CONCLUSIE VAN ADVOCAAT-GENERAAL
A. RANTOS
van 20 september 2022 (1)
Zaak C‑252/21
Meta Platforms Inc., voorheen Facebook Inc.,
Meta Platforms Ireland Limited, voorheen Facebook Ireland Ltd.,
Facebook Deutschland GmbH
tegen
Bundeskartellamt,
in tegenwoordigheid van:
Verbraucherzentrale Bundesverband e.V.
[verzoek van het Oberlandesgericht Düsseldorf (hoogste rechterlijke instantie van de deelstaat Noordrijn-Westfalen, Düsseldorf, Duitsland) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Verordening (EU) 2016/679 – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Sociale netwerken – Artikel 4, punt 11 – Begrip ‚toestemming’ van de betrokkene – Toestemming verleend aan een voor de verwerking verantwoordelijke onderneming met een machtspositie – Artikel 6, lid 1, onder b) tot en met f) – Rechtmatigheid van de verwerking – Verwerking die noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is of voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde – Verwerking die noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust, om de vitale belangen van de betrokkene of een andere natuurlijke persoon te beschermen, of voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen – Artikel 9, lid 1, en artikel 9, lid 2, onder e) – Bijzondere categorieën van persoonsgegevens – Persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt – Artikelen 51 tot en met 66 – Bevoegdheden van de nationale mededingingsautoriteit – Samenhang met de bevoegdheden van de toezichthoudende autoriteiten voor de bescherming van persoonsgegevens – Vaststelling van maatregelen krachtens het mededingingsrecht door een autoriteit die is gevestigd in een andere lidstaat dan die van de leidende toezichthoudende autoriteit voor de bescherming van persoonsgegevens”
Inleiding
1. Het onderhavige verzoek om een prejudiciële beslissing is ingediend door het Oberlandesgericht Düsseldorf (hoogste rechterlijke instantie van de deelstaat Noordrijn-Westfalen, Düsseldorf, Duitsland) in het kader van een geding tussen vennootschappen van het concern Meta Platforms(2) en het Bundeskartellamt (federale mededingingsautoriteit, Duitsland) betreffende het besluit waarbij deze autoriteit verzoeker in het hoofdgeding een verbod tot gegevensverwerking als bedoeld in de servicevoorwaarden van zijn online sociale netwerk Facebook, alsmede een verbod tot toepassing van deze servicevoorwaarden heeft opgelegd, en heeft bevolen deze activiteiten te beëindigen.(3)
2. In wezen betreffen de prejudiciële vragen de bevoegdheid van een nationale mededingingsautoriteit zoals het Bundeskartellamt om primair of incidenteel gedragingen van een onderneming te onderzoeken in het licht van een aantal bepalingen van verordening (EU) 2016/679(4), alsmede de uitlegging van deze bepalingen met betrekking tot, met name, de verwerking van gevoelige persoonsgegevens, de relevante voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens en de uiting van vrije toestemming ten aanzien van een onderneming met een machtspositie.
Toepasselijke bepalingen
Unierecht
3. Artikel 4 AVG bepaalt:
„Voor de toepassing van deze verordening wordt verstaan onder:
[…]
11) ‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt;
[…]”
4. Artikel 6 („Rechtmatigheid van de verwerking”), lid 1, van deze verordening luidt als volgt:
„De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.”
5. Artikel 9 („Verwerking van bijzondere categorieën van persoonsgegevens”), leden 1 en 2, van deze verordening luidt:
„1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;
[…]
e) de verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt;
[…]”
6. Artikel 51 van deze verordening („Toezichthoudende autoriteit”), dat deel uitmaakt van hoofdstuk VI („Onafhankelijke toezichthoudende autoriteiten”), luidt als volgt:
„1. Elke lidstaat bepaalt dat een of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken […].
2. Elke toezichthoudende autoriteit draagt bij tot de consequente toepassing van deze verordening in de hele Unie. Daartoe werken de toezichthoudende autoriteiten onderling en met de Commissie samen overeenkomstig hoofdstuk VII.
[…]”
Duits recht
7. § 19, lid 1, van het Gesetz gegen Wettbewerbsbeschränkungen (wet tegen de beperking van de mededinging; hierna: „GWB”) bepaalt:
„Het is verboden dat een of meer ondernemingen misbruik maken van een machtspositie op de markt.”(5)
8. § 50f GWB bepaalt:
„(1) De mededingingsautoriteiten, de regulerende instanties, de federale verantwoordelijke voor gegevensbescherming en vrijheid van informatie, de regionale verantwoordelijken voor gegevensbescherming van de deelstaten en de bevoegde autoriteiten in de zin van § 2 van het EU-Verbraucherschutzdurchführungsgesetz (wet betreffende de uitvoering van het consumentenbeschermingsrecht van de Europese Unie) kunnen, ongeacht de gekozen procedure, onderling informatie uitwisselen, met inbegrip van persoonsgegevens en handels- en zakengeheimen, voor zover dit noodzakelijk is voor de uitvoering van hun respectieve taken, en deze informatie gebruiken in hun procedures. […]”
Hoofdgeding, prejudiciële vragen en procedure bij het Hof
9. Meta Platforms beheert het aanbod van het online sociale netwerk „Facebook” in de Europese Unie (op het adres www.facebook.com), en andere onlinediensten, waaronder Instagram en WhatsApp. Het economische model van de door Meta Platforms beheerde sociale netwerken bestaat, in wezen, in het aanbieden van gratis socialemediadiensten aan particuliere gebruikers en in het verkopen van onlineadvertenties, die op maat worden gemaakt voor de individuele gebruikers van het sociale netwerk en waarmee aan de betrokken gebruiker producten en diensten worden getoond die hem zouden kunnen interesseren wegens met name zijn persoonlijke consumptiegedrag, zijn interesses, zijn koopkracht en zijn persoonlijke situatie. De technische basis voor dit soort advertenties bestaat in het geautomatiseerd opstellen van zeer gedetailleerde profielen van de gebruikers van het netwerk en van de op concernniveau aangeboden onlinediensten.(6)
10. Voor het verzamelen en verwerken van gebruikersgegevens baseert Meta Platforms zich op de gebruiksovereenkomst die gebruikers met haar sluiten door op de knop „Registreren” te klikken en zich zo akkoord te verklaren met de servicevoorwaarden van Facebook. De aanvaarding van deze servicevoorwaarden is een essentiële voorwaarde voor het gebruik van het online sociale netwerk Facebook.(7) Centraal in de onderhavige zaak staat de praktijk waarbij, ten eerste, gegevens worden verzameld die afkomstig zijn van andere diensten van het concern alsmede van websites en apps van derden, via daarin geïntegreerde interfaces of via cookies die op de computer of het mobiele apparaat van de gebruiker zijn opgeslagen, ten tweede, deze gegevens worden gekoppeld aan het Facebookaccount van de gebruiker in kwestie en, ten derde, deze gegevens worden gebruikt (hierna: „litigieuze praktijk”).
11. Het Bundeskartellamt heeft Meta Platforms, na een tegen haar ingeleide procedure, bij het litigieuze besluit een verbod tot gegevensverwerking als bedoeld in de servicevoorwaarden van Facebook, alsmede een verbod tot toepassing van deze voorwaarden opgelegd, en heeft bevolen deze activiteiten te beëindigen. Het Bundeskartellamt heeft zijn besluit met name gebaseerd op het feit dat de betrokken gegevensverwerking misbruik vormde van de machtspositie van deze vennootschap op de markt van online sociale netwerken voor particuliere gebruikers in Duitsland, in de zin van § 19 GWB.(8)
12. Op 11 februari 2019 is Meta Platforms tegen het litigieuze besluit opgekomen bij het Oberlandesgericht Düsseldorf(9), de verwijzende rechter, die in wezen twijfels heeft over de mogelijkheid voor de nationale mededingingsautoriteiten om te toetsen of gegevensverwerking aan de eisen van de AVG voldoet en om een inbreuk op het bepaalde in deze verordening vast te stellen en te bestraffen, alsmede over de uitlegging en de toepassing van een aantal bepalingen van de verordening.
