Προσωρινό κείμενο
ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
ΑΘΑΝΑΣΙΟΥ ΡΑΝΤΟΥ
της 25ης Απριλίου 2024 (1)
Υπόθεση C‑446/21
Maximilian Schrems
κατά
Meta Platforms Ireland Limited, πρώην Facebook Ireland Limited,
[αίτηση του Oberster Gerichtshof (Ανωτάτου Δικαστηρίου, Αυστρία)
για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Μέσα κοινωνικής δικτύωσης – Άρθρο 5, παράγραφος 1, στοιχείο βʹ – Αρχή του “περιορισμού του σκοπού” – Άρθρο 5, παράγραφος 1, στοιχείο εʹ – Αρχή της “ελαχιστοποίησης των δεδομένων” – Άρθρο 9, παράγραφοι 1 και 2, στοιχείο εʹ – Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα – Δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων – Εξατομικευμένη διαφήμιση – Δεδομένα που αφορούν τον γενετήσιο προσανατολισμό»
Εισαγωγή
1. Η υπό κρίση αίτηση προδικαστικής αποφάσεως υποβλήθηκε από το Oberster Gerichtshof (Ανώτατο Δικαστήριο, Αυστρία) στο πλαίσιο ένδικης διαφοράς μεταξύ του Maximilian Schrems (στο εξής: ενάγων), χρήστη του μέσου κοινωνικής δικτύωσης «Facebook», και της Meta Platforms Ireland Limited, πρώην Facebook Ireland Limited (στο εξής: Meta Platforms Ireland ή εναγομένη), με αντικείμενο την προβαλλόμενη παράνομη επεξεργασία από την εταιρία αυτή των δεδομένων προσωπικού χαρακτήρα που τον αφορούν.
2. Τα προδικαστικά ερωτήματα που υποβλήθηκαν στο πλαίσιο της υπό κρίση υποθέσεως αφορούν, αφενός, την εφαρμογή της αρχής της «ελαχιστοποίησης των δεδομένων» που προβλέπεται στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του κανονισμού (ΕΕ) 2016/679 (2) και, αφετέρου, την ερμηνεία της έννοιας των «δεδομένων προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων» που προβλέπεται στο άρθρο 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού, σε συνδυασμό με το άρθρο 5, παράγραφος 1, στοιχείο βʹ, του εν λόγω κανονισμού, το οποίο εισάγει την αρχή του «περιορισμού του σκοπού». Κατ’ ουσίαν, το αιτούν δικαστήριο ζητεί να διευκρινιστεί, αφενός, αν η αρχή της ελαχιστοποίησης των δεδομένων επιτρέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα χωρίς περιορισμό ως προς τη διάρκεια ή το είδος των δεδομένων και, αφετέρου, αν οι δηλώσεις ενός προσώπου σχετικά με τον γενετήσιο προσανατολισμό του, στις οποίες προέβη στο πλαίσιο δημόσιας συζήτησης, επιτρέπουν την επεξεργασία άλλων δεδομένων σχετικά με τον γενετήσιο προσανατολισμό του προσώπου αυτού με σκοπό την εξατομικευμένη διαφήμιση.
Το νομικό πλαίσιο
3. Το άρθρο 4 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Ορισμοί», ορίζει στο σημείο 11 τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
[…]
11) “συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, εν πλήρει επιγνώσει και αδιαμφισβήτητη, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν.»
4. Το άρθρο 5 του κανονισμού αυτού, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», προβλέπει στις παραγράφους 1 και 2 τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”)·
β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· […]
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”)·
[…]
2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»
5. Το άρθρο 6 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», ορίζει στις παραγράφους 1 και 3 τα εξής:
«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς·
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης·
[…]
στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
Το στοιχείο στ) του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους.
[…]
3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με:
α) το δίκαιο της Ένωσης, ή
β) το δίκαιο του κράτους μέλος στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας.
[…]
[…] Το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και είναι ανάλογο προς τον επιδιωκόμενο νόμιμο σκοπό.»
6. Το άρθρο 7 του ίδιου κανονισμού, με τίτλο «Προϋποθέσεις για συγκατάθεση», ορίζει τα εξής:
«1. Όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα.
[…]
3. Το υποκείμενο των δεδομένων έχει δικαίωμα να ανακαλέσει τη συγκατάθεσή του ανά πάσα στιγμή. Η ανάκληση της συγκατάθεσης δεν θίγει τη νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση προ της ανάκλησής της. Πριν την παροχή της συγκατάθεσης, το υποκείμενο των δεδομένων ενημερώνεται σχετικά. Η ανάκληση της συγκατάθεσης είναι εξίσου εύκολη με την παροχή της.
4. Κατά την εκτίμηση κατά πόσο η συγκατάθεση δίνεται ελεύθερα, λαμβάνεται ιδιαιτέρως υπόψη κατά πόσο, μεταξύ άλλων, για την εκτέλεση σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, τίθεται ως προϋπόθεση η συγκατάθεση στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που δεν είναι αναγκαία για την εκτέλεση της εν λόγω σύμβασης.»
7. Το άρθρο 9, παράγραφοι 1 και 2, του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα», ορίζει τα εξής:
«1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.
2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων·
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση των υποχρεώσεων και την άσκηση συγκεκριμένων δικαιωμάτων του υπευθύνου επεξεργασίας ή του υποκειμένου των δεδομένων στον τομέα του εργατικού δικαίου και του δικαίου κοινωνικής ασφάλισης και κοινωνικής προστασίας, εφόσον επιτρέπεται από το δίκαιο της Ένωσης ή κράτους μέλους ή από συλλογική συμφωνία σύμφωνα με το εθνικό δίκαιο παρέχοντας κατάλληλες εγγυήσεις για τα θεμελιώδη δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων·
[…]
ε) η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων·
[…]».
8. Το άρθρο 13 του κανονισμού αυτού, το οποίο αφορά τις «[π]ληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων», προβλέπει στην παράγραφο 1 τα εξής:
«Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:
[…]
γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία·
δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο·
[…]».
Η διαφορά της κύριας δίκης, τα προδικαστικά ερωτήματα και η διαδικασία ενώπιον Δικαστηρίου
9. Η Meta Platforms Ireland, εταιρία ιρλανδικού δικαίου, διαχειρίζεται το κλειστό δίκτυο επικοινωνίας «Facebook», το οποίο αποτελεί, κατ’ ουσίαν, ηλεκτρονικό μέσο κοινωνικής δικτύωσης για τον διαμοιρασμό περιεχομένου (3). Το επιχειρηματικό της μοντέλο συνίσταται κατ’ ουσίαν στην παροχή δωρεάν υπηρεσιών κοινωνικής δικτύωσης για τους ιδιώτες χρήστες και στην πώληση διαδικτυακής διαφήμισης, συμπεριλαμβανομένης της στοχευμένης διαφήμισης προς τους χρήστες του (4). Η διαφήμιση αυτή στηρίζεται κυρίως στην αυτοματοποιημένη κατάρτιση σχετικά λεπτομερών προφίλ των χρηστών του εν λόγω μέσου κοινωνικής δικτύωσης (5).
10. Κατά τη διάρκεια του 2018, μετά την έναρξη ισχύος του ΓΚΠΔ, η Meta Platforms Ireland υπέβαλε στους χρήστες της στην Ευρωπαϊκή Ένωση νέους όρους χρήσης του Facebook προκειμένου να λάβει τη συγκατάθεσή τους, η οποία είναι, εξάλλου, αναγκαία για την εγγραφή ή την πρόσβαση στους λογαριασμούς και τις υπηρεσίες που παρέχει το Facebook (6). Οι νέοι αυτοί όροι χρήσης παρέχουν επίσης στους χρήστες τη δυνατότητα να έχουν εποπτεία και έλεγχο των αποθηκευμένων δεδομένων τους (7).
11. Ο ενάγων είναι χρήστης του Facebook ο οποίος αποδέχθηκε τους νέους όρους χρήσης που πρότεινε το Facebook. Όπως προκύπτει από την απόφαση περί παραπομπής, ο ενάγων είχε αναφερθεί δημοσίως στην ομοφυλοφιλία του, ωστόσο δεν είχε ποτέ αναφέρει τον γενετήσιο προσανατολισμό του και δεν είχε δημοσιεύσει κανένα ευαίσθητο δεδομένο στο προφίλ του στο Facebook (8). Ο ενάγων δεν είχε εξάλλου παράσχει άδεια στην εναγομένη να χρησιμοποιεί, με σκοπό τη στοχευμένη διαφήμιση, τις πληροφορίες του προφίλ του σχετικά με την προσωπική κατάσταση, τον εργοδότη, το αντικείμενο εργασίας ή την εκπαίδευσή του.
