ROZSUDOK SÚDNEHO DVORA (veľká komora)

zo 4. júla 2023 (*)

Obsah

„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Online sociálne siete – Zneužitie dominantného postavenia prevádzkovateľom takejto siete – Zneužitie spočívajúce v spracúvaní osobných údajov používateľov tejto siete stanovenom vo všeobecných podmienkach jej používania – Právomoci orgánu na ochranu hospodárskej súťaže členského štátu konštatovať nesúlad tohto zaobchádzania s týmto nariadením – Skĺbenie s právomocami vnútroštátnych dozorných orgánov na ochranu osobných údajov – Článok 4 ods. 3 ZEÚ – Zásada lojálnej spolupráce – Článok 6 ods. 1 prvý pododsek písm. a) až f) nariadenia 2016/679 – Zákonnosť spracúvania – Článok 9 ods. 1 a 2 – Spracúvanie osobitných kategórií osobných údajov – Článok 4 bod 11 – Pojem ‚súhlas‘“

Vo veci C‑252/21,

ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Oberlandesgericht Düsseldorf (Vyšší krajinský súd Düsseldorf, Nemecko) z 24. marca 2021 a doručený Súdnemu dvoru 22. apríla 2021, ktorý súvisí s konaním:

Meta Platforms Inc., predtým Facebook Inc.,

Meta Platforms Ireland Ltd, predtým Facebook Ireland Ltd,

Facebook Deutschland GmbH

proti

Bundeskartellamt,

za účasti:

Verbraucherzentrale Bundesverband eV,

SÚDNY DVOR (veľká komora),

v zložení: predseda K. Lenaerts, podpredseda L. Bay Larsen, predsedovia komôr A. Prechal, K. Jürimäe, C. Lycourgos, M. Safjan, L. S. Rossi (spravodajkyňa), D. Gratsias a M. L. Arastey Sahún, sudcovia J.‑C. Bonichot, S. Rodin, F. Biltgen, M. Gavalec, Z. Csehi a O. Spineanu‑Matei,

generálny advokát: A. Rantos,

tajomník: D. Dittert, vedúci oddelenia,

so zreteľom na písomnú časť konania a po pojednávaní z 10. mája 2022,

so zreteľom na pripomienky, ktoré predložili:

–        Meta Platforms Inc., predtým Facebook Inc., Meta Platforms Ireland Ltd, predtým Facebook Ireland Ltd, a Facebook Deutschland GmbH, v zastúpení: M. Braun, M. Esser, L. Hesse, J. Höft a H.‑G. Kamann, Rechtsanwälte,

–        Bundeskartellamt, v zastúpení: J. Nothdurft, K. Ost, I. Sewczyk a J. Topel, splnomocnení zástupcovia,

–        Verbraucherzentrale Bundesverband eV, v zastúpení: S. Louven, Rechtsanwalt,

–        nemecká vláda, v zastúpení: J. Möller a P.‑L. Krüger, splnomocnení zástupcovia,

–        česká vláda, v zastúpení: M. Smolek a J. Vláčil, splnomocnení zástupcovia,

–        talianska vláda, v zastúpení: G. Palmieri, splnomocnená zástupkyňa, za právnej pomoci E. De Bonis a P. Gentili, avvocati dello Stato,

–        rakúska vláda, v zastúpení: A. Posch, J. Schmoll a G. Kunnert, splnomocnení zástupcovia,

–        Európska komisia, v zastúpení: F. Erlbacher, H. Kranenborg a G. Meessen, splnomocnení zástupcovia,

po vypočutí návrhov generálneho advokáta 20. septembra 2022,

vyhlásil tento

Rozsudok

1        Návrh na začatie prejudiciálneho konania sa týka výkladu článku 4 ods. 3 ZEÚ, ako aj článku 6 ods. 1, článku 9 ods. 1 a 2, článku 51 ods. 1 a článku 56 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

2        Tento návrh bol podaný v rámci sporu medzi spoločnosťami Meta Platforms Inc., predtým Facebook Inc., Meta Platforms Ireland Ltd, predtým Facebook Ireland Ltd, a Facebook Deutschland GmbH na jednej strane a Bundeskartellamt (Spolkový úrad pre hospodársku súťaž, Nemecko) na druhej strane vo veci rozhodnutia tohto úradu zakázať týmto spoločnostiam spracúvanie určitých osobných údajov stanovené vo všeobecných podmienkach používania sociálnej siete Facebook (ďalej len „všeobecné podmienky“).

 Právny rámec

 Právo Únie

 Nariadenie (ES) č. 1/2003

3        Článok 5 nariadenia Rady (ES) č. 1/2003 zo 16. decembra 2002 o vykonávaní pravidiel hospodárskej súťaže stanovených v článkoch [101 a 102 ZFEÚ] (Ú. v. ES L 1, 2003, s. 1; Mim. vyd. 08/002, s. 205), nazvaný „Právomoci orgánov hospodárskej súťaže členských štátov“, stanovuje:

„Orgány hospodárskej súťaže členských štátov majú právomoc na uplatňovanie článkov [101] a [102 ZFEÚ] v jednotlivých prípadoch. Na tento účel, konajúc zo svojho vlastného podnetu alebo na základe sťažnosti, môžu prijímať tieto rozhodnutia:

–        nariadiť skončenie porušovania,

–        nariadiť dočasné opatrenia,

–        prijímať záväzky,

–        ukladať pokuty, pravidelné penále alebo iné sankcie podľa vnútroštátneho práva.

Ak na základe informácií, ktoré majú k dispozícii, nie sú splnené podmienky pre zákaz, môžu tiež rozhodnúť, že nie sú žiadne dôvody na zásah z ich strany.“

 GDPR

4        Odôvodnenia 1, 4, 38, 42, 43, 46, 47, 49 a 51 GDPR stanovujú:

„(1)      Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len ‚Charta‘) a v článku 16 ods. 1 [ZFEÚ] sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.

…

(4)      Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte, ako sú zakotvené v zmluvách, najmä rešpektovanie súkromného a rodinného života, obydlia a komunikácie, ochrana osobných údajov, sloboda myslenia, svedomia a náboženského vyznania, sloboda prejavu a právo na informácie, sloboda podnikania, právo na účinný prostriedok nápravy a na spravodlivý proces, a kultúrna, náboženská a jazyková rozmanitosť.

…

(38)      Osobitnú ochranu osobných údajov si zasluhujú deti, keďže si môžu byť v menšej miere vedomé rizík, dôsledkov a dotknutých záruk [dotknutých rizík, dôsledkov a záruk – neoficiálny preklad] a svojich práv súvisiacich so spracúvaním osobných údajov. Takáto osobitná ochrana by sa mala vzťahovať najmä na využívanie osobných údajov detí na účely marketingu alebo vytvorenia osobného [osobnostného – neoficiálny preklad] alebo používateľského profilu a získavanie osobných údajov o deťoch pri používaní služieb poskytovaných priamo dieťaťu. Súhlas nositeľa rodičovských práv a povinností by nemal byť potrebný v súvislosti s preventívnymi alebo poradenskými službami, ktoré sú ponúkané priamo dieťaťu.

…

(42)      Ak je spracúvanie založené na súhlase dotknutej osoby, prevádzkovateľ by mal vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním.… Aby sa zaistilo, že súhlas bude informovaný, dotknutá osoba by si mala byť vedomá aspoň identity [by mala poznať aspoň totožnosť – neoficiálny preklad] prevádzkovateľa a zamýšľaných účelov spracúvania osobných údajov. Súhlas by sa nemal považovať za slobodný, ak dotknutá osoba nemá skutočnú alebo slobodnú voľbu alebo nemôže odmietnuť či odvolať súhlas bez nepriaznivých následkov.

(43)      Aby sa zabezpečilo, že súhlas sa poskytol slobodne, súhlas by nemal byť platným právnym dôvodom na spracúvanie osobných údajov v konkrétnom prípade, ak medzi postavením dotknutej osoby a prevádzkovateľa existuje jednoznačný nepomer, najmä ak je prevádzkovateľ orgánom verejnej moci, a preto nie je pravdepodobné, že sa súhlas poskytol slobodne za všetkých okolností danej konkrétnej situácie. Súhlas sa nepovažuje za poskytnutý slobodne, ak nie je možné dať samostatný súhlas na jednotlivé spracovateľské operácie osobných údajov napriek tomu, že by to bolo v konkrétnom prípade vhodné, alebo ak sa plnenie zmluvy vrátane poskytnutia služby podmieňuje takýmto súhlasom, aj keď to na takéto plnenie nie je takýto súhlas nevyhnutný.

…

(46)      Spracúvanie osobných údajov by sa malo rovnako považovať za zákonné, ak je potrebné na účely ochrany záujmu, ktorý je zásadný pre život [ochrany životne dôležitého záujmu – neoficiálny preklad] dotknutej alebo inej fyzickej osoby. Spracúvanie osobných údajov na základe životne dôležitom záujme [životne dôležitého záujmu – neoficiálny preklad] inej fyzickej osoby by sa malo v zásade uskutočniť len vtedy, keď sa takéto spracúvanie zjavne nemôže zakladať na inom právnom základe. Niektoré typy spracúvania môžu slúžiť na dôležité účely verejného záujmu aj životne dôležité záujmy dotknutej osoby, napríklad ak je spracúvanie nevyhnutné na humanitárne účely vrátane monitorovania epidémií a ich šírenia alebo v humanitárnych núdzových situáciách [naliehavých humanitárnych situáciách – neoficiálny preklad], najmä v prípade prírodných katastrof a katastrof spôsobených ľudskou činnosťou.

(47)      Oprávnené záujmy prevádzkovateľa vrátane prevádzkovateľa, ktorému môžu byť tieto osobné údaje poskytnuté, alebo tretej strany môžu poskytnúť právny základ pre spracúvanie, ak nad nimi neprevažujú záujmy alebo základné práva a slobody dotknutej osoby, pričom sa zohľadnia primerané očakávania dotknutých osôb na základe ich vzťahu k prevádzkovateľovi. … Existencia oprávneného záujmu by si v každom prípade vyžadovala dôkladné posúdenie vrátane posúdenia toho, či dotknutá osoba môže v danom čase a kontexte získavania osobných údajov primerane [dôvodne – neoficiálny preklad] očakávať, že sa spracúvanie na tento účel môže uskutočniť. Záujmy a základné práva dotknutej osoby by mohli prevážiť najmä nad záujmom prevádzkovateľa, ak sa osobné údaje spracúvajú za okolností, keď dotknuté osoby primerane [dôvodne – neoficiálny preklad] neočakávajú ďalšie spracúvanie. … Spracúvanie osobných údajov na účely priameho marketingu možno považovať za oprávnený záujem [za spracúvanie vykonávané z dôvodu oprávneného záujmu – neoficiálny preklad].

…

(49)      Spracúvanie osobných údajov v rozsahu nevyhnutne potrebnom a primeranom na účely zaistenia bezpečnosti siete a informačnej bezpečnosti, t. j. schopnosti siete alebo informačného systému odolať na danom stupni dôvernosti poruchám alebo nezákonným alebo úmyselným činom, ktoré narušujú dostupnosť, pravosť, integritu a dôvernosť uchovávaných alebo prenesených osobných údajov, a bezpečnosti súvisiacich služieb ponúkaných alebo dostupných prostredníctvom týchto sietí a systémov… predstavuje oprávnený záujem dotknutého prevádzkovateľa údajov.

…

(51)      Osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká. Uvedené osobné údaje by mali zahŕňať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, pričom použitie výrazu ‚rasový pôvod‘ v tomto nariadení neznamená, že Únia akceptuje teórie, ktoré sa usilujú stanoviť existenciu oddelených [rôznych – neoficiálny preklad] ľudských rás. Spracúvanie fotografií by sa nemalo systematicky považovať za spracúvanie osobitných kategórií osobných údajov, pretože vymedzenie pojmu biometrické údaje sa na ne vzťahuje len v prípadoch, keď sa spracúvajú osobitnými technickými prostriedkami, ktoré umožňujú alebo potvrdzujú jedinečnú identifikáciu [umožňujú jedinečnú identifikáciu alebo autentifikáciu– neoficiálny preklad] fyzickej osoby. Takéto osobné údaje by sa nemali spracúvať, pokiaľ spracúvanie nie je povolené v osobitných prípadoch stanovených v tomto nariadení, pričom sa zohľadní, že právo členských štátov môže stanoviť osobitné ustanovenia o ochrane údajov, ktorými prispôsobia uplatňovanie pravidiel tohto nariadenia na účely splnenia zákonnej povinnosti alebo úlohy realizovanej vo verejnom záujme či pri výkone verejnej moci zverenej prevádzkovateľovi. Okrem osobitných požiadaviek na takéto spracúvanie by sa mali uplatňovať všeobecné zásady a iné pravidlá uvedené v tomto nariadení, najmä pokiaľ ide o podmienky pre zákonné spracúvanie. Výnimky zo všeobecného zákazu spracúvania týchto osobitných kategórií osobných údajov by sa mali výslovne uviesť okrem iného vtedy, ak dotknutá osoba poskytla svoj výslovný súhlas alebo v súvislosti s osobitnými potrebami, najmä ak spracúvanie vykonávajú v rámci legitímnych činností určité združenia alebo nadácie, ktorých účelom je umožniť výkon základných slobôd.“

5        Článok 4 tohto nariadenia stanovuje:

„Na účely tohto nariadenia:

1.      ‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘);…

2.      ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie [prehliadanie, použite, sprístupnenie prenosom, šírenie alebo akékoľvek iné sprístupnenie, zoradenie – neoficiálny preklad] alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;

…

7.      ‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu;

…

11.      ‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka;

…

23.      ‚cezhraničné spracúvanie‘ je buď

a)      spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii v kontexte činností prevádzkarní prevádzkovateľa alebo sprostredkovateľa vo viac ako jednom členskom štáte, pričom prevádzkovateľ alebo sprostredkovateľ sú usadení vo viac ako jednom členskom štáte; alebo

b)
spracúvanie osobných údajov, ktoré sa uskutočňuje v Únii kontexte činností jedinej prevádzkarne prevádzkovateľa alebo sprostredkovateľa v Únii, ale ktoré podstatne ovplyvňuje alebo pravdepodobne podstatne ovplyvní dotknuté osoby vo viac ako jednom členskom štáte;

…“

6        Článok 5 uvedeného nariadenia, nazvaný „Zásady spracúvania osobných údajov“, v odsekoch 1 a 2 stanovuje:

„1.      Osobné údaje musia byť:

a)      spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);

b)      získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi;…

c)      primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);

…

2.      Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“

7        Článok 6 toho istého nariadenia s názvom „Zákonnosť spracúvania“ znie:

„1.      Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

a)      dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;

b)      spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;

c)      spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;

d)      spracúvanie je nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby…

e)      spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;

f)      spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa.

Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.

…

3.      Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:

a)      v práve Únie alebo

b)      v práve členského štátu vzťahujúcom sa na prevádzkovateľa.

…

… Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.“

8        Článok 7 GDPR, nazvaný „Podmienky vyjadrenia súhlasu“, stanovuje:

„1.      Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.

