„Мета“ загуби дело пред Съда на ЕС по спор за сигурността на личните данни
При разглеждането на злоупотреба с господстващо положение националният орган за защита на конкуренцията може да констатира наличието на нарушение на Общия регламент за защита на данните (ОРЗД)
С оглед обаче на факта, че е обвързан от принципа на лоялно сътрудничество, този орган е длъжен да вземе предвид евентуалното решение или разследване на компетентния надзорен орган съгласно този регламент. Решението на СЕС е по по дело C-252/21 | Meta Platforms и др., за което съобщава преслужбата на съда.
Meta Platforms Ireland управлява социалната онлайн мрежа Facebook в Съюза. При регистрирането си във Facebook ползвателите му приемат общите условия, определени от това дружество, а оттам и политиките за използване на данни и бисквитки. Съгласно тези политики Meta Platforms Ireland събира данни за дейностите на ползвателите във и извън социалната мрежа и свързва тези данни с акаунтите на съответните ползватели във Facebook. Що се отнася до данните за дейностите извън тази мрежа, наричани също „данни off Facebook“, става дума, от една страна, за данните за посещения на уебсайтове и приложения на трети лица, и от друга, за данните за използването на други онлайн услуги, собственост на групата Meta (сред които са Instagram и WhatsApp). Така събраните данни дават възможност по-специално да се персонализират рекламните съобщения, предназначени за ползвателите на Facebook.
Германският федерален орган за защита на конкуренцията забранява по-специално да се обвързва в общите условия използването на социалната мрежа Facebook от частни ползватели, които живеят в Германия, с обработването на техните данни off Facebook и тези данни да се обработват без съгласието на въпросните ползватели. Този орган мотивира решението си с това, че тъй като не е съобразено с Общия регламент за защита на личните данни (ОРЗД)1, споменатото обработване представлява злоупотреба с господстващото положение на Meta Platforms Ireland на германския пазар на социални онлайн мрежи.
Сезиран с жалба срещу това решение, Висш областен съд Дюселдорф иска от Съда да изясни дали националните органи за защита на конкуренцията могат да проверят дали дадено обработване на данни е в съответствие с изискванията на ОРЗД. Освен това германският съд отправя до Съда въпроси за тълкуването и прилагането на някои разпоредби на ОРЗД спрямо обработването на данни от оператор на социална онлайн мрежа.
Съображенията на съда
В днешното си решение Съдът отбелязва, че при разглеждането на злоупотреба с господстващо положение, извършена от дадено предприятие, може да се окаже необходимо органът за защита на конкуренцията на съответната държава членка да провери и дали поведението на това предприятие е в съответствие с правила, различни от правилата в областта на правото на конкуренция, като предвидените от ОРЗД правила. При все това, когато констатира наличието на нарушение на ОРЗД, националният орган за защита на конкуренцията не замества надзорните органи, създадени с този регламент. Всъщност преценката дали е спазен ОРЗД се извършва само за да се установи злоупотреба с господстващо положение и да се наложат мерки за преустановяването на тази злоупотреба съгласно правилата на правото в областта на конкуренция.
За да се гарантира съгласуваното прилагане на ОРЗД националните органи за защита на конкуренцията трябва да се съгласуват и да си сътрудничат лоялно с органите, които следят за спазването на този регламент. По-специално, когато счита, че е необходимо да разгледа поведението на едно предприятие през призмата на ОРЗД, националният орган за защита на конкуренцията трябва да провери дали това поведение или сходно поведение вече е било предмет на решение на компетентния надзорен орган или пък на Съда. Ако е така, националният орган за защита на конкуренцията не може да дерогира това решение, но същевременно има свободата да направи собствените си изводи от гледна точка на прилагането на правото на конкуренция.
Съдът също така отбелязва, че извършваното от Meta Platforms Ireland обработване изглежда обхваща и специални категории лични данни, които наред с останалото могат да разкрият расов или етнически произход, политически възгледи, религиозни убеждения или сексуална ориентация и обработването на които поначало е забранено от ОРЗД. Ето защо националният съд следва да прецени дали някои от събраните данни реално позволяват разкриването на такава информация, независимо дали тази информация се отнася до ползвател на тази социална мрежа или до друго физическо лице.
По въпроса дали обработването на такива т.нар. „чувствителни“ данни по изключение е разрешено поради факта, че субектът на данни явно ги направил обществено достояние, Съдът отбелязва, че сам по себе си фактът, че даден ползвател посещава уебсайтове или приложения, които могат да разкрият такава информация, изобщо не означава, че той явно прави обществено достояние данните си, по смисъла на ОРЗД. Освен това, същото важи когато даден ползвател въвежда данни в такива сайтове или приложения или пък натиска вградени там бутони, освен ако изрично е изразил предварително решението си да направи свързаните с него данни публично достъпни за неограничен брой лица.
Що се отнася до извършваното от Meta Platforms Ireland обработване в по-широк смисъл, включително на „нечувствителните“ данни, Съдът проверява дали това обработване попада в обхвата на основанията, предвидени от ОРЗД, които могат да направят законосъобразно обработването на данни, извършено без съгласието на субекта на данни. В тази насока той приема, че необходимостта за изпълнението на договор, по който субектът на данни е страна, обосновава спорната практика само ако обработването на данни обективно е толкова необходимо, че основната цел на договора не би могла да бъде постигната без него. Без да се засяга проверката, която трябва да бъде извършена от националния съд, Съдът изразява съмнение, че е възможно персонализирането на съдържание или хомогенното и безпроблемно използване на услугите на групата Meta да отговарят на тези критерии. Освен това според Съда персонализирането на рекламата, с която се финансира социалната онлайн мрежа Facebook, няма как като легитимен интерес, преследван от Meta Platforms Ireland, да обоснове разглежданото обработване на данни, доколкото липсва съгласие на субекта на данни.
Накрая, Съдът отбелязва, че обстоятелството, че в качеството си на администратор операторът на социална онлайн мрежа има господстващо положение на пазара на социалните мрежи, само по себе си не изключва възможността ползвателите на тази мрежа да дадат валидно съгласие, по смисъла на ОРЗД, за извършваното от този оператор обработване на личните им данни. Доколкото обаче такова положение може да засегне свободата на избор на тези ползватели и да доведе до очевидна неравнопоставеност между тях и администратора, то е важен фактор за преценката дали съгласието.
- Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1).