Η συλλογή δεδομένων προσφώνησης πελατών στο πλαίσιο της προστασίας δεδομένων

Επιμέλεια: Δημήτρης Βέρρας

Μπορεί μια εταιρεία που εκδίδει ηλεκτρονικά εισιτήρια για το τρένο να ζητά στοιχεία προσφώνησης των επιβατών (Κος/Κα) ή παραβιάζει με την πρακτική της τη νομοθεσία για την προστασία των προσωπικών δεδομένων;

Το ερώτημα αυτό τέθηκε προς το Δικαστήριο της Ευρωπαϊκής Ένωσης από το γαλλικό Συμβούλιο της Επικρατείας Conseil d’État, μετά από αίτηση ακύρωσης που άσκησε η ένωση Mousse. H Mousse είχε καταγγείλει στη γαλλική αρχή προστασίας δεδομένων CNIL την πρακτική της εταιρείας SNCF Connect, που εκδίδει τα εισιτήρια των γαλλικών σιδηροδρόμων, να ζητά υποχρεωτικά τη συμπλήρωση του πεδίου «Κος/Κα», κατά την έκδοση ηλεκτρονικών εισιτηρίων. Η Mousse θεώρησε πως τα στοιχεία προσφώνησης αυτά αποτελούν προσωπικά δεδομένα, τα οποία συλλέγονται κατά παράβαση των απαιτήσεων νομιμότητας του Γενικού Κανονισμού Προστασίας Δεδομένων, ιδίως της αρχής της νομιμότητας και της αρχής της ελαχιστοποίησης. Η Mousse υποστήριξε ότι η SNCF Connect δεν πρέπει να συλλέγει τα ως άνω δεδομένα ή ότι πρέπει, τουλάχιστον, να παρέχει στους πελάτες της πρόσθετες δυνατότητες, όπως η ένδειξη «Ουδέτερο» ή «Άλλο».

Η καταγγελία απορρίφθηκε από την CNIL, η οποία έκρινε πως η επεξεργασία των δεδομένων ήταν νόμιμη, βάσει του άρθρου 6 παρ.1β’ ΓΚΠΔ, καθώς ήταν απαραίτητη για την εκτέλεση της σύμβασης παροχής υπηρεσιών μεταφοράς. Επιπλέον, η CNIL επισήμανε ότι η επεξεργασία αυτή, λαμβανομένων υπόψη των σκοπών της, ήταν σύμφωνη με την αρχή της ελαχιστοποίησης των δεδομένων, δεδομένου ότι η επικοινωνία με τους πελάτες με τη χρήση της προσφώνησής τους ανταποκρίνεται στην πρακτική που εφαρμόζεται στις αστικές, εμπορικές και διοικητικές επικοινωνίες.

Η Mousse άσκησε αίτηση ακύρωσης ενώπιον του Conseil d’État, το οποίο με τη σειρά του έθεσε το ζήτημα στην κρίση του ΔΕΕ, υποβάλλοντας αίτηση προδικαστικής απόφασης. Για την υπόθεση αυτή δημοσιεύτηκαν χθες οι Προτάσεις του (Πρώτου) Γενικού Εισαγγελέα του Δικαστηρίου Maciej Szpunar.

Οι προτάσεις του Γενικού Εισαγγελέα

O Γενικός Εισαγγελέας Szpunar, ένας εκ των εμπειρότερων Γ.Ε. του ΔΕΕ σε ζητήματα προσωπικών δεδομένων, συντάσσεται με την Mousse και διατυπώνει την άποψη πως η συλλογή των δεδομένων προσφώνησης πάσχει πολλαπλώς. Οι προτάσεις του διατυπώνονται με μεγάλη προσοχή, έτσι ώστε να αποφύγει να εισέλθει λεπτομερώς στο ζήτημα της ευαισθησίας που τυχόν χαρακτηρίζει δεδομένα που αποκαλύπτουν ταυτότητα φύλου, πλην της αξιολόγησης του στοιχείου αυτού στη στάθμιση του εννόμου συμφέροντος. Αντ’ αυτού, ο Γενικός Εισαγγελέας αναλύει τις απαιτήσεις νομιμότητας στη συλλογή και επεξεργασία δεδομένων προσφώνησης στο πλαίσιο εκπλήρωσης των απαιτήσεων ενός ταξιδιού με τρένο.