…

4.      Pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný.“

9        Článok 9 tohto nariadenia, nazvaný „Spracúvanie osobitných kategórií osobných údajov“, stanovuje:

„1.      Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.

2.      Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:

a)      dotknutá osoba vyjadrila výslovný súhlas so spracúvaním týchto osobných údajov na jeden alebo viacero určených účelov, s výnimkou prípadov, keď sa v práve Únie alebo v práve členského štátu stanovuje, že zákaz uvedený v odseku 1 nemôže dotknutá osoba zrušiť;

…

e)      spracúvanie sa týka osobných údajov, ktoré dotknutá osoba preukázateľne zverejnila;

f)      spracúvanie je nevyhnutné na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov, alebo kedykoľvek, keď súdy vykonávajú svoju súdnu právomoc;

…“

10      Článok 13 uvedeného nariadenia, ktorý sa týka „informácií, ktoré sa majú poskytnúť pri získavaní osobných údajov od dotknutej osoby“, v odseku 1 stanovuje:

„V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:

…

c)      účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;

d)      ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;

…“

11      Kapitola VI GDPR, ktorá sa týka „nezávislých dozorných orgánov“, obsahuje články 51 až 59 tohto nariadenia.

12      Článok 51 uvedeného nariadenia, nazvaný „Dozorný orgán“, v odsekoch 1 a 2 stanovuje:

„1.      Každý členský štát stanoví, že za monitorovanie uplatňovania tohto nariadenia je zodpovedný jeden alebo viacero nezávislých orgánov verejnej moci s cieľom chrániť základné práva a slobody fyzických osôb pri spracúvaní a uľahčiť voľný tok osobných údajov v rámci Únie…

2.      Každý dozorný orgán prispieva ku konzistentnému uplatňovaniu tohto nariadenia v celej Únii. Na tento účel dozorné orgány spolupracujú navzájom, ako aj s [Európskou k]omisiou v súlade s kapitolou VII.“

13      Podľa článku 55 toho istého nariadenia s názvom „Príslušnosť“:

„1.      Každý dozorný orgán je príslušný plniť úlohy, ktoré mu boli uložené, a vykonávať právomoci, ktoré mu boli zverené, v súlade s týmto nariadením na území vlastného členského štátu.

2.      Ak spracúvanie uskutočňujú orgány verejnej moci alebo súkromnoprávne subjekty konajúce na základe článku 6 ods. 1 písm. c) alebo e), za príslušný orgán sa považuje dozorný orgán dotknutého členského štátu. V takých prípadoch sa článok 56 neuplatňuje.“

14      Článok 56 GDPR, nazvaný „Príslušnosť hlavného dozorného orgánu“, v odseku 1 stanovuje:

„Bez toho, aby bol dotknutý článok 55, dozorný orgán hlavnej prevádzkarne alebo jedinej prevádzkarne prevádzkovateľa alebo sprostredkovateľa je príslušný konať ako vedúci dozorný orgán pre cezhraničné spracúvanie vykonávané zo strany tohto prevádzkovateľa alebo sprostredkovateľa v súlade s postupom stanoveným v článku 60.“

15      Článok 57 tohto nariadenia, nazvaný „Úlohy“, v odseku 1 stanovuje:

„Bez toho, aby boli dotknuté iné úlohy stanovené podľa tohto nariadenia, každý dozorný orgán na svojom území:

a)      monitoruje a presadzuje uplatňovanie tohto nariadenia;

…

g)      spolupracuje s inými dozornými orgánmi, vrátane výmeny informácií, a poskytuje im vzájomnú pomoc s cieľom zabezpečiť konzistentné uplatňovanie a presadzovanie tohto nariadenia;

…“

16      Článok 58 uvedeného nariadenia v odseku 1 stanovuje zoznam vyšetrovacích právomocí, ktoré má každý dozorný orgán, a v odseku 5 spresňuje, že „každý členský štát prostredníctvom právnych predpisov stanoví, že jeho dozorný orgán má právomoc upozorniť justičné orgány na porušenia tohto nariadenia a prípadne začať súdne konanie alebo sa na ňom inak zúčastniť s cieľom presadiť dodržiavanie ustanovení tohto nariadenia“.

17      Oddiel 1 nazvaný „Spolupráca“ kapitoly VII GDPR, ktorá má názov „Spolupráca a konzistentnosť“, obsahuje články 60 až 62 tohto nariadenia. Článok 60 týkajúci sa „spolupráce medzi vedúcim dozorným orgánom a inými dotknutými dozornými orgánmi“ v odseku 1 stanovuje:

„Vedúci dozorný orgán spolupracuje s inými dotknutými dozornými orgánmi v súlade s týmto článkom a s cieľom dosiahnuť konsenzus. Vedúci dozorný orgán a dotknuté dozorné orgány si navzájom vymieňajú všetky relevantné informácie.“

18      Článok 61 GDPR, nazvaný „Vzájomná pomoc“, v odseku 1 uvádza:

„Dozorné orgány si navzájom poskytujú relevantné informácie a pomoc v záujme konzistentného vykonávania a uplatňovania tohto nariadenia a prijímajú opatrenia na účinnú vzájomnú spoluprácu. Vzájomná pomoc sa týka najmä žiadostí o informácie a opatrení v oblasti dozoru, ako sú napríklad žiadosti o predchádzajúce povolenie a konzultácie, kontroly a vyšetrovania.“

19      Článok 62 tohto nariadenia, nazvaný „Spoločné operácie dozorných orgánov“, v odsekoch 1 a 2 stanovuje:

„1.      Dozorné orgány podľa potreby vykonávajú spoločné operácie vrátane spoločných vyšetrovaní a spoločných opatrení v oblasti presadzovania, do ktorých sú zapojení členovia alebo personál dozorných orgánov iných členských štátov.

2.      Ak má prevádzkovateľ alebo sprostredkovateľ prevádzkarne vo viacerých členských štátoch alebo keď je pravdepodobné, že spracovateľské operácie budú mať podstatný vplyv na významný počet dotknutých osôb vo viac ako jednom členskom štáte, dozorný orgán každého z týchto členských štátov má právo podieľať sa na spoločných operáciách. …“

20      Oddiel 2 s názvom „Konzistentnosť“ kapitoly VII GDPR obsahuje články 63 až 67 tohto nariadenia. Článok 63, nazvaný „Mechanizmus konzistentnosti“, znie:

„S cieľom prispievať ku konzistentnému uplatňovaniu tohto nariadenia v celej Únii dozorné orgány spolupracujú navzájom a v relevantných prípadoch s Komisiou prostredníctvom mechanizmu konzistentnosti, ako sa stanovuje v tomto oddiele.“

21      Podľa článku 64 ods. 2 tohto nariadenia:

„Ktorýkoľvek dozorný orgán, predseda [Európskeho] výboru [pre ochranu údajov] alebo Komisia môže požiadať, aby akúkoľvek záležitosť so všeobecným uplatnením alebo s účinkami vo viac ako jednom členskom štáte preskúmal [Európsky] výbor [pre ochranu údajov] s cieľom získať stanovisko, najmä ak si príslušný dozorný orgán neplní povinnosti týkajúce sa vzájomnej pomoci podľa článku 61 alebo spoločných operácií podľa článku 62.“

22      Článok 65 uvedeného nariadenia s názvom „Riešenie sporov výborom“ v odseku 1 stanovuje:

„S cieľom zabezpečiť správne a jednotné uplatňovanie tohto nariadenia v jednotlivých prípadoch prijme [Európsky] výbor [pre ochranu údajov] záväzné rozhodnutie v týchto prípadoch:

a)      ak v prípade uvedenom v článku 60 ods. 4 dotknutý dozorný orgán vzniesol relevantnú a odôvodnenú námietku voči návrhu rozhodnutia vedúceho dozorného orgánu a vedúci dozorného orgán nezohľadnil námietku alebo zamietol takúto námietku ako irelevantnú alebo neodôvodnenú. Toto záväzné rozhodnutie sa týka všetkých záležitostí, ktoré sú predmetom relevantnej a odôvodnenej námietky, najmä pokiaľ ide o to, či došlo k porušeniu tohto nariadenia;

b)      ak existujú protichodné názory na to, ktorý z dotknutých dozorných orgánov je príslušný pre hlavnú prevádzkareň;

…“

 Nemecké právo

23      Ustanovenie § 19 ods. 1 Gesetz gegen Wettbewerbsbeschränkungen (zákon proti obmedzovaniu hospodárskej súťaže) v znení uverejnenom 26. júna 2013 (BGBl. 2013 I, s. 1750, 3245), naposledy zmeneného § 2 zákona zo 16. júla 2021 (BGBl. 2021 I, s. 2959) (ďalej len „GWB“) stanovuje:

„Zneužívanie dominantného postavenia jedným alebo viacerými podnikmi je zakázané.“

24      V § 32 ods. 1 GWB sa uvádza:

„Orgán na ochranu hospodárskej súťaže môže podnikom alebo združeniam podnikov uložiť povinnosť ukončiť porušovanie niektorého z ustanovení tejto časti alebo článkov 101 alebo 102 Zmluvy o fungovaní Európskej únie.“

25      Ustanovenie § 50f GWB v odseku 1 stanovuje:

„Orgány na ochranu hospodárskej súťaže, regulačné orgány, spolkový zmocnenec pre ochranu údajov a slobodu informácií, zmocnenci spolkových krajín pre ochranu údajov, ako aj príslušné orgány v zmysle článku 2 EU‑Verbraucherschutzdurchführungsgesetz [(zákon o vykonávaní práva Európskej únie v oblasti ochrany spotrebiteľov)] si môžu bez ohľadu na zvolený postup vzájomne vymieňať informácie vrátane osobných údajov a obchodného tajomstva v rozsahu, v akom je to potrebné na plnenie ich príslušných úloh, ako aj využívať tieto informácie pri svojej činnosti. …“

 Spor vo veci samej a prejudiciálne otázky

26      Spoločnosť Meta Platforms Ireland Ltd prevádzkuje v Únii sociálnu sieť Facebook a propaguje okrem iného na stránke www.facebook.com služby, ktoré sú pre súkromných používateľov bezplatné. Ďalšie podniky skupiny Meta ponúkajú v Únii ďalšie online služby, napríklad Instagram, WhatsApp, Oculus a – do 13. marca 2020 – Masquerade.

27      Obchodný model online sociálnej siete „Facebook“ je založený na financovaní prostredníctvom online reklamy, ktorá je prispôsobená jednotlivým používateľom sociálnej siete najmä podľa ich spotrebiteľských návykov, záujmov, kúpnej sily a ich osobnej situácie. Technickým základom takejto reklamy je automatizované zostavovanie detailných profilov používateľov siete a online služieb ponúkaných na úrovni skupiny Meta. Na tento účel sa okrem údajov, ktoré títo používatelia zadávajú priamo pri registrácii do príslušných online služieb, zhromažďujú aj ďalšie údaje týkajúce sa uvedených používateľov a ich zariadení, a to v rámci tejto sociálnej siete a online služieb poskytovaných skupinou Meta aj mimo tejto siete a týchto služieb, a sú prepájané s rôznymi používateľskými účtami. Tieto údaje ako celok umožňujú vyvodiť podrobné závery o preferenciách a záujmoch týchto používateľov.

28      Pri spracúvaní uvedených údajov sa Meta Platforms Ireland opiera o používateľskú zmluvu, ktorú používatelia sociálnej siete Facebook uzatvárajú kliknutím na tlačidlo „zaregistrovať sa“, a ktorou títo používatelia vyjadrujú súhlas so všeobecnými podmienky vypracovanými touto spoločnosťou. Súhlas s týmito podmienkami je nevyhnutný na používanie sociálnej siete „Facebook“. Pokiaľ ide o spracúvanie osobných údajov, všeobecné podmienky odkazujú na zásady používania údajov a súborov cookies stanovené uvedenou spoločnosťou. Podľa týchto zásad Meta Platforms Ireland zhromažďuje údaje o používateľoch a zariadeniach, týkajúce sa aktivít používateľov na sociálnej sieti aj mimo nej, a priraďuje ich k účtom dotknutých používateľov na Facebooku. Pokiaľ ide o tieto posledné uvedené údaje týkajúce sa aktivít mimo sociálnej siete (ďalej aj „údaje off Facebook“), ide jednak o údaje týkajúce navštevovania internetových stránok a aplikácií tretích strán, ktoré sú prepojené s Facebookom prostredníctvom programových rozhraní – „Facebook Business Tools“ –, a jednak o údaje o používaní iných online služieb patriacich do skupiny Meta, medzi ktoré patrí „Instagram“, „WhatsApp“, „Oculus“ a – do 13. marca 2020 – „Masquerade“.

29      Spolkový úrad pre hospodársku súťaž začal konanie proti spoločnostiam Meta Platforms, Meta Platforms Ireland a Facebook Deutschland, na konci ktorého im rozhodnutím zo 6. februára 2019 na základe § 19 ods. 1 a § 32 GWB v podstate zakázal, aby vo všeobecných podmienkach podmienili používanie sociálnej siete Facebook súkromnými používateľmi s bydliskom v Nemecku spracúvaním ich údajov off Facebook a bez ich súhlasu spracúvali tieto údaje na základe v tom čase platných všeobecných podmienok. Okrem toho im uložil povinnosť, aby upravili tieto všeobecné podmienky tak, aby z nich jasne vyplývalo, že uvedené údaje sa nebudú zhromažďovať, prepájať s používateľskými účtami na Facebooku ani používať bez súhlasu dotknutého používateľa, a objasnil, že takýto súhlas nie je platný, ak predstavuje podmienku pre používanie sociálnej siete.

30      Spolkový úrad pre hospodársku súťaž odôvodnil svoje rozhodnutie tým, že spracúvanie údajov dotknutých používateľov, ako je upravené vo všeobecných podmienkach a vykonávané spoločnosťou Meta Platforms Ireland, predstavuje zneužívanie dominantného postavenia tejto spoločnosti na trhu online sociálnych sietí pre súkromných používateľov v Nemecku v zmysle § 19 ods. 1 GWB. Konkrétne podľa Spolkového úradu pre hospodársku súťaž sú tieto všeobecné podmienky ako dôsledok tohto dominantného postavenia zneužívajúce, keďže v nich upravené spracúvanie údajov off Facebook nie je v súlade s hodnotami, na ktorých je založené GDPR, a okrem iného nemôže byť odôvodnené z hľadiska článku 6 ods. 1 a článku 9 ods. 2 tohto nariadenia.

31      Dňa 11. februára 2019 Meta Platforms, Meta Platforms Ireland a Facebook Deutschland podali proti rozhodnutiu Spolkového úradu pre hospodársku súťaž žalobu na Oberlandesgericht Düsseldorf (Vyšší krajinský súd Düsseldorf, Nemecko).

32      Dňa 31. júla 2019 Meta Platforms zaviedla nové všeobecné podmienky, v ktorých sa výslovne uvádzalo, že používateľ namiesto platenia za používanie produktov Facebooku vyjadruje súhlas so zobrazovaním reklám.