12. Εντούτοις, o ενάγων έλαβε μία διαφήμιση η οποία αφορούσε μια γυναίκα πολιτικό και η εν λόγω διαφήμιση εμφανίστηκε σε αυτόν βάσει μιας ανάλυσης σύμφωνα με την οποία ο ενάγων έμοιαζε με άλλους «πελάτες» οι οποίοι είχαν κλικάρει την επιλογή «Μου αρέσει» για την εν λόγω πολιτικό· ο ενάγων λάμβανε τακτικά διαφημίσεις απευθυνόμενες σε ομοφυλόφιλους και προσκλήσεις σε ανάλογες εκδηλώσεις, μολονότι δεν είχε ποτέ στο παρελθόν εκφράσει ενδιαφέρον για τις εκδηλώσεις αυτές και δεν γνώριζε καν τους χώρους στους οποίους πραγματοποιούνταν. Οι εν λόγω διαφημίσεις ή οι προσκλήσεις δεν διαμορφώνονταν άμεσα από τον γενετήσιο προσανατολισμό του ενάγοντος ή των «φίλων» του στο μέσο κοινωνικής δικτύωσης, αλλά από την ανάλυση των ενδιαφερόντων τους (9). Επιπλέον, η Meta Platforms Ireland καταχωρούσε όλα τα δεδομένα σχετικά με τον ενάγοντα, συμπεριλαμβανομένων εκείνων που λαμβάνονται μέσω τρίτου ή μέσω plug-ins, προκειμένου να τα διατηρήσει για απροσδιόριστο χρονικό διάστημα.
13. Υπό τις συνθήκες αυτές, ο ενάγων άσκησε, ενώπιον του Landesgericht für Zivilsachen Wien (περιφερειακού δικαστηρίου αστικών υποθέσεων Βιέννης, Αυστρία), αγωγή με αίτημα να υποχρεωθεί η εναγομένη Meta Platforms Ireland να προβεί στις αναγκαίες ενέργειες για τη διαπίστωση και την παύση της προβαλλόμενης παράνομης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τον αφορούν (10).
14. Εν συνεχεία, στο πλαίσιο δημόσιας συζήτησης, η οποία διοργανώθηκε από την Αντιπροσωπεία της Ευρωπαϊκής Επιτροπής στη Βιέννη (Αυστρία) (11) και η οποία έλαβε χώρα στις 12 Φεβρουαρίου 2019, ο ενάγων ανέφερε τον γενετήσιο προσανατολισμό του στο πλαίσιο παρέμβασης που είχε ως σκοπό να καταγγείλει την προβαλλόμενη παράνομη επεξεργασία, εκ μέρους της Meta Platforms Ireland, δεδομένων σχετικών με αυτόν τον γενετήσιο προσανατολισμό (12).
15. Κατόπιν απορρίψεως της αγωγής του, στον πρώτο βαθμό, με απόφαση της 30ής Ιουνίου 2020 και, κατ’ έφεση, από το Oberlandesgericht Wien (ανώτερο περιφερειακό δικαστήριο Βιέννης, Αυστρία), με απόφαση της 7ης Δεκεμβρίου 2020 (13), ο ενάγων άσκησε αναίρεση ενώπιον του Oberster Gerichtshof (Ανωτάτου Δικαστηρίου), ήτοι του αιτούντος δικαστηρίου.
16. Στο πλαίσιο αυτό, το Oberster Gerichtshof (Ανώτατο Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τέσσερα προδικαστικά ερωτήματα (14). Δεδομένου ότι το πρώτο και το τρίτο προδικαστικό ερώτημα ανακλήθηκαν κατόπιν της αποφάσεως της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου) (15), η υπό κρίση υπόθεση έχει ως αντικείμενο το δεύτερο και το τέταρτο προδικαστικό ερώτημα, τα οποία έχουν ως εξής:
«2) Έχει το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ (ελαχιστοποίηση των δεδομένων) την έννοια ότι όλα τα δεδομένα προσωπικού χαρακτήρα που διαθέτει πλατφόρμα, όπως η επίμαχη στην υπόθεση της κύριας δίκης (ιδίως από το υποκείμενο των δεδομένων ή από τρίτους εντός και εκτός της πλατφόρμας), μπορούν να ομαδοποιηθούν, να αναλυθούν και να τύχουν επεξεργασίας με σκοπό τη στοχευμένη διαφήμιση χωρίς περιορισμό ως προς τη διάρκεια ή το είδος των δεδομένων;
4) Έχει το άρθρο 5, παράγραφος 1, στοιχείο βʹ, σε συνδυασμό με το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ την έννοια ότι δήλωση σχετικά με τον γενετήσιο προσανατολισμό του ατόμου, στο πλαίσιο δημόσιας συζήτησης, παρέχει τη δυνατότητα επεξεργασίας άλλων δεδομένων σχετικά με τον γενετήσιο προσανατολισμό προκειμένου να ομαδοποιηθούν και να αναλυθούν δεδομένα με σκοπό την εξατομικευμένη διαφήμιση;»
17. Ο ενάγων, η Meta Platforms Ireland, η Αυστριακή, η Γαλλική, η Ιταλική και η Πορτογαλική Κυβέρνηση, καθώς και η Επιτροπή κατέθεσαν γραπτές παρατηρήσεις. Ο ενάγων, η Meta Platforms Ireland, η Αυστριακή Κυβέρνηση, καθώς και η Επιτροπή ανέπτυξαν προφορικώς τις παρατηρήσεις τους κατά την επ’ ακροατηρίου συζήτηση της 8ης Φεβρουαρίου 2024.
Ανάλυση
Επί του δευτέρου προδικαστικού ερωτήματος
18. Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, το οποίο κατοχυρώνει την αρχή της ελαχιστοποίησης των δεδομένων, έχει την έννοια ότι όλα τα δεδομένα προσωπικού χαρακτήρα που έχει στη διάθεσή του ένα δίκτυο όπως το Facebook, ιδίως μέσω του υποκειμένου των δεδομένων ή τρίτων εντός και εκτός της εν λόγω πλατφόρμας, μπορούν να ομαδοποιηθούν, να αναλυθούν και να τύχουν επεξεργασίας με σκοπό τη στοχευμένη διαφήμιση, χωρίς περιορισμό ως προς τη διάρκεια ή το είδος των δεδομένων.
19. Προκαταρκτικώς, υπενθυμίζεται ότι κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός, προς τις αρχές που διέπουν την επεξεργασία των δεδομένων, οι οποίες διατυπώνονται στο άρθρο 5 του ΓΚΠΔ, και, αφετέρου, προς μία από τις αρχές που διέπουν τη νομιμότητα της επεξεργασίας, οι οποίες απαριθμούνται στο άρθρο 6 του εν λόγω κανονισμού (16).
20. Όσον αφορά, ειδικότερα, τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, το Δικαστήριο έχει διευκρινίσει ότι η αρχή της ελαχιστοποίησης των δεδομένων, η οποία περιλαμβάνεται στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, προβλέπει ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία, όπερ αποτελεί, κατ’ ουσίαν, έκφραση, της αρχής της αναλογικότητας (17). Ως εκ τούτου, η αρχή της ελαχιστοποίησης των δεδομένων αποσκοπεί στην ελαχιστοποίηση των περιορισμών του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα, οι οποίοι προκαλούνται από την επίμαχη επεξεργασία.
21. Εν προκειμένω, είναι, κατά τη γνώμη μου, προφανές ότι η ενδεχόμενη απουσία οποιουδήποτε περιορισμού, κατά την υπόθεση που διατυπώνει το αιτούν δικαστήριο, θα ήταν, εξ ορισμού, αντίθετη προς την εφαρμογή της αρχής της ελαχιστοποίησης των δεδομένων. Από τη δικογραφία που υποβλήθηκε στο Δικαστήριο δεν προκύπτει κανένα στοιχείο δυνάμενο να επιβεβαιώσει ή να αποκλείσει μια τέτοια υπόθεση, η οποία, εν πάση περιπτώσει, απόκειται στην εκτίμηση του αιτούντος δικαστηρίου. Εντούτοις, θα επιχειρήσω να παράσχω στο αιτούν δικαστήριο ορισμένες χρήσιμες ενδείξεις ως προς την ερμηνεία της υπό εξέταση διάταξης, οι οποίες θα του επιτρέψουν να αποφανθεί επί της εκκρεμούς ενώπιόν του υποθέσεως.
22. Όσον αφορά, αφενός, τον χρονικό περιορισμό της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, εκτιμώ ότι, ελλείψει σχετικής ειδικής διάταξης στον ΓΚΠΔ, ο δικαστής της Ένωσης δεν μπορεί να καθορίσει, κατά τρόπο δεσμευτικό, ανώτατη επιτρεπόμενη διάρκεια για τη διατήρηση των δεδομένων αυτών. Επιπλέον, το Δικαστήριο έχει κρίνει ότι ακόμη και η αρχικώς νόμιμη επεξεργασία μη ανακριβών δεδομένων μπορεί, με την πάροδο του χρόνου, να καταστεί αντίθετη ιδίως με το άρθρο 5, παράγραφος 1, στοιχεία γʹ έως εʹ, του ΓΚΠΔ, εφόσον τα εν λόγω δεδομένα παύσουν να είναι απαραίτητα για τους σκοπούς για τους οποίους συνελέγησαν ή υπέστησαν επεξεργασία (18). Συνεπώς, απόκειται στο αιτούν δικαστήριο να εκτιμήσει, λαμβανομένων υπόψη των περιστάσεων της υπό κρίση υποθέσεως και εφαρμόζοντας την αρχή της αναλογικότητας (19), κατά πόσον η χρονική διάρκεια διατήρησης των δεδομένων προσωπικού χαρακτήρα από τη Meta Platforms Ireland δικαιολογείται σε σχέση με τον νόμιμο σκοπό της επεξεργασίας των δεδομένων αυτών για τους σκοπούς της εξατομικευμένης διαφήμισης.
