ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
ΑΘΑΝΑΣΙΟΥ ΡΑΝΤΟΥ
της 20ής Σεπτεμβρίου 2022 (1)
Υπόθεση C‑252/21
Meta Platforms Inc., πρώην Facebook Inc.,
Meta Platforms Ireland Limited, πρώην Facebook Ireland Ltd.,
Facebook Deutschland GmbH
κατά
Bundeskartellamt
παρισταμένης της:
Verbraucherzentrale Bundesverband e.V.
[αίτηση του Oberlandesgericht Düsseldorf
(ανώτερου περιφερειακού δικαστηρίου Ντίσελντορφ, Γερμανία)
για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Κανονισμός (ΕΕ) 2016/679 – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κοινωνικά δίκτυα – Άρθρο 4, σημείο 11 – Έννοια της “συγκατάθεσης” του υποκειμένου των δεδομένων – Συγκατάθεση παρεχόμενη σε επιχείρηση υπεύθυνη επεξεργασίας που κατέχει δεσπόζουσα θέση – Άρθρο 6, παράγραφος 1, στοιχεία βʹ έως στʹ – Νομιμότητα της επεξεργασίας – Επεξεργασία – Επεξεργασία απαραίτητη για την εκτέλεση σύμβασης στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για τους σκοπούς των εννόμων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος – Επεξεργασία απαραίτητη για τη συμμόρφωση με νόμιμη υποχρέωση του υπευθύνου επεξεργασίας, για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου ή για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας – Άρθρο 9, παράγραφος 1, και παράγραφος 2, στοιχείο εʹ – Ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα – Δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων – Άρθρα 51 έως 66 – Αρμοδιότητες της εθνικής αρχής ανταγωνισμού – Συνάρθρωση με τις αρμοδιότητες των εποπτικών αρχών προστασίας των προσωπικών δεδομένων – Λήψη μέτρων βάσει του δικαίου του ανταγωνισμού από αρχή εδρεύουσα σε κράτος μέλος άλλο από εκείνο της επικεφαλής εποπτικής αρχής προστασίας των δεδομένων»
Εισαγωγή
1. Η υπό κρίση αίτηση προδικαστικής αποφάσεως υποβλήθηκε από το Oberlandesgericht Düsseldorf (ανώτερο περιφερειακό δικαστήριο Ντίσελντορφ, Γερμανία) στο πλαίσιο ένδικης διαφοράς μεταξύ εταιριών του ομίλου Meta Platforms (2) και της Bundeskartellamt (ομοσπονδιακής αρχής ανταγωνισμού, Γερμανία), με αντικείμενο την απόφαση με την οποία η εν λόγω αρχή απαγόρευσε στην προσφεύγουσα της κύριας δίκης την επεξεργασία των δεδομένων που προβλέπεται από τους όρους χρήσης του κοινωνικού της δικτύου Facebook, καθώς και την εφαρμογή των εν λόγω όρων χρήσης, και επέβαλε μέτρα παύσεως των δραστηριοτήτων αυτών (3).
2. Τα προδικαστικά ερωτήματα αφορούν, κατ’ ουσίαν, αφενός, την αρμοδιότητα εθνικής αρχής ανταγωνισμού, όπως η Bundeskartellamt, να εξετάζει, κυρίως ή παρεμπιπτόντως, τη συμπεριφορά επιχείρησης υπό το πρίσμα ορισμένων διατάξεων του κανονισμού (ΕΕ) 2016/679 (4) και, αφετέρου, την ερμηνεία των διατάξεων αυτών όσον αφορά, μεταξύ άλλων, την επεξεργασία ευαίσθητων δεδομένων προσωπικού χαρακτήρα, τις κρίσιμες προϋποθέσεις για τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και την παροχή ελεύθερης συγκατάθεσης έναντι επιχείρησης που κατέχει δεσπόζουσα θέση.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3. Το άρθρο 4 του ΓΚΠΔ προβλέπει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού, νοούνται ως:
[…]
11) “συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, εν πλήρει επιγνώσει και αδιαμφισβήτητη, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν,
[…]».
4. Το άρθρο 6, παράγραφος 1, του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», ορίζει τα εξής:
«Η επεξεργασία είναι σύννομη μόνον εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,
γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,
δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου,
ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,
στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους.»
5. Το άρθρο 9, παράγραφοι 1 και 2, του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα», ορίζει τα εξής:
«1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.
2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων,
[…]
ε) η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων,
[…]».
6. Το άρθρο 51 του ίδιου κανονισμού, με τίτλο «Εποπτική αρχή», που περιλαμβάνεται στο κεφάλαιο VI του εν λόγω κανονισμού, το οποίο επιγράφεται «Ανεξάρτητες εποπτικές αρχές», ορίζει τα εξής:
«1. Κάθε κράτος μέλος διασφαλίζει ότι μία ή περισσότερες ανεξάρτητες δημόσιες αρχές επιφορτίζονται με την παρακολούθηση της εφαρμογής του παρόντος κανονισμού, με σκοπό την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας που τα αφορούν και τη διευκόλυνση της ελεύθερης κυκλοφορίας δεδομένων προσωπικού χαρακτήρα στην Ένωση […]
2. Κάθε εποπτική αρχή συμβάλλει στη συνεκτική εφαρμογή του παρόντος κανονισμού σε ολόκληρη την Ένωση. Για τον σκοπό αυτόν, οι εποπτικές αρχές συνεργάζονται μεταξύ τους και με την Επιτροπή σύμφωνα με το κεφάλαιο VII.
[…]»
Το γερμανικό δίκαιο
7. Το άρθρο 19, παράγραφος 1, του Gesetz gegen Wettbewerbsbeschränkungen (νόμου κατά των περιορισμών του ανταγωνισμού, στο εξής: GWB) ορίζει τα εξής:
«Απαγορεύεται η καταχρηστική εκμετάλλευση δεσπόζουσας θέσης από μία ή περισσότερες επιχειρήσεις.» (5)
8. Το άρθρο 50f του GWB προβλέπει τα εξής:
«(1) Οι αρχές ανταγωνισμού, οι ρυθμιστικές αρχές, ο ομοσπονδιακός υπεύθυνος για την προστασία των δεδομένων και της ελεύθερης πληροφόρησης, οι περιφερειακοί υπεύθυνοι για την προστασία των δεδομένων, καθώς και οι αρμόδιες αρχές κατά το άρθρο 2 του EU-Verbraucherschutzdurchführungsgesetz [νόμου περί εφαρμογής του δικαίου προστασίας των καταναλωτών της Ευρωπαϊκής Ένωσης] μπορούν, ανεξαρτήτως της επιλεγείσας διαδικασίας, να ανταλλάσσουν πληροφορίες, συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα και των πληροφοριών που καλύπτονται από εμπορικό και επιχειρηματικό απόρρητο, εφόσον τούτο είναι αναγκαίο για την εκτέλεση των αντίστοιχων καθηκόντων τους, καθώς και να χρησιμοποιούν τις πληροφορίες αυτές στο πλαίσιο των διαδικασιών τους. […]»
Η διαφορά της κύριας δίκης, τα προδικαστικά ερωτήματα και η διαδικασία ενώπιον του Δικαστηρίου
9. Η Meta Platforms διαχειρίζεται τη λειτουργία του ηλεκτρονικού μέσου κοινωνικής δικτύωσης «Facebook» στην Ευρωπαϊκή Ένωση (στη διεύθυνση www.facebook.com), καθώς και άλλων διαδικτυακών υπηρεσιών, μεταξύ των οποίων το Instagram και το WhatsApp. Το επιχειρηματικό μοντέλο των κοινωνικών δικτύων που διαχειρίζεται η Meta Platforms συνίσταται κατ’ ουσίαν, αφενός, στην παροχή δωρεάν υπηρεσιών κοινωνικής δικτύωσης για τους ιδιώτες χρήστες και, αφετέρου, στην πώληση διαδικτυακής διαφήμισης, προσαρμοσμένης στους μεμονωμένους χρήστες του μέσου κοινωνικής δικτύωσης, η οποία αποσκοπεί στην προβολή προς τον χρήστη των προϊόντων και των υπηρεσιών που θα μπορούσαν να τον ενδιαφέρουν, βάσει, μεταξύ άλλων, της προσωπικής του καταναλωτικής συμπεριφοράς, των ενδιαφερόντων του, της αγοραστικής του δύναμης και της προσωπικής του κατάστασης. Από τεχνικής απόψεως, το συγκεκριμένο είδος διαφήμισης στηρίζεται στην αυτοματοποιημένη κατάρτιση πολύ λεπτομερών προφίλ των χρηστών του δικτύου και των διαδικτυακών υπηρεσιών που παρέχονται στο επίπεδο του ομίλου (6).
10. Για τη συλλογή και την επεξεργασία των δεδομένων των χρηστών, η Meta Platforms στηρίζεται στη σύμβαση χρήσης που συνάπτεται με τους χρήστες μέσω της ενεργοποίησης του πλήκτρου «Εγγραφή», με την οποία οι εν λόγω χρήστες αποδέχονται κατ’ αυτόν τον τρόπο τους όρους χρήσης του Facebook. Η αποδοχή των εν λόγω όρων χρήσης αποτελεί ουσιώδη προϋπόθεση για τη χρήση του κοινωνικού δικτύου Facebook (7). Στο επίκεντρο της υπό κρίση υποθέσεως βρίσκεται η πρακτική η οποία συνίσταται, πρώτον, στη συλλογή δεδομένων που προέρχονται από άλλες υπηρεσίες του ομίλου, καθώς και από ιστότοπους και εφαρμογές τρίτων, μέσω διεπαφών που ενσωματώνονται στους ιστότοπους και τις εφαρμογές αυτές ή μέσω των cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη, δεύτερον, στη συσχέτιση των δεδομένων αυτών με τον λογαριασμό Facebook του οικείου χρήστη και, τρίτον, στη χρήση των εν λόγω δεδομένων (στο εξής: επίμαχη πρακτική).
11. Η Bundeskartellamt κίνησε διαδικασία κατά της Meta Platforms, κατόπιν της οποίας της απαγόρευσε, διά της επίμαχης αποφάσεως, την επεξεργασία των δεδομένων που προβλέπεται από τους όρους χρήσης του Facebook, καθώς και την εφαρμογή των εν λόγω όρων, και της επέβαλε μέτρα για την παύση των δραστηριοτήτων αυτών. Η Bundeskartellamt στήριξε την αιτιολογία της αποφάσεώς της, μεταξύ άλλων, στο ότι η επίμαχη επεξεργασία συνιστά καταχρηστική εκμετάλλευση της δεσπόζουσας θέσης της εν λόγω εταιρίας στην αγορά των κοινωνικών δικτύων για τους ιδιώτες χρήστες στη Γερμανία, κατά την έννοια του άρθρου 19 του GWB (8).
12. Στις 11 Φεβρουαρίου 2019, η Meta Platforms άσκησε προσφυγή κατά της επίμαχης αποφάσεως ενώπιον του Oberlandesgericht Düsseldorf (ανώτερου περιφερειακού δικαστηρίου Ντίσελντορφ) (9), ήτοι του αιτούντος δικαστηρίου, το οποίο, κατ’ ουσίαν, διατηρεί αμφιβολίες, αφενός, ως προς τη δυνατότητα των εθνικών αρχών ανταγωνισμού να ελέγχουν κατά πόσον η επεξεργασία δεδομένων είναι σύμφωνη με τις απαιτήσεις του ΓΚΠΔ, καθώς και να διαπιστώνουν την παράβαση των διατάξεων του εν λόγω κανονισμού και να επιβάλλουν κυρώσεις για την παράβαση αυτή, και αφετέρου, ως προς την ερμηνεία και την εφαρμογή ορισμένων διατάξεων του κανονισμού αυτού.
