Αίτηση προδικαστικής αποφάσεως την οποία υπέβαλε το Oberlandesgericht Düsseldorf (Γερμανία) στις 22 Απριλίου 2021 – Facebook Inc. κ.λπ. κατά Bundeskartellamt

(Υπόθεση C-252/21)

Γλώσσα διαδικασίας: η γερμανική

Αιτούν δικαστήριο

Oberlandesgericht Düsseldorf

Διάδικοι στην υπόθεση της κύριας δίκης

Προσφεύγουσες: Facebook Inc., Facebook Ireland Ltd, Facebook Deutschland GmbH

Καθής: Bundeskartellamt

Παρεμβαίνουσα: Verbraucherzentrale Bundesverband e.V.

Προδικαστικά ερωτήματα

α) Συνάδει με τα άρθρα 51 επ. του κανονισμού (ΕΕ) 2016/679¹ (ΓΚΠΔ) περίπτωση κατά την οποία εθνική αντιμονοπωλιακή αρχή κράτους μέλους, όπως η Bundeskartellamt που δεν είναι η κατά την έννοια των ανωτέρω διατάξεων εποπτική αρχή, στο πλαίσιο αντιμονοπωλιακού ελέγχου σε επιχείρηση που έχει την έδρα της εκτός της Ευρωπαϊκής Ένωσης και διατηρεί στο εν λόγω κράτος μέλος εγκατάσταση επιφορτισμένη με την παροχή υποστήριξης στους τομείς της διαφήμισης, της επικοινωνίας και των δημοσίων σχέσεων προς την ευρισκόμενη σε άλλο κράτος μέλος κεντρική της εγκατάσταση η οποία είναι αποκλειστικώς υπεύθυνη για την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε ολόκληρο το έδαφος της Ευρωπαϊκής Ένωσης, διαπιστώνει ότι τόσο οι όροι χρήσης της κεντρικής εγκατάστασης για την επεξεργασία των δεδομένων όσο και η πολιτική της για την προστασία αυτών αντίκεινται στον ΓΚΠΔ και διατάσσει την παύση της παράβασης;

β) Εάν η απάντηση είναι καταφατική: Συνάδει η ανωτέρω περίπτωση με τη διάταξη του άρθρου 4, παράγραφος 3, ΣΕΕ, όταν ταυτόχρονα η επικεφαλής εποπτική αρχή, κατά την έννοια του άρθρου 56, παράγραφος 1, του ΓΚΠΔ, διεξάγει έρευνα στο κράτος μέλος της κεντρικής εγκατάστασης με αντικείμενο τους όρους χρήσης της τελευταίας για την επεξεργασία των δεδομένων;

Εάν η απάντηση στο πρώτο ερώτημα είναι καταφατική:

α) Υπάρχει στην περίπτωση αυτή επεξεργασία ευαίσθητων δεδομένων κατά την έννοια του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, όταν ο χρήστης του διαδικτύου είτε απλώς αναζητεί ιστοσελίδες ή εφαρμογές που πληρούν τα κριτήρια της ανωτέρω διάταξης, όπως επί παραδείγματι εφαρμογές γνωριμιών, ιστοσελίδες εύρεσης συντρόφου για ομοφυλόφιλους, ιστοσελίδες πολιτικών κομμάτων ή ιστοσελίδες για θέματα υγείας, είτε, κατά την εγγραφή του ή την καταχώρηση σχετικής παραγγελίας, εισάγει δεδομένα σε αυτές, και μια τρίτη επιχείρηση, όπως η Facebook Ireland, χρησιμοποιώντας διεπαφές ενσωματωμένες σε ιστοσελίδες και εφαρμογές, όπως τα «εργαλεία επιχειρήσεων του Facebook», ή κάνοντας χρήση «cookies» ή παρόμοιων τεχνολογιών αποθήκευσης εγκατεστημένων στον υπολογιστή ή την κινητή τερματική συσκευή, συλλέγει δεδομένα σχετικά με τις αναζητήσεις του χρήστη σε ιστοσελίδες και εφαρμογές καθώς και δεδομένα που ο ίδιος καταχωρεί, τα συσχετίζει με εκείνα του λογαριασμού του στο Facebook.com και τα χρησιμοποιεί η ίδια;

