None
72


In dit verband staat het aan de verwijzende rechter om vast te stellen of uit de aldus verzamelde gegevens, op zichzelf of door ze te koppelen aan de Facebookaccounts van de betrokken gebruikers, daadwerkelijk dergelijke informatie kan blijken, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon. Gelet op de vragen van deze rechter moet er evenwel op worden gewezen dat, onder voorbehoud van de door hem te verrichten verificaties, dergelijke informatie in bepaalde gevallen al bij de verwerking van gegevens over de bezoeken aan de betrokken websites of apps aan het licht kan komen, zonder dat deze gebruikers daar informatie invoeren door zich te registreren of online bestellingen te plaatsen.
 73


Gelet op een en ander moet op de tweede vraag, onder a), worden geantwoord dat artikel 9, lid 1, AVG aldus moet worden uitgelegd dat wanneer een gebruiker van een online sociaal netwerk websites of apps bezoekt die met een of meer van de in die bepaling bedoelde categorieën verband houden, en in voorkomend geval daar gegevens invoert door zich te registreren of online bestellingen te plaatsen, de verwerking van persoonsgegevens door de exploitant van dat online sociale netwerk waarbij deze exploitant, door middel van geïntegreerde interfaces, cookies of soortgelijke registratietechnologieën, de gegevens die voortvloeien uit de bezoeken aan die websites en apps alsook de gegevens die door de gebruiker zijn ingevoerd verzamelt, al deze gegevens koppelt aan het account van deze laatste bij het online sociale netwerk en die gegevens gebruikt, moet worden beschouwd als een „verwerking van bijzondere categorieën persoonsgegevens” in de zin van die bepaling die, behoudens de in artikel 9, lid 2, bepaalde uitzonderingen, in beginsel verboden is, wanneer bij deze gegevensverwerking informatie aan het licht kan komen die onder een van deze categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon.
Tweede vraag, onder b)






74


Met betrekking tot de tweede vraag, onder b), zoals die in punt 65 van dit arrest is geherformuleerd en die betrekking heeft op de uitzondering van artikel 9, lid 2, onder e), AVG, moet in herinnering worden gebracht dat volgens deze bepaling het in artikel 9, lid 1, neergelegde principiële verbod op elke verwerking van bijzondere categorieën van persoonsgegevens niet van toepassing is wanneer de verwerking betrekking heeft op persoonsgegevens die „kennelijk door de betrokkene openbaar zijn gemaakt”.
 75


Ten eerste moet worden opgemerkt dat deze uitzondering alleen van toepassing is op gegevens die „door de betrokkene” kennelijk openbaar zijn gemaakt. Deze uitzondering is dus niet van toepassing op gegevens die betrekking hebben op andere personen dan degenen die deze gegevens openbaar hebben gemaakt.
76


Ten tweede moet artikel 9, lid 2, AVG, voor zover daarin een uitzondering is opgenomen op het beginsel dat de verwerking van bijzondere categorieën persoonsgegevens verboden is, restrictief worden uitgelegd (zie in die zin arresten van 17 september 2014, Baltic Agro, C‑3/13, EU:C:2014:2227, punt 24 en aldaar aangehaalde rechtspraak, en 6 juni 2019, Weil, C‑361/18, EU:C:2019:473, punt 43 en aldaar aangehaalde rechtspraak).
77


Ter toepassing van de uitzondering van artikel 9, lid 2, onder e), AVG moet daarom worden nagegaan of de betrokkene de aan de orde zijnde persoonsgegevens uitdrukkelijk en door middel van een ondubbelzinnige actieve handeling voor een breed publiek toegankelijk heeft willen maken.
78


In dit verband moet worden vastgesteld dat als de betrokken gebruiker websites of apps bezoekt die met een of meer van de in artikel 9, lid 1, AVG bedoelde categorieën verband houden, hij daarmee geenszins beoogt ruchtbaarheid te geven aan het feit dat hij die websites of apps heeft bezocht, en evenmin aan de gegevens over deze bezoeken die aan zijn persoon kunnen worden gekoppeld. Deze gebruiker hoeft er immers hoogstens rekening mee te houden dat de beheerder van de website of de app toegang heeft tot die gegevens en deze in voorkomend geval en onder voorbehoud van zijn uitdrukkelijke toestemming deelt met bepaalde derden en niet met het grote publiek.
 79


Uit het enkele feit dat een gebruiker dergelijke websites of apps heeft bezocht, kan dus niet worden afgeleid dat de bedoelde persoonsgegevens door die gebruiker kennelijk openbaar zijn gemaakt in de zin van artikel 9, lid 2, onder e), AVG.
80


Aangaande het invoeren van gegevens op die websites of apps en het aanklikken van daarin geïntegreerde selectieknoppen – zoals de knoppen „vind ik leuk” of „delen”, of de knoppen waarmee de gebruiker zich op een website of een app kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn Facebook-gebruikersaccount, zijn telefoonnummer of zijn e-mailadres – moet worden opgemerkt dat deze handelingen wijzen op interactie tussen die gebruiker en de betrokken website of app alsmede in voorkomend geval de website van het online sociale netwerk. De openbaarmaking van deze interactie kan verschillende vormen aannemen aangezien de gebruiker de openbaarheidsinstellingen persoonlijk kan configureren.
81


