Προσωρινό κείμενο
ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
JEAN RICHARD DE LA TOUR
της 25ης Ιανουαρίου 2024 (1)
Υπόθεση C‑757/22
Meta Platforms Ireland Limited
κατά
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
[αίτηση του Bundesgerichtshof (Ανωτάτου Ομοσπονδιακού Δικαστηρίου, Γερμανία) για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 12, παράγραφος 1, πρώτη περίοδος – Διαφανής ενημέρωση – Άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ – Υποχρέωση παροχής πληροφοριών εκ μέρους του υπεύθυνου επεξεργασίας – Άρθρο 80, παράγραφος 2 – Εκπροσώπηση υποκειμένων των δεδομένων από ένωση για την προστασία των συμφερόντων των καταναλωτών – Αντιπροσωπευτική αγωγή που ασκείται χωρίς εντολή και ανεξάρτητα από την προσβολή συγκεκριμένων δικαιωμάτων του υποκειμένου των δεδομένων – Αγωγή στηριζόμενη στην παράβαση της υποχρέωσης ενημέρωσης εκ μέρους του υπεύθυνου επεξεργασίας – Έννοια της προσβολής δικαιωμάτων “ως αποτέλεσμα της επεξεργασίας”»
I. Ιστορικό της υποθέσεως, πραγματικά περιστατικά της διαφοράς της κύριας δίκης και νέο προδικαστικό ερώτημα
1. Στην υπό κρίση υπόθεση, το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο, Γερμανία) υποβάλλει εκ νέου προδικαστικό ερώτημα σχετικά με την ερμηνεία του άρθρου 80, παράγραφος 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (2).
2. Σύμφωνα με την ανωτέρω διάταξη, τα κράτη μέλη μπορούν να προβλέπουν ότι κάθε φορέας, οργάνωση ή ένωση έχει το δικαίωμα, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων, να υποβάλει στο εν λόγω κράτος μέλος καταγγελία στην εποπτική αρχή που είναι αρμόδια δυνάμει του άρθρου 77 και να ασκήσει τα δικαιώματα που αναφέρονται στα άρθρα 78 και 79, εφόσον θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του εν λόγω κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
3. Η αίτηση προδικαστικής αποφάσεως υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Meta Platforms Ireland Limited, πρώην Facebook Ireland Limited, η οποία εδρεύει στην Ιρλανδία, και της Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Ομοσπονδίας των οργανώσεων και των ενώσεων καταναλωτών, Γερμανία, στο εξής: Ομοσπονδιακή ένωση) με αντικείμενο την εκ μέρους της Meta Platforms Ireland παράβαση της γερμανικής νομοθεσίας για την προστασία των προσωπικών δεδομένων που συνιστά, συγχρόνως, αθέμιτη εμπορική πρακτική, παράβαση της νομοθεσίας περί προστασίας των καταναλωτών και παράβαση της απαγορεύσεως χρήσεως ανίσχυρων γενικών όρων συναλλαγών.
4. Πρόκειται για την ίδια διαφορά με εκείνη της υποθέσεως επί της οποίας εκδόθηκε η απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland (3), τα πραγματικά περιστατικά της οποίας συνοψίζονται ως ακολούθως (4).
5. Η Meta Platforms Ireland, η οποία διαχειρίζεται την παροχή των υπηρεσιών του ηλεκτρονικού μέσου κοινωνικής δικτύωσης Facebook στην Ένωση, είναι ο υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των χρηστών του εν λόγω μέσου κοινωνικής δικτύωσης στην Ένωση. Η Facebook Germany GmbH, η οποία εδρεύει στη Γερμανία, προωθεί υπό τη διεύθυνση www.facebook.de την πώληση διαδικτυακού διαφημιστικού χώρου. Η πλατφόρμα Internet Facebook περιλαμβάνει, μεταξύ άλλων στη διαδικτυακή διεύθυνση www.facebook.de, το λεγόμενο «App-Zentrum» (Κέντρο Εφαρμογών), με το οποίο η Meta Platforms Ireland παρέχει στους χρήστες της δωρεάν παιχνίδια από τρίτους παρόχους υπηρεσιών. Κατά την είσοδο στο Κέντρο Εφαρμογών, για ορισμένα από τα παιχνίδια αυτά ο χρήστης βλέπει να εμφανίζεται η ένδειξη ότι η χρήση της συγκεκριμένης εφαρμογής παρέχει στην εταιρία που προσφέρει τα παιχνίδια τη δυνατότητα να συλλέγει ορισμένα δεδομένα προσωπικού χαρακτήρα και της επιτρέπει να δημοσιεύει, εξ ονόματος του χρήστη, ορισμένες πληροφορίες, όπως τη βαθμολογία του. Η χρήση αυτή σημαίνει ότι ο εν λόγω χρήστης αποδέχεται τους γενικούς όρους συναλλαγών της εφαρμογής και την πολιτική της σχετικά με την προστασία των δεδομένων. Επιπροσθέτως, στην περίπτωση ενός συγκεκριμένου παιχνιδιού, εμφανίζεται η ένδειξη ότι η σχετική εφαρμογή μπορεί να δημοσιεύει ειδοποιήσεις προσωπικής κατάστασης, φωτογραφίες και άλλα στοιχεία εξ ονόματος του χρήστη.
