ARREST VAN HET HOF (Grote kamer)
4 juli 2023 (*)
Inhoud
Toepasselijke bepalingen
Unierecht
Verordening nr. 1/2003
AVG
Duits recht
Hoofdgeding en prejudiciële vragen
Beantwoording van de prejudiciële vragen
Eerste en zevende vraag
Tweede vraag
Tweede vraag, onder a)
Tweede vraag, onder b)
Derde tot en met vijfde prejudiciële vraag
Opmerkingen vooraf
Derde en vierde vraag
Vijfde vraag
Zesde vraag
Kosten
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Online sociale netwerken – Misbruik van machtspositie door de exploitant van een dergelijk netwerk – Misbruik bestaande in de verwerking van persoonsgegevens van de gebruikers van dat netwerk, in welke verwerking is voorzien in de algemene gebruiksvoorwaarden van dat netwerk – Bevoegdheid van een mededingingsautoriteit van een lidstaat om vast te stellen dat deze verwerking niet in overeenstemming is met die verordening – Verhouding tot de bevoegdheden van de nationale autoriteiten die belast zijn met het toezicht op de bescherming van persoonsgegevens – Artikel 4, lid 3, VEU – Beginsel van loyale samenwerking – Artikel 6, lid 1, eerste alinea, onder a) tot en met f), van verordening 2016/679 – Rechtmatigheid van de verwerking – Artikel 9, leden 1 en 2 – Verwerking van bijzondere categorieën van persoonsgegevens – Artikel 4, punt 11 – Begrip ‚toestemming’”
In zaak C‑252/21,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Oberlandesgericht Düsseldorf (hoogste rechterlijke instantie van de deelstaat Noordrijn-Westfalen, Düsseldorf, Duitsland) bij beslissing van 24 maart 2021, ingekomen bij het Hof op 22 april 2021, in de procedure
Meta Platforms Inc., voorheen Facebook Inc.,
Meta Platforms Ireland Ltd, voorheen Facebook Ireland Ltd,
Facebook Deutschland GmbH
tegen
Bundeskartellamt,
in tegenwoordigheid van:
Verbraucherzentrale Bundesverband eV,
wijst
HET HOF (Grote kamer),
samengesteld als volgt: K. Lenaerts, president, L. Bay Larsen, vicepresident, A. Prechal, K. Jürimäe, C. Lycourgos, M. Safjan, L. S. Rossi (rapporteur), D. Gratsias en M. L. Arastey Sahún, kamerpresidenten, J.‑C. Bonichot, S. Rodin, F. Biltgen, M. Gavalec, Z. Csehi en O. Spineanu-Matei, rechters,
advocaat-generaal: A. Rantos,
griffier: D. Dittert, hoofd van een administratieve eenheid,
gezien de stukken en na de terechtzitting op 10 mei 2022,
gelet op de opmerkingen van:
– Meta Platforms Inc., voorheen Facebook Inc., Meta Platforms Ireland Ltd, voorheen Facebook Ireland Ltd, en Facebook Deutschland GmbH, vertegenwoordigd door M. Braun, M. Esser, L. Hesse, J. Höft en H.‑G. Kamann, Rechtsanwälte,
– het Bundeskartellamt, vertegenwoordigd door J. Nothdurft, K. Ost, I. Sewczyk en J. Topel als gemachtigden,
– Verbraucherzentrale Bundesverband eV, vertegenwoordigd door S. Louven, Rechtsanwalt,
– de Duitse regering, vertegenwoordigd door J. Möller en P.‑L. Krüger als gemachtigden,
– de Tsjechische regering, vertegenwoordigd door M. Smolek en J. Vláčil als gemachtigden,
– de Italiaanse regering, vertegenwoordigd door G. Palmieri als gemachtigde, bijgestaan door E. De Bonis en P. Gentili, avvocati dello Stato,
– de Oostenrijkse regering, vertegenwoordigd door A. Posch, J. Schmoll en G. Kunnert als gemachtigden,
– de Europese Commissie, vertegenwoordigd door F. Erlbacher, H. Kranenborg en G. Meessen als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 20 september 2022,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 4, lid 3, VEU alsook artikel 6, lid 1, artikel 9, leden 1 en 2, artikel 51, lid 1, en artikel 56, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
2 Dit verzoek is ingediend in het kader van een geding tussen Meta Platforms Inc., voorheen Facebook Inc., Meta Platforms Ireland Ltd, voorheen Facebook Ireland Ltd, en Facebook Deutschland GmbH, enerzijds, en het Bundeskartellamt (federale mededingingsautoriteit, Duitsland), anderzijds, over het verbod dat die autoriteit aan deze ondernemingen heeft opgelegd om, zoals bepaald in de algemene voorwaarden van het online sociale netwerk Facebook (hierna: „algemene voorwaarden”), een aantal persoonsgegevens te verwerken.
Toepasselijke bepalingen
Unierecht
Verordening nr. 1/2003
3 Artikel 5 van verordening (EG) nr. 1/2003 van de Raad van 16 december 2002 betreffende de uitvoering van de mededingingsregels van de artikelen [101 en 102 VWEU] (PB 2003, L 1, blz. 1), met als opschrift „Bevoegdheid van de mededingingsautoriteiten van de lidstaten”, bepaalt:
„De mededingingsautoriteiten van de lidstaten zijn in individuele gevallen bevoegd tot toepassing van de artikelen [101 en 102 VWEU]. Zij kunnen te dien einde, ambtshalve of naar aanleiding van een klacht, de volgende besluiten nemen:
– de beëindiging van een inbreuk bevelen;
– voorlopige maatregelen opleggen;
– toezeggingen aanvaarden;
– geldboeten, dwangsommen of overeenkomstig hun nationaal recht andere sancties opleggen.
Wanneer op grond van de inlichtingen waarover zij beschikken niet aan de voorwaarden voor een verbod is voldaan, kunnen zij ook beslissen dat er voor hen geen reden bestaat om op te treden.”
AVG
4 De overwegingen 1, 4, 38, 42, 43, 46, 47, 49 en 51 AVG luiden:
„(1) De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (het ‚Handvest’) en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van zijn persoonsgegevens.
[...]
(4) De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid.
[...]
(38) Kinderen hebben met betrekking tot hun persoonsgegevens recht op specifieke bescherming, aangezien zij zich allicht minder bewust zijn van de betrokken risico’s, gevolgen en waarborgen en van hun rechten in verband met de verwerking van persoonsgegevens. Die specifieke bescherming moet met name gelden voor het gebruik van persoonsgegevens van kinderen voor marketingdoeleinden of voor het opstellen van persoonlijkheids- of gebruikersprofielen en het verzamelen van persoonsgegevens over kinderen bij het gebruik van rechtstreeks aan kinderen verstrekte diensten. In de context van preventieve of adviesdiensten die rechtstreeks aan een kind worden aangeboden, is de toestemming van de persoon die de ouderlijke verantwoordelijkheid draagt, niet vereist.
[...]
(42) Indien de verwerking plaatsvindt op grond van toestemming van de betrokkene, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking. [...] Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene ten minste bekend zijn met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens. Toestemming mag niet worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.
(43) Om ervoor te zorgen dat toestemming vrijelijk wordt verleend, mag toestemming geen geldige rechtsgrond zijn voor de verwerking van persoonsgegevens in een specifiek geval wanneer er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, met name wanneer de verwerkingsverantwoordelijke een overheidsinstantie is, en dit het onwaarschijnlijk maakt dat de toestemming in alle omstandigheden van die specifieke situatie vrijelijk is verleend. De toestemming wordt geacht niet vrijelijk te zijn verleend indien geen afzonderlijke toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen ondanks het feit dat dit in het individuele geval passend is, of indien de uitvoering van een overeenkomst, daaronder begrepen het verlenen van een dienst, afhankelijk is van de toestemming ondanks het feit dat dergelijke toestemming niet noodzakelijk is voor die uitvoering.
[...]
(46) De verwerking van persoonsgegevens dient ook als rechtmatig te worden beschouwd indien zij noodzakelijk is voor de bescherming van een belang dat voor het leven van de betrokkene of dat van een andere natuurlijke persoon essentieel is. Verwerking van persoonsgegevens op grond van het vitale belang voor een andere natuurlijke persoon is in beginsel alleen toegestaan indien de verwerking kennelijk niet op een andere rechtsgrond kan worden gebaseerd. Sommige typen persoonsgegevensverwerking kunnen zowel gewichtige redenen van algemeen belang als de vitale belangen van de betrokkene dienen, bijvoorbeeld wanneer de verwerking noodzakelijk is voor humanitaire doeleinden, onder meer voor het monitoren van een epidemie en de verspreiding daarvan of in humanitaire noodsituaties, met name bij natuurrampen of door de mens veroorzaakte rampen.
(47) De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, [kunnen] een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. [...] In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen verdere verwerking verwachten. [...] De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie.
[...]
(49) De verwerking van persoonsgegevens voor zover die strikt noodzakelijk en evenredig is met het oog op netwerk- en informatiebeveiliging, d.w.z. dat een netwerk of informatiesysteem op een bepaald vertrouwelijkheidsniveau bestand is tegen incidentele gebeurtenissen of onrechtmatige of kwaadaardige acties die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van opgeslagen of doorgegeven persoonsgegevens in het gedrang brengen, en de beveiliging van de daarmee verband houdende diensten die door deze netwerken en systemen worden geboden of via deze toegankelijk zijn, [...] vormt een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie.
[...]
(51) Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden, verdienen specifieke bescherming aangezien de context van de verwerking ervan significante risico’s kan meebrengen voor de grondrechten en de fundamentele vrijheden. Die persoonsgegevens dienen ook persoonsgegevens te omvatten waaruit ras of etnische afkomst blijkt, waarbij het gebruik van de term ‚ras’ in deze verordening niet impliceert dat de [Europese] Unie theorieën aanvaardt die erop gericht zijn vast te stellen dat er verschillende menselijke rassen bestaan. De verwerking van foto’s mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens, aangezien foto’s alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maken. Dergelijke persoonsgegevens mogen niet worden verwerkt, tenzij de verwerking is toegestaan in in deze verordening vermelde specifieke gevallen, rekening houdend met het feit dat in de wetgeving van de lidstaten specifieke bepalingen inzake gegevensbescherming kunnen worden opgenomen teneinde de toepassing van de regels van deze verordening aan te passen met het oog op de vervulling van een wettelijke verplichting of met het oog op de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Naast de specifieke voorschriften voor die verwerking dienen de algemene beginselen en andere regels van deze verordening te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking. Er moet onder meer uitdrukkelijk in afwijkingen van het algemene verbod op de verwerking van die bijzondere categorieën persoonsgegevens worden voorzien ingeval de betrokkene zijn uitdrukkelijke toestemming geeft of in geval van specifieke behoeften, met name wanneer de verwerking wordt verricht in het kader van gerechtvaardigde activiteiten door bepaalde verenigingen of stichtingen die ernaar streven de uitoefening van de fundamentele vrijheden mogelijk te maken.”
5 Artikel 4 van deze verordening bepaalt:
„Voor de toepassing van deze verordening wordt verstaan onder:
1) ,persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (,de betrokkene’); [...]
2) ,verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[...]
7) ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
[...]
11) ‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt;
[...]
23) ‚grensoverschrijdende verwerking’:
a) verwerking van persoonsgegevens in het kader van de activiteiten van vestigingen in meer dan één lidstaat van een verwerkingsverantwoordelijke of een verwerker in de Unie die in meer dan één lidstaat is gevestigd; of
b) verwerking van persoonsgegevens in het kader van de activiteiten van één vestiging van een verwerkingsverantwoordelijke of van een verwerker in de Unie, waardoor in meer dan één lidstaat betrokkenen wezenlijke gevolgen ondervinden of waarschijnlijk zullen ondervinden;
[...]”
6 Artikel 5 van die verordening heeft als opschrift „Beginselen inzake verwerking van persoonsgegevens” en bepaalt in de leden 1 en 2:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; [...]
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);
[...]
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
7 Artikel 6 van deze verordening, met als opschrift „Rechtmatigheid van de verwerking”, luidt als volgt:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
[...]
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
[...]
[...] Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.”
8 Artikel 7 AVG heeft als opschrift „Voorwaarden voor toestemming” en luidt:
„1. Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.
[...]
4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.”
9 In artikel 9 van deze verordening, met als opschrift „Verwerking van bijzondere categorieën van persoonsgegevens”, is het volgende bepaald:
„1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;
[...]
e) de verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt;
f) de verwerking is noodzakelijk voor de instelling, uitoefening of verdediging van een rechtsvordering of wanneer gerechten handelen in het kader van hun rechtsprekende taken;
[...]”
10 Artikel 13 van die verordening, dat betrekking heeft op de „te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”, bepaalt in lid 1:
„Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
[...]
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
d) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;
[...]”
11 Hoofdstuk VI AVG, dat betrekking heeft op de „onafhankelijke toezichthoudende autoriteiten”, omvat de artikelen 51 tot en met 59.
12 Artikel 51, met het opschrift „Toezichthoudende autoriteit”, bepaalt in de leden 1 en 2:
„1. Elke lidstaat bepaalt dat een of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken [...].
2. Elke toezichthoudende autoriteit draagt bij tot de consequente toepassing van deze verordening in de hele Unie. Daartoe werken de toezichthoudende autoriteiten onderling en met de [Europese] Commissie samen overeenkomstig hoofdstuk VII.”