In die omstandigheden staat het aan de verwijzende rechter om na te gaan of de betrokken gebruikers de mogelijkheid hebben om op basis van een met kennis van zaken uitgevoerde configuratie te beslissen om de gegevens die zij op de betrokken websites of apps hebben ingevoerd alsook de gegevens die voortvloeien uit het aanklikken van de selectieknoppen, toegankelijk te maken voor het grote publiek dan wel, integendeel, alleen voor een min of meer beperkt aantal geselecteerde personen.
 82


Wanneer de betrokken gebruikers daadwerkelijk een dergelijke keuze hebben, kunnen zij, wanneer zij vrijwillig gegevens op een website of app invoeren of daarin geïntegreerde selectieknoppen aanklikken, alleen worden geacht hen betreffende gegevens kennelijk openbaar te maken in de zin van artikel 9, lid 2, onder e), AVG wanneer zij op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie duidelijk hun keuze te kennen hebben gegeven om deze gegevens toegankelijk te maken voor een onbeperkt aantal personen, hetgeen de verwijzende rechter dient na te gaan.
83


Indien daarentegen geen zodanige individuele configuratie wordt aangeboden, moet, gelet op hetgeen in punt 77 van dit arrest is uiteengezet, worden geoordeeld dat gebruikers die vrijwillig gegevens op een website of app invoeren of daarin geïntegreerde selectieknoppen aanklikken, slechts kunnen worden geacht deze gegevens kennelijk openbaar te hebben gemaakt indien zij er op basis van expliciete informatie die op die website of app voorafgaand aan dit invoeren of aanklikken werd verstrekt, uitdrukkelijk mee hebben ingestemd dat die gegevens kunnen worden bekeken door eenieder die tot die website of app toegang heeft.
84


Gelet op een en ander moet op de tweede vraag, onder b), worden geantwoord dat artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat een gebruiker van een online sociaal netwerk die websites of apps bezoekt die met een of meer van de in artikel 9, lid 1, AVG bedoelde categorieën verband houden, de gegevens over deze bezoeken die door de exploitant van dit online sociale netwerk via cookies of soortgelijke registratietechnologieën worden verzameld niet kennelijk openbaar maakt in de zin van eerstgenoemde bepaling.
 85


Wanneer zo’n gebruiker op dergelijke websites of apps gegevens invoert of wanneer hij in die websites en apps geïntegreerde selectieknoppen aanklikt – zoals de knoppen „vind ik leuk” of „delen”, of de knoppen waarmee hij zich op deze websites of apps kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn gebruikersaccount van het online sociale netwerk, zijn telefoonnummer of zijn e-mailadres –, maakt hij de aldus ingevoerde of uit het aanklikken van deze knoppen voortvloeiende gegevens slechts kennelijk openbaar in de zin van dat artikel 9, lid 2, onder e), wanneer hij vooraf uitdrukkelijk zijn keuze kenbaar heeft gemaakt, in voorkomend geval op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie, om de hem betreffende gegevens openbaar te maken voor een onbeperkt aantal personen.
 Derde tot en met vijfde prejudiciële vraag







86


Met zijn derde en vierde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in essentie te vernemen of en onder welke voorwaarden artikel 6, lid 1, eerste alinea, onder b) en f), AVG aldus moet worden uitgelegd dat de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, noodzakelijk kan worden geacht voor de uitvoering van een overeenkomst waarbij de betrokkenen partij zijn in de zin van punt b) of voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van punt f). Deze rechter vraagt zich met name af of bepaalde door hem uitdrukkelijk genoemde belangen daartoe een „gerechtvaardigd belang” in de zin van laatstgenoemde bepaling vormen.
 87


Met zijn vijfde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 6, lid 1, eerste alinea, onder c) tot en met e), AVG aldus moet worden uitgelegd dat een dergelijke verwerking van persoonsgegevens kan worden geacht noodzakelijk te zijn voor de nakoming van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust in de zin van punt c), om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen in de zin van punt d), of voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen in de zin van punt e), wanneer de verwerking wordt verricht om respectievelijk te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens, om schadelijke gedragingen te bestrijden en de veiligheid te bevorderen alsook voor doeleinden van onderzoek ten behoeve van het welzijn van de maatschappij en om de bescherming, integriteit en veiligheid te bevorderen.
 Opmerkingen vooraf






88


Vooraf moet ten eerste worden opgemerkt dat de derde tot en met de vijfde vraag zijn gesteld omdat volgens de vaststellingen van het Bundeskartellamt in zijn besluit van 6 februari 2019 niet kan worden geoordeeld dat de gebruikers van het online sociale netwerk Facebook toestemming hebben gegeven voor de verwerking van de in het hoofdgeding aan de orde zijnde gegevens in de zin van artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), AVG. In deze context is de verwijzende rechter van mening dat hij moet nagaan of die verwerking voldoet aan een van de andere in dat artikel 6, lid 1, eerste alinea, onder b) tot en met f), van deze verordening gestelde rechtmatigheidsvoorwaarden, al legt hij het Hof met betrekking tot die premisse zijn zesde vraag voor.
89


