Με απόφασή του το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) παρείχε ενδιαφέρουσα ανάλυση αναφορικά με την ερμηνεία της συγκατάθεσης στο πλαίσιο υπηρεσιών πληροφοριών καταλόγου που αποτυπώνεται στην οδηγία ePrivacy, υπό το φως των σχετικών διατάξεων του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ – GDPR).
Παράλληλα, το Δικαστήριο έκρινε ότι, δυνάμει των διατάξεων του ΓΚΠΔ, ο υπεύθυνος για την επεξεργασία προσωπικών δεδομένων υποχρεούται να λάβει εύλογα μέτρα για να ενημερώσει τις μηχανές αναζήτησης στο Διαδίκτυο σχετικά με ένα αίτημα διαγραφής από το ενδιαφερόμενο άτομο.
Ιστορικό της υπόθεσης
Η Proximus, πάροχος τηλεπικοινωνιακών υπηρεσιών στο Βέλγιο, παρέχει επίσης καταλόγους και υπηρεσίες πληροφοριών καταλόγου που είναι διαθέσιμες στο κοινό, σύμφωνα με τις διατάξεις του βελγικού νόμου περί ηλεκτρονικών επικοινωνιών. Οι κατάλογοι αυτοί περιλαμβάνουν το όνομα, τη διεύθυνση και τον αριθμό τηλεφώνου των συνδρομητών των διαφόρων παρόχων διαθέσιμων στο κοινό τηλεφωνικών υπηρεσιών. Υπάρχουν και άλλοι κατάλογοι, τους οποίους δημοσιεύουν τρίτοι.
Τα στοιχεία των συνδρομητών αυτών κοινοποιούνται τακτικά στην Proximus από τους παρόχους, με εξαίρεση τους συνδρομητές που έχουν εκφράσει την επιθυμία να μη συμπεριληφθούν στους καταλόγους που εκδίδει η Proximus. Στο Βέλγιο, η διαφορά μεταξύ των συνδρομητών που επιθυμούν να περιλαμβάνονται σε τηλεφωνικό κατάλογο και εκείνων που δεν το επιθυμούν αντικατοπτρίζεται, στην πράξη, στην απόδοση ενός κωδικού στην καταχώριση κάθε συνδρομητή, ήτοι «ΝΝΝΝΝ» για τους συνδρομητές των οποίων τα στοιχεία επικοινωνίας μπορούν να εμφανίζονται, και «ΧΧΧΧΧ» για τους συνδρομητές των οποίων τα στοιχεία επικοινωνίας παραμένουν εμπιστευτικά. Η Proximus διαβιβάζει επίσης τα στοιχεία επικοινωνίας που λαμβάνει σε άλλον πάροχο καταλόγων.
Ο καταγγέλλων είναι συνδρομητής του παρόχου τηλεφωνικών υπηρεσιών Telenet, ο οποίος δραστηριοποιείται στη βελγική αγορά. Η Telenet δεν παρέχει καταλόγους, αλλά διαβιβάζει τα στοιχεία των συνδρομητών της σε παρόχους καταλόγων, μεταξύ δε άλλων στην Proximus.
Στις 13 Ιανουαρίου 2019 ο εν λόγω συνδρομητής ζήτησε από την Proximus να μην καταχωρίσει τα στοιχεία επικοινωνίας του στους καταλόγους που εκδίδει τόσο η Proximus όσο και τρίτοι. Κατόπιν του σχετικού αιτήματος, η Proximus τροποποίησε το καθεστώς του συγκεκριμένου συνδρομητή στο μηχανογραφικό της σύστημα, ώστε να μην είναι εφεξής δημοσιοποιημένα τα στοιχεία επικοινωνίας του.
Στις 31 Ιανουαρίου 2019 η Proximus έλαβε από την Telenet περιοδική επικαιροποίηση των στοιχείων των συνδρομητών της εν λόγω εταιρίας. Η επικαιροποίηση αυτή περιείχε νέα δεδομένα του οικείου συνδρομητή, τα οποία δεν είχαν επισημανθεί ως εμπιστευτικά. Οι πληροφορίες αυτές αποτέλεσαν αντικείμενο αυτοματοποιημένης επεξεργασίας από την Proximus και καταχωρίστηκαν, με αποτέλεσμα να περιληφθούν εκ νέου στους καταλόγους της τελευταίας.
