Η συλλογή της προσφώνησης των πελατών στο πλαίσιο νομιμότητας του ΓΚΠΔ

Το γαλλικό Συμβούλιο της Επικρατείας Conseil d'État δεν ζητά συχνά τη γνώμη του ΔΕΕ επί ζητημάτων ερμηνείας της νομοθεσίας για την προστασία των προσωπικών δεδομένων. Αυτός είναι ένας επιπρόσθετος λόγος για τον οποίο η αίτηση προδικαστικής απόφασης με αριθμό C-394/23 (Mousse) παρουσιάζει ενδιαφέρον.

Το βασικό ζήτημα που τίθεται στην κρίση του ΔΕΕ είναι το εξής:

Είναι νόμιμη η συλλογή δεδομένων σχετικά με την προσφώνηση πελατών, ειδικά όταν αυτή περιορίζεται στις ενδείξεις «Κος» ή «Κα» προκειμένου να μπορέσει το υποκείμενο των δεδομένων να αγοράσει ηλεκτρονικά εισιτήριο για το τρένο;

Η καταγγελία και η απόφαση της CNIL

Η ένωση Mousse υπέβαλε καταγγελία στη γαλλική αρχή προστασίας δεδομένων CNIL κατά της εταιρίας SNCF Voyageurs, την οποία διαδέχθηκαν οι εταιρείες OUI.sncf και SNCF Connect για τις συνθήκες υπό τις οποίες γινόταν η συλλογή και η καταχώρηση της προσφώνησης των πελατών κατά την αγορά των σιδηροδρομικών εισιτηρίων, εισιτηρίων διαρκείας και εκπτωτικών καρτών στην ιστοσελίδα ή στις εφαρμογές της εταιρίας. Σύμφωνα με την καταγγέλλουσα, η πρακτική αυτή παραβίαζε διατάξεις του Γενικού Κανονισμού Προστασίας Δεδομένων.

Ειδικότερα, η Mousse υποστήριξε ότι για την ηλεκτρονική αγορά σιδηροδρομικού εισιτηρίου, εισιτηρίου διαρκείας ή εκπτωτικής κάρτας στην ιστοσελίδα ή την εφαρμογή «OUI.sncf», οι πελάτες πρέπει υποχρεωτικά να υποδείξουν την προσφώνησή τους, έχοντας συνεπώς την επιλογή μεταξύ δύο ενδείξεων, ήτοι «Κος» ή «Κα». Κατά τη γνώμη της, μια τέτοιου είδους συλλογή δεδομένων δεν είναι σύννομη, κατά την έννοια του άρθρου 5 παρ.1α’ ΓΚΠΔ, καθόσον δεν στηρίζεται σε καμία από τις νόμιμες βάσεις του άρθρου 6 παρ.1 ΓΚΠΔ. Παράλληλα, παραβιάζει τις αρχές της ελαχιστοποίησης της συλλογής δεδομένων και της ακρίβειας των άρθρων 5 παρ.1 γ’ και δ’ ΓΚΠΔ, ενώ τέλος η SNCF δεν συμμορφώνεται με τις απαιτήσεις διαφάνειας και ενημέρωσης που επιβάλλουν το άρθρο 5 παρ.1α’ και το άρθρο 13 ΓΚΠΔ. Η Mousse υποστήριξε ότι η επιχείρηση δεν έπρεπε να συλλέγει τέτοιου είδους δεδομένα ή έπρεπε, τουλάχιστον, να προτείνει μία ή περισσότερες συμπληρωματικές δυνατότητες, όπως «ουδέτερο» ή «άλλα».

Η CNIL απέρριψε και έθεσε την καταγγελία στο αρχείο θεωρώντας πως οι πράξεις που προσάπτονται στην εταιρεία δεν συνιστούν παραβίαση του ΓΚΠΔ.

Σύμφωνα με τη γαλλική αρχή, στο πλαίσιο της παροχής υπηρεσιών μεταφοράς από την εταιρία, η σύμβαση που συνήφθη με τον πελάτη της αποτελούσε τη νομική βάση της επεξεργασίας. Περαιτέρω, η CNIL έκρινε ότι η συλλογή της προσφώνησης των πελατών μπορούσε να θεωρηθεί αναγκαία για τους σκοπούς της επεξεργασίας, κατά την έννοια του άρθρου 5 παρ.1γʹ ΓΚΠΔ, και συνεπώς να θεωρηθεί ότι συνάδει με την απαίτηση ελαχιστοποίησης των δεδομένων, καθόσον το να απευθύνεται μια εταιρία στους πελάτες χρησιμοποιώντας την προσφώνησή τους ανταποκρίνεται στην πρακτική που εφαρμόζεται στις αστικές, εμπορικές και διοικητικές επικοινωνίες.