β) Εάν η απάντηση είναι καταφατική: Υπάρχει πρόδηλη δημοσιοποίηση των δεδομένων της ίδιας της αναζήτησης ή/και των προσωπικών δεδομένων που καταχωρήθηκαν από τον ίδιο τον χρήστη κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο ε΄, του ΓΚΠΔ, όταν ο τελευταίος έχει προβεί σε απλή αναζήτηση των ως άνω ιστοσελίδων και εφαρμογών ή/και σε καταχώρηση των δεδομένων του στις επιλογές που είναι ενσωματωμένες στις ως άνω ιστοσελίδες ή εφαρμογές («προσθήκες μέσων κοινωνικής δικτύωσης» [plug ins], όπως «μου αρέσει» ή «σύνδεση στο Facebook» ή «κοινοποίηση» ή «στοιχεία λογαριασμού») παρόχου κοινωνικής δικτύωσης όπως η Facebook Ireland ή/και όταν έχει απλώς επιλέξει στην οθόνη τις παραπάνω ενδείξεις;

Μπορεί μια επιχείρηση όπως η Facebook Ireland, που εκμεταλλεύεται ένα ψηφιακό μέσο κοινωνικής δικτύωσης και δυνάμει των όρων χρήσης των υπηρεσιών της παρέχει εξατομίκευση περιεχομένου και διαφημίσεων, ασφάλεια δικτύου καθώς και συνεχή και αδιάλειπτη χρήση όλων των υπηρεσιών που παρέχονται από άλλες εταιρίες του ομίλου της, να δικαιολογήσει την επεξεργασία δεδομένων με το επιχείρημα ότι η επεξεργασία είναι απαραίτητη βάσει του άρθρου 6, παράγραφος 1, στοιχείο β΄, του ΓΚΠΔ, για την εκτέλεση της σύμβασης που έχει συνάψει με τους χρήστες ή ότι αποσκοπεί βάσει του άρθρου 6, παράγραφος 1, στοιχείο στ΄, του ΓΚΠΔ στην προστασία έννομων συμφερόντων, όταν η εν λόγω επιχείρηση, προς εξυπηρέτηση των ανωτέρω σκοπών, συλλέγει δεδομένα από υπηρεσίες που παρέχουν άλλες εταιρίες του δικού της ομίλου, καθώς και από ιστοσελίδες και εφαρμογές τρίτων χρησιμοποιώντας είτε ενσωματωμένες διεπαφές, όπως τα «εργαλεία επιχειρήσεων της Facebook», είτε «cookies» ή παρόμοιες τεχνολογίες αποθήκευσης εγκατεστημένες στον υπολογιστή ή την κινητή τερματική συσκευή του χρήστη του διαδικτύου, εν συνεχεία τα συσχετίζει με τα δεδομένα του λογαριασμού του στο Facebook.com και τα χρησιμοποιεί;

Μπορούν να θεωρηθούν σε μια τέτοια περίπτωση ως έννομα συμφέροντα κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο στ΄, του ΓΚΠΔ και

– η ανηλικότητα του χρήστη όταν πρόκειται για την εξατομίκευση του περιεχομένου και των διαφημίσεων, τη βελτίωση των υπηρεσιών, την ασφάλεια του δικτύου και τον αποκλεισμό επικοινωνίας μαζί του για σκοπούς προώθησης πωλήσεων,

– η διάθεση στοιχείων μετρήσεων και αναλύσεων και η παροχή παρόμοιων επαγγελματικών υπηρεσιών προς διαφημιστές, προγραμματιστές και λοιπούς συνεργαζόμενους επαγγελματίες, προκειμένου αυτοί να είναι σε θέση να αξιολογούν και να βελτιώνουν τις υπηρεσίες τους,

– η δυνατότητα επικοινωνίας με τον χρήστη για σκοπούς προώθησης πωλήσεων, προκειμένου η επιχείρηση να είναι σε θέση να βελτιώνει τα προϊόντα της και να πραγματοποιεί απευθείας πωλήσεις,

– η έρευνα και καινοτομία προς όφελος του κοινωνικού συνόλου με την προώθηση του τεχνολογικού επιπέδου και των επιστημονικών αντιλήψεων σε σχέση με σημαντικά κοινωνικά ζητήματα καθώς και την άσκηση θετικής επιρροής στην κοινωνία και στον κόσμο,

– η ενημέρωση διωκτικών και δικαστικών αρχών και η παροχή πληροφοριών νομικού περιεχομένου κατόπιν σχετικού αιτήματος με σκοπό την πρόληψη, διερεύνηση και δίωξη αξιόποινων πράξεων, μη εξουσιοδοτημένης χρήσης, παραβάσεων όρων χρήσης και πολιτικών προστασίας δεδομένων καθώς και παρόμοιων επιζήμιων συμπεριφορών,

