ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τέταρτο τμήμα)

της 11ης Ιουλίου 2024 ( *1 )

«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 12, παράγραφος 1, πρώτη περίοδος – Διαφανής ενημέρωση – Άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ – Υποχρέωση ενημέρωσης την οποία υπέχει ο υπεύθυνος επεξεργασίας – Άρθρο 80, παράγραφος 2 – Εκπροσώπηση των υποκειμένων των δεδομένων από ένωση για την προστασία των συμφερόντων των καταναλωτών – Αντιπροσωπευτική αγωγή που ασκείται χωρίς εντολή και ανεξάρτητα από την προσβολή συγκεκριμένων δικαιωμάτων του υποκειμένου των δεδομένων – Αγωγή που στηρίζεται στην παράβαση, από τον υπεύθυνο επεξεργασίας, της υποχρέωσής του προς ενημέρωση – Έννοια της “παραβίασης των δικαιωμάτων του υποκειμένου των δεδομένων ως αποτέλεσμα της επεξεργασίας”»

Στην υπόθεση C‑757/22,

με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο, Γερμανία) με απόφαση της 10ης Νοεμβρίου 2022, η οποία περιήλθε στο Δικαστήριο στις 15 Δεκεμβρίου 2022, στο πλαίσιο της δίκης

Meta Platforms Ireland Ltd, πρώην Facebook Ireland Ltd,

κατά

Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV,

ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τέταρτο τμήμα),

συγκείμενο από τους Κ. Λυκούργο, πρόεδρο τμήματος, O. Spineanu‑Matei, J.‑C. Bonichot, S. Rodin και L. S. Rossi (εισηγήτρια), δικαστές,

γενικός εισαγγελέας: J. Richard de la Tour

γραμματέας: D. Dittert, προϊστάμενος μονάδας,

έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 23ης Νοεμβρίου 2023,

λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:

–	η Meta Platforms Ireland Ltd, εκπροσωπούμενη από τον M. Braun, τον H.‑G. Kamann και τη V. Wettner, Rechtsanwälte,

–	η Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, εκπροσωπούμενη από τον P. Wassermann, Rechtsanwalt,

–	η Γερμανική Κυβέρνηση, εκπροσωπούμενη από τους J. Möller και P.‑L. Krüger,

–	η Πορτογαλική Κυβέρνηση, εκπροσωπούμενη από τις P. Barros da Costa, J. Ramos και C. Vieira Guerra,

–	η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Μπουχάγιαρ, F. Erlbacher και H. Kranenborg,

αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 25ης Ιανουαρίου 2024,

εκδίδει την ακόλουθη

Απόφαση

Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 80, παράγραφος 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικό ΕΕ 2021, L 74, σ. 35, στο εξής: ΓΚΠΔ), σε συνδυασμό με το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του εν λόγω κανονισμού.

Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Meta Platforms Ireland Ltd, πρώην Facebook Ireland Ltd, η οποία εδρεύει στην Ιρλανδία, και της Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Ομοσπονδίας των οργανώσεων και των ενώσεων καταναλωτών, Γερμανία) (στο εξής: Ομοσπονδιακή ένωση) με αντικείμενο την εκ μέρους της Meta Platforms Ireland παράβαση της γερμανικής νομοθεσίας για την προστασία των προσωπικών δεδομένων η οποία συνιστά, συγχρόνως, αθέμιτη εμπορική πρακτική, παράβαση της νομοθεσίας περί προστασίας των καταναλωτών και παραβίαση της απαγόρευσης χρήσης ανίσχυρων γενικών όρων συναλλαγών.

Το νομικό πλαίσιο

Ο ΓΚΠΔ

Οι αιτιολογικές σκέψεις 10, 13, 39, 58, 60 και 142 του ΓΚΠΔ έχουν ως εξής:

«(10)

Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της [Ευρωπαϊκής] Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. […]

[…]

(13)

Για να διασφαλιστεί συνεκτικό επίπεδο προστασίας των φυσικών προσώπων σε ολόκληρη την Ένωση και προς αποφυγή αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα στην εσωτερική αγορά, απαιτείται κανονισμός ο οποίος θα κατοχυρώνει την ασφάλεια δικαίου και τη διαφάνεια για τους οικονομικούς παράγοντες, περιλαμβανομένων των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων, και θα προβλέπει για τα φυσικά πρόσωπα σε όλα τα κράτη μέλη το ίδιο επίπεδο νομικά εκτελεστών δικαιωμάτων και υποχρεώσεων, καθώς και ευθυνών για τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία, ώστε να διασφαλιστεί η συνεκτική παρακολούθηση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και οι ισοδύναμες κυρώσεις σε όλα τα κράτη μέλη και η αποτελεσματική συνεργασία μεταξύ των εποπτικών αρχών των διάφορων κρατών μελών. […]

[…]

(39)

Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και δίκαιη. Θα πρέπει να είναι σαφές για τα φυσικά πρόσωπα ότι δεδομένα προσωπικού χαρακτήρα που τα αφορούν συλλέγονται, χρησιμοποιούνται, λαμβάνονται υπόψη ή υποβάλλονται κατ’ άλλο τρόπο σε επεξεργασία, καθώς και σε ποιο βαθμό τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται ή θα υποβληθούν σε επεξεργασία. Η αρχή αυτή απαιτεί κάθε πληροφορία και ανακοίνωση σχετικά με την επεξεργασία των εν λόγω δεδομένων προσωπικού χαρακτήρα να είναι εύκολα προσβάσιμη και κατανοητή και να χρησιμοποιεί σαφή και απλή γλώσσα. Αυτή η αρχή αφορά ιδίως την ενημέρωση των υποκειμένων των δεδομένων σχετικά με την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας και την περαιτέρω ενημέρωση ώστε να διασφαλιστεί δίκαιη και διαφανής επεξεργασία σε σχέση με τα εν λόγω φυσικά πρόσωπα και το δικαίωμά τους να λαμβάνουν επιβεβαίωση και να επιτυγχάνουν ανακοίνωση των σχετικών με αυτά δεδομένων προσωπικού χαρακτήρα που υπόκεινται σε επεξεργασία. […]

[…]

(58)

Η αρχή της διαφάνειας απαιτεί οποιαδήποτε ενημέρωση που απευθύνεται στο κοινό ή στο υποκείμενο των δεδομένων να είναι συνοπτική, εύκολα προσβάσιμη και εύκολα κατανοητή και να χρησιμοποιείται σαφής και απλή διατύπωση και, επιπλέον, κατά περίπτωση, απεικόνιση. Οι πληροφορίες αυτές θα μπορούσαν να παρέχονται σε ηλεκτρονική μορφή, για παράδειγμα, όταν απευθύνονται στο κοινό, μέσω ιστοσελίδας. Αυτό έχει ιδιαίτερη σημασία σε περιπτώσεις στις οποίες η πληθώρα των συμμετεχόντων και η πολυπλοκότητα των χρησιμοποιούμενων τεχνολογιών καθιστούν δύσκολο για το υποκείμενο των δεδομένων να γνωρίζει και να κατανοεί εάν, από ποιον και για ποιο σκοπό συλλέγονται δεδομένα προσωπικού χαρακτήρα που το αφορούν, όπως στην περίπτωση επιγραμμικής διαφήμισης. […]

