Max Schrems κατά Facebook: Νέο επεισόδιο στη διαμάχη ενώπιον του Δικαστηρίου της ΕΕ

Ένα νέο κεφάλαιο στον δικαστικό αγώνα του Αυστριακού Max Schrems ενάντια στη Facebook ανοίγει με την υποβολή από το Ανώτατο Δικαστήριο της Αυστρίας [Oberster Gerichtshof] τεσσάρων προδικαστικών ερωτημάτων προς το ΔΕΕ.

Τα ερωτήματα αυτά έρχονται σε συνέχεια προηγούμενης αίτησης του ιδίου δικαστηρίου για προδικαστική απόφαση [υπόθεση C-498/16], επί της οποίας εκδόθηκε η υπ’ αριθμ. EU:C:2018:37 απόφαση του Δικαστηρίου του Λουξεμβούργου.

Όπως παρατηρείται στη νέα αίτηση, μετά την έκδοση της απόφασης εκείνης, ο ενάγων τροποποίησε το αίτημα της αγωγής του ζητώντας:

– (4) να υποχρεωθεί η εναγομένη να καταρτίσει μετά του ενάγοντος γραπτή σύμβαση σύμφωνα με τις απαιτήσεις του άρθρου 28, παράγραφος 3, του ΓΚΠΔ, μεταξύ του ενάγοντος ως υπευθύνου επεξεργασίας και της εναγομένης ως εκτελούντος την επεξεργασία, σχετικά με την πραγματοποιηθείσα χρήση των δεδομένων από τον ίδιο τον ενάγοντα για προσωπικούς σκοπούς μέσω του portal facebook.com (προφίλ, ιστορικό –συμπεριλαμβανομένων των likes και των δημοσίων σχολίων– εκδηλώσεις, φωτογραφίες, βίντεο, ομάδες, προσωπικά μηνύματα, λίστα φίλων και εφαρμογές)·

– (4.1.) επικουρικώς, να αναγνωρισθεί έναντι της εναγομένης και του ενάγοντος ότι δεν υφίσταται έγκυρη σύμβαση σύμφωνα με το άρθρο 28, παράγραφος 3, του ΓΚΠΔ, μεταξύ του ενάγοντος ως υπευθύνου επεξεργασίας και της εναγομένης ως εκτελούντος την επεξεργασία, σχετικά με την πραγματοποιηθείσα χρήση των δεδομένων από τον ίδιο τον ενάγοντα για προσωπικούς σκοπούς μέσω του portal facebook.com (προφίλ, ιστορικό –συμπεριλαμβανομένων των likes και των δημοσίων σχολίων– εκδηλώσεις, φωτογραφίες, βίντεο, ομάδες, προσωπικά μηνύματα, λίστα φίλων και εφαρμογές)·

– (5) να αναγνωρισθεί έναντι της εναγομένης και του ενάγοντος ότι η συγκατάθεση του ενάγοντος σχετικά με τους όρους χρήσης της εναγομένης, όπως ίσχυαν στις 19 Απριλίου 2018 και στις 31 Ιουλίου 2019 αντίστοιχα, συμπεριλαμβανομένων των συνδεδεμένων πολιτικών σχετικά με τη χρήση των δεδομένων (πολιτική δεδομένων, πολιτική για τα cookies), καθώς και η συγκατάθεση σχετικά με ισοδύναμες (μελλοντικές) ρήτρες στους όρους χρήσης της εναγομένης (συζευγμένες δηλώσεις συγκατάθεσης) δεν συνιστούν έγκυρη συγκατάθεση έναντι της εναγομένης ως υπευθύνου της επεξεργασίας σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 6, παράγραφος 1, σε συνδυασμό με το άρθρο 7, του ΓΚΠΔ·

– (5.1.) να αναγνωρισθεί έναντι της εναγομένης και του ενάγοντος ότι η συγκατάθεση του ενάγοντος σχετικά με τους όρους χρήσης της εναγομένης, όπως ίσχυαν στις 19 Απριλίου 2018 και στις 31 Ιουλίου 2019 αντίστοιχα, συμπεριλαμβανομένων των συνδεδεμένων πολιτικών σχετικά με τη χρήση των δεδομένων (πολιτική δεδομένων, πολιτική για τα cookies), δεν συνιστούν έγκυρη συγκατάθεση έναντι της εναγομένης ως υπευθύνου της επεξεργασίας σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 6, παράγραφος 1, σε συνδυασμό με το άρθρο 7, του ΓΚΠΔ·