23. Όσον αφορά, αφετέρου, τον περιορισμό της επεξεργασίας δεδομένων προσωπικού χαρακτήρα αναλόγως του είδους των δεδομένων, απόκειται επίσης στο αιτούν δικαστήριο να προσδιορίσει, υπό τις περιστάσεις της υπό κρίση υπόθεσης, τα δεδομένα προσωπικού χαρακτήρα των οποίων η επεξεργασία μπορεί να θεωρηθεί νόμιμη, τηρουμένης της αρχής της αναλογικότητας.
24. Επιπλέον, οι αναφορές, στο γράμμα του άρθρου 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, σε πολύ γενικές προϋποθέσεις, όπως η «καταλληλότητα», η «συνάφεια» και η «αναγκαιότητα», καταδεικνύουν, κατά την άποψή μου, ότι ο νομοθέτης της Ένωσης θέλησε να παράσχει στις αρμόδιες αρχές ευρύ περιθώριο εκτιμήσεως κατά την εφαρμογή της εν λόγω διάταξης, καθόσον οι προϋποθέσεις αυτές μπορούν να ερμηνεύονται μόνον κατά περίπτωση, λαμβάνοντας υπόψη τις εκάστοτε συντρέχουσες περιστάσεις.
25. Κατόπιν της ανωτέρω διευκρινίσεως, εκτιμώ, όπως και η Επιτροπή στις γραπτές παρατηρήσεις της, ότι είναι δυνατό να γίνουν ορισμένες διακρίσεις αναλόγως του βαθμού επέμβασης που συνεπάγονται οι διάφορες μορφές επεξεργασίας στα δικαιώματα του υποκειμένου των δεδομένων. Επομένως, το αιτούν δικαστήριο θα μπορούσε, εφόσον το κρίνει σκόπιμο, αφενός, να προβεί σε διάκριση μεταξύ της χρήσης «στατικών» δεδομένων του υποκειμένου των δεδομένων (όπως η ηλικία (20) ή το φύλο) και της χρήσης «συμπεριφορικών» δεδομένων (όπως η παρακολούθηση των συνηθειών περιήγησης των χρηστών), με την τελευταία αυτή χρήση να είναι, κατά γενικό κανόνα, πιο παρεμβατική ως προς τα δικαιώματα του υποκειμένου των δεδομένων. Όσον αφορά, ειδικότερα, τα «συμπεριφορικά» δεδομένα, θα μπορούσε να γίνει περαιτέρω διάκριση μεταξύ της συλλογής δεδομένων που αφορούν «ενεργό» συμπεριφορά (όπως το κλικάρισμα στην επιλογή «Μου αρέσει») και της συλλογής δεδομένων που αφορούν «παθητική» συμπεριφορά (όπως η απλή επίσκεψη σε ιστότοπο), με την τελευταία να είναι συνήθως πιο παρεμβατική για τον χρήστη. Αφετέρου, θα μπορούσε επίσης να γίνει διάκριση μεταξύ της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που συλλέγονται στην πλατφόρμα Facebook και εκτός αυτής, ήτοι σε ιστοσελίδες, άλλες εφαρμογές πέραν του Facebook ή στις συσκευές των χρηστών, με την τελευταία να είναι πιο παρεμβατική από την πρώτη (21).
26. Στο πλαίσιο της ανάλυσης αυτής, είναι επίσης σημαντικό, κατά τη γνώμη μου, να ληφθούν υπόψη οι εύλογες προσδοκίες των υποκειμένων των δεδομένων (22).
27. Επιπλέον, υπό περιστάσεις όπως εκείνες που υφίσταντο πριν από τη θέση σε ισχύ του ΓΚΠΔ, κατά τις οποίες η επεξεργασία των δεδομένων που συνελέγησαν εκτός της πλατφόρμας Facebook βασιζόταν, όχι στη συγκατάθεση, αλλά στον αναγκαίο χαρακτήρα της επεξεργασίας για την εκτέλεση της σύμβασης βάσει του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του εν λόγω κανονισμού (23), πρέπει να ληφθεί υπόψη η στενή ερμηνεία που έδωσε το Δικαστήριο στην εν λόγω διάταξη (24). Συνεπώς, είναι σημαντικό, όπως υπογραμμίζει η Ιταλική Κυβέρνηση με τις γραπτές παρατηρήσεις της, να αποφευχθεί το ενδεχόμενο μια ευρεία ερμηνεία της αρχής της ελαχιστοποίησης των δεδομένων του άρθρου 5 του εν λόγω κανονισμού να καταστήσει δυνατό στους υπεύθυνους επεξεργασίας να επεκτείνουν τις κατηγορίες των δεδομένων προσωπικού χαρακτήρα που θεωρούνται απαραίτητα για την εκτέλεση σύμβασης δυνάμει του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ίδιου κανονισμού.
28. Κατόπιν των προεκτεθέντων, προτείνω να δοθεί στο δεύτερο προδικαστικό ερώτημα η απάντηση ότι το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι αντιτίθεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα με σκοπό τη στοχευμένη διαφήμιση χωρίς περιορισμό ως προς τη διάρκεια ή το είδος των δεδομένων και ότι απόκειται στο αιτούν δικαστήριο να εκτιμήσει, λαμβανομένων υπόψη των περιστάσεων της υπό κρίση υπόθεσης και εφαρμόζοντας την αρχή της αναλογικότητας, κατά πόσον η χρονική διάρκεια διατήρησης των δεδομένων και ο όγκος των δεδομένων που υποβάλλονται σε επεξεργασία δικαιολογούνται σε σχέση με τον νόμιμο σκοπό της επεξεργασίας των δεδομένων αυτών για τους σκοπούς της εξατομικευμένης διαφήμισης.
Επί του τετάρτου προδικαστικού ερωτήματος
29. Με το τέταρτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 5, παράγραφος 1, στοιχείο βʹ, σε συνδυασμό με το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ έχουν την έννοια ότι το γεγονός ότι ένα πρόσωπο εκφράστηκε ως προς τον γενετήσιο προσανατολισμό του στο πλαίσιο δημόσιας συζήτησης επιτρέπει την επεξεργασία από τη Meta Platforms Ireland άλλων δεδομένων σχετικών με τον γενετήσιο προσανατολισμό με σκοπό την εμφάνιση εξατομικευμένων διαφημίσεων. Γενικότερα, το αιτούν δικαστήριο διερωτάται ως προς το περιεχόμενο της τελευταίας αυτής διατάξεως και θέτει, ειδικότερα, το ζήτημα του τρόπου με τον οποίο το κοινό πρέπει να έχει αποκτήσει γνώση των ευαίσθητων δεδομένων του εν λόγω προσώπου προκειμένου να έχει εφαρμογή το άρθρο 9, παράγραφος 2, του ΓΚΠΔ.
Επί της λυσιτέλειας του προδικαστικού ερωτήματος
30. Η Meta Platforms Ireland διευκρίνισε, με τις γραπτές και προφορικές παρατηρήσεις της, χωρίς τούτο να αμφισβητηθεί από τους λοιπούς διαδίκους κατά την επ’ ακροατηρίου συζήτηση, ότι ουδέποτε κατά τη διάρκεια της διαδικασίας ενώπιον των εθνικών δικαστηρίων επικαλέστηκε την εξαίρεση που προβλέπεται στο άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ ως νομική βάση για την επεξεργασία των επίμαχων δεδομένων (25).
31. Σε μια τέτοια περίπτωση, όμως, είναι σαφές ότι το τέταρτο προδικαστικό ερώτημα θα ήταν αλυσιτελές, δεδομένου ότι η εξαίρεση αυτή δεν θα είχε εφαρμογή στην υπό κρίση υπόθεση (26).
32. Τούτου λεχθέντος, υπενθυμίζεται ότι, κατά πάγια νομολογία του Δικαστηρίου, στο πλαίσιο της διαδικασίας που προβλέπει το άρθρο 267 ΣΛΕΕ, η οποία στηρίζεται σε σαφή διάκριση των αρμοδιοτήτων μεταξύ των εθνικών δικαστηρίων και του Δικαστηρίου, τα σχετικά με την ερμηνεία του δικαίου της Ένωσης ερωτήματα τα οποία υπέβαλε το εθνικό δικαστήριο, εντός του πραγματικού και νομοθετικού πλαισίου το οποίο αυτό προσδιορίζει με δική του ευθύνη (27) και την ακρίβεια του οποίου δεν οφείλει να ελέγξει το Δικαστήριο, τεκμαίρονται λυσιτελή (28).
33. Ως εκ τούτου, στα σημεία που ακολουθούν, θα προτείνω μία απάντηση στο τέταρτο προδικαστικό ερώτημα του αιτούντος δικαστηρίου, με την επιφύλαξη της αποφάσεως του Δικαστηρίου ως προς τη λυσιτέλεια του ερωτήματος αυτού.