In dit verband moet worden opgemerkt dat het in de derde tot en met de vijfde vraag bedoelde verzamelen, koppelen en gebruiken van gegevens handelingen betreft die betrekking kunnen hebben op zowel gevoelige gegevens in de zin van artikel 9, lid 1, AVG als niet-gevoelige gegevens. Er moet echter duidelijk worden gemaakt dat wanneer dergelijke handelingen worden verricht met betrekking tot een gegevensverzameling bestaande uit zowel gevoelige als niet-gevoelige gegevens en al deze gegevens met name als één geheel bijeen worden gebracht zonder dat zij op het moment waarop dat gebeurt van elkaar kunnen worden gescheiden, de verwerking van de hele gegevensverzameling moet worden geacht verboden te zijn in de zin van artikel 9, lid 1, AVG, aangezien al die gegevens bij elkaar ten minste één gevoelig gegeven bevatten en geen van de in artikel 9, lid 2, van deze verordening bedoelde uitzonderingen van toepassing is.
 90


Ten tweede moet ter beantwoording van de derde tot en met de vijfde vraag in herinnering worden gebracht dat artikel 6, lid 1, eerste alinea, AVG een uitputtende en limitatieve lijst bevat van de gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden beschouwd. Een dergelijke verwerking kan dus alleen als rechtmatig worden aangemerkt indien deze valt onder een van de in deze bepaling bedoelde gevallen [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 99 en aldaar aangehaalde rechtspraak].
91


Volgens artikel 6, lid 1, eerste alinea, onder a), van deze verordening is de verwerking van persoonsgegevens alleen rechtmatig indien en voor zover de betrokkene daarvoor toestemming heeft gegeven voor een of meer specifieke doeleinden.
92


Bij gebreke van een dergelijke toestemming of wanneer die toestemming niet vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven in de zin van artikel 4, punt 11, AVG, is de verwerking niettemin gerechtvaardigd wanneer is voldaan aan een van de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), van deze verordening genoemde voorwaarden waarbij er sprake is van noodzakelijkheid.
93


In deze context moeten de in deze laatste bepaling bedoelde rechtvaardigingsgronden restrictief worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven [zie in die zin arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punt 73 en aldaar aangehaalde rechtspraak].
 94


Bovendien hoeft, zoals het Hof heeft geoordeeld, wanneer kan worden vastgesteld dat een verwerking van persoonsgegevens noodzakelijk is in het licht van een van de rechtvaardigingsgronden van artikel 6, lid 1, eerste alinea, onder b) tot en met f), AVG, niet te worden nagegaan of die verwerking ook onder een andere van die rechtvaardigingsgronden valt (zie in die zin arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 71).
95


Ten slotte moet worden verduidelijkt dat het volgens artikel 5 AVG aan de verwerkingsverantwoordelijke staat om te bewijzen dat deze gegevens met name voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en dat zij worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Bovendien moet de verwerkingsverantwoordelijke, wanneer bij de betrokkene persoonsgegevens worden verzameld, hem overeenkomstig artikel 13, lid 1, onder c), informatie verstrekken over de verwerkingsdoeleinden waarvoor deze gegevens zijn bestemd en over de rechtsgrondslag voor die verwerking.
96


Het staat weliswaar aan de verwijzende rechter om te bepalen of de verschillende onderdelen van de in het hoofdgeding aan de orde zijnde verwerking gerechtvaardigd zijn omdat die noodzakelijk zijn om een van de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), AVG bedoelde redenen, maar het Hof kan hem niettemin nuttige aanwijzingen verschaffen om het bij hem aanhangige geding te kunnen beslechten.
Derde en vierde vraag






97


In de eerste plaats bepaalt artikel 6, lid 1, eerste alinea, onder b), AVG dat de verwerking van persoonsgegevens rechtmatig is indien zij „noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”.
 98


Om als noodzakelijk voor de uitvoering van een overeenkomst in de zin van die bepaling te kunnen worden beschouwd, moet de verwerking van persoonsgegevens objectief onontbeerlijk zijn om een doel te bereiken dat een integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie. De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.
99


Het feit dat een dergelijke verwerking in de overeenkomst is vermeld dan wel enkel nuttig is voor de uitvoering ervan, is in dit verband op zich irrelevant. Doorslaggevend voor de toepassing van de in artikel 6, lid 1, eerste alinea, onder b), AVG bedoelde rechtvaardiging is immers dat de verwerking van persoonsgegevens door de verwerkingsverantwoordelijke essentieel is voor de correcte uitvoering van de tussen hem en de betrokkene gesloten overeenkomst en dat er dus geen bruikbare, minder ingrijpende alternatieven bestaan.
100


Zoals de advocaat-generaal in punt 54 van zijn conclusie heeft opgemerkt, moet de toepasselijkheid van artikel 6, lid 1, eerste alinea, onder b), AVG in de context van een overeenkomst die bestaat uit verschillende diensten of verschillende afzonderlijke elementen van dezelfde dienst die onafhankelijk van elkaar kunnen worden uitgevoerd, voor elk van deze diensten afzonderlijk worden beoordeeld.
101