6. Η Ομοσπονδιακή ένωση, φορέας ο οποίος νομιμοποιείται ενεργητικώς βάσει του άρθρου 4 του Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (νόμου για τις αγωγές παραλείψεως λόγω παραβιάσεων του δικαίου προστασίας των καταναλωτών και άλλων παραβάσεων) της 26ης Νοεμβρίου 2001 (5), θεωρεί ότι οι ενδείξεις που εμφανίζονται όσον αφορά τα εν λόγω παιχνίδια στο Κέντρο Εφαρμογών είναι αθέμιτες, ιδίως λόγω μη τηρήσεως των προϋποθέσεων του νόμου στις οποίες υπόκειται η λήψη πραγματικής συγκατάθεσης του χρήστη, βάσει των διατάξεων που διέπουν την προστασία των δεδομένων. Επιπροσθέτως, εκτιμά ότι η ένδειξη κατά την οποία η σχετική εφαρμογή μπορεί να δημοσιεύει εξ ονόματος του χρήστη ορισμένες προσωπικές πληροφορίες αυτού συνιστά γενικό όρο συναλλαγών ο οποίος περιάγει τον χρήστη σε αδικαιολόγητα μειονεκτική θέση.
7. Στο πλαίσιο αυτό, η Ομοσπονδιακή ένωση άσκησε ενώπιον του Landgericht Berlin (πρωτοδικείου Βερολίνου, Γερμανία) αγωγή παραλείψεως κατά της Meta Platforms Ireland βάσει του άρθρου 3a του Gesetz gegen den unlauteren Wettbewerb (νόμου για τον αθέμιτο ανταγωνισμό), της 3ης Ιουλίου 2004 (6), του άρθρου 2, παράγραφος 2, πρώτη περίοδος, σημείο 11, του νόμου για τις αγωγές παραλείψεως, καθώς και του Bürgerliches Gesetzbuch (Αστικού Κώδικα). Η αγωγή αυτή ασκήθηκε ανεξαρτήτως της υπάρξεως συγκεκριμένης προσβολής του δικαιώματος προστασίας των δεδομένων ενός υποκειμένου των δεδομένων και χωρίς σχετική εντολή από το εν λόγω πρόσωπο.
8. Το Landgericht Berlin (πρωτοδικείο Βερολίνου) έκανε δεκτά τα αιτήματα της Ομοσπονδιακής ένωσης εις βάρος της Meta Platforms Ireland. Η έφεση την οποία άσκησε η Meta Platforms Ireland ενώπιον του Kammergericht Berlin (εφετείου Βερολίνου, Γερμανία) απορρίφθηκε. Κατόπιν τούτου, η Meta Platforms Ireland άσκησε ενώπιον του αιτούντος δικαστηρίου αίτηση αναιρέσεως κατά της απορριπτικής αποφάσεως του δευτεροβάθμιου δικαστηρίου.
9. Στο πλαίσιο της εν λόγω αιτήσεως αναιρέσεως, το αιτούν δικαστήριο έκρινε ότι η αγωγή της Ομοσπονδιακής ένωσης είναι βάσιμη, στο μέτρο που η Meta Platforms Ireland παρέβη το άρθρο 3a του νόμου για τον αθέμιτο ανταγωνισμό, καθώς και το άρθρο 2, παράγραφος 2, πρώτη περίοδος, σημείο 11, του νόμου για τις αγωγές παραλείψεως, και χρησιμοποίησε γενικό όρο συναλλαγών ανίσχυρο, κατά την έννοια του άρθρου 1 του νόμου για τις αγωγές παραλείψεως.
10. Εντούτοις, το αιτούν δικαστήριο διατηρεί αμφιβολίες ως προς το παραδεκτό της αγωγής της Ομοσπονδιακής ένωσης. Διερωτάται, πιο συγκεκριμένα, εάν η ενεργητική νομιμοποίηση της Ομοσπονδιακής ένωσης μπορούσε να στηριχθεί στο άρθρο 80, παράγραφος 2, του ΓΚΠΔ. Για τον λόγο αυτόν, υπέβαλε στο Δικαστήριο προδικαστικό ερώτημα για την ερμηνεία της συγκεκριμένης διατάξεως.
11. Απαντώντας στο ερώτημα αυτό, το Δικαστήριο έκρινε, με την απόφασή του Meta Platforms Ireland, ότι το άρθρο 80, παράγραφος 2, του ΓΚΠΔ έχει την έννοια ότι δεν αντιτίθεται σε εθνική ρύθμιση η οποία επιτρέπει σε ένωση για την προστασία των καταναλωτών να κινηθεί δικαστικώς, χωρίς εντολή που να της έχει ανατεθεί προς τούτο και ανεξαρτήτως της υπάρξεως προσβολής συγκεκριμένων δικαιωμάτων ενός υποκειμένου των δεδομένων, κατά του φερόμενου παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα, προβάλλοντας την παραβίαση της απαγορεύσεως των αθέμιτων εμπορικών πρακτικών, την παράβαση της νομοθεσίας περί προστασίας των καταναλωτών ή την παραβίαση της απαγορεύσεως χρήσεως ανίσχυρων γενικών όρων συναλλαγών, εφόσον η επίμαχη επεξεργασία δεδομένων είναι ικανή να θίξει τα δικαιώματα που αντλούν από τον εν λόγω κανονισμό ταυτοποιημένα ή ταυτοποιήσιμα φυσικά πρόσωπα (7).
12. Το Δικαστήριο διευκρίνισε συναφώς το καθ’ ύλην πεδίο εφαρμογής του κατά το άρθρο 80, παράγραφος 2, του ΓΚΠΔ μηχανισμού αντιπροσωπευτικής αγωγής κατά του φερόμενου ως παραβάτη της προστασίας των δεδομένων προσωπικού χαρακτήρα.
