Asia C-252/21
Meta Platforms Inc., aiemmin Facebook Inc.,
Meta Platforms Ireland Ltd, aiemmin Facebook Ireland Ltd,
ja
Facebook Deutschland GmbH
vastaan
Bundeskartellamt,
(Oberlandesgericht Düsseldorfin esittämä ennakkoratkaisupyyntö)
Unionin tuomioistuimen tuomio (suuri jaosto) 4.7.2023
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – Verkkoyhteisöpalvelut – Tällaisen palvelun ylläpitäjän määräävän aseman väärinkäyttö – Kyseisen palvelun yleisten käyttöehtojen mukaisesta sen käyttäjien henkilötietojen käsittelystä muodostuva väärinkäyttö – Jäsenvaltion kilpailuviranomaisen toimivalta todeta kyseisen käsittelyn olevan tämän asetuksen vastaista – Yhteys henkilötietojen suojasta vastaavien kansallisten valvontaviranomaisten toimivaltuuksiin – SEU 4 artiklan 3 kohta – Vilpittömän yhteistyön periaate – Asetuksen 2016/679 6 artiklan 1 kohdan ensimmäisen alakohdan a–f alakohta – Käsittelyn lainmukaisuus – 9 artiklan 1–2 kohta – Erityisiä henkilötietoryhmiä koskeva käsittely – 4 artiklan 11 alakohta – Suostumuksen käsite
1. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Verkkoyhteisöpalvelut – Tällaisen palvelun ylläpitäjän määräävän aseman väärinkäyttö – Kyseisen palvelun yleisten käyttöehtojen mukaisesta sen käyttäjien henkilötietojen käsittelystä muodostuva väärinkäyttö – Kansallisen kilpailuviranomaisen toimivalta todeta kyseisen käsittelyn olevan tämän asetuksen vastaista – Ulottuvuus – Yhteys henkilötietojen suojasta vastaavien kansallisten valvontaviranomaisten toimivaltuuksiin – Kansallisen kilpailuviranomaisen velvollisuus tehdä vilpitöntä yhteistyötä kansallisten valvontaviranomaisten kanssa
(SEU 4 artiklan 3 kohta; SEUT 102 artikla; Euroopan parlamentin ja neuvoston asetuksen 2016/679 51, 55–58, 60–65 artikla)
(ks. 48–59, 62 ja 63 kohta ja tuomiolauselman 1 kohta)
2. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Erityisiä henkilötietoryhmiä koskeva käsittely – Käsite – Verkkoyhteisöpalvelun ylläpitäjän toteuttama rajapintojen, evästeiden tai vastaavien tallennusteknologioiden avulla toteutettava verkkosivustoilla ja sovelluksissa käymisestä lähtöisin olevien tietojen sekä käyttäjän syöttämien tietojen kerääminen – Kaikkien näiden tietojen yhdistäminen tämän käyttäjän yhteisöpalvelutiliin ja kyseisen ylläpitäjän toteuttama näiden tietojen käyttäminen – Kuuluu soveltamisalaan – Edellytys
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 51 perustelukappale ja 9 artiklan 1 kohta)
(ks. 73 kohta ja tuomiolauselman 2 kohta)
3. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Erityisiä henkilötietoryhmiä koskeva käsittely – Kielto – Poikkeukset – Rekisteröidyn nimenomaisesti julkisiksi saattamia tietoja koskeva käsittely – Verkkoyhteisöpalvelun käyttäjän verkkosivustolla tai sovelluksessa käymiseen liittyvät tiedot, joilla on liittymä yhteen tai useampaan erityiseen henkilötietoryhmään ja joita tämän palvelun ylläpitäjä kerää evästeiden tai vastaavien tallennusteknologioiden avulla – Ei kuulu soveltamisalaan – Tietojen syöttäminen tällaisille verkkosivustoille tai tällaisiin sovelluksiin sekä niihin sisältyvien valintapainikkeiden, joiden avulla käyttäjä voi tunnistautua kyseisille sivustoille tai kyseisiin sovelluksiin käyttämällä verkkoyhteisöpalvelun käyttäjätiliinsä liittyviä kirjautumistunnuksia – Kuuluu soveltamisalaan – Edellytys
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 9 artiklan 1 kohta ja 2 kohdan e alakohta)
