Arrest van het Hof (Grote kamer) van 4 juli 2023

Verordening nr. 1/2003

3 Artikel 5 van verordening (EG) nr. 1/2003 van de Raad van 16 december 2002 betreffende de uitvoering van de mededingingsregels van de artikelen [101 en 102 VWEU] (PB 2003, L 1, blz. 1), met als opschrift „Bevoegdheid van de mededingingsautoriteiten van de lidstaten”, bepaalt:

„De mededingingsautoriteiten van de lidstaten zijn in individuele gevallen bevoegd tot toepassing van de artikelen [101 en 102 VWEU]. Zij kunnen te dien einde, ambtshalve of naar aanleiding van een klacht, de volgende besluiten nemen:

• de beëindiging van een inbreuk bevelen;

• voorlopige maatregelen opleggen;

• toezeggingen aanvaarden;

• geldboeten, dwangsommen of overeenkomstig hun nationaal recht andere sancties opleggen.

Wanneer op grond van de inlichtingen waarover zij beschikken niet aan de voorwaarden voor een verbod is voldaan, kunnen zij ook beslissen dat er voor hen geen reden bestaat om op te treden.”

AVG

4 De overwegingen 1, 4, 38, 42, 43, 46, 47, 49 en 51 AVG luiden:

„(1) De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie (het ‚Handvest’) en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van zijn persoonsgegevens.

[...]

(4) De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid.

[...]

(38) Kinderen hebben met betrekking tot hun persoonsgegevens recht op specifieke bescherming, aangezien zij zich allicht minder bewust zijn van de betrokken risico’s, gevolgen en waarborgen en van hun rechten in verband met de verwerking van persoonsgegevens. Die specifieke bescherming moet met name gelden voor het gebruik van persoonsgegevens van kinderen voor marketingdoeleinden of voor het opstellen van persoonlijkheids- of gebruikersprofielen en het verzamelen van persoonsgegevens over kinderen bij het gebruik van rechtstreeks aan kinderen verstrekte diensten. In de context van preventieve of adviesdiensten die rechtstreeks aan een kind worden aangeboden, is de toestemming van de persoon die de ouderlijke verantwoordelijkheid draagt, niet vereist.

[...]

(42) Indien de verwerking plaatsvindt op grond van toestemming van de betrokkene, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking. [...] Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene ten minste bekend zijn met de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking van de persoonsgegevens. Toestemming mag niet worden geacht vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen.

(43) Om ervoor te zorgen dat toestemming vrijelijk wordt verleend, mag toestemming geen geldige rechtsgrond zijn voor de verwerking van persoonsgegevens in een specifiek geval wanneer er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, met name wanneer de verwerkingsverantwoordelijke een overheidsinstantie is, en dit het onwaarschijnlijk maakt dat de toestemming in alle omstandigheden van die specifieke situatie vrijelijk is verleend. De toestemming wordt geacht niet vrijelijk te zijn verleend indien geen afzonderlijke toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen ondanks het feit dat dit in het individuele geval passend is, of indien de uitvoering van een overeenkomst, daaronder begrepen het verlenen van een dienst, afhankelijk is van de toestemming ondanks het feit dat dergelijke toestemming niet noodzakelijk is voor die uitvoering.

[...]

(46) De verwerking van persoonsgegevens dient ook als rechtmatig te worden beschouwd indien zij noodzakelijk is voor de bescherming van een belang dat voor het leven van de betrokkene of dat van een andere natuurlijke persoon essentieel is. Verwerking van persoonsgegevens op grond van het vitale belang voor een andere natuurlijke persoon is in beginsel alleen toegestaan indien de verwerking kennelijk niet op een andere rechtsgrond kan worden gebaseerd. Sommige typen persoonsgegevensverwerking kunnen zowel gewichtige redenen van algemeen belang als de vitale belangen van de betrokkene dienen, bijvoorbeeld wanneer de verwerking noodzakelijk is voor humanitaire doeleinden, onder meer voor het monitoren van een epidemie en de verspreiding daarvan of in humanitaire noodsituaties, met name bij natuurrampen of door de mens veroorzaakte rampen.

(47) De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, [kunnen] een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. [...] In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen verdere verwerking verwachten. [...] De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie.

[...]

(49) De verwerking van persoonsgegevens voor zover die strikt noodzakelijk en evenredig is met het oog op netwerk- en informatiebeveiliging, d.w.z. dat een netwerk of informatiesysteem op een bepaald vertrouwelijkheidsniveau bestand is tegen incidentele gebeurtenissen of onrechtmatige of kwaadaardige acties die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van opgeslagen of doorgegeven persoonsgegevens in het gedrang brengen, en de beveiliging van de daarmee verband houdende diensten die door deze netwerken en systemen worden geboden of via deze toegankelijk zijn, [...] vormt een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie.

[...]

(51) Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden, verdienen specifieke bescherming aangezien de context van de verwerking ervan significante risico’s kan meebrengen voor de grondrechten en de fundamentele vrijheden. Die persoonsgegevens dienen ook persoonsgegevens te omvatten waaruit ras of etnische afkomst blijkt, waarbij het gebruik van de term ‚ras’ in deze verordening niet impliceert dat de [Europese] Unie theorieën aanvaardt die erop gericht zijn vast te stellen dat er verschillende menselijke rassen bestaan. De verwerking van foto’s mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens, aangezien foto’s alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maken. Dergelijke persoonsgegevens mogen niet worden verwerkt, tenzij de verwerking is toegestaan in in deze verordening vermelde specifieke gevallen, rekening houdend met het feit dat in de wetgeving van de lidstaten specifieke bepalingen inzake gegevensbescherming kunnen worden opgenomen teneinde de toepassing van de regels van deze verordening aan te passen met het oog op de vervulling van een wettelijke verplichting of met het oog op de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Naast de specifieke voorschriften voor die verwerking dienen de algemene beginselen en andere regels van deze verordening te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking. Er moet onder meer uitdrukkelijk in afwijkingen van het algemene verbod op de verwerking van die bijzondere categorieën persoonsgegevens worden voorzien ingeval de betrokkene zijn uitdrukkelijke toestemming geeft of in geval van specifieke behoeften, met name wanneer de verwerking wordt verricht in het kader van gerechtvaardigde activiteiten door bepaalde verenigingen of stichtingen die ernaar streven de uitoefening van de fundamentele vrijheden mogelijk te maken.”

5 Artikel 4 van deze verordening bepaalt:

„Voor de toepassing van deze verordening wordt verstaan onder:

1. ,persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (,de betrokkene’); [...]

2. ,verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

[...]

1. ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;

[...]

1. ‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt;

[...]