13. Υπό τις συνθήκες αυτές, το Oberlandesgericht Düsseldorf (ανώτερο περιφερειακό δικαστήριο Ντίσελντορφ) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) α) Συνάδει με τα άρθρα 51 επ. του ΓΚΠΔ περίπτωση κατά την οποία εθνική αρχή ανταγωνισμού κράτους μέλους, όπως η Bundeskartellamt, η οποία δεν είναι εποπτική αρχή κατά την έννοια των άρθρων 51 επ. του ΓΚΠΔ, στο πλαίσιο ελέγχου καταχρηστικών από την άποψη του δικαίου του ανταγωνισμού πρακτικών σε επιχείρηση που έχει την έδρα της εκτός της Ευρωπαϊκής Ένωσης και διατηρεί στο εν λόγω κράτος μέλος εγκατάσταση επιφορτισμένη με την παροχή υποστήριξης στους τομείς της διαφήμισης, της επικοινωνίας και των δημοσίων σχέσεων προς την ευρισκόμενη σε άλλο κράτος μέλος κύρια εγκατάσταση της επιχείρησης αυτής η οποία είναι αποκλειστικώς υπεύθυνη για την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ευρωπαϊκή Ένωση, διαπιστώνει ότι οι συμβατικοί όροι της κύριας εγκατάστασης σχετικά με την επεξεργασία των δεδομένων, καθώς και η εφαρμογή των όρων αυτών, συνιστούν παράβαση του ΓΚΠΔ και διατάσσει την παύση της παραβάσεως αυτής;
β) Εάν η απάντηση είναι καταφατική: Συνάδει με τη διάταξη του άρθρου 4, παράγραφος 3, ΣΕΕ, το να διεξάγεται συγχρόνως από την επικεφαλής εποπτική αρχή, στο κράτος μέλος της κύριας εγκατάστασης, διαδικασία ελέγχου σύμφωνα με το άρθρο 56, παράγραφος 1, του ΓΚΠΔ, με αντικείμενο τους συμβατικούς όρους της τελευταίας σχετικά με την επεξεργασία δεδομένων;
Εάν η απάντηση στο πρώτο ερώτημα είναι καταφατική:
2) α) Υπάρχει επεξεργασία ευαίσθητων δεδομένων [προσωπικού χαρακτήρα] κατά την έννοια του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, στην περίπτωση που ο χρήστης του διαδικτύου, είτε απλώς επισκέπτεται ιστοσελίδες ή εφαρμογές που έχουν σχέση με τα κριτήρια της ως άνω διατάξεως, όπως εφαρμογές αναζήτησης συντρόφων, εφαρμογές γνωριμιών για ομοφυλόφιλους, ιστοσελίδες πολιτικών κομμάτων ή ιστοσελίδες για θέματα υγείας, είτε εισάγει δεδομένα, για παράδειγμα κατά την εγγραφή του ή κατά την πραγματοποίηση παραγγελιών, και μια τρίτη επιχείρηση, όπως η Facebook Ireland, μέσω ενσωματωμένων διεπαφών, όπως τα “Εργαλεία Facebook Business”, ή μέσω cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη του διαδικτύου, ή μέσω παρόμοιων τεχνολογιών αποθήκευσης, συλλέγει τα δεδομένα που αφορούν τις επισκέψεις του χρήστη στις εν λόγω ιστοσελίδες και εφαρμογές καθώς και τα δεδομένα που αυτός εισάγει, συσχετίζει τα εν λόγω δεδομένα με εκείνα του λογαριασμού [Facebook] του χρήστη και τα χρησιμοποιεί;
β) Εάν η απάντηση είναι καταφατική: Υπάρχει πρόδηλη δημοσιοποίηση των δεδομένων που αφορούν αυτή καθεαυτήν την επίσκεψη ή/και των προσωπικών δεδομένων που εισάγει ο χρήστης, κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, όταν ο χρήστης επισκέπτεται τις εν λόγω ιστοσελίδες και εφαρμογές ή/και καταχωρεί δεδομένα ή/και επιλέγει τα ενσωματωμένα στις εν λόγω ιστοσελίδες ή εφαρμογές πλήκτρα επιλογής ενός παρόχου υπηρεσιών κοινωνικής δικτύωσης όπως η Facebook Ireland (“plugins” κοινωνικών δικτύων, όπως “Μου αρέσει”, “Κοινοποίηση” ή “Σύνδεση Facebook” ή “Account Kit”);
3) Μπορεί μια επιχείρηση όπως η Facebook Ireland, η οποία εκμεταλλεύεται ένα κοινωνικό δίκτυο που χρηματοδοτείται από διαφημίσεις και η οποία, δυνάμει των όρων χρήσης των υπηρεσιών της, παρέχει εξατομίκευση του περιεχομένου και των διαφημίσεων, ασφάλεια του δικτύου, βελτίωση του προϊόντος καθώς και συνεχή και απρόσκοπτη χρήση όλων των προϊόντων του ομίλου, να ισχυριστεί ότι η επεξεργασία των δεδομένων δικαιολογείται λόγω του ότι είναι απαραίτητη για την εκτέλεση της σύμβασης, σύμφωνα με το άρθρο 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, ή λόγω του ότι αποσκοπεί στην επιδίωξη έννομων συμφερόντων, σύμφωνα με το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, όταν η εν λόγω επιχείρηση, προς εξυπηρέτηση των ανωτέρω σκοπών, συλλέγει δεδομένα που προέρχονται από άλλες υπηρεσίες του ομίλου και από ιστοσελίδες και εφαρμογές τρίτων, μέσω ενσωματωμένων στις εν λόγω ιστοσελίδες και εφαρμογές διεπαφών, όπως τα “Εργαλεία Facebook Business”, είτε μέσω cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη του διαδικτύου, είτε μέσω παρόμοιων τεχνολογιών αποθήκευσης, συσχετίζει τα εν λόγω δεδομένα με τον λογαριασμό [Facebook] του χρήστη και τα χρησιμοποιεί;
4) Σε μια τέτοια περίπτωση, μπορούν να θεωρηθούν ως έννομα συμφέροντα κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ
– η ανηλικότητα του χρήστη, σε σχέση με τους σκοπούς εξατομίκευσης του περιεχομένου και των διαφημίσεων, της βελτίωσης των υπηρεσιών, της ασφάλειας του δικτύου και του αποκλεισμού επικοινωνίας μαζί του για σκοπούς προώθησης πωλήσεων,
– η διάθεση στοιχείων μετρήσεων και αναλύσεων και η παροχή παρόμοιων επαγγελματικών υπηρεσιών προς διαφημιστές, προγραμματιστές και λοιπούς συνεργαζόμενους επαγγελματίες, προκειμένου αυτοί να είναι σε θέση να αξιολογούν και να βελτιώνουν τις υπηρεσίες τους,
– η παροχή δυνατότητας επικοινωνίας με τον χρήστη για σκοπούς προώθησης πωλήσεων, προκειμένου η επιχείρηση να είναι σε θέση να βελτιώνει τα προϊόντα της και να πραγματοποιεί απευθείας πωλήσεις,
– η έρευνα και καινοτομία προς όφελος του κοινωνικού συνόλου, με σκοπό τη βελτίωση του τεχνολογικού επιπέδου και των επιστημονικών γνώσεων σε σχέση με σημαντικά κοινωνικά ζητήματα καθώς και την άσκηση θετικής επιρροής στην κοινωνία και στον κόσμο,
– η ενημέρωση των αρμόδιων διωκτικών και δικαστικών αρχών και η ικανοποίηση νομίμως υποβαλλόμενων αιτημάτων παροχής πληροφοριών, με σκοπό την πρόληψη, διερεύνηση και δίωξη αξιόποινων πράξεων, παραβάσεων των όρων χρήσης και της πολιτικής προστασίας δεδομένων, καθώς και παρόμοιων επιζήμιων συμπεριφορών,
όταν η επιχείρηση, προς εξυπηρέτηση των ανωτέρω σκοπών, συλλέγει δεδομένα που προέρχονται από άλλες υπηρεσίες του ομίλου και από ιστοσελίδες και εφαρμογές τρίτων, μέσω ενσωματωμένων στις εν λόγω ιστοσελίδες και εφαρμογές διεπαφών, όπως τα “Εργαλεία Facebook Business”, ή μέσω cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη του διαδικτύου, ή μέσω παρόμοιων τεχνολογιών αποθήκευσης, συσχετίζει τα εν λόγω δεδομένα με τον λογαριασμό [Facebook] του χρήστη και τα χρησιμοποιεί;
5) Σε μια τέτοια περίπτωση, είναι δυνατόν η συλλογή δεδομένων που προέρχονται από άλλες υπηρεσίες του ομίλου, καθώς και από ιστοσελίδες και εφαρμογές τρίτων, μέσω ενσωματωμένων στις εν λόγω ιστοσελίδες και εφαρμογές διεπαφών, όπως τα “Εργαλεία Facebook Business”, ή μέσω cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη του διαδικτύου, η συσχέτισή τους με τον λογαριασμό [Facebook] του χρήστη και η χρήση των δεδομένων αυτών ή η χρήση δεδομένων που έχουν ήδη συλλεγεί με άλλον νόμιμο τρόπο και έχουν συσχετισθεί, να δικαιολογούνται, κατά περίπτωση, βάσει του άρθρου 6, παράγραφος 1, στοιχεία γʹ, δʹ, και εʹ, του ΓΚΠΔ, όταν έχουν σκοπό, για παράδειγμα, την ικανοποίηση νομίμως υποβληθέντος αιτήματος παροχής ορισμένων δεδομένων (στοιχείο γʹ), την καταπολέμηση επιζήμιων συμπεριφορών και την ενίσχυση της ασφάλειας (στοιχείο δʹ), την έρευνα προς όφελος της κοινωνίας και την ενίσχυση της προστασίας, της ακεραιότητας και της ασφάλειας (στοιχείο εʹ);
6) Είναι δυνατόν να παρέχεται έγκυρη και, ιδίως, ελεύθερη, κατά το άρθρο 4, σημείο 11, του ΓΚΠΔ, συγκατάθεση σε επιχείρηση που κατέχει δεσπόζουσα θέση, όπως η Facebook Ireland, σύμφωνα με το άρθρο 6, παράγραφος 1, στοιχείο αʹ, και με το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ;
Εάν η απάντηση στο πρώτο ερώτημα είναι αρνητική:
7) α) Δύναται εθνική αρχή ανταγωνισμού κράτους μέλους, όπως η Bundeskartellamt, η οποία δεν αποτελεί εποπτική αρχή κατά την έννοια των άρθρων 51 επ. του ΓΚΠΔ και η οποία διενεργεί έλεγχο για παράβαση της απαγόρευσης των καταχρηστικών πρακτικών στον τομέα του δικαίου του ανταγωνισμού διαπραχθείσα από επιχείρηση που κατέχει δεσπόζουσα θέση, να αποφανθεί, για παράδειγμα στο πλαίσιο της σταθμίσεως των συμφερόντων, και επί του ζητήματος αν οι όροι της εν λόγω επιχείρησης σχετικά με την επεξεργασία δεδομένων και η εφαρμογή των όρων αυτών συνάδουν προς τον ΓΚΠΔ, μολονότι η ελεγχόμενη παράβαση δεν συνιστά παράβαση του ΓΚΠΔ αναγόμενη στους όρους επεξεργασίας των δεδομένων και την εφαρμογή τους;
β) Εάν η απάντηση είναι καταφατική: Ισχύει τούτο, υπό το πρίσμα του άρθρου 4, παράγραφος 3, ΣΕΕ, ακόμη και στην περίπτωση που οι συμβατικοί όροι της εν λόγω επιχείρησης σχετικά με την επεξεργασία δεδομένων ελέγχονται ταυτόχρονα και από την αρμόδια κατά το άρθρο 56, παράγραφος 1, του ΓΚΠΔ επικεφαλής εποπτική αρχή;
Εάν η απάντηση στο έβδομο ερώτημα είναι καταφατική, το τρίτο, τέταρτο και πέμπτο ερώτημα είναι αναγκαίο να απαντηθούν και όσον αφορά τα δεδομένα που προέρχονται από τη χρήση της υπηρεσίας Instagram που παρέχεται από επιχείρηση του ίδιου ομίλου.»