(ks. 84 ja 85 kohta sekä tuomiolauselman 3 kohta)
4. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Käsittely, joka on tarpeen rekisteröityä sitovan sopimuksen täyttämiseksi – Käsite – Verkkoyhteisöpalvelun ylläpitäjän toteuttama tällaisen palvelun käyttäjien tietojen, jotka ovat lähtöisin ylläpitäjän konsernin muista palveluista, tai tietojen, jotka ovat lähtöisin näiden käyttäjien käymisestä kolmansien verkkosivustoilla tai sovelluksissa, kerääminen – Näiden tietojen yhdistäminen näiden käyttäjien yhteisöpalvelutileihin ja näiden tietojen käyttäminen – Kuuluu soveltamisalaan – Edellytys
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 6 artiklan 1 kohdan ensimmäisen kohdan b alakohta)
(ks. 91–93, 97–104 ja 125 kohta ja tuomiolauselman 4 kohta)
5. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Käsittely, joka on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi edellyttäen, että henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet eivät syrjäytä tällaisia etuja – Käsite – Verkkoyhteisöpalvelun ylläpitäjän toteuttama tällaisen palvelun käyttäjien tietojen, jotka ovat lähtöisin ylläpitäjän konsernin muista palveluista, tai tietojen, jotka ovat lähtöisin näiden käyttäjien käymisestä kolmansien verkkosivustoilla tai sovelluksissa, kerääminen – Näiden tietojen yhdistäminen näiden käyttäjien yhteisöpalvelutileihin ja näiden tietojen käyttäminen – Kuuluu soveltamisalaan – Edellytykset
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 47 ja 49 perustelukappale ja 6 artiklan 1 kohdan ensimmäisen kohdan f alakohta)
(ks. 105–124 ja 126 kohta ja tuomiolauselman 5 kohta)
6. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Käsittely, joka on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi – Käsittely, joka on tarpeen yleistä etua koskevan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen kuuluvan tehtävän suorittamiseksi – Käsite – Verkkoyhteisöpalvelun ylläpitäjän toteuttama tällaisen palvelun käyttäjien tietojen, jotka ovat lähtöisin ylläpitäjän konsernin muista palveluista, tai tietojen, jotka ovat lähtöisin näiden käyttäjien käymisestä kolmansien verkkosivustoilla tai sovelluksissa, kerääminen – Näiden tietojen yhdistäminen näiden käyttäjien yhteisöpalvelutileihin ja näiden tietojen käyttäminen – Ei kuulu soveltamisalaan – Kansallisen tuomioistuimen selvitysvelvollisuus
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 46 perustelukappale ja 6 artiklan 1 kohdan ensimmäisen kohdan d ja e alakohta)
(ks. 137 ja 139 kohta sekä tuomiolauselman 7 kohta)
7. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Käsittely, joka on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi – Käsite – Verkkoyhteisöpalvelun ylläpitäjän toteuttama tällaisen palvelun käyttäjien tietojen, jotka ovat lähtöisin ylläpitäjän konsernin muista palveluista, tai tietojen, jotka ovat lähtöisin näiden käyttäjien käymisestä kolmansien verkkosivustoilla tai sovelluksissa, kerääminen – Näiden tietojen yhdistäminen näiden käyttäjien yhteisöpalvelutileihin ja näiden tietojen käyttäminen – Kuuluu soveltamisalaan – Edellytykset
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 6 artiklan 1 kohdan ensimmäisen kohdan c alakohta)
(ks. 138 kohta ja tuomiolauselman 6 kohta)
8. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Suostumuksen käsite – Verkkoyhteisöpalvelun ylläpitäjän määräävää asema verkkoyhteisöpalveluissa – Seikka, joka ei estä tällaisen palvelun käyttäjien pätevää suostumusta tämän ylläpitäjän suorittamaan heitä koskevien tietojen käsittelyyn – Seikka, joka on tärkeä tekijä määritettäessä, onko tämän yhteisöpalvelun käyttäjien näin antama suostumus pätevä ja erityisesti vapaaehtoinen – Tämän yhteisöpalvelun ylläpitäjän todistustaakka
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 42 ja 43 perustelukappale, 4 artiklan 11 kohta, 6 artiklan 1 kohdan ensimmäisen kohdan a alakohta ja 9 artiklan 2 kohdan a alakohta)
(ks. 143–154 kohta ja tuomiolauselman 8 kohta)
Tiivistelmä
Yhtiö Meta Platforms omistaa Facebook-verkkoyhteisöpalvelun, joka on maksuton yksityiskäyttäjille. Tämän yhteisöpalvelun taloudellinen malli perustuu sen yksittäisille käyttäjille räätälöidystä verkkomainonnasta saatavaan rahoitukseen. Tällaisen mainonnan tekee teknisesti mahdolliseksi yhteisöpalvelun ja Meta-konsernin tarjoamien verkkopalvelujen käyttäjien yksityiskohtaisten profiilien automatisoitu laatiminen. Jotta he voivat käyttää tätä yhteisöpalvelua, käyttäjien on rekisteröityessään hyväksyttävä Meta Platformsin laatimat yleiset ehdot, joissa viitataan tämän yhtiön vahvistamiin tietosuoja- ja evästekäytäntöihin. Kyseisten käytäntöjen nojalla Meta Platforms kerää niiden tietojen lisäksi, jotka käyttäjät antavat suoraan rekisteröityessään, myös tietoja näiden käyttäjien toiminnasta yhteisöpalvelussa ja sen ulkopuolella ja yhdistää kyseiset tiedot asianomaisten käyttäjien Facebook-tileihin. Näissä yhteisöpalvelun ulkopuolista toimintaa koskevissa tiedoissa, joita kutsutaan myös off Facebook -tiedoiksi, on kyse tiedoista, jotka koskevat yhtäältä kolmansien verkkosivustoilla ja sovelluksissa käymistä ja toisaalta muiden Meta‑konserniin kuuluvien verkkopalvelujen (mukaan luettuna Instagram ja WhatsApp) käyttöä. Näin kerättyjen tietojen kokonaisuuden perusteella voidaan tehdä yksityiskohtaisia päätelmiä näiden käyttäjien mieltymyksistä ja mielenkiinnon kohteista.
Bundeskartellamt (liittovaltion kilpailuviranomainen, Saksa) kielsi 6.2.2019 tehdyllä päätöksellään Meta Platformsia yhtäältä asettamasta tuolloin voimassa olleissa yleisissä ehdoissaan(1) Saksassa asuvien yksityiskäyttäjien Facebook-yhteisöpalvelun käytön edellytykseksi sitä, että heidän off Facebook -tietojaan käsitellään, ja toisaalta käsittelemästä kyseisiä tietoja ilman heidän suostumustaan. Lisäksi liittovaltion kilpailuviranomainen velvoitti sen muuttamaan yleisiä ehtojaan siten, että niistä käy selkeästi ilmi, että mainittuja tietoja ei kerätä, yhdistetä Facebook-käyttäjätileihin eikä käytetä ilman asianomaisen käyttäjän suostumusta. Lopuksi tämä viranomainen korosti, että tällainen suostumus ei ole pätevä, jos se on yhteisöpalvelun käytön edellytys. Se perusteli päätöstään sillä seikalla, että asianomaisten tietojen käsittelyä, joka ei ollut yleisen tietosuoja-asetuksen(2) mukaista, oli pidettävä Meta Platformsilla verkkoyhteisöpalvelujen markkinoilla olevan määräävän aseman väärinkäyttönä.
Meta Platforms valitti tästä päätöksestä Oberlandesgericht Düsseldorfiin (Düsseldorfissa sijaitseva osavaltion ylioikeus, Saksa). Koska Oberlandesgericht Düsseldorfilla on epäilyksiä yhtäältä siitä, voivatko kansalliset kilpailuviranomaiset valvoa, onko henkilötietojen käsittely yleisessä tietosuoja-asetuksessa asetettujen vaatimusten mukaista, ja toisaalta siitä, kuinka tiettyjä tämän asetuksen säännöksiä tulkitaan ja sovelletaan, se esitti unionin tuomioistuimelle ennakkoratkaisupyynnön.