[…]

(60)

Οι αρχές της δίκαιης και διαφανούς επεξεργασίας απαιτούν να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της. Ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων κάθε περαιτέρω πληροφορία που είναι αναγκαία για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας, λαμβάνοντας υπόψη τις ειδικές συνθήκες και το πλαίσιο εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα. […]

[…]

(142)

Όταν το υποκείμενο των δεδομένων θεωρεί ότι παραβιάζονται τα δικαιώματά του βάσει του παρόντος κανονισμού, θα πρέπει να έχει το δικαίωμα να αναθέσει σε μη κερδοσκοπικό φορέα, οργανισμό ή οργάνωση που έχει συσταθεί σύμφωνα με το δίκαιο κράτους μέλος, διαθέτει καταστατικούς σκοπούς που είναι προς το δημόσιο συμφέρον και δραστηριοποιείται στον τομέα της προστασίας των δεδομένων προσωπικού χαρακτήρα, να υποβάλει καταγγελία εξ ονόματός του σε εποπτική αρχή, να ασκήσει το δικαίωμα δικαστικής προσφυγής για λογαριασμό των υποκειμένων των δεδομένων ή, εφόσον προβλέπεται από το δίκαιο κράτους μέλους, το δικαίωμα να λάβει αποζημίωση για λογαριασμό των υποκειμένων των δεδομένων. Κράτος μέλος μπορεί να προβλέπει ότι αυτός ο φορέας, οργανισμός ή οργάνωση να έχει το δικαίωμα να υποβάλει σε αυτό το κράτος μέλος καταγγελία, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων, και δικαίωμα πραγματικής δικαστικής προσφυγής, όταν έχει λόγους να θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά παράβαση του παρόντος κανονισμού. Ο εν λόγω φορέας, οργανισμός ή οργάνωση ενδέχεται να μην έχει το δικαίωμα να απαιτεί αποζημίωση για λογαριασμό του υποκειμένου των δεδομένων, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων.»

Το άρθρο 1 του κανονισμού αυτού, το οποίο φέρει τον τίτλο «Αντικείμενο και στόχοι», ορίζει στην παράγραφο 1 τα εξής:

«Ο παρών κανονισμός θεσπίζει κανόνες που αφορούν την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και κανόνες που αφορούν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα.»

Κατά το άρθρο 4, σημεία 1, 2, 9 και 11, του εν λόγω κανονισμού:

«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:

1)	“δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· […]

“επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,

[…]

9)	“αποδέκτης”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, στα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι. […]

[…]

11)

“συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, εν πλήρει επιγνώσει και αδιαμφισβήτητη, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν».

Το άρθρο 5 του ίδιου κανονισμού, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», ορίζει τα ακόλουθα:

«1. Τα δεδομένα προσωπικού χαρακτήρα:

α)	υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”),

β)	συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· […]

[…]

2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»

Το άρθρο 6 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», προβλέπει στην παράγραφο 1, στοιχείο αʹ, τα εξής:

«Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:

α)	το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς».

8	Το κεφάλαιο III του ΓΚΠΔ, το οποίο περιλαμβάνει τα άρθρα 12 έως 23, φέρει τον τίτλο «Δικαιώματα του υποκειμένου των δεδομένων».

Το άρθρο 12 του κανονισμού αυτού, το οποίο επιγράφεται «Διαφανής ενημέρωση, ανακοίνωση και ρυθμίσεις για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων», ορίζει στην παράγραφο 1 τα εξής:

«Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα.»

Το άρθρο 13 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων», προβλέπει στην παράγραφο 1, στοιχεία γʹ και εʹ, τα εξής:

«Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:

[…]

γ)	τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία,

[…]

ε)	τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν […]».

11	Το κεφάλαιο VIII του ίδιου κανονισμού, το οποίο περιλαμβάνει τα άρθρα 77 έως 84, φέρει τον τίτλο «Προσφυγές, ευθύνη και κυρώσεις».

Το άρθρο 77 του ΓΚΠΔ, το οποίο επιγράφεται «Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή», ορίζει στην παράγραφο 1 τα εξής:

«Με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, ιδίως στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον παρόντα κανονισμό.»

Το άρθρο 78 του κανονισμού αυτού, το οποίο φέρει τον τίτλο «Δικαίωμα πραγματικής δικαστικής προσφυγής κατά αρχής ελέγχου», ορίζει στην παράγραφο 1 τα ακόλουθα:

«Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.»

Το άρθρο 79 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα πραγματικής δικαστικής προσφυγής κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία», προβλέπει στην παράγραφο 1 τα εξής:

«Με την επιφύλαξη κάθε διαθέσιμης διοικητικής ή μη δικαστικής προσφυγής, συμπεριλαμβανομένου του δικαιώματος υποβολής καταγγελίας σε εποπτική αρχή δυνάμει του άρθρου 77, έκαστο υποκείμενο των δεδομένων έχει δικαίωμα πραγματικής δικαστικής προσφυγής εάν θεωρεί ότι τα δικαιώματά του που απορρέουν από τον παρόντα κανονισμό παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα του που το αφορούν κατά παράβαση του παρόντος κανονισμού.»

Το άρθρο 80 του ίδιου κανονισμού, το οποίο φέρει τον τίτλο «Εκπροσώπηση υποκειμένων των δεδομένων», έχει ως εξής:

«1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να αναθέσει σε μη κερδοσκοπικό φορέα, οργάνωση ή ένωση που έχει συσταθεί δεόντως σύμφωνα με το δίκαιο κράτους μέλους, διαθέτει καταστατικούς σκοπούς που είναι γενικού συμφέροντος και δραστηριοποιείται στον τομέα της προστασίας των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων σε σχέση με την προστασία των δεδομένων τους προσωπικού χαρακτήρα να υποβάλει την καταγγελία για λογαριασμό του και να ασκήσει τα δικαιώματα που αναφέρονται στα άρθρα 77, 78 και 79 για λογαριασμό του και να ασκήσει το δικαίωμα αποζημίωσης που αναφέρεται στο άρθρο 82 εξ ονόματός του, εφόσον προβλέπεται από το δίκαιο του κράτους μέλους.

2. Τα κράτη μέλη μπορούν να προβλέπουν ότι κάθε φορέας, οργάνωση ή ένωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου έχει το δικαίωμα, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων, να υποβάλει στο εν λόγω κράτος μέλος καταγγελία στην εποπτική αρχή που είναι αρμόδια δυνάμει του άρθρου 77 και να ασκήσει τα δικαιώματα που αναφέρονται στα άρθρα 78 και 79, εφόσον θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του παρόντος κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας.»

Το άρθρο 82 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα αποζημίωσης και ευθύνη», ορίζει στην παράγραφο 1 τα εξής:

«Κάθε πρόσωπο το οποίο υπέστη υλική ή μη υλική ζημία ως αποτέλεσμα παραβίασης του παρόντος κανονισμού δικαιούται αποζημίωση από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για τη ζημία που υπέστη.»