όταν η επιχείρηση, προς εξυπηρέτηση των ανωτέρω σκοπών, συλλέγει δεδομένα από υπηρεσίες που παρέχουν άλλες εταιρίες του δικού της ομίλου, καθώς και από ιστοσελίδες και εφαρμογές τρίτων χρησιμοποιώντας είτε ενσωματωμένες διεπαφές, όπως τα «εργαλεία επιχειρήσεων του Facebook», είτε «cookies» ή παρόμοιες τεχνολογίες αποθήκευσης εγκατεστημένες στον υπολογιστή ή την κινητή τερματική συσκευή του χρήστη του διαδικτύου, εν συνεχεία τα συσχετίζει με τα δεδομένα του λογαριασμού του στο Facebook.com και τα χρησιμοποιεί;

Είναι δυνατόν σε μια τέτοια περίπτωση η συλλογή δεδομένων από υπηρεσίες άλλων εταιριών του ιδίου ομίλου καθώς και από ιστοσελίδες και εφαρμογές τρίτων είτε μέσω ενσωματωμένων σε αυτές διεπαφών όπως τα «εργαλεία επιχειρήσεων της Facebook», είτε μέσω «cookies» ή παρόμοιων τεχνολογιών αποθήκευσης εγκατεστημένων στον υπολογιστή ή την κινητή τερματική συσκευή του χρήστη του διαδικτύου, ο συσχετισμός τους με τα δεδομένα του λογαριασμού του στο Facebook.com και η αξιοποίηση αυτών ή, άλλως, η χρησιμοποίηση δεδομένων που έχουν ήδη συλλεγεί νόμιμα από αλλού και έχουν συσχετισθεί, να δικαιολογούνται κατά περίπτωση και βάσει του άρθρου 6, παράγραφος 1, στοιχεία γ΄, δ΄, και ε΄, του ΓΚΠΔ, όταν έχουν σκοπό την παροχή πληροφοριών κατόπιν νόμιμου σχετικού αιτήματος για συγκεκριμένα δεδομένα (στοιχείο γ΄), την καταπολέμηση επιζήμιων συμπεριφορών και την προώθηση της ασφάλειας (στοιχείο δ΄), την έρευνα προς όφελος της κοινωνίας και την προώθηση της προστασίας της ακεραιότητας και της ασφάλειας (στοιχείο ε΄);

Μπορεί να είναι έγκυρη κατά την έννοια των άρθρων 6, παράγραφος 1, στοιχείο α΄, και 9, παράγραφος 2, στοιχείο α΄, του ΓΚΠΔ, ιδίως μάλιστα να είναι ελεύθερη κατά το άρθρο 4, σημείο 11, του ΓΚΠΔ, δήλωση συγκατάθεσης χρήστη απευθυντέα προς επιχείρηση η οποία κατέχει δεσπόζουσα θέση, όπως η Facebook Ireland;

Εάν η απάντηση στο πρώτο ερώτημα είναι αρνητική:

α) Δύναται εθνική αντιμονοπωλιακή αρχή κράτους μέλους, όπως η Bundeskartellamt, η οποία δεν αποτελεί την εποπτική αρχή υπό την έννοια των άρθρων 51 επ. του ΓΚΠΔ, και διενεργεί έλεγχο για παραβίαση της απαγόρευσης κατάχρησης κατά την αντιμονοπωλιακή νομοθεσία από επιχείρηση που κατέχει δεσπόζουσα θέση, να αποφανθεί στο πλαίσιο της σταθμίσεως συμφερόντων επιπλέον και επί του ζητήματος εάν οι όροι χρήσης της εν λόγω επιχείρησης για την επεξεργασία των δεδομένων και η πολιτική της για την προστασία αυτών συνάδουν προς τον ΓΚΠΔ, μολονότι η ελεγχόμενη παραβίαση δεν αφορά παράβαση του ΓΚΠΔ που ανάγεται στους όρους χρήσης και την πολιτική προστασίας δεδομένων;

β) Εάν η απάντηση είναι καταφατική: Ισχύει τούτο υπό το πρίσμα του άρθρου 4, παράγραφος 3, ΣΕΕ, ακόμη και όταν οι συμβατικοί όροι που χρησιμοποιεί η ως άνω επιχείρηση για την επεξεργασία δεδομένων ελέγχονται ταυτόχρονα και από την αρμόδια κατά το άρθρο 56, παράγραφος 1, του ΓΚΠΔ επικεφαλής εποπτική αρχή;

Εάν η απάντηση στο έβδομο ερώτημα είναι καταφατική, το τρίτο, τέταρτο και πέμπτο ερώτημα πρέπει να απαντηθούν και όσον αφορά τα δεδομένα που συλλέγονται κατά τη χρήση της υπηρεσίας Instagram που παρέχεται από επιχείρηση του ίδιου ομίλου.

____________

¹     Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1).