Επί της ουσίας του προδικαστικού ερωτήματος
34. Προκαταρκτικώς, υπενθυμίζω ότι, σύμφωνα με το άρθρο 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, το οποίο κατοχυρώνει την αρχή του περιορισμού του σκοπού, τα δεδομένα προσωπικού χαρακτήρα πρέπει να συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και πρέπει να μην υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς. Κατά το άρθρο 9, παράγραφος 1, του κανονισμού, η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν, μεταξύ άλλων, τη σεξουαλική ζωή ή τον γενετήσιο προσανατολισμό φυσικού προσώπου απαγορεύεται, εκτός εάν η επεξεργασία αυτή εμπίπτει στο πεδίο εφαρμογής μιας από τις εξαιρέσεις που προβλέπονται στο άρθρο 9, παράγραφος 2, του εν λόγω κανονισμού (29).
35. Ειδικότερα, δυνάμει του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, η απαγόρευση της επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα δεν ισχύει εάν η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων. Όπως επισήμανα με τις προτάσεις μου στην υπόθεση Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου) (30), η χρήση, στο γράμμα της διάταξης αυτής, του επιρρήματος «προδήλως» και το γεγονός ότι η εν λόγω διάταξη συνιστά εξαίρεση από τη γενική αρχή της απαγόρευσης της επεξεργασίας ευαίσθητων δεδομένων προσωπικού χαρακτήρα καθιστούν επιβεβλημένη την ιδιαιτέρως αυστηρή εφαρμογή της εξαίρεσης αυτής, λόγω των σημαντικών κινδύνων εις βάρος των θεμελιωδών δικαιωμάτων και ελευθεριών των υποκειμένων των δεδομένων (31). Κατά τη γνώμη μου, για να μπορεί να έχει εφαρμογή η εν λόγω εξαίρεση, ο χρήστης πρέπει να έχει πλήρη επίγνωση ότι, με ρητή πράξη, καθιστά τα δεδομένα προσωπικού χαρακτήρα που τον αφορούν προσβάσιμα στον καθένα (32).
36. Στη υπόθεση της κύριας δίκης, τα ευαίσθητα δεδομένα σχετικά με τον γενετήσιο προσανατολισμό του ενάγοντος δημοσιοποιήθηκαν, εκτός της πλατφόρμας Facebook («εκτός ιστοτόπου») και κάθε άλλης πλατφόρμας ή εφαρμογής πληροφορικής, στο πλαίσιο δημόσιας συζήτησης που διοργανώθηκε από την Επιτροπή (33) και με σκοπό την άσκηση κριτικής κατά της προβαλλόμενης παράνομης επεξεργασίας δεδομένων σχετικά με τον εν λόγω γενετήσιο προσανατολισμό από τη Meta Platforms Ireland (34).
37. Συναφώς, το Δικαστήριο έχει αποφανθεί σχετικά με τη χρήση δεδομένων «εκτός ιστοτόπου», στο πλαίσιο άλλων πλατφορμών, με την απόφαση Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου) (35). Με την εν λόγω απόφαση, το Δικαστήριο έκρινε ότι το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ έχει την έννοια ότι, όταν ο χρήστης ηλεκτρονικού μέσου κοινωνικής δικτύωσης επισκέπτεται ιστοτόπους ή εφαρμογές που σχετίζονται με μία ή περισσότερες από τις κατηγορίες δεδομένων του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, ο χρήστης δεν δημοσιοποιεί προδήλως, κατά την έννοια της πρώτης από τις διατάξεις αυτές, τα σχετικά με την επίσκεψή του δεδομένα τα οποία συλλέγονται από την επιχείρηση εκμετάλλευσης του κοινωνικού δικτύου μέσω «cookies» ή παρόμοιων τεχνολογιών αποθήκευσης και ότι, όταν εισάγει δεδομένα σε τέτοιους ιστοτόπους ή σε τέτοιες εφαρμογές ή όταν κλικάρει στις εκεί ενσωματωμένες επιλογές τύπου «Μου αρέσει» ή «Κοινοποίηση» ή στα πεδία όπου μπορεί να ταυτοποιηθεί από τον ιστότοπο ή την εφαρμογή χρησιμοποιώντας, ως αναγνωριστικά, τους κωδικούς σύνδεσης στον λογαριασμό του στο κοινωνικό δίκτυο, τον αριθμό τηλεφώνου ή την ηλεκτρονική του διεύθυνση, ο χρήστης δεν δημοσιοποιεί προδήλως κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ τα δεδομένα τα οποία εισάγονται κατ’ αυτόν τον τρόπο ή προέρχονται από το κλικάρισμα των επιλογών, εκτός αν έχει εκ των προτέρων εκφράσει ρητώς την επιλογή του, ενδεχομένως βάσει μιας εξατομικευμένης παραμετροποίησης, που γίνεται εν πλήρει επιγνώσει, να καταστούν τα δεδομένα τα οποία τον αφορούν δημοσίως προσβάσιμα σε απεριόριστο αριθμό προσώπων (36).
38. Τούτου δοθέντος, το αιτούν δικαστήριο έκρινε αναγκαίο να διατηρήσει το τέταρτο προδικαστικό ερώτημα για τον λόγο ότι οι πράξεις που εξέτασε το Δικαστήριο στην υπόθεση εκείνη αφορούσαν την επίσκεψη σε ιστοτόπους ή εφαρμογές καθώς και το κλικάρισμα των ενσωματωμένων επιλογών, ενώ, εν προκειμένω, πρόκειται για δήλωση του υποκειμένου των δεδομένων σχετικά με τον γενετήσιο προσανατολισμό του στο πλαίσιο δημόσιας συζήτησης. Συναφώς, το αιτούν δικαστήριο εκτιμά ότι από μια τέτοια δήλωση δεν μπορεί να συναχθεί συγκατάθεση κατά την έννοια του εν λόγω άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ.
39. Από την άποψη αυτή, φρονώ ότι είναι σκόπιμο να γίνει διάκριση μεταξύ, αφενός, του προκαταρκτικού ζητήματος αν η δήλωση του ενάγοντος σχετικά με τον γενετήσιο προσανατολισμό του συνιστά πράξη με την οποία ο ενάγων δημοσιοποιεί προδήλως τον εν λόγω προσανατολισμό κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ και, αφετέρου, σε περίπτωση καταφατικής απάντησης στο ως άνω ερώτημα, του ζητήματος αν το γεγονός ότι δημοσιοποίησε προδήλως τον γενετήσιο προσανατολισμό του επιτρέπει την επεξεργασία δεδομένων σχετικών με τον εν λόγω γενετήσιο προσανατολισμό με σκοπό την εξατομικευμένη διαφήμιση κατά την έννοια, μεταξύ άλλων, των άρθρων 5 και 6 του κανονισμού αυτού.
40. Όσον αφορά, πρώτον, τον χαρακτηρισμό που πρέπει να δοθεί στη δήλωση του ενάγοντος κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ, ελλείψει χρήσιμων ενδείξεων που να προκύπτουν από το ιστορικό θέσπισης της εν λόγω διάταξης και από τη νομολογιακή εφαρμογή της (37), επισημαίνω ότι η εξαίρεση του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού αυτού απαιτεί, κατ’ ουσίαν, να συντρέχουν σωρευτικώς δύο προϋποθέσεις, ήτοι, αφενός, μία «αντικειμενική» προϋπόθεση, σύμφωνα με την οποία τα επίμαχα δεδομένα προσωπικού χαρακτήρα πρέπει να «έχουν προδήλως δημοσιοποιηθεί», και, αφετέρου, μία «υποκειμενική» προϋπόθεση, σύμφωνα με την οποία τα δεδομένα αυτά πρέπει να δημοσιοποιούνται προδήλως από το «υποκείμενο των δεδομένων».
41. Στην υπόθεση της κύριας δίκης και υπό την επιφύλαξη των εξακριβώσεων στις οποίες οφείλει να προβεί το αιτούν δικαστήριο, φρονώ ότι συντρέχουν οι δύο αυτές προϋποθέσεις. Πράγματι, μολονότι δημοσιοποιήθηκε παρεμπιπτόντως στο πλαίσιο μιας ευρύτερης συζήτησης η οποία ασκεί κριτική ως προς την επεξεργασία ευαίσθητων δεδομένων εκ μέρους της Meta Platforms Ireland, εκτιμώ ότι η δήλωση του ενάγοντος συνιστά πράξη με την οποία, εν πλήρη επιγνώσει, δημοσιοποιεί προδήλως τον γενετήσιο προσανατολισμό του.
42. Όσον αφορά την πρώτη προϋπόθεση, φρονώ ότι είναι εξαιρετικά πιθανό, λαμβανομένου υπόψη του ότι επρόκειτο για δημόσια συζήτηση ανοιχτή στο κοινό, η οποία μεταδόθηκε ζωντανά και στη συνέχεια αναμεταδόθηκε σε streaming (38), καθώς και του ενδιαφέροντος του κοινού για το θέμα που συζητήθηκε σε αυτή, η δήλωση του ενάγοντος να μπόρεσε να καταστεί προσβάσιμη σε απροσδιόριστο κοινό, πολύ ευρύτερο σε σχέση με εκείνο που ήταν παρόν στην αίθουσα (39).
43. Όσον αφορά τη δεύτερη προϋπόθεση, μπορεί, κατά τη γνώμη μου, εύλογα να υποτεθεί ότι ο ενάγων, αναφέροντας ανοιχτά τον γενετήσιο προσανατολισμό του υπό τις περιστάσεις της υπό κρίση υπόθεσης (ιδίως στο πλαίσιο ανοιχτής και προσβάσιμης στον τύπο εκδήλωσης), είχε, αν όχι την πρόθεση, τουλάχιστον πλήρη επίγνωση ότι «δημοσιοποιούσε προδήλως» τον προσανατολισμό αυτόν, κατά την έννοια της νομολογίας που μνημονεύεται στο σημείο 35 των παρουσών προτάσεων (40).