Το άρθρο 84 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Κυρώσεις», ορίζει στην παράγραφο 1 τα ακόλουθα:

«Τα κράτη μέλη θεσπίζουν τους κανόνες σχετικά με τις άλλες κυρώσεις που επιβάλλονται για παραβάσεις του παρόντος κανονισμού, ιδίως για τις παραβάσεις που δεν αποτελούν αντικείμενο διοικητικών προστίμων δυνάμει του άρθρου 83, και λαμβάνουν όλα τα αναγκαία μέτρα για να διασφαλιστεί ότι εφαρμόζονται. Οι εν λόγω κυρώσεις είναι αποτελεσματικές, αναλογικές και αποτρεπτικές.»

Το γερμανικό δίκαιο

Ο νόμος για τις αγωγές παραλείψεως

Κατά το άρθρο 2 του Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (νόμου για τις αγωγές παραλείψεως λόγω παραβιάσεων του δικαίου προστασίας του καταναλωτή και άλλων παραβάσεων), της 26ης Νοεμβρίου 2001 (BGBl. 2001 I, σ. 3138), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της διαφοράς της κύριας δίκης (στο εξής: νόμος για τις αγωγές παραλείψεως):

«(1) Όποιος παραβαίνει τις διατάξεις για την προστασία των καταναλωτών (νόμοι για την προστασία των καταναλωτών), εξαιρουμένης της εφαρμογής ή της διατύπωσης γενικών όρων συναλλαγών, μπορεί να διαταχθεί να άρει αμέσως την προσβολή και να την παραλείπει στο μέλλον, προς διασφάλιση της προστασίας των συμφερόντων των καταναλωτών. […]

(2) Κατά την έννοια της παρούσας διατάξεως, ως “νόμοι για την προστασία των καταναλωτών” νοούνται ειδικότερα:

[…]

11. οι διατάξεις που καθορίζουν τις νόμιμες προϋποθέσεις

a)	για τη συλλογή δεδομένων προσωπικού χαρακτήρα των καταναλωτών από τους επιχειρηματίες ή

για την επεξεργασία ή τη χρήση δεδομένων προσωπικού χαρακτήρα καταναλωτών τα οποία έχουν συλλεγεί από επιχειρηματίες,

εφόσον τα δεδομένα υπήρξαν αντικείμενο συλλογής, επεξεργασίας ή χρήσης για σκοπούς διαφημιστικούς, έρευνας αγοράς και δημοσκοπήσεων, λειτουργίας εταιρίας επιχειρηματικής πληροφόρησης, σύνταξης εκθέσεων προσωπικών χαρακτηριστικών ή χαρακτηριστικών χρήστη, εμπορίας διευθύνσεων, λοιπών περιπτώσεων εμπορίας δεδομένων ή για παρόμοιους εμπορικούς σκοπούς.»

Το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο, Γερμανία) επισημαίνει ότι, δυνάμει του άρθρου 3, παράγραφος 1, πρώτη περίοδος, σημείο 1, του νόμου για τις αγωγές παραλείψεως, οι φορείς οι οποίοι νομιμοποιούνται ενεργητικώς, κατά την έννοια του άρθρου 4 του νόμου αυτού, μπορούν να ζητήσουν, αφενός, σύμφωνα με το άρθρο 1 του εν λόγω νόμου, την παράλειψη της χρήσης ανίσχυρων, βάσει του άρθρου 307 του Bürgerliches Gesetzbuch (Αστικού Κώδικα), γενικών όρων συναλλαγών και, αφετέρου, σύμφωνα με το άρθρο 2, παράγραφος 2, του ίδιου νόμου, την παύση των παραβάσεων των νόμων περί προστασίας των καταναλωτών.

Ο νόμος για τον αθέμιτο ανταγωνισμό

Το άρθρο 3, παράγραφος 1, του Gesetz gegen den unlauteren Wettbewerb (νόμου για τον αθέμιτο ανταγωνισμό), της 3ης Ιουλίου 2004 (BGBl. 2004 I, σ. 1414), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της διαφοράς της κύριας δίκης (στο εξής: νόμος για τον αθέμιτο ανταγωνισμό), προβλέπει τα εξής:

«Απαγορεύονται οι αθέμιτες εμπορικές πρακτικές.»

Το άρθρο 3a του νόμου για τον αθέμιτο ανταγωνισμό ορίζει τα εξής:

«Αθέμιτα ενεργεί όποιος παραβαίνει διάταξη του νόμου η οποία έχει ως σκοπό, μεταξύ άλλων, να ρυθμίσει τη συμπεριφορά στις συναλλαγές προς το συμφέρον των συναλλασσόμενων στη σχετική αγορά και η παράβαση είναι ικανή να βλάψει σημαντικά τα συμφέροντα των καταναλωτών, άλλων συναλλασσόμενων ή των ανταγωνιστών.»

Το άρθρο 8 του νόμου αυτού ορίζει τα ακόλουθα:

«(1) Στις περιπτώσεις αθέμιτων εμπορικών πρακτικών κατά την έννοια των άρθρων 3 ή 7, μπορεί να ζητηθεί η άρση και, σε περίπτωση κινδύνου υποτροπής, η απαγόρευσή τους στο μέλλον. […]

[…]

(3) Την αγωγή της παραγράφου 1 μπορούν να ασκούν:

[…]

3.	νομιμοποιούμενοι φορείς οι οποίοι αποδεικνύουν ότι είναι καταχωρισμένοι στον κατάλογο νομιμοποιούμενων φορέων του άρθρου 4 του [νόμου για τις αγωγές παραλείψεως] […]».

Ο νόμος για τα ηλεκτρονικά μέσα

Το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο) επισημαίνει ότι το άρθρο 13, παράγραφος 1, του Telemediengesetz (νόμου για τα ηλεκτρονικά μέσα), της 26ης Φεβρουαρίου 2007 (BGBl. 2007 I, σ. 179), ίσχυε έως την έναρξη ισχύος του ΓΚΠΔ. Έκτοτε, η διάταξη αυτή αντικαταστάθηκε από τα άρθρα 12 έως 14 του εν λόγω κανονισμού.

Το άρθρο 13, παράγραφος 1, πρώτη περίοδος, του νόμου για τα ηλεκτρονικά μέσα ορίζει τα εξής:

«O φορέας παροχής των υπηρεσιών οφείλει, κατά την έναρξη της χρήσης, να ενημερώνει τον χρήστη, με κατανοητό για αυτόν τρόπο, για το είδος, την έκταση και τους σκοπούς της συλλογής και της χρήσης δεδομένων προσωπικού χαρακτήρα, καθώς και για την επεξεργασία των δεδομένων του σε χώρες που δεν εμπίπτουν στο πεδίο εφαρμογής της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31), εφόσον δεν έχει ήδη προηγηθεί τέτοια ενημέρωση.»

