Eισαγωγικά: Περί εννόμου συμφέροντος
Τρεις σωρευτικές προϋποθέσεις έχει η νομική βάση του εννόμου συμφέροντος του άρθρου 6 παρ.1στ’ ΓΚΠΔ, όπως αυτές διαπλάστηκαν από το Δικαστήριο της Ευρωπαϊκής Ένωσης στην υπόθεση C-13/16 (Rīgas satiksme)1: α) την επιδίωξη εννόμου συμφέροντος του υπευθύνου επεξεργασίας ή τρίτου, β) την αναγκαιότητα της επεξεργασίας εν όψει του επιδιωκόμενου εννόμου συμφέροντος και γ) την προϋπόθεση ότι δεν προέχουν τα δικαιώματα και οι ελευθερίες των υποκειμένων. Οι προϋποθέσεις αυτές συνθέτουν μια διαδικασία τριών σταδίων, που είναι γνωστή ως legitimate interest assessment (LIA): purpose test -necessity test -balancing test.
Η κρίση του ΔΕΕ στην υπόθεση Rigas, διατυπωθείσα υπό το πεδίο εφαρμογής της προϊσχύσασας Οδηγίας 96/46, αποτέλεσε τομή στην ερμηνεία του εννόμου συμφέροντος, καθώς το Δικαστήριο διαφοροποιήθηκε από τη μέχρι τότε απλούστερη προσέγγισή του,2 προς μια κατασκευή πιο σύνθετη και πιο απαιτητική. Την κατασκευή αυτή υιοθέτησε και το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ), όπως αυτό αποτυπώθηκε και στις Κατευθυντήριες Γραμμές 3/2019 για τα συστήματα βιντεοεπιτήρησης. 3
Με βάση τα ανωτέρω, γίνεται αποδεκτό πως, και υπό το πεδίο εφαρμογής του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας έχει την υποχρέωση να αναλύει και τεκμηριώνει τις τρεις προϋποθέσεις του εννόμου συμφέροντος, ενώ αντίστοιχα τα εθνικά δικαστήρια και οι εποπτικές αρχές του ΓΚΠΔ οφείλουν να τις εξετάζουν διαδοχικά και σωρευτικά. Κρίση περί ύπαρξης ή μη εννόμου συμφέροντος, χωρίς την ανάλυση αυτή, δεν μπορεί να θεωρείται πλήρης και σύμφωνη με τη νομολογία του ΔΕΕ.
Η απόφαση ΕΣΠΔ για το Instagram
Οι δεσμευτικές αποφάσεις του ΕΣΠΔ στις υποθέσεις των Facebook και Instagram4 αποτελούν πολύτιμα εγχειρίδια συμμόρφωσης, καθώς συμπυκνώνουν τις νομολογιακές κατευθύνσεις του ΔΕΕ και τις ερμηνευτικές προσεγγίσεις της Ομάδας Εργασίας του Άρθρου 29 και του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, οι οποίες μάλιστα, εξεταζόμενες υπό τον ουσιαστικό αντίλογο των εμπλεκομένων μερών, αποκτούν έναν χαρακτήρα, που υπερβαίνει ένα απλό κείμενο κατευθύνσεων.
Στην απόφαση για το Instagram,5 η οποία πέρασε σχετικώς απαρατήρητη καθώς αντικείμενό της δεν αποτέλεσε η συμπεριφορική διαφήμιση, το Συμβούλιο ανέλυσε τις προϋποθέσεις για τη θεμελίωση της νομικής βάσης της εκτέλεσης σύμβασης (άρθρο 6 παρ.1β’ ΓΚΠΔ) και του εννόμου συμφέροντος (άρθρο 6 παρ.1στ’ ΓΚΠΔ), διατυπώνοντας πολλές και χρήσιμες παρατηρήσεις, γενικότερου ενδιαφέροντος και ευρύτερης εφαρμογής.
Αξίζει να επισημανθούν ορισμένες από τις παρατηρήσεις αυτές, καθώς είναι μάλλον σαφές πως η κρίση του ΕΣΠΔ δεν αποτελεί παρά επιβεβαίωση ή και κατά περίπτωση επικαιροποίηση/εξειδίκευση προγενέστερων ερμηνευτικών κατευθύνσεων που είχε διατυπώσει ή υιοθετήσει.