33      Okrem toho od 28. januára 2020 ponúka Meta Platforms na celosvetovej úrovni tzv. „Off‑Facebook‑Activity“, ktorá umožňuje používateľom sociálnej siete Facebook získavať prehľad informácií, ktoré sa ich týkajú a ktoré spoločnosti skupiny Meta získavajú v súvislosti s ich aktivitami na iných internetových stránkach a v iných aplikáciách, a ak si to želajú, oddeliť tieto údaje od ich účtu na Facebook.com, tak vo vzťahu k minulosti, ako aj k budúcnosti.

34      Oberlandesgericht Düsseldorf (Vyšší krajinský súd Düsseldorf) má v prvom rade pochybnosti o tom, či vnútroštátne orgány na ochranu hospodárskej súťaže môžu v rámci výkonu svojich právomocí vykonávať dozor nad súladom spracúvania osobných údajov s požiadavkami stanovenými v GDPR, v druhom rade, pokiaľ ide o možnosť prevádzkovateľa online sociálnej siete spracúvať citlivé osobné údaje dotknutej osoby v zmysle článku 9 ods. 1 a 2 tohto nariadenia, v treťom rade, pokiaľ ide o zákonnosť spracúvania osobných údajov dotknutého používateľa zo strany takéhoto prevádzkovateľa v súlade s článkom 6 ods. 1 uvedeného nariadenia, a po štvrté, pokiaľ ide o platnosť súhlasu udeleného podniku s dominantným postavením na vnútroštátnom trhu s online sociálnymi sieťami na účely takéhoto spracúvania z hľadiska článku 6 ods. 1 prvého pododseku písm. a) a článku 9 ods. 2 písm. a) toho istého nariadenia.

35      Za týchto okolností, keďže sa Oberlandesgericht Düsseldorf (Vyšší krajinský súd Düsseldorf) domnieval, že riešenie sporu vo veci samej závisí od odpovede na tieto otázky, rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

„1.      a)      Je zlučiteľné s článkom 51 a nasl. GDPR, ak vnútroštátny orgán na ochranu hospodárskej súťaže členského štátu, ako je Spolkový úrad pre hospodársku súťaž, ktorý nie je dozorným orgánom v zmysle článku 51 a nasl. GDPR a v ktorého členskom štáte má podnik usadený mimo Európskej únie prevádzkareň, ktorá hlavnej prevádzkarni tohto podniku, ktorá sa nachádza v inom členskom štáte a nesie výlučnú zodpovednosť za spracúvanie osobných údajov na celom území Európskej únie, poskytuje pomoc v oblasti reklamy, komunikácie a styku s verejnosťou, v rámci výkonu dohľadu nad zneužívaním dominantného postavenia podľa práva hospodárskej súťaže konštatuje, že zmluvné podmienky hlavnej prevádzkarne týkajúce sa spracúvania údajov a ich vykonávanie porušujú GDPR, a vydá rozhodnutie na ukončenie tohto porušovania?

b)      V prípade kladnej odpovede: Je zlučiteľné s článkom 4 ods. 3 ZEÚ, ak vedúci dozorný orgán v členskom štáte, v ktorom sa nachádza hlavná prevádzkareň, v zmysle článku 56 ods. 1 GDPR súčasne prešetruje zmluvné podmienky tejto prevádzkarne týkajúce sa spracúvania údajov?

V prípade kladnej odpovede na prvú otázku:

2.      a)      Ak používateľ internetu buď len navštívi internetové stránky alebo aplikácie, ktoré súvisia s kritériami uvedenými v článku 9 ods. 1 GDPR, ako sú napríklad aplikácie na flirtovanie, zoznamovacie aplikácie pre homosexuálov, internetové stránky politických strán, internetové stránky týkajúce sa zdravia, alebo na týchto stránkach, resp. v týchto aplikáciách tiež zadá údaje, napríklad pri registrácii alebo objednávkach, a… podnik, ako je [Meta Platforms Ireland], prostredníctvom rozhraní, ktoré sú vložené do týchto internetových stránok a aplikácií, ako sú ‚Facebook Business Tools‘, alebo prostredníctvom súborov cookies uložených do počítača alebo mobilného koncového zariadenia používateľa internetu alebo podobných technológií ukladania údajov, zhromažďuje údaje o navštívení týchto internetových stránok a aplikácií používateľom a o údajoch, ktoré na nich, resp. v nich používateľ zadal, prepája ich s údajmi o účtu používateľa na stránkach Facebook.com a používa ich, je toto zhromažďovanie a/alebo prepájanie a/alebo používanie spracúvaním citlivých údajov v zmysle tohto ustanovenia?

b)      V prípade kladnej odpovede: Predstavuje navštívenie týchto internetových stránok a aplikácií a/alebo zadanie údajov a/alebo kliknutie na tlačidlá poskytovateľa, ako je [Meta Platforms Ireland], ktoré sú vložené do týchto internetových stránok alebo aplikácií (‚pluginy sociálnych sietí‘ ako ‚páči sa mi to‘, ‚zdieľať‘ alebo ‚Facebook login‘ alebo ‚account kit‘) zjavné zverejnenie údajov o navštívení ako také a/alebo údajov zadaných používateľom v zmysle článku 9 ods. 2 písm. e) GDPR?

3.      Môže sa podnik, ako je [Meta Platforms Ireland], ktorý prevádzkuje sociálnu sieť financovanú prostredníctvom reklamy a vo svojich Podmienkach používania služby ponúka personalizáciu obsahov a reklamy, bezpečnosť siete, zlepšovanie produktov a konzistentné a plynulé používanie všetkých produktov skupiny, odvolávať na dôvod založený na nevyhnutnosti pre splnenie zmluvy podľa článku 6 ods. 1 písm. b) GDPR alebo na zohľadnení oprávnených záujmov podľa článku 6 ods. 1 písm. f) GDPR, ak na tieto účely zhromažďuje údaje získané v súvislosti s inými službami skupiny a z internetových stránok a aplikácií tretích strán, a to prostredníctvom rozhraní, ktoré sú do nich vložené, ako sú ‚Facebook Business Tools‘, alebo prostredníctvom súborov cookies uložených do počítača alebo mobilného koncového zariadenia používateľa internetu či prostredníctvom podobných technológií ukladania údajov, prepája ich s účtom používateľa na stránkach Facebook.com a používa ich?

4.      Môžu v takom prípade

–        neplnoletosť používateľov na účely personalizácie obsahov a reklamy, zlepšovania produktov, bezpečnosti siete a inej ako marketingovej komunikácie zacielenej na používateľa,

–        poskytovanie meraní, analýz a iných obchodných služieb inzerentom, vývojárom a ďalším partnerom, aby mohli vyhodnocovať a zlepšovať svoje služby,

–        poskytovanie marketingovej komunikácie zacielenej na používateľa, aby podnik mohol zlepšovať svoje produkty a vykonávať priamy marketing,

–        spoločensky prospešný výskum a inovácie na účely zlepšovania stavu techniky a vedeckého chápania dôležitých spoločenských otázok a na účely pozitívneho ovplyvňovania spoločnosti a sveta,

–        informovanie orgánov príslušných na účely vedenia trestného stíhania alebo výkonu trestu a odpovede na právne žiadosti na účely prechádzania, odhaľovania a stíhania trestných činov, porušení podmienok používania služieb a zásad alebo iného škodlivého konania,

tiež predstavovať oprávnený záujem v zmysle článku 6 ods. 1 [písm. f)] GDPR, ak podnik na tieto účely zhromažďuje údaje získané v súvislosti s inými službami skupiny a z internetových stránok a aplikácií tretích strán prostredníctvom rozhraní, ktoré sú do nich vložené, ako sú ‚Facebook Business Tools‘, alebo prostredníctvom súborov cookies uložených do počítača alebo mobilného koncového zariadenia používateľa internetu či prostredníctvom podobných technológií ukladania údajov, prepája ich s účtom používateľa na stránkach Facebook.com a používa ich?

5.      Môže byť v takomto prípade zhromažďovanie údajov získaných v súvislosti s inými službami skupiny a z internetových stránok a aplikácií tretích strán prostredníctvom rozhraní, ktoré sú do nich vložené, ako sú ‚Facebook Business Tools‘, alebo prostredníctvom súborov cookies uložených do počítača alebo mobilného koncového zariadenia používateľa internetu či prostredníctvom podobných technológií ukladania údajov, ich prepájanie s účtom používateľa na stránkach Facebook.com a ich používanie alebo používanie údajov, ktoré už boli zákonne zhromaždené a prepojené iným spôsobom, v konkrétnych prípadoch odôvodnené aj podľa článku 6 ods. 1 písm. c), d) a e) GDPR, napríklad na účely odpovede na právoplatnú žiadosť o poskytnutie určitých údajov [písmeno c)], na zamedzenie škodlivému správaniu a na podporu bezpečnosti [písmeno d)], na výskum vykonávaný na sociálne účely a s cieľom podporiť ochranu, integritu a bezpečnosť [písmeno e)]?

6.      Môže byť platný a slobodný súhlas, najmä v zmysle článku 4 ods. 11 GDPR, udelený podniku s dominantným postavením na trhu, ako je [Meta Platforms Ireland], v súlade s článkom 6 ods. 1 písm. a) a článkom 9 ods. 2 písm. a) GDPR?

V prípade zápornej odpovede na prvú otázku:

7.      a)      Môže vnútroštátny orgán na ochranu hospodárskej súťaže členského štátu, ako je Spolkový úrad pre hospodársku súťaž, ktorý nie je dozorným orgánom v zmysle článku 51 a nasl. GDPR a ktorý prešetruje porušenie zákazu zneužitia podľa práva hospodárskej súťaže zo strany podniku s dominantným postavením na trhu, ktoré nespočíva v tom, že jeho podmienky spracúvania údajov a ich vykonávanie porušujú GDPR, napríklad v rámci zváženia záujmov určiť, či sú podmienky spracúvania údajov tohto podniku a ich vykonávanie v súlade s GDPR?

b)      V prípade kladnej odpovede: Platí to so zreteľom na článok 4 ods. 3 ZEÚ aj vtedy, keď vedúci dozorný orgán, ktorý je príslušný podľa článku 56 ods. 1 GDPR, súčasne prešetruje podmienky tohto podniku týkajúce sa spracúvania údajov?

V prípade kladnej odpovede na siedmu otázku je potrebné odpovedať na tretiu až piatu otázku, pokiaľ ide o údaje získané v súvislosti s používaním služby Instagram, ktorá patrí podniku.“

 O prejudiciálnych otázkach

 O prvej a siedmej otázke

36      Svojou prvou a siedmou otázkou, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa majú článok 51 a nasl. GDPR vykladať v tom zmysle, že orgán na ochranu hospodárskej súťaže členského štátu môže v rámci preskúmania, či došlo k zneužitiu dominantného postavenia podnikom v zmysle článku 102 ZFEÚ, konštatovať, že všeobecné podmienky používania vypracované týmto podnikom a týkajúce sa spracúvania osobných údajov a ich vykonávanie nie sú v súlade s GDPR, a v prípade kladnej odpovede, či sa má článok 4 ods. 3 ZEÚ vykladať v tom zmysle, že takéto konštatovanie orgánu na ochranu hospodárskej súťaže, ktoré má incidenčnú povahu, je možné aj vtedy, keď vedúci dozorný orgán, ktorý je príslušný podľa článku 56 ods. 1 GDPR, súčasne prešetruje tieto podmienky.

37      Na zodpovedanie tejto otázky treba na úvod pripomenúť, že článok 55 ods. 1 GDPR stanovuje zásadnú právomoc každého dozorného orgánu plniť úlohy, ktoré mu boli uložené, a vykonávať právomoci, ktoré mu boli zverené, v súlade s týmto nariadením na území vlastného členského štátu (rozsudok z 15. júna 2021, Facebook Ireland a i., C‑645/19, EU:C:2021:483, bod 47, ako aj citovaná judikatúra).

38      Medzi úlohy, ktoré sú týmto dozorným orgánom uložené, patrí úloha monitorovať a presadzovať uplatňovanie GDPR, ktorá je stanovená v článku 51 ods. 1 a v článku 57 ods. 1 písm. a) tohto nariadenia, s cieľom chrániť základné práva a slobody fyzických osôb pri spracúvaní ich osobných údajov a uľahčiť voľný tok takýchto údajov v rámci Únie. Okrem toho podľa článku 51 ods. 2 a článku 57 ods. 1 písm. g) GDPR uvedené dozorné orgány navzájom spolupracujú, a to aj prostredníctvom výmeny informácií, a poskytujú si v tomto rámci vzájomnú pomoc s cieľom zabezpečiť konzistentné uplatňovanie a presadzovanie tohto nariadenia.

39      Na účely splnenia týchto úloh článok 58 GDPR priznáva uvedeným dozorným orgánom v odseku 1 vyšetrovacie právomoci, v odseku 2 právomoc prijímať nápravné opatrenia a v odseku 5 právomoc upozorniť justičné orgány na každé porušenie tohto nariadenia a prípadne začať súdne konanie s cieľom presadiť dodržiavanie ustanovení tohto nariadenia.

40      Bez toho, aby bolo dotknuté pravidlo právomoci uvedené v článku 55 ods. 1 GDPR, článok 56 ods. 1 tohto nariadenia stanovuje pre cezhraničné spracúvanie v zmysle článku 4 bodu 23 tohto nariadenia mechanizmus „jednotného kontaktného miesta“ založený na rozdelení právomocí medzi „vedúcim dozorným orgánom“ a inými dotknutými dozornými orgánmi, ako aj na spolupráci medzi všetkými týmito orgánmi v súlade s postupom spolupráce stanoveným v článku 60 uvedeného nariadenia.

41      Okrem toho článok 61 ods. 1 GDPR ukladá dozorným orgánom najmä povinnosť, aby si navzájom poskytovali relevantné informácie a pomoc v záujme konzistentného vykonávania a uplatňovania tohto nariadenia v celej Únii. Článok 63 tohto nariadenia spresňuje, že práve v súlade s týmto cieľom sa upravuje mechanizmus konzistentnosti stanovený v článkoch 64 a 65 tohto nariadenia (rozsudok z 15. júna 2021, Facebook Ireland a i., C‑645/19, EU:C:2021:483, bod 52, ako aj citovaná judikatúra).

42      Vzhľadom na to treba uviesť, že pravidlá spolupráce stanovené v GDPR nie sú určené vnútroštátnym orgánom na ochranu hospodárskej súťaže, ale upravujú spoluprácu medzi dotknutými vnútroštátnymi dozornými orgánmi a vedúcim dozorným orgánom, ako aj prípadnú spoluprácu týchto orgánov s Európskym výborom pre ochranu údajov a Komisiou.

43      GDPR ani nijaký iný nástroj práva Únie totiž nestanovuje osobitné pravidlá, pokiaľ ide o spoluprácu medzi vnútroštátnym orgánom na ochranu hospodárskej súťaže a dotknutými vnútroštátnymi dozornými orgánmi alebo vedúcim dozorným orgánom. Okrem toho nijaké ustanovenie tohto nariadenia nezakazuje vnútroštátnym orgánom na ochranu hospodárskej súťaže, aby v rámci výkonu svojich funkcií konštatovali nesúlad spracúvania údajov vykonávaného podnikom v dominantnom postavení, ktoré môže predstavovať zneužitie tohto postavenia, s uvedeným nariadením.