13. Ειδικότερα, το Δικαστήριο έκρινε ότι, για την άσκηση τέτοιας αντιπροσωπευτικής αγωγής, δεν μπορεί να απαιτείται από οντότητα που πληροί τις προϋποθέσεις του άρθρου 80, παράγραφος 1, του ΓΚΠΔ να προβεί σε προηγούμενη ατομική ταυτοποίηση του υποκειμένου το οποίο αφορά ειδικώς η φερόμενη ως αντίθετη προς τις διατάξεις του ΓΚΠΔ επεξεργασία δεδομένων (8). Επομένως, ο προσδιορισμός μιας κατηγορίας ή μιας ομάδας προσώπων που θίγονται από την επεξεργασία αυτή μπορεί επίσης να αρκεί για την άσκηση μιας τέτοιας αντιπροσωπευτικής αγωγής (9).
14. Το Δικαστήριο έκρινε, επίσης, ότι, δυνάμει του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, η άσκηση αντιπροσωπευτικής αγωγής δεν εξαρτάται ούτε από την ύπαρξη συγκεκριμένης προσβολής των δικαιωμάτων που ένα πρόσωπο αντλεί από τους κανόνες για την προστασία των δεδομένων (10). Πράγματι, κατά το Δικαστήριο, η άσκηση αντιπροσωπευτικής αγωγής προϋποθέτει απλώς ότι η οικεία οντότητα «θεωρεί» ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του εν λόγω κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που το αφορούν και, επομένως, επικαλείται την ύπαρξη επεξεργασίας δεδομένων αντίθετης προς τις διατάξεις του κανονισμού αυτού (11). Κατά συνέπεια, προκειμένου να αναγνωριστεί σε μια τέτοια οντότητα ενεργητική νομιμοποίηση δυνάμει του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, αρκεί να υποστηριχθεί ότι η οικεία επεξεργασία δεδομένων είναι ικανή να θίξει τα δικαιώματα που αντλούν από τον εν λόγω κανονισμό ταυτοποιημένα ή ταυτοποιήσιμα φυσικά πρόσωπα, χωρίς να απαιτείται να αποδειχθεί πραγματική ζημία την οποία υπέστη το υποκείμενο των δεδομένων, σε συγκεκριμένη περίπτωση, από την προσβολή των δικαιωμάτων του (12).
15. Μολονότι το αιτούν δικαστήριο έχει ήδη λάβει από το Δικαστήριο στοιχεία προκειμένου να κρίνει αν η αγωγή παραλείψεως που άσκησε η Ομοσπονδιακή ένωση μπορεί να θεωρηθεί παραδεκτή υπό το πρίσμα των προϋποθέσεων του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, εντούτοις εκτιμά ότι πρέπει ακόμη να αρθεί μια αμφιβολία ως προς την ερμηνεία της εν λόγω διατάξεως. Πιο συγκεκριμένα, το αιτούν δικαστήριο υπογραμμίζει ότι η ενεργητική νομιμοποίηση της Ομοσπονδιακής ένωσης εξαρτάται από το αν έχει προβάλει με την αγωγή της ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του εν λόγω κανονισμού παραβιάστηκαν «ως αποτέλεσμα επεξεργασίας» κατά την έννοια της ως άνω διατάξεως.
16. Κατά το αιτούν δικαστήριο, δεν είναι προφανές ότι η εν λόγω απαίτηση σχετικά με το καθ’ ύλην πεδίο εφαρμογής του άρθρου 80, παράγραφος 2, του ΓΚΠΔ πληρούται υπό τις περιστάσεις της υπό κρίση υποθέσεως.
17. Συγκεκριμένα, το αιτούν δικαστήριο επισημαίνει ότι η Ομοσπονδιακή ένωση προβάλλει, προς στήριξη της αγωγής της, παράβαση της υποχρέωσης ενημέρωσης που προβλέπει το άρθρο 12, παράγραφος 1, πρώτη περίοδος, του ΓΚΠΔ, σε συνδυασμό με το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του κανονισμού αυτού, όσον αφορά τον σκοπό της επεξεργασίας των δεδομένων και τον αποδέκτη των δεδομένων προσωπικού χαρακτήρα. Επομένως, κατά το αιτούν δικαστήριο, πρέπει να εξακριβωθεί αν μπορεί να γίνει δεκτό ότι η Ομοσπονδιακή ένωση επικαλείται προσβολή δικαιωμάτων «ως αποτέλεσμα επεξεργασίας», κατά την έννοια του άρθρου 80, παράγραφος 2, του ΓΚΠΔ.
18. Πιο συγκεκριμένα, το αιτούν δικαστήριο εκτιμά, αφενός, ότι εξακολουθεί να υφίσταται αβεβαιότητα ως προς το αν, εν προκειμένω, η παράβαση της υποχρέωσης ενημέρωσης που απορρέει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και από το άρθρο 13 παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ εμπίπτει στην έννοια της «επεξεργασίας», κατά το άρθρο 4, σημείο 2, του ΓΚΠΔ και αν η έννοια αυτή καλύπτει επίσης καταστάσεις που προηγούνται της ενάρξεως της συλλογής των δεδομένων προσωπικού χαρακτήρα (13).