In het onderhavige geval noemt de verwijzende rechter in het kader van de rechtvaardigingsgronden die binnen de werkingssfeer van deze bepaling kunnen vallen, als elementen waarmee de correcte uitvoering van de overeenkomst tussen Meta Platforms Ireland en haar gebruikers moet worden gewaarborgd, de personalisatie van de inhoud en het consistente en probleemloze gebruik van de diensten van het Metaconcern.
 102


Wat ten eerste de rechtvaardiging betreft die is gebaseerd op de personalisatie van de inhoud, moet worden opgemerkt dat een dergelijke personalisatie weliswaar nuttig is voor de gebruiker, met name omdat hij daardoor grotendeels inhoud kan bekijken waar hij belangstelling voor heeft, maar, onder voorbehoud van verificatie door de verwijzende rechter, niet noodzakelijk lijkt om hem de diensten van het online sociale netwerk aan te bieden. In voorkomend geval kan hem voor deze diensten een gelijkwaardig alternatief worden verstrekt waarvoor een dergelijke personalisatie niet nodig is, zodat deze niet objectief onontbeerlijk is voor een doel dat integrerend deel uitmaakt van die diensten.
103


Wat ten tweede de rechtvaardiging betreft die is gebaseerd op het consistente en probleemloze gebruik van de diensten van het Metaconcern, blijkt uit het dossier waarover het Hof beschikt dat een persoon niet verplicht is om zich op de verschillende diensten van dat concern te abonneren om een gebruikersaccount voor het online sociale netwerk Facebook te kunnen aanmaken. De verschillende producten en diensten die door dit concern worden aangeboden kunnen immers onafhankelijk van elkaar worden gebruikt en voor elk product of elke dienst moet een afzonderlijke gebruiksovereenkomst worden gesloten.
104


Onder voorbehoud van verificatie door de verwijzende rechter lijkt de verwerking van persoonsgegevens die afkomstig zijn van andere diensten van het Metaconcern dan het online sociale netwerk, dus niet noodzakelijk te zijn om laatstbedoelde dienst te kunnen aanbieden.
 105


In de tweede plaats is volgens artikel 6, lid 1, eerste alinea, onder f), AVG de verwerking van persoonsgegevens rechtmatig voor zover die „noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”.
106


Zoals het Hof reeds heeft geoordeeld, worden in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerkingen van persoonsgegevens rechtmatig zijn, te weten, ten eerste, de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of van een derde, ten tweede, de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, ten derde, de voorwaarde dat de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde (arrest van 17 juni 2021, M.I.C.M., C‑597/19, EU:C:2021:492, punt 106 en aldaar aangehaalde rechtspraak).
107


Wat ten eerste de voorwaarde inzake de behartiging van een gerechtvaardigd belang betreft, moet worden verduidelijkt dat het volgens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om bij een verwerking die is gebaseerd op artikel 6, lid 1, eerste alinea, onder f), van deze verordening, de betrokken persoon op het moment waarop persoonsgegevens bij hem worden verzameld, mee te delen welke gerechtvaardigde belangen worden nagestreefd.
 108


Ten tweede verplicht de voorwaarde van een verwerking van persoonsgegevens die noodzakelijk is voor de behartiging van het gerechtvaardigde belang, de verwijzende rechter ertoe om na te gaan of het gerechtvaardigde belang dat bestaat bij de verwerking van de gegevens redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die in mindere mate afbreuk doen aan de grondrechten en de fundamentele vrijheden van de betrokkenen, in het bijzonder aan het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens zoals die door de artikelen 7 en 8 van het Handvest worden gewaarborgd [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 110 en aldaar aangehaalde rechtspraak].
109


In dit verband zij er tevens aan herinnerd dat de voorwaarde inzake de noodzaak van de verwerking moet worden onderzocht in samenhang met het zogenoemde beginsel van „minimale gegevensverwerking” van artikel 5, lid 1, onder c), AVG op grond waarvan persoonsgegevens „toereikend [moeten] zijn, ter zake dienend en beperkt [...] tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt” (zie in die zin arrest van 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, punt 48).
 110


Wat ten derde de voorwaarde betreft volgens welke de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder mogen wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, heeft het Hof reeds geoordeeld dat deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert die in beginsel afhangt van de omstandigheden van het concrete geval, en dat het bijgevolg aan de verwijzende rechter staat om bij deze afweging rekening te houden met die specifieke omstandigheden (arrest van 17 juni 2021, M.I.C.M., C‑597/19, EU:C:2021:492, punt 111 en aldaar aangehaalde rechtspraak).
111