1. ‚grensoverschrijdende verwerking’:

   1. verwerking van persoonsgegevens in het kader van de activiteiten van vestigingen in meer dan één lidstaat van een verwerkingsverantwoordelijke of een verwerker in de Unie die in meer dan één lidstaat is gevestigd; of

   2. verwerking van persoonsgegevens in het kader van de activiteiten van één vestiging van een verwerkingsverantwoordelijke of van een verwerker in de Unie, waardoor in meer dan één lidstaat betrokkenen wezenlijke gevolgen ondervinden of waarschijnlijk zullen ondervinden;

[...]”

6 Artikel 5 van die verordening heeft als opschrift „Beginselen inzake verwerking van persoonsgegevens” en bepaalt in de leden 1 en 2:

„1.

Persoonsgegevens moeten:

1. worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);

2. voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; [...]

3. toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);

[...]

2.

De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”

7 Artikel 6 van deze verordening, met als opschrift „Rechtmatigheid van de verwerking”, luidt als volgt:

„1.

De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

1. de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

2. de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;

3. de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

4. de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;

5. de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

6. de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

[...]

3.

De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:

1. Unierecht; of

2. lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.

[...]

[...] Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.”

8 Artikel 7 AVG heeft als opschrift „Voorwaarden voor toestemming” en luidt:

„1.

Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.

[...]

4.

Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.”

9 In artikel 9 van deze verordening, met als opschrift „Verwerking van bijzondere categorieën van persoonsgegevens”, is het volgende bepaald:

„1.

Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.

2.

Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:

1. de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;

[...]

1. de verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt;

2. de verwerking is noodzakelijk voor de instelling, uitoefening of verdediging van een rechtsvordering of wanneer gerechten handelen in het kader van hun rechtsprekende taken;

[...]”

10 Artikel 13 van die verordening, dat betrekking heeft op de „te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”, bepaalt in lid 1:

„Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:

[...]

1. de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;

2. de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;

[...]”

11 Hoofdstuk VI AVG, dat betrekking heeft op de „onafhankelijke toezichthoudende autoriteiten”, omvat de artikelen 51 tot en met 59.

12 Artikel 51, met het opschrift „Toezichthoudende autoriteit”, bepaalt in de leden 1 en 2:

„1.

Elke lidstaat bepaalt dat een of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken [...].

2.

Elke toezichthoudende autoriteit draagt bij tot de consequente toepassing van deze verordening in de hele Unie. Daartoe werken de toezichthoudende autoriteiten onderling en met de [Europese] Commissie samen overeenkomstig hoofdstuk VII.”

13 Artikel 55 AVG, met als opschrift „Competentie”, luidt:

„1.

Elke toezichthoudende autoriteit heeft de competentie op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend.

2.

In het geval van verwerking door overheidsinstanties of door particuliere organen die handelen op grond van artikel 6, lid 1, onder c) of e), is de toezichthoudende autoriteit van de lidstaat in kwestie competent. In dergelijke gevallen is artikel 56 niet van toepassing.”

14 Artikel 56 AVG heeft als opschrift „Competentie van de leidende toezichthoudende autoriteit” en bepaalt in lid 1 het volgende:

„Onverminderd artikel 55 is de toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of verwerker competent op te treden als leidende toezichthoudende autoriteit voor de grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker overeenkomstig de procedure van artikel 60.”

15 Artikel 57 van deze verordening heeft als opschrift „Taken” en bepaalt in lid 1:

„Onverminderd andere uit hoofde van deze verordening vastgestelde taken, verricht elke toezichthoudende autoriteit op haar grondgebied de volgende taken:

1. zij monitort en handhaaft de toepassing van deze verordening;

[...]

1. zij werkt samen met andere toezichthoudende autoriteiten, onder meer door informatie te delen en wederzijdse bijstand te bieden, teneinde de samenhang in de toepassing en de handhaving van deze verordening te waarborgen;

[...]”

16 In artikel 58 van die verordening is in lid 1 de lijst van onderzoeksbevoegdheden opgenomen waarover elke toezichthoudende autoriteit beschikt. Volgens lid 5 ervan „[bepaalt] [e]lke lidstaat [...] bij wet dat zijn toezichthoudende autoriteit bevoegd is inbreuken op deze verordening ter kennis te brengen van de gerechtelijke autoriteiten en, waar passend, daartegen een rechtsvordering in te stellen of anderszins in rechte op te treden, teneinde de bepalingen van deze verordening te doen naleven”.

17 Hoofdstuk VII AVG („Samenwerking en coherentie”) bevat een afdeling 1, met het opschrift „Samenwerking”, waarin de artikelen 60 tot en met 62 zijn opgenomen. In artikel 60, dat ziet op de „samenwerking tussen de leidende toezichthoudende autoriteit en de andere betrokken toezichthoudende autoriteiten”, is in lid 1 het volgende bepaald:

„De leidende toezichthoudende autoriteit werkt overeenkomstig dit artikel samen met de andere betrokken toezichthoudende autoriteiten teneinde tot een consensus proberen te komen. De leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten wisselen alle relevante informatie met elkaar uit.”

18 In artikel 61 AVG, met als opschrift „Wederzijdse bijstand”, is in lid 1 het volgende bepaald:

„De toezichthoudende autoriteiten verstrekken elkaar relevante informatie en wederzijdse bijstand om deze verordening op een consequente manier ten uitvoer te leggen en toe te passen, en nemen maatregelen om doeltreffend met elkaar samen te werken. De wederzijdse bijstand bestrijkt met name informatieverzoeken en toezichtsmaatregelen, zoals verzoeken om voorafgaande toestemming en raadpleging, inspecties en onderzoeken.”

19 Artikel 62 van deze verordening heeft als opschrift „Gezamenlijke werkzaamheden van toezichthoudende autoriteiten” en bepaalt in de leden 1 en 2 het volgende:

„1.

In voorkomend geval voeren de toezichthoudende autoriteiten gezamenlijke werkzaamheden uit, waaronder gezamenlijke onderzoeken en gezamenlijke handhavingsmaatregelen, waarbij leden of personeelsleden van de toezichthoudende autoriteiten van andere lidstaten worden betrokken.

2.

Indien de verwerkingsverantwoordelijke of de verwerker vestigingen heeft in meerdere lidstaten, of indien een significant aantal betrokkenen in meer dan één lidstaat waarschijnlijk wezenlijke gevolgen ondervindt van de verwerkingsactiviteiten, heeft van elk van die lidstaten één toezichthoudende autoriteit het recht om aan de gezamenlijke werkzaamheden deel te nemen. [...]”

