Συλλογικές αγωγές και GDPR

Μπορούν ενώσεις καταναλωτών να ασκούν συλλογική αγωγή για παράνομη επεξεργασία δεδομένων;

Αυτό είναι ένα καίριο ερώτημα, δεδομένου ότι το άρθρο 41 του Ν. 4624/2019 αναφέρεται μόνο στην "Εκπροσώπηση υποκειμένου των δεδομένων" από συλλογικούς φορείς (ως μη δικαιούχους διαδίκους) και όχι στις "συλλογικές αγωγές".

Η ρύθμιση της παραγράφου 2 του άρθρου 80 ΓΚΠΔ ορίζει ότι «(τ)α κράτη μέλη μπορούν να προβλέπουν ότι κάθε φορέας, οργάνωση ή ένωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου έχει το δικαίωμα, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων, να υποβάλει στο εν λόγω κράτος μέλος καταγγελία στην εποπτική αρχή που είναι αρμόδια δυνάμει του άρθρου 77 και να ασκήσει τα δικαιώματα που αναφέρονται στα άρθρα 78 και 79, εφόσον θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του παρόντος κανονισμού παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας.» Αναφέρεται σε μια περίπτωση λοιπόν συλλογικής που ο συλλογικός φορέας ασκεί ένα «υπερατομικό» δικαίωμα, και όχι απλά δικαίωμα μεμονωμένου μέλους του να ασκήσει συλλογική αγωγή. Προβλέπει το δικαίωμα συλλογικών φορέων να ασκούν «συλλογικές αγωγές» (άρσης και παράλειψης – όχι όμως αποζημίωσης) και να υποβάλλουν καταγγελίες στις ελεγκτικές αρχές στο δικό τους όνομα και λογαριασμό, εφ’ όσον υπάρχει σχετική πρόβλεψη στο δίκαιο κράτους μέλους. Η εν λόγω παρ. 2 πρόκειται για μια ρήτρα ανοίγματος.

Κατά την αιτιολογική σκέψη υπ’ αριθ. 142 του Προοιμίου ΓΚΠΔ, όταν το υποκείμενο των δεδομένων θεωρεί ότι παραβιάζονται τα δικαιώματά του βάσει του ΓΚΠΔ, θα πρέπει να έχει το δικαίωμα να αναθέσει σε μη κερδοσκοπικό φορέα, οργανισμό ή οργάνωση που έχει συσταθεί σύμφωνα με το δίκαιο κράτους μέλος, διαθέτει καταστατικούς σκοπούς που είναι προς το δημόσιο συμφέρον και δραστηριοποιείται στον τομέα της προστασίας των δεδομένων προσωπικού χαρακτήρα (εφ’ εξής «συλλογικός φορέας»), να υποβάλει καταγγελία εξ ονόματός του σε εποπτική αρχή, να ασκήσει το δικαίωμα δικαστικής προσφυγής για λογαριασμό των υποκειμένων των δεδομένων ή, εφόσον προβλέπεται από το δίκαιο κράτους μέλους, το δικαίωμα να λάβει αποζημίωση για λογαριασμό των υποκειμένων των δεδομένων. Κράτος μέλος μπορεί να προβλέπει μάλιστα ότι αυτός ο συλλογικός φορέας έχει το δικαίωμα να υποβάλει σε αυτό το κράτος μέλος καταγγελία, ανεξάρτητα από τυχόν ανάθεση του υποκειμένου των δεδομένων, και δικαίωμα πραγματικής δικαστικής προσφυγής, όταν έχει λόγους να θεωρεί ότι τα δικαιώματα του υποκειμένου των δεδομένων παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά παράβαση του ΓΚΠΔ.