13 Artikel 55 AVG, met als opschrift „Competentie”, luidt:
„1. Elke toezichthoudende autoriteit heeft de competentie op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend.
2. In het geval van verwerking door overheidsinstanties of door particuliere organen die handelen op grond van artikel 6, lid 1, onder c) of e), is de toezichthoudende autoriteit van de lidstaat in kwestie competent. In dergelijke gevallen is artikel 56 niet van toepassing.”
14 Artikel 56 AVG heeft als opschrift „Competentie van de leidende toezichthoudende autoriteit” en bepaalt in lid 1 het volgende:
„Onverminderd artikel 55 is de toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of verwerker competent op te treden als leidende toezichthoudende autoriteit voor de grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker overeenkomstig de procedure van artikel 60.”
15 Artikel 57 van deze verordening heeft als opschrift „Taken” en bepaalt in lid 1:
„Onverminderd andere uit hoofde van deze verordening vastgestelde taken, verricht elke toezichthoudende autoriteit op haar grondgebied de volgende taken:
a) zij monitort en handhaaft de toepassing van deze verordening;
[...]
g) zij werkt samen met andere toezichthoudende autoriteiten, onder meer door informatie te delen en wederzijdse bijstand te bieden, teneinde de samenhang in de toepassing en de handhaving van deze verordening te waarborgen;
[...]”
16 In artikel 58 van die verordening is in lid 1 de lijst van onderzoeksbevoegdheden opgenomen waarover elke toezichthoudende autoriteit beschikt. Volgens lid 5 ervan „[bepaalt] [e]lke lidstaat [...] bij wet dat zijn toezichthoudende autoriteit bevoegd is inbreuken op deze verordening ter kennis te brengen van de gerechtelijke autoriteiten en, waar passend, daartegen een rechtsvordering in te stellen of anderszins in rechte op te treden, teneinde de bepalingen van deze verordening te doen naleven”.
17 Hoofdstuk VII AVG („Samenwerking en coherentie”) bevat een afdeling 1, met het opschrift „Samenwerking”, waarin de artikelen 60 tot en met 62 zijn opgenomen. In artikel 60, dat ziet op de „samenwerking tussen de leidende toezichthoudende autoriteit en de andere betrokken toezichthoudende autoriteiten”, is in lid 1 het volgende bepaald:
„De leidende toezichthoudende autoriteit werkt overeenkomstig dit artikel samen met de andere betrokken toezichthoudende autoriteiten teneinde tot een consensus proberen te komen. De leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten wisselen alle relevante informatie met elkaar uit.”
18 In artikel 61 AVG, met als opschrift „Wederzijdse bijstand”, is in lid 1 het volgende bepaald:
„De toezichthoudende autoriteiten verstrekken elkaar relevante informatie en wederzijdse bijstand om deze verordening op een consequente manier ten uitvoer te leggen en toe te passen, en nemen maatregelen om doeltreffend met elkaar samen te werken. De wederzijdse bijstand bestrijkt met name informatieverzoeken en toezichtsmaatregelen, zoals verzoeken om voorafgaande toestemming en raadpleging, inspecties en onderzoeken.”
19 Artikel 62 van deze verordening heeft als opschrift „Gezamenlijke werkzaamheden van toezichthoudende autoriteiten” en bepaalt in de leden 1 en 2 het volgende:
„1. In voorkomend geval voeren de toezichthoudende autoriteiten gezamenlijke werkzaamheden uit, waaronder gezamenlijke onderzoeken en gezamenlijke handhavingsmaatregelen, waarbij leden of personeelsleden van de toezichthoudende autoriteiten van andere lidstaten worden betrokken.
2. Indien de verwerkingsverantwoordelijke of de verwerker vestigingen heeft in meerdere lidstaten, of indien een significant aantal betrokkenen in meer dan één lidstaat waarschijnlijk wezenlijke gevolgen ondervindt van de verwerkingsactiviteiten, heeft van elk van die lidstaten één toezichthoudende autoriteit het recht om aan de gezamenlijke werkzaamheden deel te nemen. [...]”
20 Afdeling 2 („Coherentie”) van hoofdstuk VII AVG bevat de artikelen 63 tot en met 67. Artikel 63, met als opschrift „Coherentiemechanisme”, luidt als volgt:
„Teneinde bij te dragen aan de consequente toepassing van deze verordening in de gehele Unie werken de toezichthoudende autoriteiten met elkaar en, waar passend met de Commissie, samen in het kader van het in deze afdeling uiteengezette coherentiemechanisme.”
21 Artikel 64, lid 2, van die verordening luidt:
„Een toezichthoudende autoriteit, de voorzitter van het [Europees Comité voor gegevensbescherming] of de Commissie kunnen elk verzoeken dat aangelegenheden van algemene strekking of met rechtsgevolgen in meer dan één lidstaat worden onderzocht door het [Europees Comité voor gegevensbescherming] teneinde advies te verkrijgen, met name wanneer een bevoegde toezichthoudende autoriteit haar verplichtingen tot wederzijdse bijstand overeenkomstig artikel 61, of tot gezamenlijke werkzaamheden overeenkomstig artikel 62, niet nakomt.”
22 Artikel 65 van die verordening, met als opschrift „Geschillenbeslechting door het Comité”, bepaalt in lid 1:
„Om te zorgen voor de correcte en consequente toepassing van deze verordening in individuele gevallen, stelt het [Europees Comité voor gegevensbescherming] een bindend besluit vast in de volgende gevallen:
a) wanneer in een geval als bedoeld in artikel 60, lid 4, een betrokken toezichthoudende autoriteit een relevant en gemotiveerd bezwaar heeft ingediend tegen een ontwerpbesluit van de leidende toezichthoudende autoriteit en de leidende toezichthoudende autoriteit heeft het bezwaar niet gevolgd of heeft het bezwaar afgewezen als zijnde irrelevant of ongemotiveerd. Het bindend besluit heeft betrekking op alle aangelegenheden die onderwerp van het relevante en gemotiveerde bezwaar zijn, en met name op de vraag of inbreuk op de onderhavige verordening wordt gemaakt;
b) wanneer er verschillend wordt geoordeeld over de vraag welke betrokken toezichthoudende autoriteit bevoegd is voor de hoofdvestiging;
[...]”
Duits recht
23 Het Gesetz gegen Wettbewerbsbeschränkungen (wet tegen de beperking van de mededinging), in de op 26 juni 2013 bekendgemaakte versie (BGBl. 2013 I, blz. 1750, 3245), laatstelijk gewijzigd bij artikel 2 van de wet van 16 juli 2021 (BGBl. 2021 I, blz. 2959) (hierna: „GWB”), bepaalt in § 19, lid 1, het volgende:
„Misbruik van een machtspositie door een of meer ondernemingen is verboden.”
24 § 32, lid 1, GWB luidt:
„De mededingingsautoriteit kan ondernemingen of verenigingen van ondernemingen verplichten een inbreuk op een bepaling uit dit deel of op de artikelen 101 of 102 van het Verdrag betreffende de werking van de Europese Unie te beëindigen.”
25 § 50f GWB bepaalt in lid 1:
„De mededingingsautoriteiten, de regulerende instanties, de federale verantwoordelijke voor gegevensbescherming en vrijheid van informatie, de regionale verantwoordelijken voor gegevensbescherming van de deelstaten en de bevoegde autoriteiten in de zin van § 2 van het EU-Verbraucherschutzdurchführungsgesetz (wet betreffende de uitvoering van het consumentenbeschermingsrecht van de Europese Unie) kunnen, ongeacht de gekozen procedure, onderling informatie uitwisselen, met inbegrip van persoonsgegevens en handels- en zakengeheimen, voor zover dit noodzakelijk is voor de uitvoering van hun respectieve taken, en deze informatie gebruiken in hun procedures. [...]”
Hoofdgeding en prejudiciële vragen
26 Meta Platforms Ireland exploiteert in de Unie het online sociale netwerk Facebook en promoot, met name op www.facebook.com, diensten die gratis zijn voor particuliere gebruikers. Andere ondernemingen van het Metaconcern, waaronder Instagram, WhatsApp, Oculus en – tot en met 13 maart 2020 – Masquerade, bieden in de Unie andere onlinediensten aan.
27 Het bedrijfsmodel van het online sociale netwerk Facebook is erop gebaseerd inkomsten te verwerven met onlinereclame die specifiek op de individuele gebruikers van het online sociale netwerk is toegesneden doordat zij is afgestemd op met name hun consumentengedrag, interesse, koopkracht en persoonlijke omstandigheden. Technisch wordt dat mogelijk gemaakt door van de gebruikers van het netwerk alsook van de gebruikers van de onlinediensten die op het niveau van het Metaconcern worden aangeboden, automatisch gedetailleerde profielen op te stellen. Naast de gegevens die deze gebruikers rechtstreeks bij de registratie voor de betrokken onlinediensten verstrekken, worden daartoe, zowel binnen als buiten dit online sociale netwerk en de door het Metaconcern aangeboden onlinediensten, ook andere gegevens over deze gebruikers en hun apparatuur verzameld en gekoppeld aan hun verschillende gebruikersaccounts. Uit al deze gegevens bij elkaar kunnen gedetailleerde conclusies worden getrokken over de voorkeuren en interesse van deze gebruikers.
28 Voor de verwerking van die gegevens baseert Meta Platforms Ireland zich op de gebruikersovereenkomst die gebruikers van het online sociale netwerk Facebook aangaan door op de knop „Registreren” te klikken en die hun instemming met de algemene voorwaarden van dat bedrijf behelst. Deze algemene voorwaarden moeten worden aanvaard om het online sociale netwerk Facebook te kunnen gebruiken. Ten aanzien van de verwerking van persoonsgegevens verwijzen de algemene voorwaarden naar het gegevens- en cookiebeleid van deze onderneming. Op grond daarvan verzamelt Meta Platforms Ireland gebruikers- en apparaatgegevens over de gebruikersactiviteiten binnen en buiten het online sociale netwerk en koppelt zij deze gegevens aan de Facebookaccounts van de betrokken gebruikers. Bij de gegevens met betrekking tot de activiteiten buiten het online sociale netwerk (hierna ook: „off-Facebook-gegevens”), gaat het om gegevens over bezoeken aan websites en apps van derden die met Facebook zijn verbonden via programmeerinterfaces – de „Facebook Business Tools” – en om gegevens over het gebruik van de andere onlinediensten van het Metaconcern, waaronder Instagram, WhatsApp, Oculus en – tot en met 13 maart 2020 – Masquerade.
29 Het Bundeskartellamt heeft tegen Meta Platforms, Meta Platforms Ireland en Facebook Deutschland een procedure ingeleid en heeft hun na afloop bij een op § 19, lid 1, en § 32 GWB gebaseerd besluit van 6 februari 2019 in essentie verboden om in de algemene voorwaarden het gebruik van het online sociale netwerk Facebook door in Duitsland wonende particuliere gebruikers afhankelijk te stellen van de verwerking van hun off-Facebook-gegevens, en om deze gegevens zonder hun toestemming te verwerken op basis van de toen geldende algemene voorwaarden. Bovendien heeft het Bundeskartellamt hun gelast om die algemene voorwaarden zodanig aan te passen dat daaruit duidelijk blijkt dat die gegevens niet zonder toestemming van de betreffende gebruikers verzameld, met de Facebook-gebruikersaccounts gekoppeld en gebruikt zullen worden, en heeft het verduidelijkt dat een dergelijke toestemming ongeldig is wanneer ze een voorwaarde vormt om het online sociale netwerk te kunnen gebruiken.
30 Het Bundeskartellamt heeft ter motivering van zijn besluit uiteengezet dat de verwerking van de gegevens van de betrokken gebruikers, zoals die overeenkomstig de algemene voorwaarden door Meta Platforms Ireland werd verricht, misbruik in de zin van § 19, lid 1, GWB vormde van de machtspositie waarover deze onderneming beschikte op de markt voor online sociale netwerken voor particuliere gebruikers in Duitsland. In het bijzonder leveren deze algemene voorwaarden, als uitvloeisel van deze machtspositie, volgens het Bundeskartellamt misbruik op omdat de verwerking van off-Facebook-gegevens waarin zij voorzien niet in overeenstemming is met de waarden die aan de AVG ten grondslag liggen en met name niet op grond van artikel 6, lid 1, en artikel 9, lid 2, van deze verordening kan worden gerechtvaardigd.
31 Op 11 februari 2019 hebben Meta Platforms, Meta Platforms Ireland en Facebook Deutschland bij het Oberlandesgericht Düsseldorf (hoogste rechterlijke instantie van de deelstaat Noordrijn-Westfalen, Düsseldorf, Duitsland) beroep ingesteld tegen het besluit van het Bundeskartellamt.
32 Op 31 juli 2019 heeft Meta Platforms Ireland nieuwe algemene voorwaarden ingevoerd waarin uitdrukkelijk werd vermeld dat de gebruiker, in plaats van te betalen voor het gebruik van de Facebookproducten, verklaart ermee in te stemmen dat hem advertenties worden getoond.