20 Afdeling 2 („Coherentie”) van hoofdstuk VII AVG bevat de artikelen 63 tot en met 67. Artikel 63, met als opschrift „Coherentiemechanisme”, luidt als volgt:

„Teneinde bij te dragen aan de consequente toepassing van deze verordening in de gehele Unie werken de toezichthoudende autoriteiten met elkaar en, waar passend met de Commissie, samen in het kader van het in deze afdeling uiteengezette coherentiemechanisme.”

21 Artikel 64, lid 2, van die verordening luidt:

„Een toezichthoudende autoriteit, de voorzitter van het [Europees Comité voor gegevensbescherming] of de Commissie kunnen elk verzoeken dat aangelegenheden van algemene strekking of met rechtsgevolgen in meer dan één lidstaat worden onderzocht door het [Europees Comité voor gegevensbescherming] teneinde advies te verkrijgen, met name wanneer een bevoegde toezichthoudende autoriteit haar verplichtingen tot wederzijdse bijstand overeenkomstig artikel 61, of tot gezamenlijke werkzaamheden overeenkomstig artikel 62, niet nakomt.”

22 Artikel 65 van die verordening, met als opschrift „Geschillenbeslechting door het Comité”, bepaalt in lid 1:

„Om te zorgen voor de correcte en consequente toepassing van deze verordening in individuele gevallen, stelt het [Europees Comité voor gegevensbescherming] een bindend besluit vast in de volgende gevallen:

1. wanneer in een geval als bedoeld in artikel 60, lid 4, een betrokken toezichthoudende autoriteit een relevant en gemotiveerd bezwaar heeft ingediend tegen een ontwerpbesluit van de leidende toezichthoudende autoriteit en de leidende toezichthoudende autoriteit heeft het bezwaar niet gevolgd of heeft het bezwaar afgewezen als zijnde irrelevant of ongemotiveerd. Het bindend besluit heeft betrekking op alle aangelegenheden die onderwerp van het relevante en gemotiveerde bezwaar zijn, en met name op de vraag of inbreuk op de onderhavige verordening wordt gemaakt;

2. wanneer er verschillend wordt geoordeeld over de vraag welke betrokken toezichthoudende autoriteit bevoegd is voor de hoofdvestiging;

[...]”

Tweede vraag, onder a)

66 In overweging 51 AVG staat te lezen dat persoonsgegevens die door hun aard bijzonder gevoelig zijn uit het oogpunt van de grondrechten en de fundamentele vrijheden, specifieke bescherming verdienen aangezien de context van de verwerking ervan significante risico’s kan meebrengen voor deze grondrechten en de fundamentele vrijheden. Volgens deze overweging mogen dergelijke persoonsgegevens niet worden verwerkt, tenzij de verwerking is toegestaan in specifieke gevallen die in deze verordening worden vermeld.

67 In dit verband is in artikel 9, lid 1, AVG het beginsel neergelegd dat de verwerking van de daarin genoemde bijzondere categorieën van persoonsgegevens verboden is. Het gaat daarbij met name om gegevens waaruit ras of etnische afkomst, politieke opvattingen of religieuze overtuigingen blijken, en om gegevens over de gezondheid, het seksuele gedrag of de seksuele geaardheid van een natuurlijke persoon.

68 Voor de toepassing van artikel 9, lid 1, AVG moet in het geval van verwerking van persoonsgegevens door de exploitant van een online sociaal netwerk worden nagegaan of deze gegevens informatie kunnen onthullen die onder een van de in die bepaling bedoelde categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon. Zo ja, dan is een dergelijke verwerking van persoonsgegevens verboden, behoudens de uitzonderingen van artikel 9, lid 2, AVG.

69 Zoals de advocaat-generaal in de punten 40 en 41 van zijn conclusie in essentie heeft opgemerkt, staat dit principiële verbod van artikel 9, lid 1, AVG los van de vraag of de informatie die bij de betrokken verwerking aan het licht komt al dan niet juist is en of de verwerkingsverantwoordelijke het doel nastreeft om informatie te verkrijgen die onder een van de in die bepaling bedoelde bijzondere categorieën valt.

70 Gelet op de aanzienlijke risico’s voor de grondrechten en de fundamentele vrijheden van de betrokkenen die gepaard gaan met elke verwerking van persoonsgegevens van de in artikel 9, lid 1, AVG bedoelde categorieën, beoogt deze bepaling immers om deze verwerkingen te verbieden, ongeacht het gestelde doel ervan.

71 De verwerking door Meta Platforms Ireland die in het hoofdgeding aan de orde is, bestaat erin om eerst de persoonsgegevens te verzamelen van de gebruikers van het online sociale netwerk Facebook die websites of apps bezoeken – waaronder die waaruit informatie kan blijken die onder een of meer van de in artikel 9, lid 1, AVG bedoelde categorieën valt – en in voorkomend geval daar informatie invoeren door zich te registreren of online bestellingen te plaatsen, vervolgens deze gegevens te koppelen aan hun accounts op dit online sociale netwerk en ten slotte die gegevens te gebruiken.

72 In dit verband staat het aan de verwijzende rechter om vast te stellen of uit de aldus verzamelde gegevens, op zichzelf of door ze te koppelen aan de Facebookaccounts van de betrokken gebruikers, daadwerkelijk dergelijke informatie kan blijken, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon. Gelet op de vragen van deze rechter moet er evenwel op worden gewezen dat, onder voorbehoud van de door hem te verrichten verificaties, dergelijke informatie in bepaalde gevallen al bij de verwerking van gegevens over de bezoeken aan de betrokken websites of apps aan het licht kan komen, zonder dat deze gebruikers daar informatie invoeren door zich te registreren of online bestellingen te plaatsen.

73 Gelet op een en ander moet op de tweede vraag, onder a), worden geantwoord dat artikel 9, lid 1, AVG aldus moet worden uitgelegd dat wanneer een gebruiker van een online sociaal netwerk websites of apps bezoekt die met een of meer van de in die bepaling bedoelde categorieën verband houden, en in voorkomend geval daar gegevens invoert door zich te registreren of online bestellingen te plaatsen, de verwerking van persoonsgegevens door de exploitant van dat online sociale netwerk waarbij deze exploitant, door middel van geïntegreerde interfaces, cookies of soortgelijke registratietechnologieën, de gegevens die voortvloeien uit de bezoeken aan die websites en apps alsook de gegevens die door de gebruiker zijn ingevoerd verzamelt, al deze gegevens koppelt aan het account van deze laatste bij het online sociale netwerk en die gegevens gebruikt, moet worden beschouwd als een „verwerking van bijzondere categorieën persoonsgegevens” in de zin van die bepaling die, behoudens de in artikel 9, lid 2, bepaalde uitzonderingen, in beginsel verboden is, wanneer bij deze gegevensverwerking informatie aan het licht kan komen die onder een van deze categorieën valt, ongeacht of deze informatie betrekking heeft op een gebruiker van dat netwerk of op een andere natuurlijke persoon.