44      V tejto súvislosti treba v prvom rade spresniť, že dozorné orgány na jednej strane a vnútroštátne orgány na ochranu hospodárskej súťaže na druhej strane vykonávajú odlišné funkcie a tiež sledujú ciele a plnia úlohy, ktoré sú im vlastné.

45      Na jednej strane, ako totiž bolo uvedené v bode 38 tohto rozsudku, podľa článku 51 ods. 1 a 2, ako aj článku 57 ods. 1 písm. a) a g) GDPR je hlavnou úlohou dozorného orgánu monitorovať a presadzovať uplatňovanie tohto nariadenia a zároveň prispievať k jeho konzistentnému uplatňovaniu v Únii, a to s cieľom chrániť základné práva a slobody fyzických osôb pri spracúvaní ich osobných údajov a uľahčiť voľný tok takýchto údajov v rámci Únie. Na tento účel, ako bolo pripomenuté v bode 39 tohto rozsudku, dozorný orgán disponuje rôznymi právomocami, ktoré sú mu priznané na základe článku 58 GDPR.

46      Na druhej strane v súlade s článkom 5 nariadenia č. 1/2003 majú vnútroštátne orgány na ochranu hospodárskej súťaže právomoc prijímať najmä rozhodnutia konštatujúce zneužitie dominantného postavenia podnikom v zmysle článku 102 ZFEÚ, ktorých cieľom je zaviesť režim, ktorý zabezpečí, aby na vnútornom trhu nebola narušená hospodárska súťaž, a to aj vzhľadom na dôsledky takéhoto zneužitia pre spotrebiteľov na tomto trhu.

47      Ako v podstate uviedol generálny advokát v bode 23 svojich návrhov, pri prijímaní takéhoto rozhodnutia musí orgán na ochranu hospodárskej súťaže na základe všetkých osobitných okolností veci posúdiť, či správanie podniku v dominantnom postavení bráni zachovaniu existujúcej úrovne hospodárskej súťaže na trhu alebo rozvoju tejto hospodárskej súťaže, a to s použitím iných prostriedkov, než sú tie, ktorými sa riadi bežná súťaž výrobkov alebo služieb (pozri v tomto zmysle rozsudok z 25. marca 2021, Deutsche Telekom/Komisia, C‑152/19 P, EU:C:2021:238, body 41 a 42). V tejto súvislosti súlad alebo nesúlad takéhoto správania s ustanoveniami GDPR môže prípadne medzi relevantnými okolnosťami prejednávanej veci predstavovať dôležitú indíciu na určenie toho, či toto správanie predstavuje použitie prostriedkov, ktorými sa riadi bežná hospodárska súťaž, ako aj na posúdenie dôsledkov určitej praxe na trh alebo na spotrebiteľov.

48      Z toho vyplýva, že v rámci preskúmania, či došlo k zneužitiu dominantného postavenia podnikom na určitom trhu, sa môže ukázať ako nevyhnutné, aby orgán na ochranu hospodárskej súťaže dotknutého členského štátu preskúmal aj súlad správania tohto podniku s inými normami, než sú normy práva hospodárskej súťaže, akými sú pravidlá v oblasti ochrany osobných údajov stanovené v GDPR.

49      Vzhľadom na odlišné ciele sledované pravidlami v oblasti hospodárskej súťaže, najmä článkom 102 ZFEÚ na jednej strane a pravidlami v oblasti ochrany osobných údajov podľa GDPR na druhej strane, treba však konštatovať, že ak vnútroštátny orgán na ochranu hospodárskej súťaže incidenčne poukáže na porušenie tohto nariadenia v rámci konštatovania zneužitia dominantného postavenia, nenahrádza dozorné orgány. Takýto vnútroštátny orgán na ochranu hospodárskej súťaže najmä nemonitoruje ani nepresadzuje uplatňovanie tohto nariadenia s cieľom uvedeným v článku 51 ods. 1 GDPR, t. j. chrániť základné práva a slobody fyzických osôb pri spracúvaní údajov a uľahčiť voľný tok osobných údajov v rámci Únie. Okrem toho takýto orgán tým, že len poukazuje na nesúlad spracúvania údajov s GDPR s jediným účelom konštatovať zneužitie dominantného postavenia, a že ukladá opatrenie smerujúce k ukončeniu tohto zneužívania na základe práva hospodárskej súťaže, nevykonáva žiadnu z úloh uvedených v článku 57 tohto nariadenia, ani nevyužíva právomoci vyhradené dozornému orgánu podľa článku 58 uvedeného nariadenia.

50      Okrem toho treba konštatovať, že prístup k osobným údajom, ako aj ich využívanie majú veľký význam v rámci digitálneho hospodárstva. Tento význam ilustruje v rámci sporu vo veci samej hospodársky model, z ktorého vychádza sociálna sieť Facebook, ktorý stanovuje, ako bolo pripomenuté v bode 27 tohto rozsudku, financovanie prostredníctvom predaja personalizovaných reklamných správ podľa profilov používateľov vytvorených na základe osobných údajov zhromaždených spoločnosťou Meta Platforms Ireland.

51      Ako zdôraznila najmä Komisia, prístup k osobným údajom a možnosť spracúvania týchto údajov sa stali významným parametrom hospodárskej súťaže medzi podnikmi digitálneho hospodárstva. Vylúčenie pravidiel v oblasti ochrany osobných údajov z právneho rámca, ktorý majú orgány na ochranu hospodárskej súťaže zohľadniť pri preskúmaní, či došlo k zneužitiu dominantného postavenia, by teda nezohľadňovalo realitu tohto hospodárskeho vývoja a mohlo by oslabiť účinnosť práva hospodárskej súťaže v rámci Únie.

52      V druhom rade však treba uviesť, že v prípade, že vnútroštátny orgán na ochranu hospodárskej súťaže považuje za potrebné vyjadriť sa v rámci rozhodnutia o zneužití dominantného postavenia k súladu alebo nesúladu spracúvania osobných údajov vykonávaného predmetným podnikom s GDPR, tento orgán a dotknutý dozorný orgán, alebo prípadne príslušný vedúci dozorný orgán v zmysle tohto nariadenia, musia navzájom spolupracovať, aby sa tak zabezpečilo konzistentné uplatňovanie tohto nariadenia.

53      Hoci totiž, ako bolo uvedené v bodoch 42 a 43 tohto rozsudku, GDPR, ani iné nástroje práva Únie nestanovujú v tejto súvislosti osobitné pravidlá, nič to nemení na tom, že ako v podstate uviedol generálny advokát v bode 28 svojich návrhov, pri uplatňovaní GDPR sú všetky jednotlivé zúčastnené vnútroštátne orgány viazané zásadou lojálnej spolupráce zakotvenou v článku 4 ods. 3 ZEÚ. Na základe tejto zásady sa podľa ustálenej judikatúry v oblastiach, na ktoré sa vzťahuje právo Únie, členské štáty vrátane ich správnych orgánov musia vzájomne rešpektovať a vzájomne si pomáhať pri vykonávaní úloh, ktoré vyplývajú zo Zmlúv, prijať všetky opatrenia potrebné na zabezpečenie plnenia záväzkov vyplývajúcich najmä z aktov inštitúcií Únie, ako aj neprijať nijaké opatrenie, ktoré by mohlo ohroziť dosiahnutie cieľov Únie (pozri v tomto zmysle rozsudky zo 7. novembra 2013, UPC Nederland, C‑518/11, EU:C:2013:709, bod 59, ako aj z 1. augusta 2022, Sea Watch, C‑14/21 a C‑15/21, EU:C:2022:604, bod 156).

54      Vzhľadom na túto zásadu platí, že ak vnútroštátne orgány na ochranu hospodárskej súťaže majú pri výkone svojich právomocí preskúmať, či je správanie podniku v súlade s ustanoveniami GDPR, musia sa vzájomne dohodnúť a lojálne spolupracovať s dotknutými vnútroštátnymi dozornými orgánmi alebo vedúcim dozorným orgánom, pričom všetky tieto orgány sú v tejto súvislosti povinné dodržiavať svoje príslušné právomoci a kompetencie tak, aby boli dodržané povinnosti vyplývajúce z GDPR, ako aj ciele tohto nariadenia, a aby bol zachovaný ich potrebný účinok.

55      Preskúmanie správania podniku orgánom na ochranu hospodárskej súťaže z hľadiska noriem GDPR totiž môže prinášať riziko rozdielov medzi týmto orgánom a dozornými orgánmi, pokiaľ ide o výklad tohto nariadenia.

56      Z toho vyplýva, že ak sa vnútroštátny orgán na ochranu hospodárskej súťaže v rámci preskúmania, či určitý podnik zneužil dominantné postavenia v zmysle článku 102 ZFEÚ, domnieva, že je potrebné preskúmať súlad správania tohto podniku s ustanoveniami GDPR, uvedený orgán musí overiť, či toto správanie alebo podobné správanie už boli predmetom rozhodnutia zo strany príslušného vnútroštátneho dozorného orgánu, vedúceho dozorného orgánu alebo Súdneho dvora. Ak je to tak, vnútroštátny orgán na ochranu hospodárskej súťaže sa od neho nemôže odchýliť, avšak môže z nich vyvodiť vlastné závery z hľadiska uplatnenia práva hospodárskej súťaže.

57      Ak má vnútroštátny orgán na ochranu hospodárskej súťaže pochybnosti o rozsahu posúdenia vykonaného príslušným vnútroštátnym dozorným orgánom alebo vedúcim dozorným orgánom, pokiaľ je predmetné správanie alebo podobné správanie zároveň predmetom preskúmania zo strany týchto orgánov, alebo ak sa v prípade neexistencie vyšetrovania zo strany uvedených orgánov domnieva, že správanie podniku nie je v súlade s ustanoveniami GDPR, musí sa vnútroštátny orgán na ochranu hospodárskej súťaže poradiť s týmito orgánmi a požiadať ich o spoluprácu, aby sa zbavil svojich pochybností alebo aby určil, či treba pred vykonaním vlastného posúdenia počkať na prijatie rozhodnutia zo strany dotknutého dozorného orgánu.

58      Ak sa na dozorný orgán obráti vnútroštátny orgán na ochranu hospodárskej súťaže, musí na túto žiadosť o informácie alebo o spoluprácu odpovedať v primeranej lehote tak, že mu poskytne informácie, ktoré má k dispozícii a ktoré by mohli odstrániť pochybnosti tohto orgánu, pokiaľ ide o rozsah posúdenia vykonaného dozorným orgánom, alebo prípadne tak, že informuje vnútroštátny orgán na ochranu hospodárskej súťaže, či zamýšľa začať postup spolupráce s inými dotknutými dozornými orgánmi alebo vedúcim dozorným orgánom v súlade s článkom 60 a nasl. GDPR s cieľom prijať rozhodnutie smerujúce k zisteniu, či je alebo nie je predmetné správanie v súlade s týmito nariadením.

59      Ak dožiadaný dozorný orgán v primeranej lehote neodpovie, vnútroštátny orgán na ochranu hospodárskej súťaže môže pokračovať vo vlastnom vyšetrovaní. To isté platí, ak príslušný vnútroštátny dozorný orgán a vedúci dozorný orgán nevznesú námietky voči tomu, aby sa takéto vyšetrovanie uskutočnilo bez čakania na ich rozhodnutie.

60      V prejednávanej veci zo spisu, ktorý má Súdny dvor k dispozícii, vyplýva, že v októbri a novembri 2018, t. j. pred prijatím rozhodnutia zo 6. februára 2019, Spolkový úrad pre hospodársku súťaž kontaktoval Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Spolkový komisár pre ochranu údajov a slobodu informácií, Nemecko), Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (Komisár pre ochranu údajov a slobodu informácií v Hamburgu, Nemecko), ktorý má právomoc vo vzťahu k spoločnosti Facebook Deutschland a Data Protection Commission (DPC) (Orgán na ochranu osobných údajov, Írsko), aby tieto orgány informoval o tom, že začal konať. Navyše sa zdá, že Spolkový úrad pre hospodársku súťaž získal potvrdenie o tom, že uvedené orgány v tom čase neviedli nijaké vyšetrovanie týkajúce sa podobných skutkových okolností, ako sú tie, o ktoré ide vo veci samej, a nevzniesli proti jeho aktivite nijaké námietky. Napokon Spolkový úrad pre hospodársku súťaž v bodoch 555 a 556 svojho rozhodnutia zo 6. februára 2019 výslovne poukázal na túto spoluprácu.

61      Za týchto podmienok a s výhradou overení, ktoré prináleží vykonať vnútroštátnemu súdu, sa zdá, že Spolkový úrad pre hospodársku súťaž splnil svoje povinnosti lojálnej spolupráce s dotknutými vnútroštátnymi dozornými orgánmi, ako aj s vedúcim dozorným orgánom.

62      Vzhľadom na vyššie uvedené treba na prvú a siedmu otázku odpovedať tak, že článok 51 a nasl. GDPR, ako aj článok 4 ods. 3 ZEÚ sa majú vykladať v tom zmysle, že s výhradou dodržania povinnosti lojálnej spolupráce s dozornými orgánmi môže orgán na ochranu hospodárskej súťaže členského štátu v rámci preskúmania, či došlo k zneužitiu dominantného postavenia podnikom v zmysle článku 102 ZFEÚ, konštatovať, že všeobecné podmienky používania vypracované týmto podnikom a týkajúce sa spracúvania osobných údajov a ich vykonávanie nie sú v súlade s týmto nariadením, ak je toto konštatovanie potrebné na preukázanie existencie takéhoto zneužitia.

63      Vzhľadom na túto povinnosť lojálnej spolupráce sa vnútroštátny orgán na ochranu hospodárskej súťaže nemôže odchýliť od rozhodnutia príslušného vnútroštátneho dozorného orgánu alebo príslušného vedúceho dozorného orgánu týkajúceho sa týchto všeobecných podmienok alebo podobných všeobecných podmienok. Ak má orgán na ochranu hospodárskej súťaže pochybnosti o rozsahu takéhoto rozhodnutia, ak sú uvedené podmienky alebo podobné podmienky zároveň predmetom preskúmania zo strany týchto orgánov alebo ak sa orgán na ochranu hospodárskej súťaže v prípade neexistencie vyšetrovania alebo rozhodnutia zo strany uvedených orgánov domnieva, že predmetné podmienky nie sú v súlade s GDPR, musí sa poradiť s týmito dozornými orgánmi a požiadať ich o spoluprácu, aby sa zbavil svojich pochybností alebo určil, či treba počkať na prijatie ich rozhodnutia pred začatím vlastného posúdenia. Ak tieto dozorné orgány nevznesú námietku alebo neodpovedia v primeranej lehote, orgán na ochranu hospodárskej súťaže môže pokračovať vo vlastnom vyšetrovaní.

