HvJ EU Conclusie A-G: verwerking persoonsgegevens

HvJ EU Conclusie A-G 20 september 2022, IT 4092; ECLI:EU:C:2022:704 (Meta Platforms Inc. tegen Bundeskartellamt) Het Oberlandesgericht Düsseldorf en het Bundeskartellamt hebben prejudiciële vragen die zien op de uitlegging van een aantal bepalingen van verordening (EU) 2016/679(4) met betrekking tot met name, de verwerking van gevoelige persoonsgegevens, de relevante voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens en de uiting van vrije toestemming ten aanzien van een onderneming met een machtspositie. A-G Rantos concludeert dat artikel 9, lid 1, van verordening 2016/679 zo moet worden uitgelegd dat het verbod op verwerking van persoonsgegevens zich uit kan strekken tot de verwerking van gegevens door een exploitant van een sociaal netwerk.

Artikel 9, lid 2, onder e) van verordening 2016/679 moet zo worden uitgelegd dat een gebruiker gegevens niet openbaar maakt door het feit dat van deze gegevens is gebleken door het raadplegen van pagina’s of apps. Artikel 6, lid 1, onder b), c), d), e) en f) van verordening 2016/679 moet aldus worden uitgelegd dat het verzamelen van gegevens van websites van derden die verbonden worden aan het Facebook account van iemand en worden gebruikt, onder de uitzonderingen van de bepaling kunnen vallen. Artikel 6, lid 1, onder a) en artikel 9, lid 2, onder a) van verordening 2016/679 moeten zo worden uitgelegd dat de enkele omstandigheid dat de onderneming die een sociaal netwerk exploiteert een machtspositie heeft op de nationale markt voor online sociale netwerken voor particuliere gebruikers, de toestemming van de gebruiker van dit netwerk voor de verwerking van zijn persoonsgegevens in de zin van artikel 4, punt 11 van deze verordening niet van haar geldigheid kan beroven.

2)      Artikel 9, lid 1, van verordening 2016/679 moet aldus worden uitgelegd dat:

het verbod op de verwerking van gevoelige persoonsgegevens zich kan uitstrekken tot de verwerking van gegevens door een exploitant van een online sociaal netwerk bestaande in het verzamelen van gegevens van een gebruiker wanneer hij andere websites of apps raadpleegt of daar gegevens invoert, het koppelen van deze gegevens aan het gebruikersaccount van het sociale netwerk en het gebruik van deze gegevens, mits de verwerkte gegevens, individueel beschouwd of gegroepeerd, het mogelijk maken de gebruiker te profileren volgens de in deze bepaling opgesomde categorieën van gevoelige persoonsgegevens.

Artikel 9, lid 2, onder e), van deze verordening moet aldus worden uitgelegd dat: een gebruiker gegevens niet kennelijk openbaar maakt door het feit dat van deze gegevens is gebleken door het raadplegen van webpagina’s of apps, dan wel deze gegevens daar zijn ingevoerd of gegenereerd door het aanklikken van in deze webpagina’s of apps geïntegreerde selectieknoppen.

3)      Artikel 6, lid 1, onder b), c), d), e) en f), van verordening 2016/679 moet aldus worden uitgelegd dat: de praktijk die bestaat in, ten eerste, het verzamelen van gegevens uit andere diensten van het concern en uit websites en apps van derden, via daarin geïntegreerde interfaces of via op de computer of het mobiele apparaat van de internetgebruiker geplaatste cookies, ten tweede, de verbinding van deze gegevens met het Facebook-account van de betrokken gebruiker en, ten derde, het gebruik van deze gegevens of bepaalde activiteiten waaruit deze praktijk bestaat, onder de in deze bepalingen vastgestelde uitzonderingen kunnen vallen, mits iedere onderzochte wijze van gegevensverwerking voldoet aan de voorwaarden die zijn vastgesteld voor de rechtvaardigingsgrond die concreet door de verwerkingsverantwoordelijke wordt aangevoerd, en dat bijgevolg:

–        de verwerking objectief gezien noodzakelijk is voor het verrichten van diensten in verband met het Facebookaccount;

–        de verwerking noodzakelijk is voor de behartiging van een gerechtvaardigd belang dat is aangevoerd door de verwerkingsverantwoordelijke of door de derde(n) aan wie de gegevens worden doorgegeven, en de verwerking de grondrechten en fundamentele vrijheden van de betrokkene niet op onevenredige wijze aantast;

–        de verwerking noodzakelijk is om te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens, om schadelijk gedrag te bestrijden en de veiligheid te bevorderen, of voor doeleinden van onderzoek ten behoeve van het maatschappelijk welzijn en om de bescherming, integriteit en veiligheid te bevorderen.

4)      Artikel 6, lid 1, onder a), en artikel 9, lid 2, onder a), van verordening 2016/679 moeten aldus worden uitgelegd dat: de enkele omstandigheid dat de onderneming die een sociaal netwerk exploiteert een machtspositie heeft op de nationale markt voor online sociale netwerken voor particuliere gebruikers, de toestemming van de gebruiker van dit netwerk voor de verwerking van zijn persoonsgegevens in de zin van artikel 4, punt 11, van deze verordening niet van haar geldigheid kan beroven. Een dergelijke omstandigheid speelt niettemin een rol bij de beoordeling van de vrijheid waarmee de toestemming in de zin van deze bepaling is verleend, die de verwerkingsverantwoordelijke moet aantonen, in voorkomend geval rekening houdend met het bestaan van een duidelijke wanverhouding in de machtsverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, de eventuele verplichting om toestemming te verlenen voor de verwerking van andere persoonsgegevens dan die welke strikt noodzakelijk zijn voor de verrichting van de betrokken diensten, de noodzaak dat de toestemming specifiek voor ieder verwerkingsdoeleinde wordt verleend en de noodzaak te voorkomen dat de betrokken gebruiker de toestemming niet zonder nadelige gevolgen kan intrekken.”