Spis treści:
1. Meta Platforms vs. Bundeskartellamt, (wyrok z dn. 4 lipca 2023, sygn. akt: C-252/21)
2. Ustalenia TSUE dot. stwierdzania naruszeń RODO przez inne organy
3. Wnioski TSUE dot. mediów społecznościowych a RODO
4. UOKiK może sprawdzić RODO – praktyczne konsekwencje
Na początku lipca b.r. głośno zrobiło się o postępowaniu przez Urzędem Ochrony Konkurencji i Konsumentów w kontekście naruszeń przepisów RODO (ochrona danych osobowych). Wszystko za sprawą wyroku Trybunału Sprawiedliwości Unii Europejskiej, który rozstrzygał, czy lokalny urząd zajmujący się badaniem pozycji dominującej przedsiębiorcy na gruncie ochrony konkurencji (w Polsce jest to właśnie UOKiK) może w ramach prowadzonego postępowania weryfikować również naruszenia przepisów RODO. Wątpliwość dotyczyła tego, czy kwestie te nie powinny być zastrzeżone wyłącznie dla organu nadzorczego w zakresie ochrony danych osobowych.
Stan faktyczny: Meta Platforms vs. Bundeskartellamt, (wyrok z dn. 4 lipca 2023, sygn. akt: C-252/21)
Rozstrzygnięcie Trybunału zapadło na tle następującej sprawy. Niemiecki federalny urząd ochrony konsumentów (Bundeskartellamt – odpowiednik naszego UOKiK) prowadził sprawę o nadużycie pozycji dominującej przez przedsiębiorcę. Zakwestionowana praktyka przedsiębiorcy polegała na wymuszeniu zgody na przesyłanie zintegrowanych danych osobowych na potrzeby w szczególności personalizacji reklam i marketingu bezpośredniego. Zdaniem organu rozpatrującego sprawę, stanowiło to naruszenie zasad konkurencji wynikające z nadużycia pozycji dominującej na rynku. Organ miał jednak wątpliwość, czy skoro zidentyfikowane naruszenie dotyczy danych osobowych, a w sprawach tych jest dedykowany odrębny organ nadzorczy, to czy w tym zakresie Bundeskartellamt może wiążąco się wypowiadać.
Ustalenia TSUE dot. stwierdzania naruszeń RODO przez inne organy
Trybunał Sprawiedliwości UE w rozstrzygnięciu analizowanej sprawy wskazał, że badanie pozycji dominującej przedsiębiorcy może opierać się nie tylko na przepisach o prawie konkurencji, ale także na innych regulacjach, w tym RODO — ale wyłącznie w takim zakresie, w jakim jest to konieczne do stwierdzenia nadużycia pozycji dominującej. Wyjście poza te ramy byłoby oczywistym przekroczeniem kompetencji. Organ ochrony konkurencji nie może tym samym oceniać innych naruszeń RODO, które byłyby bez związku z prowadzonym postępowaniem.
Podkreślono również, że skoro ocena zgodności z przepisami o ochronie danych osobowych leży w gestii innego organu, organ rozpatrujący sprawę powinien zweryfikować, czy dana kwestia była już przedmiotem rozstrzygnięcia i zachować spójność w tym zakresie. Jeżeli dana sytuacja była już przedmiotem oceny, to rozstrzygnięcia takiego nie można pominąć i dokonać własnych ustaleń. TSUE dostrzega potrzebę współpracy między organami stojącymi na straży ochrony konkurencji i ochrony prywatności.
Wnioski TSUE dot. mediów społecznościowych a RODO
Aby zachować ową spójność interpretacyjną przepisów RODO, o której mowa powyżej, TSUE wypowiedział się również w zakresie konkretnych okoliczności faktycznych sprawy. Streszczenie co ciekawszych ustaleń w kontekście działalności social mediów przedstawiam poniżej.
1. Mimo, iż przeglądanie stron www, reagowanie na ich zawartość (np. lajkowanie itp.) czy pisanie komentarzy może prowadzić do ujawnienia danych wrażliwych, to działania takie nie mogą być stanowią ich upublicznienia w sposób oczywisty (czyli nie możemy się powołać na art. 9 ust. 2 lit. e RODO). Takie oczywiste upublicznienie może mieć jednak miejsce wtedy, gdy osoba, której dane dotyczą wcześniej wyraziła wyraźną zgodę na publiczne udostępnianie swych danych nieograniczonej liczbie osób.
2. Wykonanie umowy jest podstawą przetwarzania danych osobowych tylko wtedy, jeżeli jest rzeczywiście niezbędne, a cel umowy nie byłby osiągnięty bez owego przetwarzania (mamy tu zatem pełną realizację zasady celowości przetwarzania i minimalizacji danych).
3. Personalizacja treści reklam może opierać się na uzasadnionym interesie (art. 6 ust. 1 lit. f RODO), ale tylko przy spełnieniu łącznie następujących przesłanek:
- administrator wskazał użytkownikom, od których dane zostały pozyskane, prawnie uzasadniony interes, do którego realizacji służy przetwarzanie tych danych;
- przetwarzanie odbywa się w granicach tego, co jest absolutnie niezbędne do realizacji tego prawnie uzasadnionego interesu,
- wykonano tzw. test równowagi,
- z wyważenia przeciwstawnych interesów użytkowników (jako podmiotów danych) wynika, że interesy lub podstawowe prawa i wolności użytkowników nie mają pierwszeństwa przed tym prawnie uzasadnionym interesem administratora lub osoby trzeciej.
Jeżeli przesłanki te nie są spełnione, personalizacja reklam powinna opierać się na wyraźnej zgodzie użytkownika.
4. Posiadanie przez administratora pozycji dominującej nie wyklucza swobody w udzieleniu zgody na przetwarzanie danych, jednak ów brak równowagi między podmiotem danych a administratorem może prowadzić do zakwestionowania dobrowolności jej wyrażenia.
UOKiK może sprawdzić RODO – praktyczne konsekwencje
Przenosząc powyższe na grunt polskich regulacji, TSUE przesądził, że jeżeli w postępowaniu przed UOKiK pojawi się kwestia związana z ochroną danych osobowych, to pod pewnymi warunkami UOKiK będzie mógł ją rozstrzygnąć we własnym zakresie. Nie będzie trzeba wszczynać odrębnego postępowania przed PUODO do stwierdzenia takiego naruszenia. Należy jednak mieć na uwadze, że rozstrzygnięcie UOKiK musi dotyczyć kwestii związanych z ochroną konkurencji i być spójne ze stanowiskiem PUODO w tym zakresie. Zarówno PUODO jak i UOKiK powinny zatem ściśle współpracować.