Tweede vraag, onder b)

74 Met betrekking tot de tweede vraag, onder b), zoals die in punt 65 van dit arrest is geherformuleerd en die betrekking heeft op de uitzondering van artikel 9, lid 2, onder e), AVG, moet in herinnering worden gebracht dat volgens deze bepaling het in artikel 9, lid 1, neergelegde principiële verbod op elke verwerking van bijzondere categorieën van persoonsgegevens niet van toepassing is wanneer de verwerking betrekking heeft op persoonsgegevens die „kennelijk door de betrokkene openbaar zijn gemaakt”.

75 Ten eerste moet worden opgemerkt dat deze uitzondering alleen van toepassing is op gegevens die „door de betrokkene” kennelijk openbaar zijn gemaakt. Deze uitzondering is dus niet van toepassing op gegevens die betrekking hebben op andere personen dan degenen die deze gegevens openbaar hebben gemaakt.

76 Ten tweede moet artikel 9, lid 2, AVG, voor zover daarin een uitzondering is opgenomen op het beginsel dat de verwerking van bijzondere categorieën persoonsgegevens verboden is, restrictief worden uitgelegd (zie in die zin arresten van 17 september 2014, Baltic Agro, C‑3/13, EU:C:2014:2227, punt 24 en aldaar aangehaalde rechtspraak, en  6 juni 2019, Weil, C‑361/18, EU:C:2019:473, punt 43 en aldaar aangehaalde rechtspraak).

77 Ter toepassing van de uitzondering van artikel 9, lid 2, onder e), AVG moet daarom worden nagegaan of de betrokkene de aan de orde zijnde persoonsgegevens uitdrukkelijk en door middel van een ondubbelzinnige actieve handeling voor een breed publiek toegankelijk heeft willen maken.

78 In dit verband moet worden vastgesteld dat als de betrokken gebruiker websites of apps bezoekt die met een of meer van de in artikel 9, lid 1, AVG bedoelde categorieën verband houden, hij daarmee geenszins beoogt ruchtbaarheid te geven aan het feit dat hij die websites of apps heeft bezocht, en evenmin aan de gegevens over deze bezoeken die aan zijn persoon kunnen worden gekoppeld. Deze gebruiker hoeft er immers hoogstens rekening mee te houden dat de beheerder van de website of de app toegang heeft tot die gegevens en deze in voorkomend geval en onder voorbehoud van zijn uitdrukkelijke toestemming deelt met bepaalde derden en niet met het grote publiek.

79 Uit het enkele feit dat een gebruiker dergelijke websites of apps heeft bezocht, kan dus niet worden afgeleid dat de bedoelde persoonsgegevens door die gebruiker kennelijk openbaar zijn gemaakt in de zin van artikel 9, lid 2, onder e), AVG.

80 Aangaande het invoeren van gegevens op die websites of apps en het aanklikken van daarin geïntegreerde selectieknoppen – zoals de knoppen „vind ik leuk” of „delen”, of de knoppen waarmee de gebruiker zich op een website of een app kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn Facebook-gebruikersaccount, zijn telefoonnummer of zijn e-mailadres – moet worden opgemerkt dat deze handelingen wijzen op interactie tussen die gebruiker en de betrokken website of app alsmede in voorkomend geval de website van het online sociale netwerk. De openbaarmaking van deze interactie kan verschillende vormen aannemen aangezien de gebruiker de openbaarheidsinstellingen persoonlijk kan configureren.

81 In die omstandigheden staat het aan de verwijzende rechter om na te gaan of de betrokken gebruikers de mogelijkheid hebben om op basis van een met kennis van zaken uitgevoerde configuratie te beslissen om de gegevens die zij op de betrokken websites of apps hebben ingevoerd alsook de gegevens die voortvloeien uit het aanklikken van de selectieknoppen, toegankelijk te maken voor het grote publiek dan wel, integendeel, alleen voor een min of meer beperkt aantal geselecteerde personen.

82 Wanneer de betrokken gebruikers daadwerkelijk een dergelijke keuze hebben, kunnen zij, wanneer zij vrijwillig gegevens op een website of app invoeren of daarin geïntegreerde selectieknoppen aanklikken, alleen worden geacht hen betreffende gegevens kennelijk openbaar te maken in de zin van artikel 9, lid 2, onder e), AVG wanneer zij op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie duidelijk hun keuze te kennen hebben gegeven om deze gegevens toegankelijk te maken voor een onbeperkt aantal personen, hetgeen de verwijzende rechter dient na te gaan.

83 Indien daarentegen geen zodanige individuele configuratie wordt aangeboden, moet, gelet op hetgeen in punt 77 van dit arrest is uiteengezet, worden geoordeeld dat gebruikers die vrijwillig gegevens op een website of app invoeren of daarin geïntegreerde selectieknoppen aanklikken, slechts kunnen worden geacht deze gegevens kennelijk openbaar te hebben gemaakt indien zij er op basis van expliciete informatie die op die website of app voorafgaand aan dit invoeren of aanklikken werd verstrekt, uitdrukkelijk mee hebben ingestemd dat die gegevens kunnen worden bekeken door eenieder die tot die website of app toegang heeft.

84 Gelet op een en ander moet op de tweede vraag, onder b), worden geantwoord dat artikel 9, lid 2, onder e), AVG aldus moet worden uitgelegd dat een gebruiker van een online sociaal netwerk die websites of apps bezoekt die met een of meer van de in artikel 9, lid 1, AVG bedoelde categorieën verband houden, de gegevens over deze bezoeken die door de exploitant van dit online sociale netwerk via cookies of soortgelijke registratietechnologieën worden verzameld niet kennelijk openbaar maakt in de zin van eerstgenoemde bepaling.

85 Wanneer zo’n gebruiker op dergelijke websites of apps gegevens invoert of wanneer hij in die websites en apps geïntegreerde selectieknoppen aanklikt – zoals de knoppen „vind ik leuk” of „delen”, of de knoppen waarmee hij zich op deze websites of apps kan identificeren met behulp van de inloggegevens die zijn gekoppeld aan zijn gebruikersaccount van het online sociale netwerk, zijn telefoonnummer of zijn e-mailadres –, maakt hij de aldus ingevoerde of uit het aanklikken van deze knoppen voortvloeiende gegevens slechts kennelijk openbaar in de zin van dat artikel 9, lid 2, onder e), wanneer hij vooraf uitdrukkelijk zijn keuze kenbaar heeft gemaakt, in voorkomend geval op basis van een met volledige kennis van zaken uitgevoerde individuele configuratie, om de hem betreffende gegevens openbaar te maken voor een onbeperkt aantal personen.