Oι ενώσεις καταναλωτών αποτελούν ενώσεις προσώπων που προβλέπονται στο Ν. 2251/1994, συγκροτούνται ως σωματεία και διέπονται από τις διατάξεις του άρθρου 10 του εν λόγω νόμου και του Αστικού Κώδικα. Ένωση καταναλωτών μπορεί να ασκήσει τα δικαιώματα των μελών της κατά το άρθρο 10 παρ. 15 του Ν. 2251/1994 ως μη δικαιούχος διάδικος. Επίσης, αν έχει τουλάχιστον πεντακόσια (500) ενεργά μέλη και έχει εγγραφεί στο μητρώο ενώσεων καταναλωτών πριν από ένα τουλάχιστον έτος, μπορεί να ασκεί κάθε είδους αγωγή για την προστασία των γενικότερων συμφερόντων του καταναλωτικού κοινού (συλλογική αγωγή), ή εφ’ όσον η επικαλούμενη ως παράνομη συμπεριφορά του προμηθευτή προσβάλλει τα συμφέροντα τριάντα (30), τουλάχιστον, καταναλωτών. Ιδίως μπορεί να ζητήσει την παράλειψη παράνομης συμπεριφοράς του προμηθευτή, ακόμη και πριν αυτή εκδηλωθεί, ιδίως όταν συνίσταται σε παράβαση μιας σειράς διατάξεων που αναφέρονται στο άρθρο 10 παρ. 16 του Ν. 2251/1994, μεταξύ αυτών και των άρθρων 2, 3, 3α έως 3ιβ, 4, 4α έως 4η, 4θ, 5, 6, 7, 7α, 8, 9, 9α έως 9θ του εν λόγω νόμου.

Σε αντίθετη με τη συλλογική αγωγή του άρθρου 80 παρ. 2 ΓΚΠΔ, λοιπόν, η εν λόγω συλλογική αγωγή αποτελεί «γνήσια» συλλογική αγωγή, καθότι το έννομο συμφέρον προς άσκησή της δεν προϋποθέτει τη γεγενημένη παραβίαση δικαιωμάτων συγκεκριμένου καταναλωτή ως δικονομική προϋπόθεση της άσκησής της, αλλά μπορεί να θεμελιώνεται στην επίκληση μιας εν γένει «αντικειμενικής» παρανομίας.

Μπορούν όμως να ασκήσουν οι ενώσεις καταναλωτών την ειδική συλλογική αγωγή από το άρθρο 80 παρ. 2 ΓΚΠΔ, επικαλούμενες αυτοτελώς παραβίαση των διατάξεων του ΓΚΠΔ; Ή μόνο παρεμπιπτόντως στον πλαίσιο ελέγχου συμπεριφορών προμηθευτών οι οποίες παραβιάζουν τη νομοθεσία του καταναλωτή και αποτελούν ταυτόχρονα παραβιάσεις του ΓΚΠΔ (π.χ. αδιαφανείς ρήτρες συγκατάθεσης ή αθέμιτες εμπορικές πρακτικές εμπορικής προώθησης δια επεξεργασίας προσωπικών δεδομένων) μπορεί να ελεγχθεί δυνάμει της συλλογικής αγωγής τυχόν μη συμμόρφωση ενός υπευθύνου επεξεργασίας με το δίκαιο προστασίας δεδομένων; Ας δούμε σχετικά την απόφαση του ΔΕΕ της 29ης Ιουλίου 2019 - C-40/17, η οποία φαίνεται να δίνει απάντηση στα ερωτήμτα αυτά.

Το ΔΕΕ με προδικαστική απόφασή του κατόπιν ερωτήματος που υπέβαλε δυνάμει του άρθρου 267 ΣΛΕΕ το Εφετείο (OLG) του Düsseldorf με απόφαση της 19ης Ιανουαρίου 2017 - I-20 U 40/16 στο πλαίσιο της εφετειακής δίκης της Fashion ID GmbH & Co. KG κατά της ένωσης καταναλωτών της Βόρειας Ρηνανίας – Βεστφαλίας έκρινε (σκέψεις 59 – 63)ότι αν το προβλέπει η εθνική νομοθεσία, επιτρέπεται στις ενώσεις προστασίας των καταναλωτών να στρέφονται δικαστικώς κατά προσώπων τα οποία φέρονται ότι έχουν παραβιάσει τη νομοθεσία για την προστασία των δεδομένων προσωπικού χαρακτήρα