33 Bovendien biedt Meta Platforms sinds 28 januari 2020 wereldwijd de „Off-Facebook-Activity” aan, waarmee de gebruikers van het online sociale netwerk Facebook een samenvatting kunnen opvragen van de hen betreffende informatie die de ondernemingen van het Metaconcern over hun activiteiten op andere webpagina’s en apps hebben verkregen, en desgewenst deze gegevens zowel retroactief als proactief van hun Facebookaccount kunnen loskoppelen.
34 Het Oberlandesgericht Düsseldorf betwijfelt of 1) de nationale mededingingsautoriteiten in het kader van de uitoefening van hun bevoegdheden kunnen nagaan of een verwerking van persoonsgegevens in overeenstemming is met de vereisten van de AVG; 2) een exploitant van een online sociaal netwerk gevoelige persoonsgegevens van de betrokkene in de zin van artikel 9, leden 1 en 2, van die verordening kan verwerken; 3) een dergelijke exploitant de persoonsgegevens van de betrokken gebruiker overeenkomstig artikel 6, lid 1, van die verordening rechtmatig kan verwerken, en 4) toestemming voor een dergelijke verwerking die aan een onderneming met een machtspositie op de nationale markt voor online sociale netwerken wordt verleend, geldig is in het licht van artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), van die verordening.
35 Het Oberlandesgericht Düsseldorf is in deze omstandigheden van mening dat de beslechting van het hoofdgeding afhangt van het antwoord op deze vragen en heeft daarom de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) a) Is het verenigbaar met de artikelen 51 en volgende AVG, wanneer een nationale mededingingsautoriteit van een lidstaat, zoals het Bundeskartellamt, die geen toezichthoudende autoriteit in de zin van de artikelen 51 en volgende AVG is en in wier lidstaat een buiten de Europese Unie gevestigde onderneming een vestiging heeft die de in een andere lidstaat gelegen hoofdvestiging van deze onderneming, welke de uitsluitende verantwoordelijkheid draagt voor de verwerking van persoonsgegevens voor het gehele gebied van de Europese Unie, ondersteunt op het gebied van advertenties, communicatie en publiciteit, in het kader van het toezicht op misbruik op het gebied van de mededinging vaststelt dat de contractuele bepalingen van de hoofdvestiging inzake de gegevensverwerking en de uitvoering daarvan inbreuk maken op de AVG, en de beëindiging van die inbreuk beveelt?
b) Zo ja: is dit verenigbaar met artikel 4, lid 3, VEU, wanneer tegelijkertijd de leidende toezichthoudende autoriteit in de lidstaat van de hoofdvestiging in de zin van artikel 56, lid 1, AVG een onderzoek heeft ingesteld naar haar contractuele bepalingen inzake de gegevensverwerking?
Indien de eerste vraag bevestigend moet worden beantwoord:
2) a) In het geval dat een internetgebruiker websites of apps waarop de criteria van artikel 9, lid 1, AVG betrekking hebben, bijvoorbeeld flirting-apps, datingsites voor homoseksuelen, websites van politieke partijen, gezondheidsgerelateerde websites, ofwel slechts opent ofwel daar ook gegevens invoert, zoals bij registratie of bestellingen, en een [...] onderneming, zoals [Meta Platforms Ireland], via op deze websites en apps geïntegreerde interfaces, zoals ‚Facebook Business Tools’, of via op de computer of een mobiel apparaat van de internetgebruiker geplaatste cookies of vergelijkbare opslagtechnologieën, de gegevens over het openen van de websites en apps door de gebruiker en over de daar gegeven invoer van de gebruiker verzamelt, met de gegevens van het Facebookaccount van de gebruiker verbindt en gebruikt, dient dit verzamelen en/of verbinden en/of gebruiken dan te worden aangemerkt als de verwerking van gevoelige gegevens in de zin van de bepaling?
b) Zo ja: kan het openen van deze websites en apps en/of het invoeren van gegevens en/of het aanklikken van de op deze websites of apps geïntegreerde knoppen (‚sociale plug-ins’ zoals ‚vind ik leuk’, ‚delen’ of ‚Facebook login’ of ‚account kit’) van een aanbieder als [Meta Platforms Ireland] worden beschouwd als het kennelijk openbaar maken van de gegevens via het openen van de website of app als zodanig en/of via de door de gebruiker gegeven invoer in de zin van artikel 9, lid 2, onder e), AVG?
3) Kan een onderneming als [Meta Platforms Ireland], die een door advertenties gefinancierd, digitaal sociaal netwerk exploiteert en in haar gebruiksvoorwaarden de personalisatie van de inhoud en van de advertenties, de netwerkveiligheid, de productverbetering en het consistente en probleemloze gebruik van alle producten van het concern aanbiedt, zich beroepen op de rechtvaardigingsgrond van de noodzakelijkheid voor de uitvoering van een overeenkomst overeenkomstig artikel 6, lid 1, onder b), AVG of op de rechtvaardigingsgrond van de behartiging van gerechtvaardigde belangen overeenkomstig artikel 6, lid 1, onder f), AVG, wanneer de onderneming voor dit doel gegevens uit andere diensten van het concern en uit websites en apps van derden via daarin geïntegreerde interfaces, zoals ‚Facebook Business Tools’, of via op de computer of het mobiele apparaat van de internetgebruiker geplaatste cookies of vergelijkbare opslagtechnologieën verzamelt, met het Facebookaccount van de gebruiker verbindt en gebruikt?
4) Kunnen in een dergelijk geval tevens
– de minderjarigheid van de gebruikers voor de personalisatie van inhoud en advertenties, productverbetering, netwerkveiligheid en andere dan marketing-gerelateerde communicatie met de gebruiker,
– het aanbieden van metingen, analysen en andere zakelijke diensten aan adverteerders, ontwikkelaars en overige partners zodat deze hun diensten kunnen evalueren en verbeteren,
– het aanbieden van marketingcommunicatie met de gebruiker, zodat de onderneming haar producten kan verbeteren en direct marketing kan toepassen,
– onderzoek en innovatie voor het maatschappelijk belang, om de stand van de techniek respectievelijk het wetenschappelijk begrip ten aanzien van belangrijke sociale onderwerpen te bevorderen en om de maatschappij en de wereld positief te beïnvloeden,
– het informeren van autoriteiten die bevoegd zijn voor strafrechtelijke vervolging en tenuitvoerlegging van straffen, het reageren op gerechtelijke verzoeken om strafbare feiten, onrechtmatig gebruik, schending van gebruiksvoorwaarden en beleid alsmede overige nadelige gedragingen te voorkomen, op te sporen en te vervolgen,
gerechtvaardigde belangen in de zin van artikel 6, lid 1, onder f), AVG zijn wanneer de onderneming voor deze doeleinden gegevens uit andere diensten van het concern en uit websites en apps van derden via daarin geïntegreerde interfaces, zoals ‚Facebook Business Tools’, of via op de computer of het mobiele apparaat van de internetgebruiker geplaatste cookies of vergelijkbare opslagtechnologieën verzamelt, met het Facebookaccount van de gebruiker verbindt en gebruikt?
5) Kan in een dergelijk geval het verzamelen van gegevens uit andere diensten van het concern en uit websites en apps van derden via daarin geïntegreerde interfaces, zoals ‚Facebook Business Tools’, of via op de computer of het mobiele apparaat van de internetgebruiker geplaatste cookies of vergelijkbare opslagtechnologieën, de verbinding met het Facebook-account van de gebruiker en het gebruik, of het gebruik van reeds op andere wijze rechtmatig verzamelde en verbonden gegevens, in een afzonderlijk geval ook gerechtvaardigd zijn op grond van artikel 6, lid 1, onder c), d) en e), AVG, bijvoorbeeld om te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens [onder c)], om schadelijke gedragingen te bestrijden en de veiligheid te bevorderen [onder d)], voor doeleinden van onderzoek ten behoeve van het welzijn van de maatschappij en om de bescherming, integriteit en veiligheid te bevorderen [onder e)]?
6) Kan aan een onderneming met een machtspositie zoals [Meta Platforms Ireland], overeenkomstig artikel 6, lid 1, onder a), en artikel 9, lid 2, onder a), AVG een effectieve en, in het bijzonder in de zin van artikel 4, punt 11, AVG, vrijwillige, toestemming worden verleend?
Indien de eerste vraag ontkennend moet worden beantwoord:
7) a) Kan een nationale mededingingsautoriteit van een lidstaat, zoals het Bundeskartellamt, die geen toezichthoudende autoriteit is in de zin van de artikelen 51 en volgende AVG en die een inbreuk van een onderneming met een machtspositie op het kartelrechtelijke misbruikverbod onderzoekt, welke inbreuk niet bestaat in een inbreuk op de AVG door haar voorwaarden inzake de gegevensverwerking en de toepassing daarvan, in het kader van bijvoorbeeld de belangenafweging vaststellingen doen ten aanzien van de vraag of de voorwaarden inzake gegevensverwerking van deze onderneming en de uitvoering daarvan voldoen aan de AVG?
b) Zo ja: geldt dit met het oog op artikel 4, lid 3, VEU ook wanneer tegelijkertijd de op grond van artikel 56, lid 1, AVG bevoegde leidende toezichthoudende autoriteit de voorwaarden van deze onderneming inzake de gegevensverwerking onderzoekt?
Indien de zevende vraag bevestigend moet worden beantwoord, moeten de derde tot en met vijfde vraag worden beantwoord ten aanzien van het gebruik van de gegevens voortvloeiende uit het gebruik van de tot het concern behorende dienst Instagram.”
Beantwoording van de prejudiciële vragen
Eerste en zevende vraag
36 Met zijn eerste en zevende vraag, die samen moeten worden behandeld, wenst de verwijzende rechter in essentie te vernemen of de artikelen 51 en volgende AVG aldus moeten worden uitgelegd dat een mededingingsautoriteit van een lidstaat in het kader van het onderzoek naar misbruik van een machtspositie door een onderneming in de zin van artikel 102 VWEU kan vaststellen dat de algemene gebruiksvoorwaarden van deze onderneming, voor zover die betrekking hebben op de verwerking van persoonsgegevens en de toepassing van deze gebruiksvoorwaarden, niet in overeenstemming zijn met de AVG, en, zo ja, of artikel 4, lid 3, VEU aldus moet worden uitgelegd dat een mededingingsautoriteit ook tot een dergelijke incidentele vaststelling kan komen wanneer tegelijkertijd de overeenkomstig artikel 56, lid 1, AVG, bevoegde leidende toezichthoudende autoriteit die voorwaarden aan een onderzoeksprocedure heeft onderworpen.
37 Ter beantwoording van deze vraag moet om te beginnen in herinnering worden gebracht dat artikel 55, lid 1, AVG elke toezichthoudende autoriteit in beginsel de competentie verleent om op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend (arrest van 15 juni 2021, Facebook Ireland e.a., C‑645/19, EU:C:2021:483, punt 47 en aldaar aangehaalde rechtspraak).
38 Tot de taken waarmee deze toezichthoudende autoriteiten zijn belast, behoort het monitoren en handhaven van de toepassing van de AVG zoals bedoeld in artikel 51, lid 1, en artikel 57, lid 1, onder a), van deze verordening, teneinde de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken. Bovendien werken die toezichthoudende autoriteiten overeenkomstig artikel 51, lid 2, en artikel 57, lid 1, onder g), van die verordening met elkaar samen, onder meer door informatie te delen en wederzijdse bijstand te bieden, teneinde de samenhang in de toepassing en de handhaving van deze verordening te waarborgen.
39 Met het oog op de uitvoering van deze taken verleent artikel 58 AVG die toezichthoudende autoriteiten onderzoeksbevoegdheden (lid 1), bevoegdheden tot het nemen van corrigerende maatregelen (lid 2) en de bevoegdheid om inbreuken op deze verordening ter kennis van de gerechtelijke autoriteiten te brengen en, waar passend, daartegen een rechtsvordering in te stellen, teneinde de bepalingen van deze verordening te doen naleven (lid 5).
40 Onverminderd de bevoegdheidsregel van artikel 55, lid 1, AVG voorziet artikel 56, lid 1, van deze verordening voor grensoverschrijdende verwerkingen in de zin van artikel 4, punt 23, in een „één-loketmechanisme” dat is gebaseerd op een competentieverdeling tussen een „leidende toezichthoudende autoriteit” en de andere betrokken toezichthoudende autoriteiten en op samenwerking tussen al deze autoriteiten overeenkomstig de samenwerkingsprocedure van artikel 60 AVG.
41 Voorts verplicht artikel 61, lid 1, AVG de toezichthoudende autoriteiten met name ertoe om elkaar relevante informatie te verstrekken en wederzijdse bijstand te verlenen om deze verordening op een consequente manier ten uitvoer te leggen en toe te passen in de gehele Unie. Artikel 63 van deze verordening preciseert dat met het oog daarop is voorzien in het coherentiemechanisme dat is neergelegd in de artikelen 64 en 65 ervan (arrest van 15 juni 2021, Facebook Ireland e.a., C‑645/19, EU:C:2021:483, punt 52 en aldaar aangehaalde rechtspraak).
42 De samenwerkingsregels van de AVG zijn echter niet gericht aan de nationale mededingingsautoriteiten, maar regelen de samenwerking tussen de betrokken nationale toezichthoudende autoriteiten en de leidende toezichthoudende autoriteit en, in voorkomend geval, de samenwerking van deze autoriteiten met het Europees Comité voor gegevensbescherming en de Commissie.
