Zgoda użytkowników sieci społecznościowej na przetwarzanie danych osobowych przez operatora

Art. 6 ust. 1 akapit pierwszy lit. a) i art. 9 ust. 2 lit. a) RODO należy interpretować w ten sposób, że okoliczność polegająca na tym, iż operator internetowej sieci społecznościowej zajmuje pozycję dominującą na rynku internetowych sieci społecznościowych, nie stoi sama w sobie na przeszkodzie temu, by użytkownicy takiej sieci mogli skutecznie wyrazić zgodę, w rozumieniu art. 4 pkt 11 tego rozporządzenia, na przetwarzanie ich danych osobowych przez tego operatora. Niemniej jednak okoliczność ta stanowi element istotny dla ustalenia tego, czy zgoda ta została rzeczywiście udzielona skutecznie i – w szczególności – dobrowolnie, czego udowodnienie należy do tego operatora.

Okoliczność taka powinna być brana pod uwagę przy ocenie ważności i – w szczególności – dobrowolności zgody udzielanej przez użytkownika tej sieci, skoro może ona mieć wpływ na swobodę wyboru tego użytkownika, który mógłby nie być w stanie odmówić lub wycofać zgody bez niekorzystnych dla siebie konsekwencji, tak jak zostało to wskazane w motywie 42 RODO.

Ponadto istnienie pozycji dominującej może skutkować powstaniem wyraźnego braku równowagi, w rozumieniu motywu 43 RODO, między osobą, której dane dotyczą, a administratorem danych, który to brak równowagi sprzyja w szczególności narzucaniu warunków, które nie są ściśle konieczne do wykonania umowy, co należy uwzględnić zgodnie z art. 7 ust. 4 tego rozporządzenia. W tym kontekście należy przypomnieć, że nie wydaje się – z zastrzeżeniem weryfikacji, jakie powinien przeprowadzić sąd odsyłający – by przetwarzanie rozpatrywane w postępowaniu głównym było ściśle konieczne do wykonania umowy między Meta Platforms Ireland a użytkownikami sieci społecznościowej Facebook.

Użytkownicy powinni mieć swobodę odmówienia indywidualnie, w ramach procesu zmierzającego do zawarcia umowy, wyrażenia zgody na poszczególne operacje przetwarzania danych, które nie są niezbędne do wykonania umowy, przy czym nie są oni jednak zobowiązani do całkowitego zrezygnowania z korzystania z usługi oferowanej przez operatora internetowej sieci społecznościowej, co oznacza, że użytkownikom tym oferuje się, w stosownym przypadku za odpowiednim wynagrodzeniem, równoważną alternatywę, która nie jest powiązana z takimi operacjami przetwarzania danych.

Zważywszy na skalę omawianego przetwarzania danych oraz na istotny wpływ, jaki wywiera ono na użytkowników tej sieci, a także na okoliczność, że użytkownicy ci wcale nie mogą racjonalnie spodziewać się tego, że operator sieci społecznościowej będzie przetwarzał dane inne niż te dotyczące ich zachowania w ramach tej sieci, należy uznać za stosowne, w rozumieniu motywu 43, udzielenie odrębnej zgody na przetwarzanie z jednej strony tych właśnie danych oraz z drugiej strony danych off‑Facebook. Do sądu odsyłającego należy zweryfikowanie istnienia takiej możliwości, w braku której należałoby domniemywać, że zgoda wspomnianych użytkowników na przetwarzanie danych off‑Facebook nie została udzielona dobrowolnie.

Zgodnie z art. 7 ust. 1 RODO w przypadku gdy przetwarzanie odbywa się na podstawie zgody, obowiązek wykazania, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie dotyczących jej danych osobowych, spoczywa na administratorze.

To w świetle tych kryteriów i szczegółowej analizy wszystkich okoliczności sprawy do sądu odsyłającego będzie należało ustalenie, czy użytkownicy sieci społecznościowej Facebook skutecznie i – w szczególności – dobrowolnie wyrazili zgodę na przetwarzanie rozpatrywane w postępowaniu głównym.

Wyrok TSUE z dnia 4 lipca 2023 r., C-252/21

Standard: 84143 (pełna treść orzeczenia)