– (6) να υποχρεωθεί η εναγομένη να άρει την επεξεργασία δεδομένων προσωπικού χαρακτήρα του ενάγοντος για λόγους ομαδοποίησης και ανάλυσης δεδομένων για διαφημιστικούς σκοπούς·

– (7) να αναγνωρισθεί έναντι της εναγομένης και του ενάγοντος ότι δεν υφίσταται έγκυρη συγκατάθεση του ενάγοντος σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα του ενάγοντος προς όφελος της εναγομένης, τα οποία περιήλθαν στην εναγομένη από τρίτους·

– (8) να υποχρεωθεί η εναγομένη να μη χρησιμοποιεί στο μέλλον τα δεδομένα του ενάγοντος σχετικά με την επίσκεψη ή τη χρήση τρίτων σελίδων αντίστοιχα (ιδίως διά της χρήσεως social plug-ins και παρεμφερών τεχνολογιών), στο μέτρο που τα τεχνικά δεδομένα δεν υφίστανται επεξεργασία αποκλειστικά και μόνο για την εμφάνιση στοιχείων ιστοσελίδων και στον βαθμό που ο ενάγων δεν έχει συναινέσει προηγουμένως πέραν πάσης αμφιβολίας, ελεύθερα, ενημερωμένα και σαφώς σε συγκεκριμένη διαδικασία επεξεργασίας («opt-in»· παραδείγματος χάριν, κάνοντας κλικ σε ένα social plug-in)·

– (9) να υποχρεωθεί η εναγομένη να απέχει στο μέλλον από την επεξεργασία δεδομένων προσωπικού χαρακτήρα του ενάγοντος προς όφελος της εναγομένης, τα οποία περιήλθαν στην εναγομένη από τρίτους, στον βαθμό που ο ενάγων δεν έχει συναινέσει προηγουμένως πέραν πάσης αμφιβολίας, ελεύθερα, ενημερωμένα και σαφώς σε συγκεκριμένη διαδικασία επεξεργασίας («opt-in»).

Η αγωγή του Schrems απορρίφθηκε από το πρωτοβάθμιο δικαστήριο, το οποίο έκρινε ότι: «Ο ενάγων, λόγω της ιδιωτικής χρήσης του, δεν είναι «υπεύθυνος επεξεργασίας» κατά την έννοια του ΓΚΠΔ, καθόσον ο εν λόγω κανονισμός δεν εφαρμόζεται στην περίπτωσή του. Όσον αφορά το πέμπτο και το ένατο αίτημα της αγωγής, ο ενάγων δεν έχει έννομο συμφέρον για την αιτούμενη διάγνωση. Επίσης, ο ενάγων δεν έχει αξίωση όσον αφορά τα αιτήματα περί παραλείψεως (έκτο και όγδοο έως δέκατο αίτημα αγωγής). Η εξατομίκευση και η εξατομικευμένη διαφήμιση ακόμη, ως αναπόσπαστο τμήμα της προσφερόμενης από την εναγομένη υπηρεσίας, απορρέουν από τους όρους χρήσης και από τις συζευγμένες πολιτικές που περιελήφθησαν στη σύμβαση. Δεν υπάρχει παράβαση του άρθρου 9 του ΓΚΠΔ. Δεν είναι σαφές αν οι διαπιστωθείσες προσκλήσεις σε εκδηλώσεις και οι διαφημίσεις αποκάλυψαν την ομοφυλοφιλία του ενάγοντος, δεδομένου ότι ο ενάγων τη δημοσιοποίησε ο ίδιος, οπότε συντρέχει λόγος παρέκκλισης από την απαίτηση ρητής συγκατάθεσης (άρθρο 9, παράγραφος 2, στοιχείο ε΄, του ΓΚΠΔ). Το «ενδιαφέρον» του ενάγοντος σχετικά με διάφορα κόμματα και πολιτικούς αποκαλύπτει μόνον το ενδιαφέρον του σχετικά με την πολιτική, όχι όμως τις πολιτικές του πεποιθήσεις.»