43 Noch de AVG noch enig ander instrument van het Unierecht bevat immers specifieke regels voor de samenwerking tussen een nationale mededingingsautoriteit en de betrokken nationale toezichthoudende autoriteiten of de leidende toezichthoudende autoriteit. Bovendien verbiedt geen enkele bepaling van de AVG de nationale mededingingsautoriteiten om in het kader van de uitoefening van hun taken vast te stellen dat gegevensverwerking die wordt verricht door een onderneming met een machtspositie en misbruik van die positie kan opleveren, niet verenigbaar is met deze verordening.
44 In dit verband moet in de eerste plaats duidelijk worden gemaakt dat de toezichthoudende autoriteiten enerzijds en de nationale mededingingsautoriteiten anderzijds verschillende functies vervullen en eigen doelstellingen en taken nastreven.
45 Enerzijds heeft de toezichthoudende autoriteit, zoals in punt 38 van dit arrest is aangegeven, krachtens artikel 51, leden 1 en 2, en artikel 57, lid 1, onder a) en g), AVG immers als voornaamste taak de toepassing van deze verordening te monitoren en te handhaven, en daarbij de samenhang in de toepassing ervan binnen de Unie te bevorderen, teneinde de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van dergelijke gegevens binnen de Unie te vergemakkelijken. Daartoe beschikt de toezichthoudende autoriteit, zoals in punt 39 van dit arrest in herinnering is gebracht, over de verschillende bevoegdheden die haar op grond van artikel 58 AVG zijn verleend.
46 Anderzijds zijn de nationale mededingingsautoriteiten overeenkomstig artikel 5 van verordening nr. 1/2003 met name bevoegd om besluiten te nemen waarbij wordt vastgesteld dat een onderneming misbruik maakt van een machtspositie in de zin van artikel 102 VWEU, welke bepaling een regeling vaststelt waarmee vervalsing van de mededinging op de interne markt moet worden voorkomen, mede gelet op de gevolgen van een dergelijk misbruik voor de consumenten op die markt.
47 Zoals de advocaat-generaal in punt 23 van zijn conclusie in essentie heeft opgemerkt, moet een mededingingsautoriteit bij de vaststelling van een dergelijk besluit op basis van alle specifieke omstandigheden van de zaak beoordelen of het gedrag van de onderneming met een machtspositie tot gevolg heeft dat de instandhouding of de ontwikkeling van de op de markt aanwezige mededinging wordt tegengegaan met andere middelen dan die welke bij een normale mededinging op het gebied van goederen of diensten gebruikelijk zijn (zie in die zin arrest van 25 maart 2021, Deutsche Telekom/Commissie, C‑152/19 P, EU:C:2021:238, punten 41 en 42). In dit verband kan de verenigbaarheid dan wel de onverenigbaarheid van een dergelijk gedrag met de AVG eventueel – als een van de relevante omstandigheden van het geval – een belangrijke aanwijzing vormen om vast te stellen of dit gedrag bestaat in het aanwenden van middelen die passen in het kader van de normale mededinging, en om de gevolgen van een bepaalde praktijk op de markt of de gevolgen voor de consumenten te beoordelen.
48 Hieruit volgt dat de mededingingsautoriteit van de betrokken lidstaat bij het onderzoek naar de vraag of een onderneming op een bepaalde markt misbruik maakt van een machtspositie, genoodzaakt kan zijn om ook na te gaan of het gedrag van die onderneming in overeenstemming is met andere normen dan die van het mededingingsrecht, zoals de regels van de AVG inzake de bescherming van persoonsgegevens.
49 Gelet op de verschillende doelstellingen die worden nagestreefd met enerzijds de mededingingsregels, in het bijzonder artikel 102 VWEU, en anderzijds de regels van de AVG inzake de bescherming van persoonsgegevens, moet worden vastgesteld dat een nationale mededingingsautoriteit die bij de vaststelling dat misbruik wordt gemaakt van een machtspositie constateert dat deze verordening is geschonden, niet in de plaats treedt van de toezichthoudende autoriteiten. In het bijzonder houdt een dergelijke nationale mededingingsautoriteit zich niet bezig met het toezicht op en het handhaven van deze verordening ter verwezenlijking van het doel van artikel 51, lid 1, dat erin bestaat de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken. Door de onverenigbaarheid van gegevensverwerking met de AVG uitsluitend vast te stellen met het doel om te bepalen of er sprake is van misbruik van een machtspositie en op basis van een mededingingsrechtelijke grondslag maatregelen op te leggen om dit misbruik te beëindigen, oefent een dergelijke autoriteit bovendien geen van de in artikel 57 van deze verordening genoemde taken uit en maakt zij evenmin gebruik van de bevoegdheden die krachtens artikel 58 van deze verordening aan de toezichthoudende autoriteit zijn voorbehouden.
50 Voorts moet worden vastgesteld dat de toegang tot en de exploitatie van persoonsgegevens in de digitale economie van groot belang zijn. Dat wordt in het hoofdgeding geïllustreerd door het bedrijfsmodel van het online sociale netwerk Facebook. Zoals in punt 27 van dit arrest is uiteengezet, is dat model gebaseerd op het verwerven van inkomsten met reclameboodschappen die zijn gepersonaliseerd op basis van gebruikersprofielen die kunnen worden opgesteld met behulp van de persoonsgegevens die Meta Platforms Ireland verzamelt.
51 Zoals onder andere de Commissie heeft benadrukt, zijn de toegang tot en de mogelijkheid van verwerking van persoonsgegevens een belangrijke parameter geworden voor de mededinging tussen ondernemingen in de digitale economie. Indien de regels inzake de bescherming van persoonsgegevens zouden worden uitgesloten van het rechtskader dat de mededingingsautoriteiten bij het onderzoek naar misbruik van een machtspositie in aanmerking moeten nemen, zou dus worden voorbijgegaan aan de realiteit van deze economische ontwikkeling en afbreuk kunnen worden gedaan aan de doeltreffendheid van het mededingingsrecht binnen de Unie.
52 In de tweede plaats moet echter worden opgemerkt dat wanneer het volgens een nationale mededingingsautoriteit noodzakelijk is om zich in het kader van een besluit inzake misbruik van een machtspositie uit te spreken over de vraag of een verwerking van persoonsgegevens door de betrokken onderneming al dan niet in overeenstemming is met de AVG, deze autoriteit en de betrokken toezichthoudende autoriteit of in voorkomend geval de bevoegde leidende toezichthoudende autoriteit in de zin van die verordening, onderling moeten samenwerken om een coherente toepassing van deze verordening te waarborgen.
53 Ook al bevat, zoals in de punten 42 en 43 van dit arrest is opgemerkt, noch de AVG noch enig ander Unierechtelijk instrument specifieke regels hieromtrent, dit neemt niet weg dat, zoals de advocaat-generaal in punt 28 van zijn conclusie in essentie heeft opgemerkt, de verschillende betrokken nationale autoriteiten bij de toepassing van de AVG allemaal gebonden zijn aan het in artikel 4, lid 3, VEU neergelegde beginsel van loyale samenwerking. Volgens vaste rechtspraak moeten de lidstaten, met inbegrip van hun bestuurlijke autoriteiten, overeenkomstig dit beginsel op de onder het Unierecht vallende gebieden elkaar respecteren en steunen bij de vervulling van de taken die uit de Verdragen voortvloeien, alle maatregelen nemen die geschikt zijn om de nakoming van met name de uit de handelingen van de instellingen van de Unie resulterende verplichtingen te verzekeren en zich onthouden van alle maatregelen die de verwezenlijking van de doelstellingen van de Unie in gevaar kunnen brengen (zie in die zin arresten van 7 november 2013, UPC Nederland, C‑518/11, EU:C:2013:709, punt 59, en 1 augustus 2022, Sea Watch, C‑14/21 en C‑15/21, EU:C:2022:604, punt 156).
54 Gelet op dit beginsel moeten de nationale mededingingsautoriteiten, wanneer zij bij de uitoefening van hun bevoegdheden onderzoeken of een gedraging van een onderneming in overeenstemming is met de AVG, dus met elkaar overleggen en loyaal samenwerken met de betrokken nationale toezichthoudende autoriteiten of met de leidende toezichthoudende autoriteit, hetgeen betekent dat al deze autoriteiten in deze context elkaars respectieve bevoegdheden en competenties op zodanige wijze moeten eerbiedigen dat de uit de AVG voortvloeiende verplichtingen en de doelstellingen van deze verordening in acht worden genomen en het nuttig effect ervan wordt gewaarborgd.
55 Als een mededingingsautoriteit het gedrag van een onderneming onderzoekt in het licht van de normen van de AVG bestaat immers het risico dat deze mededingingsautoriteit en de toezichthoudende autoriteiten van mening verschillen over de uitlegging van deze verordening.
56 Hieruit volgt dat een nationale mededingingsautoriteit die in het kader van het onderzoek naar misbruik van een machtspositie in de zin van artikel 102 VWEU door een onderneming, van mening is dat moet worden onderzocht of een gedraging van die onderneming in overeenstemming is met de AVG, moet nagaan of de bevoegde nationale toezichthoudende autoriteit, de leidende toezichthoudende autoriteit of zelfs het Hof reeds een besluit of een beslissing heeft genomen over die of een soortgelijke gedraging. Indien dat het geval is, mag de nationale mededingingsautoriteit daar niet van afwijken, maar kan zij daar wel haar eigen conclusies aan verbinden voor de toepassing van het mededingingsrecht.
57 Wanneer de nationale mededingingsautoriteit twijfels heeft over de draagwijdte van de beoordeling door de bevoegde nationale toezichthoudende autoriteit of de leidende toezichthoudende autoriteit, wanneer de betrokken gedraging of een soortgelijke gedraging tegelijkertijd door deze autoriteiten wordt onderzocht, of wanneer die autoriteiten geen onderzoek hebben gedaan en zij van mening is dat een gedraging van een onderneming niet in overeenstemming is met de AVG, moet zij deze autoriteiten raadplegen en om hun medewerking verzoeken, teneinde haar twijfels weg te nemen dan wel te bepalen of zij moet wachten tot de betrokken toezichthoudende autoriteit een besluit vaststelt alvorens met haar eigen beoordeling te beginnen.
58 Als de toezichthoudende autoriteit door een nationale mededingingsautoriteit bij een zaak wordt betrokken, moet zij binnen een redelijke termijn op dit verzoek om inlichtingen of samenwerking antwoorden door de mededingingsautoriteit de haar ter beschikking staande informatie te verstrekken waarmee de twijfels van deze laatste over de draagwijdte van de beoordeling door de toezichthoudende autoriteit kunnen worden weggenomen of door haar in voorkomend geval te laten weten of zij voornemens is om overeenkomstig de artikelen 60 en volgende AVG de samenwerkingsprocedure met de andere betrokken toezichthoudende autoriteiten of de leidende toezichthoudende autoriteit in te leiden teneinde tot een besluit te komen waarbij wordt vastgesteld of de gedraging in kwestie al dan niet met die verordening in overeenstemming is.
59 In het geval dat de aangezochte toezichthoudende autoriteit niet binnen een redelijke termijn antwoordt, mag de nationale mededingingsautoriteit haar eigen onderzoek voortzetten. Hetzelfde geldt wanneer de bevoegde nationale toezichthoudende autoriteit en de leidende toezichthoudende autoriteit er geen bezwaar tegen hebben dat zij haar onderzoek voortzet zonder te wachten tot zij een besluit hebben vastgesteld.
60 In casu blijkt uit het dossier waarover het Hof beschikt dat het Bundeskartellamt in oktober en november 2018, dus vóór de vaststelling van het besluit van 6 februari 2019, contact heeft opgenomen met de Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (federale commissaris voor gegevensbescherming en informatievrijheid, Duitsland), de Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (commissaris voor gegevensbescherming en informatievrijheid Hamburg, Duitsland), die bevoegd is jegens Facebook Deutschland, en de Data Protection Commission (DPC) (gegevensbeschermingsautoriteit, Ierland), om deze autoriteiten op de hoogte te brengen van zijn optreden. Bovendien blijkt dat het Bundeskartellamt de bevestiging heeft verkregen dat die autoriteiten op dat moment geen onderzoek hadden ingesteld naar soortgelijke feiten als die welke in het hoofdgeding aan de orde zijn, en dat zij geen bezwaar hebben gemaakt tegen zijn optreden. Ten slotte heeft het Bundeskartellamt in de punten 555 en 556 van zijn besluit van 6 februari 2019 uitdrukkelijk naar deze samenwerking verwezen.
61 In die omstandigheden lijkt het Bundeskartellamt, onder voorbehoud van de door de verwijzende rechter te verrichten verificaties, te hebben voldaan aan zijn verplichting tot loyale samenwerking met de betrokken nationale toezichthoudende autoriteiten en met de leidende toezichthoudende autoriteit.
62 Gelet op het voorgaande moet op de eerste en de zevende vraag worden geantwoord dat de artikelen 51 en volgende AVG en artikel 4, lid 3, VEU aldus moeten worden uitgelegd dat een mededingingsautoriteit van een lidstaat in het kader van het onderzoek of er sprake is van misbruik van een machtspositie door een onderneming in de zin van artikel 102 VWEU kan vaststellen dat de algemene gebruiksvoorwaarden van deze onderneming met betrekking tot de verwerking van persoonsgegevens en de toepassing van die gebruiksvoorwaarden niet met die verordening in overeenstemming zijn, mits die vaststelling noodzakelijk is om een dergelijk misbruik aan te tonen en zij haar verplichting tot loyale samenwerking met de toezichthoudende autoriteiten nakomt.