 O druhej otázke

64      Svojou druhou otázkou písm. a) sa vnútroštátny súd v podstate pýta, či sa má článok 9 ods. 1 GDPR vykladať v tom zmysle, že v prípade, ak používateľ online sociálnej siete navštívi internetové stránky alebo aplikácie, ktoré súvisia s jednou alebo viacerými kategóriami uvedenými v tomto ustanovení, a prípadne do nich zadá údaje prostredníctvom registrácie alebo uskutočnenia online objednávok, spracúvanie osobných údajov prevádzkovateľom tejto online sociálnej siete, ktoré spočíva v zhromažďovaní údajov vyplývajúcich z prehliadania týchto stránok a aplikácií, ako aj údajov zadaných používateľom, a to prostredníctvom integrovaných rozhraní, súborov cookies alebo podobných technológií ukladania údajov, v prepájaní všetkých takýchto údajov s účtom používateľa na sociálnej sieti a v používaní uvedených údajov týmto prevádzkovateľom, treba považovať za „spracúvanie osobitných kategórií osobných údajov“ v zmysle uvedeného ustanovenia, ktoré je s výhradou výnimiek stanovených v tomto článku 9 ods. 2 v zásade zakázané.

65      V prípade kladnej odpovede sa vnútroštátny súd svojou druhou otázkou písm. b) v podstate pýta, či sa má článok 9 ods. 2 písm. e) GDPR vykladať v tom zmysle, že ak používateľ online sociálnej siete navštívi internetové stránky alebo aplikácie, ktoré majú spojitosť s kategóriami uvedenými v článku 9 ods. 1 GDPR, zadá údaje na týchto stránkach, resp. v týchto aplikáciách, alebo klikne na tlačidlá výberu na týchto stránkach alebo v týchto aplikáciách, ako sú tlačidlá „páči sa mi to“ alebo „zdieľať“ alebo tlačidlá umožňujúce používateľovi identifikovať sa na týchto stránkach alebo v týchto aplikáciách pomocou prihlasovacích údajov spojených s jeho používateľským účtom na online sociálnej sieti, jeho telefónnym číslom alebo jeho e‑mailovou adresou, predpokladá sa, že v zmysle prvého z týchto ustanovení zjavne zverejnil údaje, ktoré pri tejto príležitosti zhromaždil prevádzkovateľ tejto online sociálnej siete prostredníctvom súborov cookies alebo podobných technológií ukladania údajov.

 O druhej otázke písm. a)

66      V odôvodnení 51 GDPR sa uvádza, že osobné údaje, ktoré sú svojou povahou obzvlášť citlivé v súvislosti so základnými právami a slobodami, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká. Toto odôvodnenie spresňuje, že takéto osobné údaje by sa nemali spracúvať, pokiaľ to nie je povolené v osobitných prípadoch stanovených v uvedenom nariadení.

67      V tejto súvislosti článok 9 ods. 1 GDPR zakotvuje zásadu zákazu spracúvania osobitných kategórií osobných údajov, ktoré sú v ňom uvedené. Ide najmä o údaje o rasovom alebo etnickom pôvode, politických názoroch, náboženskom presvedčení, ako aj údaje týkajúce sa zdravia, sexuálneho života alebo sexuálnej orientácie fyzickej osoby.

68      Na účely uplatnenia článku 9 ods. 1 GDPR treba v prípade spracúvania osobných údajov vykonávaného prevádzkovateľom online sociálnej siete overiť, či tieto údaje môžu odhaliť informácie patriace do jednej z kategórií uvedených v tomto ustanovení, či sa tieto informácie týkajú používateľa tejto siete alebo akejkoľvek inej fyzickej osoby. V prípade kladnej odpovede je takéto spracúvanie osobných údajov – s výhradou výnimiek stanovených v článku 9 ods. 2 GDPR – zakázané.

69      Ako v podstate uviedol generálny advokát v bodoch 40 a 41 svojich návrhov, tento zásadný zákaz stanovený v článku 9 ods. 1 GDPR nezávisí od toho, či informácia odhalená predmetným spracúvaním je alebo nie je správna a či prevádzkovateľ koná s cieľom získať informácie patriace do jednej z osobitných kategórií uvedených v tomto ustanovení.

70      Vzhľadom na významné riziká pre základné slobody a základné práva dotknutých osôb spôsobené akýmkoľvek spracúvaním osobitných kategórií osobných údajov uvedených v článku 9 ods. 1 GDPR je totiž jeho cieľom zakázať takéto spracúvanie bez ohľadu na ich uvádzaný cieľ.

71      V prejednávanej veci spracúvanie, o ktoré ide vo veci samej, vykonávané spoločnosťou Meta Platforms Ireland, spočíva v prvom rade v zhromažďovaní osobných údajov používateľov sociálnej siete Facebook, ak títo používatelia navštívia internetové stránky alebo aplikácie – vrátane tých, ktoré môžu odhaliť informácie patriace do jednej alebo viacerých kategórií uvedených v článku 9 ods. 1 GDPR – a prípadne do nich zadávajú informácie pri registrácii alebo online objednávkach, následne v prepájaní týchto údajov s účtom týchto používateľov na sociálnej sieti a napokon v používaní uvedených údajov.

72      V tejto súvislosti bude vnútroštátnemu súdu prislúchať, aby určil, či takto zhromaždené údaje samy osebe alebo ich prepojením s účtami dotknutých používateľov na Facebooku môžu skutočne odhaliť takéto informácie bez ohľadu na to, či sa tieto informácie týkajú používateľa tejto siete alebo akejkoľvek inej fyzickej osoby. Vzhľadom na otázky tohto súdu však treba spresniť, že s výhradou overení, ktoré má tento súd vykonať, sa zdá, že spracúvanie údajov týkajúcich sa navštevovania predmetných internetových stránok alebo aplikácií môže v určitých prípadoch odhaliť takéto informácie bez toho, aby bolo potrebné, aby uvedení používatelia do nich zadali informácie prostredníctvom registrácie alebo uskutočnenia online objednávok.

73      Vzhľadom na vyššie uvedené treba na druhú otázku písm. a) odpovedať tak, že článok 9 ods. 1 GDPR sa má vykladať v tom zmysle, že v prípade, ak používateľ online sociálnej siete navštívi internetové stránky alebo aplikácie majúce vzťah k jednej alebo k viacerým kategóriám uvedeným v tomto ustanovení a prípadne do nich zadá údaje prostredníctvom registrácie alebo uskutočnenia online objednávok, spracúvanie osobných údajov prevádzkovateľom tejto online sociálnej siete, ktoré spočíva v zhromažďovaní údajov získaných z prehliadania týchto stránok a aplikácií, ako aj údajov zadaných používateľom, a to prostredníctvom integrovaných rozhraní, súborov cookies alebo podobných technológií ukladania údajov, v prepájaní všetkých týchto údajov s účtom používateľa na sociálnej sieti a v ich používaní týmto prevádzkovateľom, treba považovať za „spracúvanie osobitných kategórií osobných údajov“ v zmysle uvedeného ustanovenia, ktoré je s výhradou výnimiek stanovených v tomto článku 9 ods. 2 v zásade zakázané, ak toto spracúvanie údajov môže odhaliť informácie patriace do jednej z týchto kategórií, bez ohľadu na to, či sa tieto informácie týkajú používateľa tejto siete alebo akejkoľvek inej fyzickej osoby.

 O druhej otázke písm. b)

74      Pokiaľ ide o druhú otázku písm. b), ako bola preformulovaná v bode 65 tohto rozsudku, ktorá sa týka výnimky stanovenej v článku 9 ods. 2 písm. e) GDPR, treba pripomenúť, že podľa tohto ustanovenia sa zásadný zákaz akéhokoľvek spracúvania osobitných kategórií osobných údajov stanovený v tomto článku 9 ods. 1 neuplatňuje v prípade, že spracúvanie sa týka osobných údajov, ktoré „dotknutá osoba preukázateľne zverejnila“.

75      Na úvod treba uviesť, že táto výnimka sa uplatňuje len na údaje preukázateľne zverejnené „dotknutou osobou“. Neuplatňuje sa teda na údaje týkajúce sa iných osôb, než je osoba, ktorá tieto údaje zverejnila.

76      Ďalej, keďže článok 9 ods. 2 GDPR stanovuje výnimku zo zásady zákazu spracúvania osobitných kategórií osobných údajov, treba ho vykladať reštriktívne (pozri v tomto zmysle rozsudok zo 17. septembra 2014, Baltic Agro, C‑3/13, EU:C:2014:2227, bod 24, ako aj zo 6. júna 2019, Weil, C‑361/18, EU:C:2019:473, bod 43 a citovanú judikatúru).

77      Z toho vyplýva, že na účely uplatnenia výnimky stanovenej v článku 9 ods. 2 písm. e) GDPR treba overiť, či dotknutá osoba výslovne a jednoznačným potvrdzujúcim úkonom zamýšľala sprístupniť predmetné osobné údaje širokej verejnosti.

78      V tejto súvislosti, pokiaľ ide na jednej strane o navštívenie internetových stránok alebo majúcich vzťah k jednej alebo k viacerým kategóriám uvedeným v článku 9 ods. 1 GDPR, treba konštatovať, že dotknutý používateľ tým v žiadnom prípade nezamýšľal zverejniť skutočnosť, že navštívil tieto stránky alebo aplikácie, ani údaje súvisiace s týmto navštívením, ktoré môžu byť spojené s jeho osobou. Tento používateľ totiž môže nanajvýš očakávať, že prevádzkovateľ internetovej stránky alebo aplikácie bude mať k týmto údajom prístup a prípadne na základe výslovného súhlasu tohto používateľa ich bude zdieľať s určitými tretími stranami, a nie so širokou verejnosťou.

79      Zo samotnej skutočnosti, že používateľ navštívil takéto internetové stránky alebo aplikácie, teda nemožno vyvodiť, že uvedené osobné údaje boli týmto používateľom preukázateľne zverejnené v zmysle článku 9 ods. 2 písm. e) GDPR.

80      Na druhej strane, pokiaľ ide o aktivity spočívajúce v zadávaní údajov na uvedených internetových stránkach, resp. v uvedených aplikáciách, ako aj v kliknutí na tlačidlá výberu na týchto stránkach alebo v týchto aplikáciách, ako sú tlačidlá „páči sa mi to“ alebo „zdieľať“ alebo tlačidlá umožňujúce používateľovi identifikovať sa na internetovej stránke alebo v aplikácii pomocou prihlasovacích údajov spojených s jeho používateľským účtom na Facebooku, jeho telefónneho čísla alebo e‑mailovej adresy, treba poznamenať, že s týmito aktivitami je spojená interakcia medzi týmto používateľom a dotknutou internetovou stránkou alebo aplikáciou a prípadne stránkou online sociálnej siete, t. j. interakcia, ktorej formy reklamy sa môžu líšiť tým, že si ich môže používateľ individuálne nastaviť.

81      Za týchto podmienok vnútroštátnemu súdu prináleží, aby overil, či dotknutí používatelia môžu na základe nastavenia vykonaného s úplnou znalosťou veci rozhodnúť, že údaje zadané na dotknutých internetových stránkach, resp. v aplikáciách, ako aj údaje vyplývajúce z kliknutia na tlačidlá výberu na týchto stránkach alebo v týchto aplikáciách, budú prístupné širokej verejnosti alebo naopak viac či menej obmedzenému počtu vybraných osôb.

82      Ak dotknutí používatelia skutočne majú takúto možnosť voľby, možno sa domnievať, že keď dobrovoľne zadávajú údaje na internetovej stránke, resp. v aplikácií, alebo kliknú na tlačidlá výberu na tejto stránke alebo v tejto aplikácií, zjavne zverejňujú údaje, ktoré sa ich týkajú, v zmysle článku 9 ods. 2 písm. e) GDPR len v prípade, ak títo používatelia na základe individuálneho nastavenia vykonaného s úplnou znalosťou veci jasne vyjadrili svoju voľbu, aby tieto údaje boli prístupné neobmedzenému počtu osôb, čo prináleží overiť vnútroštátnemu súdu.

83      Naopak, ak sa takéto individuálne nastavenie neponúka, treba vzhľadom na to, čo bolo uvedené v bode 77 tohto rozsudku, konštatovať, že ak používatelia dobrovoľne zadajú údaje na internetovú stránku, resp. v aplikácií, alebo kliknú na tlačidlá výberu na tejto stránke alebo v tejto aplikácii, musia na to, aby sa dalo považovať, že tieto údaje zjavne zverejnili, na základe výslovných informácií poskytnutých touto stránkou alebo touto aplikáciou pred takýmto zadaním alebo kliknutím výslovne súhlasiť s tým, aby uvedené údaje mohli byť zobrazené každou osobou, ktorá má prístup na uvedenú stránku, resp. do uvedenej aplikácie.

84      Vzhľadom na vyššie uvedené treba na druhú otázku písm. b) odpovedať tak, že článok 9 ods. 2 písm. e) GDPR sa má vykladať v tom zmysle, že ak používateľ online sociálnej siete navštívi internetové stránky alebo aplikácie majúce vzťah k jednej alebo k viacerým kategóriám uvedeným v článku 9 ods. 1 GDPR, zjavne nezverejňuje údaje týkajúce sa tohto navštívenia, ktoré zhromaždil prevádzkovateľ tejto online sociálnej siete prostredníctvom súborov cookies alebo podobných technológií ukladania údajov v zmysle prvého z týchto ustanovení.

85      Ak takýto používateľ zadá údaje na takýchto internetových stránkach, resp. v takýchto aplikáciách, alebo klikne na tlačidlá výberu na týchto stránkach alebo v týchto aplikáciách, akými sú tlačidlá „páči sa mi to“ alebo „zdieľať“ alebo tlačidlá umožňujúce používateľovi identifikovať sa na týchto stránkach alebo v týchto aplikáciách pomocou prihlasovacích údajov spojených s jeho používateľským účtom na sociálnej sieti, jeho telefónnym číslom alebo e‑mailovou adresou, zjavne zverejňuje v zmysle tohto článku 9 ods. 2 písm. e) takto zadané údaje alebo údaje vyplývajúce z kliknutia na tieto tlačidlá len v prípade, že vopred výslovne vyjadril svoju voľbu, prípadne na základe individuálneho nastavenia vykonaného s úplnou znalosťou veci, zverejniť údaje, ktoré sa ho týkajú, neobmedzenému počtu osôb.

 O tretej až piatej otázke

86      Svojou treťou a štvrtou otázkou, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či a za akých podmienok sa má článok 6 ods. 1 prvý pododsek písm. b) a f) GDPR vykladať v tom zmysle, že spracúvanie osobných údajov vykonávané prevádzkovateľom online sociálnej siete, ktoré spočíva v zhromažďovaní údajov od používateľov takejto siete získaných v súvislosti s inými službami skupiny, do ktorej patrí tento prevádzkovateľ, alebo z prehliadania internetových stránok alebo iných aplikácií tretích strán týmito používateľmi, v prepájaní týchto údajov s účtom uvedených používateľov na sociálnej sieti a v ich používaní, možno považovať za nevyhnutné na plnenie zmluvy, ktorej zmluvnými stranami sú dotknuté osoby, v zmysle písmena b) alebo na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana v zmysle písmena f). Tento súd sa okrem iného pýta, či na tento účel predstavujú niektoré záujmy, ktoré výslovne cituje, „oprávnený záujem“ v zmysle tohto posledného uvedeného ustanovenia.