Αναγνωρίζοντας εξαρχής πως τα δεδομένα που αφορούν την προσφώνηση πελατών αποτελούν δεδομένα προσωπικού χαρακτήρα, ο Γενικός Εισαγγελέας δηλώνει πως συμφωνεί με τον πρώην συνάδελφό του Γ.Ε. Μπόμπεκ ότι η νομοθεσία για την προστασία των προσωπικών δεδομένων ενίοτε χρησιμοποιείται σε «παράδοξες καταστάσεις», διευκρινίζει όμως πως δεν θεωρεί την επίδικη διαφορά ως μια τέτοια κατάσταση. Σύμφωνα με τις προτάσεις του, «το γεγονός ότι η υπό κρίση περίπτωση αφορά δεδομένα ταυτότητας και ότι, ως εκ τούτου, αποτυπώνονται εμφανώς οι συζητήσεις που υφίστανται στο πλαίσιο των εθνικών έννομων τάξεων σχετικά με τη δυαδικότητα του φύλου δεν μπορεί να αποκρύψει το ότι, εν προκειμένω, πρόκειται για αυτόματη επεξεργασία δεδομένων προσωπικού χαρακτήρα πελατών από εταιρία μεταφορών, η οποία όχι μόνον εμπίπτει λόγω αντικειμένου στο πεδίο εφαρμογής του ΓΚΠΔ, αλλά αποτελεί και πράξη επεξεργασίας δεδομένων την οποία αποσκοπούσε να ρυθμίσει ο νομοθέτης της Ένωσης».

Ακολούθως, οι προτάσεις εξετάζουν τη νομιμότητα της επίμαχης συλλογής δεδομένων. Ο Γενικός Εισαγγελέας αναλύει τη λειτουργία των νομικών βάσεων του άρθρου 6 ΓΚΠΔ («δικαιολογητικών λόγων» για την επεξεργασία δεδομένων) στο πλαίσιο της αρχής της νομιμότητας του άρθρου 5 παρ.1α’ ΓΚΠΔ και τον ισοδύναμο και μη σωρευτικό χαρακτήρα τους, ενώ παράλληλα συνδέει την αρχή της νομιμότητας με την αρχή της ελαχιστοποίησης του άρθρου 5 παρ.1γ’ ΓΚΠΔ.

Ο Γενικός Εισαγγελέας υπενθυμίζει πως το ΔΕΕ έχει κατ’ επανάληψιν κρίνει πως η αρχή της νομιμότητας πρέπει να εξετάζεται από κοινού με την αρχή της ελαχιστοποίησης, όπως η τελευταία αποτελεί έκφραση της αρχής της αναλογικότητας, ενώ προχωρά και σε μια παρατήρηση μη συναφή με την επίδικη διαφορά, πλην όμως χρήσιμη στο πλαίσιο της ερμηνείας του ΓΚΠΔ. Σύμφωνα με την παρατήρηση αυτή, το Δικαστήριο της Ευρωπαϊκής Ένωσης έχει συνδέσει την ελαχιστοποίηση με τη νομιμότητα σε όλες τις νομικές βάσεις του άρθρου 6 παρ.1, πλην της συγκατάθεσης, για την οποία δεν έχει διευκρινίσει με σαφήνεια αν και αυτή πρέπει να ερμηνεύεται υπό το φως της ελαχιστοποίησης των δεδομένων.

Η γνώμη του είναι πως πρέπει. Όπως επισημαίνει, το γεγονός πως ένα υποκείμενο δίνει τη συγκατάθεσή του στην επεξεργασία των δεδομένων του δεν σημαίνει πως ο υπεύθυνος επεξεργασίας μπορεί να επεξεργάζεται οποιαδήποτε δεδομένα, χωρίς τούτο να προσκρούει στην αρχή της ελαχιστοποίησης.