Opmerkingen vooraf

88 Vooraf moet ten eerste worden opgemerkt dat de derde tot en met de vijfde vraag zijn gesteld omdat volgens de vaststellingen van het Bundeskartellamt in zijn besluit van 6 februari 2019 niet kan worden geoordeeld dat de gebruikers van het online sociale netwerk Facebook toestemming hebben gegeven voor de verwerking van de in het hoofdgeding aan de orde zijnde gegevens in de zin van artikel 6, lid 1, eerste alinea, onder a), en artikel 9, lid 2, onder a), AVG. In deze context is de verwijzende rechter van mening dat hij moet nagaan of die verwerking voldoet aan een van de andere in dat artikel 6, lid 1, eerste alinea, onder b) tot en met f), van deze verordening gestelde rechtmatigheidsvoorwaarden, al legt hij het Hof met betrekking tot die premisse zijn zesde vraag voor.

89 In dit verband moet worden opgemerkt dat het in de derde tot en met de vijfde vraag bedoelde verzamelen, koppelen en gebruiken van gegevens handelingen betreft die betrekking kunnen hebben op zowel gevoelige gegevens in de zin van artikel 9, lid 1, AVG als niet-gevoelige gegevens. Er moet echter duidelijk worden gemaakt dat wanneer dergelijke handelingen worden verricht met betrekking tot een gegevensverzameling bestaande uit zowel gevoelige als niet-gevoelige gegevens en al deze gegevens met name als één geheel bijeen worden gebracht zonder dat zij op het moment waarop dat gebeurt van elkaar kunnen worden gescheiden, de verwerking van de hele gegevensverzameling moet worden geacht verboden te zijn in de zin van artikel 9, lid 1, AVG, aangezien al die gegevens bij elkaar ten minste één gevoelig gegeven bevatten en geen van de in artikel 9, lid 2, van deze verordening bedoelde uitzonderingen van toepassing is.

90 Ten tweede moet ter beantwoording van de derde tot en met de vijfde vraag in herinnering worden gebracht dat artikel 6, lid 1, eerste alinea, AVG een uitputtende en limitatieve lijst bevat van de gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden beschouwd. Een dergelijke verwerking kan dus alleen als rechtmatig worden aangemerkt indien deze valt onder een van de in deze bepaling bedoelde gevallen [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 99 en aldaar aangehaalde rechtspraak].

91 Volgens artikel 6, lid 1, eerste alinea, onder a), van deze verordening is de verwerking van persoonsgegevens alleen rechtmatig indien en voor zover de betrokkene daarvoor toestemming heeft gegeven voor een of meer specifieke doeleinden.

92 Bij gebreke van een dergelijke toestemming of wanneer die toestemming niet vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven in de zin van artikel 4, punt 11, AVG, is de verwerking niettemin gerechtvaardigd wanneer is voldaan aan een van de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), van deze verordening genoemde voorwaarden waarbij er sprake is van noodzakelijkheid.

93 In deze context moeten de in deze laatste bepaling bedoelde rechtvaardigingsgronden restrictief worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven [zie in die zin arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punt 73 en aldaar aangehaalde rechtspraak].

94 Bovendien hoeft, zoals het Hof heeft geoordeeld, wanneer kan worden vastgesteld dat een verwerking van persoonsgegevens noodzakelijk is in het licht van een van de rechtvaardigingsgronden van artikel 6, lid 1, eerste alinea, onder b) tot en met f), AVG, niet te worden nagegaan of die verwerking ook onder een andere van die rechtvaardigingsgronden valt (zie in die zin arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 71 ).

95 Ten slotte moet worden verduidelijkt dat het volgens artikel 5 AVG aan de verwerkingsverantwoordelijke staat om te bewijzen dat deze gegevens met name voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en dat zij worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Bovendien moet de verwerkingsverantwoordelijke, wanneer bij de betrokkene persoonsgegevens worden verzameld, hem overeenkomstig artikel 13, lid 1, onder c), informatie verstrekken over de verwerkingsdoeleinden waarvoor deze gegevens zijn bestemd en over de rechtsgrondslag voor die verwerking.

96 Het staat weliswaar aan de verwijzende rechter om te bepalen of de verschillende onderdelen van de in het hoofdgeding aan de orde zijnde verwerking gerechtvaardigd zijn omdat die noodzakelijk zijn om een van de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), AVG bedoelde redenen, maar het Hof kan hem niettemin nuttige aanwijzingen verschaffen om het bij hem aanhangige geding te kunnen beslechten.

Derde en vierde vraag

97 In de eerste plaats bepaalt artikel 6, lid 1, eerste alinea, onder b), AVG dat de verwerking van persoonsgegevens rechtmatig is indien zij „noodzakelijk [is] voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen”.

98 Om als noodzakelijk voor de uitvoering van een overeenkomst in de zin van die bepaling te kunnen worden beschouwd, moet de verwerking van persoonsgegevens objectief onontbeerlijk zijn om een doel te bereiken dat een integrerend deel uitmaakt van de aan de betrokkene te leveren contractuele prestatie. De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.

99 Het feit dat een dergelijke verwerking in de overeenkomst is vermeld dan wel enkel nuttig is voor de uitvoering ervan, is in dit verband op zich irrelevant. Doorslaggevend voor de toepassing van de in artikel 6, lid 1, eerste alinea, onder b), AVG bedoelde rechtvaardiging is immers dat de verwerking van persoonsgegevens door de verwerkingsverantwoordelijke essentieel is voor de correcte uitvoering van de tussen hem en de betrokkene gesloten overeenkomst en dat er dus geen bruikbare, minder ingrijpende alternatieven bestaan.

100 Zoals de advocaat-generaal in punt 54 van zijn conclusie heeft opgemerkt, moet de toepasselijkheid van artikel 6, lid 1, eerste alinea, onder b), AVG in de context van een overeenkomst die bestaat uit verschillende diensten of verschillende afzonderlijke elementen van dezelfde dienst die onafhankelijk van elkaar kunnen worden uitgevoerd, voor elk van deze diensten afzonderlijk worden beoordeeld.

101 In het onderhavige geval noemt de verwijzende rechter in het kader van de rechtvaardigingsgronden die binnen de werkingssfeer van deze bepaling kunnen vallen, als elementen waarmee de correcte uitvoering van de overeenkomst tussen Meta Platforms Ireland en haar gebruikers moet worden gewaarborgd, de personalisatie van de inhoud en het consistente en probleemloze gebruik van de diensten van het Metaconcern.

