EU-Hof: nationale mededingingsautoriteit kan bij onderzoek naar misbruik machtspositie een inbreuk op de AVG vaststellen

Het gaat om het arrest van het EU-Hof in zaak C-252/21 (Meta Platforms e.a.) van 4 juli 2023.

Achtergrond
Meta Platforms Ireland exploiteert in de Europese Unie het online sociale netwerk Facebook en promoot, met name op Facebook.com, diensten die gratis zijn voor particuliere gebruikers. Andere ondernemingen van het Metaconcern, waaronder Instagram, WhatsApp, Oculus en Masquerade, bieden in de Unie andere onlinediensten aan.

Het bedrijfsmodel van het online sociale netwerk Facebook is erop gebaseerd inkomsten te verwerven met onlinereclame die specifiek op de individuele gebruikers van het online sociale netwerk is toegesneden doordat zij is afgestemd op hun consumentengedrag, interesse, koopkracht en persoonlijke omstandigheden. Technisch wordt dat mogelijk gemaakt door van de gebruikers van zowel het netwerk als van de onlinediensten die op het niveau van het Metaconcern worden aangeboden, automatisch gedetailleerde profielen op te stellen. Naast de gegevens die deze gebruikers rechtstreeks bij de registratie voor de betrokken onlinediensten verstrekken, worden daartoe, zowel binnen als buiten dit online sociale netwerk en de door het Metaconcern aangeboden onlinediensten, ook andere gegevens over deze gebruikers en hun apparatuur verzameld en gekoppeld aan hun verschillende gebruikersaccounts. Uit al deze gegevens bij elkaar kunnen gedetailleerde conclusies worden getrokken over de voorkeuren en interesse van deze gebruikers.

Voor de verwerking van die gegevens baseert Meta Platforms Ireland zich op de gebruikersovereenkomst die gebruikers van het online sociale netwerk Facebook aangaan door op de knop „Registreren” te klikken en die hun instemming met de algemene voorwaarden van dat bedrijf meebrengt. Deze algemene voorwaarden moeten worden aanvaard om het online sociale netwerk Facebook te kunnen gebruiken. Ten aanzien van de verwerking van persoonsgegevens verwijzen de algemene voorwaarden naar het gegevens- en cookiebeleid van deze onderneming. Op grond daarvan verzamelt Meta Platforms Ireland gebruikers- en apparaatgegevens over de gebruikersactiviteiten binnen en buiten het online sociale netwerk en koppelt zij deze gegevens aan de Facebookaccounts van de betrokken gebruikers. Bij de gegevens met betrekking tot de activiteiten buiten het online sociale netwerk (hierna ook: „off-Facebook-gegevens”), gaat het om gegevens over bezoeken aan websites en apps van derden die met Facebook zijn verbonden via programmeerinterfaces – de „Facebook Business Tools” – en om gegevens over het gebruik van de andere onlinediensten van het Metaconcern.

De Duitse Mededingingsautoriteit heeft tegen Meta Platforms, Meta Platforms Ireland en Facebook Deutschland een procedure ingeleid en hen daarna bij een op de Duitse Wet tegen beperking van de mededinging (GWB) gebaseerd besluit van februari 2019 in essentie verboden om in de algemene voorwaarden het gebruik van het online sociale netwerk Facebook door in Duitsland wonende particuliere gebruikers afhankelijk te stellen van de verwerking van hun off-Facebook-gegevens, en om deze gegevens zonder hun toestemming te verwerken op basis van de toen geldende algemene voorwaarden. Ook heeft de Mededingingsautoriteit hun gelast om die algemene voorwaarden zo aan te passen dat daaruit duidelijk blijkt dat die gegevens niet zonder toestemming van de betreffende gebruikers verzameld, met de Facebook-gebruikersaccounts gekoppeld en gebruikt zullen worden, en heeft het verduidelijkt dat een dergelijke toestemming ongeldig is wanneer ze een voorwaarde vormt om het online sociale netwerk te kunnen gebruiken.