14. Γραπτές παρατηρήσεις κατέθεσαν η Meta Platforms, η Γερμανική, η Τσεχική, η Ιταλική και η Αυστριακή Κυβέρνηση, η Bundeskartellamt, η Verbraucherzentrale Bundesverband e.V. (ένωση καταναλωτών, Γερμανία), καθώς και η Ευρωπαϊκή Επιτροπή. Οι εν λόγω διάδικοι και μετέχοντες στη διαδικασία ανέπτυξαν επίσης προφορικώς τις παρατηρήσεις τους κατά την επ’ ακροατηρίου συζήτηση, η οποία διεξήχθη στις 10 Μαΐου 2022.
Ανάλυση
15. Τα προδικαστικά ερωτήματα της υπό κρίση υποθέσεως, τα οποία είναι σχετικά με την ερμηνεία διαφόρων διατάξεων του ΓΚΠΔ, αφορούν, κατ’ ουσίαν, πρώτον, την αρμοδιότητα αρχής ανταγωνισμού να διαπιστώνει παράβαση των κανόνων περί επεξεργασίας δεδομένων προσωπικού χαρακτήρα και να επιβάλλει κυρώσεις για την παράβαση αυτή, καθώς και την υποχρέωσή της να συνεργάζεται με την κατά τον ΓΚΠΔ επικεφαλής εποπτική αρχή (πρώτο και έβδομο προδικαστικό ερώτημα), δεύτερον, την απαγόρευση της επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα και τις ισχύουσες προϋποθέσεις για την παροχή συγκατάθεσης στη χρήση των δεδομένων αυτών (δεύτερο προδικαστικό ερώτημα), τρίτον, τη νομιμότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα υπό το πρίσμα ορισμένων δικαιολογητικών λόγων (τρίτο έως πέμπτο προδικαστικό ερώτημα) και, τέταρτον, το κύρος της συγκατάθεσης στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που παρέχεται σε κατέχουσα δεσπόζουσα θέση επιχείρηση (έκτο προδικαστικό ερώτημα).
16. Στα σημεία που ακολουθούν, θα εξετάσω, κατ’ αρχάς, το πρώτο και το έβδομο προδικαστικό ερώτημα και, εν συνεχεία, τα υπόλοιπα ερωτήματα, με τη σειρά που υποβλήθηκαν, εκ των οποίων το τρίτο, τέταρτο και πέμπτο προδικαστικό ερώτημα από κοινού.
Επί του πρώτου προδικαστικού ερωτήματος
17. Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί εάν αρχή ανταγωνισμού δύναται, κατά τη δίωξη παραβάσεων των κανόνων του ανταγωνισμού, αφενός μεν, να αποφανθεί, κυρίως και όχι παρεμπιπτόντως (10), επί της παραβάσεως των κανόνων του ΓΚΠΔ περί επεξεργασίας δεδομένων από επιχείρηση της οποίας η κύρια εγκατάσταση, που είναι υπεύθυνη για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση, βρίσκεται σε άλλο κράτος μέλος, αφετέρου δε, να διατάξει την παύση της εν λόγω παραβάσεως (στοιχείο αʹ του πρώτο προδικαστικού ερωτήματος), και, σε περίπτωση καταφατικής απάντησης, αν η αρμόδια βάσει του άρθρου 56, παράγραφος 1, του ΓΚΠΔ επικεφαλής εποπτική αρχή εξακολουθεί να μπορεί να υποβάλει σε εξέταση τους όρους επεξεργασίας των δεδομένων προσωπικού χαρακτήρα από την εταιρία αυτή (στοιχείο βʹ του πρώτου προδικαστικού ερωτήματος).
18. Εντούτοις, υπό την επιφύλαξη της εξακριβώσεως από το αιτούν δικαστήριο, φρονώ ότι, με την επίμαχη απόφαση, η Bundeskartellamt δεν επέβαλε κυρώσεις για παράβαση του ΓΚΠΔ εκ μέρους της Meta Platforms, αλλά προέβη, προς τον σκοπό αποκλειστικώς και μόνον της εφαρμογής των κανόνων του ανταγωνισμού, στον έλεγχο φερομένης ως διαπραχθείσας από την εν λόγω επιχείρηση παραβάσεως της απαγόρευσης κατάχρησης δεσπόζουσας θέσης, λαμβάνοντας υπόψη, μεταξύ άλλων, το γεγονός ότι η συμπεριφορά αυτής δεν είναι σύμφωνη με τις διατάξεις του ΓΚΠΔ.
19. Ως εκ τούτου, κατά τη γνώμη μου, το στοιχείο αʹ του πρώτου προδικαστικού ερωτήματος, καθ’ ο μέρος αφορά τη δυνατότητα αρχής ανταγωνισμού να αποφανθεί, κυρίως και όχι παρεμπιπτόντως, επί της παραβάσεως των κανόνων του ΓΚΠΔ και να διατάξει την παύση της παραβάσεως αυτής κατά την έννοια του εν λόγω κανονισμού, είναι αλυσιτελές (11).
20. Κατά συνέπεια, και το στοιχείο βʹ του πρώτου προδικαστικού ερωτήματος, το οποίο εξαρτάται από την καταφατική απάντηση στο στοιχείο αʹ του πρώτου προδικαστικού ερωτήματος, είναι επίσης αλυσιτελές (12).
Επί του εβδόμου προδικαστικού ερωτήματος
21. Με το έβδομο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν αρχή ανταγωνισμού δύναται, κατά τη δίωξη παραβάσεων των κανόνων ανταγωνισμού, να διαπιστώσει, παρεμπιπτόντως (13), αν οι όροι επεξεργασίας των δεδομένων και η εφαρμογή των όρων αυτών συνάδουν προς τον ΓΚΠΔ (στοιχείο αʹ του εβδόμου προδικαστικού ερωτήματος) και, σε περίπτωση καταφατικής απάντησης, αν ο έλεγχος εκ μέρους της αρχής ανταγωνισμού είναι δυνατός και στην περίπτωση που οι εν λόγω όροι αποτελούν, ταυτόχρονα, αντικείμενο διαδικασίας εξέτασης από την αρμόδια επικεφαλής εποπτική αρχή (στοιχείο βʹ του εβδόμου προδικαστικού ερωτήματος).
22. Όσον αφορά, κατά πρώτον, το στοιχείο αʹ του εβδόμου προδικαστικού ερωτήματος, φρονώ ότι καίτοι η αρχή ανταγωνισμού δεν είναι αρμόδια να διαπιστώσει παράβαση του ΓΚΠΔ (14), εντούτοις ο εν λόγω κανονισμός δεν αντιτίθεται, κατ’ αρχήν, στο να δύνανται και άλλες αρχές πλην των εποπτικών αρχών, στο πλαίσιο ασκήσεως των δικών τους αρμοδιοτήτων και εξουσιών, να λαμβάνουν υπόψη, παρεμπιπτόντως, κατά πόσον μια συμπεριφορά είναι σύμφωνη με τις διατάξεις του ΓΚΠΔ. Κατά τη γνώμη μου, τούτο ισχύει, μεταξύ άλλων, και όσον αφορά την άσκηση, εκ μέρους αρχής ανταγωνισμού, των αρμοδιοτήτων που ανατίθενται σε αυτήν από το άρθρο 102 ΣΛΕΕ και το άρθρο 5, πρώτο εδάφιο, του κανονισμού (ΕΚ) 1/2003 (15) ή από οποιονδήποτε άλλο αντίστοιχο εθνικό κανόνα (16).
23. Συγκεκριμένα, κατά την άσκηση των αρμοδιοτήτων της, μια αρχή ανταγωνισμού οφείλει να αξιολογεί, μεταξύ άλλων, κατά πόσον η υπό εξέταση συμπεριφορά συνίσταται στη χρησιμοποίηση άλλων μέσων εκτός από εκείνα που εντάσσονται στο πλαίσιο του υγιούς ανταγωνισμό, λαμβανομένου υπόψη του νομικού και οικονομικού πλαισίου της εν λόγω συμπεριφοράς (17). Συναφώς, η συμβατότητα ή μη της εν λόγω συμπεριφοράς με τις διατάξεις του ΓΚΠΔ μπορεί, όχι αυτή καθεαυτή, αλλά λαμβανομένου υπόψη του συνόλου των πραγματικών περιστατικών της υποθέσεως, να αποτελεί σημαντικό στοιχείο προκειμένου να διαπιστωθεί αν η συμπεριφορά αυτή συνιστά χρησιμοποίηση μέσων που διέπουν τον υγιή ανταγωνισμό, με τη διευκρίνιση, ωστόσο, ότι ο καταχρηστικός ή μη χαρακτήρας μιας συμπεριφοράς υπό το πρίσμα του άρθρου 102 ΣΛΕΕ δεν προκύπτει από το κατά πόσον η συμπεριφορά αυτή είναι σύμφωνη με τον ΓΚΠΔ ή με άλλους νομικούς κανόνες (18).
24. Συνεπώς, εκτιμώ ότι ο έλεγχος κατάχρησης δεσπόζουσας θέσης μπορεί να δικαιολογήσει την εκ μέρους της αρχής ανταγωνισμού ερμηνεία κανόνων που δεν εμπίπτουν στο δίκαιο του ανταγωνισμού, όπως των κανόνων του ΓΚΠΔ (19), με τη διευκρίνιση, ωστόσο, ότι η εξέταση αυτή διενεργείται παρεμπιπτόντως (20) και ότι δεν προδικάζει την εφαρμογή του εν λόγω κανονισμού από τις αρμόδιες εποπτικές αρχές (21).
25. Όσον αφορά, κατά δεύτερον, το στοιχείο βʹ του εβδόμου προδικαστικού ερωτήματος, το αιτούν δικαστήριο θέτει το ζήτημα των υποχρεώσεων τις οποίες υπέχει μια αρχή ανταγωνισμού, στο πλαίσιο εφαρμογής της αρχής της καλόπιστης συνεργασίας που κατοχυρώνεται στο άρθρο 4, παράγραφος 3, ΣΕΕ, έναντι της αρμόδιας επικεφαλής εποπτικής αρχής κατά την έννοια του ΓΚΠΔ, όταν ερμηνεύει τις διατάξεις του εν λόγω κανονισμού, και ειδικότερα, όταν η ίδια συμπεριφορά την οποία εξετάζει η αρχή ανταγωνισμού αποτελεί συγχρόνως αντικείμενο εξέτασης από την αρμόδια επικεφαλής εποπτική αρχή.
26. Στην περίπτωση αυτή, η εκ μέρους της αρχής ανταγωνισμού εξέταση, μολονότι παρεμπίπτουσα, της συμπεριφοράς μιας επιχείρησης υπό το πρίσμα των κανόνων του ΓΚΠΔ ενέχει τον κίνδυνο αποκλίσεων, μεταξύ της αρχής αυτής και των εποπτικών αρχών, ως προς την ερμηνεία του εν λόγω κανονισμού, πράγμα το οποίο, κατ’ αρχήν, ενδέχεται να θίξει την ομοιόμορφη ερμηνεία του ΓΚΠΔ (22).