Η διαφορά της κύριας δίκης και το προδικαστικό ερώτημα

Η Meta Platforms Ireland, η οποία διαχειρίζεται την παροχή των υπηρεσιών του ηλεκτρονικού μέσου κοινωνικής δικτύωσης Facebook στην Ένωση, είναι ο υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των χρηστών του εν λόγω μέσου κοινωνικής δικτύωσης στην Ένωση. Η Facebook Germany GmbH, η οποία εδρεύει στη Γερμανία, προωθεί υπό τη διαδικτυακή διεύθυνση www.facebook.de την πώληση διαφημιστικού χώρου. Η διαδικτυακή πλατφόρμα Facebook περιλάμβανε, μεταξύ άλλων στη διαδικτυακή διεύθυνση www.facebook.de, το λεγόμενο «App-Zentrum» (Κέντρο Εφαρμογών), με το οποίο η Meta Platforms Ireland έθετε στη διάθεση των χρηστών δωρεάν εφαρμογές παιχνιδιών παρεχόμενες από τρίτους. Κατά την είσοδο στο κέντρο αυτό, ο χρήστης ενημερωνόταν ότι, χρησιμοποιώντας ορισμένες από τις εφαρμογές, τους παρείχε τη δυνατότητα να συλλέγουν διάφορα δεδομένα προσωπικού χαρακτήρα και τους επέτρεπε να δημοσιεύουν εξ ονόματός του ορισμένα από τα εν λόγω δεδομένα, όπως η βαθμολογία του καθώς και, για ένα από τα επίμαχα παιχνίδια, οι ειδοποιήσεις προσωπικής κατάστασής του και οι φωτογραφίες του. Ενημερωνόταν επίσης ότι, χρησιμοποιώντας τις σχετικές εφαρμογές, αποδεχόταν τους γενικούς όρους συναλλαγών των εφαρμογών αυτών και την πολιτική τους σχετικά με την προστασία των δεδομένων.

Η Ομοσπονδιακή ένωση, φορέας ο οποίος νομιμοποιείται ενεργητικώς βάσει του άρθρου 4 του νόμου για τις αγωγές παραλείψεως, θεώρησε ότι οι πληροφορίες που εμφανίζονταν όσον αφορά τις εν λόγω εφαρμογές παιχνιδιών στο Κέντρο Εφαρμογών ήταν αθέμιτες, ιδίως καθόσον δεν πληρούσαν τις νόμιμες προϋποθέσεις για τη λήψη έγκυρης συγκατάθεσης του χρήστη βάσει των διατάξεων που διέπουν την προστασία των δεδομένων προσωπικού χαρακτήρα. Επιπροσθέτως, εκτίμησε ότι οι πληροφορίες περί του ότι οι εφαρμογές αυτές μπορούσαν να δημοσιεύουν εξ ονόματος των χρηστών ορισμένα από τα προσωπικά τους δεδομένα συνιστούσαν γενικό όρο συναλλαγών ο οποίος περιήγε τους χρήστες σε αδικαιολόγητα μειονεκτική θέση.

Στο πλαίσιο αυτό, η Ομοσπονδιακή ένωση άσκησε ενώπιον του Landgericht Berlin (πρωτοδικείου Βερολίνου, Γερμανία) αγωγή παραλείψεως βάσει του άρθρου 3a του νόμου για τον αθέμιτο ανταγωνισμό, του άρθρου 2, παράγραφος 2, πρώτη περίοδος, σημείο 11, του νόμου για τις αγωγές παραλείψεως, καθώς και του Αστικού Κώδικα, προκειμένου ιδίως να απαγορευθεί στη Meta Platforms Ireland να παρουσιάζει στο Κέντρο Εφαρμογών εφαρμογές παιχνιδιών όπως οι επίμαχες. Η αγωγή αυτή ασκήθηκε ανεξαρτήτως της ύπαρξης συγκεκριμένης προσβολής του δικαιώματος προστασίας των δεδομένων ενός υποκειμένου των δεδομένων και χωρίς σχετική εντολή από τέτοιο πρόσωπο.

Το Landgericht Berlin (πρωτοδικείο Βερολίνου) έκανε δεκτά τα αιτήματα της Ομοσπονδιακής ένωσης. Η έφεση την οποία άσκησε η Meta Platforms Ireland ενώπιον του Kammergericht Berlin (εφετείου Βερολίνου, Γερμανία) απορρίφθηκε. Κατόπιν τούτου, η Meta Platforms Ireland άσκησε ενώπιον του αιτούντος δικαστηρίου αναίρεση κατά της απορριπτικής απόφασης του δευτεροβάθμιου δικαστηρίου.

Το αιτούν δικαστήριο εκτίμησε ότι η αγωγή της Ομοσπονδιακής ένωσης ήταν βάσιμη, στο μέτρο που η Meta Platforms Ireland είχε παραβεί το άρθρο 3a του νόμου για τον αθέμιτο ανταγωνισμό, καθώς και το άρθρο 2, παράγραφος 2, πρώτη περίοδος, σημείο 11, του νόμου για τις αγωγές παραλείψεως, και είχε χρησιμοποιήσει γενικό όρο συναλλαγών ανίσχυρο, κατά την έννοια του άρθρου 1 του νόμου για τις αγωγές παραλείψεως.

Εντούτοις, το αιτούν δικαστήριο εξέφρασε αμφιβολίες ως προς το παραδεκτό της αγωγής της Ομοσπονδιακής ένωσης. Συγκεκριμένα, θεώρησε ότι δεν αποκλειόταν η Ομοσπονδιακή ένωση, η οποία ενομιμοποιείτο πράγματι ενεργητικώς κατά τον χρόνο άσκησης της αγωγής της –βάσει του άρθρου 8, παράγραφος 3, του νόμου για τον αθέμιτο ανταγωνισμό και του άρθρου 3, παράγραφος 1, πρώτη περίοδος, σημείο 1, του νόμου για τις αγωγές παραλείψεως–, να απώλεσε την ιδιότητα αυτή κατά τη διάρκεια της δίκης, μετά την έναρξη ισχύος του ΓΚΠΔ και, ειδικότερα, του άρθρου 80, παράγραφοι 1 και 2, καθώς και του άρθρου 84, παράγραφος 1, αυτού. Σε μια τέτοια περίπτωση, το αιτούν δικαστήριο θα έπρεπε να δεχθεί την αίτηση αναιρέσεως που άσκησε η Meta Platforms Ireland και να απορρίψει την αγωγή παραλείψεως της Ομοσπονδιακής ένωσης, δεδομένου ότι, σύμφωνα με τις σχετικές δικονομικές διατάξεις του γερμανικού δικαίου, η ενεργητική νομιμοποίηση πρέπει να εξακολουθεί να υφίσταται μέχρι το πέρας της δίκης σε τελευταίο βαθμό.

Ως εκ τούτου, με απόφαση της 28ης Μαΐου 2020, το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο προδικαστικό ερώτημα σχετικά με την ερμηνεία του άρθρου 80, παράγραφοι 1 και 2, και του άρθρου 84, παράγραφος 1, του ΓΚΠΔ.