13. In deze omstandigheden heeft het Oberlandesgericht Düsseldorf de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) a) Is het verenigbaar met de artikelen 51 e.v. AVG, wanneer een nationale mededingingsautoriteit van een lidstaat, zoals het Bundeskartellamt, die geen toezichthoudende autoriteit in de zin van de artikelen 51 e.v. AVG is en in wier lidstaat een buiten de Europese Unie gevestigde onderneming een vestiging heeft die de in een andere lidstaat gelegen hoofdvestiging van deze onderneming, welke de uitsluitende verantwoordelijkheid draagt voor de verwerking van persoonsgegevens voor het gehele gebied van de Europese Unie, ondersteunt op het gebied van advertenties, communicatie en publiciteit, in het kader van het toezicht op misbruik op het gebied van de mededinging vaststelt dat de contractuele bepalingen van de hoofdvestiging inzake de gegevensverwerking en de uitvoering daarvan inbreuk maken op de AVG, en de beëindiging van die inbreuk beveelt?
b) Zo ja: is dit verenigbaar met artikel 4, lid 3, VEU, wanneer tegelijkertijd de leidende toezichthoudende autoriteit in de lidstaat van de hoofdvestiging in de zin van artikel 56, lid 1, AVG een onderzoek heeft ingesteld naar haar contractuele bepalingen inzake de gegevensverwerking?
Indien de eerste vraag bevestigend moet worden beantwoord:
2) a) In het geval dat een internetgebruiker websites of apps waarop de criteria van artikel 9, lid 1, AVG betrekking hebben, bijvoorbeeld flirting-apps, datingsites voor homoseksuelen, websites van politieke partijen, gezondheidsgerelateerde websites, ofwel slechts opent ofwel daar ook gegevens invoert, zoals bij registratie of bestellingen, en een andere onderneming, zoals Facebook Ireland, via op deze websites en apps geïntegreerde interfaces, zoals ‚Facebook Business Tools’, of via op de computer of een mobiel apparaat van de internetgebruiker geplaatste cookies of vergelijkbare opslagtechnologieën, de gegevens over het openen van de websites en apps door de gebruiker en over de daar gegeven invoer van de gebruiker verzamelt, met de gegevens van het Facebookaccount van de gebruiker verbindt en gebruikt, dient dit verzamelen en/of verbinden en/of gebruiken dan te worden aangemerkt als de verwerking van gevoelige gegevens in de zin van de bepaling?
b) Zo ja: kan het openen van deze websites en apps en/of het invoeren van gegevens en/of het aanklikken van de op deze websites of apps geïntegreerde knoppen (‚sociale plugins’ zoals ‚Vind ik leuk’, ‚Delen’ of ‚Facebook login’ of ‚Account Kit’) van een aanbieder als Facebook Ireland worden beschouwd als het kennelijk openbaar maken van de gegevens via het openen van de website of app als zodanig en/of via de door de gebruiker gegeven invoer in de zin van artikel 9, lid 2, onder e), AVG?
3) Kan een onderneming als Facebook Ireland, die een door advertenties gefinancierd, digitaal sociaal netwerk exploiteert en in haar gebruiksvoorwaarden de personalisatie van de inhoud en van de advertenties, de netwerkveiligheid, de productverbetering en het consistente en probleemloze gebruik van alle producten van het concern aanbiedt, zich beroepen op de rechtvaardigingsgrond van de noodzakelijkheid voor de uitvoering van een overeenkomst overeenkomstig artikel 6, lid 1, onder b), AVG of op de rechtvaardigingsgrond van de behartiging van gerechtvaardigde belangen overeenkomstig artikel 6, lid 1, onder f), AVG, wanneer de onderneming voor dit doel gegevens uit andere diensten van het concern en uit websites en apps van derden via daarin geïntegreerde interfaces, zoals ‚Facebook Business Tools’, of via op de computer of het mobiele apparaat van de internetgebruiker geplaatste cookies of vergelijkbare opslagtechnologieën verzamelt, met het Facebookaccount van de gebruiker verbindt en gebruikt?
4) Kunnen in een dergelijk geval tevens
– de minderjarigheid van de gebruikers voor de personalisatie van inhoud en advertenties, productverbetering, netwerkveiligheid en andere dan marketing-gerelateerde communicatie met de gebruiker,
– het aanbieden van metingen, analysen en andere zakelijke diensten aan adverteerders, ontwikkelaars en overige partners zodat deze hun diensten kunnen evalueren en verbeteren,
– het aanbieden van marketingcommunicatie met de gebruiker, zodat de onderneming haar producten kan verbeteren en direct marketing kan toepassen,
– onderzoek en innovatie voor het maatschappelijk belang, om de stand van de techniek respectievelijk het wetenschappelijk begrip ten aanzien van belangrijke sociale onderwerpen te bevorderen en om de maatschappij en de wereld positief te beïnvloeden,
– het informeren van vervolgings- en handhavingsautoriteiten, het reageren op wettelijke verzoeken om strafbare feiten, onrechtmatig gebruik, schending van gebruiksvoorwaarden en beleid alsmede overige nadelige gedragingen te voorkomen, op te sporen en te vervolgen,
gerechtvaardigde belangen in de zin van artikel 6, lid 1, onder f), AVG zijn wanneer de onderneming voor deze doeleinden gegevens uit andere diensten van het concern alsook uit websites en apps van derden via daarin geïntegreerde interfaces, zoals ‚Facebook Business Tools’, of via op de computer of het mobiele apparaat van de internetgebruiker geplaatste cookies of vergelijkbare opslagtechnologieën verzamelt, met het Facebookaccount van de gebruiker verbindt en gebruikt?
5) Kan in een dergelijk geval het verzamelen van gegevens uit andere diensten van het concern en uit websites en apps van derden via daarin geïntegreerde interfaces, zoals ‚Facebook Business Tools’, of via op de computer of het mobiele apparaat van de internetgebruiker geplaatste cookies of vergelijkbare opslagtechnologieën, de verbinding met het Facebook-account van de gebruiker en het gebruik, of het gebruik van reeds op andere wijze rechtmatig verzamelde en verbonden gegevens, in een afzonderlijk geval ook gerechtvaardigd zijn op grond van artikel 6, lid 1, onder c), d) en e), AVG, bijvoorbeeld om te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens [onder c)], om schadelijke gedragingen te bestrijden en de veiligheid te bevorderen [onder d)], voor doeleinden van onderzoek ten behoeve van het welzijn van de maatschappij en om de bescherming, integriteit en veiligheid te bevorderen [onder e)]?
6) Kan aan een onderneming met een machtspositie zoals Facebook Ireland, overeenkomstig artikel 6, lid 1, onder a), en artikel 9, lid 2, onder a), AVG een effectieve en, in het bijzonder in de zin van artikel 4, punt 11, AVG, vrijwillige, toestemming worden verleend?
Indien de eerste vraag ontkennend moet worden beantwoord:
7) a) Kan een nationale mededingingsautoriteit van een lidstaat, zoals het Bundeskartellamt, die geen toezichthoudende autoriteit is in de zin van de artikelen 51 e.v. AVG en die een inbreuk van een onderneming met een machtspositie op het kartelrechtelijke misbruikverbod onderzoekt, welke inbreuk niet bestaat in een inbreuk op de AVG door haar voorwaarden inzake de gegevensverwerking en de toepassing daarvan, in het kader van bijvoorbeeld de belangenafweging vaststellingen doen ten aanzien van de vraag of de voorwaarden inzake gegevensverwerking van deze onderneming en de uitvoering daarvan voldoen aan de AVG?
b) Zo ja: Geldt dit met het oog op artikel 4, lid 3, VEU ook wanneer tegelijkertijd de op grond van artikel 56, lid 1, AVG bevoegde leidende toezichthoudende autoriteit de voorwaarden van deze onderneming inzake de gegevensverwerking onderzoekt?
Indien de zevende vraag bevestigend moet worden beantwoord, moeten de vragen 3 tot en met 5 worden beantwoord ten aanzien van het gebruik van de gegevens voortvloeiende uit het gebruik van de dienst van het concern Instagram.”