In dit verband blijkt uit de tekst zelf van artikel 6, lid 1, eerste alinea, onder f), AVG dat ingeval de betrokkene een kind is, daar bij een dergelijke afweging bijzondere aandacht aan moet worden besteed. Volgens overweging 38 van deze verordening hebben kinderen immers recht op specifieke bescherming bij de verwerking van hun persoonsgegevens, aangezien zij zich allicht minder bewust zijn van de betrokken risico’s, gevolgen en waarborgen en van hun rechten in verband met een dergelijke verwerking van persoonsgegevens. Zo’n bijzondere bescherming moet dus met name gelden voor de verwerking van persoonsgegevens van kinderen voor marketingdoeleinden of voor het opstellen van persoonlijkheids- of gebruikersprofielen of het aanbieden van diensten die rechtstreeks op kinderen zijn gericht.
112


Bovendien kunnen, zoals blijkt uit overweging 47 AVG, de belangen en de grondrechten van de betrokkene met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen een dergelijke verwerking redelijkerwijs niet verwachten.
 113


In het onderhavige geval verwijst de verwijzende rechter in het kader van de rechtvaardigingsgronden die binnen de werkingssfeer van artikel 6, lid 1, eerste alinea, onder f), AVG kunnen vallen, naar de personalisatie van reclame, netwerkveiligheid, productverbetering, het informeren van autoriteiten die bevoegd zijn voor strafrechtelijke vervolging en de tenuitvoerlegging van straffen, het feit dat de gebruiker minderjarig is, onderzoek en innovatie voor het maatschappelijk belang, alsook het op adverteerders en andere professionele partners gerichte aanbod van diensten op het gebied van marketingcommunicatie met de gebruiker en van middelen voor de analyse van hun prestaties.
114


In dit verband moet om te beginnen worden opgemerkt dat in het verzoek om een prejudiciële beslissing niet wordt toegelicht in welk opzicht onderzoek en innovatie voor het maatschappelijk belang of het feit dat de gebruiker minderjarig is, gerechtvaardigde belangen in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG kunnen vormen op grond waarvan de betrokken gegevens mogen worden verzameld en geëxploiteerd. Bijgevolg kan het Hof zich hier niet over uitspreken.
115


Wat ten eerste de personalisatie van reclame betreft, moet worden opgemerkt dat de verwerking van persoonsgegevens voor direct marketing volgens overweging 47 van deze verordening kan worden beschouwd als een verwerking die tegemoetkomt aan een gerechtvaardigd belang van de verwerkingsverantwoordelijke.
 116


Een dergelijke verwerking moet echter ook noodzakelijk zijn voor de behartiging van dat belang, en de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene mogen niet zwaarder wegen dan dat belang. In het kader van deze afweging van de tegengestelde rechten en belangen in kwestie – namelijk die van de verwerkingsverantwoordelijke enerzijds en die van de betrokkene anderzijds – moet, zoals in punt 112 van dit arrest is opgemerkt, met name rekening worden gehouden met de redelijke verwachtingen van de betrokkene alsook met de omvang van de verwerking en de gevolgen ervan voor die persoon.
117


In dit verband moet worden opgemerkt dat de gebruiker van een online sociaal netwerk zoals Facebook, ondanks het feit dat de diensten van dat netwerk kosteloos zijn, er redelijkerwijs geen rekening mee hoeft te houden dat de exploitant van dit sociale netwerk zijn persoonsgegevens zonder zijn toestemming verwerkt ten behoeve van de personalisatie van reclame. In die omstandigheden moet worden geoordeeld dat de belangen en grondrechten van een dergelijke gebruiker zwaarder wegen dan het belang van die exploitant bij een dergelijke personalisatie van de reclame waarmee hij zijn activiteiten financiert, zodat de verwerking die hij voor dergelijke doeleinden verricht, niet onder artikel 6, lid 1, eerste alinea, onder f), AVG kan vallen.
118


Bovendien is de in het hoofdgeding aan de orde zijnde verwerking bijzonder omvangrijk, aangezien deze een potentieel onbeperkt aantal gegevens kan betreffen en ingrijpende gevolgen heeft voor de gebruiker, wiens online activiteiten grotendeels of zelfs bijna helemaal door Meta Platforms Ireland worden gevolgd, hetgeen hem het gevoel kan geven dat zijn privéleven voortdurend in de gaten wordt gehouden.
 119


Ten tweede vormt de doelstelling de netwerkbeveiliging te waarborgen, zoals in overweging 49 AVG staat te lezen, een legitiem belang van Meta Platforms Ireland dat de in het hoofdgeding aan de orde zijnde verwerking kan rechtvaardigen.
120


Wat de noodzaak van deze verwerking voor de behartiging van dit gerechtvaardigde belang betreft, zal de verwijzende rechter evenwel moeten nagaan of en in hoeverre de verwerking van persoonsgegevens die zijn verzameld uit bronnen van buiten het online sociale netwerk Facebook, daadwerkelijk noodzakelijk is om te verzekeren dat de interne veiligheid van dat netwerk niet in gevaar wordt gebracht.
121


In deze context zal hij, zoals in de punten 108 en 109 van dit arrest is uiteengezet, ook moeten nagaan of het gerechtvaardigde belang van de gegevensverwerking redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die minder inbreuk maken op de grondrechten en de fundamentele vrijheden van de betrokkenen en in het bijzonder op het door de artikelen 7 en 8 van het Handvest gewaarborgde recht op eerbiediging van het privéleven en op bescherming van persoonsgegevens, en of het in artikel 5, lid 1, onder c), AVG neergelegde beginsel van „minimale gegevensverwerking” in acht is genomen.
122