44. Επιπλέον, ο σκοπός της προστασίας που κατοχυρώνεται στο άρθρο 9, παράγραφος 1, του ΓΚΠΔ είναι, κατά τη γνώμη μου, να αποφευχθεί το ενδεχόμενο το υποκείμενο των δεδομένων να εκτεθεί σε αρνητικές συνέπειες (όπως μεταξύ άλλων στη δημόσια απαξία ή σε πράξεις που εισάγουν δυσμενή διάκριση) οι οποίες απορρέουν, ιδίως, από μία αρνητική αντίληψη, από κοινωνικής ή οικονομικής απόψεως, των καταστάσεων που απαριθμούνται σε αυτό (41). Επομένως, η διάταξη αυτή προβλέπει ειδική προστασία των εν λόγω προσωπικών δεδομένων μέσω μιας, κατ’ αρχήν, μη απόλυτης απαγόρευσης, της οποίας η εφαρμογή στη συγκεκριμένη περίπτωση εξαρτάται από την εκτίμηση του υποκειμένου των δεδομένων, το οποίο είναι σε θέση να εκτιμήσει καλύτερα τις αρνητικές συνέπειες που θα μπορούσε να έχει η δημοσιοποίηση των επίμαχων δεδομένων και το οποίο μπορεί, ενδεχομένως, να παραιτηθεί από την προστασία αυτή ή να μην την επικαλεστεί, εν πλήρει επιγνώσει, δημοσιοποιώντας προδήλως, κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού αυτού, την κατάστασή του, και ιδίως τον γενετήσιο προσανατολισμό του.
45. Όσον αφορά, δεύτερον, την εξέταση των συνεπειών, που απορρέουν από την πρόδηλη δημοσιοποίηση του γενετήσιου προσανατολισμού του, επί της επεξεργασίας των εν λόγω ευαίσθητων δεδομένων από τη Meta Platforms Ireland κατά την έννοια των άρθρων 5 και 6 του ΓΚΠΔ, εκτιμώ ότι το γεγονός ότι δημοσιοποιούνται προδήλως δεδομένα κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού δεν επιτρέπει, αφ’ εαυτού, την επεξεργασία των δεδομένων αυτών κατά την έννοια του εν λόγω κανονισμού.
46. Συγκεκριμένα, η εφαρμογή της τελευταίας αυτής διάταξης έχει απλώς ως συνέπεια την άρση της «ειδικής προστασίας» που παρέχεται σε ορισμένα ιδιαιτέρως ευαίσθητα δεδομένα προσωπικού χαρακτήρα. Αφ’ ης στιγμής το ίδιο το υποκείμενο των δεδομένων (που έχει προδήλως δημοσιοποιήσει τα δεδομένα) παραιτείται συνειδητά από την εν λόγω προστασία, αυτά τα αρχικώς «προστατευόμενα» δεδομένα προσωπικού χαρακτήρα καθίστανται «συνήθη» (ήτοι μη ευαίσθητα) δεδομένα, τα οποία, όπως και κάθε άλλο δεδομένο προσωπικού χαρακτήρα, μπορούν να υποβληθούν σε σύννομη επεξεργασία μόνον υπό τις προϋποθέσεις που προβλέπονται ιδίως στα άρθρα 6 και 7 του κανονισμού ΓΚΠΔ και σύμφωνα με τις αρχές που κατοχυρώνονται ιδίως στο άρθρο 5 του κανονισμού αυτού (42), συμπεριλαμβανομένης της αρχής του περιορισμού του σκοπού που κατοχυρώνεται στο άρθρο 5, παράγραφος 1, στοιχείο βʹ του εν λόγω κανονισμού, που επιβάλλει η συλλογή δεδομένων προσωπικού χαρακτήρα να γίνεται για καθορισμένους, ρητούς και νόμιμους σκοπούς, γεγονός το οποίο οφείλει να αποδείξει ο υπεύθυνος επεξεργασίας, σύμφωνα με την παράγραφο 2 της επίμαχης διάταξης (43).
47. Ως εκ τούτου, το γεγονός ότι ο ενάγων εκφράστηκε ως προς τον γενετήσιο προσανατολισμό του στο πλαίσιο δημόσιας συζήτησης, μολονότι μπορεί να οδηγήσει στο συμπέρασμα ότι, υπό τις περιστάσεις της υπό κρίση υπόθεσης, το εν λόγω πρόσωπο «έχει προδήλως δημοσιοποιήσει» τα δεδομένα αυτά κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, εντούτοις, δεν μπορεί, αφ’ εαυτού, να δικαιολογήσει την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τον γενετήσιο προσανατολισμό του εν λόγω προσώπου(44).
48. Κατόπιν των προεκτεθέντων, προτείνω να δοθεί στο τέταρτο προδικαστικό ερώτημα η απάντηση ότι το άρθρο 5, παράγραφος 1, στοιχείο βʹ, σε συνδυασμό με το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, έχουν την έννοια ότι μολονότι το γεγονός ότι ένα πρόσωπο εκφράστηκε ως προς τον γενετήσιο προσανατολισμό του, για τις ανάγκες μιας δημόσιας συζήτησης ανοιχτής στο κοινό, μπορεί να συνιστά πράξη με την οποία το υποκείμενο των δεδομένων «έχει προδήλως δημοσιοποιήσει» το δεδομένο αυτό κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού αυτού, τούτο, δεν επιτρέπει, αφ’ εαυτού, την επεξεργασία των εν λόγω δεδομένων ή άλλων δεδομένων σχετικών με τον γενετήσιο προσανατολισμό του προσώπου αυτού με σκοπό την ομαδοποίηση και την ανάλυση δεδομένων για τους σκοπούς της εξατομικευμένης διαφήμισης.
Πρόταση
49. Κατόπιν των προεκτεθέντων, προτείνω στο Δικαστήριο να απαντήσει στο δεύτερο και στο τέταρτο προδικαστικό ερώτημα που υπέβαλε το Oberster Gerichtshof (Ανώτατο Δικαστήριο, Αυστρία) ως εξής:
1) Το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
– αντιτίθεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα με σκοπό τη στοχευμένη διαφήμιση χωρίς περιορισμό ως προς τη διάρκεια ή το είδος των δεδομένων και ότι
– απόκειται στο αιτούν δικαστήριο να εκτιμήσει, λαμβανομένων υπόψη των περιστάσεων της υπό κρίση υπόθεσης και εφαρμόζοντας την αρχή της αναλογικότητας, κατά πόσον η χρονική διάρκεια διατήρησης των δεδομένων και ο όγκος των δεδομένων που υποβάλλονται σε επεξεργασία δικαιολογούνται σε σχέση με τον νόμιμο σκοπό της επεξεργασίας των δεδομένων αυτών για τους σκοπούς της εξατομικευμένης διαφήμισης.
2) Το άρθρο 5, παράγραφος 1, στοιχείο βʹ, σε συνδυασμό με το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού 2016/679
έχουν την έννοια ότι:
– το γεγονός ότι ένα πρόσωπο εκφράστηκε ως προς τον γενετήσιο προσανατολισμό του για τις ανάγκες μιας δημόσιας συζήτησης ανοιχτής στο κοινό, μολονότι μπορεί να συνιστά πράξη με την οποία το υποκείμενο των δεδομένων «έχει προδήλως δημοσιοποιήσει» το δεδομένο αυτό κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού, τούτο, δεν επιτρέπει, αφ’ εαυτού, την επεξεργασία των εν λόγω δεδομένων ή άλλων δεδομένων σχετικών με τον γενετήσιο προσανατολισμό του προσώπου αυτού με σκοπό την ομαδοποίηση και την ανάλυση δεδομένων για τους σκοπούς της εξατομικευμένης διαφήμισης.
1 Γλώσσα του πρωτοτύπου: η γαλλική.
2 Κανονισμός του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικά ΕΕ 2018, L 127, σ. 2, και ΕΕ 2021, L 74, σ. 35) (στο εξής: ΓΚΠΔ).
3 Το εν λόγω μέσο κοινωνικής δικτύωσης καθιστά δυνατή τη μεταφόρτωση και τον διαμοιρασμό περιεχομένου με εξατομικευμένο τρόπο, ανάλογα με τις ρυθμίσεις που έχει προηγουμένως επιλέξει ο χρήστης, καθώς και την απευθείας επικοινωνία με άλλους χρήστες ή την ανταλλαγή δεδομένων με αυτούς.
4 Ειδικότερα, η διαφήμιση αυτή σκοπεί να παρουσιάσει στον χρήστη τα προϊόντα και τις υπηρεσίες που θα μπορούσαν να τον ενδιαφέρουν, βάσει, μεταξύ άλλων, της προσωπικής του καταναλωτικής συμπεριφοράς, των ενδιαφερόντων του, της αγοραστικής του δύναμης και της προσωπικής του κατάστασης (τόπος, ηλικία, φύλο κ.λπ.). Ταυτόχρονα, τα εργαλεία «Facebook business tools» (εργαλεία του Facebook για επιχειρήσεις) παρέχουν στους διαφημιζόμενους τη δυνατότητα να δημιουργούν στοχευμένες διαφημίσεις και να ελέγχουν την αποτελεσματικότητα των διαφημίσεών τους μέσω συστημάτων ανάλυσης βασισμένων σε αλγόριθμους, οι οποίοι ανιχνεύουν συσχετίσεις και μοτίβα προκειμένου να συναγάγουν εξ αυτών αντίστοιχα συμπεράσματα.