14. Schriftelijke opmerkingen zijn ingediend door Meta Platforms, de Duitse, de Tsjechische, de Italiaanse en de Oostenrijkse regering, het Bundeskartellamt, de Verbraucherzentrale Bundesverband e.V. (consumentenorganisatie, Duitsland) en de Europese Commissie. Deze partijen hebben tevens mondelinge opmerkingen gemaakt tijdens de pleitzitting van 10 mei 2022.
Analyse
15. De prejudiciële vragen in de onderhavige zaak, die betrekking hebben op de uitlegging van verschillende bepalingen van de AVG, betreffen in wezen, ten eerste, de bevoegdheid van een mededingingsautoriteit om een inbreuk op de regels inzake de verwerking van persoonsgegevens vast te stellen en te bestraffen, alsmede haar verplichting tot samenwerking met de leidende autoriteit in de zin van de AVG (eerste en zevende prejudiciële vraag), ten tweede, het verbod op de verwerking van gevoelige persoonsgegevens en de voorwaarden die gelden voor het verlenen van toestemming voor het gebruik van deze gegevens (tweede prejudiciële vraag), ten derde, de rechtmatigheid van de verwerking van persoonsgegevens in het licht van bepaalde rechtvaardigingsgronden (derde tot en met vijfde prejudiciële vraag) en, ten vierde, de geldigheid van de toestemming voor de verwerking van persoonsgegevens die is verleend aan een onderneming met een machtspositie (zesde prejudiciële vraag).
16. In de volgende punten zal ik eerst de eerste en de zevende prejudiciële vraag behandelen en vervolgens de andere prejudiciële vragen in de volgorde waarin zij zijn gesteld, onder samenvoeging van de derde tot en met de vijfde prejudiciële vraag.
Eerste prejudiciële vraag
17. Met zijn eerste prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of een mededingingsautoriteit, bij de vervolging van inbreuken op de mededingingsregels, zich primair kan uitspreken(10) over de inbreuk op de AVG-regels inzake gegevensverwerking door een onderneming waarvan de hoofdvestiging die voor de gehele Unie exclusief verantwoordelijk is voor de verwerking van persoonsgegevens zich in een andere lidstaat bevindt, en kan bevelen dat deze inbreuk wordt beëindigd [eerste vraag, onder a)], en, zo ja, of de leidende toezichthoudende autoriteit die krachtens artikel 56, lid 1, AVG competent is, de voorwaarden voor de gegevensverwerking van deze onderneming nog aan een onderzoeksprocedure mag onderwerpen [eerste vraag, onder b)].
18. Onder voorbehoud van verificatie door de verwijzende rechter, komt het mij niettemin voor dat het Bundeskartellamt in het litigieuze besluit geen inbreuk op de AVG door Meta Platforms heeft bestraft, maar louter met het oog op de toepassing van de mededingingsregels een gestelde inbreuk op het verbod op misbruik van een machtspositie door deze onderneming heeft onderzocht en daarbij onder meer rekening heeft gehouden met het feit dat het gedrag van deze onderneming niet met deze verordening in overeenstemming was.
19. Derhalve is de eerste vraag, onder a), voor zover zij betrekking heeft op de mogelijkheid voor een mededingingsautoriteit om zich primair uit te spreken over de schending van de AVG-regels en te bevelen dat deze inbreuk in de zin van deze verordening wordt beëindigd, volgens mij niet ter zake dienend.(11)
20. Hieruit volgt dat de eerste vraag, onder b), die afhankelijk is van een bevestigend antwoord op de eerste vraag, onder a), eveneens niet ter zake dient.(12)
Zevende prejudiciële vraag
21. Met zijn zevende prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of een mededingingsautoriteit, wanneer zij inbreuken op de mededingingsregels vervolgt, incidenteel kan vaststellen(13) of de voorwaarden inzake gegevensverwerking en de toepassing daarvan in overeenstemming zijn met de AVG [zevende vraag, onder a)] en, zo ja, of deze mededingingsautoriteit een dergelijk onderzoek ook kan uitvoeren wanneer deze voorwaarden tegelijkertijd door de bevoegde leidende toezichthoudende autoriteit worden onderzocht [zevende vraag, onder b)].
22. Wat ten eerste de zevende vraag, onder a), betreft, lijkt het mij dat een mededingingsautoriteit weliswaar niet bevoegd is om een inbreuk op de AVG vast te stellen(14), maar dat deze verordening in beginsel niet in de weg staat aan de mogelijkheid dat andere dan de toezichthoudende autoriteiten bij de uitoefening van hun eigen bevoegdheden incidenteel rekening houden met de verenigbaarheid van bepaald gedrag met de AVG. Dit geldt volgens mij met name voor de uitoefening door een mededingingsautoriteit van de bevoegdheden die haar bij artikel 102 VWEU en artikel 5, eerste alinea, van verordening (EG) nr. 1/2003(15) of bij enige andere overeenkomstige nationale norm(16) zijn verleend.
23. Bij de uitoefening van haar bevoegdheden moet een mededingingsautoriteit namelijk onder meer beoordelen of het onderzochte gedrag bestaat in het aanwenden van andere middelen dan die welke behoren bij concurrentie op basis van verdienste, rekening houdend met de juridische en economische context waarin dit gedrag plaatsvindt.(17) In dit verband kan de verenigbaarheid dan wel onverenigbaarheid van dit gedrag met de AVG – niet op zichzelf beschouwd maar rekening houdend met alle omstandigheden van het geval – een belangrijke aanwijzing vormen om vast te stellen of dit gedrag bestaat in het aanwenden van middelen die passen in het kader van de normale mededinging, met dien verstande dat de vraag of bepaald gedrag al dan niet misbruik uitmaakt in de zin van artikel 102 VWEU niet blijkt uit de verenigbaarheid dan wel onverenigbaarheid van dit gedrag met de AVG of met andere rechtsregels.(18)
24. Derhalve ben ik van mening dat het onderzoek naar misbruik van een machtspositie op de markt kan rechtvaardigen dat een mededingingsautoriteit regels uitlegt die niet tot het mededingingsrecht behoren, zoals de AVG-regels(19), met dien verstande dat een dergelijk onderzoek incidenteel wordt verricht(20) en niet vooruitloopt op de toepassing van deze verordening door de bevoegde toezichthoudende autoriteiten.(21)
25. Wat ten tweede de zevende vraag, onder b), betreft, stelt de verwijzende rechter de vraag welke verplichtingen er in het kader van de toepassing van het in artikel 4, lid 3, VEU neergelegde beginsel van loyale samenwerking jegens de bevoegde leidende toezichthoudende autoriteit in de zin van de AVG op een mededingingsautoriteit rusten bij haar uitlegging van het bepaalde in deze verordening, en met name wanneer het door de mededingingsautoriteit onderzochte gedrag ook door de bevoegde leidende toezichthoudende autoriteit wordt onderzocht.
26. In het onderhavige geval houdt het – weliswaar incidentele – onderzoek door een mededingingsautoriteit van gedrag van een onderneming in het licht van de normen van de AVG het risico in dat deze regels door deze autoriteit en door de toezichthoudende autoriteiten verschillend worden uitgelegd, hetgeen in beginsel afbreuk kan doen aan de uniforme uitlegging van de AVG.(22)
27. Het Unierecht kent geen gedetailleerde regels voor de samenwerking, in een dergelijke situatie, tussen een mededingingsautoriteit en de toezichthoudende autoriteiten in de zin van de AVG. Meer in het bijzonder zijn in casu noch de regeling voor samenwerking tussen de bevoegde autoriteiten in de zin van de AVG(23) bij de toepassing van die verordening, noch andere specifieke regels inzake de samenwerking tussen administratieve autoriteiten, zoals die inzake de samenwerking tussen de mededingingsautoriteiten en de samenwerking tussen deze autoriteiten en de Commissie bij de toepassing van de mededingingsregels(24), van toepassing.