19. Αφετέρου, το αιτούν δικαστήριο εκτιμά ότι δεν έχει αποδειχθεί σαφώς αν, σε περίπτωση όπως η επίμαχη στην κύρια δίκη, η παράβαση της υποχρέωσης ενημέρωσης επέρχεται «ως αποτέλεσμα» επεξεργασίας δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 80, παράγραφος 2, του ΓΚΠΔ. Το εν λόγω δικαστήριο υπογραμμίζει, συναφώς, ότι από τη φράση «ως αποτέλεσμα» θα μπορούσε να συναχθεί ότι ο φορέας που ασκεί αντιπροσωπευτική αγωγή πρέπει, για να είναι παραδεκτή η αγωγή αυτή, να επικαλεστεί την προσβολή των δικαιωμάτων του υποκειμένου των δεδομένων βάσει του σχετικού κανονισμού, η οποία απορρέει από πράξη επεξεργασίας δεδομένων, κατά την έννοια του άρθρου 4, σημείο 2, του κανονισμού, και η οποία, ως εκ τούτου, έπεται τέτοιας πράξης (14).
20. Υπό τις συνθήκες αυτές, το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο, Γερμανία) αποφάσισε να αναστείλει εκ νέου την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο το ακόλουθο προδικαστικό ερώτημα:
«Προβάλλεται προσβολή [των δικαιωμάτων του υποκειμένου των δεδομένων] “ως αποτέλεσμα επεξεργασίας” κατά την έννοια του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, όταν ένωση για την προστασία των συμφερόντων των καταναλωτών στηρίζει την αγωγή της στο γεγονός ότι τα δικαιώματα υποκειμένου των δεδομένων έχουν προσβληθεί, διότι δεν τηρήθηκαν οι υποχρεώσεις ενημέρωσης σύμφωνα με το άρθρο 12, παράγραφος 1, πρώτη περίοδος, του ΓΚΠΔ σε συνδυασμό με το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ σχετικά με τον σκοπό της επεξεργασίας δεδομένων και τον αποδέκτη των δεδομένων προσωπικού χαρακτήρα;»
21. Γραπτές παρατηρήσεις κατέθεσαν η Meta Platforms Ireland, η Ομοσπονδιακή ένωση, η Γερμανική και η Πορτογαλική Κυβέρνηση, καθώς και η Ευρωπαϊκή Επιτροπή.
22. Στις 23 Νοεμβρίου 2023 διεξήχθη επ’ ακροατηρίου συζήτηση, στην οποία παρέστησαν η Meta Platforms Ireland, η Γερμανική Κυβέρνηση και η Επιτροπή.
II. Ανάλυση
23. Όπως επισημάνθηκε ανωτέρω, το αιτούν δικαστήριο διατηρεί αμφιβολίες ως προς το αν, υπό τις περιστάσεις της υπό κρίση υποθέσεως, η αντιπροσωπευτική αγωγή που άσκησε η Ομοσπονδιακή ένωση πληροί την προϋπόθεση του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, κατά την οποία η οντότητα που ασκεί την αγωγή αυτή θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του εν λόγω κανονισμού παραβιάστηκαν «ως αποτέλεσμα της επεξεργασίας» δεδομένων προσωπικού χαρακτήρα.
24. Προκειμένου να γίνει κατανοητό το πλαίσιο εντός του οποίου το αιτούν δικαστήριο ζητεί από το Δικαστήριο συμπληρωματικές διευκρινίσεις σχετικά με το καθ’ ύλην πεδίο εφαρμογής της διατάξεως αυτής, πρέπει να υπομνησθεί ότι, προς στήριξη της αγωγής της, η Ομοσπονδιακή ένωση προβάλλει παράβαση της υποχρέωσης ενημέρωσης την οποία υπέχει η Meta Platforms Ireland σχετικά με τον σκοπό και το περιεχόμενο της συγκατάθεσης του χρήστη για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τον αφορούν. Ειδικότερα, αντικείμενο της διαφοράς είναι η παρουσίαση παιχνιδιών στο Κέντρο Εφαρμογών που βρίσκεται στη διαδικτυακή πλατφόρμα της Meta Platforms Ireland και η μνεία ότι κάθε εφαρμογή επιτρέπεται να δημοσιεύει ορισμένες προσωπικές πληροφορίες του χρήστη εξ ονόματός του. Η Ομοσπονδιακή ένωση άσκησε την αγωγή αυτή ανεξαρτήτως της προσβολής συγκεκριμένων δικαιωμάτων του υποκειμένου των δεδομένων και χωρίς να λάβει σχετική εντολή από το εν λόγω πρόσωπο, πράγμα που συνάδει με την εν λόγω διάταξη, όπως δέχθηκε το Δικαστήριο με την απόφασή του Meta Platforms Ireland (15).
25. Οι διιστάμενες απόψεις ως προς το ζήτημα αν η Ομοσπονδιακή ένωση νομιμοποιείται ενεργητικώς βάσει του άρθρου 80, παράγραφος 2, του ΓΚΠΔ επικεντρώνονται πλέον στη διαπίστωση του αιτούντος δικαστηρίου ότι η αντιπροσωπευτική αγωγή που άσκησε ο εν λόγω φορέας δεν αφορά το αν η Meta Platforms Ireland προσβάλλει τα δικαιώματα προστασίας των δεδομένων χρήστη κατά τον χρόνο που αυτός πατά το πλήκτρο «Παίξε τώρα» ή «Παίξε παιχνίδια» εντός του Κέντρου Εφαρμογών και, ως εκ τούτου, προκαλεί ενδεχομένως επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τον αφορούν. Εξάλλου, δεν αμφισβητείται ότι η αγωγή που άσκησε η Ομοσπονδιακή ένωση δεν αφορά ούτε το ζήτημα αν οι αυτοματοποιημένες εργασίες σχετικά με δεδομένα προσωπικού χαρακτήρα ενός χρήστη που λαμβάνουν χώρα μετά την ενεργοποίηση τέτοιου πλήκτρου προσβάλλουν τα δικαιώματά του περί προστασίας των δεδομένων.