87      Svojou piatou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 6 ods. 1 prvý pododsek písm. c) až e) GDPR vykladať v tom zmysle, že takéto spracúvanie osobných údajov možno považovať za nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa v zmysle písmena c), na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby v zmysle písmena d), alebo na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi v zmysle písmena e), ak sa uvedené spracúvanie vykonáva na účely odpovede na právoplatnú žiadosť o poskytnutie určitých údajov, na zamedzenie škodlivému správaniu a na podporu bezpečnosti a v záujme výskumu vykonávaného na sociálne účely a s cieľom podporiť ochranu, integritu a bezpečnosť.

 Úvodné pripomienky

88      Na úvod treba po prvé poznamenať, že tretia až piata otázka sú položené z dôvodu, že podľa zistení Spolkového úradu pre hospodársku súťaž v jeho rozhodnutí zo 6. februára 2019 sa nemožno domnievať, že používatelia sociálnej siete Facebooku dali svoj súhlas na spracúvanie svojich údajov, o ktoré ide vo veci samej, v zmysle článku 6 ods. 1 písm. a) prvého pododseku a článku 9 ods. 2 písm. a) GDPR. V tomto kontexte sa teda vnútroštátny súd, hoci sa na tento predpoklad pýta Súdneho dvora v rámci šiestej otázky, domnieva, že musí overiť, či toto spracúvanie zodpovedá niektorej z ďalších podmienok zákonnosti uvedených v tomto článku 6 ods. 1 prvého pododseku písm. b) až f) tohto nariadenia.

89      V tomto rámci treba uviesť, že operácie získavania, prepájania a používania údajov, ktoré sú uvedené v tretej až piatej otázke, môžu zahŕňať tak citlivé údaje v zmysle článku 9 ods. 1 GDPR, ako aj necitlivé údaje. Treba však spresniť, že v prípade, že ak je predmetom takýchto operácií súbor údajov, ktorý obsahuje tak citlivé, ako aj necitlivé údaje, a najmä ak sa získava ako celok bez toho, aby bolo možné údaje v čase tohto získavania od seba oddeliť, musí sa spracúvanie tohto súboru údajov považovať za zakázané v zmysle článku 9 ods. 1 GDPR, pokiaľ obsahuje aspoň jeden citlivý údaj a neuplatňuje sa žiadna z výnimiek uvedených v článku 9 ods. 2 tohto nariadenia.

90      Po druhé na účely odpovede na tretiu až piatu otázku treba pripomenúť, že článok 6 ods. 1 prvý pododsek GDPR stanovuje taxatívny a obmedzujúci zoznam prípadov, v ktorých možno považovať spracúvanie osobných údajov za zákonné. Teda na to, aby sa spracúvanie mohlo považovať za zákonné, musí sa naň vzťahovať jeden z prípadov stanovených v tomto ustanovení [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 99 a citovaná judikatúra].

91      Podľa článku 6 ods. 1 prvého pododseku písm. a) tohto nariadenia je spracúvanie osobných údajov zákonné iba vtedy a iba rozsahu, v akom s ním dotknutá osoba súhlasila na jeden alebo viacero konkrétnych účelov.

92      V prípade neexistencie takéhoto súhlasu alebo v prípade, že tento súhlas nebol daný slobodne, konkrétne, informovane a jednoznačne v zmysle článku 4 bodu 11 GDPR, je takéto spracúvanie napriek tomu odôvodnené, ak spĺňa niektorú z požiadaviek nevyhnutnosti uvedených v článku 6 ods. 1 prvom pododseku písm. b) až f) tohto nariadenia.

93      V tejto súvislosti sa odôvodnenia uvedené v poslednom uvedenom ustanovení, pokiaľ umožňujú zákonnosť spracúvania osobných údajov vykonávaného bez súhlasu dotknutej osoby, musia vykladať reštriktívne [pozri v tomto zmysle rozsudok z 24. februára 2022, Valsts ieņēmumu dienests (Spracovanie osobných údajov na daňové účely), C‑175/20, EU:C:2022:124, bod 73 a citovanú judikatúru].

94      Súdny dvor okrem toho rozhodol, že ak možno konštatovať, že spracúvanie osobných údajov je nevyhnutné vzhľadom na niektorý z dôvodov stanovených v článku 6 ods. 1 prvom pododseku písm. b) až f) GDPR, nie je potrebné určiť, či sa na toto spracúvanie vzťahuje aj niektorý iný z týchto dôvodov (pozri v tomto zmysle rozsudok z 1. augusta 2022, Vyriausioji tarnybinės aikos komisija, C‑184/20, EU:C:2022:601, bod 71).

95      Napokon treba tiež spresniť, že v súlade s článkom 5 GDPR je na prevádzkovateľovi, aby preukázal, že tieto údaje sa získavajú najmä na konkrétne určené, výslovne uvedené a legitímne účely a že sa vo vzťahu k dotknutej osobe spracúvajú zákonným, spravodlivým a transparentným spôsobom. Okrem toho v súlade s článkom 13 ods. 1 písm. c) tohto nariadenia platí, že ak sa osobné údaje získavajú od dotknutej osoby, je prevádzkovateľ povinný informovať dotknutú osobu o účeloch spracúvania, na ktoré sú tieto údaje určené, ako aj o právnom základe tohto spracúvania.

96      Hoci vnútroštátnemu súdu prislúcha, aby určil, či sú jednotlivé prvky spracúvania, o ktoré ide vo veci samej, odôvodnené niektorou z požiadaviek uvedených v článku 6 ods. 1 prvom pododseku písm. b) až f) GDPR, Súdny dvor mu však môže poskytnúť užitočné usmernenia, aby mohol rozhodnúť spor, ktorý prejednáva.

 O tretej a štvrtej otázke

97      Pokiaľ ide v prvom rade o článok 6 ods. 1 prvý pododsek písm. b) GDPR, tento článok stanovuje, že spracúvanie osobných údajov je zákonné, ak je „nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy“.

98      V tejto súvislosti, aby sa spracúvanie osobných údajov považovalo za nevyhnutné na plnenie zmluvy v zmysle tohto ustanovenia, musí byť objektívne nevyhnutné na dosiahnutie účelu, ktorý je neoddeliteľnou súčasťou zmluvného plnenia určeného dotknutej osobe. Prevádzkovateľ tak musí byť schopný preukázať, prečo by bez predmetného spracúvania nebolo možné dosiahnuť hlavný predmet zmluvy.

99      Skutočnosť, že takéto spracúvanie je uvedené v zmluve alebo je len užitočné na jej plnenie, je v tejto súvislosti sama osebe irelevantná. Rozhodujúcim prvkom na účely uplatnenia odôvodnenia uvedeného v článku 6 ods. 1 prvom pododseku písm. b) GDPR je totiž skutočnosť, že spracúvanie osobných údajov vykonávané prevádzkovateľom je zásadné pre riadne plnenie zmluvy uzatvorenej medzi prevádzkovateľom a dotknutou osobou, a teda že neexistujú iné vykonateľné a menej obmedzujúce riešenia.

100    V tejto súvislosti platí, ako uviedol generálny advokát v bode 54 svojich návrhov, že ak zmluva pozostáva z viacerých služieb alebo viacerých rôznych zložiek tej istej služby, ktoré môžu byť poskytnuté nezávisle od seba, musí sa uplatniteľnosť článku 6 ods. 1 písm. b) GDPR posúdiť v súvislosti s každou z týchto služieb samostatne.

101    V prejednávanej veci vnútroštátny súd v rámci odôvodnení, ktoré môžu patriť do pôsobnosti tohto ustanovenia, uvádza ako faktory, ktoré majú zabezpečiť riadne plnenie zmluvy uzavretej medzi spoločnosťou Meta Platforms Ireland a jej používateľmi, personalizáciu obsahov, ako aj konzistentné a plynulé využívanie služieb poskytovaných skupinou Meta.

102    Pokiaľ ide po prvé o odôvodnenie založené na personalizácii obsahov, treba uviesť, že aj keď je takáto personalizácia pre používateľa užitočná, keďže mu okrem iného umožňuje zobrazenie obsahu, ktorý vo veľkej miere zodpovedá jeho záujmom, nič to nemení na tom, že s výhradou overenia, ktoré musí vykonať vnútroštátny súd, sa personalizácia obsahov nezdá byť nevyhnutná na to, aby tomuto používateľovi ponúkla online služby sociálnej siete. Tieto služby mu môžu byť prípadne poskytované vo forme rovnocennej alternatívy, ktorá nezahŕňa takúto personalizáciu, takže takáto personalizácia nie je objektívne nevyhnutná na účel, ktorý je neoddeliteľnou súčasťou týchto služieb.

103    Pokiaľ ide po druhé o odôvodnenie založené na konzistentnom a plynulom využívaní služieb poskytovaných skupinou Meta, zo spisu, ktorý má Súdny dvor k dispozícii, vyplýva, že na to, aby si osoba mohla vytvoriť používateľský účet na sociálnej sieti Facebook, nie je potrebné, aby sa prihlásila k odberu rôznych služieb ponúkaných skupinou Meta. Rôzne produkty a služby ponúkané touto skupinou totiž možno používať nezávisle od seba a používanie každého produktu alebo služby je založené na uzavretí samostatnej používateľskej zmluvy.

104    S výhradou overenia vnútroštátnym súdom sa preto spracúvanie osobných údajov získaných v súvislosti s inými službami, ako je služba online sociálnej siete, ktoré ponúka skupina Meta, nezdá byť nevyhnutné na to, aby sa umožnilo poskytovanie poslednej uvedenej služby.

105    Pokiaľ ide v druhom rade o článok 6 ods. 1 prvý pododsek písm. f) GDPR, tento článok stanovuje, že spracúvanie osobných údajov je zákonné, ak je „nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobou dieťa“.

106    Ako teda Súdny dvor už rozhodol, toto ustanovenie stanovuje tri kumulatívne podmienky na to, aby spracúvanie osobných údajov bolo zákonné, a to po prvé sledovanie oprávneného záujmu prevádzkovateľom alebo treťou stranou, po druhé nevyhnutnosť spracúvania osobných údajov na dosiahnutie sledovaného oprávneného záujmu a po tretie podmienku, že nad takýmto záujmom neprevažujú záujmy alebo základné práva a slobody dotknutej osoby (rozsudok zo 17. júna 2021, M.I.C.M., C‑597/19, EU:C:2021:492, bod 106 a citovaná judikatúra).

107    Pokiaľ ide po prvé o podmienku týkajúcu sa sledovania oprávneného záujmu, treba spresniť, že v súlade s článkom 13 ods. 1 písm. d) GDPR prevádzkovateľovi prislúcha, aby pri získavaní osobných údajov od dotknutej osoby, ktoré sa týkajú tejto osoby, tejto dotknutej osobe oznámil sledované oprávnené záujmy, ak je toto spracúvanie založené na článku 6 ods. 1 prvom pododseku písm. f) tohto nariadenia.

108    Pokiaľ ide po druhé o podmienku týkajúcu sa nevyhnutnosti spracúvania osobných údajov na dosiahnutie sledovaného oprávneného záujmu, táto podmienka ukladá vnútroštátnemu súdu povinnosť overiť, či sledovaný oprávnený záujem na spracúvaní údajov nemožno za primeraných podmienok dosiahnuť rovnako účinne inými prostriedkami, ktoré menej zasahujú do základných práv a slobôd dotknutých osôb, najmä práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených článkami 7 a 8 Charty [pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body), C‑439/19, EU:C:2021:504, bod 110 a citovanú judikatúru].

109    V tejto súvislosti treba tiež pripomenúť, že podmienku týkajúcu sa nevyhnutnosti spracúvania treba preskúmať spoločne so zásadou „minimalizácie údajov“ zakotvenou v článku 5 ods. 1 písm. c) GDPR, podľa ktorej musia byť osobné údaje „primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú“ (pozri v tomto zmysle rozsudok z 11. decembra 2019, Asocia de Proprietari bloc M5A‑ScaraA, C‑708/18, EU:C:2019:1064, bod 48).

110    Pokiaľ ide po tretie o podmienku, že záujmy alebo základné práva a slobody osoby, na ktorú sa vzťahuje ochrana údajov, neprevažujú nad oprávneným záujmom prevádzkovateľa alebo tretej strany, Súdny dvor už rozhodol, že táto podmienka si vyžaduje zváženie protichodných práv a záujmov, ktoré v zásade závisí od konkrétnych okolností konkrétneho prípadu, a že v dôsledku toho prináleží vnútroštátnemu súdu, aby vykonal toto zváženie s prihliadnutím na tieto osobitné okolnosti (rozsudok zo 17. júna 2021, M.I.C.M., C‑597/19, EU:C:2021:492, bod 111 a citovaná judikatúra).

111    V tejto súvislosti zo samotného znenia článku 6 ods. 1 prvého pododseku písm. f) GDPR vyplýva, že v rámci takéhoto zváženia je potrebné venovať osobitnú pozornosť situácii, keď je dotknutá osoba dieťaťom. V súlade s odôvodnením 38 tohto nariadenia si totiž deti zasluhujú osobitnú ochranu, pokiaľ ide o spracúvanie ich osobných údajov, keďže si môžu byť v menšej miere vedomé rizík, dôsledkov a dotknutých záruk, ako aj svojich práv súvisiacich s takýmto spracúvaním osobných údajov. Takáto osobitná ochrana sa tak musí vzťahovať najmä na spracúvanie osobných údajov týkajúcich sa detí na účely marketingu alebo vytvorenia osobnostných či používateľských profilov alebo aj na ponúkanie služieb zameraných priamo na deti.

112    Okrem toho, ako vyplýva z odôvodnenia 47 GDPR, záujmy a základné práva dotknutej osoby môžu prevážiť pred záujmom prevádzkovateľa najmä vtedy, ak sa osobné údaje spracúvajú za okolností, keď dotknuté osoby odôvodnene neočakávajú takéto spracúvanie.

113    V prejednávanej veci vnútroštátny súd v súvislosti s odôvodneniami, ktoré môžu patriť do pôsobnosti článku 6 ods. 1 prvého pododseku písm. f) GDPR, poukazuje na personalizáciu reklamy, bezpečnosť siete, zlepšenie produktu, informovanie orgánov príslušných na účely vedenia trestného stíhania alebo výkonu trestu, na skutočnosť, že používateľ je maloletou osobou, na výskum a inovácie na sociálne účely, ako aj na ponuku služieb komerčnej komunikácie zacielenú na používateľa a analytických nástrojov umožňujúcich posúdiť ich výkonnosť, určenú pre inzerentov a iných profesionálnych partnerov.

114    V tejto súvislosti treba predovšetkým uviesť, že návrh na začatie prejudiciálneho konania neobsahuje vysvetlenia umožňujúce pochopiť, v čom by výskum a inovácia na sociálne účely, alebo skutočnosť, že používateľ je maloletou osobou, mohli ako oprávnené záujmy v zmysle článku 6 ods. 1 prvého pododseku písm. f) GDPR odôvodniť získavanie a používanie dotknutých údajov. Súdny dvor sa preto nemôže v tejto súvislosti vyjadriť.