Η αίτηση ακύρωσης ενώπιον του Conseil d'État

Η ένωση Mousse προσέφυγε στο γαλλικό ανώτατο ακυρωτικό δικαστήριο, ζητώντας την ακύρωση της απόφασης της CNIL.

Ενώπιον του δικαστηρίου, η Mousse υποστήριξε, μεταξύ άλλων, ότι:

– η υποχρέωση συμπλήρωσης ενός εκ των δύο πεδίων «Κος» ή «Κα» για την υποβολή αίτησης στην ιστοσελίδα «SNCF Connect» ηλεκτρονικά για την έκδοση εισιτηρίου, εκπτωτικής κάρτας ή εισιτηρίου διαρκείας δεν συνάδει με τις απαιτήσεις της νομιμότητας, αντικειμενικότητας και διαφάνειας του ΓΚΠΔ, δεδομένου ότι ο πελάτης δεν παρέχει τη συναίνεσή του, τέτοιου είδους πληροφορίες δεν είναι απαραίτητες ούτε για την εκτέλεση σύμβασης ούτε για τη συμμόρφωση με έννομη υποχρέωση και δεν είναι επίσης απαραίτητες για τους σκοπούς των έννομων συμφερόντων, ενώ οδηγεί σε προσβολή του δικαιώματος του ατόμου να ταξιδεύει χωρίς να γνωστοποιεί τον τρόπο προσφώνησής του και του δικαιώματος στον σεβασμό της ιδιωτικής ζωής, από το οποίο απορρέει μεταξύ άλλων η ελευθερία του ατόμου να καθορίζει ελεύθερα την έκφραση του φύλου του καθώς και στον κίνδυνο δυσμενούς διάκρισης.

- η ίδια υποχρέωση δεν ανταποκρίνεται σε κανέναν από τους σκοπούς που παρατίθενται στη σύμβαση που συνάπτεται μέσω του διαδικτύου· το γεγονός ότι οι εκφράσεις «Κος» και «Κα» χρησιμοποιούνται στην εμπορική αλληλογραφία δεν αρκεί για να καταστεί απαραίτητη η συλλογή των δεδομένων αυτών· στο εξωτερικό, ορισμένες επιχειρήσεις μεταφορών δεν επιβάλλουν τη χρήση των εκφράσεων αυτών· επιπλέον, η OUI.sncf δεν χρησιμοποιεί προσφώνηση στις συναλλαγές της με τους πελάτες της· συνεπώς, η υποχρέωση αντιβαίνει στην αρχή της ελαχιστοποίησης των δεδομένων που διατυπώνεται στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ.

- για ορισμένα πρόσωπα, οι ίδιες αυτές πληροφορίες δεν ανταποκρίνονται στην πραγματικότητα και δεν λαμβάνουν υπόψη το γεγονός ότι η τελευταία μπορεί να μεταβληθεί· συνεπώς, η αμφισβητούμενη υποχρέωση αντίκειται στις αρχές της ακρίβειας και της επικαιροποίησης που διατυπώνονται στο άρθρο 5, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ και εκθέτει τα πρόσωπα αυτά στον κίνδυνο δυσμενούς διάκρισης· επιπλέον, για τους υπηκόους των χωρών που αναγνωρίζουν το «ουδέτερο φύλο» ως προσωπική κατάσταση, η υποχρέωση παραβιάζει την αρχή της αμοιβαίας αναγνώρισης, την ελευθερία παροχής υπηρεσιών και την ελευθερία κυκλοφορίας που διασφαλίζει το δίκαιο της Ευρωπαϊκής Ένωσης.

Η CNIL, στο πλαίσιο της αντίκρουσης, φάνηκε να μεταβάλει την άποψή της, υποστηρίζοντας πως η επεξεργασία της προσφώνησης «μπορεί επίσης να θεωρηθεί απαραίτητη για τους σκοπούς των έννομων συμφερόντων». Με την μεταστροφή αυτή, η CNIL επεδίωξε να δώσει μια συμβιβαστική λύση στο ζήτημα που είχε ανακύψει, καθώς η νομική βάση του εννόμου συμφέροντος θα μπορούσε να δώσει στα υποκείμενα των δεδομένων τη δυνατότητα να προβάλλουν το δικαίωμα εναντίωσης του άρθρου 21 ΓΚΠΔ.