Ακολούθως το δευτεροβάθμιο δικαστήριο απέρριψε την έφεση του Schrems, διαπιστώνοντας ότι: «Η σύμβαση μεταξύ των διαδίκων δεν προβλέπεται ρητώς ως ενοχική σχέση στην αυστριακή έννομη τάξη, πρόκειται λοιπόν για άτυπη ενοχική σχέση. Το περιεχόμενό της συνίσταται, κατ’ ουσίαν, στη διάθεση από την εναγομένη προς τον χρήστη του Facebook μιας «εξατομικευμένης» πλατφόρμας, η οποία διαμορφώνεται ατομικά σύμφωνα με τα ενδιαφέροντα και τις ρυθμίσεις του και διά της οποίας μπορεί να επικοινωνήσει με άλλους χρήστες του Facebook. Ο χρήστης του Facebook δεν οφείλει βέβαια αντίτιμο για την είσοδο στο εν λόγω φόρουμ, πλην όμως ανέχεται την εκμετάλλευση από την εναγομένη όλων των δεδομένων προσωπικού χαρακτήρα του χρήστη που βρίσκονται στη διάθεσή της. Η επεξεργασία των δεδομένων αυτών χρησιμεύει για την προβολή στον χρήστη εξατομικευμένων διαφημίσεων. Για τον σκοπό αυτόν, η εναγομένη δεν κοινοποιεί σε τρίτους τα δεδομένα των χρηστών της χωρίς τη ρητή συναίνεσή τους, αλλά προβάλλει διαφημίσεις κατ’ εντολή διαφημιζομένων πελατών σε συγκεκριμένες ομάδες-στόχους, οι οποίες διατηρούν την ανωνυμία τους έναντι των διαφημιζομένων, και τις οποίες επιλέγει η εναγομένη από τα δεδομένα. Η φύση αυτού του επιχειρηματικού μοντέλου του Facebook επεξηγείται στους όρους με τρόπο εύληπτο για κάθε αναγνώστη, έστω και μέτρια προσεκτικό. Το μοντέλο αυτό δεν είναι ούτε αντίθετο προς τα χρηστά ήθη ούτε ασύνηθες. Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα των χρηστών αποτελεί βασικό πυλώνα της σύμβασης που συνήφθη μεταξύ των διαδίκων. Επομένως, η επεξεργασία των προσωπικών δεδομένων του ενάγοντος είναι «απαραίτητη» για την εκτέλεση σύμβασης κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο β΄, του ΓΚΠΔ».

Ο Schrems άσκησε αναίρεση κατά της απόφασης αυτής ενώπιον του Oberster Gerichtshof, στην οποία ενέμεινε στο τέταρτο έως το ένατο αίτημα της αγωγής, όπως αυτά παρατίθενται ανωτέρω.

Έχοντας ακούσει τους ισχυρισμούς των δύο πλευρών, το δικαστήριο εξέφρασε ορισμένους προβληματισμούς, τους οποίους θεώρησε σκόπιμο να απευθύνει προς το Δικαστήριο της Ευρωπαϊκής Ένωσης. Οι προβληματισμοί αυτοί περιστρέφονται γύρω από δύο κεντρικά ζητήματα: αφενός τα όρια της νομικής βάσης της εκτέλεσης σύμβασης, την οποία πλέον η Facebook επικαλείται προς νομιμοποίηση της συλλογής και επεξεργασίας δεδομένων των χρηστών, αφετέρου τις προϋποθέσεις για την επεξεργασία ευαίσθητων δεδομένων, ιδίως δεδομένων που σχετίζονται με πολιτικές πεποιθήσεις και γενετήσιο προσανατολισμό.

● Ως προς το πρώτο ζήτημα, το αιτούν δικαστήριο φάνηκε να προβληματίζεται από την ευκολία με την οποία το Εφετείο δέχθηκε την εκτέλεση σύμβασης ως νομική βάση (κατά το άρθρο 6 παρ.1β ΓΚΠΔ) για οποιαδήποτε πράξη επεξεργασίας δεδομένων πραγματοποιείται από τη Facebook.