26. Εν ολίγοις, η διαφορά αποκρυσταλλώνεται στο ζήτημα εάν, προκειμένου μια τέτοια ένωση να νομιμοποιείται ενεργητικώς βάσει του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, αρκεί να επικαλείται παράβαση υποχρέωσης παροχής πληροφοριών χωρίς να επικρίνει, αυτή καθεαυτήν, την επεξεργασία των δεδομένων που προκύπτει από το πάτημα του πλήκτρου «Παίξε τώρα» ή «Παίξε παιχνίδια», μολονότι η εν λόγω διάταξη απαιτεί την προσβολή των δικαιωμάτων του υποκειμένου των δεδομένων «ως αποτέλεσμα της επεξεργασίας».
27. Για τον λόγο ακριβώς αυτόν, τα ερωτήματα του αιτούντος δικαστηρίου επικεντρώνονται σε δύο στοιχεία, ήτοι, αφενός, στην έκταση της έννοιας της «επεξεργασίας» και, αφετέρου, στο νόημα της φράσεως «ως αποτέλεσμα της επεξεργασίας» που περιλαμβάνεται στην εν λόγω διάταξη.
28. Στο πλαίσιο αυτό, το αιτούν δικαστήριο ζητεί να διευκρινισθεί εάν εμπίπτει στην έννοια της «επεξεργασίας», κατά το άρθρο 4, σημείο 2, του ΓΚΠΔ, η υποχρέωση παροχής στο υποκείμενο των δεδομένων, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, των πληροφοριών σχετικά με τον σκοπό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και με τον αποδέκτη των δεδομένων, υποχρέωση η οποία απορρέει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και από το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ.
29. Κατά το άρθρο 4, σημείο 2, του εν λόγω κανονισμού, ως «επεξεργασία» νοείται «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή».
30. Από το γράμμα της ως άνω διατάξεως, και ιδίως από τη φράση «κάθε πράξη», προκύπτει ότι ο νομοθέτης της Ένωσης θέλησε να προσδώσει ευρύ περιεχόμενο στην έννοια της «επεξεργασίας». Η ερμηνεία αυτή ενισχύεται από το γεγονός ότι η απαρίθμηση των πράξεων στην εν λόγω διάταξη είναι ενδεικτική, όπερ καθίσταται σαφές από τη χρήση της λέξης «όπως» (16). Κατά το Δικαστήριο, τούτο συνάδει με τον διαλαμβανόμενο στην αιτιολογική σκέψη 1 του ΓΚΠΔ σκοπό της διασφάλισης της αποτελεσματικότητας του θεμελιώδους δικαιώματος της προστασίας των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ο οποίος αποτελεί σημείο αναφοράς για την εφαρμογή του ΓΚΠΔ (17).
31. Προς στήριξη της απόψεως ότι η υποχρέωση ενημέρωσης που απορρέει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και από το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ θα μπορούσε να εμπίπτει στην έννοια της «επεξεργασίας», κατά το άρθρο 4, σημείο 2, του κανονισμού αυτού, το αιτούν δικαστήριο μνημονεύει την κρίση του Δικαστηρίου στην απόφαση της 24ης Φεβρουαρίου 2022, Valsts ieņēmumu dienests (Επεξεργασία των δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς) (18).
32. Στην υπόθεση επί της οποίας εκδόθηκε η ανωτέρω απόφαση, η Valsts ieņēmumu dienests (φορολογική αρχή, Λεττονία) ζητούσε από τον οικείο οικονομικό φορέα να αποκαταστήσει την πρόσβαση των υπηρεσιών της αρχής αυτής στους αριθμούς πλαισίου των οχημάτων που αποτελούν αντικείμενο αγγελίας δημοσιευθείσας στη διαδικτυακή πύλη της καθώς και στους τηλεφωνικούς αριθμούς των πωλητών και να της παράσχει πληροφορίες σχετικά με τις αγγελίες που δημοσιεύθηκαν στη συγκεκριμένη πύλη.
33. Στο πλαίσιο ακριβώς αυτό, το Δικαστήριο έκρινε ότι τέτοιο αίτημα, με το οποίο η φορολογική αρχή κράτους μέλους καλεί οικονομικό φορέα να κοινολογήσει και να παράσχει δεδομένα προσωπικού χαρακτήρα τα οποία ο τελευταίος είναι υποχρεωμένος, δυνάμει της εθνικής ρυθμίσεως του αντίστοιχου κράτους μέλους, να παράσχει και να θέσει στη διάθεσή της, σηματοδοτεί την έναρξη της διαδικασίας «συλλογής» των δεδομένων αυτών, κατά την έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ (19). Το αιτούν δικαστήριο συνάγει εξ αυτού το συμπέρασμα ότι η έννοια της «επεξεργασίας», κατά την ως άνω διάταξη, καλύπτει και πράξεις που απλώς σηματοδοτούν την «έναρξη» της συλλογής δεδομένων προσωπικού χαρακτήρα, ήτοι πράξεις που προηγούνται μιας πράξεως την οποία ο νομοθέτης της Ένωσης έχει ρητώς μνημονεύσει ως παράδειγμα επεξεργασίας, προβαίνοντας σε σύγκριση με την περίπτωση της κύριας δίκης.