27. Το δίκαιο της Ένωσης δεν προβλέπει λεπτομερείς κανόνες για τη συνεργασία μεταξύ μιας αρχής ανταγωνισμού και των κατά τον ΓΚΠΔ εποπτικών αρχών σε μια τέτοια περίπτωση. Ειδικότερα, στην περίπτωση αυτή δεν έχουν εφαρμογή, ούτε ο μηχανισμός συνεργασίας μεταξύ των κατά τον ΓΚΠΔ αρμόδιων αρχών στο πλαίσιο της εφαρμογής του κανονισμού αυτού (23), ούτε άλλοι ειδικοί κανόνες σχετικά με τη συνεργασία μεταξύ διοικητικών αρχών, όπως οι κανόνες περί συνεργασίας των αρχών ανταγωνισμού μεταξύ τους και περί συνεργασίας των αρχών αυτών με την Επιτροπή κατά την εφαρμογή των κανόνων ανταγωνισμού (24).
28. Τούτου λεχθέντος, μια αρχή ανταγωνισμού, όταν ερμηνεύει τον ΓΚΠΔ, δεσμεύεται από την αρχή της καλόπιστης συνεργασίας που κατοχυρώνεται στο άρθρο 4, παράγραφος 3, ΣΕΕ, κατά την οποία η Ένωση και τα κράτη μέλη, συμπεριλαμβανομένων των διοικητικών τους αρχών (25), εκπληρώνουν τα εκ των Συνθηκών καθήκοντα βάσει αμοιβαίου σεβασμού και αμοιβαίας συνεργασίας. Ειδικότερα, το τρίτο εδάφιο της εν λόγω διατάξεως προβλέπει ότι τα κράτη μέλη διευκολύνουν την Ένωση στην εκπλήρωση της αποστολής της και απέχουν από τη λήψη οποιουδήποτε μέτρου ικανού να θέσει σε κίνδυνο την πραγματοποίηση των στόχων της Ένωσης (26). Επιπλέον, όπως κάθε διοικητική αρχή που είναι επιφορτισμένη με την εφαρμογή του δικαίου της Ένωσης, μια αρχή ανταγωνισμού υποχρεούται να τηρεί την αρχή της χρηστής διοίκησης ως γενική αρχή του δικαίου της Ένωσης, η οποία επιβάλλει στις εθνικές αρχές, μεταξύ άλλων, εκτεταμένη υποχρέωση επιμέλειας και μέριμνας (27).
29. Επομένως, ελλείψει συγκεκριμένων κανόνων όσον αφορά τους μηχανισμούς συνεργασίας, των οποίων η ενδεχόμενη θέσπιση απόκειται στον νομοθέτη της Ένωσης, μια αρχή ανταγωνισμού, όταν ερμηνεύει διατάξεις του ΓΚΠΔ, υπέχει, τουλάχιστον, υποχρεώσεις ενημέρωσης, πληροφόρησης και συνεργασίας έναντι των αρμοδίων κατά τον εν λόγω κανονισμό αρχών, κατ’ εφαρμογή των εθνικών κανόνων που διέπουν τις αρμοδιότητές της (αρχή της διαδικαστικής αυτονομίας των κρατών μελών) και τηρουμένων των αρχών της ισοδυναμίας και της αποτελεσματικότητας (28).
30. Ως εκ τούτου, φρονώ ότι, όταν η επικεφαλής εποπτική αρχή έχει αποφανθεί επί της εφαρμογής ορισμένων διατάξεων του ΓΚΠΔ όσον αφορά την ίδια ή παρόμοια πρακτική, η αρχή ανταγωνισμού δεν δύναται, κατ’ αρχήν, να αποστεί από την ερμηνεία της αρχής αυτής, η οποία είναι αποκλειστικά αρμόδια για την εφαρμογή του εν λόγω κανονισμού (29), και θα πρέπει, στο μέτρο του δυνατού και τηρουμένων, ιδίως, των δικαιωμάτων άμυνας των ενδιαφερομένων, να συμμορφωθεί με τις αποφάσεις που τυχόν έχουν εκδοθεί από την εποπτική αρχή σχετικά με την ίδια συμπεριφορά (30), εφόσον δε διατηρεί, σε συγκεκριμένη περίπτωση, αμφιβολίες για την ερμηνεία της αρμόδιας εποπτικής αρχής, να διαβουλευθεί με την αρχή αυτή ή, ενδεχομένως, εάν αυτή εδρεύει σε άλλο κράτος μέλος, να διαβουλευθεί με την εθνική εποπτική αρχή (31).
31. Επιπλέον, εάν δεν υφίσταται απόφαση της αρμόδιας εποπτικής αρχής, η αρχή ανταγωνισμού οφείλει, πάντως, να ενημερώσει την εν λόγω εποπτική αρχή (32) και να συνεργαστεί μαζί της όταν αυτή έχει αρχίσει να εξετάζει την ίδια πρακτική ή έχει εκδηλώσει την πρόθεση να προβεί σε τέτοια εξέταση και, ενδεχομένως, να αναμείνει την ολοκλήρωση της εξέτασης της εν λόγω αρχής, πριν προβεί τη δική της αξιολόγηση, εφόσον τούτο είναι σκόπιμο και δεν οδηγεί, ιδίως, στη μη τήρηση, εκ μέρους της αρχής ανταγωνισμού, της εύλογης διάρκειας της έρευνας και των δικαιωμάτων άμυνας των ενδιαφερομένων (33).
32. Στην υπό κρίση περίπτωση, φρονώ ότι το γεγονός ότι η Bundeskartellamt, όπως η ίδια ισχυρίζεται και εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει, κίνησε διαδικασία συνεργασίας με τις αρμόδιες σε εθνικό επίπεδο εποπτικές αρχές (34) και επίσης επικοινώνησε, ανεπισήμως, με την ιρλανδική επικεφαλής εποπτική αρχή, μπορεί να επαρκεί ώστε να γίνει δεκτό ότι η εν λόγω αρχή εκπλήρωσε τις υποχρεώσεις της επιμέλειας και καλόπιστης συνεργασίας (35).
33. Συμπερασματικώς, στο έβδομο προδικαστικό ερώτημα προτείνω να δοθεί η απάντηση ότι τα άρθρα 51 έως 66 του ΓΚΠΔ έχουν την έννοια ότι μια αρχή ανταγωνισμού, στο πλαίσιο των αρμοδιοτήτων της κατά το δίκαιο του ανταγωνισμού, δύναται να εξετάζει, παρεμπιπτόντως, αν οι υπό εξέταση πρακτικές συνάδουν με τους κανόνες του ΓΚΠΔ, λαμβάνοντας συγχρόνως υπόψη οποιαδήποτε απόφαση ή έρευνα της αρμόδιας βάσει του ΓΚΠΔ εποπτικής αρχής, ενημερώνοντας την εθνική εποπτική αρχή και, ενδεχομένως, διαβουλευόμενη με αυτήν.
Επί του δευτέρου προδικαστικού ερωτήματος
34. Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 9, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι η επίμαχη πρακτική, όταν αφορά την επίσκεψη σε ιστοσελίδες και εφαρμογές τρίτων (36), εμπίπτει στην επεξεργασία των απαριθμούμενων στη διάταξη αυτή (37) ευαίσθητων δεδομένων προσωπικού χαρακτήρα, η οποία απαγορεύεται (38) (στοιχείο αʹ του δευτέρου προδικαστικού ερωτήματος) και, σε περίπτωση καταφατικής απάντησης, αν το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού αυτού έχει την έννοια ότι ο χρήστης προβαίνει σε πρόδηλη δημοσιοποίηση, κατά την έννοια της εν λόγω διατάξεως, αφενός, των δεδομένων που αποκαλύπτονται από την επίσκεψη στις ιστοσελίδες αυτές ή, αφετέρου, των δεδομένων που εισάγονται ή απορρέουν από την ενεργοποίηση ενσωματωμένων στις εν λόγω ιστοσελίδες ή εφαρμογές πλήκτρων επιλογής (39) (στοιχείο βʹ του δευτέρου προδικαστικού ερωτήματος).
35. Όσον αφορά, κατά πρώτον, το στοιχείο αʹ του δευτέρου προδικαστικού ερωτήματος, υπενθυμίζω ότι, βάσει του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, απαγορεύεται η επεξεργασία ευαίσθητων δεδομένων προσωπικού χαρακτήρα. Η ιδιαίτερη προστασία των δεδομένων αυτών δικαιολογείται, όπως προκύπτει από την αιτιολογική σκέψη 51 του εν λόγω κανονισμού, από το γεγονός ότι τα δεδομένα αυτά είναι εκ φύσεως ιδιαιτέρως ευαίσθητα σε σχέση με θεμελιώδεις ελευθερίες και θεμελιώδη δικαιώματα, η δε επεξεργασία τους θα μπορούσε να δημιουργήσει σημαντικούς κινδύνους για τις ελευθερίες αυτές και τα δικαιώματα αυτά. Επιπλέον, παρά την κάπως ασαφή διατύπωση του γράμματος της εν λόγω διατάξεως (40), δεν θεωρώ ότι αυτή εισάγει, όπως υπολαμβάνει το αιτούν δικαστήριο, ουσιαστική διάκριση μεταξύ των προσωπικών δεδομένων που είναι ευαίσθητα διότι «αποκαλύπτουν» μια συγκεκριμένη κατάσταση και των δεδομένων που είναι ευαίσθητα αυτά καθεαυτά (41).
36. Στην προκειμένη περίπτωση, είναι, κατά τη γνώμη μου, προφανές ότι η επίμαχη πρακτική συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία, κατ’ αρχήν, ενδέχεται να εμπίπτει στο πεδίο εφαρμογής της διατάξεως αυτής και να απαγορεύεται, όταν τα υπό επεξεργασία δεδομένα «αποκαλύπτουν» μια από τις ευαίσθητες καταστάσεις που απαριθμούνται στην εν λόγω διάταξη. Επομένως, πρέπει να διαπιστωθεί αν και σε ποιο βαθμό η επίσκεψη σε ιστοσελίδες και εφαρμογές ή η εισαγωγή δεδομένων σε αυτές μπορούν να είναι «αποκαλυπτικές» κάποιας από τις ευαίσθητες καταστάσεις που μνημονεύονται στην επίμαχη διάταξη.
37. Συναφώς, αμφιβάλλω αν είναι σκόπιμο (και πάντοτε εφικτό) να γίνεται διάκριση μεταξύ, αφενός, του απλού ενδιαφέροντος του υποκειμένου των δεδομένων για ορισμένες πληροφορίες και, αφετέρου, της υπαγωγής του σε μία από τις κατηγορίες που προβλέπει η επίμαχη διάταξη (42). Μολονότι οι διάδικοι της κύριας δίκης διαφωνούν επ’ αυτού (43), εκτιμώ ότι η απάντηση στο συγκεκριμένο ζήτημα μπορεί να αναζητηθεί μόνον κατά περίπτωση και σε σχέση με καθεμία από τις δραστηριότητες που συγκροτούν την επίμαχη πρακτική.