Αμέσως μετά, ο Γενικός Εισαγγελέας εξετάζει τις δύο νομικές βάσεις που ετέθησαν ενώπιον του αιτούντος δικαστηρίου: την εκτέλεση της σύμβασης, στη βάση της οποίας η CNIL έκρινε νόμιμη την επεξεργασία και απέρριψε την καταγγελία, και το έννομο συμφέρον, το οποίο επικαλέστηκε η CNIL για πρώτη φορά ενώπιον του Conseil d’État, αποκαλύπτοντας έτσι μια σαφή αβεβαιότητα ως προς την ορθότητα της αρχικής κρίσης της. Είναι βέβαια σαφώς ασυνήθιστο και μάλλον παράδοξο, μια εποπτική αρχή να μεταβάλλει τη νομική της αξιολόγηση ενώπιον του δικαστηρίου που κρίνει επί της ορθότητας της κρίσης της.

Ως προς τη νομική βάση της εκτέλεσης σύμβασης (άρθρο 6 παρ.1β’ ΓΚΠΔ), ο Γενικός Εισαγγελέας θεωρεί πως η επεξεργασία των δεδομένων προσφώνησης «βαίνει πέραν του μέτρου που είναι αναγκαίο για την ορθή εκτέλεση της σύμβασης», για οποιονδήποτε εκ των δύο σκοπών που επικαλέστηκε η υπεύθυνη επεξεργασίας SNCF Connect: την επικοινωνία με τον πελάτη και την προσαρμογή της παροχής υπηρεσίας μεταφοράς σε ειδικές περιπτώσεις.

Παράλληλα και ως προς την αναγκαιότητα της επεξεργασίας για την επίτευξη των σκοπών αυτών, ο Γενικός Εισαγγελέας παρατηρεί πως η ορθή εκτέλεση της σύμβασης μεταφοράς δεν μπορεί να εξαρτάται από τη χρήση προσφώνησης κατά την επικοινωνία της εταιρίας μεταφορών με τους πελάτες της, ακόμη και αν ο υπεύθυνος επεξεργασίας έχει την πρόθεση να επικοινωνεί μαζί τους κατά τρόπο προσωπικό. Προς τούτο, ο Γενικός Εισαγγελέας επικαλείται την ίδια τη SNCF Connect, η οποία βεβαίωσε πως δεν χρησιμοποιεί συστηματικά στην πράξη τα στοιχεία προσφώνησης των πελατών της, αλλά γενικότερα σχήματα, όπως «Ευχαριστούμε, καλό ταξίδι» ή «Καλημέρα». Η μη συστηματική χρήση υποδεικνύει σαφώς όχι μόνο την έλλειψη αναγκαιότητας της επεξεργασίας για την εκτέλεση της σύμβασης, αλλά και το ότι η επεξεργασία υπερβαίνει την αρχή της ελαχιστοποίησης.

Ως προς τη νομική βάση του εννόμου συμφέροντος (άρθρο 6 παρ.1στ’ ΓΚΠΔ), οι προτάσεις είναι ακόμη πιο ενδιαφέρουσες. Ο Γενικός Εισαγγελέας, κάνοντας μια τολμηρή, πλην όμως ακριβέστατη ερμηνεία των απαιτήσεων του άρθρου 6 παρ.1στ’ ΓΚΠΔ, αναλύει τις τρεις προϋποθέσεις του εννόμου συμφέροντος, το οποίο ωστόσο απορρίπτει ήδη από την πρώτη εξ αυτών.