63 In het licht van deze verplichting tot loyale samenwerking mag de nationale mededingingsautoriteit niet afwijken van een besluit van de bevoegde nationale toezichthoudende autoriteit of de bevoegde leidende toezichthoudende autoriteit met betrekking tot die algemene voorwaarden of soortgelijke algemene voorwaarden. Wanneer de mededingingsautoriteit twijfels heeft over de draagwijdte van een dergelijk besluit, wanneer die voorwaarden of soortgelijke voorwaarden tegelijkertijd door die autoriteiten worden onderzocht, dan wel wanneer zij, zonder dat die autoriteiten onderzoek hebben gedaan of een besluit hebben genomen, van mening is dat de betrokken voorwaarden niet in overeenstemming zijn met de AVG, moet zij die toezichthoudende autoriteiten raadplegen en om hun medewerking verzoeken, teneinde haar twijfels weg te nemen dan wel te bepalen of zij moet wachten tot deze autoriteiten een besluit vaststellen, alvorens met haar eigen beoordeling te beginnen. Indien de toezichthoudende autoriteiten niet binnen een redelijke termijn bezwaar maken of antwoorden, kan de nationale mededingingsautoriteit haar eigen onderzoek voortzetten.
Tweede vraag
64 Met zijn tweede vraag, onder a), wenst de verwijzende rechter in essentie te vernemen of artikel 9, lid 1, AVG aldus moet worden uitgelegd dat wanneer een gebruiker van een online sociaal netwerk websites of apps bezoekt die met een of meer van de in die bepaling bedoelde categorieën verband houden, en in voorkomend geval daar gegevens invoert door zich te registreren of online bestellingen te plaatsen, de verwerking van persoonsgegevens door de exploitant van dat online sociale netwerk waarbij deze exploitant, door middel van geïntegreerde interfaces, cookies of soortgelijke registratietechnologieën, de gegevens die voortvloeien uit de bezoeken aan die websites en apps alsook de gegevens die door de gebruiker zijn ingevoerd verzamelt, al deze gegevens koppelt aan het account van deze laatste bij het online sociale netwerk en die gegevens gebruikt, moet worden beschouwd als een „verwerking van bijzondere categorieën persoonsgegevens” in de zin van die bepaling die, behoudens de in artikel 9, lid 2, AVG bepaalde uitzonderingen, in beginsel verboden is.
65 Indien dat het geval is, wenst de verwijzende rechter met zijn tweede vraag, onder b), in essentie te vernemen of artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat een gebruiker van een online sociaal netwerk die websites of apps bezoekt die betrekking hebben op de in artikel 9, lid 1, AVG genoemde categorieën, gegevens op die websites of apps invoert dan wel daarin geïntegreerde selectieknoppen aanklikt – zoals de knoppen „vind ik leuk” of „delen”, of de knoppen waarmee de gebruiker zich op die websites of apps kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn gebruikersaccount van het online sociale netwerk, zijn telefoonnummer of zijn e‑mailadres – wordt geacht de gegevens die bij deze gelegenheid door de exploitant van dit online sociale netwerk via cookies of soortgelijke registratietechnologieën zijn verzameld kennelijk openbaar te hebben gemaakt in de zin van eerstgenoemde bepaling.
Tweede vraag, onder a)
66 In overweging 51 AVG staat te lezen dat persoonsgegevens die door hun aard bijzonder gevoelig zijn uit het oogpunt van de grondrechten en de fundamentele vrijheden, specifieke bescherming verdienen aangezien de context van de verwerking ervan significante risico’s kan meebrengen voor deze grondrechten en de fundamentele vrijheden. Volgens deze overweging mogen dergelijke persoonsgegevens niet worden verwerkt, tenzij de verwerking is toegestaan in specifieke gevallen die in deze verordening worden vermeld.
67 In dit verband is in artikel 9, lid 1, AVG het beginsel neergelegd dat de verwerking van de daarin genoemde bijzondere categorieën van persoonsgegevens verboden is. Het gaat daarbij met name om gegevens waaruit ras of etnische afkomst, politieke opvattingen of religieuze overtuigingen blijken, en om gegevens over de gezondheid, het seksuele gedrag of de seksuele geaardheid van een natuurlijke persoon.
68 Voor de toepassing van artikel 9, lid 1, AVG moet in het geval van verwerking van persoonsgegevens door de exploitant van een online sociaal netwerk worden nagegaan of deze gegevens informatie kunnen onthullen die onder een van de in die bepaling bedoelde categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon. Zo ja, dan is een dergelijke verwerking van persoonsgegevens verboden, behoudens de uitzonderingen van artikel 9, lid 2, AVG.
69 Zoals de advocaat-generaal in de punten 40 en 41 van zijn conclusie in essentie heeft opgemerkt, staat dit principiële verbod van artikel 9, lid 1, AVG los van de vraag of de informatie die bij de betrokken verwerking aan het licht komt al dan niet juist is en of de verwerkingsverantwoordelijke het doel nastreeft om informatie te verkrijgen die onder een van de in die bepaling bedoelde bijzondere categorieën valt.
70 Gelet op de aanzienlijke risico’s voor de grondrechten en de fundamentele vrijheden van de betrokkenen die gepaard gaan met elke verwerking van persoonsgegevens van de in artikel 9, lid 1, AVG bedoelde categorieën, beoogt deze bepaling immers om deze verwerkingen te verbieden, ongeacht het gestelde doel ervan.
71 De verwerking door Meta Platforms Ireland die in het hoofdgeding aan de orde is, bestaat erin om eerst de persoonsgegevens te verzamelen van de gebruikers van het online sociale netwerk Facebook die websites of apps bezoeken – waaronder die waaruit informatie kan blijken die onder een of meer van de in artikel 9, lid 1, AVG bedoelde categorieën valt – en in voorkomend geval daar informatie invoeren door zich te registreren of online bestellingen te plaatsen, vervolgens deze gegevens te koppelen aan hun accounts op dit online sociale netwerk en ten slotte die gegevens te gebruiken.
72 In dit verband staat het aan de verwijzende rechter om vast te stellen of uit de aldus verzamelde gegevens, op zichzelf of door ze te koppelen aan de Facebookaccounts van de betrokken gebruikers, daadwerkelijk dergelijke informatie kan blijken, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon. Gelet op de vragen van deze rechter moet er evenwel op worden gewezen dat, onder voorbehoud van de door hem te verrichten verificaties, dergelijke informatie in bepaalde gevallen al bij de verwerking van gegevens over de bezoeken aan de betrokken websites of apps aan het licht kan komen, zonder dat deze gebruikers daar informatie invoeren door zich te registreren of online bestellingen te plaatsen.
73 Gelet op een en ander moet op de tweede vraag, onder a), worden geantwoord dat artikel 9, lid 1, AVG aldus moet worden uitgelegd dat wanneer een gebruiker van een online sociaal netwerk websites of apps bezoekt die met een of meer van de in die bepaling bedoelde categorieën verband houden, en in voorkomend geval daar gegevens invoert door zich te registreren of online bestellingen te plaatsen, de verwerking van persoonsgegevens door de exploitant van dat online sociale netwerk waarbij deze exploitant, door middel van geïntegreerde interfaces, cookies of soortgelijke registratietechnologieën, de gegevens die voortvloeien uit de bezoeken aan die websites en apps alsook de gegevens die door de gebruiker zijn ingevoerd verzamelt, al deze gegevens koppelt aan het account van deze laatste bij het online sociale netwerk en die gegevens gebruikt, moet worden beschouwd als een „verwerking van bijzondere categorieën persoonsgegevens” in de zin van die bepaling die, behoudens de in artikel 9, lid 2, bepaalde uitzonderingen, in beginsel verboden is, wanneer bij deze gegevensverwerking informatie aan het licht kan komen die onder een van deze categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon.
Tweede vraag, onder b)
74 Met betrekking tot de tweede vraag, onder b), zoals die in punt 65 van dit arrest is geherformuleerd en die betrekking heeft op de uitzondering van artikel 9, lid 2, onder e), AVG, moet in herinnering worden gebracht dat volgens deze bepaling het in artikel 9, lid 1, neergelegde principiële verbod op elke verwerking van bijzondere categorieën van persoonsgegevens niet van toepassing is wanneer de verwerking betrekking heeft op persoonsgegevens die „kennelijk door de betrokkene openbaar zijn gemaakt”.
75 Ten eerste moet worden opgemerkt dat deze uitzondering alleen van toepassing is op gegevens die „door de betrokkene” kennelijk openbaar zijn gemaakt. Deze uitzondering is dus niet van toepassing op gegevens die betrekking hebben op andere personen dan degenen die deze gegevens openbaar hebben gemaakt.
76 Ten tweede moet artikel 9, lid 2, AVG, voor zover daarin een uitzondering is opgenomen op het beginsel dat de verwerking van bijzondere categorieën persoonsgegevens verboden is, restrictief worden uitgelegd (zie in die zin arresten van 17 september 2014, Baltic Agro, C‑3/13, EU:C:2014:2227, punt 24 en aldaar aangehaalde rechtspraak, en 6 juni 2019, Weil, C‑361/18, EU:C:2019:473, punt 43 en aldaar aangehaalde rechtspraak).
77 Ter toepassing van de uitzondering van artikel 9, lid 2, onder e), AVG moet daarom worden nagegaan of de betrokkene de aan de orde zijnde persoonsgegevens uitdrukkelijk en door middel van een ondubbelzinnige actieve handeling voor een breed publiek toegankelijk heeft willen maken.
78 In dit verband moet worden vastgesteld dat als de betrokken gebruiker websites of apps bezoekt die met een of meer van de in artikel 9, lid 1, AVG bedoelde categorieën verband houden, hij daarmee geenszins beoogt ruchtbaarheid te geven aan het feit dat hij die websites of apps heeft bezocht, en evenmin aan de gegevens over deze bezoeken die aan zijn persoon kunnen worden gekoppeld. Deze gebruiker hoeft er immers hoogstens rekening mee te houden dat de beheerder van de website of de app toegang heeft tot die gegevens en deze in voorkomend geval en onder voorbehoud van zijn uitdrukkelijke toestemming deelt met bepaalde derden en niet met het grote publiek.
79 Uit het enkele feit dat een gebruiker dergelijke websites of apps heeft bezocht, kan dus niet worden afgeleid dat de bedoelde persoonsgegevens door die gebruiker kennelijk openbaar zijn gemaakt in de zin van artikel 9, lid 2, onder e), AVG.
80 Aangaande het invoeren van gegevens op die websites of apps en het aanklikken van daarin geïntegreerde selectieknoppen – zoals de knoppen „vind ik leuk” of „delen”, of de knoppen waarmee de gebruiker zich op een website of een app kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn Facebook-gebruikersaccount, zijn telefoonnummer of zijn e-mailadres – moet worden opgemerkt dat deze handelingen wijzen op interactie tussen die gebruiker en de betrokken website of app alsmede in voorkomend geval de website van het online sociale netwerk. De openbaarmaking van deze interactie kan verschillende vormen aannemen aangezien de gebruiker de openbaarheidsinstellingen persoonlijk kan configureren.
81 In die omstandigheden staat het aan de verwijzende rechter om na te gaan of de betrokken gebruikers de mogelijkheid hebben om op basis van een met kennis van zaken uitgevoerde configuratie te beslissen om de gegevens die zij op de betrokken websites of apps hebben ingevoerd alsook de gegevens die voortvloeien uit het aanklikken van de selectieknoppen, toegankelijk te maken voor het grote publiek dan wel, integendeel, alleen voor een min of meer beperkt aantal geselecteerde personen.
82 Wanneer de betrokken gebruikers daadwerkelijk een dergelijke keuze hebben, kunnen zij, wanneer zij vrijwillig gegevens op een website of app invoeren of daarin geïntegreerde selectieknoppen aanklikken, alleen worden geacht hen betreffende gegevens kennelijk openbaar te maken in de zin van artikel 9, lid 2, onder e), AVG wanneer zij op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie duidelijk hun keuze te kennen hebben gegeven om deze gegevens toegankelijk te maken voor een onbeperkt aantal personen, hetgeen de verwijzende rechter dient na te gaan.
83 Indien daarentegen geen zodanige individuele configuratie wordt aangeboden, moet, gelet op hetgeen in punt 77 van dit arrest is uiteengezet, worden geoordeeld dat gebruikers die vrijwillig gegevens op een website of app invoeren of daarin geïntegreerde selectieknoppen aanklikken, slechts kunnen worden geacht deze gegevens kennelijk openbaar te hebben gemaakt indien zij er op basis van expliciete informatie die op die website of app voorafgaand aan dit invoeren of aanklikken werd verstrekt, uitdrukkelijk mee hebben ingestemd dat die gegevens kunnen worden bekeken door eenieder die tot die website of app toegang heeft.
84 Gelet op een en ander moet op de tweede vraag, onder b), worden geantwoord dat artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat een gebruiker van een online sociaal netwerk die websites of apps bezoekt die met een of meer van de in artikel 9, lid 1, AVG bedoelde categorieën verband houden, de gegevens over deze bezoeken die door de exploitant van dit online sociale netwerk via cookies of soortgelijke registratietechnologieën worden verzameld niet kennelijk openbaar maakt in de zin van eerstgenoemde bepaling.
