Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 4 lipca 2023 r. wskazał, iż krajowy organ ochrony konkurencji, w ramach badania pozycji dominującej, może stwierdzić naruszenie RODO. Czy oznacza to, że UOKiK będzie mógł nakładać kary na przedsiębiorców za naruszenie tych przepisów?
Okoliczności wyroku
Meta jest właścicielem portalu społecznościowego Facebook, który oferuje swoje usługi w Unii Europejskiej. Każdy nowy użytkownik, rejestrując się na tym portalu, akceptuje zasady wykorzystywania danych i „cookies” przez Facebook. Zgodnie z tymi zasadami, Meta gromadzi informacje o aktywności użytkowników zarówno wewnątrz, jak i poza siecią społecznościową (dane off-Facebook), a następnie łączy je z ich kontami na Facebooku. Danymi spoza Facebooka są informacje dotyczące odwiedzanych stron internetowych i aplikacji osób trzecich, jak również dane związane z korzystaniem z innych usług internetowych należących do grupy Meta, takich jak Instagram czy WhatsApp. Łącznie pozwalają one na tworzenie spersonalizowanych reklam, skierowanych do użytkowników Facebooka.
Niemiecki federalny urząd ds. ochrony (krajowy organ ochrony konkurencji) w swojej decyzji wobec Meta zakazał stosowania w ogólnych warunkach umownych Facebooka, takich postanowień, które uzależniają korzystanie z Facebooka od przetwarzania danych off-Facebook. Ponadto zakazał przetwarzania tych danych bez zgody użytkowników. Zakres tego zakazu dotyczył wyłącznie użytkowników z Niemiec. W odpowiedzi Meta zaskarżyła decyzję. Organ odwoławczy mając wątpliwości w tej sprawie, zwrócił się do TSUE z pytaniami prejudycjalnymi.
Kompetencje krajowych organów antymonopolowych
Pierwszą kwestią, jaką zajął się Trybunał, było to, czy organ ochrony konkurencji, który nie ma kompetencji organu ochrony danych, może decydować o naruszeniu przepisów RODO. Te dwa organy nie tylko mają bowiem rozdzielne kompetencje, jak również cechują je często inne pozycje ustrojowe. Budzić więc może zdziwienie, stwierdzenie przez Trybunał, że w ramach badania nadużycia pozycji dominującej, organ ochrony konkurencji może zbadać zgodność zachowań danego przedsiębiorstwa z normami innymi niż przepisy prawa konkurencji, a w szczególności przepisami RODO. Oznacza to, że w teorii polski UOKiK w postępowaniu o nadużycie pozycji dominującej, mógłby jednocześnie zbadać np. czy dany przedsiębiorca zbiera dane szczególnej kategorii bez podstawy prawnej.
Jednakże wyrok TSUE nie oznacza, że od tego momentu UOKiK ma takie same lub podobne uprawnienia jak UODO. Badanie zgodności z przepisami RODO może bowiem odbywać się wyłącznie w ramach postępowania o stwierdzenie nadużycia pozycji dominującej. Ponadto krajowe organy ochrony konkurencji muszą lojalnie współpracować z organami ochrony danych osobowych. Przed wszczęciem badania zgodności z RODO, organ antymonopolowy musi wcześniej sprawdzić, czy to dane zachowanie nie jest przedmiotem toczącego się lub już zakończonego postępowania organu ochrony danych.
Widać, więc że przypadki, w których organ ochrony konkurencji skorzysta z ww. możliwości, będą ograniczone. Ponadto warto wskazać, że wyrok TSUE został wydany w kontekście – odmiennego od polskiego – prawa niemieckiego.
Dane wrażliwe zbierane przez Meta
Kolejna kwestia, która wybrzmiała w wyroku Trybunału to dane szczególnej kategorii przetwarzane przez Meta. Trybunał wskazał, że przetwarzanie danych osobowych przez Meta polega głównie na zbieraniu danych osobowych użytkowników Facebooka pozyskiwanych, gdy przeglądają oni strony internetowe lub aplikacje – w tym tych danych, które mogą ujawniać informacje, będące danymi szczególnej kategorii. Trybunał wskazał, że to do sądu, który zadał pytanie, będzie należało ustalenie, czy zebrane w ten sposób dane rzeczywiście pozwalają na ujawnienie takich informacji, niezależnie od tego, czy dotyczą one użytkownika tej sieci, czy jakiejkolwiek innej osoby fizycznej.
Następnie TSUE w swoich rozważaniach podniósł kwestię wyjątku z art. 9 ust. 2 lit. e), tj. dane szczególnej kategorii mogą być przetwarzane, jeśli zostały w sposób oczywisty upublicznione przez osobę, której dotyczą. Trybunał wyjaśnił, że sama czynność przeglądania stron internetowych lub aplikacji przez użytkownika nie implikuje jednoznacznego upublicznienia informacji dotyczących tej osoby, choć istnieje ryzyko ich ujawnienia. Natomiast w sytuacji, w której użytkownik umieszcza informacje na stronach internetowych lub w aplikacjach, lub też klikając na przyciski z nimi zintegrowane, wyraża zgodę na udostępnienie tych danych publicznie, chyba że wcześniej jasno określił swoje preferencje dotyczące ograniczonego dostępu do tych informacji – i ma rzeczywiście wolny wybór, można uznać, że użytkownik ten w sposób oczywisty upublicznia dotyczące go dane.
Umowa jako podstawa prawna
W dalszej części wyroku TSUE zbadał, czy przetwarzanie danych osobowych przez Meta, można uznać za zgodnie z prawem, jeśli nie uzyskano zgody osoby, której dane dotyczą. Trybunał uznał tutaj, że na konieczność wykonania umowy jako podstawę prawną przetwarzania danych osobowych, można się powołać jedynie w przypadku, w którym przetwarzanie danych jest obiektywnie niezbędne oraz główny cel umowy nie mógłby być bez tego osiągnięty. Wskazał też, że personalizacja reklam nie może być uznana za uzasadniony interes prawny.
UOKiK i UODO?
Wyrok TSUE, choć stanowi pewną furtkę dla rozszerzenia kompetencji organów ochrony konkurencji, w praktyce nie oznacza, że europejskie odpowiedniki UOKiK masowo będą sprawdzały zgodność działań przedsiębiorstw z RODO. Jest to bowiem jedynie element szerszego postępowania. Pamiętać też należy o zasadzie lojalnej współpracy z krajowymi organami nadzorczymi w zakresie ochrony danych osobowych.