Στις 14 Αυγούστου 2019, διαπιστώνοντας ότι ο τηλεφωνικός του αριθμός είχε δημοσιευθεί στους καταλόγους της Proximus και τρίτων, ο συνδρομητής ζήτησε εκ νέου από την Proximus να μη συμπεριλαμβάνει τα στοιχεία του σε αυτούς τους καταλόγους. Η Proximus απάντησε αυθημερόν στον καταγγέλλοντα ότι είχε απαλείψει τα δεδομένα του από τους καταλόγους και ότι είχε επικοινωνήσει με την Google προκειμένου να διαγραφούν οι σχετικοί σύνδεσμοι προς τον ιστότοπο της Proximus. Επίσης, η Proximus ενημέρωσε τον συνδρομητή ότι είχε διαβιβάσει τα στοιχεία του σε άλλους παρόχους καταλόγων και ότι, χάρη στις μηνιαίες επικαιροποιήσεις, οι εν λόγω πάροχοι είχαν ενημερωθεί για το αίτημά του.
Συγχρόνως, ο εν λόγω συνδρομητής υπέβαλε καταγγελία κατά της Proximus ενώπιον της βελγικής αρχής προστασίας δεδομένων, διότι, παρά το αίτημά του να μην περιληφθούν τα στοιχεία του στους καταλόγους, ο αριθμός τηλεφώνου του εμφανιζόταν σε ορισμένους εξ αυτών.
Στις 5 Σεπτεμβρίου 2019 ο εν λόγω συνδρομητής και η Proximus επικοινώνησαν εκ νέου αναφορικά με τη δημοσίευση των στοιχείων του εν λόγω συνδρομητή στον κατάλογο τρίτου. Στο πλαίσιο αυτό, η Proximus υπογράμμισε ότι διαβιβάζει μεν τα στοιχεία επικοινωνίας των συνδρομητών της σε άλλους παρόχους καταλόγων, πλην όμως δεν έχει καμία εικόνα όσον αφορά τις διαδικασίες εσωτερικής λειτουργίας των εν λόγω παρόχων.
Στις 30 Ιουλίου 2020, κατόπιν κατ’ αντιμωλίαν διαδικασίας, το τμήμα επιλύσεως διαφορών εξέδωσε απόφαση με την οποία επέβαλε στην Proximus τη λήψη διορθωτικών μέτρων, καθώς και πρόστιμο ύψους 20.000 ευρώ για παράβαση, μεταξύ άλλων, του άρθρου 6 του ΓΚΠΔ, σε συνδυασμό με το άρθρο 7 του κανονισμού, και του άρθρου 5, παράγραφος 2, του εν λόγω κανονισμού σε συνδυασμό με το άρθρο 24 αυτού. Ειδικότερα, διέταξε, καταρχάς, την Proximus να προβεί αμέσως στις δέουσες ενέργειες μετά την ανάκληση της συγκαταθέσεως του οικείου συνδρομητή και να συμμορφωθεί προς τα αιτήματά του όσον αφορά την άσκηση του δικαιώματος της διαγραφής των δεδομένων που τον αφορούσαν. Στη συνέχεια, διέταξε την Proximus να λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίσει ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα την οποία πραγματοποιεί συνάδει προς τις διατάξεις του ΓΚΠΔ. Τέλος, διέταξε την Proximus να παύσει να διαβιβάζει παρανόμως τα επίμαχα δεδομένα σε άλλους παρόχους υπηρεσιών καταλόγου.
Στις 28 Αυγούστου 2020 η Proximus άσκησε προσφυγή κατά της ανωτέρω αποφάσεως ενώπιον του hof van beroep te Brussel (εφετείου Βρυξελλών, Βέλγιο).