Όπως ειδικότερα επισημαίνεται στην αίτηση προς το ΔΕΕ, «η άποψη δεν είναι σε καμία περίπτωση δεσμευτική. Κεντρικό ζήτημα της παρούσας κύριας διαδικασίας είναι αν η δήλωση βούλησης σχετικά με την επεξεργασία των δεδομένων από την εναγομένη μπορεί να γίνει βάσει του άρθρου 6, παράγραφος 1, στοιχείο β΄, του ΓΚΠΔ, με σκοπό να ανατραπεί, με τον τρόπο αυτόν, η σαφώς υψηλότερη προστασία που προσφέρει η νομική βάση της «συγκατάθεσης» (άρθρο 7 του ΓΚΠΔ) για τον ενάγοντα». Αυτό που προβληματίζει δηλαδή το δικαστήριο είναι, μήπως περνώντας η Facebook από τη μέχρι πρότινος προβαλλόμενη νομική βάση της συγκατάθεσης σε εκείνη της εκτέλεσης σύμβασης, εν τέλει παρακάμπτει την προστασία των προσωπικών δεδομένων των υποκειμένων, καθώς μετατοπίζει τη δήλωση βούλησης, από τη συγκατάθεση του ΓΚΠΔ, στην αποδοχή συμβατικών ρητρών μέσα από ΓΟΧ, ως προϋπόθεση για την εκτέλεση της σύμβασης. Το αιτούν δικαστήριο αναρωτιέται ποιες πράξεις επεξεργασίας πρέπει στην πραγματικότητα να θεωρούνται ως αναγκαίες για την εκτέλεση της σύμβασης αυτής, αφού δεν φαίνεται να συντάσσεται με το σκεπτικό του Εφετείου πως αναγκαία είναι οποιαδήποτε επεξεργασία «εξασφαλίζει συγχρόνως στην εναγομένη τα αναγκαία έσοδα για τη διατήρηση της πλατφόρμας και την επίτευξη κέρδους».

● Ως προς το δεύτερο ζήτημα, το αιτούν δικαστήριο δεν φαίνεται να έχει πειστεί από τον ισχυρισμό της Facebook, ο οποίος έγινε δεκτός και στην πρωτόδικη απόφαση, πως επεξεργάζεται δεδομένα σχετικά με τον γενετήσιο προσανατολισμό του ενάγοντος με βάση την εξαίρεση του άρθρου 9 παρ.2ε ΓΚΠΔ, ήτοι την πρόδηλη δημοσιοποίηση αυτών. Ο Schrems ισχυρίστηκε ότι ουδέποτε έχει αναρτήσει κάτι, σε σχέση με το ζήτημα αυτό, στο προφίλ του1, με την εναγόμενη να απαντά πως η επεξεργασία είναι νόμιμη αφού τα δεδομένα αυτά είχαν προδήλως δημοσιοποιηθεί από τον ίδιο μέσω δήλωσης στο πλαίσιο δημόσιας συζήτησης.

Το δικαστήριο όμως παρατηρεί ότι: «ο ενάγων προέβη στην εν λόγω δήλωση με την πρόθεση να αμφισβητήσει και να επικρίνει δημοσίως την επεξεργασία δεδομένων που είχε ήδη πραγματοποιήσει η εναγομένη. Επομένως, από τη δήλωση αυτή δεν μπορεί να συναχθεί συγκατάθεση κατά την έννοια του άρθρου 9 του ΓΚΠΔ. Κατά συνέπεια, το ζήτημα που τίθεται είναι ο τρόπος με τον οποίο πρέπει να έχουν δημοσιοποιηθεί τα ευαίσθητα δεδομένα του ενάγοντος προκειμένου να έχει εφαρμογή το άρθρο 9, παράγραφος 2, του ΓΚΠΔ».

Υπό τα δεδομένα αυτά, το Oberster Gerichtshof υπέβαλε προς το ΔΕΕ τα ακόλουθα προδικαστικά ερωτήματα:

1. Έχουν οι διατάξεις του άρθρου 6, παράγραφος 1, στοιχεία α΄ και β΄, του ΓΚΠΔ την έννοια ότι η νομιμότητα συμβατικών ρητρών που περιλαμβάνονται σε γενικούς όρους χρήσης σχετικά με συμβάσεις πλατφόρμας, όπως η επίμαχη στην υπόθεση της κύριας δίκης (ιδίως συμβατικές ρήτρες όπως: «Αντί να καταβάλετε κάποιο αντίτιμο […], εφόσον προχωρήσετε στη χρήση των Προϊόντων του Facebook που καλύπτονται από τους παρόντες Όρους, συμφωνείτε ότι έχουμε το δικαίωμα να σας δείχνουμε διαφημίσεις […] Χρησιμοποιούμε τα δεδομένα σας προσωπικού χαρακτήρα, όπως π.χ. πληροφορίες για τη δραστηριότητα και τα ενδιαφέροντά σας,. […] προκειμένου να σας δείχνουμε διαφημίσεις που μπορεί να σας ενδιαφέρουν περισσότερο.»), οι οποίες περιλαμβάνουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα προκειμένου να ομαδοποιηθούν και να αναλυθούν δεδομένα με σκοπό την εμφάνιση εξατομικευμένων διαφημίσεων, πρέπει να εξετάζεται βάσει των απαιτήσεων του άρθρου 6, παράγραφος 1, στοιχείο α΄, σε συνδυασμό με το άρθρο 7 του ΓΚΠΔ, οι οποίες δεν μπορούν να παρακαμφθούν με επίκληση του άρθρου 6, παράγραφος 1, στοιχείο β΄, του ΓΚΠΔ;

2. Έχει το άρθρο 5, παράγραφος 1, στοιχείο γ΄, του ΓΚΠΔ (ελαχιστοποίηση των δεδομένων) την έννοια ότι όλα τα δεδομένα προσωπικού χαρακτήρα που διαθέτει πλατφόρμα, όπως η επίμαχη στην υπόθεση της κύριας δίκης (ιδίως από το υποκείμενο των δεδομένων ή από τρίτους εντός και εκτός της πλατφόρμας), μπορούν να ομαδοποιηθούν, να αναλυθούν και να τύχουν επεξεργασίας με σκοπό τη στοχοθετημένη διαφήμιση χωρίς περιορισμό ως προς τη διάρκεια ή το είδος των δεδομένων;

3. Έχει το άρθρο 9, παράγραφος 1, του ΓΚΠΔ την έννοια ότι εφαρμόζεται σε περίπτωση επεξεργασίας δεδομένων η οποία παρέχει τη δυνατότητα στοχευμένου φιλτραρίσματος συγκεκριμένων κατηγοριών δεδομένων προσωπικού χαρακτήρα, όπως είναι οι πολιτικές πεποιθήσεις ή ο γενετήσιος προσανατολισμός (παραδείγματος χάριν, για διαφημιστικούς σκοπούς), ακόμη και αν ο υπεύθυνος επεξεργασίας δεν προβαίνει σε διάκριση μεταξύ των δεδομένων αυτών;

4. Έχει το άρθρο 5, παράγραφος 1, στοιχείο β΄, σε συνδυασμό με το άρθρο 9, παράγραφος 2, στοιχείο ε΄, του ΓΚΠΔ την έννοια ότι δήλωση σχετικά με τον γενετήσιο προσανατολισμό του ατόμου, στο πλαίσιο δημόσιας συζήτησης, παρέχει τη δυνατότητα επεξεργασίας άλλων δεδομένων σχετικά με τον γενετήσιο προσανατολισμό προκειμένου να ομαδοποιηθούν και να αναλυθούν δεδομένα με σκοπό την εξατομικευμένη διαφήμιση;

• 1. Όπως χαρακτηριστικά αναφέρεται στην αίτηση, «Ο ενάγων λάμβανε τακτικά διαφημίσεις απευθυνόμενες σε ομοφυλόφιλους και προσκλήσεις σε ανάλογες εκδηλώσεις, μολονότι δεν είχε ενδιαφερθεί προηγουμένως για τη συγκεκριμένη εκδήλωση και δεν γνώριζε τον τόπο της εκδήλωσης. Η εν λόγω διαφήμιση και οι προσκλήσεις αντίστοιχα δεν διαμορφώνονται άμεσα από τον γενετήσιο προσανατολισμό του ενάγοντος ή των «φίλων» του, αλλά από την ανάλυση των ενδιαφερόντων τους. Ο ενάγων ζήτησε μια ανάλυση από την οποία μπορούν να συναχθούν συμπεράσματα από τη λίστα των φίλων του· από αυτήν προέκυψε ότι εξέτισε εναλλακτική θητεία στον Ερυθρό Σταυρό στο Σάλτσμπουργκ (Αυστρία) και ότι είναι ομοφυλόφιλος. […] Ο ενάγων είναι ομοφυλόφιλος και δηλώνει το γεγονός αυτό δημοσίως. Εντούτοις, δεν ανέφερε στο προφίλ του τον γενετήσιο προσανατολισμό του.».