38. Μολονότι, όπως επισημαίνει η Γερμανική Κυβέρνηση, η συλλογή και μόνον ευαίσθητων δεδομένων προσωπικού χαρακτήρα που σχετίζονται με την πρόσβαση σε διαδικτυακό τόπο ή εφαρμογή δεν αποτελεί κατ’ ανάγκην, αφ’ εαυτής, επεξεργασία ευαίσθητων δεδομένων προσωπικού χαρακτήρα κατά την έννοια της εν λόγω διατάξεως (44), εντούτοις η συσχέτιση των δεδομένων αυτών με τον λογαριασμό Facebook του οικείου χρήστη ή η χρήση τους αποτελούν συμπεριφορές οι οποίες, αντιθέτως, θα μπορούσαν ευκολότερα να συνιστούν τέτοια επεξεργασία. Κατά τη γνώμη μου, το καθοριστικό στοιχείο για την εφαρμογή του άρθρου 9, παράγραφος 1, του ΓΚΠΔ είναι η πιθανότητα τα δεδομένα που υποβάλλονται σε επεξεργασία να καθιστούν δυνατή την κατάρτιση προφίλ του χρήστη σε σχέση με τις κατηγορίες ευαίσθητων δεδομένων προσωπικού χαρακτήρα που απαριθμούνται στη διάταξη αυτή (45).
39. Στο πλαίσιο αυτό, για να κριθεί αν η επεξεργασία δεδομένων εμπίπτει στο πεδίο εφαρμογής της εν λόγω διατάξεως, θα μπορούσε να είναι, ενδεχομένως, χρήσιμη η διάκριση μεταξύ, αφενός, της επεξεργασίας των δεδομένων τα οποία μπορούν εξ αρχής να καταταγούν στην κατηγορία των ευαίσθητων δεδομένων προσωπικού χαρακτήρα, και τα οποία καθιστούν αφ’ εαυτών δυνατή την κατάρτιση προφίλ του υποκειμένου των δεδομένων, και, αφετέρου, της επεξεργασίας των δεδομένων τα οποία δεν είναι αυτά καθεαυτά ευαίσθητα, αλλά απαιτούν μεταγενέστερη δραστηριότητα ομαδοποίησης προκειμένου να συναχθούν αξιόπιστα συμπεράσματα για το προφίλ του υποκειμένου των δεδομένων.
40. Τούτου λεχθέντος, διευκρινίζεται ότι η ύπαρξη κατηγοριοποίησης κατά την έννοια της εν λόγω διατάξεως δεν εξαρτάται από το κατά πόσον η κατηγοριοποίηση αυτή είναι αληθής ή ορθή (46). Σημασία έχει το ενδεχόμενο μια τέτοια κατηγοριοποίηση να προκαλεί σημαντικό κίνδυνο για τις θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων, όπως υπενθυμίζεται στην αιτιολογική σκέψη 51 του ΓΚΠΔ, ενδεχόμενο το οποίο είναι ανεξάρτητο από την ακρίβεια της κατηγοριοποίησης.
41. Όσον αφορά, τέλος, το αίτημα του αιτούντος δικαστηρίου να διευκρινιστεί αν ο σκοπός της χρήσης είναι κρίσιμος για την επίμαχη εκτίμηση (47), εκτιμώ, αντιθέτως προς ό,τι υποστηρίζει η προσφεύγουσα της κύριας δίκης, ότι, κατ’ αρχήν, δεν απαιτείται ο υπεύθυνος της επεξεργασίας να επεξεργάζεται τα δεδομένα αυτά «εν γνώσει του και έχοντας την πρόθεση να αντλήσει άμεσα από αυτά ειδικές κατηγορίες πληροφοριών». Πράγματι, ο σκοπός της επίμαχης διατάξεως είναι, κατ’ ουσίαν, η αντικειμενική πρόληψη των σημαντικών κινδύνων που δημιουργεί για τις θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων η επεξεργασία των ευαίσθητων δεδομένων προσωπικού χαρακτήρα, ανεξαρτήτως οποιουδήποτε υποκειμενικού στοιχείου όπως η πρόθεση του υπευθύνου της επεξεργασίας.
42. Όσον αφορά, κατά δεύτερον, το στοιχείο βʹ του δευτέρου προδικαστικού ερωτήματος, υπενθυμίζω ότι, βάσει του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, η απαγόρευση της επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα δεν ισχύει αν η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων. Επιπλέον, η χρήση, στο γράμμα της διατάξεως αυτής, του επιρρήματος «προδήλως» και το γεγονός ότι η εν λόγω διάταξη συνιστά εξαίρεση από την αρχή της απαγορεύσεως της επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα (48) καθιστούν επιβεβλημένη την ιδιαιτέρως αυστηρή εφαρμογή της εξαιρέσεως αυτής, λόγω των σημαντικών κινδύνων εις βάρος των θεμελιωδών δικαιωμάτων και ελευθεριών των υποκειμένων των δεδομένων (49). Κατά τη γνώμη μου, για να μπορεί να έχει εφαρμογή η εξαίρεση αυτή, ο χρήστης πρέπει να έχει πλήρη επίγνωση ότι, με ρητή πράξη (50), δημοσιοποιεί δεδομένα προσωπικού χαρακτήρα(51).
43. Στην υπό κρίση περίπτωση, φρονώ ότι συμπεριφορά η οποία συνίσταται στην επίσκεψη σε ιστοσελίδες και εφαρμογές, στην εισαγωγή δεδομένων στις εν λόγω ιστοσελίδες και εφαρμογές και στην ενεργοποίηση ενσωματωμένων σε αυτές πλήκτρων επιλογής δεν μπορεί, κατ’ αρχήν, να εξομοιωθεί με συμπεριφορά με την οποία προδήλως δημοσιοποιούνται τα ευαίσθητα δεδομένα προσωπικού χαρακτήρα του χρήστη κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ.
44. Ειδικότερα, επισημαίνω ότι, κατ’ αρχήν, η πρόσβαση σε ιστοσελίδες και εφαρμογές καθιστά διαθέσιμα τα δεδομένα πρόσβασης μόνο στον διαχειριστή της επίμαχης ιστοσελίδας ή εφαρμογής και στους τρίτους στους οποίους αυτός διαβιβάζει τις εν λόγω πληροφορίες, όπως η προσφεύγουσα της κύριας δίκης (52). Ομοίως, μολονότι, με την εισαγωγή δεδομένων σε διαδικτυακούς τόπους και εφαρμογές, το υποκείμενο των δεδομένων θα μπορούσε ενδεχομένως να παράσχει, άμεσα και οικειοθελώς, πληροφορίες σχετικά με ορισμένα ευαίσθητα δεδομένα προσωπικού χαρακτήρα, επισημαίνω επίσης ότι οι πληροφορίες αυτές είναι προσιτές μόνο στον διαχειριστή του επίμαχου ιστότοπου ή της επίμαχης εφαρμογής και στους τρίτους στους οποίους αυτός διαβιβάζει τις εν λόγω πληροφορίες. Ως εκ τούτου, αποκλείω το ενδεχόμενο μια τέτοια συμπεριφορά να καταδεικνύει τη βούληση να καταστούν τα στοιχεία αυτά διαθέσιμα στο ευρύ κοινό (53). Επιπλέον, ενώ είναι προφανές ότι με την ενεργοποίηση πλήκτρων επιλογής ενσωματωμένων σε διαδικτυακούς τόπους ή εφαρμογές (54), ο ενδιαφερόμενος εκφράζει σαφώς τη βούληση να μοιραστεί ορισμένες πληροφορίες με κοινό εκτός του επίμαχου διαδικτυακού τόπου ή της επίμαχης εφαρμογής, είμαι της γνώμης, όπως τονίζει και η Bundeskartellamt, ότι το εν λόγω πρόσωπο έχει επίγνωση ότι, με τη συμπεριφορά αυτή, μοιράζεται πληροφορίες με συγκεκριμένο κύκλο προσώπων, τον οποίο συχνά καθορίζει ο ίδιος ο χρήστης (55), και όχι με το ευρύ κοινό (56).
45. Όσον αφορά, τέλος, τη σημασία ενδεχόμενης παροχής συγκατάθεσης εκ μέρους του χρήστη, κατά την έννοια του άρθρου 5, παράγραφος 3, της οδηγίας 2002/58, για τη συλλογή δεδομένων προσωπικού χαρακτήρα μέσω cookies ή παρόμοιων τεχνολογιών, στην οποία αναφέρεται το αιτούν δικαστήριο, εκτιμώ ότι η συγκατάθεση αυτή, λαμβανομένου υπόψη του ειδικού σκοπού της, δεν μπορεί, αφ’ εαυτής, να δικαιολογήσει την επεξεργασία ευαίσθητων δεδομένων προσωπικού χαρακτήρα που συλλέγονται με τα μέσα αυτά (57). Πράγματι, η εν λόγω συγκατάθεση, η οποία είναι αναγκαία για την εγκατάσταση τεχνικού μέσου καταγραφής ορισμένων δραστηριοτήτων του χρήστη (58), δεν αφορά την επεξεργασία ευαίσθητων δεδομένων προσωπικού χαρακτήρα και δεν μπορεί να εξομοιωθεί με τη βούληση πρόδηλης δημοσιοποίησης των δεδομένων αυτών κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ (59).
46. Ως εκ τούτου, στο δεύτερο προδικαστικό ερώτημα προτείνω να δοθεί η απάντηση ότι, αφενός, το άρθρο 9, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι η απαγόρευση επεξεργασίας των ευαίσθητων δεδομένων προσωπικού χαρακτήρα μπορεί να καταλαμβάνει και την επεξεργασία δεδομένων η οποία πραγματοποιείται από επιχείρηση λειτουργίας κοινωνικού δικτύου και η οποία συνίσταται στη συλλογή των δεδομένων ενός χρήστη, όταν αυτός επισκέπτεται άλλους διαδικτυακούς τόπους ή εφαρμογές ή εισάγει τα δεδομένα αυτά στους εν λόγω ιστότοπους ή εφαρμογές, στη συσχέτιση των εν λόγω δεδομένων με τον λογαριασμό του χρήστη στο κοινωνικό δίκτυο και στη χρήση των δεδομένων αυτών, εφόσον οι υποβαλλόμενες σε επεξεργασία πληροφορίες, είτε μεμονωμένα είτε κατόπιν ομαδοποίησης, καθιστούν δυνατή την κατάρτιση προφίλ του χρήστη σε σχέση με τις απαριθμούμενες στη διάταξη αυτή κατηγορίες ευαίσθητων δεδομένων προσωπικού χαρακτήρα και ότι, αφετέρου, το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ έχει την έννοια ότι ο χρήστης δεν προβαίνει σε πρόδηλη δημοσιοποίηση δεδομένων εκ του ότι τα δεδομένα αυτά αποκαλύπτονται με την επίσκεψη σε ιστοσελίδες και εφαρμογές ή εισάγονται στις εν λόγω ιστοσελίδες ή εφαρμογές ή προκύπτουν από την ενεργοποίηση ενσωματωμένων σε αυτές πλήκτρων επιλογής.
Επί του τρίτου, τετάρτου και πέμπτου προδικαστικού ερωτήματος
47. Με το τρίτο, το τέταρτο και το πέμπτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 6, παράγραφος 1, στοιχεία βʹ, γʹ, δʹ, εʹ και στʹ, του ΓΚΠΔ έχει την έννοια ότι η επίμαχη πρακτική (60) εμπίπτει στο πεδίο εφαρμογής κάποιου εκ των λόγων που δικαιολογούν την επεξεργασία, τους οποίους προβλέπουν οι διατάξεις αυτές, και αφορούν ειδικότερα:
– την αναγκαιότητα της επεξεργασίας για την εκτέλεση της σύμβασης (61) ή για την εξυπηρέτηση εννόμων συμφερόντων (62), λαμβανομένου υπόψη ότι η Meta Platforms εκμεταλλεύεται κοινωνικό δίκτυο το οποίο χρηματοδοτείται από διαφημίσεις και προβλέπει, στους όρους χρήσης της υπηρεσίας, την εξατομίκευση του περιεχομένου και των διαφημίσεων, την ασφάλεια του δικτύου, τη βελτίωση του προϊόντος καθώς και τη συνεχή και απρόσκοπτη χρήση όλων των προϊόντων του ομίλου (τρίτο προδικαστικό ερώτημα)·
– τη λήψη υπόψη των εννόμων αυτών συμφερόντων (63) στο πλαίσιο ορισμένων καταστάσεων (64) (τέταρτο προδικαστικό ερώτημα)·
– την ανάγκη ικανοποίησης νομίμως υποβληθέντος αιτήματος παροχής ορισμένων δεδομένων (65), την ανάγκη καταπολέμησης επιζήμιων συμπεριφορών και ενίσχυσης της ασφάλειας (66) ή για ερευνητικούς σκοπούς προς όφελος του κοινωνικού συνόλου και την ανάγκη ενίσχυσης της προστασίας, της ακεραιότητας και της ασφάλειας (67) (πέμπτο προδικαστικό ερώτημα).