Κατά την Proximus, σύμφωνα με το άρθρο 45, παράγραφος 3, του βελγικού νόμου περί ηλεκτρονικών επικοινωνιών, δεν απαιτείται η συγκατάθεση του συνδρομητή, αλλά οι συνδρομητές πρέπει να ζητούν οι ίδιοι να μην περιλαμβάνονται στους καταλόγους, σύμφωνα με σύστημα καλούμενο «opt-out». Ελλείψει τέτοιου αιτήματος, πράγματι ενδέχεται ο οικείος συνδρομητής να περιλαμβάνεται στους επίμαχους καταλόγους. Ως εκ τούτου, κατά την Proximus, δεν απαιτείται εν προκειμένω «συγκατάθεση» εκ μέρους του συνδρομητή κατά την έννοια της οδηγίας 95/46/ΕΚ ή του ΓΚΠΔ.
Αντιθέτως, η βελγική αρχή προστασίας δεδομένων προέβαλε, κατ’ ουσίαν, ότι το άρθρο 12, παράγραφος 2, της οδηγίας για την προστασία ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες (οδηγίας 2002/58/ΕΚ, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών) και το άρθρο 133, παράγραφος 1, του βελγικού νόμου περί ηλεκτρονικών επικοινωνιών απαιτούν τη «συγκατάθεση των συνδρομητών» κατά την έννοια του ΓΚΠΔ, προκειμένου οι πάροχοι υπηρεσιών καταλόγου να μπορούν να επεξεργάζονται και να διαβιβάζουν τα προσωπικά τους δεδομένα.
Το αιτούν δικαστήριο εκτίμησε ότι η οδηγία 2002/58/ΕΚ αποτελεί lex specialis σε σχέση με τον ΓΚΠΔ, όπως επιβεβαιώνουν η αιτιολογική σκέψη 173 και το άρθρο 95 του ΓΚΠΔ. Κατά συνέπεια, το αιτούν δικαστήριο θεώρησε ότι, στις περιπτώσεις στις οποίες η οδηγία 2002/58/ΕΚ διασαφηνίζει τους κανόνες του ΓΚΠΔ, οι ειδικές διατάξεις της ανωτέρω οδηγίας υπερισχύουν των γενικότερων διατάξεων του ΓΚΠΔ ως «lex specialis».
Στο πλαίσιο αυτό, το αιτούν δικαστήριο επισήμανε ότι το άρθρο 12, παράγραφος 2, της οδηγίας 2002/58/ΕΚ και το άρθρο 133, παράγραφος 1, του βελγικού νόμου περί ηλεκτρονικών επικοινωνιών, καίτοι απαιτούν να εκφραστεί η βούληση των συνδρομητών προκειμένου οι πάροχοι καταλόγων να μπορούν να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα που τους αφορούν, δεν διευκρινίζουν αν αυτή η έκφραση βουλήσεως πρέπει να γίνεται μέσω της ασκήσεως του δικαιώματος επιλογής, όπως υποστηρίζει η Proximus, ή μέσω της εκδηλώσεως πραγματικής συγκαταθέσεως κατά την έννοια του ΓΚΠΔ, όπως προβάλλει η βελγική αρχή προστασίας δεδομένων. Επ’ αυτού, το αιτούν δικαστήριο υπογράμμισε ότι το Δικαστήριο έχει κρίνει, ιδίως με την απόφαση της 5ης Μαΐου 2011, Deutsche Telekom, C‑543/09 (σκέψη 61), ότι, όπως προκύπτει από τη συστηματική και βάσει των συμφραζομένων ερμηνεία του άρθρου 12 της οδηγίας 2002/58/ΕΚ, η επίμαχη έκφραση βουλήσεως αντιστοιχεί σε «συγκατάθεση» η οποία αφορά τον σκοπό της δημοσιεύσεως των δεδομένων προσωπικού χαρακτήρα σε δημόσιο κατάλογο και όχι την ταυτότητα συγκεκριμένου παρόχου υπηρεσιών καταλόγου.