102 Wat ten eerste de rechtvaardiging betreft die is gebaseerd op de personalisatie van de inhoud, moet worden opgemerkt dat een dergelijke personalisatie weliswaar nuttig is voor de gebruiker, met name omdat hij daardoor grotendeels inhoud kan bekijken waar hij belangstelling voor heeft, maar, onder voorbehoud van verificatie door de verwijzende rechter, niet noodzakelijk lijkt om hem de diensten van het online sociale netwerk aan te bieden. In voorkomend geval kan hem voor deze diensten een gelijkwaardig alternatief worden verstrekt waarvoor een dergelijke personalisatie niet nodig is, zodat deze niet objectief onontbeerlijk is voor een doel dat integrerend deel uitmaakt van die diensten.

103 Wat ten tweede de rechtvaardiging betreft die is gebaseerd op het consistente en probleemloze gebruik van de diensten van het Metaconcern, blijkt uit het dossier waarover het Hof beschikt dat een persoon niet verplicht is om zich op de verschillende diensten van dat concern te abonneren om een gebruikersaccount voor het online sociale netwerk Facebook te kunnen aanmaken. De verschillende producten en diensten die door dit concern worden aangeboden kunnen immers onafhankelijk van elkaar worden gebruikt en voor elk product of elke dienst moet een afzonderlijke gebruiksovereenkomst worden gesloten.

104 Onder voorbehoud van verificatie door de verwijzende rechter lijkt de verwerking van persoonsgegevens die afkomstig zijn van andere diensten van het Metaconcern dan het online sociale netwerk, dus niet noodzakelijk te zijn om laatstbedoelde dienst te kunnen aanbieden.

105 In de tweede plaats is volgens artikel 6, lid 1, eerste alinea, onder f), AVG de verwerking van persoonsgegevens rechtmatig voor zover die „noodzakelijk [is] voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”.

106 Zoals het Hof reeds heeft geoordeeld, worden in deze bepaling drie cumulatieve voorwaarden gesteld waaraan moet zijn voldaan opdat de daarin bedoelde verwerkingen van persoonsgegevens rechtmatig zijn, te weten, ten eerste, de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of van een derde, ten tweede, de noodzaak van de verwerking van persoonsgegevens voor de behartiging van het gerechtvaardigde belang, en, ten derde, de voorwaarde dat de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde (arrest van 17 juni 2021, M.I.C.M., C‑597/19, EU:C:2021:492, punt 106 en aldaar aangehaalde rechtspraak).

107 Wat ten eerste de voorwaarde inzake de behartiging van een gerechtvaardigd belang betreft, moet worden verduidelijkt dat het volgens artikel 13, lid 1, onder d), AVG aan de verwerkingsverantwoordelijke staat om bij een verwerking die is gebaseerd op artikel 6, lid 1, eerste alinea, onder f), van deze verordening, de betrokken persoon op het moment waarop persoonsgegevens bij hem worden verzameld, mee te delen welke gerechtvaardigde belangen worden nagestreefd.

108 Ten tweede verplicht de voorwaarde van een verwerking van persoonsgegevens die noodzakelijk is voor de behartiging van het gerechtvaardigde belang, de verwijzende rechter ertoe om na te gaan of het gerechtvaardigde belang dat bestaat bij de verwerking van de gegevens redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die in mindere mate afbreuk doen aan de grondrechten en de fundamentele vrijheden van de betrokkenen, in het bijzonder aan het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens zoals die door de artikelen 7 en 8 van het Handvest worden gewaarborgd [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 110 en aldaar aangehaalde rechtspraak].

109 In dit verband zij er tevens aan herinnerd dat de voorwaarde inzake de noodzaak van de verwerking moet worden onderzocht in samenhang met het zogenoemde beginsel van „minimale gegevensverwerking” van artikel 5, lid 1, onder c), AVG op grond waarvan persoonsgegevens „toereikend [moeten] zijn, ter zake dienend en beperkt [...] tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt” (zie in die zin arrest van 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, punt 48 ).

110 Wat ten derde de voorwaarde betreft volgens welke de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon niet zwaarder mogen wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde, heeft het Hof reeds geoordeeld dat deze voorwaarde een afweging van de betrokken tegengestelde rechten en belangen impliceert die in beginsel afhangt van de omstandigheden van het concrete geval, en dat het bijgevolg aan de verwijzende rechter staat om bij deze afweging rekening te houden met die specifieke omstandigheden (arrest van 17 juni 2021, M.I.C.M., C‑597/19, EU:C:2021:492, punt 111 en aldaar aangehaalde rechtspraak).

111 In dit verband blijkt uit de tekst zelf van artikel 6, lid 1, eerste alinea, onder f), AVG dat ingeval de betrokkene een kind is, daar bij een dergelijke afweging bijzondere aandacht aan moet worden besteed. Volgens overweging 38 van deze verordening hebben kinderen immers recht op specifieke bescherming bij de verwerking van hun persoonsgegevens, aangezien zij zich allicht minder bewust zijn van de betrokken risico’s, gevolgen en waarborgen en van hun rechten in verband met een dergelijke verwerking van persoonsgegevens. Zo’n bijzondere bescherming moet dus met name gelden voor de verwerking van persoonsgegevens van kinderen voor marketingdoeleinden of voor het opstellen van persoonlijkheids- of gebruikersprofielen of het aanbieden van diensten die rechtstreeks op kinderen zijn gericht.

112 Bovendien kunnen, zoals blijkt uit overweging 47 AVG, de belangen en de grondrechten van de betrokkene met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen een dergelijke verwerking redelijkerwijs niet verwachten.

113 In het onderhavige geval verwijst de verwijzende rechter in het kader van de rechtvaardigingsgronden die binnen de werkingssfeer van artikel 6, lid 1, eerste alinea, onder f), AVG kunnen vallen, naar de personalisatie van reclame, netwerkveiligheid, productverbetering, het informeren van autoriteiten die bevoegd zijn voor strafrechtelijke vervolging en de tenuitvoerlegging van straffen, het feit dat de gebruiker minderjarig is, onderzoek en innovatie voor het maatschappelijk belang, alsook het op adverteerders en andere professionele partners gerichte aanbod van diensten op het gebied van marketingcommunicatie met de gebruiker en van middelen voor de analyse van hun prestaties.