34. Φρονώ, ωστόσο, ότι η περίπτωση της κύριας δίκης διαφέρει σαφώς από εκείνη επί της οποίας εκδόθηκε η απόφαση της 24ης Φεβρουαρίου 2022, Valsts ieņēmumu dienests (Επεξεργασία δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς) (20). Πράγματι, το κρίσιμο ζήτημα, εν προκειμένω, δεν είναι να συνδεθεί με διαδικασία επεξεργασίας μια πράξη που καθιστά δυνατή την ενεργοποίηση της εν λόγω διαδικασίας, αλλά μάλλον να προσδιοριστεί η σχέση μεταξύ μιας υποχρέωσης παροχής πληροφοριών, όπως αυτή που απορρέει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και από το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ, και μιας συγκεκριμένης επεξεργασίας.
35. Συναφώς, εκτιμώ ότι, όσο ευρύ και αν είναι, το περιεχόμενο της έννοιας της «επεξεργασίας», κατά το άρθρο 4, σημείο 2, του ΓΚΠΔ, δεν περιλαμβάνει την υποχρέωση παροχής πληροφοριών. Πράγματι, η υποχρέωση αυτή δεν συνεπάγεται καμία άμεση ή έμμεση ενέργεια επί των δεδομένων προσωπικού χαρακτήρα. Η εν λόγω υποχρέωση συνιστά μάλλον προϋπόθεση νομιμότητας της επεξεργασίας των δεδομένων αυτών.
36. Πρέπει να υπομνησθεί ότι το άρθρο 12 του ΓΚΠΔ ορίζει τις γενικές υποχρεώσεις που υπέχει ο υπεύθυνος επεξεργασίας όσον αφορά τη διαφάνεια των πληροφοριών και των επικοινωνιών, καθώς και τον τρόπο άσκησης των δικαιωμάτων του υποκειμένου των δεδομένων.
37. Πιο συγκεκριμένα, το άρθρο 12, παράγραφος 1, πρώτη περίοδος, του εν λόγω κανονισμού προβλέπει ότι «[ο] υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά».
38. Το άρθρο 13 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων», ορίζει στην παράγραφο 1, στοιχεία γʹ και εʹ, τα εξής:
«Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:
[…]
γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία,
[…]
ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν […]».
39. Επιβάλλεται να υπομνησθεί ότι το άρθρο 6, παράγραφος 1, πρώτο εδάφιο του ΓΚΠΔ προβλέπει εξαντλητικό και περιοριστικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί σύννομη. Επομένως, για να μπορεί να θεωρηθεί νόμιμη, η επεξεργασία πρέπει να εμπίπτει σε μία από τις περιπτώσεις που προβλέπει η διάταξη αυτή (21).
40. Κατά το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, του κανονισμού αυτού, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη εάν και στον βαθμό που το υποκείμενο των δεδομένων έχει παράσχει τη συγκατάθεσή του για έναν ή περισσότερους συγκεκριμένους σκοπούς (22).
41. Ελλείψει τέτοιας συγκατάθεσης ή όταν δεν έχει δοθεί ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει συγκατάθεση, κατά την έννοια του άρθρου 4, σημείο 11, του ΓΚΠΔ, η επεξεργασία είναι παράνομη, εάν δεν πληροί κάποια από τις απαιτήσεις αναγκαιότητας στις οποίες αναφέρεται το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ έως στʹ, του ΓΚΠΔ (23).
42. Όσον αφορά την απαίτηση που απορρέει από το άρθρο 4, σημείο 11, του ΓΚΠΔ, κατά την οποία η συγκατάθεση πρέπει να παρέχεται «εν πλήρει επιγνώσει», η απαίτηση αυτή συνεπάγεται, σύμφωνα με το άρθρο 13 του κανονισμού, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής του σκέψεως 42, ότι ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων ενημέρωση σε σχέση με όλες τις περιστάσεις που περιβάλλουν την επεξεργασία των δεδομένων, σε κατανοητή και εύκολα προσβάσιμη μορφή και με σαφή και απλή διατύπωση, δεδομένου ότι το υποκείμενο των δεδομένων πρέπει, μεταξύ άλλων, να γνωρίζει το είδος των προς επεξεργασία δεδομένων, την ταυτότητα του υπεύθυνου επεξεργασίας, τη διάρκεια και τις λεπτομέρειες της επεξεργασίας, καθώς και τους σκοπούς που αυτή επιδιώκει. Τέτοια ενημέρωση πρέπει να παρέχει στο εν λόγω πρόσωπο τη δυνατότητα να προσδιορίσει ευχερώς τις συνέπειες της συγκατάθεσης που θα μπορούσε να δώσει και να διασφαλίσει ότι η συγκατάθεση αυτή δίδεται εν πλήρει γνώσει της κατάστασης (24).
43. Παρατηρώ όμως ότι, όπως επισημαίνει το αιτούν δικαστήριο (25), η Ομοσπονδιακή ένωση αμφισβητεί ως αθέμιτη την παρουσίαση, στο πλαίσιο του Κέντρου Εφαρμογών, των ενδείξεων που παρέχονταν μετά το πάτημα του πλήκτρου «Παίξε τώρα», υπό το πρίσμα, μεταξύ άλλων, της μη τηρήσεως των νομικών απαιτήσεων σχετικά με τη λήψη πραγματικής συγκατάθεσης του χρήστη βάσει των διατάξεων που διέπουν την προστασία των δεδομένων προσωπικού χαρακτήρα.
