Daniel Vinerean, Avocat Senior Coordonator D&B David și Baias
Sonia Voinescu, Avocat Senior Colaborator D&B David și Baias
Prin hotărârea recent adoptată în cazul Meta Platforms (fostă Facebook)[1], Curtea de Justiție a Uniunii Europene (CJUE) setează o bornă în privința colaborării dintre autoritățile de concurență și cele de supraveghere în domeniul protecției datelor cu caracter personal.
Meta Platforms gestionează Facebook în UE, dar și alte servicii online, inclusiv Instagram și WhatsApp. Modelul economic al rețelelor sociale gestionate de Meta Platforms constă în esență, pe de o parte, în oferirea de servicii gratuite de tip social media (inclusiv) persoanelor fizice și, pe de altă parte, în vânzarea de publicitate online, adaptată preferințelor acestor utilizatori ai rețelei sociale. În acest din urmă caz este așadar vorba de marketing direct menit să prezinte utilizatorilor produsele și serviciile care i‑ar putea interesa, în special în funcție de preferințele de consum, de interese, de puterea de cumpărare și de circumstanțele personale ale acestora.
Autoritatea germană de concurență (Bundeskartellamt) a inițiat o investigație împotriva Meta Platforms privind un potențial abuz de poziție dominantă, în urma căreia, prin decizia adoptată, i-a interzis utilizarea datelor cu caracter personal obținute prin condiționarea folosirii Facebook de către persoanele fizice care au reședința în Germania, de prelucrarea datelor lor off Facebook. În concret este vorba de respectiv prelucrarea a acelor date referitoare la activități în afara rețelei sociale, cum ar fi datele privind folosirea unor aplicații terțe sau vizitarea unor pagini de internet conectate la Facebook prin intermediul interfețelor de programare sau datele referitoare la utilizarea altor servicii online care aparțin grupului Meta, cum ar fi Whatsapp sau Instagram. Bundeskartellamt a argumentat că această prelucrare „forțată” a datelor cu caracter personal constituie un abuz de poziție dominantă a Meta Platforms pe piața rețelelor sociale pentru persoanele fizice cu reședința în Germania, în sensul legii concurenței.
Meta Platforms a atacat decizia autorității de concurență în fața Tribunalului Regional Superior din Düsseldorf, care, la rândul său, a decis să adreseze CJUE mai multe întrebări preliminare prin care să verifice, în esență, compatibilitatea cu art. 51 din Regulamentul nr. 679/2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (RGPD), a faptului că o autoritate națională de concurență a unui stat membru, care nu este o autoritate de supraveghere în domeniul protecției datelor cu caracter personal constată, în cadrul unei investigații privind un potențial abuz de poziție dominantă, o încălcare a RGPD prin condițiile contractuale care privesc prelucrarea datelor cu caracter personal și emite o decizie privind încetarea acestei încălcări.
Decizia CJUE cuprinde câteva concluzii de referință, de importanță deosebită pentru practicienii dreptului concurenței și pentru cei din domeniul protecției datelor cu caracter personal, respectiv:
- O autoritate de concurență poate verifica efectele unui potențial comportament abuziv al unei întreprinderi aflate într-o poziție de dominanță pe piața relevantă, inclusiv prin raportare la conformitatea sau neconformitatea unui astfel de comportament cu dispozițiile RGPD. Un astfel de comportament contrar RGDP poate constitui, dacă este cazul, un indiciu important pentru a evalua efectele de piață ale unei anumite practici anticoncurențiale;
- În cadrul investigării unui potențial abuz de poziție dominantă, se poate dovedi necesar ca autoritatea de concurență a statului membru în cauză să examineze și conformitatea comportamentului acestei întreprinderi cu alte norme decât cele care intră sub incidența dreptului concurenței, precum normele în materie de protecție a datelor cu caracter personal prevăzute de RGPD;
- Cu toate acestea, autoritatea de concurență nu se va substitui sub nicio formă autorității competente de supraveghere în domeniul datelor cu caracter personal (în sensul că nu va aplica măsurile sancționatorii prevăzute de legislația în materia protecției datelor cu caracter personal), ci se va limita la a semnala neconformitatea unei prelucrări cu RGPD numai în scopul de a constata un abuz de poziție dominantă, în temeiul legislației specifice de dreptul concurenței; prin urmare, autoritatea de supraveghere competentă în domeniul protecției datelor cu caracter personal își păstrează libertatea de a investiga și sancționa aceeași faptă, conform legislației specifice;
- Atunci când o autoritate de concurență are îndoieli cu privire conformitatea unui comportament care este supus aprecierii unei alte autorități administrative, va exista, desigur, obligația cooperării în mod loial cu autoritățile de supraveghere competente în domeniul protecției datelor cu caracter personal pentru a verifica dacă îndoielile lor sunt adeverite sau să stabilească dacă este necesară adoptarea unei decizii de către autoritatea de supraveghere înainte de a efectua propria apreciere;
- Poate argumentul cel mai semnificativ enunțat de CJUE în cuprinsul deciziei analizate (dar care nu este o noutate pentru specialiștii în dreptul concurenței) este cel privind neexcluderea normelor relevante din alte domenii ale dreptului Uniunii (și, credem noi, dreptului național în cazul investigării unei încălcări a dreptului național), cum ar fi normele de protecție a datelor cu caracter personal, din cadrul juridic de analiză al unui potențial abuz de poziție dominantă efectuat de autoritățile de concurență competente. O interpretare îngustă, prin care autoritățile de concurență nu ar putea analiza conformitatea acțiunilor unui dominant cu normele relevante din alte arii de reglementare, nu ar respecta realitățile evoluției economice, prejudiciind efectivitatea dreptului concurenței în cadrul Uniunii. De aceea, atunci când analizează un potențial abuz de poziție dominantă, din perspectiva art. 102 TFUE, o autoritate de concurență poate constata că nu sunt conforme cu RGPD condițiile generale de prelucrare a datelor cu caracter personal utilizate de întreprinderea investigată, în măsura în care această constatare este necesară pentru a stabili existența unui abuz.
Decizia instanței europene va avea cu siguranță un ecou puternic în sfera serviciilor societății informaționale, incluzând aici nu doar furnizorii de rețele sociale, ci și deținătorii de platforme online, care vor fi obligați să trateze cu o atenție sporită modul în care colectează consimțământul pentru anumite prelucrări de date cu caracter personal care nu sunt necesare pentru executarea contractului, regula fiind de a nu-i prejudicia sau afecta negativ, respectiv de nu-i obliga să renunțe integral la utilizarea serviciului oferit.
[1] Hotărârea din 4 iulie 2023, cauza C-252/21.