Wat ten derde de doelstelling van productverbetering betreft, valt niet bij voorbaat uit te sluiten dat het belang van de verwerkingsverantwoordelijke om zijn product of dienst te verbeteren teneinde ervoor te zorgen dat de prestaties ervan toenemen en het product of de dienst dus aantrekkelijker wordt, een legitiem belang kan vormen dat een verwerking van persoonsgegevens kan rechtvaardigen, en dat een dergelijke verwerking noodzakelijk kan zijn voor de behartiging van dat belang.
 123


Bij de in het hoofdgeding aan de orde zijnde gegevensverwerking lijkt het, onder voorbehoud van de definitieve beoordeling die in dit verband door de verwijzende rechter moet worden verricht, evenwel twijfelachtig of het doel van productverbetering, gelet op de omvang van de verwerking en de ingrijpende gevolgen ervan voor de gebruiker, alsook op de omstandigheid dat deze laatste er redelijkerwijs geen rekening mee hoeft te houden dat die gegevens door Meta Platforms Ireland worden verwerkt, zwaarder kan wegen dan de belangen en grondrechten van die gebruiker, vooral wanneer het daarbij om een kind gaat.
124


Aangaande ten vierde de door de verwijzende rechter genoemde doelstelling om de autoriteiten die bevoegd zijn voor de strafrechtelijke vervolging en de tenuitvoerlegging van straffen te informeren teneinde strafbare feiten te voorkomen, op te sporen en te vervolgen, moet worden vastgesteld dat bij deze doelstelling in beginsel geen sprake is van de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG. Een particuliere marktdeelnemer als Meta Platforms Ireland kan zich immers niet beroepen op een dergelijk gerechtvaardigd belang dat niets te maken heeft met zijn economische en commerciële activiteit. Daarentegen kan de verwerking die een dergelijke marktdeelnemer verricht door deze doelstelling worden gerechtvaardigd wanneer zij objectief noodzakelijk is om te voldoen aan een wettelijke verplichting die op deze marktdeelnemer rust.
 125


Gelet op een en ander moet op de derde en de vierde vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder b), AVG aldus moet worden uitgelegd dat de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, slechts noodzakelijk kan worden geacht voor de uitvoering van een overeenkomst waarbij de betrokkenen partij zijn in de zin van deze bepaling, indien die verwerking objectief onontbeerlijk is om een doel te bereiken dat een integrerend deel uitmaakt van de aan deze gebruikers te leveren contractuele prestatie, zodat het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.
126


Artikel 6, lid 1, eerste alinea, onder f), AVG moet aldus worden uitgelegd dat een dergelijke verwerking slechts noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van deze bepaling indien die exploitant de gebruikers bij wie de gegevens zijn verzameld, heeft meegedeeld dat er met de verwerking een gerechtvaardigd belang wordt behartigd, indien deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat belang strikt noodzakelijk is en indien uit een afweging van de tegengestelde belangen in het licht van alle relevante omstandigheden blijkt dat de belangen of grondrechten en fundamentele vrijheden van die gebruikers niet zwaarder wegen dan dit gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde.
 Vijfde vraag






127


In de eerste plaats moet er, voor zover deze vraag betrekking heeft op artikel 6, lid 1, eerste alinea, onder c) en e), AVG, aan worden herinnerd dat de verwerking van persoonsgegevens op grond van punt c) rechtmatig is indien die noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Voorts is de verwerking volgens punt e) ook rechtmatig als zij noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
128


In artikel 6, lid 3, AVG wordt met betrekking tot deze twee gevallen waarin de verwerking rechtmatig is, met name gepreciseerd dat de verwerking haar grondslag moet vinden in het Unierecht of het lidstatelijke recht dat op de verwerkingsverantwoordelijke van toepassing is, alsmede dat deze rechtsgrond moet beantwoorden aan een doelstelling van algemeen belang en evenredig moet zijn met het nagestreefde gerechtvaardigde doel.
129


In het onderhavige geval wenst de verwijzende rechter te vernemen of een verwerking van persoonsgegevens als die welke in het hoofdgeding aan de orde is, kan worden geacht gerechtvaardigd te zijn in het licht van artikel 6, lid 1, eerste alinea, onder c), AVG, wanneer daarmee wordt beoogd „te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens”, en in het licht van artikel 6, lid 1, eerste alinea, onder e), van deze verordening wanneer de verwerking „onderzoek ten behoeve van het welzijn van de maatschappij” tot doel heeft en ernaar wordt gestreefd „de bescherming, integriteit en veiligheid te bevorderen”.
130


Er moet evenwel worden vastgesteld dat die rechter het Hof niet de gegevens heeft verstrekt op basis waarvan het zich daarover concreet kan uitspreken.
 131


Het staat dus aan de verwijzende rechter om aan de hand van de in punt 128 van dit arrest genoemde voorwaarden na te gaan of de aangevoerde doelstellingen een rechtvaardiging voor die verwerking kunnen vormen.
132