28. Niettemin dient een mededingingsautoriteit zich bij de uitlegging van de AVG te houden aan het in artikel 4, lid 3, VEU neergelegde beginsel van loyale samenwerking, krachtens hetwelk de Unie en de lidstaten, met inbegrip van hun administratieve autoriteiten(25), elkaar moeten eerbiedigen en steunen bij de vervulling van de taken die uit de Verdragen voortvloeien. Volgens de derde alinea van deze bepaling dienen de lidstaten met name de vervulling van de taak van de Unie te vergemakkelijken en dienen zij zich te onthouden van alle maatregelen die de verwezenlijking van de doelstellingen van de Unie in gevaar kunnen brengen.(26) Bovendien is een mededingingsautoriteit, zoals elke met de toepassing van het Unierecht belaste administratieve autoriteit, gehouden aan het beginsel van behoorlijk bestuur als algemeen beginsel van het Unierecht, dat onder meer een brede zorgvuldigheidsplicht voor de nationale autoriteiten omvat.(27)
29. Bij gebreke van nauwkeurige regels wat betreft samenwerkingsmechanismen, die eventueel door de Uniewetgever kunnen worden vastgesteld, is een mededingingsautoriteit bij de uitlegging van de AVG jegens de bevoegde autoriteiten in de zin van deze verordening op zijn minst gehouden aan verplichtingen om te informeren, inlichtingen te verstrekken en samen te werken, ingevolge de nationale normen die haar bevoegdheden regelen (beginsel van de procedurele autonomie van de lidstaten) en met inachtneming van het gelijkwaardigheidsbeginsel en het doeltreffendheidsbeginsel.(28)
30. Hieruit volgt naar mijn mening dat, wanneer de bevoegde leidende toezichthoudende autoriteit zich heeft uitgesproken over de toepassing van sommige bepalingen van de AVG ten aanzien van eenzelfde of een soortgelijke praktijk, de mededingingsautoriteit in beginsel niet van de uitlegging van eerstgenoemde autoriteit, die als enige bevoegd is voor de toepassing van deze verordening, mag afwijken(29) en zich, voor zover mogelijk en met inachtneming van met name de rechten van de verdediging van de betrokkenen, moet voegen naar eventuele besluiten van die autoriteit met betrekking tot hetzelfde gedrag(30), en, indien in het betrokken geval twijfel bestaat over de door de bevoegde autoriteit gegeven uitlegging, overleg moet plegen met deze autoriteit of – ingeval deze autoriteit eventueel in een andere lidstaat is gevestigd – met de nationale toezichthoudende autoriteit.(31)
31. Bovendien staat het, bij gebreke van een besluit van de bevoegde toezichthoudende autoriteit, aan de mededingingsautoriteit om eerstgenoemde autoriteit te informeren(32) en met haar samen te werken wanneer die autoriteit een onderzoek naar dezelfde praktijk heeft ingeleid of een voornemen in die zin kenbaar heeft gemaakt, en eventueel het resultaat van het door deze autoriteit verrichte onderzoek af te wachten vooraleer zelf over te gaan tot een toetsing, voor zover dit passend is en met name geen afbreuk doet aan de inachtneming door de mededingingsautoriteit van een redelijke onderzoekstermijn en aan de rechten van verdediging van de betrokkenen.(33)
32. In casu komt het mij voor dat het feit dat het Bundeskartellamt is gaan samenwerken met de op nationaal niveau verantwoordelijke toezichthoudende autoriteiten(34) en informeel ook contact heeft opgenomen met de Ierse leidende toezichthoudende autoriteit, welke omstandigheden door het Bundeskartellamt worden genoemd en door de verwijzende rechter dienen te worden geverifieerd, volstaat om te concluderen dat deze autoriteit haar verplichtingen inzake zorgvuldigheid en loyale samenwerking is nagekomen.(35)
33. Concluderend geef ik in overweging om op de zevende prejudiciële vraag te antwoorden dat de artikelen 51 tot en met 66 AVG aldus moeten worden uitgelegd dat een mededingingsautoriteit in het kader van haar bevoegdheden in de zin van de mededingingsregels incidenteel kan onderzoeken of de onderzochte praktijken verenigbaar zijn met de AVG-regels, waarbij zij rekening dient te houden met alle besluiten of onderzoeken van de krachtens de AVG bevoegde toezichthoudende autoriteit, en de nationale toezichthoudende autoriteit dient te informeren en in voorkomend geval dient te raadplegen.
Tweede prejudiciële vraag
34. Met zijn tweede prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 9, lid 1, AVG aldus moet worden uitgelegd dat de betwiste praktijk, wanneer zij betrekking heeft op het raadplegen van webpagina’s en apps van derden(36), valt onder de – verboden(37) – verwerking van gevoelige persoonsgegevens in de zin van deze bepaling(38) [tweede vraag, onder a)], en, zo ja, of artikel 9, lid 2, onder e), van deze verordening aldus moet worden uitgelegd dat gegevens die bekend worden door het raadplegen van webpagina’s of apps of die worden ingevoerd of gegenereerd door het aanklikken van in deze webpagina’s of apps geïntegreerde selectieknoppen(39), kennelijk door een gebruiker openbaar worden gemaakt in de zin van deze bepaling [tweede vraag, onder b)].
35. Wat ten eerste de tweede vraag, onder a), betreft, herinner ik eraan dat de verwerking van gevoelige persoonsgegevens krachtens artikel 9, lid 1, AVG verboden is. Zoals blijkt uit overweging 51 van deze verordening, is de bijzondere bescherming van deze gegevens ingegeven door het feit dat zij door hun aard bijzonder gevoelig zijn wat de grondrechten en de fundamentele vrijheden betreft, en dat de verwerking ervan significante risico’s voor deze rechten en vrijheden meebrengt. Bovendien komt het mij ondanks de enigszins onduidelijke bewoordingen van deze bepaling(40) niet voor dat zij, zoals de verwijzende rechter aanneemt, een wezenlijk verschil invoert tussen persoonsgegevens die gevoelig zijn omdat er een bepaalde situatie uit „blijkt” en gegevens die op zich gevoelig zijn.(41)
36. In de onderhavige zaak is het volgens mij duidelijk dat de litigieuze praktijk moet worden aangemerkt als een verwerking van persoonsgegevens die in beginsel binnen de werkingssfeer van deze bepaling kan vallen en verboden kan zijn, wanneer uit de verwerkte gegevens een van de in deze bepaling opgesomde gevoelige situaties „blijkt”. Derhalve moet worden vastgesteld of en in hoeverre uit het raadplegen van websites en apps, dan wel uit het aldaar invoeren van gegevens, een van de in de betrokken bepaling bedoelde gevoelige situaties kan „blijken”.
37. In dit verband betwijfel ik of het relevant (en steeds mogelijk) is om een onderscheid te maken tussen eenvoudige interesse die de betrokkene voor bepaalde informatie toont en het feit dat hij tot een van de in de betrokken bepalingen bedoelde groepen behoort.(42) Hoewel de partijen in het hoofdgeding in dit opzicht tegenover elkaar staan(43), ben ik van mening dat een antwoord op deze vraag alleen per geval en met betrekking tot elk van de tot de litigieuze praktijk behorende activiteiten kan worden gezocht.
38. Hoewel, zoals de Duitse regering opmerkt, het loutere verzamelen van gevoelige persoonsgegevens inzake de raadpleging van een website of een app op zich niet noodzakelijkerwijs een verwerking van gevoelige persoonsgegevens in de zin van deze bepaling is(44), vormen het koppelen van deze gegevens aan het Facebookaccount van de betrokken gebruiker en het gebruik van deze gegevens daarentegen gedrag dat gemakkelijker als een dergelijke verwerking kan worden aangemerkt. Het doorslaggevende element voor de toepassing van artikel 9, lid 1, AVG is volgens mij het feit dat de verwerkte gegevens het mogelijk maken om de gebruiker te profileren aan de hand van een van de in deze bepaling opgesomde categorieën van gevoelige persoonsgegevens.(45)
39. In dit verband zou het, om te bepalen of een gegevensverwerking binnen de werkingssfeer van deze bepaling valt, nuttig kunnen zijn om in voorkomend geval een onderscheid te maken tussen, enerzijds, de verwerking van gegevens die prima facie als gevoelige persoonsgegevens kunnen worden aangemerkt en die op zich een profilering van de betrokkene mogelijk maken en, anderzijds, de verwerking van gegevens die op zich niet gevoelig zijn, maar waarvoor een verdere groepering nodig is teneinde aannemelijke conclusies te kunnen trekken wat de profilering van de betrokkene betreft.