Ως προς το άρθρο 80 παρ. 2 ΓΚΠΔ, το δικαστήριο εν είδει obiter dictum και προφανώς για να προλάβει παρόμοιες προδικαστικές παραπομπές και αντιφατικές αποφάσεις εγχώριων δικαστηρίων, έκρινε ότι από το γεγονός ότι ο ΓΚΠΔ, ο οποίος κατάργησε και αντικατέστησε την Οδηγία 95/46 και εφαρμόζεται από την 25η Μαΐου 2018, επιτρέπει ρητώς, στο άρθρο 80, παράγραφος 2, στα κράτη μέλη να παρέχουν με την εθνική τους νομοθεσία στις ενώσεις προστασίας των καταναλωτών τη δυνατότητα να στρέφονται δικαστικώς κατά προσώπων τα οποία φέρονται ότι έχουν παραβιάσει την προστασία των δεδομένων προσωπικού χαρακτήρα, ουδόλως μπορεί να συναχθεί ότι τα κράτη μέλη δεν μπορούσαν να προβλέψουν τέτοιο δικαίωμα των ενώσεων αυτών υπό την ισχύ της Οδηγίας 95/46, αλλά, αντιθέτως, τούτο επιβεβαιώνει ότι η ερμηνεία που δίνεται στην Οδηγία αυτή με την εν λόγω απόφαση αντικατοπτρίζει τη βούληση του νομοθέτη της Ένωσης. Την ίδια θέση είχε λάβει και ο Γενικός Εισαγγελέας του ΔΕΕ στις Προτάσεις του επί της υποθέσεως αυτής, στο στοιχείο υπ’ αριθ. 49.

Κατά το ΔΕΕ λοιπόν, ήταν ήδη δεδομένο ότι μεταξύ των συλλογικών φορέων κατά το άρθρο 80 παρ. 2 ΓΚΠΔ περιλαμβάνεται κάθε ένωση καταναλωτών, εφ’ όσον το επιτρέπει η αντίστοιχη εθνική νομοθεσία του κράτους μέλους στο οποίο εδρεύει. Κατά την κρίση του ΔΕΕ, το συμφέρον της ολότητας σε επίπεδο προστασίας των καταναλωτών περιλαμβάνει και την εφαρμογή της νομοθεσίας για τα προσωπικά δεδομένα, ανεξαρτήτως του αν η προσβολή τελείται απευθείας απέναντι στο ΓΚΠΔ ή την Οδηγία ePrivacy, ή εκ πλαγίου, δια παραβίασης διατάξεων της προστασίας καταναλωτή μέσω πράξεων που τελούν συνάμα και πράξεις απαγορευμένης επεξεργασίας δεδομένων.

Φαίνεται λοιπόν να είναι γεγονός. Οι ενώσεις καταναλωτών νομιμοποιούνται ως «συλλογικοί φορείς» στην άσκηση συλλογικών αγωγών για την επιβολή του δικαίου προστασίας δεδομένων εκ του ΓΚΠΔ και της Οδηγίας ePrivacy. Ακόμη και αν η Οδηγία 95/46/ΕΚ δεν περιλαμβάνεται μεταξύ των δεκτικών συλλογικής αγωγής κανόνων που απαριθμούνται στο παράρτημα I της Οδηγίας 2009/22/ΕΚ περί των αγωγών παραλείψεως στον τομέα της προστασίας των συμφερόντων των καταναλωτών, εντούτοις κατά το ΔΕΕ, το άρθρο 7 της Οδηγίας αυτής δεν προβλέπει εξαντλητική εναρμόνιση ως προς το ζήτημα αυτό. Στις περιπτώσεις λοιπόν όπου εμφανίζεται η σχέση καταναλωτή – προμηθευτή σε ένα πραγματικό επεξεργασίας δεδομένων, μια ένωση καταναλωτών μπορεί να ασκήσει τα προβλεπόμενα από τα οικεία άρθρα 77, 78 και 79 βοηθήματα. Μπορεί όμως να υποβάλει καταγγελία στην αρμόδια ελεγκτική αρχή και να ασκήσει τα ένδικα βοηθήματα άρσης και παράλειψης μόνο αφότου διαπιστωθεί υπαρκτή προσβολή δικαιωμάτων υποκειμένων δεδομένων ανεξαρτήτως του αν είναι μέλη της – κατά τη ρητή επιταγή του άρθρου 80 παρ. 2. Δεν μπορεί να ασκήσει όμως τα ένδικα βοηθήματα αποζημίωσης (ούτε της αξίωσης για τη χρηματική ικανοποίηση λόγω ηθικής βλάβης κατά το άρθρο 10 παρ. 16 περ. β του Ν. 2251/1994 ούτε της αναγνώρισης δικαιώματος αποζημίωσης των καταναλωτών κατά το άρθρο 10 παρ. 16 περ. δ’ του Ν. 2251/1994 ) – ούτε «προληπτικής έννομης προστασίας μέσω ασφαλιστικών μέτρων σε περιπτώσεις «αντικειμενικής παραβίασης ενός κανόνα δικαίου», παρά μόνο αν έχει ήδη διαπιστωθεί παραβίαση δικαιωμάτων των υποκειμένων που έχουν ιδιότητα του καταναλωτή