115    Pokiaľ ide po prvé o personalizáciu reklamy, treba uviesť, že z odôvodnenia 47 tohto nariadenia vyplýva, že spracúvanie osobných údajov na účely priameho marketingu možno považovať za spracúvanie vykonávané z dôvodu oprávneného záujmu prevádzkovateľa.

116    Takéto spracúvanie však takisto musí byť nevyhnutné na dosiahnutie tohto záujmu a nesmú nad ním prevažovať záujmy alebo základné práva a slobody dotknutej osoby. Pri tomto zvážení predmetných protichodných práv a záujmov, a to práv a záujmov prevádzkovateľa na jednej strane a práv a záujmov dotknutej osoby na druhej strane, treba zohľadniť, ako bolo uvedené v bode 112 tohto rozsudku, najmä primerané očakávania dotknutej osoby a rozsah predmetného spracúvania a jeho vplyv na túto osobu.

117    V tejto súvislosti treba uviesť, že aj napriek bezplatnosti služieb takejto online sociálnej siete, ako je Facebook, používateľ tejto siete nemôže odôvodnene očakávať, že prevádzkovateľ tejto sociálnej siete bude bez súhlasu tohto používateľa spracúvať jeho osobné údaje na účely personalizácie reklamy. Za týchto podmienok treba konštatovať, že záujmy a základné práva takéhoto používateľa prevažujú nad záujmom tohto prevádzkovateľa na takejto personalizácii reklamy, prostredníctvom ktorej financuje svoju činnosť, takže spracúvanie vykonávané týmto prevádzkovateľom na takéto účely nemôže spadať pod článok 6 ods. 1 prvý pododsek písm. f) GDPR.

118    Okrem toho treba konštatovať, že spracúvanie, o ktoré ide vo veci samej, je mimoriadne rozsiahle, keďže sa týka potenciálne neobmedzeného množstva údajov a má významný vplyv na používateľa vzhľadom na to, že veľkú časť, či dokonca takmer všetky jeho online aktivity monitoruje Meta Platforms Ireland, čo môže u neho vyvolať pocit, že jeho súkromný život je pod neustálym dohľadom.

119    Po druhé, pokiaľ ide o cieľ spočívajúci v zaistení bezpečnosti siete, tento cieľ predstavuje, ako sa uvádza v odôvodnení 49 GDPR, oprávnený záujem spoločnosti Meta Platforms Ireland, ktorý môže odôvodniť spracúvanie, o ktoré ide vo veci samej.

120    Pokiaľ však ide o nevyhnutnosť tohto spracúvania na účely dosiahnutia tohto oprávneného záujmu, vnútroštátny súd bude musieť overiť, či a v akom rozsahu sa spracúvanie osobných údajov získaných zo zdrojov mimo sociálnej siete Facebook javí ako skutočne nevyhnutné na zabezpečenie toho, aby nebola ohrozená vnútorná bezpečnosť tejto siete.

121    V tejto súvislosti, ako bolo uvedené v bodoch 108 a 109 tohto rozsudku, bude vnútroštátny súd musieť tiež overiť, či sledovaný oprávnený záujem na spracúvaní údajov nemožno primeraným spôsobom rovnako účinne dosiahnuť inými prostriedkami, ktoré menej zasahujú do základných práv a slobôd dotknutých osôb, najmä do práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených článkami 7 a 8 Charty, a ďalej, či je dodržaná tzv. zásada „minimalizácie údajov“ zakotvená v článku 5 ods. 1 písm. c) GDPR.

122    Po tretie, pokiaľ ide o cieľ spočívajúci v zlepšení produktu, nemožno a priori vylúčiť, že záujem prevádzkovateľa zlepšiť svoj produkt alebo služby, aby sa stali výkonnejšími, a tým aj atraktívnejšími, môže predstavovať oprávnený záujem umožňujúci odôvodniť spracúvanie osobných údajov a že takéto spracúvanie môže byť nevyhnutné na sledovanie tohto záujmu.

123    S výhradou konečného posúdenia, ktoré v tejto súvislosti musí vykonať vnútroštátny súd, však možno pochybovať o tom, či v prípade spracúvania údajov, o ktoré ide vo veci samej, môže mať cieľ spočívajúci v zlepšení produktu – vzhľadom na rozsah tohto spracúvania a jeho významný vplyv na používateľa, ako aj na okolnosť, že používateľ nemusí odôvodnene očakávať, že tieto údaje bude spracúvať Meta Platforms Ireland – prednosť pred záujmami a základnými právami takéhoto používateľa, a to o to viac, ak sú týmito používateľmi deti.

124    Po štvrté, pokiaľ ide o cieľ uvedený vnútroštátnym súdom, ktorý sa týka informovania orgánov príslušných na účely vedenia trestného stíhania a výkonu trestov na predchádzanie, odhaľovanie a stíhanie trestných činov, treba konštatovať, že tento cieľ v zásade nemôže predstavovať oprávnený záujem sledovaný prevádzkovateľom v zmysle článku 6 ods. 1 prvého pododseku písm. f) GDPR. Súkromný prevádzkovateľ, akým je Meta Platforms Ireland, sa totiž nemôže odvolávať na takýto oprávnený záujem, ktorý nesúvisí s jeho hospodárskou a obchodnou činnosťou. Naopak, uvedený cieľ môže odôvodniť spracúvanie vykonávané takýmto prevádzkovateľom, ak je to objektívne nevyhnutné na splnenie zákonnej povinnosti, ktorej tento prevádzkovateľ podlieha.

125    Vzhľadom na vyššie uvedené treba na tretiu a štvrtú otázku odpovedať tak, že článok 6 ods. 1 prvý pododsek písm. b) GDPR sa má vykladať v tom zmysle, že spracúvanie osobných údajov vykonávané prevádzkovateľom online sociálnej siete, ktoré spočíva v zhromažďovaní údajov od používateľov takejto siete získaných v súvislosti s inými službami skupiny, do ktorej patrí tento prevádzkovateľ, alebo z prehliadania internetových stránok alebo iných aplikácií tretích strán týmito používateľmi, v prepájaní týchto údajov s účtom uvedených používateľov na sociálnej sieti a v ich používaní, možno považovať za nevyhnutné na plnenie zmluvy, ktorej zmluvnými stranami sú dotknuté osoby, v zmysle tohto ustanovenia len pod podmienkou, že toto spracúvanie je objektívne nevyhnutné na dosiahnutie cieľa, ktorý je neoddeliteľnou súčasťou zmluvného plnenia určeného tým istým používateľom, takže bez tohto spracúvania by nebolo možné dosiahnuť hlavný predmet zmluvy.

126    Článok 6 ods. 1 prvý pododsek písm. f) GDPR sa má vykladať v tom zmysle, že takéto spracúvanie možno považovať za nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana v zmysle tohto ustanovenia, len pod podmienkou, že uvedený prevádzkovateľ oznámil používateľom, od ktorých boli údaje získané, oprávnený záujem, ktorý sa ich spracúvaním sleduje, že toto spracúvanie sa uskutočňuje v medziach toho, čo je nevyhnutne potrebné na dosiahnutie tohto oprávneného záujmu, a že so zreteľom na všetky relevantné okolnosti zo zváženia protichodných záujmov vyplýva, že záujmy alebo základné práva a slobody týchto používateľov neprevažujú nad uvedeným oprávneným záujmom prevádzkovateľa alebo tretej strany.

 O piatej otázke

127    V prvom rade v rozsahu, v akom sa táto otázka týka článku 6 ods. 1 prvého pododseku písm. c) a e) GDPR, treba pripomenúť, že podľa tohto písmena c) je spracúvanie osobných údajov zákonné, ak je nevyhnutné na splnenie zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa. Okrem toho je podľa tohto písmena e) zákonné aj spracúvanie, ktoré je nevyhnutné na splnenie úlohy vykonávanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi.

128    Článok 6 ods. 3 GDPR vo vzťahu k týmto dvom prípadom zákonnosti okrem iného spresňuje, že spracúvanie musí mať základ v práve Únie alebo v práve členského štátu vzťahujúcom sa na prevádzkovateľa, a že tento právny základ musí spĺňať cieľ verejného záujmu a musí byť primeraný sledovanému oprávnenému cieľu.

129    V prejednávanej veci sa vnútroštátny súd pýta, či také spracúvanie osobných údajov, o aké ide vo veci samej, možno považovať za odôvodnené s ohľadom na článok 6 ods. 1 prvý pododsek písm. c) GDPR, ak je jeho cieľom „odpovedať na právoplatnú žiadosť o poskytnutie určitých údajov“, a s ohľadom na článok 6 ods. 1 prvý pododsek písm. e) tohto nariadenia, ak je jeho účelom „výskum vykonávaný na sociálne účely“ a snaží sa o „podporu ochrany, integrity a bezpečnosti“.

130    Treba však konštatovať, že tento súd neposkytol Súdnemu dvoru informácie, ktoré by mu v tejto súvislosti umožnili konkrétne rozhodnúť.

131    Uvedenému súdu bude teda prislúchať, aby vzhľadom na podmienky uvedené v bode 128 tohto rozsudku overil, či uvedené spracúvanie možno považovať za odôvodnené uvádzanými účelmi.

132    Konkrétne vzhľadom na to, čo bolo uvedené v bode 124 tohto rozsudku, bude vnútroštátnemu súdu prislúchať, aby na účely uplatnenia článku 6 ods. 1 prvého pododseku písm. c) GDPR overil, či má Meta Platforms Ireland zákonnú povinnosť preventívne zhromažďovať a uchovávať osobné údaje, aby mohla odpovedať na akúkoľvek žiadosť vnútroštátneho orgánu smerujúcu k získaniu určitých údajov týkajúcich sa jej používateľov.

133    Rovnako tak bude uvedenému súdu prislúchať, aby s ohľadom na článok 6 ods. 1 prvý pododsek písm. e) GDPR overil, či Meta Platforms Ireland vykonáva úlohu vo verejnom záujme alebo pri výkone verejnej moci, najmä s cieľom zabezpečiť výskum vykonávaný na sociálne účely a podporiť ochranu, integritu a bezpečnosť, pričom treba spresniť, že vzhľadom na povahu a predovšetkým hospodársky a obchodný charakter jeho činnosti sa zdá málo pravdepodobné, že by tomuto prevádzkovateľovi bola takáto úloha zverená.

134    Okrem toho vnútroštátny súd bude musieť prípadne overiť, či sa vzhľadom na rozsah spracúvania údajov, ktoré vykonáva Meta Platforms Ireland, a jeho významný vplyv na používateľov sociálnej siete Facebook toto spracúvanie vykonáva v medziach toho, čo je nevyhnutne potrebné.

135    Pokiaľ ide v druhom rade o článok 6 ods. 1 prvý pododsek písm. d) GDPR, toto ustanovenie stanovuje, že spracúvanie osobných údajov je zákonné, ak je nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby.

136    Ako vyplýva z odôvodnenia 46 tohto nariadenia, toto ustanovenie sa týka osobitnej situácie, v ktorej je spracúvanie osobných údajov nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby. V tejto súvislosti toto odôvodnenie ako príklad okrem iného uvádza humanitárne účely, ako je monitorovanie epidémií a ich šírenie, ako aj naliehavé humanitárne situácie, ako sú prírodné katastrofy a katastrofy spôsobené ľudskou činnosťou.

137    Z týchto príkladov, ako aj z reštriktívneho výkladu článku 6 ods. 1 prvého pododseku písm. d) GDPR vyplýva, že vzhľadom na povahu služieb poskytovaných prevádzkovateľom online sociálnej siete sa takýto prevádzkovateľ, ktorého činnosť má v podstate hospodársku a obchodnú povahu, nemôže odvolávať na ochranu životne dôležitých záujmov jeho používateľov alebo inej osoby, aby absolútne a čisto abstraktným a preventívnym spôsobom odôvodnil zákonnosť spracúvania údajov, ako je spracúvanie, o aké ide vo veci samej.

138    Vzhľadom na vyššie uvedené treba na piatu otázku odpovedať tak, že článok 6 ods. 1 prvý pododsek písm. c) GDPR sa má vykladať v tom zmysle, že spracúvanie osobných údajov vykonávané prevádzkovateľom online sociálnej siete, ktoré spočíva v zhromažďovaní údajov od používateľov takejto siete získaných v súvislosti s inými službami skupiny, do ktorej patrí tento prevádzkovateľ, alebo z prehliadania internetových stránok alebo iných aplikácií tretích strán týmito používateľmi, v prepájaní týchto údajov s účtom uvedených používateľov na sociálnej sieti a v ich používaní je na základe tohto ustanovenia odôvodnené, ak je skutočne nevyhnutné na splnenie zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa podľa ustanovenia práva Únie alebo práva dotknutého členského štátu, že tento právny základ zodpovedá cieľu verejného záujmu a je primeraný sledovanému legitímnemu cieľu a že toto spracúvanie sa uskutočňuje v medziach toho, čo je nevyhnutne potrebné.

139    Článok 6 ods. 1 prvý pododsek písm. d) a e) GDPR sa má vykladať v tom zmysle, že takéto spracúvanie osobných údajov nemožno v zásade a s výhradou overenia, ktoré musí vykonať vnútroštátny súd, považovať za nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby v zmysle písmena d) alebo na splnenie úlohy vykonávanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi v zmysle písmena e).

 O šiestej otázke

140    Svojou šiestou otázkou sa vnútroštátny súd v podstate pýta, či sa majú článok 6 ods. 1 prvý pododsek písm. a) a článok 9 ods. 2 písm. a) GDPR vykladať v tom zmysle, že súhlas, ktorý dal používateľ online sociálnej siete operátorovi takejto siete, možno považovať za súhlas, ktorý spĺňa podmienky platnosti stanovené v článku 4 bode 11 tohto nariadenia, najmä podmienku, podľa ktorej sa tento súhlas musí poskytnúť slobodne, ak má tento prevádzkovateľ dominantné postavenie na trhu s online sociálnymi sieťami.

141    Článok 6 ods. 1 prvý pododsek písm. a) vyžaduje súhlas dotknutej osoby na účely spracúvania jej osobných údajov na jeden alebo viacero konkrétnych účelov a článok 9 ods. 2 písm. a) GDPR vyžaduje súhlas dotknutej osoby na spracúvanie osobitných kategórií údajov uvedených v tomto článku 9 ods. 1.

142    Článok 4 ods. 11 GDPR definuje pojem „súhlas“ ako „akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka“.

143    Vzhľadom na otázky vnútroštátneho súdu treba v prvom rade pripomenúť, že v súlade s odôvodnením 42 GDPR nemožno súhlas považovať za slobodne poskytnutý, ak dotknutá osoba nemá skutočnú slobodnú voľbu alebo nemôže odmietnuť alebo odvolať svoj súhlas bez nepriaznivých následkov.