40. Niettemin moet worden verduidelijkt dat een uitgevoerde categorisering in de zin van deze bepaling losstaat van de vraag of deze categorisering waarheidsgetrouw en juist is.(46) Waar het om gaat is de mogelijkheid dat een dergelijke categorisering een aanzienlijk risico voor de grondrechten en de fundamentele vrijheden van de betrokkene inhoudt, zoals in herinnering is gebracht in overweging 51 AVG, waarbij irrelevant is of deze mogelijkheid wel de realiteit is.
41. Wat ten slotte betreft de vraag van de verwijzende rechter of het doel van het gebruik van belang is voor de betrokken beoordeling(47), ik ben, anders dan verzoeker in het hoofdgeding, van oordeel dat in beginsel niet is vereist dat de verwerkingsverantwoordelijke deze gegevens verwerkt „in de wetenschap en met de bedoeling om er rechtstreeks bepaalde categorieën van informatie uit af te leiden”. De betrokken bepaling heeft immers in wezen tot doel om op objectieve wijze aanzienlijke risico’s voor de grondrechten en de fundamentele vrijheden van de betrokkenen als gevolg van de verwerking van gevoelige persoonsgegevens te voorkomen, ongeacht enig subjectief element zoals de bedoelingen van de verwerkingsverantwoordelijke.
42. Wat ten tweede de tweede vraag, onder b), betreft, herinner ik eraan dat overeenkomstig artikel 9, lid 2, onder e), AVG het verbod op de verwerking van gevoelige persoonsgegevens niet van toepassing is indien de verwerking betrekking heeft op persoonsgegevens die door de betrokkene kennelijk openbaar zijn gemaakt. De verwijzing in de bewoordingen van deze bepaling naar het bijwoord „kennelijk” en het feit dat deze bepaling een uitzondering vormt op het beginsel dat de verwerking van gevoelige persoonsgegevens verboden is(48), nopen bovendien tot een bijzonder strikte toepassing van deze uitzondering, wegens de aanzienlijke risico’s voor de grondrechten en de fundamentele vrijheden van de betrokkenen.(49) Voor de toepassing van deze uitzondering moet de gebruiker zich er, naar mijn mening, volledig van bewust zijn dat hij door een expliciete handeling(50) persoonsgegevens openbaar maakt.(51)
43. In casu komt het mij voor dat gedrag dat bestaat in het raadplegen van websites en apps, het aldaar invoeren van gegevens en het aanklikken van daarin geïntegreerde selectieknoppen, in beginsel niet kan worden aangemerkt als gedrag dat gevoelige persoonsgegevens van de gebruiker kennelijk openbaar maakt in de zin van artikel 9, lid 2, onder e), AVG.
44. Met name merk ik op dat door het raadplegen van websites en apps de raadplegingsgegevens in beginsel alleen toegankelijk worden gemaakt voor de beheerder van de betrokken webpagina of app en voor derden aan wie deze beheerder deze gegevens doorgeeft, zoals verzoeker in het hoofdgeding.(52) Evenzo merk ik op dat, ook al zou de betrokkene, door het invoeren van gegevens op websites en apps, rechtstreeks en vrijwillig informatie kunnen verstrekken over bepaalde gevoelige persoonsgegevens, deze informatie alleen toegankelijk is voor de beheerder van de betrokken website of app en voor derden aan wie deze beheerder deze informatie doorgeeft. Ik sluit derhalve uit dat dergelijk gedrag een uiting kan zijn van de wil om deze gegevens publiekelijk beschikbaar te stellen.(53) Hoewel het duidelijk is dat de betrokkene, door het aanklikken van in websites of apps geïntegreerde selectieknoppen(54), duidelijk te kennen heeft dat hij bepaalde informatie wil delen met een publiek buiten de betrokken website of app, ben ik bovendien van mening dat, zoals het Bundeskartellamt benadrukt, de betrokkene zich ervan bewust is dat hij door dit gedrag informatie deelt met een welbepaalde – dikwijls door de gebruiker zelf vastgestelde(55) – groep personen, en niet met het algemene publiek.(56)
45. Wat ten slotte de relevantie betreft van een eventuele toestemming van de gebruiker in de zin van artikel 5, lid 3, van richtlijn 2002/58 voor het verzamelen van persoonsgegevens door middel van cookies of soortgelijke technologieën, waaraan de verwijzende rechter refereert, ben ik van mening dat deze toestemming, gelet op het specifieke doel ervan, op zich de verwerking van via deze middelen verzamelde gevoelige persoonsgegevens niet kan rechtvaardigen.(57) Deze toestemming, die noodzakelijk is voor de installatie van een technisch middel waarmee bepaalde activiteiten van de gebruiker kunnen worden geregistreerd(58), heeft immers geen betrekking op de verwerking van gevoelige persoonsgegevens en kan niet worden gelijkgesteld met de wil om deze gegevens kennelijk openbaar te maken in de zin van artikel 9, lid 2, onder e), AVG.(59)
46. Concluderend geef ik in overweging om op de tweede prejudiciële vraag te antwoorden dat, ten eerste, artikel 9, lid 1, AVG aldus moet worden uitgelegd dat het verbod op de verwerking van gevoelige persoonsgegevens zich kan uitstrekken tot de verwerking van gegevens door een exploitant van een online sociaal netwerk bestaande in het verzamelen van gegevens van een gebruiker wanneer hij andere websites of apps raadpleegt of daar gegevens invoert, het koppelen van deze gegevens aan het gebruikersaccount van het sociale netwerk en het gebruik van deze gegevens, mits de verwerkte gegevens, individueel beschouwd of gegroepeerd, het mogelijk maken de gebruiker te profileren volgens de in deze bepaling opgesomde categorieën van gevoelige persoonsgegevens, en, ten tweede, artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat een gebruiker gegevens niet kennelijk openbaar maakt door het feit dat van deze gegevens is gebleken door het raadplegen van webpagina’s of apps, dan wel deze gegevens daar zijn ingevoerd of gegenereerd door het aanklikken van in deze webpagina’s of apps geïntegreerde selectieknoppen.
Derde tot en met vijfde prejudiciële vraag
47. Met zijn derde tot en met vijfde prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 6, lid 1, onder b), c), d), e) en f), AVG aldus moet worden uitgelegd dat de litigieuze praktijk(60) binnen de werkingssfeer van een van de in deze bepalingen genoemde rechtvaardigingsgronden valt. Het gaat met name om de volgende gronden:
– de noodzakelijkheid voor de uitvoering van de overeenkomst(61) of voor de behartiging van gerechtvaardigde belangen(62), gelet op het feit dat Meta Platforms een door advertenties gefinancierd sociaal netwerk exploiteert dat in zijn servicevoorwaarden de personalisatie van de inhoud en van de advertenties, de netwerkveiligheid, de verbetering van het product en het consistente en probleemloze gebruik van alle producten van het concern vermeldt (derde prejudiciële vraag);
– de inaanmerkingneming van deze gerechtvaardigde belangen(63) in het kader van bepaalde omstandigheden(64) (vierde prejudiciële vraag);
– de noodzaak om te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens(65), de noodzaak om schadelijk gedrag te bestrijden en de veiligheid te bevorderen(66), of het belang van onderzoek ten behoeve van het maatschappelijk welzijn en de noodzaak om de bescherming, integriteit en veiligheid te bevorderen(67) (vijfde prejudiciële vraag).