Με την απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322), το Δικαστήριο έδωσε στο ερώτημα αυτό την απάντηση ότι το άρθρο 80, παράγραφος 2, του ΓΚΠΔ έχει την έννοια ότι δεν αντιτίθεται σε εθνική ρύθμιση η οποία επιτρέπει σε ένωση για την προστασία των καταναλωτών να κινηθεί δικαστικώς, χωρίς εντολή που να της έχει ανατεθεί προς τούτο και ανεξαρτήτως της ύπαρξης προσβολής συγκεκριμένων δικαιωμάτων ενός υποκειμένου των δεδομένων, κατά του φερόμενου παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα, προβάλλοντας την παραβίαση της απαγόρευσης των αθέμιτων εμπορικών πρακτικών, την παράβαση της νομοθεσίας περί προστασίας των καταναλωτών ή την παραβίαση της απαγόρευσης χρήσης ανίσχυρων γενικών όρων συναλλαγών, εφόσον η επίμαχη επεξεργασία δεδομένων είναι ικανή να θίξει τα δικαιώματα που αντλούν από τον εν λόγω κανονισμό ταυτοποιημένα ή ταυτοποιήσιμα φυσικά πρόσωπα.

Λαμβανομένης υπόψη της απόφασης αυτής, το αιτούν δικαστήριο εκτιμά ότι η ενεργητική νομιμοποίηση οντότητας κατά την έννοια του άρθρου 80, παράγραφος 2, του ΓΚΠΔ δεν εξαρτάται από την προϋπόθεση να προβεί μια τέτοια οντότητα προηγουμένως στην ατομική ταυτοποίηση του προσώπου το οποίο αφορά η φερόμενη ως αντίθετη προς τις διατάξεις του ΓΚΠΔ επεξεργασία δεδομένων. Η έννοια του «υποκειμένου των δεδομένων», κατά το άρθρο 4, σημείο 1, του εν λόγω κανονισμού, καλύπτει, επομένως, όχι μόνον το «ταυτοποιημένο φυσικό πρόσωπο», αλλά και το «ταυτοποιήσιμο φυσικό πρόσωπο», ήτοι το φυσικό πρόσωπο «του οποίου η ταυτότητα μπορεί να εξακριβωθεί», άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως, μεταξύ άλλων, σε όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης ή σε επιγραμμικό αναγνωριστικό ταυτότητας. Υπό τις συνθήκες αυτές, ο προσδιορισμός μιας κατηγορίας ή μιας ομάδας προσώπων που θίγονται από την επεξεργασία αυτή θα μπορούσε να αρκεί για την άσκηση αντιπροσωπευτικής αγωγής. Εν προκειμένω, η Ομοσπονδιακή ένωση προέβη στον προσδιορισμό μιας τέτοιας ομάδας ή κατηγορίας.

Ωστόσο, κατά το αιτούν δικαστήριο, η προαναφερθείσα απόφαση του Δικαστηρίου δεν εξέτασε την προϋπόθεση του άρθρου 80, παράγραφος 2, του ΓΚΠΔ κατά την οποία μια ένωση για την προστασία των συμφερόντων των καταναλωτών, προκειμένου να ασκήσει τα μέσα έννομης προστασίας που προβλέπει ο κανονισμός αυτός, πρέπει να θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του εν λόγω κανονισμού παραβιάστηκαν «ως αποτέλεσμα της επεξεργασίας».

Αφενός, το αιτούν δικαστήριο εκτιμά ότι από την απόφαση αυτή δεν προκύπτει σαφώς αν συνιστά παραβίαση «ως αποτέλεσμα της επεξεργασίας» η παράβαση της υποχρέωσης που απορρέει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ, υποχρέωσης κατά την οποία πρέπει να παρέχονται στο υποκείμενο των δεδομένων, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, με σαφή και απλή διατύπωση, οι πληροφορίες σχετικά με τον σκοπό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και τους αποδέκτες των δεδομένων αυτών, καθώς και αν η έννοια της «επεξεργασίας», κατά το άρθρο 4, σημείο 2, του εν λόγω κανονισμού, περιλαμβάνει καταστάσεις που προηγούνται της συλλογής τέτοιων δεδομένων.

Αφετέρου, το αιτούν δικαστήριο εκτιμά ότι δεν είναι σαφές αν, σε περίπτωση όπως η επίμαχη εν προκειμένω, η παράβαση της υποχρέωσης ενημέρωσης επέρχεται «ως αποτέλεσμα» επεξεργασίας δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 80, παράγραφος 2, του ΓΚΠΔ. Συναφώς, υπογραμμίζει ότι, ενώ από τη διατύπωση αυτή θα μπορούσε να συναχθεί ότι η οντότητα που ασκεί αντιπροσωπευτική αγωγή οφείλει, για να είναι παραδεκτή η αγωγή, να επικαλεστεί την προσβολή των δικαιωμάτων του υποκειμένου των δεδομένων η οποία απορρέει από πράξη επεξεργασίας δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 4, σημείο 2, του κανονισμού, και η οποία είναι, επομένως, μεταγενέστερη της πράξης αυτής, ο σκοπός του εν λόγω κανονισμού να διασφαλίσει, μεταξύ άλλων, υψηλό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα θα μπορούσε να συνηγορεί υπέρ της επέκτασης της ενεργητικής νομιμοποίησης της ανωτέρω οντότητας στην περίπτωση παράβασης της υποχρέωσης ενημέρωσης, μολονότι η υποχρέωση αυτή πρέπει να εκπληρώνεται πριν από οποιαδήποτε πράξη επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

Υπό τις συνθήκες αυτές, το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο) αποφάσισε να αναστείλει εκ νέου την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο το ακόλουθο προδικαστικό ερώτημα:

«Προβάλλεται προσβολή [των δικαιωμάτων του υποκειμένου των δεδομένων] “ως αποτέλεσμα της επεξεργασίας” κατά την έννοια του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, όταν ένωση για την προστασία των συμφερόντων των καταναλωτών στηρίζει την αγωγή της στο γεγονός ότι τα δικαιώματα υποκειμένου των δεδομένων έχουν προσβληθεί, διότι δεν τηρήθηκαν οι υποχρεώσεις ενημέρωσης σύμφωνα με το άρθρο 12, παράγραφος 1, πρώτη περίοδος, του ΓΚΠΔ σε συνδυασμό με το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ σχετικά με τον σκοπό της επεξεργασίας δεδομένων και τον αποδέκτη των δεδομένων προσωπικού χαρακτήρα;»

Επί του προδικαστικού ερωτήματος

Με το προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 80, παράγραφος 2, του ΓΚΠΔ έχει την έννοια ότι η προϋπόθεση κατά την οποία μια νομιμοποιούμενη οντότητα, προκειμένου να δύναται να ασκήσει αντιπροσωπευτική αγωγή δυνάμει της διάταξης αυτής, πρέπει να προβάλλει ότι θεωρεί ότι τα προβλεπόμενα στον κανονισμό αυτόν δικαιώματα του προσώπου το οποίο αφορά η επεξεργασία δεδομένων προσωπικού χαρακτήρα παραβιάστηκαν «ως αποτέλεσμα της επεξεργασίας», κατά την έννοια της εν λόγω διάταξης, πληρούται όταν η ανωτέρω αγωγή στηρίζεται στην παράβαση της υποχρέωσης του υπευθύνου επεξεργασίας, την οποία αυτός υπέχει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του κανονισμού, να παρέχει στο υποκείμενο των δεδομένων, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, τις πληροφορίες σχετικά με τον σκοπό της επεξεργασίας των δεδομένων και τους αποδέκτες αυτών, το αργότερο κατά τον χρόνο συλλογής των δεδομένων.