85 Wanneer zo’n gebruiker op dergelijke websites of apps gegevens invoert of wanneer hij in die websites en apps geïntegreerde selectieknoppen aanklikt – zoals de knoppen „vind ik leuk” of „delen”, of de knoppen waarmee hij zich op deze websites of apps kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn gebruikersaccount van het online sociale netwerk, zijn telefoonnummer of zijn e-mailadres –, maakt hij de aldus ingevoerde of uit het aanklikken van deze knoppen voortvloeiende gegevens slechts kennelijk openbaar in de zin van dat artikel 9, lid 2, onder e), wanneer hij vooraf uitdrukkelijk zijn keuze kenbaar heeft gemaakt, in voorkomend geval op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie, om de hem betreffende gegevens openbaar te maken voor een onbeperkt aantal personen.
Derde tot en met vijfde prejudiciële vraag
86 Met zijn derde en vierde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in essentie te vernemen of en onder welke voorwaarden artikel 6, lid 1, eerste alinea, onder b) en f), AVG aldus moet worden uitgelegd dat de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, noodzakelijk kan worden geacht voor de uitvoering van een overeenkomst waarbij de betrokkenen partij zijn in de zin van punt b) of voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van punt f). Deze rechter vraagt zich met name af of bepaalde door hem uitdrukkelijk genoemde belangen daartoe een „gerechtvaardigd belang” in de zin van laatstgenoemde bepaling vormen.
87 Met zijn vijfde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 6, lid 1, eerste alinea, onder c) tot en met e), AVG aldus moet worden uitgelegd dat een dergelijke verwerking van persoonsgegevens kan worden geacht noodzakelijk te zijn voor de nakoming van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust in de zin van punt c), om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen in de zin van punt d), of voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen in de zin van punt e), wanneer de verwerking wordt verricht om respectievelijk te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens, om schadelijke gedragingen te bestrijden en de veiligheid te bevorderen alsook voor doeleinden van onderzoek ten behoeve van het welzijn van de maatschappij en om de bescherming, integriteit en veiligheid te bevorderen.
Opmerkingen vooraf
88 Vooraf moet ten eerste worden opgemerkt dat de derde tot en met de vijfde vraag zijn gesteld omdat volgens de vaststellingen van het Bundeskartellamt in zijn besluit van 6 februari 2019 niet kan worden geoordeeld dat de gebruikers van het online sociale netwerk Facebook toestemming hebben gegeven voor de verwerking van de in het hoofdgeding aan de orde zijnde gegevens in de zin van artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), AVG. In deze context is de verwijzende rechter van mening dat hij moet nagaan of die verwerking voldoet aan een van de andere in dat artikel 6, lid 1, eerste alinea, onder b) tot en met f), van deze verordening gestelde rechtmatigheidsvoorwaarden, al legt hij het Hof met betrekking tot die premisse zijn zesde vraag voor.
89 In dit verband moet worden opgemerkt dat het in de derde tot en met de vijfde vraag bedoelde verzamelen, koppelen en gebruiken van gegevens handelingen betreft die betrekking kunnen hebben op zowel gevoelige gegevens in de zin van artikel 9, lid 1, AVG als niet-gevoelige gegevens. Er moet echter duidelijk worden gemaakt dat wanneer dergelijke handelingen worden verricht met betrekking tot een gegevensverzameling bestaande uit zowel gevoelige als niet-gevoelige gegevens en al deze gegevens met name als één geheel bijeen worden gebracht zonder dat zij op het moment waarop dat gebeurt van elkaar kunnen worden gescheiden, de verwerking van de hele gegevensverzameling moet worden geacht verboden te zijn in de zin van artikel 9, lid 1, AVG, aangezien al die gegevens bij elkaar ten minste één gevoelig gegeven bevatten en geen van de in artikel 9, lid 2, van deze verordening bedoelde uitzonderingen van toepassing is.
90 Ten tweede moet ter beantwoording van de derde tot en met de vijfde vraag in herinnering worden gebracht dat artikel 6, lid 1, eerste alinea, AVG een uitputtende en limitatieve lijst bevat van de gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden beschouwd. Een dergelijke verwerking kan dus alleen als rechtmatig worden aangemerkt indien deze valt onder een van de in deze bepaling bedoelde gevallen [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 99 en aldaar aangehaalde rechtspraak].
91 Volgens artikel 6, lid 1, eerste alinea, onder a), van deze verordening is de verwerking van persoonsgegevens alleen rechtmatig indien en voor zover de betrokkene daarvoor toestemming heeft gegeven voor een of meer specifieke doeleinden.
92 Bij gebreke van een dergelijke toestemming of wanneer die toestemming niet vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven in de zin van artikel 4, punt 11, AVG, is de verwerking niettemin gerechtvaardigd wanneer is voldaan aan een van de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), van deze verordening genoemde voorwaarden waarbij er sprake is van noodzakelijkheid.
93 In deze context moeten de in deze laatste bepaling bedoelde rechtvaardigingsgronden restrictief worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven [zie in die zin arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punt 73 en aldaar aangehaalde rechtspraak].
94 Bovendien hoeft, zoals het Hof heeft geoordeeld, wanneer kan worden vastgesteld dat een verwerking van persoonsgegevens noodzakelijk is in het licht van een van de rechtvaardigingsgronden van artikel 6, lid 1, eerste alinea, onder b) tot en met f), AVG, niet te worden nagegaan of die verwerking ook onder een andere van die rechtvaardigingsgronden valt (zie in die zin arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 71).
95 Ten slotte moet worden verduidelijkt dat het volgens artikel 5 AVG aan de verwerkingsverantwoordelijke staat om te bewijzen dat deze gegevens met name voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en dat zij worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Bovendien moet de verwerkingsverantwoordelijke, wanneer bij de betrokkene persoonsgegevens worden verzameld, hem overeenkomstig artikel 13, lid 1, onder c), informatie verstrekken over de verwerkingsdoeleinden waarvoor deze gegevens zijn bestemd en over de rechtsgrondslag voor die verwerking.
96 Het staat weliswaar aan de verwijzende rechter om te bepalen of de verschillende onderdelen van de in het hoofdgeding aan de orde zijnde verwerking gerechtvaardigd zijn omdat die noodzakelijk zijn om een van de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), AVG bedoelde redenen, maar het Hof kan hem niettemin nuttige aanwijzingen verschaffen om het bij hem aanhangige geding te kunnen beslechten.
Derde en vierde vraag
97 In de eerste plaats bepaalt artikel 6, lid 1, eerste alinea, onder b), AVG dat de verwerking van persoonsgegevens rechtmatig is indien zij „noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”.
98 Om als noodzakelijk voor de uitvoering van een overeenkomst in de zin van die bepaling te kunnen worden beschouwd, moet de verwerking van persoonsgegevens objectief onontbeerlijk zijn om een doel te bereiken dat een integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie. De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.
99 Het feit dat een dergelijke verwerking in de overeenkomst is vermeld dan wel enkel nuttig is voor de uitvoering ervan, is in dit verband op zich irrelevant. Doorslaggevend voor de toepassing van de in artikel 6, lid 1, eerste alinea, onder b), AVG bedoelde rechtvaardiging is immers dat de verwerking van persoonsgegevens door de verwerkingsverantwoordelijke essentieel is voor de correcte uitvoering van de tussen hem en de betrokkene gesloten overeenkomst en dat er dus geen bruikbare, minder ingrijpende alternatieven bestaan.
100 Zoals de advocaat-generaal in punt 54 van zijn conclusie heeft opgemerkt, moet de toepasselijkheid van artikel 6, lid 1, eerste alinea, onder b), AVG in de context van een overeenkomst die bestaat uit verschillende diensten of verschillende afzonderlijke elementen van dezelfde dienst die onafhankelijk van elkaar kunnen worden uitgevoerd, voor elk van deze diensten afzonderlijk worden beoordeeld.
101 In het onderhavige geval noemt de verwijzende rechter in het kader van de rechtvaardigingsgronden die binnen de werkingssfeer van deze bepaling kunnen vallen, als elementen waarmee de correcte uitvoering van de overeenkomst tussen Meta Platforms Ireland en haar gebruikers moet worden gewaarborgd, de personalisatie van de inhoud en het consistente en probleemloze gebruik van de diensten van het Metaconcern.
102 Wat ten eerste de rechtvaardiging betreft die is gebaseerd op de personalisatie van de inhoud, moet worden opgemerkt dat een dergelijke personalisatie weliswaar nuttig is voor de gebruiker, met name omdat hij daardoor grotendeels inhoud kan bekijken waar hij belangstelling voor heeft, maar, onder voorbehoud van verificatie door de verwijzende rechter, niet noodzakelijk lijkt om hem de diensten van het online sociale netwerk aan te bieden. In voorkomend geval kan hem voor deze diensten een gelijkwaardig alternatief worden verstrekt waarvoor een dergelijke personalisatie niet nodig is, zodat deze niet objectief onontbeerlijk is voor een doel dat integrerend deel uitmaakt van die diensten.
103 Wat ten tweede de rechtvaardiging betreft die is gebaseerd op het consistente en probleemloze gebruik van de diensten van het Metaconcern, blijkt uit het dossier waarover het Hof beschikt dat een persoon niet verplicht is om zich op de verschillende diensten van dat concern te abonneren om een gebruikersaccount voor het online sociale netwerk Facebook te kunnen aanmaken. De verschillende producten en diensten die door dit concern worden aangeboden kunnen immers onafhankelijk van elkaar worden gebruikt en voor elk product of elke dienst moet een afzonderlijke gebruiksovereenkomst worden gesloten.
104 Onder voorbehoud van verificatie door de verwijzende rechter lijkt de verwerking van persoonsgegevens die afkomstig zijn van andere diensten van het Metaconcern dan het online sociale netwerk, dus niet noodzakelijk te zijn om laatstbedoelde dienst te kunnen aanbieden.
105 In de tweede plaats is volgens artikel 6, lid 1, eerste alinea, onder f), AVG de verwerking van persoonsgegevens rechtmatig voor zover die „noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”.
106 Zoals het Hof reeds heeft geoordeeld, worden in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerkingen van persoonsgegevens rechtmatig zijn, te weten, ten eerste, de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of van een derde, ten tweede, de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, ten derde, de voorwaarde dat de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde (arrest van 17 juni 2021, M.I.C.M., C‑597/19, EU:C:2021:492, punt 106 en aldaar aangehaalde rechtspraak).
107 Wat ten eerste de voorwaarde inzake de behartiging van een gerechtvaardigd belang betreft, moet worden verduidelijkt dat het volgens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om bij een verwerking die is gebaseerd op artikel 6, lid 1, eerste alinea, onder f), van deze verordening, de betrokken persoon op het moment waarop persoonsgegevens bij hem worden verzameld, mee te delen welke gerechtvaardigde belangen worden nagestreefd.
108 Ten tweede verplicht de voorwaarde van een verwerking van persoonsgegevens die noodzakelijk is voor de behartiging van het gerechtvaardigde belang, de verwijzende rechter ertoe om na te gaan of het gerechtvaardigde belang dat bestaat bij de verwerking van de gegevens redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die in mindere mate afbreuk doen aan de grondrechten en de fundamentele vrijheden van de betrokkenen, in het bijzonder aan het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens zoals die door de artikelen 7 en 8 van het Handvest worden gewaarborgd [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 110 en aldaar aangehaalde rechtspraak].
109 In dit verband zij er tevens aan herinnerd dat de voorwaarde inzake de noodzaak van de verwerking moet worden onderzocht in samenhang met het zogenoemde beginsel van „minimale gegevensverwerking” van artikel 5, lid 1, onder c), AVG op grond waarvan persoonsgegevens „toereikend [moeten] zijn, ter zake dienend en beperkt [...] tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt” (zie in die zin arrest van 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, punt 48).
110 Wat ten derde de voorwaarde betreft volgens welke de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder mogen wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, heeft het Hof reeds geoordeeld dat deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert die in beginsel afhangt van de omstandigheden van het concrete geval, en dat het bijgevolg aan de verwijzende rechter staat om bij deze afweging rekening te houden met die specifieke omstandigheden (arrest van 17 juni 2021, M.I.C.M., C‑597/19, EU:C:2021:492, punt 111 en aldaar aangehaalde rechtspraak).
111 In dit verband blijkt uit de tekst zelf van artikel 6, lid 1, eerste alinea, onder f), AVG dat ingeval de betrokkene een kind is, daar bij een dergelijke afweging bijzondere aandacht aan moet worden besteed. Volgens overweging 38 van deze verordening hebben kinderen immers recht op specifieke bescherming bij de verwerking van hun persoonsgegevens, aangezien zij zich allicht minder bewust zijn van de betrokken risico’s, gevolgen en waarborgen en van hun rechten in verband met een dergelijke verwerking van persoonsgegevens. Zo’n bijzondere bescherming moet dus met name gelden voor de verwerking van persoonsgegevens van kinderen voor marketingdoeleinden of voor het opstellen van persoonlijkheids- of gebruikersprofielen of het aanbieden van diensten die rechtstreeks op kinderen zijn gericht.