48. Hoewel er enige twijfels rijzen omtrent de ontvankelijkheid van de vierde en de vijfde prejudiciële vraag(68), stel ik allereerst voor om de derde tot en met de vijfde prejudiciële vraag samen te beantwoorden, aangezien de aanwijzingen die ik hierna zal verstrekken, hoofdzakelijk met betrekking tot de derde prejudiciële vraag, de verwijzende rechter ook van nut kunnen zijn bij de toepassing van de bepalingen die in de vierde en de vijfde prejudiciële vraag aan de orde zijn.
49. Primair merk ik op dat, volgens artikel 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”), persoonsgegevens eerlijk moeten worden verwerkt, voor welbepaalde doeleinden of op basis van een gerechtvaardigde grondslag waarin de wet voorziet. In dit verband preciseert artikel 6, lid 1, AVG dat de verwerking van deze gegevens alleen dan rechtmatig is wanneer aan een van de zes in deze bepaling genoemde voorwaarden is voldaan.(69)
50. In de onderhavige zaak ben ik om te beginnen van mening dat de derde tot en met de vijfde prejudiciële vraag vereisen dat de verschillende clausules van de servicevoorwaarden van Facebook in het kader van de litigieuze praktijk in detail en per geval worden onderzocht, aangezien niet kan worden vastgesteld of „een onderneming als [Meta Platforms]” zich met betrekking tot deze praktijk in globo kan beroepen op alle (of sommige) rechtvaardigingsgronden van artikel 6, lid 1, AVG, ook al kan niet worden uitgesloten dat deze praktijk of sommige van haar activiteiten in bepaalde gevallen binnen de werkingssfeer van dit artikel vallen.(70)
51. Verder vindt de door de aangehaalde bepalingen beoogde verwerking in casu plaats op basis van de door de verwerkingsverantwoordelijke opgelegde algemene voorwaarden van de overeenkomst, zonder toestemming van de betrokkene(71) of zelfs tegen zijn wil, hetgeen naar mijn mening een strikte uitlegging van de betrokken rechtvaardigingsgronden vereist, met name om te voorkomen dat de voorwaarde inzake toestemming wordt omzeild.(72)
52. Ten slotte herinner ik eraan dat, krachtens artikel 5, lid 2, AVG, de bewijslast aangaande de naleving van de norm van deze verordening bij de verwerking van persoonsgegevens op de verwerkingsverantwoordelijke rust, en dat het overeenkomstig artikel 13, lid 1, onder c), van deze verordening aan de verantwoordelijke voor de verwerking van persoonsgegevens staat om de verwerkingsdoeleinden waarvoor de gegevens zijn bestemd, alsook de rechtsgrond voor de verwerking, te specificeren.
Derde prejudiciële vraag
53. Ten eerste is volgens artikel 6, lid 1, onder b), AVG de verwerking van persoonsgegevens rechtmatig voor zover zij noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is.(73)
54. In dit verband herinner ik eraan dat het begrip „noodzakelijkheid” niet in het recht van de Unie is gedefinieerd, maar volgens de rechtspraak niettemin een autonoom begrip van het Unierecht is.(74) Om de verwerking als noodzakelijk voor de uitvoering van de overeenkomst te kunnen beschouwen, volstaat het niet dat zij wordt verricht bij de uitvoering van de overeenkomst, dat zij in de overeenkomst wordt vermeld(75) of zelfs dat zij eenvoudigweg nuttig is voor de uitvoering van de overeenkomst.(76) Volgens de rechtspraak van het Hof moet de verwerking objectief noodzakelijk zijn voor de uitvoering van de overeenkomst, in die zin dat er geen realistische, minder indringende alternatieve oplossingen voorhanden mogen zijn(77), mede rekening houdend met de redelijke verwachtingen van de betrokkene.(78) Dit omvat ook het feit dat, wanneer de overeenkomst bestaat uit verschillende diensten of verschillende afzonderlijke elementen van dezelfde dienst die onafhankelijk van elkaar kunnen worden uitgevoerd, de toepasselijkheid van artikel 6, lid 1, onder b), AVG moet worden beoordeeld in het kader van elk van deze diensten afzonderlijk.(79)
55. In het kader van deze rechtvaardiging vermeldt de verwijzende rechter de personalisatie van de inhoud, en het consistente en probleemloze gebruik van de producten (of veeleer de diensten) van het concern.
56. Wat betreft de personalisatie van de inhoud, het komt mij voor dat een dergelijke activiteit weliswaar tot op zekere hoogte in het belang van de gebruiker kan zijn, daar zij het mogelijk maakt om met name in het nieuwsoverzicht inhoud te tonen die volgens een geautomatiseerde beoordeling met de interesses van de gebruiker overeenkomt, maar het is niet vanzelfsprekend dat zij ook noodzakelijk is voor de verrichting van de dienst van het betrokken netwerk, zodat voor de verwerking van persoonsgegevens voor deze doeleinden geen toestemming van de gebruiker vereist zou zijn.(80) Bij dit onderzoek moet er ook rekening mee worden gehouden dat de litigieuze praktijk niet de verwerking van gegevens over het gedrag van de gebruiker op de Facebookpagina of -app betreft, maar die van gegevens uit externe, en daarom in aantal potentieel onbeperkte bronnen. Ik vraag mij dan ook af in hoeverre deze verwerking zou kunnen beantwoorden aan de verwachtingen van een gemiddelde gebruiker en, meer in het algemeen, welke „mate van personalisatie” de gebruiker mag verwachten van de dienst waarvoor hij zich registreert.(81)
57. Wat het consistente en probleemloze gebruik van de diensten van het concern betreft, merk ik op dat het voor de gebruiker inderdaad nuttig kan zijn dat de verschillende door verzoeker in het hoofdgeding aangeboden diensten, bijvoorbeeld Facebook en Instagram, worden gekoppeld, en dat dit in sommige gevallen zelfs door hem gewenst kan zijn. Ik betwijfel echter of de verwerking van persoonsgegevens die afkomstig zijn van andere diensten van het concern (met name van Instagram) noodzakelijk is voor het verrichten van de Facebookdiensten.(82)
58. Ten tweede is de verwerking van persoonsgegevens, volgens artikel 6, lid 1, onder f), AVG, rechtmatig voor zover zij noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
59. Volgens de rechtspraak van het Hof zijn in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan wil een verwerking van persoonsgegevens rechtmatig zijn, namelijk, in de eerste plaats de behartiging van een gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, in de tweede plaats de noodzaak van de verwerking van de persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en in de derde plaats de voorwaarde dat de fundamentele rechten en vrijheden van de bij de gegevensbescherming betrokken persoon niet prevaleren.(83)
60. Wat om te beginnen de behartiging van een gerechtvaardigd belang betreft, herinner ik eraan dat de AVG en de rechtspraak een breed scala aan belangen als gerechtvaardigd erkennen(84), met dien verstande dat het krachtens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om aan te geven welke gerechtvaardigde belangen worden behartigd in de zin van artikel 6, lid 1, onder f), AVG.(85)
61. Wat betreft de voorwaarde inzake de noodzakelijkheid van de verwerking van persoonsgegevens voor de verwezenlijking van het nagestreefde gerechtvaardigde belang, moeten volgens de rechtspraak van het Hof afwijkingen en beperkingen van het beginsel van de bescherming van persoonsgegevens beperkt blijven tot hetgeen strikt noodzakelijk is.(86) Derhalve moet er een nauw verband bestaan tussen de verwerking en het nagestreefde belang, bij gebreke van alternatieven die de bescherming van persoonsgegevens beter in acht nemen, aangezien het niet volstaat dat de verwerking louter nuttig is voor de verwerkingsverantwoordelijke.
62. Wat ten slotte de afweging betreft van de belangen van de verwerkingsverantwoordelijke enerzijds tegen de belangen of de grondrechten en fundamentele vrijheden van de betrokkene anderzijds, is het volgens de rechtspraak van het Hof de taak van de verwijzende rechter om de in het geding zijnde belangen te wegen.(87) Voorts moet, zoals in overweging 47 van de AVG is gesteld, in het kader van deze afweging rekening worden gehouden met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding tot de verwerkingsverantwoordelijke, en moet worden bepaald of de betrokkene, op het tijdstip en in het kader van de verzameling van de persoonsgegevens, redelijkerwijs kan verwachten dat deze gegevens voor een bepaald doel zullen worden verwerkt.