Ενδεικτικά και κατ’ αντιστοιχίαν με τις τρεις προϋποθέσεις του εννόμου συμφέροντος:
Α. Ως προς την ύπαρξη εννόμου συμφέροντος
– Το έννομο συμφέρον που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος μπορεί να έχει χαρακτήρα νομικό, οικονομικό ή μη υλικό, πρέπει ωστόσο να είναι πραγματικό και να αφορά παρόν ζήτημα και όχι κάτι υποθετικό. Το ΕΣΠΔ μνημονεύει τις Κατευθυντήριες Γραμμές 3/20196 και επικαλείται το ΔΕΕ, που είχε κρίνει ότι «το εν λόγω συμφέρον πρέπει να είναι γεγενημένο και ενεστώς κατά την ημερομηνία της επεξεργασίας και να μην έχει υποθετικό χαρακτήρα κατά την ημερομηνία αυτή».7
– Το έννομο συμφέρον πρέπει να προσδιορίζεται με τρόπο επαρκώς σαφή και ακριβή, στοιχείο το οποίο είναι άλλωστε αναγκαίο εν όψει της στάθμισης αυτού με τα δικαιώματα και τις ελευθερίες του υποκειμένου, που θα ακολουθήσει. Περαιτέρω, πρέπει να είναι «αποδεκτό βάσει του νόμου».8
– Οι γερμανικές εποπτικές αρχές αμφισβήτησαν το κατά πόσον η Meta μπορεί να επικαλείται άλλη νομική βάση (εκτέλεση σύμβασης) για τους ανήλικους χρήστες του Instagram με δικαιοπρακτική ικανότητα και άλλη (έννομο συμφέρον της ίδιας και των χρηστών της) για τους χρήστες κάτω από το ηλικιακό όριο των εθνικών εννόμων τάξεων. Σύμφωνα με τους Γερμανούς, μια τέτοια πρακτική δεν αποτελεί παρά καταστρατήγηση των διατάξεων για την προστασία των ανηλίκων. Το ΕΣΠΔ απορρίπτει την ένσταση αυτή, επικαλούμενο την Ομάδα Εργασίας του Άρθρου 29: “η δέουσα διενέργεια της στάθμισης […] μπορεί σε ορισμένες περιπτώσεις να αποτελεί την έγκυρη εναλλακτική λύση αντί της ακατάλληλης χρήσης, για παράδειγμα, του κριτηρίου της «συγκατάθεσης» ή της «αναγκαιότητας για την εκτέλεση σύμβασης». Υπό αυτήν την έννοια, το άρθρο 7 στοιχείο στ) θεσπίζει πρόσθετες εγγυήσεις -για τις οποίες απαιτείται η λήψη πρόσφορων μέτρων- σε σύγκριση με τους άλλους προκαθορισμένους λόγους”.9 Σύμφωνα με το Συμβούλιο, ο υπεύθυνος επεξεργασίας μπορεί να στηρίζεται στο έννομο συμφέρον, ως εναλλακτική νομική βάση, σε περιπτώσεις όπου η κύρια νομική βάση την οποία επικαλείται (συγκατάθεση ή εκτέλεση σύμβασης) δεν μπορεί να τύχει εφαρμογής. Αυτονόητη και απαραίτητη προϋπόθεση, η τήρηση των απαιτήσεων νομιμότητας του ΓΚΠΔ, ειδικά η αξιολόγηση των τριών προϋποθέσεων του εννόμου συμφέροντος.
Β. Ως προς την αναγκαιότητα της επεξεργασίας για τους σκοπούς των εννόμων συμφερόντων.
– Η αναγκαιότητα της επεξεργασίας, υπό το πρίσμα του άρθρου 6 παρ.1στ’ ΓΚΠΔ, απαιτεί τη σύνδεση μεταξύ επεξεργασίας και εννόμου συμφέροντος που επιδιώκεται και δεν θα πρέπει να καταλήγει σε αδικαιολόγητα ευρεία ερμηνεία.
– Το ΕΣΠΔ επισημαίνει με έμφαση το ότι η επικεφαλής εποπτική αρχή της Ιρλανδίας διαπίστωσε την παραβίαση της αρχής της ελαχιστοποίησης, χωρίς ωστόσο να εξετάσει τις συνέπειες αυτού στη θεμελίωση του εννόμου συμφέροντος. Το Συμβούλιο υπενθυμίζει πως η αρχή της ελαχιστοποίησης είναι συναφής με την προϋπόθεση αναγκαιότητας του εννόμου συμφέροντος, ως εκ τούτου πρέπει να εξετάζεται και να λαμβάνεται υπόψιν κατά την αξιολόγηση του 6 παρ.1στ’ ΓΚΠΔ. Όταν η εποπτική αρχή διαπιστώνει παραβίαση της ελαχιστοποίησης, οφείλει να εξετάζει το εύρημά της, στο πλαίσιο αξιολόγησης της αναγκαιότητας του εννόμου συμφέροντος, η δε ανάλυσή της πρέπει να συμπληρώνει την αντίστοιχη εκτίμηση περί αναγκαιότητας.