112 Bovendien kunnen, zoals blijkt uit overweging 47 AVG, de belangen en de grondrechten van de betrokkene met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen een dergelijke verwerking redelijkerwijs niet verwachten.
113 In het onderhavige geval verwijst de verwijzende rechter in het kader van de rechtvaardigingsgronden die binnen de werkingssfeer van artikel 6, lid 1, eerste alinea, onder f), AVG kunnen vallen, naar de personalisatie van reclame, netwerkveiligheid, productverbetering, het informeren van autoriteiten die bevoegd zijn voor strafrechtelijke vervolging en de tenuitvoerlegging van straffen, het feit dat de gebruiker minderjarig is, onderzoek en innovatie voor het maatschappelijk belang, alsook het op adverteerders en andere professionele partners gerichte aanbod van diensten op het gebied van marketingcommunicatie met de gebruiker en van middelen voor de analyse van hun prestaties.
114 In dit verband moet om te beginnen worden opgemerkt dat in het verzoek om een prejudiciële beslissing niet wordt toegelicht in welk opzicht onderzoek en innovatie voor het maatschappelijk belang of het feit dat de gebruiker minderjarig is, gerechtvaardigde belangen in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG kunnen vormen op grond waarvan de betrokken gegevens mogen worden verzameld en geëxploiteerd. Bijgevolg kan het Hof zich hier niet over uitspreken.
115 Wat ten eerste de personalisatie van reclame betreft, moet worden opgemerkt dat de verwerking van persoonsgegevens voor direct marketing volgens overweging 47 van deze verordening kan worden beschouwd als een verwerking die tegemoetkomt aan een gerechtvaardigd belang van de verwerkingsverantwoordelijke.
116 Een dergelijke verwerking moet echter ook noodzakelijk zijn voor de behartiging van dat belang, en de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene mogen niet zwaarder wegen dan dat belang. In het kader van deze afweging van de tegengestelde rechten en belangen in kwestie – namelijk die van de verwerkingsverantwoordelijke enerzijds en die van de betrokkene anderzijds – moet, zoals in punt 112 van dit arrest is opgemerkt, met name rekening worden gehouden met de redelijke verwachtingen van de betrokkene alsook met de omvang van de verwerking en de gevolgen ervan voor die persoon.
117 In dit verband moet worden opgemerkt dat de gebruiker van een online sociaal netwerk zoals Facebook, ondanks het feit dat de diensten van dat netwerk kosteloos zijn, er redelijkerwijs geen rekening mee hoeft te houden dat de exploitant van dit sociale netwerk zijn persoonsgegevens zonder zijn toestemming verwerkt ten behoeve van de personalisatie van reclame. In die omstandigheden moet worden geoordeeld dat de belangen en grondrechten van een dergelijke gebruiker zwaarder wegen dan het belang van die exploitant bij een dergelijke personalisatie van de reclame waarmee hij zijn activiteiten financiert, zodat de verwerking die hij voor dergelijke doeleinden verricht, niet onder artikel 6, lid 1, eerste alinea, onder f), AVG kan vallen.
118 Bovendien is de in het hoofdgeding aan de orde zijnde verwerking bijzonder omvangrijk, aangezien deze een potentieel onbeperkt aantal gegevens kan betreffen en ingrijpende gevolgen heeft voor de gebruiker, wiens online activiteiten grotendeels of zelfs bijna helemaal door Meta Platforms Ireland worden gevolgd, hetgeen hem het gevoel kan geven dat zijn privéleven voortdurend in de gaten wordt gehouden.
119 Ten tweede vormt de doelstelling de netwerkbeveiliging te waarborgen, zoals in overweging 49 AVG staat te lezen, een legitiem belang van Meta Platforms Ireland dat de in het hoofdgeding aan de orde zijnde verwerking kan rechtvaardigen.
120 Wat de noodzaak van deze verwerking voor de behartiging van dit gerechtvaardigde belang betreft, zal de verwijzende rechter evenwel moeten nagaan of en in hoeverre de verwerking van persoonsgegevens die zijn verzameld uit bronnen van buiten het online sociale netwerk Facebook, daadwerkelijk noodzakelijk is om te verzekeren dat de interne veiligheid van dat netwerk niet in gevaar wordt gebracht.
121 In deze context zal hij, zoals in de punten 108 en 109 van dit arrest is uiteengezet, ook moeten nagaan of het gerechtvaardigde belang van de gegevensverwerking redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die minder inbreuk maken op de grondrechten en de fundamentele vrijheden van de betrokkenen en in het bijzonder op het door de artikelen 7 en 8 van het Handvest gewaarborgde recht op eerbiediging van het privéleven en op bescherming van persoonsgegevens, en of het in artikel 5, lid 1, onder c), AVG neergelegde beginsel van „minimale gegevensverwerking” in acht is genomen.
122 Wat ten derde de doelstelling van productverbetering betreft, valt niet bij voorbaat uit te sluiten dat het belang van de verwerkingsverantwoordelijke om zijn product of dienst te verbeteren teneinde ervoor te zorgen dat de prestaties ervan toenemen en het product of de dienst dus aantrekkelijker wordt, een legitiem belang kan vormen dat een verwerking van persoonsgegevens kan rechtvaardigen, en dat een dergelijke verwerking noodzakelijk kan zijn voor de behartiging van dat belang.
123 Bij de in het hoofdgeding aan de orde zijnde gegevensverwerking lijkt het, onder voorbehoud van de definitieve beoordeling die in dit verband door de verwijzende rechter moet worden verricht, evenwel twijfelachtig of het doel van productverbetering, gelet op de omvang van de verwerking en de ingrijpende gevolgen ervan voor de gebruiker, alsook op de omstandigheid dat deze laatste er redelijkerwijs geen rekening mee hoeft te houden dat die gegevens door Meta Platforms Ireland worden verwerkt, zwaarder kan wegen dan de belangen en grondrechten van die gebruiker, vooral wanneer het daarbij om een kind gaat.
124 Aangaande ten vierde de door de verwijzende rechter genoemde doelstelling om de autoriteiten die bevoegd zijn voor de strafrechtelijke vervolging en de tenuitvoerlegging van straffen te informeren teneinde strafbare feiten te voorkomen, op te sporen en te vervolgen, moet worden vastgesteld dat bij deze doelstelling in beginsel geen sprake is van de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG. Een particuliere marktdeelnemer als Meta Platforms Ireland kan zich immers niet beroepen op een dergelijk gerechtvaardigd belang dat niets te maken heeft met zijn economische en commerciële activiteit. Daarentegen kan de verwerking die een dergelijke marktdeelnemer verricht door deze doelstelling worden gerechtvaardigd wanneer zij objectief noodzakelijk is om te voldoen aan een wettelijke verplichting die op deze marktdeelnemer rust.
125 Gelet op een en ander moet op de derde en de vierde vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder b), AVG aldus moet worden uitgelegd dat de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, slechts noodzakelijk kan worden geacht voor de uitvoering van een overeenkomst waarbij de betrokkenen partij zijn in de zin van deze bepaling, indien die verwerking objectief onontbeerlijk is om een doel te bereiken dat een integrerend deel uitmaakt van de aan deze gebruikers te leveren contractuele prestatie, zodat het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.
126 Artikel 6, lid 1, eerste alinea, onder f), AVG moet aldus worden uitgelegd dat een dergelijke verwerking slechts noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van deze bepaling indien die exploitant de gebruikers bij wie de gegevens zijn verzameld, heeft meegedeeld dat er met de verwerking een gerechtvaardigd belang wordt behartigd, indien deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat belang strikt noodzakelijk is en indien uit een afweging van de tegengestelde belangen in het licht van alle relevante omstandigheden blijkt dat de belangen of grondrechten en fundamentele vrijheden van die gebruikers niet zwaarder wegen dan dit gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde.
Vijfde vraag
127 In de eerste plaats moet er, voor zover deze vraag betrekking heeft op artikel 6, lid 1, eerste alinea, onder c) en e), AVG, aan worden herinnerd dat de verwerking van persoonsgegevens op grond van punt c) rechtmatig is indien die noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Voorts is de verwerking volgens punt e) ook rechtmatig als zij noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
128 In artikel 6, lid 3, AVG wordt met betrekking tot deze twee gevallen waarin de verwerking rechtmatig is, met name gepreciseerd dat de verwerking haar grondslag moet vinden in het Unierecht of het lidstatelijke recht dat op de verwerkingsverantwoordelijke van toepassing is, alsmede dat deze rechtsgrond moet beantwoorden aan een doelstelling van algemeen belang en evenredig moet zijn met het nagestreefde gerechtvaardigde doel.
129 In het onderhavige geval wenst de verwijzende rechter te vernemen of een verwerking van persoonsgegevens als die welke in het hoofdgeding aan de orde is, kan worden geacht gerechtvaardigd te zijn in het licht van artikel 6, lid 1, eerste alinea, onder c), AVG, wanneer daarmee wordt beoogd „te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens”, en in het licht van artikel 6, lid 1, eerste alinea, onder e), van deze verordening wanneer de verwerking „onderzoek ten behoeve van het welzijn van de maatschappij” tot doel heeft en ernaar wordt gestreefd „de bescherming, integriteit en veiligheid te bevorderen”.
130 Er moet evenwel worden vastgesteld dat die rechter het Hof niet de gegevens heeft verstrekt op basis waarvan het zich daarover concreet kan uitspreken.
131 Het staat dus aan de verwijzende rechter om aan de hand van de in punt 128 van dit arrest genoemde voorwaarden na te gaan of de aangevoerde doelstellingen een rechtvaardiging voor die verwerking kunnen vormen.
132 In het bijzonder moet hij, gelet op hetgeen in punt 124 van dit arrest is opgemerkt, met het oog op de toepassing van artikel 6, lid 1, eerste alinea, onder c), AVG nagaan of Meta Platforms Ireland wettelijk verplicht is om preventief persoonsgegevens te verzamelen en te bewaren teneinde te kunnen voldoen aan elk verzoek waarbij een nationale autoriteit bepaalde gegevens over haar gebruikers opvraagt.
133 Evenzo staat het aan die rechter om in het licht van artikel 6, lid 1, eerste alinea, onder e), AVG te beoordelen of Meta Platforms Ireland is belast met een taak van openbaar belang of met een taak in het kader van de uitoefening van het openbaar gezag teneinde met name het onderzoek ten behoeve van het welzijn van de maatschappij te verzekeren en de bescherming, integriteit en veiligheid te bevorderen. Gezien de aard en het hoofdzakelijk economische en commerciële karakter van de activiteit van deze particuliere marktdeelneemster, lijkt het echter weinig waarschijnlijk dat zij met een dergelijke taak is belast.
134 Bovendien moet de verwijzende rechter in voorkomend geval nagaan of de door Meta Platforms Ireland verrichte gegevensverwerking binnen de grenzen van het strikt noodzakelijke blijft, gelet op de omvang van deze verwerking en de ingrijpende gevolgen ervan voor de gebruikers van het online sociale netwerk Facebook.
135 In de tweede plaats is in artikel 6, lid 1, eerste alinea, onder d), AVG bepaald dat de verwerking van persoonsgegevens rechtmatig is wanneer deze noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen.
136 Zoals blijkt uit overweging 46 van deze verordening heeft deze bepaling betrekking op de bijzondere situatie waarin de verwerking van persoonsgegevens noodzakelijk is voor de bescherming van een belang dat voor het leven van de betrokkene of dat van een andere natuurlijke persoon essentieel is. Deze verordening citeert in dat verband als voorbeelden met name humanitaire doeleinden, zoals het monitoren van een epidemie en de verspreiding daarvan, en humanitaire noodsituaties, zoals natuurrampen of door de mens veroorzaakte rampen.
137 Uit deze voorbeelden en uit de strikte uitlegging die aan artikel 6, lid 1, eerste alinea, onder d), AVG moet worden gegeven, blijkt, gelet op de aard van de diensten van de exploitant van een online sociaal netwerk, dat een dergelijke exploitant – wiens activiteiten een hoofdzakelijk economisch en commercieel karakter hebben – zich niet kan beroepen op de bescherming van een belang dat voor het leven van zijn gebruikers of van een andere persoon essentieel is teneinde de rechtmatigheid van een gegevensverwerking als die welke in het hoofdgeding aan de orde is, volledig en op zuiver abstracte en preventieve wijze te rechtvaardigen.
138 Gelet op een en ander moet op de vijfde vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder c), AVG aldus moet worden uitgelegd dat de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, op grond van deze bepaling gerechtvaardigd is wanneer zij daadwerkelijk noodzakelijk is om een wettelijke verplichting na te komen die krachtens een bepaling van Unierecht of het recht van de betrokken lidstaat op de verwerkingsverantwoordelijke rust, wanneer deze rechtsgrondslag beantwoordt aan een doelstelling van algemeen belang en evenredig is aan het nagestreefde gerechtvaardigde doel, en wanneer die verwerking binnen de grenzen van het strikt noodzakelijke blijft.
139 Artikel 6, lid 1, eerste alinea, onder d) en e), AVG moet aldus worden uitgelegd dat een dergelijke verwerking van persoonsgegevens in beginsel en onder voorbehoud van een door de verwijzende rechter te verrichten verificatie niet kan worden geacht noodzakelijk te zijn om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen in de zin van punt d), en evenmin voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen in de zin van punt e).