63. In het kader van deze rechtvaardiging vermeldt de verwijzende rechter de personalisatie van advertenties, de netwerkveiligheid en de verbetering van het product.
64. Wat om te beginnen de personalisatie van advertenties betreft, blijkt uit overweging 47 van de AVG dat de verwerking van persoonsgegevens voor direct marketing kan worden geacht te zijn verricht om tegemoet te komen aan een gerechtvaardigd belang van de verwerkingsverantwoordelijke. Wat de noodzakelijkheid van de verwerking betreft, moet evenwel worden opgemerkt dat de gegevens in kwestie afkomstig zijn van bronnen buiten Facebook, zodat de vraag rijst welke „mate van personalisatie” van advertenties in dit opzicht objectief gezien noodzakelijk is. Bij de afweging van de in het geding zijnde belangen moet naar mijn mening rekening worden gehouden met de aard van het gerechtvaardigde belang in kwestie (in casu een zuiver economisch belang) en met de invloed van de verwerking op de gebruiker, met inbegrip van zijn redelijke verwachtingen, en met de eventueel door de verwerkingsverantwoordelijke getroffen beschermingsmaatregelen.(88)
65. Vervolgens kunnen soortgelijke overwegingen naar voren worden gebracht met betrekking tot de veiligheid van het netwerk. Hoewel een dergelijke rechtvaardiging een gerechtvaardigd belang van de verwerkingsverantwoordelijke kan vormen(89), ligt het namelijk minder voor de hand om te concluderen dat de verwerking in het onderhavige geval noodzakelijk is, mede gelet op het feit dat de betrokken gegevens afkomstig zijn uit bronnen buiten Facebook.(90) Hoe dan ook staat het aan de verwerkingsverantwoordelijke om aan te geven op welke veiligheidsdoeleinden iedere verwerking eventueel berust.
66. Wat ten slotte de verbetering van het product betreft, komt het mij voor dat, ook al zijn – onder de hierboven besproken specifieke rechtvaardiging vallende –veiligheidsgerelateerde verbeteringen uitgesloten, een dergelijke rechtvaardiging eerder het belang van de gebruiker dan dat van de verwerkingsverantwoordelijke betreft. Vanuit dit oogpunt valt moeilijk in te zien in hoeverre zij een gerechtvaardigd belang van de verantwoordelijke zou kunnen vormen, waarvoor geen toestemming van de gebruiker is vereist. Wat de noodzakelijkheidsvoorwaarde en de afweging van de in het geding zijnde rechten en belangen betreft, verwijs ik naar de bovenstaande overwegingen.
Vierde en vijfde prejudiciële vraag
67. De vierde prejudiciële vraag, die in wezen een uitbreiding vormt van het tweede deel van de derde prejudiciële vraag, heeft tot doel te vernemen of het zich herhalen van bepaalde, opgesomde situaties inhoudt dat er sprake is van een gerechtvaardigd belang in de zin van artikel 6, lid 1, onder f), AVG, terwijl de verwijzende rechter met zijn vijfde prejudiciële vraag wenst te vernemen of de noodzaak om te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens, de noodzaak om schadelijk gedrag te bestrijden en de veiligheid te bevorderen of in het belang van onderzoek ten behoeve van het maatschappelijk welzijn, en de noodzaak om de bescherming, integriteit en veiligheid te bevorderen, rechtvaardigingsgronden vormen die op de litigieuze praktijk van toepassing zijn.(91)
68. Ongeacht de ontvankelijkheid van deze vragen(92) ben ik, algemeen bezien, van mening dat niet kan worden uitgesloten dat, wat de vierde prejudiciële vraag betreft, bepaalde bedingen die de litigieuze praktijk kenmerken, in de door de verwijzende rechter genoemde omstandigheden gerechtvaardigd kunnen zijn door legitieme belangen(93), en dat, wat de vijfde prejudiciële vraag betreft, de litigieuze praktijk in bepaalde situaties gerechtvaardigd kan zijn op grond van de genoemde bepalingen.
69. Uit de verwijzingsbeslissing blijkt echter niet of en in hoeverre Meta Platforms Ireland voor ieder verwerkingsdoeleinde en voor iedere soort verwerkte gegevens heeft aangegeven welke gerechtvaardigde belangen concreet worden nagestreefd of welke andere rechtvaardigingsgronden in het onderhavige geval eventueel relevant zijn.(94) Derhalve staat het aan de verwijzende rechter om in het licht van het voorgaande te onderzoeken in hoeverre de litigieuze praktijk, in de door hem genoemde omstandigheden, wordt gerechtvaardigd door het bestaan van gerechtvaardigde belangen van Meta Platforms Ireland bij de verwerking van gegevens in de zin van artikel 6, lid 1, onder f), AVG of door de vervulling van een van de andere voorwaarden van artikel 6, lid 1, onder c), d) en e) van deze verordening.
Beantwoording van de derde tot en met de vijfde prejudiciële vraag
70. Concluderend geef ik in overweging voor om op de derde tot en met de vijfde prejudiciële vraag te antwoorden dat artikel 6, lid 1, onder b), c), d), e) en f), AVG aldus moet worden uitgelegd dat de litigieuze praktijk of bepaalde activiteiten waaruit deze praktijk bestaat onder de in deze bepalingen vastgestelde uitzonderingen kunnen vallen, mits iedere onderzochte wijze van gegevensverwerking voldoet aan de voorwaarden die zijn vastgesteld voor de rechtvaardigingsgrond die concreet door de verwerkingsverantwoordelijke wordt aangevoerd, en dat bijgevolg:
– de verwerking objectief noodzakelijk is voor het verrichten van diensten in verband met het Facebookaccount;
– de verwerking noodzakelijk is voor de behartiging van een gerechtvaardigd belang dat is aangevoerd door de verwerkingsverantwoordelijke of door de derde(n) aan wie de gegevens worden doorgegeven, en de verwerking de grondrechten en fundamentele vrijheden van de betrokkene niet op onevenredige wijze aantast;
– de verwerking noodzakelijk is om te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens, om schadelijk gedrag te bestrijden en de veiligheid te bevorderen, of voor doeleinden van onderzoek ten behoeve van het maatschappelijk welzijn en om de bescherming, integriteit en veiligheid te bevorderen.
Zesde prejudiciële vraag
71. Met zijn zesde prejudiciële vraag wenst de verwijzende rechter in wezen te vernemen of artikel 6, lid 1, onder a), en artikel 9, lid 2, onder a), AVG aldus moeten worden uitgelegd dat een geldige en vrije toestemming in de zin van artikel 4, punt 11, van deze verordening kan worden verleend aan een onderneming met een machtspositie op de nationale markt van online sociale netwerken voor particuliere gebruikers.
72. Vooraf breng ik in herinnering dat artikel 6, lid 1, onder a), en artikel 9, lid 2, onder a), AVG toestemming van de betrokkene verplicht stellen met betrekking tot respectievelijk de verwerking van persoonsgegevens in het algemeen en de verwerking van gevoelige persoonsgegevens. Bovendien definieert artikel 4, punt 11, AVG, voor de toepassing van deze verordening, het begrip „toestemming” van de betrokkene als elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee deze persoon door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt.(95)
73. Wat met name de voorwaarde van de „vrijelijk” verleende toestemming betreft, die de enige voorwaarde is die in de onderhavige zaak aan de orde wordt gesteld, merk ik op dat, overeenkomstig overweging 42 AVG, toestemming niet mag worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft(96) of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.(97) Zoals is bepaald in artikel 7, lid 1, AVG (en in herinnering wordt gebracht in overweging 42 van deze verordening), moet de verwerkingsverantwoordelijke, wanneer de verwerking berust op toestemming van de betrokkene, bovendien kunnen aantonen dat deze persoon toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.
