Απόρριψη καταγγελίας της noyb για cookies λόγω έλλειψης ενεργητικής νομιμοποίησης

Μια πολύ ενδιαφέρουσα απόφαση εξέδωσε η βελγική αρχή προστασίας δεδομένων APD επί καταγγελίας που είχε υποβάλει υποκείμενο των δεδομένων για την εγκατάσταση cookies σε πέντε βελγικές ιστοσελίδες.

Η απόφαση της APD υπήρξε απορριπτική, με το σκεπτικό πως η καταγγέλλουσα, εκτός από υποκείμενο των δεδομένων, υπήρξε και ασκούμενη στην οργάνωση noyb, την οποία είχε εξουσιοδοτήσει να ασκήσει τα δικαιώματά της, ως εκ τούτου ενήργησε κατόπιν εντολών και τελώντας σε σχέση εξάρτησης με αυτή.

Το ιστορικό

Η υπόθεση που ήχθη ενώπιον της βελγικής αρχής προστασίας δεδομένων αποτελεί μια από τις πολλές καταγγελίες που υπέβαλε η οργάνωση προστασίας ψηφιακών δικαιωμάτων noyb σε εποπτικές αρχές του ΓΚΠΔ για την εγκατάσταση cookies χωρίς τις απαιτήσεις της νομοθεσίας για τη λήψη της συγκατάθεσης των χρηστών.

Η καταγγελία υποβλήθηκε στις 10 Αυγούστου 2021 από την noyb, στο πλαίσιο εξουσιοδότησης που η οργάνωση είχε λάβει από το υποκείμενο των δεδομένων, σύμφωνα με την πρόβλεψη του άρθρου 80 παρ.1 ΓΚΠΔ.

Το άρθρο 80 παρ.1 ΓΚΠΔ προβλέπει ότι: «Tο υποκείμενο των δεδομένων έχει το δικαίωμα να αναθέσει σε μη κερδοσκοπικό φορέα, οργάνωση ή ένωση που έχει συσταθεί δεόντως σύμφωνα με το δίκαιο κράτους μέλους, διαθέτει καταστατικούς σκοπούς που είναι γενικού συμφέροντος και δραστηριοποιείται στον τομέα της προστασίας των δικαιωμάτων και των ελευθεριών των υποκειμένων των δεδομένων σε σχέση με την προστασία των δεδομένων τους προσωπικού χαρακτήρα να υποβάλει την καταγγελία για λογαριασμό του και να ασκήσει τα δικαιώματα που αναφέρονται στα άρθρα 77, 78 και 79 για λογαριασμό του και να ασκήσει το δικαίωμα αποζημίωσης που αναφέρεται στο άρθρο 82 εξ ονόματός του, εφόσον προβλέπεται από το δίκαιο του κράτους μέλους».

Σύμφωνα με την καταγγελία, η εξουσιοδοτούσα και υποκείμενο των δεδομένων είχε επισκεφτεί τους ιστοτόπους πέντε βελγικών εταιρειών, μεταξύ των οποίων και τον ιστότοπο της καταγγελλόμενης στη συγκεκριμένη υπόθεση, τον οποίο επισκέφθηκε στις 21 Μαΐου του 2021 από ώρα 15:28:49 μέχρι ώρα 15:32:37. Μετά την επίσκεψή της αυτή, η εξουσιοδοτούσα αναγνώρισε σειρά παραβάσεων των δικαιωμάτων της, τη διαχείριση των οποίων – τόσο ενώπιον του υπευθύνου επεξεργασίας, όσο και ενώπιον της αρμόδιας αρχής – ανέθεσε στη noyb.

Η απόφαση της βελγικής αρχής

Η ανάθεση αυτή δεν πέρασε απαρατήρητη από την APD, η οποία ευθύς εξαρχής στάθηκε στη σχέση που συνέδεε το υποκείμενο των δεδομένων με τον οργανισμό στον οποίο ανατέθηκε η εκπροσώπησή του.

Η αρχή παρατήρησε εισαγωγικώς πως η συγκεκριμένη καταγγελία εντάσσεται σε μια προβεβλημένη πρωτοβουλία της noyb για να μπει ένα τέλος «στον τρόμο των cookie banners». Η πρωτοβουλία αυτή, όπως δημοσιοποιήθηκε από την ίδια την οργάνωση αφορούσε την υποβολή σειράς καταγγελιών σε εποπτικές αρχές του ΓΚΠΔ σε βάρος ιστοσελίδων που παραβιάζουν τις υποχρεώσεις τους στα cookies. Ως εκ τούτου, η επίδικη καταγγελία δεν ήταν μια μεμονωμένη υπόθεση, αλλά εντασσόταν σε μια ευρύτερη στρατηγική της noyb.