Zesde vraag
140 Met zijn zesde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), AVG aldus moeten worden uitgelegd dat de toestemming die door de gebruiker van een online sociaal netwerk aan de exploitant van een dergelijk netwerk is gegeven kan worden geacht te voldoen aan de geldigheidsvoorwaarden van artikel 4, punt 11, van deze verordening, in het bijzonder de voorwaarde dat die toestemming vrijelijk wordt gegeven, wanneer die exploitant een machtspositie inneemt op de markt voor online sociale netwerken.
141 Artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), AVG vereisen dat de betrokkene toestemming geeft voor respectievelijk de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden en de verwerking van bijzondere categorieën van gegevens als bedoeld in artikel 9, lid 1.
142 Artikel 4, punt 11, AVG definieert het begrip „toestemming” als „elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt”.
143 Met betrekking tot de vragen van de verwijzende rechter moet in de eerste plaats in herinnering worden gebracht dat de toestemming volgens overweging 42 AVG niet kan worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.
144 In de tweede plaats staat in overweging 43 van deze verordening te lezen dat toestemming, om ervoor te zorgen dat die vrijelijk wordt verleend, geen geldige rechtsgrond mag zijn voor de verwerking van persoonsgegevens wanneer er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke. In deze overweging wordt tevens verduidelijkt dat toestemming wordt geacht niet vrijelijk te zijn verleend indien geen afzonderlijke toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen ondanks het feit dat dit in het individuele geval passend is.
145 In de derde plaats is in artikel 7, lid 4, AVG bepaald dat „[b]ij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, [...] onder meer ten sterkste rekening [wordt] gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst”.
146 De zesde vraag moet op basis van deze overwegingen worden beantwoord.
147 In dit verband moet worden vastgesteld dat de omstandigheid dat de exploitant van een online sociaal netwerk als verwerkingsverantwoordelijke een machtspositie inneemt op de markt voor online sociale netwerken als zodanig er niet aan in de weg staat dat de gebruikers van dit sociale netwerk rechtsgeldig kunnen instemmen, in de zin van artikel 4, punt 11, AVG, met de verwerking van hun persoonsgegevens door die exploitant.
148 Dit neemt niet weg dat een dergelijke omstandigheid, zoals de advocaat-generaal in punt 75 van zijn conclusie in essentie heeft opgemerkt, in aanmerking moet worden genomen bij de beoordeling of de toestemming van de gebruiker van dat netwerk geldig en met name vrij is, aangezien daardoor afbreuk kan worden gedaan aan de keuzevrijheid van die gebruiker, die zijn toestemming mogelijkerwijs niet zonder nadelige gevolgen kan weigeren of intrekken, zoals is uiteengezet in overweging 42 AVG.
149 Bovendien kan het bestaan van een dergelijke machtspositie leiden tot een duidelijke wanverhouding in de zin van overweging 43 AVG tussen de betrokkene en de verwerkingsverantwoordelijke waardoor het met name gemakkelijker wordt om voorwaarden op te leggen die niet strikt noodzakelijk zijn voor de uitvoering van de overeenkomst, hetgeen een omstandigheid vormt waarmee overeenkomstig artikel 7, lid 4, van deze verordening rekening moet worden gehouden. In deze context moet in herinnering worden gebracht dat het er, zoals in de punten 102 tot en met 104 van dit arrest is opgemerkt, onder voorbehoud van de door de verwijzende rechter te verrichten verificaties, niet op lijkt dat de in het hoofdgeding aan de orde zijnde verwerking strikt noodzakelijk is voor de uitvoering van de overeenkomst tussen Meta Platforms Ireland en de gebruikers van het online sociale netwerk Facebook.
150 Daarom moeten deze gebruikers de vrijheid hebben om tijdens het sluiten van de overeenkomst hun toestemming voor bijzondere gegevensverwerkingshandelingen die niet noodzakelijk zijn voor de uitvoering van de overeenkomst, voor elke verwerking apart te weigeren zonder ertoe te worden gedwongen om volledig af te zien van het gebruik van de dienst die de exploitant van het online sociale netwerk aanbiedt, hetgeen impliceert dat die gebruikers, in voorkomend geval tegen een passende vergoeding, een gelijkwaardig alternatief krijgen aangeboden dat niet gepaard gaat met dergelijke gegevensverwerking.
151 Gelet op de omvang van de betrokken gegevensverwerking en de ingrijpende gevolgen ervan voor de gebruikers van dat netwerk en op de omstandigheid dat deze gebruikers er redelijkerwijs geen rekening mee hoeven te houden dat de exploitant van het online sociale netwerk andere gegevens verwerkt dan die betreffende hun gedrag binnen dat netwerk, is het bovendien passend, in de zin van die overweging 43, dat afzonderlijke toestemming kan worden gegeven voor de verwerking van enerzijds laatstgenoemde gegevens en anderzijds off-Facebook-gegevens. Het staat aan de verwijzende rechter om na te gaan of een dergelijke mogelijkheid bestaat; is dat niet zo, dan moet de toestemming van deze gebruikers voor de verwerking van off-Facebook-gegevens worden geacht niet vrijelijk te zijn verleend.
152 Ten slotte zij eraan herinnerd dat volgens artikel 7, lid 1, AVG de verwerkingsverantwoordelijke, ingeval de verwerking berust op toestemming, moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.
153 Aan de hand van deze criteria en een gedetailleerd onderzoek van alle omstandigheden van de zaak, dient de verwijzende rechter te beoordelen of de gebruikers van het online sociale netwerk Facebook rechtsgeldig en met name vrijelijk toestemming hebben gegeven voor de in het hoofdgeding aan de orde zijnde verwerking.
154 Gelet op een en ander moet op de zesde vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), AVG aldus moeten worden uitgelegd dat de omstandigheid dat de exploitant van een online sociaal netwerk een machtspositie inneemt op de markt voor online sociale netwerken als zodanig er niet aan in de weg staat dat de gebruikers van een dergelijk netwerk rechtsgeldig toestemming kunnen geven in de zin van artikel 4, punt 11, van deze verordening voor de verwerking van hun persoonsgegevens door die exploitant. Deze omstandigheid vormt niettemin een belangrijk element om te bepalen of de toestemming daadwerkelijk rechtsgeldig en met name vrijelijk is gegeven, hetgeen deze exploitant dient te bewijzen.
Kosten
155 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Grote kamer) verklaart voor recht:
1) De artikelen 51 en volgende van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), en artikel 4, lid 3, VEU
moeten aldus worden uitgelegd dat
een mededingingsautoriteit van een lidstaat in het kader van het onderzoek of er sprake is van misbruik van een machtspositie door een onderneming in de zin van artikel 102 VWEU kan vaststellen dat de algemene gebruiksvoorwaarden van deze onderneming met betrekking tot de verwerking van persoonsgegevens en de toepassing van die gebruiksvoorwaarden niet met die verordening in overeenstemming zijn, mits die vaststelling noodzakelijk is om een dergelijk misbruik aan te tonen en zij haar verplichting tot loyale samenwerking met de toezichthoudende autoriteiten nakomt.
In het licht van deze verplichting tot loyale samenwerking mag de nationale mededingingsautoriteit niet afwijken van een besluit van de bevoegde nationale toezichthoudende autoriteit of de bevoegde leidende toezichthoudende autoriteit met betrekking tot die algemene voorwaarden of soortgelijke algemene voorwaarden. Wanneer de mededingingsautoriteit twijfels heeft over de draagwijdte van een dergelijk besluit, wanneer die voorwaarden of soortgelijke voorwaarden tegelijkertijd door die autoriteiten worden onderzocht, dan wel wanneer zij, zonder dat die autoriteiten onderzoek hebben gedaan of een besluit hebben genomen, van mening is dat de betrokken voorwaarden niet in overeenstemming zijn met verordening 2016/679, moet zij die toezichthoudende autoriteiten raadplegen en om hun medewerking verzoeken, teneinde haar twijfels weg te nemen dan wel te bepalen of zij moet wachten tot deze autoriteiten een besluit vaststellen, alvorens met haar eigen beoordeling te beginnen. Indien de toezichthoudende autoriteiten niet binnen een redelijke termijn bezwaar maken of antwoorden, kan de nationale mededingingsautoriteit haar eigen onderzoek voortzetten.
2) Artikel 9, lid 1, van verordening 2016/679
moet aldus worden uitgelegd dat
wanneer een gebruiker van een online sociaal netwerk websites of apps bezoekt die met een of meer van de in die bepaling bedoelde categorieën verband houden, en in voorkomend geval daar gegevens invoert door zich te registreren of online bestellingen te plaatsen, de verwerking van persoonsgegevens door de exploitant van dat online sociale netwerk waarbij deze exploitant, door middel van geïntegreerde interfaces, cookies of soortgelijke registratietechnologieën, de gegevens die voortvloeien uit de bezoeken aan die websites en apps alsook de gegevens die door de gebruiker zijn ingevoerd verzamelt, al deze gegevens koppelt aan het account van deze laatste bij het online sociale netwerk en die gegevens gebruikt, moet worden beschouwd als een „verwerking van bijzondere categorieën persoonsgegevens” in de zin van die bepaling die, behoudens de in artikel 9, lid 2, bepaalde uitzonderingen, in beginsel verboden is, wanneer bij deze gegevensverwerking informatie aan het licht kan komen die onder een van deze categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon.
3) Artikel 9, lid 2, onder e), van verordening 2016/679
moet aldus worden uitgelegd dat
een gebruiker van een online sociaal netwerk die websites of apps bezoekt die met een of meer van de in artikel 9, lid 1, van deze verordening bedoelde categorieën verband houden, de gegevens over deze bezoeken die door de exploitant van dit online sociale netwerk via cookies of soortgelijke registratietechnologieën worden verzameld niet kennelijk openbaar maakt in de zin van eerstgenoemde bepaling.
Wanneer zo’n gebruiker op dergelijke websites of apps gegevens invoert of wanneer hij in die websites en apps geïntegreerde selectieknoppen aanklikt – zoals de knoppen „vind ik leuk” of „delen”, of de knoppen waarmee hij zich op deze websites of apps kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn gebruikersaccount van het online sociale netwerk, zijn telefoonnummer of zijn e-mailadres –, maakt hij de aldus ingevoerde of uit het aanklikken van deze knoppen voortvloeiende gegevens slechts kennelijk openbaar in de zin van dat artikel 9, lid 2, onder e), wanneer hij vooraf uitdrukkelijk zijn keuze kenbaar heeft gemaakt, in voorkomend geval op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie, om de hem betreffende gegevens openbaar te maken voor een onbeperkt aantal personen.
4) Artikel 6, lid 1, eerste alinea, onder b), van verordening 2016/679
moet aldus worden uitgelegd dat
de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, slechts noodzakelijk kan worden geacht voor de uitvoering van een overeenkomst waarbij de betrokkenen partij zijn in de zin van deze bepaling, indien die verwerking objectief onontbeerlijk is om een doel te bereiken dat een integrerend deel uitmaakt van de aan deze gebruikers te leveren contractuele prestatie, zodat het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.
5) Artikel 6, lid 1, eerste alinea, onder f), van verordening 2016/679
moet aldus worden uitgelegd dat
de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, slechts noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van deze bepaling indien die exploitant de gebruikers bij wie de gegevens zijn verzameld, heeft meegedeeld dat er met de verwerking een gerechtvaardigd belang wordt behartigd, indien deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat belang strikt noodzakelijk is en indien uit een afweging van de tegengestelde belangen in het licht van alle relevante omstandigheden blijkt dat de belangen of grondrechten en fundamentele vrijheden van die gebruikers niet zwaarder wegen dan dit gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde.
6) Artikel 6, lid 1, eerste alinea, onder c), van verordening 2016/679
moet aldus worden uitgelegd dat
de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, op grond van deze bepaling gerechtvaardigd is wanneer zij daadwerkelijk noodzakelijk is om een wettelijke verplichting na te komen die krachtens een bepaling van Unierecht of het recht van de betrokken lidstaat op de verwerkingsverantwoordelijke rust, wanneer deze rechtsgrondslag beantwoordt aan een doelstelling van algemeen belang en evenredig is aan het nagestreefde gerechtvaardigde doel, en wanneer die verwerking binnen de grenzen van het strikt noodzakelijke blijft.
7) Artikel 6, lid 1, eerste alinea, onder d) en e), van verordening 2016/679
moet aldus worden uitgelegd dat
de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, in beginsel en onder voorbehoud van een door de verwijzende rechter te verrichten verificatie niet kan worden geacht noodzakelijk te zijn om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen in de zin van punt d), en evenmin voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen in de zin van punt e).
8) Artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), van verordening 2016/679
moeten aldus worden uitgelegd dat
de omstandigheid dat de exploitant van een online sociaal netwerk een machtspositie inneemt op de markt voor online sociale netwerken als zodanig er niet aan in de weg staat dat de gebruikers van een dergelijk netwerk rechtsgeldig toestemming kunnen geven in de zin van artikel 4, punt 11, van deze verordening voor de verwerking van hun persoonsgegevens door die exploitant. Deze omstandigheid vormt niettemin een belangrijk element om te bepalen of de toestemming daadwerkelijk rechtsgeldig en met name vrijelijk is gegeven, hetgeen deze exploitant dient te bewijzen.
ondertekeningen