74. In de onderhavige zaak is het om te beginnen relevant dat, zoals in overweging 43, eerste volzin, AVG wordt benadrukt, toestemming geen geldige rechtsgrond is voor de verwerking van persoonsgegevens wanneer er sprake is van een „duidelijke wanverhouding” tussen de betrokkene en de verwerkingsverantwoordelijke(98), vervolgens dat, in de bewoordingen van artikel 7, lid 4, AVG, bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven onder meer ten sterkste rekening wordt gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst(99), en ten slotte dat, overeenkomstig overweging 43, tweede volzin, AVG, de toestemming eveneens wordt geacht niet vrijelijk te zijn verleend indien er geen afzonderlijke toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen ondanks het feit dat dit in het individuele geval passend is.(100)
75. In casu ben ik van mening dat het feit dat de verantwoordelijke voor de verwerking van persoonsgegevens als exploitant van een sociaal netwerk mogelijkerwijs over een machtspositie op de markt beschikt, een rol speelt bij de beoordeling of de gebruiker van dit netwerk daadwerkelijk vrijelijk toestemming heeft verleend. Een situatie waarin de verantwoordelijke voor de verwerking van persoonsgegevens over een machtspositie op de markt beschikt, kan immers leiden tot een duidelijke wanverhouding in de machtsverhoudingen in de zin van punt 74 van deze conclusie.(101) Niettemin moet worden opgemerkt dat een dergelijke situatie van marktmacht, om relevant te zijn in het kader van de toepassing van de AVG, niet noodzakelijkerwijs moet worden getoetst aan de drempel voor het bestaan van een machtspositie in de zin van artikel 102 VWEU(102), en dat deze enkele omstandigheid een toestemming in beginsel niet elke geldigheid kan ontnemen.(103)
76. Bijgevolg moet de geldigheid van toestemming per geval worden onderzocht in het licht van de andere in de punten 73 en 74 van deze conclusie genoemde factoren en rekening houdend met alle omstandigheden van het geval, alsook met het feit dat het aan de verwerkingsverantwoordelijke is om aan te tonen dat de betrokkene toestemming heeft gegeven voor de verwerking van hem betreffende persoonsgegevens.
77. Concluderend geef ik in overweging om op de zesde prejudiciële vraag te antwoorden dat artikel 6, lid 1, onder a), en artikel 9, lid 2, onder a), AVG aldus moeten worden uitgelegd dat de enkele omstandigheid dat de onderneming die een sociaal netwerk exploiteert een machtspositie heeft op de nationale markt voor online sociale netwerken voor particuliere gebruikers, de toestemming van de gebruiker van dit netwerk voor de verwerking van zijn persoonsgegevens in de zin van artikel 4, punt 11, AVG niet van haar geldigheid kan beroven. Een dergelijke omstandigheid speelt niettemin een rol bij de beoordeling van de vrijheid waarmee de toestemming in de zin van deze bepaling is verleend, die de verwerkingsverantwoordelijke moet aantonen, in voorkomend geval rekening houdend met het bestaan van een duidelijke wanverhouding in de machtsverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, de eventuele verplichting om toestemming te verlenen voor de verwerking van andere persoonsgegevens dan die welke strikt noodzakelijk zijn voor de verrichting van de betrokken diensten, de noodzaak dat de toestemming specifiek voor ieder verwerkingsdoeleinde wordt verleend en de noodzaak te voorkomen dat de betrokken gebruiker de toestemming niet zonder nadelige gevolgen kan intrekken.
Conclusie
78. Gelet op het voorgaande geef ik het Hof in overweging de prejudiciële vragen van het Oberlandesgericht Düsseldorf als volgt te beantwoorden:
„1) De artikelen 51 tot en met 66 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moeten aldus worden uitgelegd dat
een mededingingsautoriteit in het kader van haar bevoegdheden in de zin van de mededingingsregels incidenteel kan onderzoeken of de onderzochte praktijken verenigbaar zijn met de regels van deze verordening, waarbij zij rekening dient te houden met alle besluiten of onderzoeken van de krachtens deze verordening bevoegde toezichthoudende autoriteit, en de nationale toezichthoudende autoriteit dient te informeren en in voorkomend geval dient te raadplegen.
2) Artikel 9, lid 1, van verordening 2016/679
moet aldus worden uitgelegd dat
het verbod op de verwerking van gevoelige persoonsgegevens zich kan uitstrekken tot de verwerking van gegevens door een exploitant van een online sociaal netwerk bestaande in het verzamelen van gegevens van een gebruiker wanneer hij andere websites of apps raadpleegt of daar gegevens invoert, het koppelen van deze gegevens aan het gebruikersaccount van het sociale netwerk en het gebruik van deze gegevens, mits de verwerkte gegevens, individueel beschouwd of gegroepeerd, het mogelijk maken de gebruiker te profileren volgens de in deze bepaling opgesomde categorieën van gevoelige persoonsgegevens.
Artikel 9, lid 2, onder e), van deze verordening
moet aldus worden uitgelegd dat
een gebruiker gegevens niet kennelijk openbaar maakt door het feit dat van deze gegevens is gebleken door het raadplegen van webpagina’s of apps, dan wel deze gegevens daar zijn ingevoerd of gegenereerd door het aanklikken van in deze webpagina’s of apps geïntegreerde selectieknoppen.
3) Artikel 6, lid 1, onder b), c), d), e) en f), van verordening 2016/679
moet aldus worden uitgelegd dat
de praktijk die bestaat in, ten eerste, het verzamelen van gegevens uit andere diensten van het concern en uit websites en apps van derden, via daarin geïntegreerde interfaces of via op de computer of het mobiele apparaat van de internetgebruiker geplaatste cookies, ten tweede, de verbinding van deze gegevens met het Facebook-account van de betrokken gebruiker en, ten derde, het gebruik van deze gegevens of bepaalde activiteiten waaruit deze praktijk bestaat, onder de in deze bepalingen vastgestelde uitzonderingen kunnen vallen, mits iedere onderzochte wijze van gegevensverwerking voldoet aan de voorwaarden die zijn vastgesteld voor de rechtvaardigingsgrond die concreet door de verwerkingsverantwoordelijke wordt aangevoerd, en dat bijgevolg:
– de verwerking objectief gezien noodzakelijk is voor het verrichten van diensten in verband met het Facebookaccount;
– de verwerking noodzakelijk is voor de behartiging van een gerechtvaardigd belang dat is aangevoerd door de verwerkingsverantwoordelijke of door de derde(n) aan wie de gegevens worden doorgegeven, en de verwerking de grondrechten en fundamentele vrijheden van de betrokkene niet op onevenredige wijze aantast;
– de verwerking noodzakelijk is om te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens, om schadelijk gedrag te bestrijden en de veiligheid te bevorderen, of voor doeleinden van onderzoek ten behoeve van het maatschappelijk welzijn en om de bescherming, integriteit en veiligheid te bevorderen.
4) Artikel 6, lid 1, onder a), en artikel 9, lid 2, onder a), van verordening 2016/679
moeten aldus worden uitgelegd dat
de enkele omstandigheid dat de onderneming die een sociaal netwerk exploiteert een machtspositie heeft op de nationale markt voor online sociale netwerken voor particuliere gebruikers, de toestemming van de gebruiker van dit netwerk voor de verwerking van zijn persoonsgegevens in de zin van artikel 4, punt 11, van deze verordening niet van haar geldigheid kan beroven. Een dergelijke omstandigheid speelt niettemin een rol bij de beoordeling van de vrijheid waarmee de toestemming in de zin van deze bepaling is verleend, die de verwerkingsverantwoordelijke moet aantonen, in voorkomend geval rekening houdend met het bestaan van een duidelijke wanverhouding in de machtsverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, de eventuele verplichting om toestemming te verlenen voor de verwerking van andere persoonsgegevens dan die welke strikt noodzakelijk zijn voor de verrichting van de betrokken diensten, de noodzaak dat de toestemming specifiek voor ieder verwerkingsdoeleinde wordt verleend en de noodzaak te voorkomen dat de betrokken gebruiker de toestemming niet zonder nadelige gevolgen kan intrekken.”