114 In dit verband moet om te beginnen worden opgemerkt dat in het verzoek om een prejudiciële beslissing niet wordt toegelicht in welk opzicht onderzoek en innovatie voor het maatschappelijk belang of het feit dat de gebruiker minderjarig is, gerechtvaardigde belangen in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG kunnen vormen op grond waarvan de betrokken gegevens mogen worden verzameld en geëxploiteerd. Bijgevolg kan het Hof zich hier niet over uitspreken.

115 Wat ten eerste de personalisatie van reclame betreft, moet worden opgemerkt dat de verwerking van persoonsgegevens voor direct marketing volgens overweging 47 van deze verordening kan worden beschouwd als een verwerking die tegemoetkomt aan een gerechtvaardigd belang van de verwerkingsverantwoordelijke.

116 Een dergelijke verwerking moet echter ook noodzakelijk zijn voor de behartiging van dat belang, en de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene mogen niet zwaarder wegen dan dat belang. In het kader van deze afweging van de tegengestelde rechten en belangen in kwestie – namelijk die van de verwerkingsverantwoordelijke enerzijds en die van de betrokkene anderzijds – moet, zoals in punt 112 van dit arrest is opgemerkt, met name rekening worden gehouden met de redelijke verwachtingen van de betrokkene alsook met de omvang van de verwerking en de gevolgen ervan voor die persoon.

117 In dit verband moet worden opgemerkt dat de gebruiker van een online sociaal netwerk zoals Facebook, ondanks het feit dat de diensten van dat netwerk kosteloos zijn, er redelijkerwijs geen rekening mee hoeft te houden dat de exploitant van dit sociale netwerk zijn persoonsgegevens zonder zijn toestemming verwerkt ten behoeve van de personalisatie van reclame. In die omstandigheden moet worden geoordeeld dat de belangen en grondrechten van een dergelijke gebruiker zwaarder wegen dan het belang van die exploitant bij een dergelijke personalisatie van de reclame waarmee hij zijn activiteiten financiert, zodat de verwerking die hij voor dergelijke doeleinden verricht, niet onder artikel 6, lid 1, eerste alinea, onder f), AVG kan vallen.

118 Bovendien is de in het hoofdgeding aan de orde zijnde verwerking bijzonder omvangrijk, aangezien deze een potentieel onbeperkt aantal gegevens kan betreffen en ingrijpende gevolgen heeft voor de gebruiker, wiens online activiteiten grotendeels of zelfs bijna helemaal door Meta Platforms Ireland worden gevolgd, hetgeen hem het gevoel kan geven dat zijn privéleven voortdurend in de gaten wordt gehouden.

119 Ten tweede vormt de doelstelling de netwerkbeveiliging te waarborgen, zoals in overweging 49 AVG staat te lezen, een legitiem belang van Meta Platforms Ireland dat de in het hoofdgeding aan de orde zijnde verwerking kan rechtvaardigen.

120 Wat de noodzaak van deze verwerking voor de behartiging van dit gerechtvaardigde belang betreft, zal de verwijzende rechter evenwel moeten nagaan of en in hoeverre de verwerking van persoonsgegevens die zijn verzameld uit bronnen van buiten het online sociale netwerk Facebook, daadwerkelijk noodzakelijk is om te verzekeren dat de interne veiligheid van dat netwerk niet in gevaar wordt gebracht.

121 In deze context zal hij, zoals in de punten 108 en 109 van dit arrest is uiteengezet, ook moeten nagaan of het gerechtvaardigde belang van de gegevensverwerking redelijkerwijs niet even doeltreffend kan worden bereikt met andere middelen die minder inbreuk maken op de grondrechten en de fundamentele vrijheden van de betrokkenen en in het bijzonder op het door de artikelen 7 en 8 van het Handvest gewaarborgde recht op eerbiediging van het privéleven en op bescherming van persoonsgegevens, en of het in artikel 5, lid 1, onder c), AVG neergelegde beginsel van „minimale gegevensverwerking” in acht is genomen.

122 Wat ten derde de doelstelling van productverbetering betreft, valt niet bij voorbaat uit te sluiten dat het belang van de verwerkingsverantwoordelijke om zijn product of dienst te verbeteren teneinde ervoor te zorgen dat de prestaties ervan toenemen en het product of de dienst dus aantrekkelijker wordt, een legitiem belang kan vormen dat een verwerking van persoonsgegevens kan rechtvaardigen, en dat een dergelijke verwerking noodzakelijk kan zijn voor de behartiging van dat belang.

123 Bij de in het hoofdgeding aan de orde zijnde gegevensverwerking lijkt het, onder voorbehoud van de definitieve beoordeling die in dit verband door de verwijzende rechter moet worden verricht, evenwel twijfelachtig of het doel van productverbetering, gelet op de omvang van de verwerking en de ingrijpende gevolgen ervan voor de gebruiker, alsook op de omstandigheid dat deze laatste er redelijkerwijs geen rekening mee hoeft te houden dat die gegevens door Meta Platforms Ireland worden verwerkt, zwaarder kan wegen dan de belangen en grondrechten van die gebruiker, vooral wanneer het daarbij om een kind gaat.

124 Aangaande ten vierde de door de verwijzende rechter genoemde doelstelling om de autoriteiten die bevoegd zijn voor de strafrechtelijke vervolging en de tenuitvoerlegging van straffen te informeren teneinde strafbare feiten te voorkomen, op te sporen en te vervolgen, moet worden vastgesteld dat bij deze doelstelling in beginsel geen sprake is van de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG. Een particuliere marktdeelnemer als Meta Platforms Ireland kan zich immers niet beroepen op een dergelijk gerechtvaardigd belang dat niets te maken heeft met zijn economische en commerciële activiteit. Daarentegen kan de verwerking die een dergelijke marktdeelnemer verricht door deze doelstelling worden gerechtvaardigd wanneer zij objectief noodzakelijk is om te voldoen aan een wettelijke verplichting die op deze marktdeelnemer rust.

125 Gelet op een en ander moet op de derde en de vierde vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder b), AVG aldus moet worden uitgelegd dat de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, slechts noodzakelijk kan worden geacht voor de uitvoering van een overeenkomst waarbij de betrokkenen partij zijn in de zin van deze bepaling, indien die verwerking objectief onontbeerlijk is om een doel te bereiken dat een integrerend deel uitmaakt van de aan deze gebruikers te leveren contractuele prestatie, zodat het hoofddoel van de overeenkomst zonder die verwerking niet zou kunnen worden bereikt.