Αντικείμενο της συλλογικής αγωγής θα είναι η διάγνωση προσβολών επί δικαιωμάτων υποκειμένων ή παραβίασης των προϋποθέσεων για την έγκυρη λήψη συγκατάθεσης με βάση το ΓΚΠΔ (συμπεριλαμβανομένης της Οδηγίας ePrivacy – που παραπέμπει ως προς τα μέσα ένδικης προστασίας στον ΓΚΠΔ) καθ’ εαυτόν, χωρίς καμία ανάγκη προσφυγής σε διατάξεις του Ν. 2251/1994 για να στηρίξουν το παράνομο της επεξεργασίας, με αίτημα την άρση και παράλειψη αυτών των παράνομων πρακτικών επεξεργασίας δεδομένων.

Έτσι, σε μια περίπτωση παράνομης επεξεργασίας δεδομένων, που περιλαμβάνει συνεχή αποστολή προωθητικών μηνυμάτων email σε ένα καταναλωτή, μια ένωση καταναλωτών θα δικαιούται, επικαλούμενη το παράνομο της επεξεργασίας λόγω έλλειψης προηγούμενης «ρητής» συγκατάθεσης του υποκειμένου, να ζητήσει την άρση και παράλειψη αυτής, ανεξαρτήτως του αν τέτοια συμπεριφορά συνιστά και «συνεχή και ανεπιθύμητη άγρα πελατών» κατά τον Όρο 26 του Παραρτήματος Ι της Οδηγίας για τις αθέμιτες εμπορικές πρακτικές. Επίσης, η ένωση καταναλωτών θα δικαιούται να ζητήσει την άρση και παράλειψη κάθε παρανομίας που μπορεί να στοιχειοθετηθεί εκ των ΓΚΠΔ και Οδηγίας ePrivacy, π.χ. έλλειψης προσήκουσας ενημέρωσης εκ των άρθρων 13 και 14 ΓΚΠΔ. έλλειψης ικανοποίησης δικαιωμάτων πρόσβασης του υποκειμένου κατ’ άρθρο 15 ΓΚΠΔ, άρνησης διακοπής περιστατικών επεξεργασίας δεδομένων για σκοπούς εμπορικής προώθησης επί τη βάσει εννόμου συμφέροντος του υπευθύνου επεξεργασίας κατόπιν άσκησης εκ μέρους του υποκειμένου του ειδικού δικαιώματος εναντίωσης εκ των άρθρων 21 παρ. 2 και 3 ΓΚΠΔ, επεξεργασίας προσωπικών δεδομένων στα δίκτυα ηλεκτρονικών επικοινωνιών για σκοπούς εμπορικής προώθησης όταν δεν υπάρχουν οι προϋποθέσεις νόμιμης επεξεργασίας κατά το άρθρο 11 του Ν. 3471/2006, και μάλιστα ανεξαρτήτως του αν στην τελευταία αυτή περίπτωση, όπως και σε κάθε περίπτωση εμπορικής επικοινωνίας για σκοπούς εμπορικής προώθησης, μπορεί να διαγνωστεί συνάμα και μια «αθέμιτη εμπορική πρακτική». Θα νομιμοποιείται επίσης να ζητήσει την παράλειψη της πρακτικής εγκατάστασης cookies στους υπολογιστές χρηστών άνευ συγκατάθεσής τους. Τέλος, θα νομιμοποιείται ζητήσει την άρση και παράλειψη προδιατυπωμένων ρητρών συγκατάθεσης όταν το περιεχόμενό τους δεν βρίσκεται σε συμφωνία με τα άρθρα 4 παρ. 11 και 7 παρ. 2 ΓΚΠΔ, όπως και την άρση και παράλειψη της παράνομης επεξεργασίας καθ’ εαυτήν, λόγω της λήψης άκυρης συγκατάθεσης, σε σχέση με υποκείμενα στα οποία διαγνώστηκε η παρανομία.