Unionin tuomioistuimen suuri jaosto ottaa tuomiossaan kantaa kansallisen kilpailuviranomaisen toimivaltaan todeta henkilötietojen käsittelyn olevan yleisen tietosuoja-asetuksen vastaista sekä sen yhteydestä henkilötietojen suojasta vastaavien kansallisten valvontaviranomaisten toimivaltuuksiin(3). Lisäksi se antaa täsmennyksiä, jotka koskevat yhteisöpalvelun ylläpitäjän mahdollisuutta käsitellä käyttäjiensä arkaluontoisia henkilötietoja, tällaisen ylläpitäjän suorittaman tietojenkäsittelyn lainmukaisuuden edellytyksiä sekä sitä, onko näiden käyttäjien kansallisilla verkkoyhteisöpalvelujen markkinoilla määräävässä asemassa olevalle yritykselle tällaista käsittelyä varten antama suostumus pätevä.
Unionin tuomioistuimen arviointi asiasta
Unionin tuomioistuin katsoo aluksi kansallisen kilpailuviranomaisen toimivallasta todeta henkilötietojen käsittelyn olevan yleisen tietosuoja-asetuksen vastaista, että tällainen viranomainen voi sillä edellytyksellä, että se noudattaa henkilötietojen suojasta vastaavien viranomaisten kanssa tehtävää vilpitöntä yhteistyötä koskevaa velvollisuuttaan(4), todeta tutkittaessa, onko yritys väärinkäyttänyt määräävää asemaa(5), että kyseisen yrityksen laatimat henkilötietojen käsittelyä koskevat yleiset käyttöehdot ja niiden soveltaminen eivät ole yleisen tietosuoja-asetuksen mukaisia, jos tällainen toteamus on tarpeen tällaisen väärinkäytön toteamiseksi. Kun kansallinen kilpailuviranomainen toteaa määräävän aseman väärinkäytön toteamisen yhteydessä, että yleistä tietosuoja-asetusta on rikottu, se ei kuitenkaan korvaa valvontaviranomaisia.
Tämän periaatteen huomioon ottaen on siis niin, että kun kilpailuviranomaisten on tehtäviensä hoitamisen yhteydessä tutkittava, onko yrityksen käyttäytyminen yleisen tietosuoja-asetuksen säännösten mukaista, niiden on sovitettava toimintansa yhteen osallistuvien kansallisten valvontaviranomaisten tai johtavan valvontaviranomaisen kanssa ja tehtävä vilpitöntä yhteistyötä niiden kanssa. Kaikkien näiden viranomaisten on siis toimittava omien valtuuksiensa ja toimivaltansa puitteissa, jotta sekä yleisestä tietosuoja-asetuksesta johtuvia velvoitteita että kyseisen asetuksen tavoitteita noudatetaan ja niiden tehokas vaikutus säilytetään. Tästä seuraa, että jos kilpailuviranomainen katsoo tutkinnan, jonka tarkoituksena on todeta, onko yritys väärinkäyttänyt määräävää asemaa, yhteydessä, että on välttämätöntä tutkia, onko mainitun yrityksen käyttäytyminen yleisen tietosuoja-asetuksen säännösten mukaista, tämän viranomaisen on selvitettävä, onko toimivaltainen kansallinen valvontaviranomainen tai johtava valvontaviranomainen taikka unionin tuomioistuin jo tutkinut kyseistä käyttäytymistä tai samankaltaista käyttäytymistä tai tehnyt tällaista käyttäytymistä koskevan ratkaisun. Jos asia on näin, kilpailuviranomainen ei voi poiketa siitä, mutta se voi vapaasti tehdä sen perusteella omat päätelmänsä kilpailuoikeuden soveltamisen näkökulmasta.