In het bijzonder moet hij, gelet op hetgeen in punt 124 van dit arrest is opgemerkt, met het oog op de toepassing van artikel 6, lid 1, eerste alinea, onder c), AVG nagaan of Meta Platforms Ireland wettelijk verplicht is om preventief persoonsgegevens te verzamelen en te bewaren teneinde te kunnen voldoen aan elk verzoek waarbij een nationale autoriteit bepaalde gegevens over haar gebruikers opvraagt.
133


Evenzo staat het aan die rechter om in het licht van artikel 6, lid 1, eerste alinea, onder e), AVG te beoordelen of Meta Platforms Ireland is belast met een taak van openbaar belang of met een taak in het kader van de uitoefening van het openbaar gezag teneinde met name het onderzoek ten behoeve van het welzijn van de maatschappij te verzekeren en de bescherming, integriteit en veiligheid te bevorderen. Gezien de aard en het hoofdzakelijk economische en commerciële karakter van de activiteit van deze particuliere marktdeelneemster, lijkt het echter weinig waarschijnlijk dat zij met een dergelijke taak is belast.
134


Bovendien moet de verwijzende rechter in voorkomend geval nagaan of de door Meta Platforms Ireland verrichte gegevensverwerking binnen de grenzen van het strikt noodzakelijke blijft, gelet op de omvang van deze verwerking en de ingrijpende gevolgen ervan voor de gebruikers van het online sociale netwerk Facebook.
135


In de tweede plaats is in artikel 6, lid 1, eerste alinea, onder d), AVG bepaald dat de verwerking van persoonsgegevens rechtmatig is wanneer deze noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen.
 136


Zoals blijkt uit overweging 46 van deze verordening heeft deze bepaling betrekking op de bijzondere situatie waarin de verwerking van persoonsgegevens noodzakelijk is voor de bescherming van een belang dat voor het leven van de betrokkene of dat van een andere natuurlijke persoon essentieel is. Deze verordening citeert in dat verband als voorbeelden met name humanitaire doeleinden, zoals het monitoren van een epidemie en de verspreiding daarvan, en humanitaire noodsituaties, zoals natuurrampen of door de mens veroorzaakte rampen.
137


Uit deze voorbeelden en uit de strikte uitlegging die aan artikel 6, lid 1, eerste alinea, onder d), AVG moet worden gegeven, blijkt, gelet op de aard van de diensten van de exploitant van een online sociaal netwerk, dat een dergelijke exploitant – wiens activiteiten een hoofdzakelijk economisch en commercieel karakter hebben – zich niet kan beroepen op de bescherming van een belang dat voor het leven van zijn gebruikers of van een andere persoon essentieel is teneinde de rechtmatigheid van een gegevensverwerking als die welke in het hoofdgeding aan de orde is, volledig en op zuiver abstracte en preventieve wijze te rechtvaardigen.
 138


Gelet op een en ander moet op de vijfde vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder c), AVG aldus moet worden uitgelegd dat de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, op grond van deze bepaling gerechtvaardigd is wanneer zij daadwerkelijk noodzakelijk is om een wettelijke verplichting na te komen die krachtens een bepaling van Unierecht of het recht van de betrokken lidstaat op de verwerkingsverantwoordelijke rust, wanneer deze rechtsgrondslag beantwoordt aan een doelstelling van algemeen belang en evenredig is aan het nagestreefde gerechtvaardigde doel, en wanneer die verwerking binnen de grenzen van het strikt noodzakelijke blijft.
139


Artikel 6, lid 1, eerste alinea, onder d) en e), AVG moet aldus worden uitgelegd dat een dergelijke verwerking van persoonsgegevens in beginsel en onder voorbehoud van een door de verwijzende rechter te verrichten verificatie niet kan worden geacht noodzakelijk te zijn om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen in de zin van punt d), en evenmin voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen in de zin van punt e).
 Zesde vraag







140


Met zijn zesde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), AVG aldus moeten worden uitgelegd dat de toestemming die door de gebruiker van een online sociaal netwerk aan de exploitant van een dergelijk netwerk is gegeven kan worden geacht te voldoen aan de geldigheidsvoorwaarden van artikel 4, punt 11, van deze verordening, in het bijzonder de voorwaarde dat die toestemming vrijelijk wordt gegeven, wanneer die exploitant een machtspositie inneemt op de markt voor online sociale netwerken.
141


Artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), AVG vereisen dat de betrokkene toestemming geeft voor respectievelijk de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden en de verwerking van bijzondere categorieën van gegevens als bedoeld in artikel 9, lid 1.
142


Artikel 4, punt 11, AVG definieert het begrip „toestemming” als „elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt”.
143


Met betrekking tot de vragen van de verwijzende rechter moet in de eerste plaats in herinnering worden gebracht dat de toestemming volgens overweging 42 AVG niet kan worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.
 144


In de tweede plaats staat in overweging 43 van deze verordening te lezen dat toestemming, om ervoor te zorgen dat die vrijelijk wordt verleend, geen geldige rechtsgrond mag zijn voor de verwerking van persoonsgegevens wanneer er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke. In deze overweging wordt tevens verduidelijkt dat toestemming wordt geacht niet vrijelijk te zijn verleend indien geen afzonderlijke toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen ondanks het feit dat dit in het individuele geval passend is.
145