Αντίστοιχη έμφαση δίνεται και στη μη εξέταση από την Ιρλανδική Αρχή της αναλογικότητας της επεξεργασίας, υπό την έννοια της δυνατότητας του υπευθύνου επεξεργασίας να επιτύχει τους επιδιωκόμενους σκοπούς με τη χρήση πιο ήπιων (λιγότερο παρεμβατικών) μέσων. Συμπερασματικά, το Συμβούλιο μοιάζει να παρατηρεί πως η παραβίαση αναγκαιότητας και αναλογικότητας πλήττουν ευθέως την ίδια τη θεμελίωση του εννόμου συμφέροντος.10
– Τα οφέλη που θα μπορούσε να αποκομίσει το υποκείμενο των δεδομένων από την επεξεργασία ποτέ δεν αποτελούν κρίσιμο στοιχείο υπέρ της αναγκαιότητας της επεξεργασίας. Το ΕΣΠΔ υπενθυμίζει πως η γραμματική διατύπωση του άρθρου 6 παρ.1στ’ ΓΚΠΔ αναφέρεται ρητώς στα έννομα συμφέροντα του υπευθύνου επεξεργασίας ή τρίτων και όχι του υποκειμένου των δεδομένων.
Γ. Ως προς τη στάθμιση συμφερόντων και δικαιωμάτων.
– Ποια είναι τα στοιχεία που πρέπει να αξιολογούνται για τη στάθμιση των συμφερόντων:
«Όταν ο υπεύθυνος επεξεργασίας επιθυμεί να βασιστεί το άρθρο 6 παρ.1στ’ ΓΚΠΔ, οφείλει να αξιολογήσει τους κινδύνους από την επέμβαση στα δικαιώματα του υποκειμένου. Στο πλαίσιο αυτό, καθοριστικό κριτήριο αποτελεί η ένταση της επέμβασης στα δικαιώματα και τις ελευθερίες του ατόμου. 11 Το ΕΣΠΔ έχει ήδη παρατηρήσει ότι η ένταση αυτή μπορεί, μεταξύ άλλων, να προσδιοριστεί από το είδος των πληροφοριών που συγκεντρώνονται (περιεχόμενο των πληροφοριών), το πεδίο κάλυψης (πυκνότητα πληροφοριών, χωρική και γεωγραφική έκταση), τον αριθμό των ενδιαφερόμενων υποκειμένων των δεδομένων –είτε ως συγκεκριμένος αριθμός είτε ως αναλογία του σχετικού πληθυσμού– την υπό εξέταση κατάσταση, τα πραγματικά συμφέροντα της ομάδας των υποκειμένων των δεδομένων, τα εναλλακτικά μέσα, καθώς και τη φύση και το πεδίο εφαρμογής της αξιολόγησης των δεδομένων.12 Οι εύλογες προσδοκίες του υποκειμένου13 κατά τη στιγμή και στο πλαίσιο της επεξεργασίας πρέπει επίσης να εξετάζονται.
– Οι εύλογες προσδοκίες του υποκειμένου συνδέονται ευθέως με τη διαφάνεια. Ως εκ τούτου, η απόκρυψη σημαντικών πληροφοριών από το υποκείμενο δεν αποτελεί μόνο παραβίαση της αρχής της διαφάνειας και της υποχρέωσης ενημέρωσης, αλλά πλήττει και την τρίτη προϋπόθεση του εννόμου συμφέροντος. Επηρεάζει τις εύλογες προσδοκίες του υποκειμένου και κατατείνει σε μια μη αποδεκτή στάθμιση συμφερόντων και δικαιωμάτων. Όπως χαρακτηριστικά παρατηρείται: «Η αξιολόγηση θα πρέπει επίσης να λαμβάνει υπόψη τα μέτρα που ο υπεύθυνος επεξεργασίας σχεδιάζει να λάβει για να συμμορφωθεί με τις υποχρεώσεις του, μεταξύ άλλων όσον αφορά την αναλογικότητα και τη διαφάνεια . Η σχέση μεταξύ της στάθμισης (balancing test), της διαφάνειας και της αρχής της λογοδοσίας έχει ήδη υπογραμμιστεί από την Ομάδα Εργασίας 29, η οποία τη θεώρησε “ζωτικής σημασίας” στο πλαίσιο του άρθρου 6 παρ.1στ΄ ΓΚΠΔ . Εν προκειμένω, το ΕΣΠΔ υπενθυμίζει ότι, εάν ο υπεύθυνος επεξεργασίας αποκρύψει σημαντικές πληροφορίες για το υποκείμενο των δεδομένων, δεν θα πληροί τις απαιτήσεις των εύλογων προσδοκιών του υποκειμένου των δεδομένων και της συνολικά αποδεκτής στάθμισης των συμφερόντων»
1.ΔΕΕ C-13/16 Rīgas satiksme, σκ 28: «Συναφώς, το άρθρο 7, στοιχείο στ΄, της οδηγίας 95/46 προβλέπει τρεις σωρευτικές προϋποθέσεις για τη σύννομη επεξεργασία δεδομένων προσωπικού χαρακτήρα και δη, πρώτον, την επιδίωξη εννόμου συμφέροντος εκ μέρους του υπευθύνου της επεξεργασίας ή του τρίτου ή των τρίτων στους οποίους ανακοινώνονται τα δεδομένα, δεύτερον, την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την επίτευξη του επιδιωκόμενου εννόμου συμφέροντος και, τρίτον, την προϋπόθεση ότι δεν προέχουν τα θεμελιώδη δικαιώματα και οι ελευθερίες του προσώπου το οποίο αφορά η προστασία των δεδομένων».