5 Προς τούτο, η εναγομένη χρησιμοποιεί τεχνολογίες όπως τα «cookies», τα οποία καθιστούν δυνατή τη χρήση «social plug-ins» (όπως η επιλογή «Μου αρέσει») ή «pixels», τα οποία είναι εργαλεία πληροφορικής εγκατεστημένα στον ιστότοπο του Facebook, σε άλλους ιστοτόπους και σε εφαρμογές τρίτων. Τα εν λόγω εργαλεία καθιστούν, κατ’ ουσίαν, δυνατή τη συλλογή και την ομαδοποίηση ορισμένων δεδομένων ενός χρήστη που επισκέπτεται τέτοιους ιστοτόπους ή χρησιμοποιεί τέτοιες εφαρμογές στις οποίες αυτά περιέχονται, δημιουργώντας με τον τρόπο αυτόν ένα προφίλ του χρήστη, βάσει του οποίου είναι δυνατό να του προσφέρονται εξατομικευμένες διαφημίσεις.
6 Η Meta Platforms Ireland διευκρίνισε, στις γραπτές και προφορικές παρατηρήσεις της, ότι, κατά το χρονικό διάστημα πριν από την έναρξη ισχύος του ΓΚΠΔ, αφενός, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που συλλέγονταν στην πλατφόρμα της με σκοπό την εξατομικευμένη διαφήμιση δεν στηριζόταν στη συγκατάθεση του ενάγοντος, αλλά κυρίως στον δικαιολογητικό λόγο ότι η επεξεργασία των δεδομένων αυτών ήταν αναγκαία για την εκτέλεση της σύμβασης, και, αφετέρου, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που συλλέγονταν σε ιστοτόπους ή εφαρμογές εκτός του δικτύου της στηριζόταν στη συγκατάθεση του χρήστη, ώστε αυτός να μπορεί να αποκλείσει τα τελευταία αυτά δεδομένα από την επεξεργασία, χωρίς ωστόσο να παύει να απολαύει των υπηρεσιών του Facebook. Εν προκειμένω, η ως άνω εταιρία ισχυρίζεται ότι δεν προέβη σε επεξεργασία δεδομένων προσωπικού χαρακτήρα του ενάγοντος, τα οποία είχαν συλλεγεί εκτός της πλατφόρμας της, διότι, κατά την εγγραφή του στο μέσο κοινωνικής δικτύωσης Facebook κατά τη διάρκεια του 2008, ο ενάγων δεν έδωσε τη συγκατάθεσή του προς τούτο. Αντιθέτως, από την έναρξη ισχύος του ΓΚΠΔ, το Facebook λαμβάνει τη συγκατάθεση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που συλλέγονται είτε στο δίκτυό του είτε σε εξωτερικούς ιστοτόπους ή εφαρμογές με σκοπό την εξατομικευμένη διαφήμιση και, ελλείψει τέτοιας συγκατάθεσης, παρέχει στον χρήστη τη δυνατότητα να αποκλείσει την επεξεργασία όλων των δεδομένων του με σκοπό την εξατομικευμένη διαφήμιση έναντι καταβολής ανταλλάγματος. Φαίνεται ότι η νομιμότητα των νέων όρων χρήσης κατά την έννοια του ΓΚΠΔ εξετάζεται επί του παρόντος από τις αρχές προστασίας δεδομένων ορισμένων κρατών μελών.
7 Όπως προκύπτει από την απόφαση περί παραπομπής, η Meta Platforms Ireland δεν παρέχει πρόσβαση σε όλα τα δεδομένα που υποβάλλονται σε επεξεργασία, αλλά μόνο σε εκείνα τα οποία, κατά την εκτίμησή της, παρουσιάζουν ενδιαφέρον και είναι σημαντικά για τους χρήστες. Επιπλέον, η εταιρία επιτρέπει τη διαγραφή συγκεκριμένου περιεχομένου (όπως μηνύματα, φωτογραφίες ή δημοσιεύσεις) από λογαριασμό Facebook.
8 Εξάλλου, μόνον οι «φίλοι» του, ο κατάλογος των οποίων δεν δημοσιοποιείται, μπορούσαν να δουν τις αναρτήσεις που εμφανίζονταν στο χρονολόγιό του ή τις μελλοντικές του αναρτήσεις.
9 Ο ενάγων ζήτησε μια ανάλυση των συμπερασμάτων που μπορούν να συναχθούν από τον κατάλογο των φίλων του και από αυτήν προέκυψε ότι είχε υπηρετήσει εναλλακτική θητεία στον Ερυθρό Σταυρό στο Σάλτσμπουργκ (Αυστρία) και ότι ήταν ομοφυλόφιλος. Στον κατάλογο των ιστοτόπων που τον ενδιαφέρουν, εκτός του Facebook, περιλαμβάνονται, μεταξύ άλλων, εφαρμογές ή ιστότοποι γνωριμιών για ομοφυλόφιλους, καθώς και ιστότοπος αυστριακού πολιτικού κόμματος. Μεταξύ των αποθηκευμένων δεδομένων του ενάγοντος εμφανίζεται, μεταξύ άλλων, μια ανύπαρκτη διεύθυνση ηλεκτρονικού ταχυδρομείου και μια άλλη, η οποία δεν αναγράφεται στο προφίλ του στο Facebook, την οποία, ωστόσο, είχε χρησιμοποιήσει για την υποβολή αιτημάτων στην εναγομένη.
10 Κατ’ ουσίαν, ο ενάγων ζήτησε από το πρωτοβάθμιο δικαστήριο, πρώτον, να υποχρεωθεί η εναγομένη να καταρτίσει γραπτή σύμβαση σχετικά με τη χρήση των δεδομένων προσωπικού χαρακτήρα του ενάγοντος στο δίκτυο του Facebook και, επικουρικώς, να διαπιστωθεί ότι δεν υφίσταται τέτοια σύμβαση ούτε και η συγκατάθεσή του στους όρους χρήσης· δεύτερον, να υποχρεωθεί η εναγομένη να παύσει την επεξεργασία δεδομένων προσωπικού χαρακτήρα του ενάγοντος με σκοπό την εξατομικευμένη διαφήμιση ή την ομαδοποίηση και ανάλυση δεδομένων για διαφημιστικούς σκοπούς· τρίτον, να αναγνωριστεί ότι δεν υφίσταται έγκυρη συγκατάθεση για την επεξεργασία για τους σκοπούς που περιγράφονται στην προϊσχύσασα εκδοχή των οδηγιών για την επεξεργασία των δεδομένων, όσον αφορά τα δεδομένα προσωπικού χαρακτήρα τα οποία περιήλθαν στην εναγομένη από τρίτους, και τέταρτον, να υποχρεωθεί η εναγομένη να μη χρησιμοποιεί ή να μην επεξεργάζεται τα δεδομένα του ενάγοντος σχετικά με την επίσκεψη και τη χρήση τρίτων σελίδων χωρίς έγκυρη συγκατάθεση για την επεξεργασία. Κατ’ ουσίαν, ο ενάγων ισχυρίστηκε ότι η αποδοχή των όρων χρήσης και των συναφών οδηγιών σχετικά με τη χρήση των δεδομένων δεν συνιστά έγκυρη συγκατάθεση, προς τον υπεύθυνο επεξεργασίας, για την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Επισήμανε επίσης το γεγονός ότι η Meta Platforms Ireland επεξεργάζεται ευαίσθητα δεδομένα που τον αφορούν, όπως δεδομένα σχετικά με τις πολιτικές πεποιθήσεις και τον γενετήσιο προσανατολισμό του, μολονότι τα δεδομένα αυτά δεν μνημονεύονται στο προφίλ του στο Facebook.
11 Όπως προκύπτει από τις γραπτές και προφορικές παρατηρήσεις των διαδίκων, η εν λόγω δημόσια συζήτηση ήταν προσβάσιμη στο κοινό, το οποίο μπορούσε να λάβει δωρεάν εισιτήριο, εφόσον υφίσταντο διαθέσιμες θέσεις, από την πλατφόρμα Eventbrite (τελικώς εγγράφηκαν 189 άτομα), και μεταδόθηκε ζωντανά. Επιπλέον, η ηχογράφηση της συζήτησης δημοσιεύθηκε εν συνεχεία υπό μορφή podcast, καθώς και στο κανάλι της Επιτροπής στο YouTube.
12 Όπως προκύπτει από την απόφαση περί παραπομπής και από τα υποβληθέντα από τον ενάγοντα δικόγραφα, ο ενάγων προέβη στην ακόλουθη δήλωση: «Θα σας δώσω τώρα ένα πολύ συνηθισμένο παράδειγμα: μπορείτε να συναγάγετε τον γενετήσιο προσανατολισμό μου από τον κατάλογο φίλων μου. Δεν έχω αναφέρει ποτέ στο Facebook ότι είμαι ομοφυλόφιλος. Από την ηλικία των 14 ετών, αυτό αποτελεί για μένα ένα ζήτημα για το οποίο έχω μιλήσει ανοιχτά και το οποίο δεν μου προκαλεί άγχος ή κάτι αντίστοιχο. Ωστόσο, δεν πρόκειται για ένα ζήτημα για το οποίο μιλάω δημοσίως παντού και συνεχώς, διότι λέω στον εαυτό μου, μίλα καλύτερα για την προστασία των δεδομένων, αλλιώς θα βρεθείς ξανά σε αυτό το “κουτάκι”. Και αυτό αποσπά την προσοχή από την προστασία των δεδομένων».