126 Artikel 6, lid 1, eerste alinea, onder f), AVG moet aldus worden uitgelegd dat een dergelijke verwerking slechts noodzakelijk kan worden geacht voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde in de zin van deze bepaling indien die exploitant de gebruikers bij wie de gegevens zijn verzameld, heeft meegedeeld dat er met de verwerking een gerechtvaardigd belang wordt behartigd, indien deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat belang strikt noodzakelijk is en indien uit een afweging van de tegengestelde belangen in het licht van alle relevante omstandigheden blijkt dat de belangen of grondrechten en fundamentele vrijheden van die gebruikers niet zwaarder wegen dan dit gerechtvaardigde belang van de verwerkingsverantwoordelijke of van een derde.

Vijfde vraag

127 In de eerste plaats moet er, voor zover deze vraag betrekking heeft op artikel 6, lid 1, eerste alinea, onder c) en e), AVG, aan worden herinnerd dat de verwerking van persoonsgegevens op grond van punt c) rechtmatig is indien die noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Voorts is de verwerking volgens punt e) ook rechtmatig als zij noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.

128 In artikel 6, lid 3, AVG wordt met betrekking tot deze twee gevallen waarin de verwerking rechtmatig is, met name gepreciseerd dat de verwerking haar grondslag moet vinden in het Unierecht of het lidstatelijke recht dat op de verwerkingsverantwoordelijke van toepassing is, alsmede dat deze rechtsgrond moet beantwoorden aan een doelstelling van algemeen belang en evenredig moet zijn met het nagestreefde gerechtvaardigde doel.

129 In het onderhavige geval wenst de verwijzende rechter te vernemen of een verwerking van persoonsgegevens als die welke in het hoofdgeding aan de orde is, kan worden geacht gerechtvaardigd te zijn in het licht van artikel 6, lid 1, eerste alinea, onder c), AVG, wanneer daarmee wordt beoogd „te voldoen aan een rechtsgeldig verzoek om bepaalde gegevens”, en in het licht van artikel 6, lid 1, eerste alinea, onder e), van deze verordening wanneer de verwerking „onderzoek ten behoeve van het welzijn van de maatschappij” tot doel heeft en ernaar wordt gestreefd „de bescherming, integriteit en veiligheid te bevorderen”.

130 Er moet evenwel worden vastgesteld dat die rechter het Hof niet de gegevens heeft verstrekt op basis waarvan het zich daarover concreet kan uitspreken.

131 Het staat dus aan de verwijzende rechter om aan de hand van de in punt 128 van dit arrest genoemde voorwaarden na te gaan of de aangevoerde doelstellingen een rechtvaardiging voor die verwerking kunnen vormen.

132 In het bijzonder moet hij, gelet op hetgeen in punt 124 van dit arrest is opgemerkt, met het oog op de toepassing van artikel 6, lid 1, eerste alinea, onder c), AVG nagaan of Meta Platforms Ireland wettelijk verplicht is om preventief persoonsgegevens te verzamelen en te bewaren teneinde te kunnen voldoen aan elk verzoek waarbij een nationale autoriteit bepaalde gegevens over haar gebruikers opvraagt.

133 Evenzo staat het aan die rechter om in het licht van artikel 6, lid 1, eerste alinea, onder e), AVG te beoordelen of Meta Platforms Ireland is belast met een taak van openbaar belang of met een taak in het kader van de uitoefening van het openbaar gezag teneinde met name het onderzoek ten behoeve van het welzijn van de maatschappij te verzekeren en de bescherming, integriteit en veiligheid te bevorderen. Gezien de aard en het hoofdzakelijk economische en commerciële karakter van de activiteit van deze particuliere marktdeelneemster, lijkt het echter weinig waarschijnlijk dat zij met een dergelijke taak is belast.

134 Bovendien moet de verwijzende rechter in voorkomend geval nagaan of de door Meta Platforms Ireland verrichte gegevensverwerking binnen de grenzen van het strikt noodzakelijke blijft, gelet op de omvang van deze verwerking en de ingrijpende gevolgen ervan voor de gebruikers van het online sociale netwerk Facebook.

135 In de tweede plaats is in artikel 6, lid 1, eerste alinea, onder d), AVG bepaald dat de verwerking van persoonsgegevens rechtmatig is wanneer deze noodzakelijk is om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen.

136 Zoals blijkt uit overweging 46 van deze verordening heeft deze bepaling betrekking op de bijzondere situatie waarin de verwerking van persoonsgegevens noodzakelijk is voor de bescherming van een belang dat voor het leven van de betrokkene of dat van een andere natuurlijke persoon essentieel is. Deze verordening citeert in dat verband als voorbeelden met name humanitaire doeleinden, zoals het monitoren van een epidemie en de verspreiding daarvan, en humanitaire noodsituaties, zoals natuurrampen of door de mens veroorzaakte rampen.

137 Uit deze voorbeelden en uit de strikte uitlegging die aan artikel 6, lid 1, eerste alinea, onder d), AVG moet worden gegeven, blijkt, gelet op de aard van de diensten van de exploitant van een online sociaal netwerk, dat een dergelijke exploitant – wiens activiteiten een hoofdzakelijk economisch en commercieel karakter hebben – zich niet kan beroepen op de bescherming van een belang dat voor het leven van zijn gebruikers of van een andere persoon essentieel is teneinde de rechtmatigheid van een gegevensverwerking als die welke in het hoofdgeding aan de orde is, volledig en op zuiver abstracte en preventieve wijze te rechtvaardigen.

138 Gelet op een en ander moet op de vijfde vraag worden geantwoord dat artikel 6, lid 1, eerste alinea, onder c), AVG aldus moet worden uitgelegd dat de verwerking van persoonsgegevens door een exploitant van een online sociaal netwerk die bestaat in het verzamelen van gegevens van de gebruikers van een dergelijk netwerk die afkomstig zijn van andere diensten van het concern waartoe deze exploitant behoort of die voortkomen uit bezoeken van deze gebruikers aan websites of apps van derden, het koppelen van deze gegevens aan hun account bij het online sociale netwerk en het gebruik van deze gegevens, op grond van deze bepaling gerechtvaardigd is wanneer zij daadwerkelijk noodzakelijk is om een wettelijke verplichting na te komen die krachtens een bepaling van Unierecht of het recht van de betrokken lidstaat op de verwerkingsverantwoordelijke rust, wanneer deze rechtsgrondslag beantwoordt aan een doelstelling van algemeen belang en evenredig is aan het nagestreefde gerechtvaardigde doel, en wanneer die verwerking binnen de grenzen van het strikt noodzakelijke blijft.

139 Artikel 6, lid 1, eerste alinea, onder d) en e), AVG moet aldus worden uitgelegd dat een dergelijke verwerking van persoonsgegevens in beginsel en onder voorbehoud van een door de verwijzende rechter te verrichten verificatie niet kan worden geacht noodzakelijk te zijn om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen in de zin van punt d), en evenmin voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen in de zin van punt e).