144    V druhom rade odôvodnenie 43 tohto nariadenia uvádza, že na to, aby sa zabezpečilo, že sa súhlas poskytol slobodne, nemal by byť platným právnym dôvodom na spracúvanie osobných údajov, ak medzi postavením dotknutej osoby a prevádzkovateľa existuje zjavná nerovnováha. V tomto odôvodnení sa tiež spresňuje, že súhlas sa nepovažuje za poskytnutý slobodne, ak nie je možné dať samostatný súhlas na jednotlivé operácie spracovania osobných údajov napriek tomu, že by to bolo v danom prípade vhodné.

145    V treťom rade článok 7 ods. 4 GDPR stanovuje, že pri posudzovaní, či bol súhlas poskytnutý slobodne, sa v čo najväčšej miere okrem iného zohľadní skutočnosť, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje súhlasom so spracúvaním osobných údajov, ktorý nie je na plnenie tejto zmluvy nevyhnutný.

146    Na šiestu otázku treba odpovedať na základe týchto úvah.

147    V tejto súvislosti treba konštatovať, že okolnosť, že prevádzkovateľ online sociálnej siete má ako prevádzkovateľ dominantné postavenie na trhu sociálnych sietí, nepochybne sama osebe nebráni tomu, aby používatelia tejto sociálnej siete mohli platne udeliť súhlas so spracúvaním svojich osobných údajov týmto prevádzkovateľom v zmysle článku 4 bodu 11 GDPR.

148    Nič to však nemení na tom, ako v podstate uviedol generálny advokát v bode 75 svojich návrhov, že takúto okolnosť treba zohľadniť pri posúdení, či je súhlas udelený používateľom uvedenej siete platný, a najmä slobodný, keďže môže ovplyvniť slobodu voľby tohto používateľa, ktorý by nemohol odmietnuť alebo odvolať svoj súhlas bez nepriaznivých následkov, ako sa uvádza v odôvodnení 42 GDPR.

149    Okrem toho existencia takéhoto dominantného postavenia môže spôsobiť zjavnú nerovnováhu medzi dotknutou osobou a prevádzkovateľom v zmysle odôvodnenia 43 GDPR, pričom táto nerovnováha podporuje najmä uloženie podmienok, ktoré nie sú nevyhnutne potrebné na plnenie zmluvy, čo treba zohľadniť v súlade s článkom 7 ods. 4 tohto nariadenia. V tejto súvislosti treba pripomenúť, ako bolo uvedené v bodoch 102 až 104 tohto rozsudku, že s výhradou overení, ktoré musí vykonať vnútroštátny súd, sa nezdá, že by spracúvanie, o ktoré ide vo veci samej, bolo nevyhnutne potrebné na plnenie zmluvy medzi spoločnosťou Meta platforms Ireland a používateľmi sociálnej siete Facebook.

150    Títo používatelia tak musia mať v rámci zmluvného procesu možnosť individuálne odmietnuť udeliť svoj súhlas s konkrétnymi operáciami spracúvania údajov, ktoré nie sú nevyhnutné na plnenie zmluvy, bez toho, aby boli povinní sa v plnom rozsahu vzdať využívania služby ponúkanej prevádzkovateľom online sociálnej siete, čo znamená, že uvedenému používateľovi sa ponúkne, prípadne za primeranú odmenu, rovnocenná alternatíva, s ktorou nie sú spojené takéto operácie spracúvania údajov.

151    Navyše vzhľadom na rozsah predmetného spracúvania údajov a jeho významný vplyv na používateľov tejto siete, ako aj na okolnosť, že títo používatelia by nemali odôvodnene očakávať, že prevádzkovateľ sociálnej siete bude spracúvať iné údaje ako tie, ktoré sa týkajú ich správania v rámci sociálnej siete, je v zmysle tohto odôvodnenia 43 primerané, aby mohol byť udelený samostatný súhlas na spracúvanie jednak týchto posledných uvedených údajov a jednak údajov off Facebook. Vnútroštátnemu súdu prináleží, aby overil existenciu takejto možnosti, bez ktorej by sa súhlas uvedených používateľov so spracúvaním údajov off Facebook nepovažoval za súhlas poskytnutý slobodne.

152    Napokon treba pripomenúť, že podľa článku 7 ods. 1 GDPR v prípadoch, keď je spracúvanie založené na súhlase, prevádzkovateľ znáša dôkazné bremeno, že dotknutá osoba udelila svoj súhlas so spracúvaním osobných údajov, ktoré sa jej týkajú.

153    Práve vzhľadom na tieto kritériá a podrobné preskúmanie všetkých okolností prejednávanej veci bude vnútroštátnemu súdu prislúchať, aby určil, či používatelia sociálnej siete Facebook platne a najmä slobodne udelili svoj súhlas so spracúvaním, o ktoré ide vo veci samej.

154    Vzhľadom na vyššie uvedené treba na šiestu otázku odpovedať tak, že článok 6 ods. 1 prvý pododsek písm. a) a článok 9 ods. 2 písm. a) GDPR sa majú vykladať v tom zmysle, že okolnosť, že prevádzkovateľ online sociálnej siete má dominantné postavenie na trhu s online sociálnymi sieťami, sama osebe nebráni tomu, aby používatelia takejto siete mohli platne udeliť súhlas so spracúvaním svojich osobných údajov týmto prevádzkovateľom v zmysle článku 4 bodu 11 tohto nariadenia. Táto okolnosť však predstavuje dôležitý prvok na určenie, či bol súhlas skutočne udelený platne, a najmä slobodne, čo musí preukázať uvedený prevádzkovateľ.

 O trovách

155    Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (veľká komora) rozhodol takto:

1.      Článok 51 a nasl. nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), ako aj článok 4 ods. 3 ZEÚ

sa majú vykladať v tom zmysle, že:

že s výhradou dodržania povinnosti lojálnej spolupráce s dozornými orgánmi môže orgán na ochranu hospodárskej súťaže členského štátu v rámci preskúmania, či došlo k zneužitiu dominantného postavenia podnikom v zmysle článku 102 ZFEÚ, konštatovať, že všeobecné podmienky používania vypracované týmto podnikom a týkajúce sa spracúvania osobných údajov a ich vykonávanie nie sú v súlade s týmto nariadením, ak je toto konštatovanie potrebné na preukázanie existencie takéhoto zneužitia.

Vzhľadom na túto povinnosť lojálnej spolupráce sa vnútroštátny orgán na ochranu hospodárskej súťaže nemôže odchýliť od rozhodnutia príslušného vnútroštátneho dozorného orgánu alebo príslušného vedúceho dozorného orgánu týkajúceho sa týchto všeobecných podmienok alebo podobných všeobecných podmienok. Ak má orgán na ochranu hospodárskej súťaže pochybnosti o rozsahu takéhoto rozhodnutia, ak sú uvedené podmienky alebo podobné podmienky zároveň predmetom preskúmania zo strany týchto orgánov alebo ak sa orgán na ochranu hospodárskej súťaže v prípade neexistencie vyšetrovania alebo rozhodnutia zo strany uvedených orgánov domnieva, že predmetné podmienky nie sú v súlade s nariadením 2016/679, musí sa poradiť s týmito dozornými orgánmi a požiadať ich o spoluprácu, aby sa zbavil svojich pochybností alebo určil, či treba počkať na prijatie ich rozhodnutia pred začatím vlastného posúdenia. Ak tieto dozorné orgány nevznesú námietku alebo neodpovedia v primeranej lehote, orgán na ochranu hospodárskej súťaže môže pokračovať vo vlastnom vyšetrovaní.

2.      Článok 9 ods. 1 nariadenia 2016/679

sa má vykladať v tom zmysle, že:

v prípade, ak používateľ online sociálnej siete navštívi internetové stránky alebo aplikácie majúce vzťah k jednej alebo k viacerým kategóriám uvedeným v tomto ustanovení a prípadne do nich zadá údaje prostredníctvom registrácie alebo uskutočnenia online objednávok, spracúvanie osobných údajov prevádzkovateľom tejto online sociálnej siete, ktoré spočíva v zhromažďovaní údajov získaných z prehliadania týchto stránok a aplikácií, ako aj údajov zadaných používateľom, a to prostredníctvom integrovaných rozhraní, súborov cookies alebo podobných technológií ukladania údajov, v prepájaní všetkých týchto údajov s účtom používateľa na sociálnej sieti a v ich používaní týmto prevádzkovateľom, treba považovať za „spracúvanie osobitných kategórií osobných údajov“ v zmysle uvedeného ustanovenia, ktoré je s výhradou výnimiek stanovených v tomto článku 9 ods. 2 v zásade zakázané, ak toto spracúvanie údajov môže odhaliť informácie patriace do jednej z týchto kategórií, bez ohľadu na to, či sa tieto informácie týkajú používateľa tejto siete alebo akejkoľvek inej fyzickej osoby.

3.      Článok 9 ods. 2 písm. e) nariadenia 2016/679

sa má vykladať v tom zmysle, že:

ak používateľ online sociálnej siete navštívi internetové stránky alebo aplikácie majúce vzťah k jednej alebo k viacerým kategóriám uvedeným v článku 9 ods. 1 tohto nariadenia, zjavne nezverejňuje údaje týkajúce sa tohto navštívenia, ktoré zhromaždil prevádzkovateľ tejto online sociálnej siete prostredníctvom súborov cookies alebo podobných technológií ukladania údajov v zmysle prvého z týchto ustanovení.

Ak takýto používateľ zadá údaje na takýchto internetových stránkach, resp. v takýchto aplikáciách, alebo klikne na tlačidlá výberu na týchto stránkach alebo v týchto aplikáciách, akými sú tlačidlá „páči sa mi to“ alebo „zdieľať“ alebo tlačidlá umožňujúce používateľovi identifikovať sa na týchto stránkach alebo v týchto aplikáciách pomocou prihlasovacích údajov spojených s jeho používateľským účtom na sociálnej sieti, jeho telefónnym číslom alebo e‑mailovou adresou, zjavne zverejňuje v zmysle tohto článku 9 ods. 2 písm. e) takto zadané údaje alebo údaje vyplývajúce z kliknutia na tieto tlačidlá len v prípade, že vopred výslovne vyjadril svoju voľbu, prípadne na základe individuálneho nastavenia vykonaného s úplnou znalosťou veci, zverejniť údaje, ktoré sa ho týkajú, neobmedzenému počtu osôb.

4.      Článok 6 ods. 1 prvý pododsek písm. b) nariadenia 2016/679

sa má vykladať v tom zmysle, že:

spracúvanie osobných údajov vykonávané prevádzkovateľom online sociálnej siete, ktoré spočíva v zhromažďovaní údajov od používateľov takejto siete získaných v súvislosti s inými službami skupiny, do ktorej patrí tento prevádzkovateľ, alebo z prehliadania internetových stránok alebo iných aplikácií tretích strán týmito používateľmi, v prepájaní týchto údajov s účtom uvedených používateľov na sociálnej sieti a v ich používaní, možno považovať za nevyhnutné na plnenie zmluvy, ktorej zmluvnými stranami sú dotknuté osoby, v zmysle tohto ustanovenia len pod podmienkou, že toto spracúvanie je objektívne nevyhnutné na dosiahnutie cieľa, ktorý je neoddeliteľnou súčasťou zmluvného plnenia určeného tým istým používateľom, takže bez tohto spracúvania by nebolo možné dosiahnuť hlavný predmet zmluvy.

5.      Článok 6 ods. 1 prvý pododsek písm. f) nariadenia 2016/679

sa má vykladať v tom zmysle, že:

spracúvanie osobných údajov vykonávané prevádzkovateľom online sociálnej siete, ktoré spočíva v zhromažďovaní údajov od používateľov takejto siete získaných v súvislosti s inými službami skupiny, do ktorej patrí tento prevádzkovateľ, alebo z prehliadania internetových stránok alebo iných aplikácií tretích strán týmito používateľmi, v prepájaní týchto údajov s účtom uvedených používateľov na sociálnej sieti a v ich používaní, možno považovať za nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana v zmysle tohto ustanovenia, len pod podmienkou, že uvedený prevádzkovateľ oznámil používateľom, od ktorých boli údaje získané, oprávnený záujem, ktorý sa ich spracúvaním sleduje, že toto spracúvanie sa uskutočňuje v medziach toho, čo je nevyhnutne potrebné na dosiahnutie tohto oprávneného záujmu, a že so zreteľom na všetky relevantné okolnosti zo zváženia protichodných záujmov vyplýva, že záujmy alebo základné práva a slobody týchto používateľov neprevažujú nad uvedeným oprávneným záujmom prevádzkovateľa alebo tretej strany.

6.      Článok 6 ods. 1 prvý pododsek písm. c) nariadenia 2016/679

sa má vykladať v tom zmysle, že:

spracúvanie osobných údajov vykonávané prevádzkovateľom online sociálnej siete, ktoré spočíva v zhromažďovaní údajov od používateľov takejto siete získaných v súvislosti s inými službami skupiny, do ktorej patrí tento prevádzkovateľ, alebo z prehliadania internetových stránok alebo iných aplikácií tretích strán týmito používateľmi, v prepájaní týchto údajov s účtom uvedených používateľov na sociálnej sieti a v ich používaní je na základe tohto ustanovenia odôvodnené, ak je skutočne nevyhnutné na splnenie zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa podľa ustanovenia práva Únie alebo práva dotknutého členského štátu, že tento právny základ zodpovedá cieľu verejného záujmu a je primeraný sledovanému legitímnemu cieľu a že toto spracúvanie sa uskutočňuje v medziach toho, čo je nevyhnutne potrebné.

7.      Článok 6 ods. 1 prvý pododsek písm. d) a e) nariadenia 2016/679

sa má vykladať v tom zmysle, že:

spracúvanie osobných údajov vykonávané prevádzkovateľom online sociálnej siete, ktoré spočíva v zhromažďovaní údajov od používateľov takejto siete získaných v súvislosti s inými službami skupiny, do ktorej patrí tento prevádzkovateľ, alebo z prehliadania internetových stránok alebo iných aplikácií tretích strán týmito používateľmi, v prepájaní týchto údajov s účtom uvedených používateľov na sociálnej sieti a v ich používaní, nemožno v zásade a s výhradou overenia, ktoré musí vykonať vnútroštátny súd, považovať za nevyhnutné na ochranu životne dôležitých záujmov dotknutej osoby alebo inej fyzickej osoby v zmysle písmena d) alebo na splnenie úlohy vykonávanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi v zmysle písmena e).

8.      Článok 6 ods. 1 prvý pododsek písm. a) a článok 9 ods. 2 písm. a) nariadenia 2016/679

sa majú vykladať v tom zmysle, že:

okolnosť, že prevádzkovateľ online sociálnej siete má dominantné postavenie na trhu s online sociálnymi sieťami, sama osebe nebráni tomu, aby používatelia takejto siete mohli platne udeliť súhlas so spracúvaním svojich osobných údajov týmto prevádzkovateľom v zmysle článku 4 bodu 11 tohto nariadenia. Táto okolnosť však predstavuje dôležitý prvok na určenie, či bol súhlas skutočne udelený platne, a najmä slobodne, čo musí preukázať uvedený prevádzkovateľ.

Podpisy

*      Jazyk konania: francúzština.