Ο προβληματισμός του αιτούντος δικαστηρίου και τα προδικαστικά ερωτήματα

Το Conseil d’État προβληματίστηκε ως προς την ερμηνεία του δικαίου της Ένωσης, παρατηρώντας ότι:

Το ζήτημα αν, προκειμένου να εκτιμηθεί το κατά πόσον η συλλογή των δεδομένων είναι κατάλληλη, συναφής και περιορίζεται στο αναγκαίο κατά την έννοια της διάταξης του άρθρου 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ και κατά πόσον η επεξεργασία τους είναι απαραίτητη κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχεία βʹ και στʹ, μπορεί να ληφθεί υπόψη η κοινώς αποδεκτή πρακτική που εφαρμόζεται στις αστικές, εμπορικές και διοικητικές επικοινωνίες, με αποτέλεσμα η συλλογή των δεδομένων σχετικά με την προσφώνηση των πελατών, η οποία περιορίζεται στις ενδείξεις «Κος» ή «Κα», να μπορεί να θεωρηθεί σύννομη, χωρίς τούτο να προσκρούει στην αρχή της ελαχιστοποίησης των δεδομένων, εγείρει δυσχέρεια ερμηνείας του δικαίου της Ένωσης, η οποία είναι καθοριστική για την επίλυση της διαφοράς επί της οποίας πρέπει να αποφανθεί το Conseil d’État (Συμβούλιο της Επικρατείας). Το ίδιο ισχύει ως προς το ζήτημα αν, προκειμένου να εκτιμηθεί το κατά πόσον είναι απαραίτητη η υποχρεωτική συλλογή και επεξεργασία των δεδομένων σχετικά με την προσφώνηση των πελατών και μολονότι ορισμένοι πελάτες θεωρούν ότι δεν εμπίπτουν σε καμία από τις δύο προσφωνήσεις και ότι η συλλογή του δεδομένου αυτού δεν είναι συναφής στην περίπτωσή τους, πρέπει να ληφθεί υπόψη το γεγονός ότι οι τελευταίοι μπορούν, αφού παράσχουν το δεδομένο αυτό στον υπεύθυνο επεξεργασίας προκειμένου να απολαύουν της προτεινόμενης υπηρεσίας, να ασκήσουν το δικαίωμα εναντίωσης στη χρήση και την αποθήκευσή του επικαλούμενοι την ιδιαίτερη κατάστασή τους κατ’ εφαρμογή του άρθρου 21 ΓΚΠΔ.

Με το σκεπτικό αυτό, το δικαστήριο έθεσε στο ΔΕΕ τα εξής προδικαστικά ερωτήματα:

1. Μπορεί να ληφθεί υπόψη, προκειμένου να εκτιμηθεί το κατά πόσον η συλλογή των δεδομένων είναι κατάλληλη, συναφής και περιορίζεται στο αναγκαίο κατά την έννοια της διάταξης του άρθρου 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ και το κατά πόσον η επεξεργασία τους είναι απαραίτητη κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχεία βʹ και στʹ, η κοινώς αποδεκτή πρακτική που εφαρμόζεται στις αστικές, εμπορικές και διοικητικές επικοινωνίες, με αποτέλεσμα η συλλογή των δεδομένων σχετικά με την προσφώνηση των πελατών, η οποία περιορίζεται στις ενδείξεις «Κος» ή «Κα», να μπορεί να θεωρηθεί σύννομη, χωρίς τούτο να προσκρούει στην αρχή της ελαχιστοποίησης των δεδομένων;

2. Πρέπει, προκειμένου να εκτιμηθεί το κατά πόσον είναι απαραίτητη η υποχρεωτική συλλογή και επεξεργασία των δεδομένων σχετικά με την προσφώνηση των πελατών και μολονότι ορισμένοι πελάτες θεωρούν ότι δεν εμπίπτουν σε καμία από τις δύο προσφωνήσεις και ότι η συλλογή του δεδομένου αυτού δεν είναι συναφής στην περίπτωσή τους, να ληφθεί υπόψη το γεγονός ότι οι τελευταίοι μπορούν, αφού παράσχουν το δεδομένο αυτό στον υπεύθυνο επεξεργασίας προκειμένου να απολαύουν της προτεινόμενης υπηρεσίας, να ασκήσουν το δικαίωμα εναντίωσης στη χρήση και την αποθήκευσή του επικαλούμενοι την ιδιαίτερη κατάστασή τους κατ’ εφαρμογή του άρθρου 21 του ΓΚΠΔ;

Η αίτηση προδικαστικής απόφασης είναι διαθέσιμη εδώ.