48. Κατ’ αρχάς, παρά την ύπαρξη ορισμένων αμφιβολιών ως προς το παραδεκτό του τέταρτου και του πέμπτου προδικαστικού ερωτήματος (68), προτείνω να δοθεί κοινή απάντηση στο τρίτο, τέταρτο και πέμπτο προδικαστικό ερώτημα, δεδομένου ότι τα στοιχεία που θα εκθέσω κατωτέρω, κυρίως επί του τρίτου προδικαστικού ερωτήματος, μπορούν να είναι χρήσιμα για το αιτούν δικαστήριο και κατά την εφαρμογή των διατάξεων που αποτελούν αντικείμενο του τέταρτου και του πέμπτου προδικαστικού ερωτήματος.
49. Επισημαίνω, κατά κύριο λόγο, ότι, σύμφωνα με το άρθρο 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης), η επεξεργασία των δεδομένων προσωπικού χαρακτήρα πρέπει να γίνεται νομίμως, για καθορισμένους σκοπούς και με βάση άλλους θεμιτούς λόγους που προβλέπονται από τον νόμο. Συναφώς, το άρθρο 6, παράγραφος 1, του ΓΚΠΔ διευκρινίζει ότι η επεξεργασία των δεδομένων αυτών είναι σύννομη μόνον εάν και εφόσον ισχύει μία από τις έξι προϋποθέσεις που προβλέπει η διάταξη αυτή (69).
50. Στην υπό κρίση υπόθεση, εκτιμώ, κατ’ αρχάς, ότι το τρίτο, το τέταρτο και το πέμπτο προδικαστικό ερώτημα απαιτούν λεπτομερή και κατά περίπτωση εξέταση των διαφόρων ρητρών των όρων χρήσης του Facebook στο πλαίσιο της επίμαχης πρακτικής, δεδομένου ότι δεν είναι δυνατόν να διαπιστωθεί αν, όσον αφορά την πρακτική αυτή, στο σύνολό της, «μια επιχείρηση όπως η [Meta Platforms]» μπορεί να επικαλεστεί όλους (ή ορισμένους από) τους δικαιολογητικούς λόγους του άρθρου 6, παράγραφος 1, του ΓΚΠΔ, ακόμη και αν δεν μπορεί να αποκλειστεί το ενδεχόμενο η εν λόγω πρακτική ή ορισμένες από τις δραστηριότητες που τη συγκροτούν να εμπίπτουν, σε ορισμένες περιπτώσεις, στο πεδίο εφαρμογής της ως άνω διατάξεως (70).
51. Περαιτέρω, η επεξεργασία που προβλέπουν οι ως άνω διατάξεις πραγματοποιείται, εν προκειμένω, βάσει των γενικών όρων της σύμβασης τους οποίους επιβάλλει ο υπεύθυνος της επεξεργασίας, χωρίς τη συγκατάθεση του υποκειμένου των δεδομένων (71), ή ακόμη και ενάντια στη βούλησή του, πράγμα το οποίο απαιτεί, κατά τη γνώμη μου, στενή ερμηνεία των επίμαχων δικαιολογητικών λόγων, προκειμένου ιδίως να αποφευχθεί η καταστρατήγηση της προϋπόθεσης περί παροχής συγκατάθεσης (72).
52. Τέλος, υπενθυμίζω ότι, σύμφωνα με το άρθρο 5, παράγραφος 2, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας φέρει το βάρος της αποδείξεως ότι τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία σύμφωνα με τις διατάξεις του κανονισμού αυτού και ότι, σύμφωνα με το άρθρο 13, παράγραφος 1, στοιχείο γʹ, του εν λόγω κανονισμού, στον υπεύθυνο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα απόκειται να προσδιορίσει τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα καθώς και τη νομική βάση για την επεξεργασία.
Επί του τρίτου προδικαστικού ερωτήματος
53. Πρώτον, κατά το άρθρο 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη εάν και εφόσον είναι απαραίτητη για την εκτέλεση σύμβασης στην οποία το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος (73).
54. Συναφώς, υπενθυμίζω ότι η έννοια της «αναγκαιότητας» δεν ορίζεται μεν στη νομοθεσία της Ένωσης, αλλά, ωστόσο, κατά τη νομολογία, αποτελεί αυτοτελή έννοια του δικαίου της Ένωσης (74). Για να είναι η επεξεργασία απαραίτητη για την εκτέλεση της συμβάσεως, δεν αρκεί να πραγματοποιείται επ’ ευκαιρία της εκτελέσεως της συμβάσεως, να μνημονεύεται στη σύμβαση (75), ή, ακόμη, να είναι απλώς χρήσιμη για την εκτέλεση της συμβάσεως (76). Κατά τη νομολογία του Δικαστηρίου, η επεξεργασία πρέπει να είναι αντικειμενικά απαραίτητη για την εκτέλεση της συμβάσεως, υπό την έννοια ότι δεν πρέπει να υφίστανται ρεαλιστικές και λιγότερο επεμβατικές εναλλακτικές λύσεις (77), λαμβανομένων επίσης υπόψη των εύλογων προσδοκιών του υποκειμένου των δεδομένων (78). Τούτο συνεπάγεται επίσης ότι, όταν η σύμβαση αφορά πλείονες υπηρεσίες ή διακριτά στοιχεία της ίδιας υπηρεσίας τα οποία μπορούν να εκτελεστούν ανεξάρτητα το ένα από το άλλο, η δυνατότητα εφαρμογής του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ πρέπει να εκτιμάται στο πλαίσιο εκάστης εκ των υπηρεσιών αυτών χωριστά (79).
55. Στο πλαίσιο του συγκεκριμένου δικαιολογητικού λόγου, το αιτούν δικαστήριο μνημονεύει την εξατομίκευση του περιεχομένου και τη συνεχή και απρόσκοπτη χρήση των προϊόντων (ή καλύτερα των υπηρεσιών) που παρέχει ο όμιλος.
56. Όσον αφορά την εξατομίκευση του περιεχομένου, φρονώ ότι, μολονότι μια τέτοια δραστηριότητα μπορεί, σε ορισμένο βαθμό, να είναι προς το συμφέρον του χρήστη, καθόσον καθιστά δυνατή την παρουσίαση, ιδίως στο πεδίο «Ενημερώσεις», περιεχομένου το οποίο, βάσει αυτοματοποιημένης αξιολόγησης, αντιστοιχεί στα ενδιαφέροντα του χρήστη, εντούτοις δεν είναι προφανές ότι είναι επίσης απαραίτητη για την παροχή της υπηρεσίας, κατά τρόπον ώστε η επεξεργασία των δεδομένων προσωπικού χαρακτήρα για τον σκοπό αυτό να μην απαιτεί την παροχή συγκατάθεσης εκ μέρους του εν λόγω χρήστη (80). Για την εξέταση αυτή, πρέπει επίσης να ληφθεί υπόψη ότι η επίμαχη πρακτική αφορά την επεξεργασία όχι δεδομένων που σχετίζονται με τη συμπεριφορά του χρήστη εντός της σελίδας ή της εφαρμογής Facebook, αλλά δεδομένων που προέρχονται από εξωτερικές και, επομένως, δυνητικά απεριόριστες πηγές. Διερωτώμαι, επομένως, κατά πόσον η επεξεργασία αυτή θα μπορούσε να ανταποκρίνεται στις προσδοκίες του μέσου χρήστη και, γενικότερα, ποιος είναι ο «βαθμός εξατομίκευσης» που μπορεί ο εν λόγω χρήστης να προσδοκά από την υπηρεσία στην οποία εγγράφεται (81).
57. Όσον αφορά τη συνεχή και απρόσκοπτη χρήση των υπηρεσιών του ομίλου, διαπιστώνω ότι η σύνδεση μεταξύ των διαφόρων υπηρεσιών που παρέχει η προσφεύγουσα της κύριας δίκης, για παράδειγμα μεταξύ Facebook και Instagram, μπορεί, βεβαίως, να είναι χρήσιμη για τον χρήστη, ή, σε ορισμένες περιπτώσεις, ακόμη και επιθυμητή από αυτόν. Ωστόσο, αμφιβάλλω αν η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που προέρχονται από άλλες υπηρεσίες του ομίλου (μεταξύ άλλων από το Instagram) είναι αναγκαία για την παροχή των υπηρεσιών Facebook (82).
58. Δεύτερον, κατά το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη εάν και εφόσον είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
59. Κατά τη νομολογία του Δικαστηρίου, η επίμαχη διάταξη προβλέπει τρεις σωρευτικές προϋποθέσεις για τη σύννομη επεξεργασία δεδομένων προσωπικού χαρακτήρα, ήτοι, πρώτον, την επιδίωξη εννόμου συμφέροντος εκ μέρους του υπευθύνου επεξεργασίας ή του τρίτου ή των τρίτων στους οποίους γνωστοποιούνται τα δεδομένα, δεύτερον, την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την επίτευξη του επιδιωκόμενου εννόμου συμφέροντος και, τρίτον, την προϋπόθεση ότι δεν προέχουν τα θεμελιώδη δικαιώματα και οι θεμελιώδεις ελευθερίες του προσώπου το οποίο αφορά η προστασία των δεδομένων (83).
60. Κατ’ αρχάς, όσον αφορά την επιδίωξη εννόμου συμφέροντος, υπενθυμίζω ότι ο ΓΚΠΔ και η νομολογία αναγνωρίζουν ευρύ φάσμα τέτοιων εννόμων συμφερόντων (84), διευκρινίζοντας συγχρόνως ότι, σύμφωνα με το άρθρο 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας οφείλει να αναφέρει τα έννομα συμφέροντα που επιδιώκονται στο πλαίσιο του άρθρου 6, παράγραφος 1 στοιχείο στʹ, του ΓΚΠΔ (85).
61. Εν συνεχεία, όσον αφορά την προϋπόθεση που αφορά την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου εννόμου συμφέροντος, από τη νομολογία του Δικαστηρίου προκύπτει ότι οι παρεκκλίσεις και οι περιορισμοί της αρχής της προστασίας των δεδομένων προσωπικού χαρακτήρα δεν πρέπει να υπερβαίνουν το αυστηρώς αναγκαίο μέτρο (86). Επομένως, πρέπει να υφίσταται στενός σύνδεσμος μεταξύ της επεξεργασίας και του επιδιωκόμενου συμφέροντος, ελλείψει εναλλακτικών λύσεων που να σέβονται περισσότερο την προστασία των δεδομένων προσωπικού χαρακτήρα, δεδομένου ότι δεν αρκεί η επεξεργασία να είναι απλώς χρήσιμη για τον υπεύθυνο επεξεργασίας.