13 Τα δύο αυτά εθνικά δικαστήρια έκριναν, κατ’ ουσίαν, ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα από τη Meta Platforms Ireland ήταν αναγκαία για την εκτέλεση της σύμβασης κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ.
14 Υπενθυμίζω ότι στην υπόθεση της κύριας δίκης το αιτούν δικαστήριο έχει ήδη υποβάλει στο Δικαστήριο την αίτηση προδικαστικής αποφάσεως που αποτέλεσε το αντικείμενο της αποφάσεως της 25ης Ιανουαρίου 2018, Schrems (C‑498/16, EU:C:2018:37).
15 Απόφαση C‑252/21 [στο εξής: απόφαση Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), EU:C:2023:537]. Η παρούσα διαδικασία εκδόσεως προδικαστικής αποφάσεως ανεστάλη εν αναμονή της αποφάσεως αυτής. Ερωτηθέν από το Δικαστήριο, το αιτούν δικαστήριο απάντησε ότι η εν λόγω απόφαση έδινε απάντηση στο πρώτο και στο τρίτο προδικαστικό ερώτημα και ότι ενέμενε στο αίτημά του όσον αφορά το δεύτερο και το τέταρτο προδικαστικό ερώτημα.
16 Βλ. απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής) (C‑439/19, EU:C:2021:504, σκέψη 96 και εκεί μνημονευόμενη νομολογία).
17 Πρβλ. απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής) (C‑439/19, EU:C:2021:504, σκέψη 98 και εκεί μνημονευόμενη νομολογία).
18 Τούτο συμβαίνει ιδίως όταν τα δεδομένα είναι ακατάλληλα, δεν είναι ή έχουν παύσει να είναι συναφή με το οικείο ζήτημα ή είναι υπερβολικά σε σχέση με τους ως άνω σκοπούς ή με τον χρόνο που έχει παρέλθει [βλ. απόφαση της 24ης Σεπτεμβρίου 2019, GC κ.λπ. (Διαγραφή συνδέσμων προς ευαίσθητα δεδομένα) (C‑136/17, EU:C:2019:773, σκέψη 74 και εκεί μνημονευόμενη νομολογία)].
19 Βλ. τη νομολογία που μνημονεύεται στην υποσημείωση 17 των παρουσών προτάσεων.
20 Με την επιφύλαξη ότι, σύμφωνα με το άρθρο 8 του ΓΚΠΔ, τα παιδιά ηλικίας κάτω των 16 ετών δεν μπορούν να δώσουν τα ίδια τη συγκατάθεσή τους δυνάμει του άρθρου 6, παράγραφος 1, στοιχείο αʹ, του εν λόγω κανονισμού όσον αφορά την προσφορά υπηρεσιών της κοινωνίας των πληροφοριών.
21 Συναφώς, υπενθυμίζω ότι, στο πλαίσιο της έννοιας της «συγκατάθεσης» κατά το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, και το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ, το Δικαστήριο επισήμανε, μεταξύ άλλων, ότι ένας χρήστης δεν μπορεί ευλόγως να αναμένει ότι άλλα δεδομένα πέραν εκείνων που αφορούν τη συμπεριφορά του εντός του κοινωνικού δικτύου (εν προκειμένω του Facebook) θα υποβάλλονται σε επεξεργασία από την επιχείρηση αυτή και έκρινε ότι δύναται να δοθεί χωριστή συγκατάθεση για την επεξεργασία των τελευταίων αυτών δεδομένων, αφενός, και λοιπών δεδομένων πέραν αυτών, αφετέρου [απόφαση Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), σκέψη 151]. Με τις προτάσεις μου στην ίδια υπόθεση, εξέφρασα, ομοίως, αμφιβολίες ως προς το αν η συλλογή και η χρήση δεδομένων προσωπικού χαρακτήρα εκτός του κοινωνικού δικτύου Facebook μπορεί να είναι απαραίτητη για την παροχή των υπηρεσιών που προσφέρονται στο πλαίσιο του δικτύου αυτού, ώστε η συγκατάθεση που δόθηκε αρχικώς για την πρόσβαση στο εν λόγω δίκτυο (ήτοι για τη δημιουργία προφίλ Facebook) να μπορεί να καλύψει εγκύρως την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του χρήστη εκτός του ίδιου δικτύου [προτάσεις στην υπόθεση Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου) (C‑252/21, EU:C:2022:704, σημείο 56, υποσημείωση 81)].
22 Για παράδειγμα, όσον αφορά τα έννομα συμφέροντα του υπεύθυνου επεξεργασίας ως νομική βάση για την επεξεργασία, η αιτιολογική σκέψη 47 του ΓΚΠΔ διευκρινίζει ότι η ύπαρξη τέτοιου έννομου συμφέροντος θα χρειαζόταν προσεκτική αξιολόγηση, μεταξύ άλλων ως προς το κατά πόσον το υποκείμενο των δεδομένων, κατά τη χρονική στιγμή και στο πλαίσιο της συλλογής των δεδομένων προσωπικού χαρακτήρα, μπορεί εύλογα να αναμένει ότι για τον σκοπό αυτό μπορεί να πραγματοποιηθεί επεξεργασία.
23 Βλ. υποσημείωση 6 των παρουσών προτάσεων.
24 Πράγματι, το Δικαστήριο έχει κρίνει, κατ’ ουσίαν, ότι, ανεξαρτήτως του αν η προβλεπόμενη σε μια τέτοια διάταξη επεξεργασία δεδομένων προσωπικού χαρακτήρα μνημονεύεται στη σύμβαση, αποφασιστικό στοιχείο για την εφαρμογή του δικαιολογητικού λόγου της εν λόγω διάταξης είναι ότι η επίμαχη επεξεργασία πρέπει να είναι ουσιώδης για την ορθή εκτέλεση της σύμβασης που συνάπτεται μεταξύ του υπεύθυνου επεξεργασίας και του υποκειμένου των δεδομένων και ότι, επομένως δεν υφίστανται άλλες εφικτές και λιγότερο επεμβατικές λύσεις [πρβλ. απόφαση Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), σκέψη 99].
25 Βλ. υποσημείωση 6 των παρουσών προτάσεων. Όπως προκύπτει από την επ’ ακροατηρίου συζήτηση, φαίνεται ότι, στην υπόθεση της κύριας δίκης, η Meta Platforms Ireland επικαλέστηκε τη δημόσια συζήτηση προκειμένου να αντικρούσει το επιχείρημα του ενάγοντος σχετικά με τη βλάβη που φέρεται να προκάλεσε η προβαλλόμενη κατάσταση ψυχολογικής δυσφορίας στην οποία αυτός βρέθηκε λόγω της εξατομικευμένης διαφήμισης, τούτο δε προκειμένου να αποδείξει ότι ο ενάγων δεν είχε καμία δυσκολία να δηλώσει δημοσίως ότι είναι ομοφυλόφιλος. Επομένως, το αιτούν δικαστήριο έθεσε το ερώτημα σχετικά με την ερμηνεία του άρθρου 9, παράγραφος 2, του ΓΚΠΔ, όχι προκειμένου να εφαρμόσει την εξαίρεση που προβλέπει η διάταξη αυτή, αλλά στο εντελώς διαφορετικό πλαίσιο της εξέτασης της βλάβης που επικαλείται ο ενάγων υπό το πρίσμα της αντίκρουσης της Meta Platforms Ireland.
26 Πράγματι, σύμφωνα με το άρθρο 5, παράγραφος 2, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας φέρει το βάρος απόδειξης ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα πραγματοποιείται σύμφωνα με τον εν λόγω κανονισμό.
27 Βλ., κατ’ αναλογίαν, απόφαση της 4ης Μαΐου 2023, Glavna direktsia «Pozharna bezopasnost i zashtita na naselenieto» (Νυχτερινή εργασία) (C‑529/21 έως C‑536/21 και C‑732/21 έως C‑738/21, EU:C:2023:374, σκέψη 57).
28 Πρβλ. απόφαση της 13ης Ιουλίου 2023, Ferrovienord (C‑363/21 και C‑364/21, EU:C:2023:563, σκέψεις 52 έως 55 και εκεί μνημονευόμενη νομολογία).
29 Όπως διευκρινίζεται στην αιτιολογική σκέψη 51 του ίδιου κανονισμού, δεδομένα προσωπικού χαρακτήρα τα οποία είναι εκ φύσεως ιδιαίτερα ευαίσθητα σε σχέση με θεμελιώδη δικαιώματα και ελευθερίες χρήζουν ειδικής προστασίας, καθότι το πλαίσιο της επεξεργασίας τους θα μπορούσε να δημιουργήσει σημαντικούς κινδύνους για τα θεμελιώδη δικαιώματα και τις ελευθερίες.