Jos kansallisella kilpailuviranomaisella on epäilyjä toimivaltaisen kansallisen valvontaviranomaisen tai johtavan valvontaviranomaisen toteuttaman arvioinnin ulottuvuudesta, jos kyseiset viranomaiset tutkivat samaan aikaan asianomaista käyttäytymistä tai samankaltaista käyttäytymistä tai jos mainittujen viranomaisten tutkinnan puuttuessa kilpailuviranomainen katsoo, että yrityksen käyttäytyminen ei ole yleisen tietosuoja-asetuksen säännösten mukaista, kansallisen kilpailuviranomaisen on kuultava kyseistä viranomaista ja pyydettävä niitä tekemään yhteistyötä epäilyjensä poistamiseksi tai sen määrittämiseksi, onko odotettava asianomaisen valvontaviranomaisen päätöstä ennen kuin se tekee oman arviointinsa. Jos ne eivät vastusta asiaa tai eivät vastaa kohtuullisen määräajan kuluessa, kilpailuviranomainen voi jatkaa omaa tutkintaansa.
Toiseksi unionin tuomioistuin arvioi erityisiä henkilötietoryhmiä(6) koskevan käsittelyn osalta, että tilanteessa, jossa verkkoyhteisöpalvelun käyttäjä käy verkkosivustoilla tai sovelluksissa, joilla on liittymä yhteen tai useampaan tällaiseen henkilötietoryhmään, ja tarvittaessa syöttää niihin tietoja rekisteröitymällä tai tekemällä verkkotilauksia, tämän verkkoyhteisöpalvelun ylläpitäjän suorittamaa henkilötietojen käsittelyä(7) on pidettävä yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuna erityisiä henkilötietoryhmiä koskevana käsittelynä, kun kyseisestä henkilötietojen käsittelystä voi ilmetä johonkin näistä ryhmistä kuuluvia tietoja, riippumatta siitä, koskevatko kyseiset tiedot palvelun käyttäjää tai ketä tahansa muuta luonnollista henkilöä. Tällainen käsittely on lähtökohtaisesti kiellettyä kyseisen 9 artiklan 2 kohdassa säädetyin poikkeuksin(8).
Unionin tuomioistuin täsmentää tältä osin, että kun verkkoyhteisöpalvelun käyttäjä käy verkkosivustolla tai sovelluksessa, joilla on liittymä yhteen tai useampaan erityiseen henkilötietoryhmään, hän ei nimenomaisesti saata julkiseksi(9) tätä käyntiä koskevia tietoja, joita tämän verkkoyhteisöpalvelun ylläpitäjä kerää evästeiden tai vastaavien tallennusteknologioiden avulla. Lisäksi on niin, että kun käyttäjä syöttää tietoja tällaisille verkkosivustoille tai tällaisiin sovelluksiin tai kun hän käyttää niihin sisältyviä valintapainikkeita, kuten ”tykkää”- ja ”jaa”-painikkeita tai painikkeita, joiden avulla hän voi tunnistautua näille sivustoille tai näihin sovelluksiin käyttämällä verkkoyhteisöpalvelun käyttäjätiliinsä, puhelinnumeroonsa tai sähköpostiosoitteeseensa liittyviä kirjautumistunnuksia, hän nimenomaisesti saattaa julkiseksi näin syötetyt tai näiden painikkeiden käyttämisestä lähtöisin olevat tiedot ainoastaan siinä tapauksessa, että hän on nimenomaisesti ilmaissut etukäteen, tarvittaessa täysin tietoisesti tehdyn yksilöllisten asetusten säätämisen avulla, valintansa saattaa häntä koskevat tiedot rajoittamattoman henkilöjoukon saataville julkisesti.
Kolmanneksi unionin tuomioistuin muistuttaa yleisemmin henkilötietojen käsittelyn lainmukaisuuden edellytyksistä, että yleisen tietosuoja-asetuksen mukaan tietojenkäsittely on lainmukaista jos ja vain siltä osin kuin rekisteröity on antanut suostumuksensa siihen yhtä tai useampaa erityistä tarkoitusta varten(10) . Jos tällainen suostumus puuttuu tai sitä ei ole annettu vapaaehtoisesti, yksilöidysti, tietoisesti ja yksiselitteisesti, tällainen käsittely on kuitenkin oikeutettua, jos sen osalta täyttyy jokin käsittelyn välttämättömyyttä koskevista edellytyksistä(11), joita on tulkittava suppeasti. Verkkoyhteisöpalvelun ylläpitäjän suorittaman henkilötietojen käsittelyn voidaan katsoa olevan tarpeen sellaisen sopimuksen täyttämiseksi, jossa nämä käyttäjät ovat osapuolena, ainoastaan sillä edellytyksellä, että tämä käsittely on objektiivisesti välttämätöntä sellaisen tarkoituksen toteuttamiseksi, joka on näille käyttäjille tarkoitetun sopimusperusteisen suorituksen olennainen osa, joten sopimuksen pääkohdetta ei voida toteuttaa ilman tätä käsittelyä.