Προκειμένου να δοθεί απάντηση στο ερώτημα αυτό, πρέπει, προκαταρκτικώς, να υπομνησθεί ότι ο ΓΚΠΔ ρυθμίζει, μεταξύ άλλων, τα μέσα έννομης προστασίας που καθιστούν δυνατή την προστασία των δικαιωμάτων του υποκειμένου των δεδομένων σε περίπτωση που τα δεδομένα προσωπικού χαρακτήρα που το αφορούν έχουν υποστεί επεξεργασία η οποία, όπως υποστηρίζεται, αντιβαίνει στις διατάξεις του εν λόγω κανονισμού. Επομένως, την προστασία των δικαιωμάτων αυτών μπορεί να ζητήσει είτε απευθείας το υποκείμενο των δεδομένων, το οποίο έχει το δικαίωμα να υποβάλει το ίδιο καταγγελία σε εποπτική αρχή κράτους μέλους σύμφωνα με το άρθρο 77 του ΓΚΠΔ ή να προσφύγει το ίδιο ενώπιον των εθνικών δικαστηρίων δυνάμει των άρθρων 78 και 79 του κανονισμού αυτού, είτε μια νομιμοποιούμενη οντότητα, με ή χωρίς σχετική εντολή, δυνάμει του άρθρου 80 του κανονισμού.

Ειδικότερα, το άρθρο 80, παράγραφος 2, του ΓΚΠΔ παρέχει μεν στα κράτη μέλη τη δυνατότητα να προβλέπουν έναν μηχανισμό αντιπροσωπευτικής αγωγής κατά του φερόμενου παραβάτη των διατάξεων περί προστασίας των δεδομένων προσωπικού χαρακτήρα, χωρίς να έχει δοθεί εντολή από το υποκείμενο των δεδομένων, συγχρόνως όμως θέτει μια σειρά από απαιτήσεις όσον αφορά το καθ’ ύλην και το προσωπικό πεδίο εφαρμογής οι οποίες πρέπει να τηρούνται στο πλαίσιο αυτό (απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland,C‑319/20, EU:C:2022:322, σκέψη 63).

Συναφώς, όσον αφορά, πρώτον, το προσωπικό πεδίο εφαρμογής του μηχανισμού αυτού, ενεργητική νομιμοποίηση αναγνωρίζεται σε φορέα, οργάνωση ή ένωση που πληροί τα κριτήρια τα οποία απαριθμούνται στο άρθρο 80, παράγραφος 1, του ΓΚΠΔ. Ειδικότερα, όπως έχει κρίνει το Δικαστήριο, μια ένωση για την προστασία των συμφερόντων των καταναλωτών όπως η Ομοσπονδιακή ένωση μπορεί να εμπίπτει στην έννοια αυτή, καθόσον επιδιώκει σκοπό δημοσίου συμφέροντος ο οποίος συνίσταται στη διασφάλιση των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων ως καταναλωτών, στο μέτρο που η επίτευξη του σκοπού αυτού είναι δυνατό να συνδέεται με την προστασία των δεδομένων προσωπικού χαρακτήρα των εν λόγω προσώπων (απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, σκέψεις 64 και 65).

Όσον αφορά, δεύτερον, το καθ’ ύλην πεδίο εφαρμογής του εν λόγω μηχανισμού, η άσκηση της αντιπροσωπευτικής αγωγής που προβλέπεται στο άρθρο 80, παράγραφος 2, του ΓΚΠΔ από οντότητα η οποία πληροί τις προϋποθέσεις της παραγράφου 1 του ίδιου άρθρου προϋποθέτει ότι η οντότητα αυτή, ανεξάρτητα από τυχόν εντολή που της έχει ανατεθεί, «θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του [εν λόγω] κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας» δεδομένων προσωπικού χαρακτήρα που το αφορούν (απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, σκέψη 67).

Συναφώς, το Δικαστήριο έχει διευκρινίσει ότι η άσκηση αντιπροσωπευτικής αγωγής δεν εξαρτάται, μεταξύ άλλων, από την ύπαρξη «συγκεκριμένης προσβολής» των δικαιωμάτων που ένα πρόσωπο αντλεί από τους κανόνες για την προστασία των δεδομένων προσωπικού χαρακτήρα, με συνέπεια ότι, προκειμένου να αναγνωριστεί σε μια τέτοια οντότητα ενεργητική νομιμοποίηση, αρκεί να υποστηριχθεί ότι η οικεία επεξεργασία δεδομένων είναι ικανή να θίξει τα δικαιώματα που αντλούν από τον εν λόγω κανονισμό ταυτοποιημένα ή ταυτοποιήσιμα φυσικά πρόσωπα, χωρίς να απαιτείται να αποδειχθεί πραγματική ζημία την οποία υπέστη το υποκείμενο των δεδομένων, σε συγκεκριμένη περίπτωση, από την προσβολή των δικαιωμάτων του (απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, σκέψεις 70 και 72).

Εντούτοις, όπως έχει κρίνει το Δικαστήριο, η άσκηση αντιπροσωπευτικής αγωγής προϋποθέτει ότι η οικεία οντότητα «θεωρεί» ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του ΓΚΠΔ παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν και, επομένως, επικαλείται «την ύπαρξη επεξεργασίας δεδομένων» την οποία θεωρεί αντίθετη προς τις διατάξεις του κανονισμού αυτού (πρβλ. απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, σκέψη 71), μια τέτοια δε επεξεργασία δεν μπορεί να έχει αμιγώς υποθετικό χαρακτήρα, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 48 των προτάσεών του.

Συγκεκριμένα, όπως προκύπτει από το γράμμα του άρθρου 80, παράγραφος 2, του ΓΚΠΔ, η άσκηση αντιπροσωπευτικής αγωγής βάσει της διάταξης αυτής προϋποθέτει ότι η προσβολή των δικαιωμάτων που το υποκείμενο των δεδομένων αντλεί από τον εν λόγω κανονισμό επέρχεται στο πλαίσιο επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

Η ερμηνεία αυτή επιρρωννύεται από τη σύγκριση των διαφόρων γλωσσικών αποδόσεων του άρθρου 80, παράγραφος 2, του ΓΚΠΔ καθώς και από την αιτιολογική του σκέψη 142, η οποία αναφέρει ότι οι οντότητες που πληρούν τις προϋποθέσεις του άρθρου 80, παράγραφος 1, του κανονισμού πρέπει να έχουν λόγους να θεωρούν ότι τα προβλεπόμενα στον εν λόγω κανονισμό δικαιώματα του υποκειμένου των δεδομένων παραβιάστηκαν ως αποτέλεσμα «της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά παράβαση του [ίδιου] κανονισμού».

Κατόπιν της ανωτέρω διευκρίνισης, προκειμένου να δοθεί απάντηση στο προδικαστικό ερώτημα, πρέπει ακόμη να εξακριβωθεί αν η παράβαση της υποχρέωσης του υπευθύνου επεξεργασίας, την οποία αυτός υπέχει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ, να παρέχει στο υποκείμενο των δεδομένων, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, τις πληροφορίες σχετικά με τον σκοπό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και τους αποδέκτες αυτών, το αργότερο κατά τον χρόνο συλλογής των εν λόγω δεδομένων, συνιστά προσβολή των δικαιωμάτων του υποκειμένου των δεδομένων «ως αποτέλεσμα της επεξεργασίας», κατά την έννοια του άρθρου 80, παράγραφος 2, του ΓΚΠΔ.