30 Υπόθεση C‑252/21 (EU:C:2022:704, σημείο 42).
31 Πρβλ., επίσης, απόφαση Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου) (σκέψη 76 και εκεί μνημονευόμενη νομολογία).
32 Συναφώς, επισημαίνω ότι στην έννοια «έχουν προδήλως δημοσιοποιηθεί», η χρήση του ρήματος «δημοσιοποιώ» υποδηλώνει μια ενεργή και συνειδητή συμπεριφορά του υποκειμένου των δεδομένων. Σύμφωνα με το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ), «ο όρος “προδήλως” υποδηλώνει ότι το επίπεδο απόδειξης για την επίκληση της εξαίρεσης αυτής πρέπει να είναι πολύ υψηλό. Το ΕΣΠΔ επισημαίνει ότι η ύπαρξη ενός μόνον στοιχείου μπορεί να μην επαρκεί πάντοτε προκειμένου να αποδειχθεί ότι τα δεδομένα δημοσιοποιήθηκαν “προδήλως” από το υποκείμενο των δεδομένων. Στην πράξη, μπορεί να πρέπει να ληφθεί υπόψη συνδυασμός [στοιχείων], προκειμένου οι υπεύθυνοι επεξεργασίας να αποδείξουν ότι το υποκείμενο των δεδομένων εκδήλωσε σαφώς την πρόθεση να δημοσιοποιήσει τα δεδομένα, και απαιτείται κατά περίπτωση εκτίμηση» (ΕΣΠΔ, κατευθυντήριες γραμμές 8/2020, σημείο [128]). Το ΕΣΠΔ αναφέρει, για παράδειγμα, στοιχεία όπως τις εξ ορισμού ρυθμίσεις της πλατφόρμας του μέσου κοινωνικής δικτύωσης, τη φύση της πλατφόρμας του μέσου κοινωνικής δικτύωσης, την προσβασιμότητα της σελίδας στην οποία δημοσιεύονται τα ευαίσθητα δεδομένα, την ορατότητα της πληροφορίας με την οποία ενημερώνεται το υποκείμενο των δεδομένων για τον δημόσιο χαρακτήρα των πληροφοριών που δημοσιεύει, το γεγονός ότι το υποκείμενο των δεδομένων δημοσίευσε τα ευαίσθητα δεδομένα το ίδιο ή και, αντιθέτως, ότι τα δεδομένα δημοσίευσε τρίτος ή τα δεδομένα συνάγονται. Βλ. επίσης Georgieva, L., και Kuner, C., «Article 9. Processing of special categories of personal data», The EU General Data Protection Regulation (GDPR), Οξφόρδη, 2020, σ. 378, κατά τους οποίους: «[i]n this context, “making public” should be construed to include publishing the data in the mass media, putting them on online social network platforms or similar actions. However, the data must have been “manifestly” made public, which requires an affirmative act by the data subject, and that he or she realised that this would be the result» («στο πλαίσιο αυτό, η “δημοσιοποίηση” θα πρέπει να ερμηνευθεί ως περιλαμβάνουσα τη δημοσίευση των δεδομένων στα μέσα μαζικής ενημέρωσης, την ανάρτησή τους σε ηλεκτρονικές πλατφόρμες κοινωνικής δικτύωσης ή παρόμοιες ενέργειες. Ωστόσο, τα δεδομένα πρέπει να έχουν “προδήλως” δημοσιοποιηθεί, γεγονός το οποίο απαιτεί θετική πράξη του υποκειμένου των δεδομένων, καθώς επίσης το υποκείμενο των δεδομένων να έχει αντιληφθεί ότι θα επέλθει αυτό αποτέλεσμα»).
33 Βλ. υποσημείωση 11 των παρουσών προτάσεων.
34 Βλ. υποσημείωση 13 των παρουσών προτάσεων.
35 Σκέψεις 84 και 85 της αποφάσεως αυτής.
36 Βλ. επίσης τις προτάσεις μου στην υπόθεση Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου) (C‑252/21, EU:C:2023:704, σημείο 46).
37 Υπενθυμίζω ότι η επίμαχη διάταξη επαναλαμβάνει αυτούσιο το άρθρο 8, παράγραφος 2, στοιχείο εʹ, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31), και ότι, εξάλλου καμία εξήγηση δεν δόθηκε κατά την εισαγωγή της διάταξης αυτής στο πλαίσιο της κοινής θέσεως (ΕΚ) 1/95 η οποία καθορίστηκε από το Συμβούλιο στις 20 Φεβρουαρίου 1995 για τη θέσπιση της οδηγίας 95/.../ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της … για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, C 93, σ. 1).
38 Βλ. υποσημείωση 11 των παρουσών προτάσεων.
39 Για παράδειγμα, όπως παραδέχεται και ο ίδιος ο ενάγων στις γραπτές παρατηρήσεις του, η δήλωσή του ήταν δυνατόν να διαδοθεί, με απολύτως νόμιμο τρόπο, μέσω δημοσιογραφικού άρθρου το οποίο να καλύπτει την επίμαχη εκδήλωση.
40 Συναφώς, υπενθυμίζω ότι ο ενάγων υπήρξε πρωταγωνιστής μιας μακράς και σημαντικής δικαστικής διαμάχης με τη Meta Platforms Ireland (πρώην Facebook) σχετικά με την εφαρμογή του ΓΚΠΔ και ότι, ως εκ τούτου, μπορεί ευλόγως να υποτεθεί ότι είχε πλήρη επίγνωση των συνεπειών των δηλώσεών του υπό το πρίσμα του εν λόγω κανονισμού. Τούτου λεχθέντος, επισημαίνω μία διαφορά μεταξύ, αφενός, της βούλησης να επιτραπεί η επεξεργασία «ευαίσθητων» δεδομένων, η οποία συνιστά συγκατάθεση για την επεξεργασία των δεδομένων αυτών κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ και, αφετέρου, της πρόθεσης ή της πλήρους επίγνωσης της πρόδηλης δημοσιοποίησης των δεδομένων αυτών, η οποία συνεπάγεται τη μη εφαρμογή της απαγόρευσης της επεξεργασίας των δεδομένων αυτών κατά την έννοια του άρθρου 9, παράγραφος 1, του κανονισμού αυτού, αλλά η οποία δεν αρκεί, αφ’ εαυτής, για να επιτραπεί η επεξεργασία των εν λόγω δεδομένων, όπως θα εξηγήσω στα σημεία 45 έως 47 των παρουσών προτάσεων.
41 Για παράδειγμα, ένα πρόσωπο θα μπορούσε να υποστεί δυσμενή διάκριση λόγω του πολιτικού ή γενετήσιου προσανατολισμού του ή ακόμη να βρεθεί αντιμέτωπο με άδικες οικονομικές συνέπειες λόγω της ιατρικής του κατάστασης (ιδίως όσον αφορά την ασφάλιση ασθενείας ή άλλες ανάλογες καταστάσεις).
42 Πράγματι, όπως υπενθυμίζεται στην αιτιολογική σκέψη 51 του ΓΚΠΔ, εκτός από τις ειδικές απαιτήσεις στις οποίες υπάγεται η επεξεργασία ιδιαίτερα ευαίσθητων δεδομένων προσωπικού χαρακτήρα, θα πρέπει να εφαρμόζονται οι γενικές αρχές και οι λοιποί κανόνες του παρόντος κανονισμού, ιδίως σε ό,τι αφορά τους όρους νόμιμης επεξεργασίας. Εξάλλου, κατά την έννοια του άρθρου 22, παράγραφος 4, του εν λόγω κανονισμού, οι αποφάσεις που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία δεν μπορούν να βασίζονται στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 9, παράγραφος 1, του ίδιου κανονισμού εκτός αν ισχύει το άρθρο 9, παράγραφος 2, στοιχείο αʹ ή ζʹ, και αν υφίστανται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων.
43 Υπό την ίδια έννοια απεφάνθη το Δικαστήριο προσφάτως ως προς την ερμηνεία του άρθρου 9, παράγραφος 2, στοιχείο ηʹ, του ΓΚΠΔ, σε συνδυασμό με το άρθρο 5, παράγραφος 1, στοιχείο αʹ, και το άρθρο 6 παράγραφος 1, του κανονισμού, επισημαίνοντας ότι η στηριζόμενη στην πρώτη διάταξη επεξεργασία δεδομένων που αφορούν την υγεία πρέπει, προκειμένου να είναι σύννομη, να πληροί τόσο τις απαιτήσεις που απορρέουν από την εν λόγω διάταξη όσο και τις υποχρεώσεις που απορρέουν από τις δύο τελευταίες διατάξεις και, ειδικότερα, να πληροί τουλάχιστον μία από τις προϋποθέσεις νομιμότητας που προβλέπονται στο άρθρο 6, παράγραφος 1, του εν λόγω κανονισμού [απόφαση της 21ης Δεκεμβρίου 2023, Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, σκέψη 78)].
44 Και τούτο κατά μείζονα λόγο διότι, στην υπόθεση της κύριας δίκης, το αιτούν δικαστήριο διερωτάται αν η δήλωση που πραγματοποιήθηκε κατά τη διάρκεια της επίμαχης δημόσιας συζήτησης επιτρέπει την επεξεργασία άλλων δεδομένων προσωπικού χαρακτήρα, ιδίως εκείνων που συλλέγονται σε εφαρμογές τρίτων.