Lisäksi unionin tuomioistuimen mukaan kyseessä olevan tietojenkäsittelyn voidaan katsoa olevan tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi ainoastaan sillä edellytyksellä, että kyseinen ylläpitäjä on ilmoittanut tietojen keräämisen kohteena olleille käyttäjille niiden käsittelyllä tavoiteltavasta oikeutetusta edusta, että käsittely suoritetaan tämän oikeutetun edun toteuttamiselle täysin välttämättömän rajoissa ja että vastakkaisten etujen punninnasta käy ilmi, kun otetaan huomioon kaikki merkitykselliset olosuhteet, että näiden käyttäjien edut tai perusoikeudet- ja vapaudet eivät syrjäytä kyseistä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua. Unionin tuomioistuin katsoo erityisesti, että tilanteessa, jossa nämä käyttäjät eivät ole antaneet suostumustaan, heidän etunsa ja perusoikeutensa syrjäyttävät verkkoyhteisöpalvelun ylläpitäjä edun, joka liittyy sen toiminnan rahoituslähteenä olevan mainonnan personointiin.
Lopuksi unionin täsmentää, että kyseessä olevien tietojen käsittely on oikeutettua, kun se on tosiasiallisesti tarpeen, jotta rekisterinpitäjä voi noudattaa unionin oikeussäännökseen tai asianomaisen jäsenvaltion oikeuteen perustuvaa lakisääteistä velvoitettaan, kun tämä oikeusperusta täyttää yleisen edun mukaisen tavoitteen ja on oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden ja kun tämä käsittely suoritetaan täysin välttämättömän rajoissa.
Neljänneksi ja viimeiseksi unionin tuomioistuin toteaa siitä, onko asianomaisten käyttäjien suostumus heitä koskevien tietojen käsittelyyn pätevä yleisen tietosuoja-asetuksen nojalla, että se, että verkkoyhteisöpalvelun ylläpitäjä on määräävässä asemassa yhteisöpalvelujen markkinoilla, ei estä sellaisenaan sitä, että tällaisen palvelun käyttäjät voivat pätevästi antaa suostumuksensa tämän ylläpitäjän suorittamaan heitä koskevien henkilötietojen käsittelyyn. Kun otetaan huomioon, että tällainen asema voi vaikuttaa kyseisellä käyttäjällä olevaan vapaan valinnan mahdollisuuteen ja synnyttää rekisteröidyn ja rekisterinpitäjän välille selkeän epäsuhdan, se on kuitenkin tärkeä tekijä määritettäessä, onko suostumus tosiasiallisesti annettu pätevästi ja erityisesti vapaaehtoisesti, mikä tämän ylläpitäjän on osoitettava (12).
Näillä kyseessä olevan yhteisöpalvelun käyttäjillä on erityisesti oltava sopimusmenettelyn yhteydessä vapaus kieltäytyä tapauskohtaisesti antamasta suostumustaan erityisiin tietojenkäsittelytoimiin, jotka eivät ole välttämättömiä sopimuksen täyttämiseksi, ilman, että heidän on samalla luovuttava kokonaan tämän verkkoyhteisöpalvelun käyttämisestä, mikä tarkoittaa, että näille käyttäjille on tarjottava, tarvittaessa asianmukaista korvausta vastaan, vastaava vaihtoehto, johon ei liity tällaisia tietojenkäsittelytoimia. Lisäksi off Facebook -tietojen käsittelyyn on voitava antaa erillinen suostumus.