Όπως υπενθυμίζει, το ΔΕΕ έχει προ πολλού κρίνει (απόφαση Meta Platforms) πως προϋπόθεση για να υπάρχει καταρχήν έννομο συμφέρον είναι αυτό να προσδιορίζεται επακριβώς και να γνωστοποιείται στο υποκείμενο μέσω της ενημέρωσης του άρθρου 13 ΓΚΠΔ: «Με άλλα λόγια, η μη τήρηση της υποχρέωσης ενημέρωσης που προβλέπεται στο άρθρο 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ επιφέρει ως κύρωση τον παράνομο χαρακτήρα της επίμαχης επεξεργασίας δεδομένων προσωπικού χαρακτήρα».

Ο Γενικός Εισαγγελέας μελετά την Πολιτική Απορρήτου της SNCF Connect και διαπιστώνει πως αυτή αναφέρεται γενικώς στο έννομο συμφέρον της, χωρίς ωστόσο να το προσδιορίζει και κατ’ επέκτασιν να το αναφέρει προς τα υποκείμενα. Περαιτέρω και σε κάθε περίπτωση, το γεγονός ότι η σχετική πληροφορία δίδεται μέσα από την ιστοσελίδα του υπευθύνου επεξεργασίας, όπου και πρέπει να αναζητηθεί από το υποκείμενο και όχι κατά τη στιγμή της λήψης των δεδομένων σημαίνει πως η συλλογή των δεδομένων έχει γίνει χωρίς να έχει προηγηθεί η γνωστοποίηση των επιδιωκόμενων εννόμων συμφερόντων. Κατά συνέπεια, η SNCF Connect δεν έχει έννομο συμφέρον για τη συλλογή των δεδομένων, αφού είτε είχε, είτε όχι, δεν το γνωστοποίησε στα υποκείμενα πριν συλλέξει τα δεδομένα τους.

Για λόγους πληρότητας, ο Γενικός Εισαγγελέας εξετάζει και τις υπόλοιπες δύο προϋποθέσεις του εννόμου συμφέροντος, καμία εκ των οποίων δεν πληρούται κατά τη γνώμη του. Η συλλογή των επίμαχων δεδομένων δεν είναι αναγκαία για την επίτευξη των εννόμων συμφερόντων του υπευθύνου επεξεργασίας, ενώ το έννομο συμφέρον της επικοινωνίας με τον πελάτη δεν υπερισχύει των δικαιωμάτων και ελευθεριών των υποκειμένων των δεδομένων.

Οι προτάσεις ολοκληρώνονται με την εξέταση ενός δεύτερου ερωτήματος που προέκυψε από ισχυρισμούς των καθών η αίτηση ακύρωσης προς το Conseil d'État: αν η χορήγηση δυνατότητας εναντίωσης μπορεί να λαμβάνεται υπόψιν στο πλαίσιο αξιολόγησης της αναγκαιότητας της επεξεργασίας, τουτέστιν αν η δυνατότητα όσων διαφωνούν με τη συλλογή των δεδομένων προσφώνησής τους να την αρνηθούν, μπορεί να νομιμοποιήσει τη συλλογή δεδομένων των υπολοίπων.

Ο Γενικός Εισαγγελέας είναι κατηγορηματικά αρνητικός. Όπως παρατηρεί, το δικαίωμα εναντίωσης προϋποθέτει την ύπαρξη σύννομης επεξεργασίας και ασκείται με σκοπό την παύση αυτής. Με άλλα λόγια, «το άρθρο 21, παράγραφος 1, του ΓΚΠΔ έχει περιθώριο εφαρμογής μόνον εφόσον διαπιστωθεί η νομιμότητα της επεξεργασίας».

Επομένως, «η ύπαρξη δικαιώματος εναντίωσης ουδόλως ασκεί επιρροή στην εκτίμηση της αναγκαιότητας της επεξεργασίας αυτής δυνάμει του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του εν λόγω κανονισμού, δεδομένου ότι η εφαρμογή του άρθρου 21, παράγραφος 1, του ίδιου κανονισμού προϋποθέτει ότι πληρούνται οι προϋποθέσεις του άρθρου 6, παράγραφος 1, στοιχείο στʹ, αυτού».

Το πλήρες κείμενο των Προτάσεων είναι διαθέσιμο εδώ.