2.Σύμφωνα με την προσέγγιση εκείνη, η διάταξη του άρθρου 7 περ.στ’ της Οδηγίας προέβλεπε «σωρευτικώς δύο προϋποθέσεις για να είναι σύννομη η επεξεργασία δεδομένων προσωπικού χαρακτήρα, ήτοι, αφενός, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα πρέπει να είναι απαραίτητη για την ικανοποίηση του εννόμου συμφέροντος που επιδιώκει ο υπεύθυνος της επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα και, αφετέρου, τα δικαιώματα και οι ελευθερίες του προσώπου στο οποίο αναφέρονται τα δεδομένα να μην προέχουν». (ΔΕΕ C-468/10 ASNEF, σκ. 38, ακολούθως C-708/18 Asociaţia de Proprietari, σκ. 40)
3.Κατευθυντήριες γραμμές 3/2019 σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω βιντεοσυσκευών, σκ. 17-40.
4.Ενώ επίκειται η δημοσιοποίηση και της τρίτης απόφασης, για την υπόθεση WhatsApp.
5.EDPB Binding Decision 4/2022 on the dispute submitted by the Irish SA on Meta Platforms Ireland Limited and its Instagram service (Art. 65 GDPR), δημοσιευθείσα την 5-12-2022.
6.σκ. 18-20
7.ΔΕΕ C-708/18 Asociaţia de Proprietari, σκ. 44
8.ΟΕ29, Γνώμη 06/2014 σχετικά με την έννοια των εννόμων συμφερόντων του υπευθύνου επεξεργασίας, σύμφωνα με το άρθρο 7 της οδηγίας 95/46/ΕΚ, σελ. 32
9.ΟΕ29, Γνώμη 06/2014, σελ.12
10.Στο πνεύμα αυτό, η σουηδική αρχή προστασίας δεδομένων (IMY) είχε επισημάνει ότι «Επιπλέον, η προϋπόθεση που απαιτείται από το άρθρο 6 παρ.1στ΄ πρέπει να εξετάζεται σε συνδυασμό με την αρχή της ελαχιστοποίησης των δεδομένων (άρθρο 5 παρ.1γ’). Αυτό προϋποθέτει ότι το έννομο συμφέρον το οποίο αποσκοπεί να προστατεύσει η επεξεργασία δεν μπορεί εύλογα να προστατευθεί εξίσου αποτελεσματικά με άλλα μέσα που επηρεάζουν λιγότερο δυσμενώς τα θεμελιώδη δικαιώματα και ελευθερίες.» Στην υπόθεση εκείνη, η IMY είχε διαπιστώσει την παραβίαση του άρθρου 6 παρ.1στ’ ΓΚΠΔ, μολονότι αποδέχθηκε καταρχήν την ύπαρξη εννόμου συμφέροντος, καθώς έκρινε πως η επεξεργασία δεν ήταν αναγκαία για την εκπλήρωση των σκοπών του υπευθύνου επεξεργασίας.
11.ΕΣΠΔ, Κατευθυντήριες Γραμμές 3/2019, σκ. 32.
12.ΕΣΠΔ, Κατευθυντήριες Γραμμές 3/2019, σκ. 33.
13.βλ. και αιτ. 47: Τα έννομα συμφέροντα του υπευθύνου επεξεργασίας, περιλαμβανομένων εκείνων ενός υπευθύνου επεξεργασίας στον οποίο μπορούν να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα ή τρίτων, μπορεί να παρέχουν τη νομική βάση για την επεξεργασία, υπό τον όρο ότι δεν υπερισχύουν των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων, λαμβάνοντας υπόψη τις θεμιτές προσδοκίες των υποκειμένων των δεδομένων βάσει της σχέσης τους με τον υπεύθυνο επεξεργασίας. […]
Πηγή: lawspot.gr