62. Όσον αφορά, τέλος, τη στάθμιση μεταξύ, αφενός, των συμφερόντων του υπευθύνου επεξεργασίας και, αφετέρου, των συμφερόντων ή των θεμελιωδών ελευθεριών και των θεμελιωδών δικαιωμάτων του υποκειμένου των δεδομένων, κατά τη νομολογία του Δικαστηρίου, εναπόκειται στο αιτούν δικαστήριο να σταθμίσει τα διακυβευόμενα συμφέροντα (87). Επιπλέον, όπως διαλαμβάνεται στην αιτιολογική σκέψη 47 του ΓΚΠΔ, στο πλαίσιο της σταθμίσεως αυτής, είναι απαραίτητο να λαμβάνονται υπόψη οι θεμιτές προσδοκίες των υποκειμένων των δεδομένων βάσει της σχέσης τους με τον υπεύθυνο επεξεργασίας και να αξιολογείται κατά πόσον το υποκείμενο των δεδομένων, κατά τη χρονική στιγμή και στο πλαίσιο της συλλογής των δεδομένων προσωπικού χαρακτήρα, μπορεί εύλογα να αναμένει ότι τα δεδομένα θα υποβληθούν σε επεξεργασία για συγκεκριμένο σκοπό.
63. Στο πλαίσιο του συγκεκριμένου δικαιολογητικού λόγου, το αιτούν δικαστήριο αναφέρεται στην εξατομίκευση των διαφημίσεων, την ασφάλεια του δικτύου και τη βελτίωση του προϊόντος.
64. Όσον αφορά, κατ’ αρχάς, την εξατομίκευση των διαφημίσεων, από την αιτιολογική σκέψη 47 του ΓΚΠΔ προκύπτει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άμεσης εμπορικής προώθησης (direct marketing) μπορεί να θεωρηθεί ότι διενεργείται χάριν εννόμου συμφέροντος του υπευθύνου επεξεργασίας. Ωστόσο, όσον αφορά την αναγκαιότητα της επεξεργασίας, πρέπει να επισημανθεί ότι τα επίμαχα δεδομένα προέρχονται από πηγές εκτός του Facebook και, επομένως, εγείρεται, συναφώς, το ζήτημα ποιος είναι ο αντικειμενικά αναγκαίος «βαθμός εξατομίκευσης» των διαφημίσεων. Όσον αφορά τη στάθμιση των διακυβευόμενων συμφερόντων, επιβάλλεται, κατά τη γνώμη μου, να λαμβάνεται υπόψη η φύση του οικείου εννόμου συμφέροντος (στην υπό κρίση περίπτωση, πρόκειται για αμιγώς οικονομικό συμφέρον), καθώς και ο αντίκτυπος της επεξεργασίας στον χρήστη, βάσει, μεταξύ άλλων, των εύλογων προσδοκιών του, και τα μέτρα διασφαλίσεως που ενδεχομένως λαμβάνει ο υπεύθυνος επεξεργασίας (88).
65. Ανάλογες εκτιμήσεις μπορούν να διατυπωθούν, εν συνεχεία, και όσον αφορά την ασφάλεια του δικτύου. Συγκεκριμένα, μολονότι ο δικαιολογητικός αυτός λόγος μπορεί να συνιστά έννομο συμφέρον του υπευθύνου επεξεργασίας (89), εντούτοις το συμπέρασμα ότι η επεξεργασία είναι απαραίτητη στην υπό κρίση περίπτωση είναι λιγότερο προφανές, λαμβανομένου επίσης υπόψη ότι τα επίμαχα δεδομένα προέρχονται από πηγές εκτός του Facebook (90). Εν πάση περιπτώσει, υπενθυμίζω ότι απόκειται στον υπεύθυνο επεξεργασίας να προσδιορίσει τους σκοπούς ασφαλείας στους οποίους ενδεχομένως στηρίζεται κάθε πράξη επεξεργασίας.
66. Όσον αφορά, τέλος, τη βελτίωση του προϊόντος, στην οποία δεν περιλαμβάνονται οι βελτιώσεις που συνδέονται με την ασφάλεια, οι οποίες εμπίπτουν στον ειδικό δικαιολογητικό λόγο που εξετάσθηκε ανωτέρω, φρονώ ότι ένας τέτοιος δικαιολογητικός λόγος αφορά περισσότερο το συμφέρον του χρήστη παρά του υπευθύνου επεξεργασίας των δεδομένων. Από την άποψη αυτή, δύσκολα μπορεί να γίνει αντιληπτό με ποιον τρόπο ο δικαιολογητικός αυτός λόγος θα μπορούσε να συνιστά έννομο συμφέρον του υπευθύνου επεξεργασίας και να μην απαιτεί τη συγκατάθεση του χρήστη. Όσον αφορά την προϋπόθεση περί αναγκαιότητας και τη στάθμιση των διακυβευομένων δικαιωμάτων και συμφερόντων, παραπέμπω στις προεκτεθείσες εκτιμήσεις.
Επί του τετάρτου και του πέμπτου προδικαστικού ερωτήματος
67. Με το τέταρτο προδικαστικό ερώτημα, το οποίο αποτελεί, κατ’ ουσίαν, επέκταση του δεύτερου σκέλους του τρίτου προδικαστικού ερωτήματος, το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν συνδρομή ορισμένων μνημονευόμενων περιστάσεων συνεπάγεται την ύπαρξη εννόμου συμφέροντος κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, ενώ, με το πέμπτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν η ανάγκη ικανοποίησης νόμιμου αιτήματος παροχής ορισμένων δεδομένων, η ανάγκη καταπολέμησης επιζήμιων συμπεριφορών και η ανάγκη ενίσχυσης της προστασίας, της ακεραιότητας και της ασφάλειας συνιστούν λόγους που δικαιολογούν την επίμαχη πρακτική (91).
68. Ανεξαρτήτως του παραδεκτού των εν λόγω προδικαστικών ερωτημάτων (92), εκτιμώ γενικώς ότι δεν μπορεί να αποκλειστεί το ενδεχόμενο, όσον αφορά το τέταρτο προδικαστικό ερώτημα, ορισμένες ρήτρες που χαρακτηρίζουν την επίμαχη πρακτική να δικαιολογούνται από έννομα συμφέροντα υπό τις περιστάσεις που εκθέτει το αιτούν δικαστήριο (93), ή το ενδεχόμενο, όσον αφορά το πέμπτο προδικαστικό ερώτημα, η επίμαχη πρακτική να δικαιολογείται, σε ορισμένες περιπτώσεις, βάσει των μνημονευόμενων διατάξεων.
69. Ωστόσο, από την απόφαση περί παραπομπής δεν προκύπτει εάν και κατά πόσον η Meta Platforms ανέφερε, για έκαστο σκοπό επεξεργασίας και έκαστο είδος υποβαλλόμενων σε επεξεργασία δεδομένων, τα συγκεκριμένα έννομα συμφέροντα που επιδιώκονται ή άλλους δικαιολογητικούς λόγους που ενδέχεται να έχουν εφαρμογή εν προκειμένω (94). Επομένως, απόκειται στο αιτούν δικαστήριο, λαμβάνοντας υπόψη τα ανωτέρω στοιχεία, να εξετάσει κατά πόσον η επίμαχη πρακτική δικαιολογείται, υπό τις περιστάσεις που το ίδιο εκθέτει, λόγω της υπάρξεως εννόμων συμφερόντων της Meta Platforms για την υποβολή των δεδομένων σε επεξεργασία, κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, ή λόγω συνδρομής κάποιας άλλης εκ των προϋποθέσεων που προβλέπει το άρθρο 6, παράγραφος 1, στοιχεία γʹ, δʹ και εʹ, του εν λόγω κανονισμού.
Επί της απαντήσεως στο τρίτο, τέταρτο και πέμπτο προδικαστικό ερώτημα
70. Συμπερασματικώς, στο τρίτο, τέταρτο και πέμπτο προδικαστικό ερώτημα προτείνω να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, στοιχεία βʹ, γʹ, δʹ, εʹ και στʹ, του ΓΚΠΔ έχει την έννοια ότι η επίμαχη πρακτική ή ορισμένες από τις δραστηριότητες που τη συγκροτούν είναι δυνατόν να εμπίπτουν στις εξαιρέσεις που προβλέπουν οι ως άνω διατάξεις, εφόσον έκαστη εξεταζόμενη πράξη επεξεργασίας δεδομένων πληροί τις προϋποθέσεις που προβλέπονται από τον συγκεκριμένο δικαιολογητικό λόγο που προβάλλει ο υπεύθυνος επεξεργασίας, ήτοι εφόσον:
– η επεξεργασία είναι αντικειμενικά αναγκαία για την παροχή των σχετικών με τον λογαριασμό Facebook υπηρεσιών·
– η επεξεργασία είναι αναγκαία για την επίτευξη εννόμου συμφέροντος το οποίο επικαλείται ο υπεύθυνος της επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους γνωστοποιούνται τα δεδομένα και το οποίο δεν θίγει δυσανάλογα τα θεμελιώδη δικαιώματα και τις θεμελιώδεις ελευθερίες του υποκειμένου των δεδομένων·
– η επεξεργασία είναι αναγκαία για την ικανοποίηση νομίμως υποβληθέντος αιτήματος παροχής ορισμένων δεδομένων, για την καταπολέμηση επιζήμιων συμπεριφορών και για την ενίσχυση της ασφάλειας ή για ερευνητικούς σκοπούς προς όφελος του κοινωνικού συνόλου και για την ενίσχυση της προστασίας, της ακεραιότητας και της ασφάλειας.
Επί του έκτου προδικαστικού ερωτήματος
71. Με το έκτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 6, παράγραφος 1, στοιχείο αʹ, και το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ έχουν την έννοια ότι είναι δυνατή η παροχή έγκυρης και ελεύθερης συγκατάθεσης, κατά την έννοια του άρθρου 4, σημείο 11, του εν λόγω κανονισμού, σε επιχείρηση που κατέχει δεσπόζουσα θέση στην εθνική αγορά ηλεκτρονικών μέσων κοινωνικής δικτύωσης για ιδιώτες χρήστες.
72. Προκαταρκτικώς, υπενθυμίζω ότι το άρθρο 6, παράγραφος 1, στοιχείο αʹ, και το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ προβλέπουν την υποχρέωση παροχής συγκατάθεσης εκ μέρους του υποκειμένου των δεδομένων, όσον αφορά, αντιστοίχως, την επεξεργασία των προσωπικών δεδομένων εν γένει και την επεξεργασία των ευαίσθητων δεδομένων προσωπικού χαρακτήρα. Επιπλέον, κατά το άρθρο 4, σημείο 11, του ΓΚΠΔ, για τους σκοπούς του κανονισμού αυτού, ως «συγκατάθεση» του υποκειμένου των δεδομένων νοείται κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν (95).
73. Όσον αφορά, ειδικότερα, την προϋπόθεση ότι η συγκατάθεση πρέπει να είναι «ελεύθερη», που είναι η μόνη της οποίας η συνδρομή αμφισβητείται εν προκειμένω, επισημαίνω ότι, κατά την αιτιολογική σκέψη 42 του ΓΚΠΔ, η συγκατάθεση δεν θα πρέπει να θεωρείται ότι δόθηκε ελεύθερα αν το υποκείμενο των δεδομένων δεν έχει αληθινή ή ελεύθερη επιλογή (96) ή δεν είναι σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεσή του χωρίς να ζημιωθεί (97). Επιπλέον, όπως προβλέπεται στο άρθρο 7, παράγραφος 1, του ΓΚΠΔ (και υπενθυμίζεται στην αιτιολογική σκέψη 42 αυτού), όταν η επεξεργασία βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας θα πρέπει να είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα.