Προκαταρκτικώς, υπενθυμίζεται ότι ο σκοπός τον οποίο επιδιώκει ο ΓΚΠΔ, όπως απορρέει από το άρθρο 1 καθώς και από την αιτιολογική σκέψη 10, συνίσταται, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, και ιδίως του δικαιώματός τους στην ιδιωτική ζωή, έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (πρβλ. απόφαση της 7ης Μαρτίου 2024, IAB Europe, C‑604/22, EU:C:2024:214, σκέψη 53).

Για τον σκοπό αυτόν, τα κεφάλαια II και III του εν λόγω κανονισμού προβλέπουν αντιστοίχως τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, καθώς και τα δικαιώματα του υποκειμένου των δεδομένων, τα οποία πρέπει να γίνονται σεβαστά σε κάθε περίπτωση επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Ειδικότερα, υπό την επιφύλαξη των παρεκκλίσεων που προβλέπει το άρθρο 23 του ΓΚΠΔ, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, αφενός, να είναι σύμφωνη με τις αρχές που θέτει το άρθρο 5 του εν λόγω κανονισμού ως προς την επεξεργασία τέτοιων δεδομένων και να πληροί τις προϋποθέσεις νομιμότητας που απαριθμούνται στο άρθρο 6 και, αφετέρου, να σέβεται τα δικαιώματα του υποκειμένου των δεδομένων τα οποία κατοχυρώνονται στα άρθρα 12 έως 22 του ΓΚΠΔ [πρβλ. αποφάσεις της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ., C‑511/18, C‑512/18 και C‑520/18, EU:C:2020:791, σκέψη 208, και της 24ης Φεβρουαρίου 2022, Valsts ieņēmumu dienests (Επεξεργασία των δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς),C‑175/20, EU:C:2022:124, σκέψεις 50 και 61 και εκεί μνημονευόμενη νομολογία].

Συναφώς, υπογραμμίζεται ότι, κατά το άρθρο 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Επιπλέον, σύμφωνα με το στοιχείο βʹ του άρθρου 5, παράγραφος 1, τα εν λόγω δεδομένα συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς.

Όσον αφορά την ερμηνεία του άρθρου 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, το Δικαστήριο έχει κρίνει ότι η διάταξη αυτή απαιτεί, μεταξύ άλλων, οι σκοποί της επεξεργασίας να διατυπώνονται με σαφήνεια και να προσδιορίζονται το αργότερο κατά τον χρόνο συλλογής των δεδομένων προσωπικού χαρακτήρα [απόφαση της 24ης Φεβρουαρίου 2022, Valsts ieņēmumu dienests (Επεξεργασία των δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς),C‑175/20, EU:C:2022:124, σκέψεις 64 και 65].

Επιπλέον, σύμφωνα με το άρθρο 5, παράγραφος 2, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας είναι εκείνος που φέρει το βάρος να αποδείξει ότι τα δεδομένα αυτά συλλέγονται, μεταξύ άλλων, για καθορισμένους, ρητούς και νόμιμους σκοπούς και ότι υποβάλλονται σε επεξεργασία η οποία είναι σύννομη, θεμιτή και διαφανής όσον αφορά το υποκείμενο των δεδομένων.

Επομένως, από το άρθρο 5 του ΓΚΠΔ προκύπτει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, μεταξύ άλλων, να πληροί συγκεκριμένες απαιτήσεις διαφάνειας έναντι του προσώπου το οποίο αφορά η επεξεργασία αυτή. Προς τούτο, στο κεφάλαιο III ο ΓΚΠΔ, αφενός, προβλέπει συγκεκριμένες υποχρεώσεις για τον υπεύθυνο επεξεργασίας και, αφετέρου, αναγνωρίζει μια σειρά δικαιωμάτων υπέρ του προσώπου το οποίο αφορά η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, στα οποία περιλαμβάνεται, μεταξύ άλλων, το δικαίωμά του να λαμβάνει από τον υπεύθυνο επεξεργασίας πληροφορίες για τους σκοπούς της επεξεργασίας αυτής και για τους συγκεκριμένους αποδέκτες στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα που το αφορούν (απόφαση της 22ας Ιουνίου 2023, Pankki S, C‑579/21, EU:C:2023:501, σκέψη 48).

Ειδικότερα, το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ προβλέπει την υποχρέωση του υπευθύνου επεξεργασίας, όταν δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων, να το ενημερώνει, αντιστοίχως, για τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα αυτά και για τη νομική βάση της επεξεργασίας, καθώς και για τους αποδέκτες ή τις κατηγορίες αποδεκτών των εν λόγω δεδομένων.

Επιπλέον, το άρθρο 12, παράγραφος 1, του ανωτέρω κανονισμού απαιτεί ο υπεύθυνος επεξεργασίας να λαμβάνει τα κατάλληλα μέτρα προκειμένου, μεταξύ άλλων, οι μνημονευόμενες στην προηγούμενη σκέψη πληροφορίες που παρέχονται στο υποκείμενο των δεδομένων να είναι συνοπτικές, διαφανείς, κατανοητές, εύκολα προσβάσιμες και διατυπωμένες με σαφή και απλό τρόπο.

Όπως έχει κρίνει το Δικαστήριο, το άρθρο 12, παράγραφος 1, του ΓΚΠΔ, το οποίο αποτελεί έκφραση της αρχής της διαφάνειας, έχει ως σκοπό να διασφαλίζεται ότι το υποκείμενο των δεδομένων είναι σε θέση να κατανοεί πλήρως τις πληροφορίες που του διαβιβάζονται (απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF, C‑487/21, EU:C:2023:369, σκέψη 38).

Η σημασία της τήρησης της εν λόγω υποχρέωσης ενημέρωσης επιβεβαιώνεται επίσης από την αιτιολογική σκέψη 60 του ΓΚΠΔ, η οποία αναφέρει ότι η αρχή της δίκαιης και διαφανούς επεξεργασίας απαιτεί να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της, τονίζεται δε ότι ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει κάθε περαιτέρω πληροφορία που είναι αναγκαία για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας, λαμβάνοντας υπόψη τις ειδικές συνθήκες και το πλαίσιο εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα (απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF, C‑487/21, EU:C:2023:369, σκέψη 36).

Από τα προεκτεθέντα συνάγεται, πρώτον, ότι η υποχρέωση ενημέρωσης που υπέχει ο υπεύθυνος επεξεργασίας έναντι των υποκειμένων τα οποία αφορά η επεξεργασία δεδομένων προσωπικού χαρακτήρα αποτελεί απόρροια του δικαιώματος ενημέρωσης το οποίο αναγνωρίζεται στα υποκείμενα των δεδομένων από τα άρθρα 12 και 13 του ΓΚΠΔ και το οποίο συγκαταλέγεται, επομένως, μεταξύ των δικαιωμάτων στην προστασία των οποίων αποσκοπεί η αντιπροσωπευτική αγωγή του άρθρου 80, παράγραφος 2, του εν λόγω κανονισμού. Επιπλέον, όπως προκύπτει από τις σκέψεις 56 και 57 της παρούσας απόφασης, η τήρηση της υποχρέωσης αυτής διασφαλίζει, γενικότερα, την τήρηση των αρχών της διαφάνειας και της αντικειμενικότητας της επεξεργασίας, οι οποίες προβλέπονται στο άρθρο 5, παράγραφος 1, του κανονισμού.