44. Με άλλα λόγια, η αγωγή που άσκησε η Ομοσπονδιακή ένωση στηρίζεται στο ότι, λαμβανομένης υπόψη της πλημμελούς παρουσιάσεως του Κέντρου Εφαρμογών την οποία επικαλείται η εν λόγω οντότητα, ένα πρόσωπο θα μπορούσε να πατήσει το πλήκτρο «Παίξε τώρα» χωρίς να διαθέτει τις αναγκαίες πληροφορίες ώστε να είναι σε θέση να προσδιορίσει ευχερώς τις συνέπειες της συγκατάθεσης που ενδέχεται να δώσει για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα κατόπιν της ενεργοποίησης του εν λόγω πλήκτρου και χωρίς να διασφαλίζεται ότι η συγκατάθεση αυτή παρέχεται εν πλήρει γνώσει της κατάστασης.
45. Υπό τις συνθήκες αυτές, φρονώ ότι η Ομοσπονδιακή ένωση υποστηρίζει, στο πλαίσιο της αγωγής της, σύμφωνα με τα προβλεπόμενα στο άρθρο 80, παράγραφος 2, του ΓΚΠΔ, ότι «τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του [εν λόγω] κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας».
46. Πράγματι, αφενός, τόσο το άρθρο 12 όσο και το άρθρο 13 του ΓΚΠΔ περιλαμβάνονται στο κεφάλαιο III του κανονισμού αυτού, το οποίο φέρει τον τίτλο «Δικαιώματα του υποκειμένου των δεδομένων». Λαμβανομένης υπόψη της υποχρεώσεως ενημέρωσης την οποία υπέχει ο υπεύθυνος επεξεργασίας βάσει των ανωτέρω άρθρων, τα δικαιώματα που απορρέουν από την εν λόγω υποχρέωση για τα υποκείμενα των δεδομένων συγκαταλέγονται μεταξύ εκείνων στην προστασία των οποίων αποσκοπεί η αντιπροσωπευτική αγωγή που προβλέπεται στο άρθρο 80, παράγραφος 2, του ΓΚΠΔ.
47. Αφετέρου, η προβαλλόμενη προσβολή του δικαιώματος των υποκειμένων των δεδομένων να ενημερώνονται επαρκώς για όλες τις περιστάσεις που περιβάλλουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, και ιδίως για τον σκοπό της επεξεργασίας και τον αποδέκτη των δεδομένων αυτών, ενδέχεται να αποτελέσει εμπόδιο για την παροχή συγκατάθεσης «εν πλήρει επιγνώσει», κατά την έννοια του άρθρου 4, σημείο 11, του ΓΚΠΔ, γεγονός το οποίο μπορεί να καταστήσει την εν λόγω επεξεργασία παράνομη.
48. Επομένως, για την άσκηση αντιπροσωπευτικής αγωγής δυνάμει του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, αρκεί μια οντότητα να επικαλεστεί παράβαση της υποχρέωσης παροχής πληροφοριών που υπέχει ο υπεύθυνος επεξεργασίας, διευκρινίζοντας τη σχετική επεξεργασία, η οποία, εν προκειμένω, είναι εκείνη που λαμβάνει χώρα όταν ένα πρόσωπο πατά το πλήκτρο «Παίξε τώρα». Πρέπει να πρόκειται για επεξεργασία δεδομένων ικανή να θίξει τα δικαιώματα που αντλούν από τον εν λόγω κανονισμό ταυτοποιημένα ή ταυτοποιήσιμα φυσικά πρόσωπα (26), γεγονός το οποίο σημαίνει ότι η επεξεργασία αυτή πρέπει να υφίσταται και, επομένως, δεν μπορεί να έχει αμιγώς υποθετικό χαρακτήρα.
49. Επιπλέον, φρονώ ότι είναι αδιάφορο αν η οντότητα αυτή προβάλλει παράβαση υποχρεώσεως που προηγείται της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Τούτο ισχύει όσον αφορά την υποχρέωση παροχής πληροφοριών η οποία πρέπει να εφαρμόζεται το αργότερο κατά τον χρόνο συλλογής των δεδομένων, σύμφωνα με τα προβλεπόμενα στο άρθρο 13, παράγραφος 1, του ΓΚΠΔ.
50. Επομένως, η φράση «ως αποτέλεσμα της επεξεργασίας» που περιέχεται στο άρθρο 80, παράγραφος 2, του ΓΚΠΔ ουδόλως σημαίνει ότι η προσβολή του δικαιώματος την οποία σκοπεί να διαπιστώσει η αγωγή που προβλέπεται στο εν λόγω άρθρο πρέπει κατ’ ανάγκην να αφορά στάδιο μεταγενέστερο της πράξης που συνιστά «επεξεργασία», κατά την έννοια του άρθρου 4, σημείο 2, του εν λόγω κανονισμού. Με άλλα λόγια, από τη συγκεκριμένη φράση δεν πρέπει να συνάγεται καμία απαίτηση περί χρονικής αλληλουχίας η οποία θα συνεπαγόταν ότι η προσβολή των δικαιωμάτων του υποκειμένου των δεδομένων που προβλέπονται στον ΓΚΠΔ θα πρέπει να λαμβάνει χώρα σε στάδιο που έπεται της επεξεργασίας.
51. Αυτό το οποίο έχει σημασία μάλλον είναι να υφίσταται σύνδεσμος μεταξύ του σεβασμού των επίμαχων δικαιωμάτων και της σχετικής επεξεργασίας. Τούτο συμβαίνει όταν η προσβολή των δικαιωμάτων αυτών έχει ως συνέπεια να καθιστά την εν λόγω επεξεργασία παράνομη. Ο παράνομος χαρακτήρας της επεξεργασίας απορρέει από την παράβαση της υποχρέωσης ενημέρωσης. Αυτά τα δύο είναι άρρηκτα συνδεδεμένα μεταξύ τους.