74. Όσον αφορά την υπό κρίση υπόθεση, υπενθυμίζω, κατ’ αρχάς, ότι, όπως επισημαίνεται στην αιτιολογική σκέψη 43, πρώτη περίοδος, του ΓΚΠΔ, η συγκατάθεση δεν αποτελεί έγκυρη νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα όταν υπάρχει «σαφής ανισότητα» μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας (98), εν συνεχεία, ότι, κατά το άρθρο 7, παράγραφος 4, του ΓΚΠΔ, κατά την εκτίμηση του κατά πόσον η συγκατάθεση δίνεται ελεύθερα, λαμβάνεται ιδιαιτέρως υπόψη κατά πόσο, μεταξύ άλλων, για την εκτέλεση σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, τίθεται ως προϋπόθεση η συγκατάθεση στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που δεν είναι αναγκαία για την εκτέλεση της εν λόγω σύμβασης (99), και τέλος, ότι, κατά την αιτιολογική σκέψη 43, δεύτερη περίοδος, του ΓΚΠΔ, η συγκατάθεση θεωρείται επίσης ότι δεν έχει παρασχεθεί ελεύθερα, εάν δεν επιτρέπεται να δοθεί χωριστή συγκατάθεση σε διαφορετικές πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ακόμη και αν ενδείκνυται στη συγκεκριμένη περίπτωση (100).
75. Εν προκειμένω, φρονώ ότι ενδεχόμενη δεσπόζουσα θέση στην αγορά του υπευθύνου επεξεργασίας των προσωπικών δεδομένων που εκμεταλλεύεται κοινωνικό δίκτυο, ασκεί σημαντική επιρροή κατά την εκτίμηση του κατά πόσον υφίσταται ελεύθερη συγκατάθεση εκ μέρους του χρήστη του εν λόγω δικτύου. Συγκεκριμένα, η ισχύς στην αγορά του υπευθύνου επεξεργασίας των προσωπικών δεδομένων ενδέχεται να δημιουργεί πρόδηλη ανισότητα δυνάμεων, κατά την έννοια που εκτίθεται στο σημείο 74 των παρουσών προτάσεων (101). Ωστόσο, επιβάλλεται να διευκρινιστεί, αφενός, ότι, για να ασκεί επιρροή μια τέτοια κατάσταση ισχύος στην αγορά από την άποψη της εφαρμογής του ΓΚΠΔ, δεν απαιτείται κατ’ ανάγκην να εξομοιώνεται με δεσπόζουσα θέση κατά την έννοια του άρθρου 102 ΣΛΕΕ (102), και αφετέρου, ότι το γεγονός αυτό και μόνον δεν καθιστά, κατ’ αρχήν, άκυρη τη συγκατάθεση (103).
76. Συνεπώς, το κύρος της συγκατάθεσης πρέπει να εξετάζεται κατά περίπτωση, υπό το πρίσμα των λοιπών παραγόντων περί των οποίων γίνεται λόγος στα σημεία 73 και 74 των παρουσών προτάσεων και λαμβανομένου υπόψη του συνόλου των περιστάσεων της συγκεκριμένης περίπτωσης, καθώς και του ότι το βάρος της αποδείξεως ότι το υποκείμενο των δεδομένων έχει παράσχει τη συγκατάθεσή του για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν φέρει ο υπεύθυνος επεξεργασίας.
77. Επομένως, στο έκτο προδικαστικό ερώτημα προτείνω να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, στοιχείο αʹ, και το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ έχουν την έννοια ότι η περίσταση και μόνον ότι η επιχείρηση που εκμεταλλεύεται κοινωνικό δίκτυο κατέχει δεσπόζουσα θέση στην εθνική αγορά των ηλεκτρονικών μέσων κοινωνικής δικτύωσης για ιδιώτες χρήστες δεν δύναται, αφ’ εαυτής, να καταστήσει άκυρη τη συγκατάθεση του χρήστη του εν λόγω δικτύου στην επεξεργασία των προσωπικών του δεδομένων κατά την έννοια του άρθρου 4, σημείο 11, του ΓΚΠΔ. Εντούτοις, η περίσταση αυτή ασκεί επιρροή κατά την εκτίμηση του ελεύθερου χαρακτήρα της συγκατάθεσης κατά την έννοια της εν λόγω διατάξεως, τον οποίο οφείλει να αποδείξει ο υπεύθυνος επεξεργασίας, λαμβανομένων υπόψη, κατά περίπτωση, της υπάρξεως πρόδηλης ανισότητας δυνάμεων μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, της ενδεχόμενης υποχρέωσης παροχής συγκατάθεσης στην επεξεργασία δεδομένων προσωπικού χαρακτήρα πέραν εκείνων που είναι απολύτως αναγκαία για την παροχή των επίμαχων υπηρεσιών, της ανάγκης παροχής ειδικής συγκατάθεσης για έκαστο σκοπό επεξεργασίας και της ανάγκης να αποτραπεί το ενδεχόμενο ζημίας του χρήστη που ανακαλεί τη συγκατάθεσή του.
Πρόταση
78. Κατόπιν των ανωτέρω, προτείνω στο Δικαστήριο να απαντήσει στα προδικαστικά ερωτήματα του Oberlandesgericht Düsseldorf (ανώτερου περιφερειακού δικαστηρίου Ντίσελντορφ, Γερμανία) ως εξής:
1) Τα άρθρα 51 έως 66 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγία 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχουν την έννοια ότι:
μια αρχή ανταγωνισμού, στο πλαίσιο των αρμοδιοτήτων της κατά το δίκαιο του ανταγωνισμού, δύναται να εξετάζει, παρεμπιπτόντως, αν οι υπό εξέταση πρακτικές συνάδουν με τους κανόνες του ΓΚΠΔ, λαμβάνοντας συγχρόνως υπόψη οποιαδήποτε απόφαση ή έρευνα της αρμόδιας βάσει του εν λόγω κανονισμού εποπτικής αρχής, ενημερώνοντας την εθνική εποπτική αρχή και, ενδεχομένως, διαβουλευόμενη με αυτήν.
2) Το άρθρο 9, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι:
η απαγόρευση επεξεργασίας των ευαίσθητων δεδομένων προσωπικού χαρακτήρα μπορεί να καταλαμβάνει και την επεξεργασία δεδομένων η οποία πραγματοποιείται από επιχείρηση λειτουργίας κοινωνικού δικτύου και η οποία συνίσταται στη συλλογή των δεδομένων ενός χρήστη, όταν αυτός επισκέπτεται άλλους διαδικτυακούς τόπους ή εφαρμογές ή εισάγει τα δεδομένα αυτά στους εν λόγω διαδικτυακούς τόπους ή εφαρμογές, στη συσχέτιση των εν λόγω δεδομένων με τον λογαριασμό του χρήστη στο κοινωνικό δίκτυο και στη χρήση των δεδομένων αυτών, εφόσον οι υποβαλλόμενες σε επεξεργασία πληροφορίες, είτε μεμονωμένα είτε κατόπιν ομαδοποίησης, καθιστούν δυνατή την κατάρτιση προφίλ του χρήστη σε σχέση με τις απαριθμούμενες στη διάταξη αυτή κατηγορίες ευαίσθητων δεδομένων προσωπικού χαρακτήρα.
Το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ
έχει την έννοια ότι:
ο χρήστης δεν προβαίνει σε πρόδηλη δημοσιοποίηση δεδομένων εκ του ότι τα δεδομένα αυτά αποκαλύπτονται με την επίσκεψη σε ιστοσελίδες και εφαρμογές ή εισάγονται στις εν λόγω ιστοσελίδες ή εφαρμογές ή απορρέουν από την ενεργοποίηση ενσωματωμένων σε αυτές πλήκτρων επιλογής.
3) Το άρθρο 6, παράγραφος 1, στοιχεία βʹ, γʹ, δʹ, εʹ και στʹ, του κανονισμού 2016/679
έχει την έννοια ότι:
η πρακτική η οποία συνίσταται, πρώτον, στη συλλογή δεδομένων που προέρχονται από άλλες υπηρεσίες του ομίλου, καθώς και από διαδικτυακούς τόπους και εφαρμογές τρίτων, μέσω ενσωματωμένων στους ιστότοπους και τις εφαρμογές αυτές διεπαφών, ή μέσω cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη, δεύτερον, στη συσχέτιση των δεδομένων αυτών με τον λογαριασμό Facebook του οικείου χρήστη και, τρίτον, στη χρήση των εν λόγω δεδομένων, ή ορισμένες από τις δραστηριότητες που συγκροτούν την πρακτική αυτή, είναι δυνατόν να εμπίπτουν στις εξαιρέσεις που προβλέπουν οι ως άνω διατάξεις, εφόσον έκαστη εξεταζόμενη πράξη επεξεργασίας δεδομένων πληροί τις προϋποθέσεις που προβλέπονται από τον συγκεκριμένο δικαιολογητικό λόγο που προβάλλει ο υπεύθυνος της επεξεργασίας, ήτοι εφόσον:
– η επεξεργασία είναι αντικειμενικά αναγκαία για την παροχή των σχετικών με τον λογαριασμό Facebook υπηρεσιών·
– η επεξεργασία είναι αναγκαία για την επίτευξη εννόμου συμφέροντος το οποίο επικαλείται ο υπεύθυνος της επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους γνωστοποιούνται τα δεδομένα και το οποίο δεν θίγει δυσανάλογα τα θεμελιώδη δικαιώματα και τις θεμελιώδεις ελευθερίες του υποκειμένου των δεδομένων·
– η επεξεργασία είναι αναγκαία για την ικανοποίηση νομίμως υποβληθέντος αιτήματος παροχής ορισμένων δεδομένων, για την καταπολέμηση επιζήμιων συμπεριφορών και για την ενίσχυση της ασφάλειας ή για ερευνητικούς σκοπούς προς όφελος του κοινωνικού συνόλου και για την ενίσχυση της προστασίας, της ακεραιότητας και της ασφάλειας.
4) Το άρθρο 6, παράγραφος 1, στοιχείο αʹ, και το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του κανονισμού 2016/679
έχουν την έννοια ότι:
η περίσταση και μόνον ότι η επιχείρηση που εκμεταλλεύεται κοινωνικό δίκτυο κατέχει δεσπόζουσα θέση στην εθνική αγορά των ηλεκτρονικών μέσων κοινωνικής δικτύωσης για ιδιώτες χρήστες δεν δύναται, αφ’ εαυτής, να καταστήσει άκυρη την συγκατάθεση του χρήστη του εν λόγω δικτύου στην επεξεργασία των προσωπικών του δεδομένων κατά την έννοια του άρθρου 4, σημείο 11, του ΓΚΠΔ. Εντούτοις, η περίσταση αυτή ασκεί επιρροή κατά την εκτίμηση του ελεύθερου χαρακτήρα της συγκατάθεσης κατά την έννοια της εν λόγω διατάξεως, τον οποίο οφείλει να αποδείξει ο υπεύθυνος επεξεργασίας, λαμβανομένων υπόψη, κατά περίπτωση, της υπάρξεως πρόδηλης ανισότητας δυνάμεων μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, της ενδεχόμενης υποχρέωσης παροχής συγκατάθεσης στην επεξεργασία δεδομένων προσωπικού χαρακτήρα πέραν εκείνων που είναι απολύτως αναγκαία για την παροχή των επίμαχων υπηρεσιών, της ανάγκης παροχής ειδικής συγκατάθεσης για έκαστο σκοπό επεξεργασίας και της ανάγκης να αποτραπεί το ενδεχόμενο ζημίας του χρήστη που ανακαλεί τη συγκατάθεσή του.