Επί της συγκεκριμένης καταγγελίας, η APD παρατήρησε πως, όπως το εισηγητικό της όργανο διαπίστωσε, η καταγγέλλουσα ήταν ασκούμενη στη noyb, τόσο στον χρόνο κατά τον οποίο επισκέφτηκε τον ιστότοπο της καταγγελλόμενης, όσο και όταν έκανε την ανέθση της εκπροσώπησής της στην ίδια οργάνωση.

Περαιτέρω και με βάση τη σχέση αυτή, όπως η ίδια η καταγγέλλουσα βεβαίωσε ενώπιον της αρχής, η επίσκεψη στον επίμαχο ιστότοπο δεν έγινε με δική της πρωτοβουλία, αλλά στο πλαίσιο αποστολής που της ανατέθηκε από την οργάνωση. Η αποστολή αυτή συνίστατο στην επίσκεψη πέντε βελγικών ιστοσελίδων, προκειμένου να εντοπιστεί η εμφάνιση banner που δεν πληρούσε τις απαιτήσεις του νόμου, ενώ μάλιστα ακόμη και οι συγκεκριμένες ιστοσελίδες υποδείχθηκαν από την οργάνωση. Κατά συνέπεια, σύμφωνα με τη βελγική αρχή, η καταγγέλλουσα ενήργησε ως συνεργάτης της noyb.

Επιπροσθέτως, η APD αμφισβήτησε την ελεύθερη βούληση της καταγγέλλουσας για την ανάθεση της εκπροσώπησής της στη noyb. Για την αμφισβήτηση αυτή, η αρχή κατέφυγε σε μια πρωτότυπη αναλογική εφαρμογή των απαιτήσεων της ελεύθερης συγκατάθεσης του ΓΚΠΔ. Σύμφωνα με τον σκεπτικό που ανέπτυξε η αρχή, εφόσον γίνεται δεκτό πως η σχέση εργαζόμενου – εργοδότη είναι μια σχέση εγγενούς ανισότητας, η οποία αποκλείει τη δυνατότητα ελεύθερης συγκατάθεσης, θα πρέπει κατ’ αναλογίαν να δεχθούμε και πως η ανάθεση που έκανε η εργαζόμενη στην εργοδότρια noyb ομοίως δεν ήταν ελεύθερη.

Τέλος, και συμπληρώνοντας την εισαγωγική παρατήρησή της, η APD επεσήμανε πως η ίδια η καταγγέλλουσα βεβαίωσε ότι η επίσκεψή της στον ιστότοπο της καταγγελλόμενης αποτελούσε μέρος ενός ευρύτερου σχεδίου που αποσκοπούσε στον έλεγχο της συμμόρφωσης πολλών ιστοσελίδων με τον Γενικό Κανονισμό Προστασίας Δεδομένων. Λαμβάνοντας μάλιστα υπόψιν πως η επίσκεψη της καταγγέλλουσας είχε διάρκεια 3 λεπτών και 48 δευτερολέπτων, η βελγική αρχή διαπίστωση πως η επίσκεψη της καταγγέλλουσας δεν ήταν μια αυθόρμητη επίσκεψη ενός υποκειμένου, αλλά αποσκοπούσε εξαρχής και αποκλειστικά στον έλεγχο της συμμόρφωσης.

Με βάση τα ανωτέρω, η APD έκρινε πως η noyb δεν ενεργεί ως εκπρόσωπος της καταγγέλλουσας, σύμφωνα με το άρθρο 80 παρ.1 ΓΚΠΔ, αλλά ως καταγγέλλουσα η ίδια, με βάση την παράγραφο 2 του ιδίου άρθρου, η οποία όμως δεν έχει μεταφερθεί στον εθνικό νόμο.

Για τους λόγους αυτούς, η καταγγελία απορρίφθηκε λόγω έλλειψης ενεργητικής νομιμοποίησης του πραγματικού καταγγέλλοντος, που ήταν η noyb.

Το πλήρες κείμενο της απόφασης 22/2024 είναι διαθέσιμο εδώ.