineatul (2) litera (e) din RGPD?
O întreprindere precum Facebook Ireland care exploatează o rețea socială digitală, finanțată din publicitate, care, în condițiile sale de utilizare, pune la dispoziție personalizarea conținuturilor și a publicității, securitatea rețelei, îmbunătățirea produselor și utilizarea coerentă și uniformă a tuturor produselor grupului, poate invoca justificarea întemeiată pe necesitatea executării contractului în conformitate cu articolul 6 alineatul (1) litera (b) din RGPD sau pe realizarea unor interese legitime în conformitate cu articolul 6 alineatul (1) litera (f) din RGPD atunci când, în aceste scopuri, întreprinderea respectivă colectează date din alte servicii ale grupului și de pe site-uri și aplicații terțe prin intermediul interfețelor integrate în acestea precum „Instrumentele Facebook pentru afaceri” sau al modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, le asociază cu contul Facebook.com al utilizatorului și le utilizează?
Într-o astfel de situație, pot constitui de asemenea interese legitime în sensul articolului 6 alineatul (1) litera (f):
– minoritatea utilizatorilor pentru personalizarea conținuturilor și a publicității, îmbunătățirea produselor, securitatea rețelei și comunicarea cu utilizatorul în alte scopuri decât cele legate de marketing,
– furnizarea de măsurători, de analize și de alte servicii pentru întreprinderi destinate clienților din domeniul publicității, dezvoltatorilor și altor parteneri pentru ca aceștia să își poată evalua și îmbunătăți prestațiile,
– furnizarea de comunicări de marketing către utilizator pentru a permite întreprinderii să își îmbunătățească produsele și să desfășoare marketing direct,
– cercetarea și inovarea în scopuri sociale, în vederea promovării evoluției tehnologiei sau a înțelegerii în mod științific a unor aspecte sociale importante și pentru a influența pozitiv societatea și lumea,
– informarea autorităților de aplicare a legii și de executare și răspunsul la cererile legale în vederea prevenirii, depistării și urmăririi penale a infracțiunilor, a utilizării ilicite, a încălcărilor condițiilor de utilizare și a politicilor întreprinderii, precum și a oricărui alt comportament prejudiciabil,
atunci când, în aceste scopuri, întreprinderea colectează date din alte servicii ale grupului și de pe site-uri și aplicații terțe prin intermediul interfețelor integrate în acestea precum „Instrumentele Facebook pentru afaceri” sau al modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, le asociază cu contul Facebook.com al utilizatorului și le utilizează?
Într-un astfel de caz, colectarea datelor provenite din alte servicii ale grupului și de pe site-uri și aplicații terțe prin intermediul interfețelor integrate în acestea precum „Instrumentele Facebook pentru afaceri” sau al modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, asocierea cu contul Facebook.com al utilizatorului și utilizarea acestor date sau utilizarea unor date colectate din altă parte și asociate în mod legal pot fi justificate într-un caz concret inclusiv în conformitate cu articolul 6 alineatul (1) literele (c), (d) și (e) din RGPD, de exemplu, pentru a răspunde unei cereri valabile din punct de vedere legal privind anumite date [litera (c)], pentru combaterea unui comportament prejudiciabil și pentru promovarea securității [litera (d)], pentru cercetarea în beneficiul societății și pentru promovarea protecției, a integrității și a securității [litera (e)]?
Poate fi exprimat un consimțământ valabil și în special liber în sensul articolului 4 punctul 11 din RGPD, în conformitate cu articolul 6 alineatul (1) litera (a) și cu articolul 9 alineatul (2) litera (a) din RGPD, față de o întreprindere dominantă precum Facebook Ireland?
În cazul unui răspuns negativ la întrebarea 1:
a) O autoritate națională de concurență a unui stat membru, precum Bundeskartellamt, care nu este o autoritate de supraveghere în sensul articolului 51 și următoarele din RGPD și care examinează o încălcare săvârșită de o întreprindere aflată în poziție dominantă a interdicției practicilor abuzive în temeiul dreptului concurenței, care nu constă într-o încălcare a RGPD prin condițiile sale de prelucrare a datelor și prin punerea în aplicare a acestora, se poate pronunța, de exemplu, în cadrul evaluării comparative a intereselor, cu privire la conformitatea cu RGPD a condițiilor de prelucrare a datelor întreprinderii respective și a punerii în aplicare a acestora?
b) În cazul unui răspuns afirmativ, acest aspect este valabil în raport cu articolul 4 alineatul (3) TUE inclusiv atunci când, în același timp, autoritatea de supraveghere principală, competentă în temeiul articolului 56 alineatul (1) din RGPD, supune condițiile de prelucrare a datelor ale acestei întreprinderi unei proceduri de anchetă?
În cazul unui răspuns afirmativ la întrebarea 7, este necesar să se răspundă la întrebările 3)-5) în ceea ce privește datele provenite din utilizarea serviciului Instagram al grupului.
____________
1 Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1).