Meta Platforms, Meta Platforms Ireland en Facebook Deutschland stellen bij het Duitse Oberlandesgericht Düsseldorf, de verwijzende rechter, beroep in tegen het besluit tot oplegging van het verbod van de Mededingingsautoriteit. Het Oberlandesgericht betwijfelt of 1) de nationale mededingingsautoriteiten in het kader van de uitoefening van hun bevoegdheden kunnen nagaan of een verwerking van persoonsgegevens in overeenstemming is met de vereisten van de Algemene Verordening Gegevensbescherming (AVG); 2) een exploitant van een online sociaal netwerk gevoelige persoonsgegevens van de betrokkene in de zin van artikel 9, leden 1 en 2, van de AVG kan verwerken; 3) een dergelijke exploitant de persoonsgegevens van de betrokken gebruiker overeenkomstig artikel 6, lid 1, van de AVG rechtmatig kan verwerken, en 4) toestemming voor een dergelijke verwerking die aan een onderneming met een machtspositie op de nationale markt voor online sociale netwerken wordt verleend, geldig is in het licht van artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), van de AVG.

Het Oberlandesgericht schorst de behandeling van de zaak en verzoekt het EU-Hof om een prejudiciële beslissing over een zevental vragen, onder meer over de uitleg van de artikelen 6, 9, 51 ev. van de AVG (EU-Verordening 2016/679 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens).

EU-Hof
Het EU-Hof merkt ten eerste op dat de mededingingsautoriteit van de betrokken lidstaat bij het onderzoek of een onderneming misbruik maakt van haar machtspositie, genoodzaakt kan zijn om ook na te gaan of het gedrag van die onderneming in overeenstemming is met andere normen dan die van het mededingingsrecht, zoals de regels van de AVG. Een nationale mededingingsautoriteit die vaststelt dat de AVG is geschonden, treedt volgens het EU-Hof echter niet in de plaats van de toezichthoudende autoriteiten die bij de AVG zijn ingesteld. Wanneer de mededingingsautoriteit beoordeelt of de AVG is nageleefd, doet zij dat volgens het EU-Hof uitsluitend om te bepalen of er sprake is van misbruik van een machtspositie en om overeenkomstig de regels van het mededingingsrecht maatregelen op te leggen om dit misbruik te beëindigen.  Om een coherente toepassing van de AVG te waarborgen, moeten de nationale mededingingsautoriteiten met elkaar overleggen en loyaal samenwerken met de autoriteiten die op de naleving van de AVG toezien. Wanneer volgens de nationale mededingingsautoriteit moet worden onderzocht of het gedrag van een onderneming strookt met de AVG, moet zij met name nagaan of de bevoegde toezichthoudende autoriteit of het EU-Hof al een beslissing heeft genomen over het betrokken of een soortgelijk gedrag. Indien dat het geval is, mag die nationale mededingingsautoriteit daar niet van afwijken, maar kan zij daar wel haar eigen conclusies aan verbinden voor de toepassing van het mededingingsrecht.

De artikelen 51 en volgende van de AVG en artikel 4, lid 3, EU- Verdrag moeten volgens het EU-Hof dan ook zo worden uitgelegd dat een mededingingsautoriteit van een lidstaat in het kader van het onderzoek of er sprake is van misbruik van een machtspositie door een onderneming in de zin van artikel 102 EU-Werkingsverdrag kan vaststellen dat de algemene gebruiksvoorwaarden van deze onderneming niet met die verordening in overeenstemming zijn voor zover zij betrekking hebben op de verwerking van persoonsgegevens en de toepassing van deze gebruiksvoorwaarden, mits die vaststelling noodzakelijk is om een dergelijk misbruik aan te tonen en zij haar verplichting tot loyale samenwerking met de toezichthoudende autoriteiten nakomt.