52. Επομένως, η πρόβλεψη ότι μια οντότητα μπορεί να ασκήσει αντιπροσωπευτική αγωγή δυνάμει του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, εάν θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του εν λόγω κανονισμού έχουν παραβιαστεί «ως αποτέλεσμα της επεξεργασίας», δεν απαιτεί, κατά τη γνώμη μου, να επικαλεστεί η εν λόγω οντότητα προσβολή των δικαιωμάτων αυτών που προκύπτει από πράξη επεξεργασίας δεδομένων, κατά την έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ, και η οποία, ως εκ τούτου, είναι μεταγενέστερη της πράξης επεξεργασίας. Αρκεί να επισημάνει την ύπαρξη συνδέσμου μεταξύ της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και της προσβολής δικαιωμάτων που προστατεύονται από τον ΓΚΠΔ.
53. Επομένως, εν προκειμένω, δεν έχει σημασία αν η Ομοσπονδιακή ένωση προβάλλει παράβαση υποχρεώσεως παροχής πληροφοριών ανεξαρτήτως του αν το υποκείμενο των δεδομένων πατά ή μη το πλήκτρο «Παίξε τώρα» στο Κέντρο Εφαρμογών, δεδομένου ότι η υποχρέωση αυτή, στο μέτρο που είναι ικανή να επηρεάσει τη νομιμότητα της επεξεργασίας που προκύπτει από την ενεργοποίηση του εν λόγω πλήκτρου, συνδέεται αναμφισβήτητα με την εν λόγω επεξεργασία.
54. Η ερμηνεία αυτή συνάδει όχι μόνο με την προληπτική λειτουργία της αντιπροσωπευτικής αγωγής που προβλέπεται στο άρθρο 80, παράγραφος 2, του ΓΚΠΔ (27), αλλά επίσης, στο μέτρο που συμβάλλει στην ενίσχυση των δικαιωμάτων των υποκειμένων των δεδομένων (28), και με τον σκοπό του εν λόγω κανονισμού, ο οποίος προκύπτει από την αιτιολογική του σκέψη 10 και συνίσταται στη διασφάλιση, εντός της Ένωσης, υψηλού επιπέδου προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (29).
55. Προσθέτω ότι, κατά τη γνώμη μου, θα ήταν ασυνεπές να γίνει δεκτή μια συσταλτική ερμηνεία του καθ’ ύλην πεδίου εφαρμογής του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, ενώ το άρθρο 79, παράγραφος 1, του εν λόγω κανονισμού προβλέπει, με παρόμοια διατύπωση, το δικαίωμα εκάστου υποκειμένου των δεδομένων σε πραγματική δικαστική προσφυγή και ότι δεν υπάρχει κανένας λόγος να αποκλειστούν από το καθ’ ύλην πεδίο εφαρμογής τέτοιας προσφυγής τα δικαιώματα που απορρέουν από την υποχρέωση ενημέρωσης που προβλέπεται στο άρθρο 12, παράγραφος 1, πρώτη περίοδος, του ΓΚΠΔ, σε συνδυασμό με το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του εν λόγω κανονισμού.
56. Κατά συνέπεια, φρονώ ότι το άρθρο 80, παράγραφος 2, του ΓΚΠΔ έχει την έννοια ότι η απαίτηση κατά την οποία, προκειμένου να ασκήσει αντιπροσωπευτική αγωγή δυνάμει της ως άνω διατάξεως, η νομιμοποιούμενη οντότητα πρέπει να προβάλλει ότι θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του εν λόγω κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας, προϋποθέτει ότι η εν λόγω οντότητα επικαλείται την ύπαρξη επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και την ύπαρξη συνδέσμου μεταξύ της προσβολής των δικαιωμάτων αυτών και της σχετικής επεξεργασίας. Η συγκεκριμένη προϋπόθεση πληρούται όταν η αγωγή στηρίζεται, σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, στην παράβαση από τον υπεύθυνο επεξεργασίας της υποχρέωσης ενημέρωσης που προβλέπεται στο άρθρο 12, παράγραφος 1, πρώτη περίοδος, του ΓΚΠΔ, σε συνδυασμό με το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ίδιου κανονισμού, στο μέτρο που η παράβαση αυτή είναι ικανή να καταστήσει την εν λόγω επεξεργασία παράνομη.
III. Πρόταση
57. Κατόπιν των ανωτέρω, προτείνω στο Δικαστήριο να απαντήσει στο προδικαστικό ερώτημα του Bundesgerichtshof (Ανωτάτου Ομοσπονδιακού Δικαστηρίου, Γερμανία) ως εξής:
Το άρθρο 80, παράγραφος 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
η απαίτηση κατά την οποία, προκειμένου να ασκήσει αντιπροσωπευτική αγωγή δυνάμει της ως άνω διατάξεως, η νομιμοποιούμενη οντότητα πρέπει να προβάλλει ότι θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του εν λόγω κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας, προϋποθέτει ότι η εν λόγω οντότητα επικαλείται την ύπαρξη επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και την ύπαρξη συνδέσμου μεταξύ της προσβολής των δικαιωμάτων αυτών και της σχετικής επεξεργασίας. Η συγκεκριμένη προϋπόθεση πληρούται όταν η αγωγή στηρίζεται, σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα, στην παράβαση από τον υπεύθυνο επεξεργασίας της υποχρέωσης ενημέρωσης που προβλέπεται στο άρθρο 12, παράγραφος 1, πρώτη περίοδος, του ως άνω κανονισμού, σε συνδυασμό με το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ίδιου κανονισμού, στο μέτρο που η παράβαση αυτή είναι ικανή να καταστήσει την εν λόγω επεξεργασία παράνομη.