Soudní dvůr EU zveřejnil svůj rozsudek ve věci C-252/21 | Meta Platforms a další (Všeobecné podmínky používání sociální sítě), podle kterého platí, že vnitrostátní orgán pro hospodářskou soutěž může v rámci posuzování, zda došlo ke zneužití dominantního postavení, konstatovat porušení GDPR. Musí však v souladu se zásadou loajální spolupráce zohlednit veškerá rozhodnutí nebo šetření dozorového úřadu příslušného na základě tohoto nařízení.

Společnost Meta Platforms Ireland provozuje v Unii sociální síť Facebook. Uživatelé sociální sítě Facebook svou registrací na této síti vyjadřují souhlas s všeobecnými podmínkami vypracovanými touto společností, a v důsledku toho i s politikou používání údajů a souborů cookies. Na základě těchto podmínek shromažďuje společnost Meta Platforms Ireland údaje o aktivitách uživatelů na sociální síti i mimo ni a přiřazuje je k účtům dotyčných uživatelů na Facebooku. Pokud jde o posledně uvedené údaje, nazývané též „údaje off Facebook“, jedná se jednak o údaje týkající se zobrazení internetových stránek a aplikací třetích osob a jednak o údaje týkající se používání jiných on-line služeb patřících do skupiny Meta (například Instagram a WhatsApp). Takto shromážděné údaje umožňují mimo jiné personalizovat reklamní sdělení určená uživatelům Facebooku.

Německý spolkový orgán pro hospodářskou soutěž mimo jiné zakázal, aby ve všeobecných podmínkách bylo používání sociální sítě Facebook soukromými uživateli s bydlištěm v Německu podmíněno zpracováním jejich údajů off Facebook a aby byly tyto údaje zpracovávány bez jejich souhlasu. Své rozhodnutí odůvodnil tím, že toto zpracování není v souladu s obecným nařízením o ochraně osobních údajů (GDPR)¹, a proto představuje zneužití dominantního postavení společnosti Meta Platforms Ireland na německém trhu sociálních sítí.

Vrchní zemský soud v Düsseldorfu, který rozhoduje o žalobě podané proti tomuto rozhodnutí, se Soudního dvora dotázal, zda vnitrostátní orgány pro hospodářskou soutěž mohou kontrolovat soulad zpracování údajů s požadavky stanovenými v nařízení GDPR. Kromě toho se německý soud Soudního dvora dotázal, jak je třeba vykládat a aplikovat některá ustanovení GDPR na zpracování údajů provozovatelem sociální sítě.

Soudní dvůr v rozsudku vydaném dnešního dne poukázal na to, že v rámci posuzování, zda došlo ke zneužití dominantního postavení ze strany určitého podniku, se může ukázat nezbytným, aby orgán pro hospodářskou soutěž dotyčného členského státu posoudil rovněž soulad jednání tohoto podniku s jinými normami než normami práva hospodářské soutěže, například s pravidly stanovenými v GDPR. Pokud však vnitrostátní orgán pro hospodářskou soutěž poukáže na porušení GDPR, nenahrazuje dozorové úřady zřízené tímto nařízením. Posouzení dodržování GDPR se totiž omezuje pouze na účely konstatování zneužití dominantního postavení a uložení opatření směřujících k ukončení tohoto zneužití podle pravidel práva hospodářské soutěže.

Aby bylo zajištěno jednotné uplatňování GDPR, musí vnitrostátní orgány pro hospodářskou soutěž sladit své kroky a loajálně spolupracovat s orgány dohlížejícími na dodržování tohoto nařízení. Zejména má-li vnitrostátní orgán pro hospodářskou soutěž za to, že je nezbytné přezkoumat soulad jednání podniku s GDPR, musí ověřit, zda toto jednání nebo podobné jednání již bylo předmětem rozhodnutí příslušného dozorového úřadu nebo Soudního dvora. Pokud tomu tak je, nemůže se od nich odchýlit, avšak může z nich vyvodit vlastní závěry z hlediska použití práva hospodářské soutěže

Soudní dvůr dále uvedl, že zpracování údajů prováděné společností Meta Platforms Ireland se podle všeho týká rovněž zvláštních kategorií údajů, které mohou odhalit mimo jiné rasový či etnický původ, politické názory, náboženské přesvědčení nebo sexuální orientaci a jejichž zpracování GDPR v zásadě zakazuje. Bude tedy na předkládajícím soudu, aby určil, zda některé shromážděné údaje skutečně umožňují odhalit takové informace, ať již se týkají uživatele této sociální sítě, nebo jakékoli jiné fyzické osoby.

Pokud jde o otázku, zda je zpracování takových tzv. „citlivých“ údajů výjimečně povoleno z důvodu, že byly zjevně zveřejněny subjektem údajů, Soudní dvůr upřesnil, že pouhá skutečnost, že uživatel zobrazí internetové stránky nebo aplikace, které mohou takové informace odhalit, v žádném případě neznamená, že zjevně zveřejňuje své údaje ve smyslu GDPR. Totéž platí i v případě, že uživatel zadává údaje na takových internetových stránkách nebo v takovýchto aplikacích nebo klikne-li na tlačítka na těchto stránkách nebo aplikacích, ledaže předem výslovně vyjádřil svou volbu zpřístupnit údaje, které se ho týkají, neomezenému počtu osob.

Pokud jde obecně o zpracování prováděné společností Meta Platforms Ireland, včetně zpracování „necitlivých“ údajů, Soudní dvůr dále zkoumal, zda toto zpracování spadá mezi důvody stanovené GDPR, na jejichž základě lze zpracování údajů provedené bez souhlasu subjektu údajů považovat za zákonné. Soudní dvůr měl v tomto kontextu za to, že nezbytnost pro splnění smlouvy, jejíž je tato osoba smluvní stranou, odůvodňuje spornou praxi pouze za podmínky, že zpracování údajů je objektivně nezbytné, takže by bez tohoto zpracování nemohlo být dosaženo hlavního předmětu této smlouvy. S výhradou ověření vnitrostátním soudem vyslovil Soudní dvůr pochybnosti, že by personalizace obsahu nebo stejnorodé a plynulé využívání služeb vlastních skupině Meta mohly tato kritéria splňovat. Soudní dvůr dále uvedl, že personalizace reklamy, kterou je financována sociální síť Facebook, nemůže jakožto oprávněný zájem sledovaný společností Meta Platforms Ireland odůvodnit předmětné zpracování údajů bez souhlasu subjektu údajů.

Závěrem Soudní dvůr konstatoval, že okolnost, že provozovatel sociální sítě má jakožto správce dominantní postavení na trhu sociálních sítí, jako taková nebrání tomu, aby uživatelé této sociální sítě mohli platně udělit souhlas se zpracováním svých osobních údajů tímto provozovatelem ve smyslu GDPR. Avšak vzhledem k tomu, že takové postavení může mít dopad na svobodu volby těchto uživatelů a způsobit zjevnou nerovnováhu mezi těmito uživateli a správcem, je tato okolnost významným prvkem při určování toho, zda byl souhlas skutečně udělen platně a především svobodně. Je na tomto provozovateli, aby tuto skutečnost prokázal.

Úplné znění a shrnutí rozsudku se zveřejňuje na internetové stránce CURIA v den vyhlášení.

Zdroj: Soudní dvůr EU
Foto: canva.com

¹ Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, str. 1).