In het licht van deze verplichting tot loyale samenwerking mag de nationale mededingingsautoriteit niet afwijken van een besluit van de bevoegde nationale toezichthoudende autoriteit of de bevoegde leidende toezichthoudende autoriteit met betrekking tot die algemene voorwaarden of soortgelijke algemene voorwaarden. Wanneer de mededingingsautoriteit twijfels heeft over de draagwijdte van een dergelijk besluit, wanneer die voorwaarden of soortgelijke voorwaarden tegelijkertijd door die autoriteiten worden onderzocht, dan wel wanneer zij, zonder dat die autoriteiten onderzoek hebben gedaan of een besluit hebben genomen, van mening is dat de betrokken voorwaarden niet in overeenstemming zijn met de AVG, dan moet zij die toezichthoudende autoriteiten raadplegen en om hun medewerking verzoeken, teneinde haar twijfels weg te nemen dan wel te bepalen of zij moet wachten tot deze autoriteiten een besluit vaststellen, alvorens met haar eigen beoordeling te beginnen. Indien de toezichthoudende autoriteiten niet binnen een redelijke termijn bezwaar maken of antwoorden, kan de nationale mededingingsautoriteit haar eigen onderzoek voortzetten.

Vervolgens wijst het EU-Hof erop dat Meta Platforms Ireland ook gegevens lijkt te verwerken die behoren tot ‘bijzondere categorieën persoonsgegevens’ in de zin van artikel 9 AVG waaruit onder meer ras of etnische afkomst, politieke opvattingen, religieuze overtuigingen of seksuele geaardheid kunnen blijken en waarvan de verwerking in beginsel door de AVG wordt verboden. De nationale rechter zal daarom moeten nagaan of sommige van de verzamelde gegevens daadwerkelijk dergelijke informatie kunnen onthullen, ongeacht of deze informatie betrekking heeft op een gebruiker van dit online sociale netwerk of op een andere natuurlijke persoon. Artikel 9, lid 1, van de AGV moet volgens het EU-Hof dan ook zo worden uitgelegd dat wanneer een gebruiker van een online sociaal netwerk websites of apps bezoekt die met een of meer van de in die bepaling bedoelde categorieën verband houden, en in voorkomend geval daar gegevens invoert door zich te registreren of online bestellingen te plaatsen, de verwerking van persoonsgegevens door de exploitant van dat online sociale netwerk waarbij deze exploitant, door middel van geïntegreerde interfaces, cookies of soortgelijke registratietechnologieën, de gegevens die voortvloeien uit de bezoeken aan die websites en apps alsook de gegevens die door de gebruiker zijn ingevoerd verzamelt, al deze gegevens koppelt aan het account van deze laatste bij het online sociale netwerk en die gegevens gebruikt, moet worden beschouwd als een „verwerking van bijzondere categorieën persoonsgegevens” in de zin van die bepaling. Behoudens de in artikel 9, lid 2, bepaalde uitzonderingen, is die verwerking in beginsel verboden, wanneer bij deze gegevensverwerking informatie aan het licht kan komen die onder een van deze categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon.

Met betrekking tot de vraag of de verwerking van dergelijke „gevoelige” gegevens bij wijze van uitzondering is toegestaan omdat zij kennelijk door de betrokkene openbaar zijn gemaakt, verduidelijkt het EU-Hof dat het enkele feit dat een gebruiker websites of apps bezoekt waaruit dergelijke informatie kan blijken, niet betekent dat hij zijn gegevens kennelijk openbaar maakt in de zin van artikel 9 van de AVG. Dit is evenmin het geval wanneer een gebruiker op dergelijke sites of apps gegevens invoert of daarin geïntegreerde selectieknoppen aanklikt, tenzij hij vooraf uitdrukkelijk zijn keuze kenbaar heeft gemaakt om de hem betreffende gegevens openbaar te maken voor een onbeperkt aantal personen. Voornoemde uitleg van artikel 9, lid 1, van de AGV van het EU-Hof evenals de in artikel 9, lid 2, bepaalde uitzonderingen, gaan ook hier op en maken die verwerking in beginsel verboden, wanneer bij deze gegevensverwerking informatie aan het licht kan komen die onder een van deze categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon.