Δεύτερον, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 47 των προτάσεών του, η προβαλλόμενη προσβολή του δικαιώματος των υποκειμένων των δεδομένων να ενημερώνονται επαρκώς για όλες τις περιστάσεις που περιβάλλουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, και ιδίως για τον σκοπό της επεξεργασίας και τον αποδέκτη των δεδομένων αυτών, είναι δυνατόν να εμποδίζει την παροχή συγκατάθεσης «εν πλήρει επιγνώσει», κατά την έννοια του άρθρου 4, σημείο 11, του ΓΚΠΔ, γεγονός το οποίο μπορεί να καταστήσει την εν λόγω επεξεργασία παράνομη, κατά την έννοια του άρθρου 5, παράγραφος 1, του κανονισμού.

Πράγματι, η εγκυρότητα της συγκατάθεσης του υποκειμένου των δεδομένων εξαρτάται, μεταξύ άλλων, από το αν το πρόσωπο αυτό έχει προηγουμένως λάβει τις πληροφορίες που δικαιούται να λάβει δυνάμει των άρθρων 12 και 13 του ΓΚΠΔ σχετικά με όλες τις περιστάσεις που περιβάλλουν την επεξεργασία των επίμαχων δεδομένων, πληροφορίες οι οποίες του επιτρέπουν να παράσχει συγκατάθεση εν πλήρει γνώσει της κατάστασης.

Δεδομένου ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται κατά προσβολή του δικαιώματος ενημέρωσης το οποίο το υποκείμενο των δεδομένων αντλεί από τα άρθρα 12 και 13 του ΓΚΠΔ αντιβαίνει στις απαιτήσεις του άρθρου 5 του κανονισμού αυτού, πρέπει να θεωρηθεί ότι η προσβολή του εν λόγω δικαιώματος ενημέρωσης αποτελεί προσβολή των δικαιωμάτων του υποκειμένου των δεδομένων «ως αποτέλεσμα της επεξεργασίας», κατά την έννοια του άρθρου 80, παράγραφος 2, του κανονισμού.

Επομένως, το δικαίωμα του προσώπου που αφορά η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, το οποίο απορρέει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ, να λαμβάνει από τον υπεύθυνο επεξεργασίας, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, με σαφή και απλή διατύπωση, τις πληροφορίες σχετικά με τον σκοπό της επεξεργασίας και τους αποδέκτες των δεδομένων συνιστά δικαίωμα λόγω της προσβολής του οποίου επιτρέπεται η χρήση του μηχανισμού αντιπροσωπευτικής αγωγής που προβλέπεται στο άρθρο 80, παράγραφος 2, του εν λόγω κανονισμού.

Η ερμηνεία αυτή επιβεβαιώνεται, αφενός, από τον υπομνησθέντα στη σκέψη 48 της παρούσας απόφασης σκοπό του ΓΚΠΔ, ο οποίος συνίσταται στη διασφάλιση αποτελεσματικής προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων και, ειδικότερα, στη διασφάλιση υψηλού επιπέδου προστασίας του δικαιώματος κάθε προσώπου στην ιδιωτική ζωή έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν.

Αφετέρου, η ως άνω ερμηνεία συνάδει επίσης με τον προληπτικό χαρακτήρα της προβλεπόμενης στο άρθρο 80, παράγραφος 2, του ΓΚΠΔ αντιπροσωπευτικής αγωγής την οποία ασκούν ενώσεις για την προστασία των συμφερόντων των καταναλωτών, όπως εν προκειμένω η Ομοσπονδιακή ένωση (απόφαση της 28ης Απριλίου 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, σκέψη 76).

Λαμβανομένων υπόψη των προεκτεθέντων, στο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 80, παράγραφος 2, του ΓΚΠΔ έχει την έννοια ότι η προϋπόθεση κατά την οποία μια νομιμοποιούμενη οντότητα, προκειμένου να δύναται να ασκήσει αντιπροσωπευτική αγωγή δυνάμει της διάταξης αυτής, πρέπει να προβάλλει ότι θεωρεί ότι τα προβλεπόμενα στον κανονισμό αυτόν δικαιώματα του υποκειμένου των δεδομένων παραβιάστηκαν «ως αποτέλεσμα της επεξεργασίας», κατά την έννοια της εν λόγω διάταξης, πληρούται όταν η ανωτέρω οντότητα υποστηρίζει ότι η προσβολή των δικαιωμάτων του υποκειμένου των δεδομένων επέρχεται στο πλαίσιο επεξεργασίας δεδομένων προσωπικού χαρακτήρα και απορρέει από την παράβαση της υποχρέωσης του υπευθύνου επεξεργασίας, την οποία αυτός υπέχει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του κανονισμού, να παρέχει στο πρόσωπο το οποίο αφορά η επεξεργασία δεδομένων, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, τις πληροφορίες σχετικά με τον σκοπό της επεξεργασίας των δεδομένων και τους αποδέκτες αυτών, το αργότερο κατά τον χρόνο συλλογής των δεδομένων.

Επί των δικαστικών εξόδων

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (τέταρτο τμήμα) αποφαίνεται:

Το άρθρο 80, παράγραφος 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),

έχει την έννοια ότι:

η προϋπόθεση κατά την οποία μια νομιμοποιούμενη οντότητα, προκειμένου να δύναται να ασκήσει αντιπροσωπευτική αγωγή δυνάμει της διάταξης αυτής, πρέπει να προβάλλει ότι θεωρεί ότι τα προβλεπόμενα στον κανονισμό αυτόν δικαιώματα του υποκειμένου των δεδομένων παραβιάστηκαν «ως αποτέλεσμα της επεξεργασίας», κατά την έννοια της εν λόγω διάταξης, πληρούται όταν η ανωτέρω οντότητα υποστηρίζει ότι η προσβολή των δικαιωμάτων του υποκειμένου των δεδομένων επέρχεται στο πλαίσιο επεξεργασίας δεδομένων προσωπικού χαρακτήρα και απορρέει από την παράβαση της υποχρέωσης του υπευθύνου επεξεργασίας, την οποία αυτός υπέχει από το άρθρο 12, παράγραφος 1, πρώτη περίοδος, και το άρθρο 13, παράγραφος 1, στοιχεία γʹ και εʹ, του κανονισμού, να παρέχει στο πρόσωπο το οποίο αφορά η επεξεργασία δεδομένων, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, τις πληροφορίες σχετικά με τον σκοπό της επεξεργασίας των δεδομένων και τους αποδέκτες αυτών, το αργότερο κατά τον χρόνο συλλογής των δεδομένων.

(υπογραφές)

( *1 ) Γλώσσα διαδικασίας: η γερμανική.