In de derde plaats is in artikel 7, lid 4, AVG bepaald dat „[b]ij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, [...] onder meer ten sterkste rekening [wordt] gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst”.
146


De zesde vraag moet op basis van deze overwegingen worden beantwoord.
147


In dit verband moet worden vastgesteld dat de omstandigheid dat de exploitant van een online sociaal netwerk als verwerkingsverantwoordelijke een machtspositie inneemt op de markt voor online sociale netwerken als zodanig er niet aan in de weg staat dat de gebruikers van dit sociale netwerk rechtsgeldig kunnen instemmen, in de zin van artikel 4, punt 11, AVG, met de verwerking van hun persoonsgegevens door die exploitant.
 148


Dit neemt niet weg dat een dergelijke omstandigheid, zoals de advocaat-generaal in punt 75 van zijn conclusie in essentie heeft opgemerkt, in aanmerking moet worden genomen bij de beoordeling of de toestemming van de gebruiker van dat netwerk geldig en met name vrij is, aangezien daardoor afbreuk kan worden gedaan aan de keuzevrijheid van die gebruiker, die zijn toestemming mogelijkerwijs niet zonder nadelige gevolgen kan weigeren of intrekken, zoals is uiteengezet in overweging 42 AVG.
149


Bovendien kan het bestaan van een dergelijke machtspositie leiden tot een duidelijke wanverhouding in de zin van overweging 43 AVG tussen de betrokkene en de verwerkingsverantwoordelijke waardoor het met name gemakkelijker wordt om voorwaarden op te leggen die niet strikt noodzakelijk zijn voor de uitvoering van de overeenkomst, hetgeen een omstandigheid vormt waarmee overeenkomstig artikel 7, lid 4, van deze verordening rekening moet worden gehouden. In deze context moet in herinnering worden gebracht dat het er, zoals in de punten 102 tot en met 104 van dit arrest is opgemerkt, onder voorbehoud van de door de verwijzende rechter te verrichten verificaties, niet op lijkt dat de in het hoofdgeding aan de orde zijnde verwerking strikt noodzakelijk is voor de uitvoering van de overeenkomst tussen Meta Platforms Ireland en de gebruikers van het online sociale netwerk Facebook.
150


Daarom moeten deze gebruikers de vrijheid hebben om tijdens het sluiten van de overeenkomst hun toestemming voor bijzondere gegevensverwerkingshandelingen die niet noodzakelijk zijn voor de uitvoering van de overeenkomst, voor elke verwerking apart te weigeren zonder ertoe te worden gedwongen om volledig af te zien van het gebruik van de dienst die de exploitant van het online sociale netwerk aanbiedt, hetgeen impliceert dat die gebruikers, in voorkomend geval tegen een passende vergoeding, een gelijkwaardig alternatief krijgen aangeboden dat niet gepaard gaat met dergelijke gegevensverwerking.
 151


Gelet op de omvang van de betrokken gegevensverwerking en de ingrijpende gevolgen ervan voor de gebruikers van dat netwerk en op de omstandigheid dat deze gebruikers er redelijkerwijs geen rekening mee hoeven te houden dat de exploitant van het online sociale netwerk andere gegevens verwerkt dan die betreffende hun gedrag binnen dat netwerk, is het bovendien passend, in de zin van die overweging 43, dat afzonderlijke toestemming kan worden gegeven voor de verwerking van enerzijds laatstgenoemde gegevens en anderzijds off-Facebook-gegevens. Het staat aan de verwijzende rechter om na te gaan of een dergelijke mogelijkheid bestaat; is dat niet zo, dan moet de toestemming van deze gebruikers voor de verwerking van off-Facebook-gegevens worden geacht niet vrijelijk te zijn verleend.
152


Ten slotte zij eraan herinnerd dat volgens artikel 7, lid 1, AVG de verwerkingsverantwoordelijke, ingeval de verwerking berust op toestemming, moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.
153


Aan de hand van deze criteria en een gedetailleerd onderzoek van alle omstandigheden van de zaak, dient de verwijzende rechter te beoordelen of de gebruikers van het online sociale netwerk Facebook rechtsgeldig en met name vrijelijk toestemming hebben gegeven voor de in het hoofdgeding aan de orde zijnde verwerking.
 154


Gelet op een en ander moet op de zesde vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), AVG aldus moeten worden uitgelegd dat de omstandigheid dat de exploitant van een online sociaal netwerk een machtspositie inneemt op de markt voor online sociale netwerken als zodanig er niet aan in de weg staat dat de gebruikers van een dergelijk netwerk rechtsgeldig toestemming kunnen geven in de zin van artikel 4, punt 11, van deze verordening voor de verwerking van hun persoonsgegevens door die exploitant. Deze omstandigheid vormt niettemin een belangrijk element om te bepalen of de toestemming daadwerkelijk rechtsgeldig en met name vrijelijk is gegeven, hetgeen deze exploitant dient te bewijzen.
Kosten






155


Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