Wat de gegevensverwerking door Meta Platforms Ireland in ruimere zin betreft, die ook betrekking heeft op „niet-gevoelige” gegevens, onderzoekt het EU-Hof vervolgens of deze verwerking valt onder de gronden van rechtvaardiging van de AVG, op grond waarvan gegevensverwerking die zonder toestemming van de betrokkene wordt verricht, rechtmatig kan zijn. In deze context kan de omstreden praktijk volgens het EU-Hof alleen worden gerechtvaardigd met het argument dat die praktijk noodzakelijk is om uitvoering te geven aan de overeenkomst met de betrokkene, indien de gegevensverwerking objectief onontbeerlijk is, zodat het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt. Onder voorbehoud van toetsing door de nationale rechter is het volgens het EU-Hof twijfelachtig of de personalisatie van inhoud of het consistente en probleemloze gebruik van de diensten van het Metaconcern aan deze voorwaarden kan voldoen. Voorts behartigt Meta Platforms Ireland volgens het EU-Hof met de personalisatie van de reclame waarmee het online sociale netwerk Facebook wordt gefinancierd, geen gerechtvaardigd belang op grond waarvan de betreffende gegevens zonder toestemming van de betrokkene mogen worden verwerkt.

Respectievelijk artikel 6, lid 1, eerste alinea onder b) (zie hierna 1.), onder f) (2.), onder c) (3.) en onder d) en e) (4.) van de AVG moeten volgens het EU-Hof zo worden uitgelegd dat dat de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden:

1. het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, slechts noodzakelijk kan worden geacht voor de uitvoering van een overeenkomst waarbij de betrokkenen partij zijn in de zin van deze bepaling, indien die verwerking objectief onontbeerlijk is om een doel te bereiken dat een integrerend deel uitmaakt van de aan deze gebruikers te leveren contractuele prestatie, zodat het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt;
2. het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, slechts noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van deze bepaling indien die exploitant de gebruikers bij wie de gegevens zijn verzameld, heeft meegedeeld dat er met de verwerking een gerechtvaardigd belang wordt behartigd, indien deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat belang strikt noodzakelijk is en indien uit een afweging van de tegengestelde belangen in het licht van alle relevante omstandigheden blijkt dat de belangen of grondrechten en fundamentele vrijheden van die gebruikers niet zwaarder wegen dan dit gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde;
3. het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, op grond van deze bepaling gerechtvaardigd is wanneer zij daadwerkelijk noodzakelijk is om een wettelijke verplichting na te komen die krachtens een bepaling van Unierecht of het recht van de betrokken lidstaat op de verwerkingsverantwoordelijke rust, wanneer deze rechtsgrondslag beantwoordt aan een doelstelling van algemeen belang en evenredig is aan het nagestreefde gerechtvaardigde doel, en wanneer die verwerking binnen de grenzen van het strikt noodzakelijke blijft;
4. het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, in beginsel en onder voorbehoud van een door de verwijzende rechter te verrichten verificatie niet kan worden geacht noodzakelijk te zijn om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen in de zin van punt d), en evenmin voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen in de zin van punt e).

Artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), van de AVG moeten tot slot volgens het EU-Hof zo worden uitgelegd dat de omstandigheid dat de exploitant van een online sociaal netwerk een machtspositie inneemt op de markt voor online sociale netwerken als zodanig er niet aan in de weg staat dat de gebruikers van een dergelijk netwerk rechtsgeldig toestemming kunnen geven in de zin van artikel 4, punt 11, van de AVG voor de verwerking van hun persoonsgegevens door die exploitant. Aangezien een dergelijke machtspositie de keuzevrijheid van deze gebruikers kan aantasten en tot een duidelijke wanverhouding tussen hen en de verwerkingsverantwoordelijke kan leiden, vormt zij evenwel een belangrijke factor om te bepalen of de toestemming daadwerkelijk rechtsgeldig en met name vrijwillig is gegeven. Het is aan de exploitant om dat te bewijzen.

Meer informatie:
Persbericht EU-Hof
ECER-dossier: Privacy-AVG