Επιπλέον, δεδομένου ότι δεν έχει προβλεφθεί ειδικό καθεστώς σχετικά με την ανάκληση της εν λόγω εκφράσεως βουλήσεως ή της εν λόγω «συγκαταθέσεως» από συνδρομητή, ούτε με την οδηγία 2002/58/ΕΚ, ούτε με τον βελγικό νόμο περί ηλεκτρονικών επικοινωνιών, ούτε με εκτελεστικό διάταγμα, το αιτούν δικαστήριο διερωτήθηκε αν όλες οι διατάξεις του ΓΚΠΔ πρέπει να εφαρμόζονται αυτομάτως και άνευ περιορισμών και στο ειδικό πλαίσιο των τηλεφωνικών καταλόγων.
Υπό τις συνθήκες αυτές, το hof van beroep te Brussel (εφετείο Βρυξελλών) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο προδικαστικά ερωτήματα.
Απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης
Με την απόφασή του αυτή, το Δικαστήριο έκρινε, πρώτον, ότι η «συγκατάθεση», κατά την έννοια του άρθρου 4, σημείο 11, του ΓΚΠΔ, του συνδρομητή παρόχου τηλεφωνικών υπηρεσιών απαιτείται προκειμένου τα δεδομένα προσωπικού χαρακτήρα του εν λόγω συνδρομητή να περιλαμβάνονται στους καταλόγους που δημοσιεύονται από άλλους παρόχους και στις υπηρεσίες πληροφοριών καταλόγου που είναι διαθέσιμες στο κοινό, η επίμαχη δε συγκατάθεση μπορεί να δίδεται είτε στον προαναφερθέντα πάροχο είτε σε έναν από αυτούς τους παρόχους.
Δέυτερον, το Δικαστήριο αποφάνθηκε ότι το αίτημα συνδρομητή περί διαγραφής των δεδομένων προσωπικού χαρακτήρα που τον αφορούν από τους καταλόγους καθώς και από τις υπηρεσίες πληροφοριών καταλόγου που είναι διαθέσιμες στο κοινό συνιστά χρήση του «δικαιώματος διαγραφής» κατά την έννοια του άρθρου 17 του ΓΚΠΔ.
Τρίτον, κατά το Δικαστήριο, εθνική εποπτική αρχή μπορεί να απαιτήσει από τον πάροχο καταλόγων και υπηρεσιών πληροφοριών καταλόγου που είναι διαθέσιμες στο κοινό, ως υπεύθυνο επεξεργασίας, να λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την ενημέρωση των τρίτων υπευθύνων επεξεργασίας, ήτοι του παρόχου τηλεφωνικών υπηρεσιών ο οποίος του γνωστοποίησε τα δεδομένα προσωπικού χαρακτήρα του συνδρομητή του καθώς και των λοιπών παρόχων καταλόγων και υπηρεσιών πληροφοριών καταλόγου στους οποίους έχει προσκομίσει αυτά τα δεδομένα, για την ανάκληση της συγκαταθέσεως του εν λόγω συνδρομητή.
Τέλος, το Δικαστήριο κατέληξε ότι δεν απαγορεύεται σε εθνική εποπτική αρχή να διατάξει πάροχο καταλόγων και υπηρεσιών πληροφοριών καταλόγου που είναι διαθέσιμες στο κοινό, από τον οποίο ο συνδρομητής παρόχου τηλεφωνικών υπηρεσιών ζήτησε να μη δημοσιεύει πλέον τα δεδομένα προσωπικού χαρακτήρα που τον αφορούν, να λάβει «εύλογα μέτρα», κατά την έννοια του άρθρου 17, παράγραφος 2, του ΓΚΠΔ, προκειμένου να ενημερώσει τους παρόχους μηχανών αναζητήσεως για την εν λόγω αίτηση διαγραφής δεδομένων.
Γίνεται υπόμνηση ότι η διαδικασία εκδόσεως προδικαστικής αποφάσεως παρέχει στα δικαστήρια των κρατών μελών τη δυνατότητα να υποβάλουν στο Δικαστήριο, στο πλαίσιο της ένδικης διαφοράς της οποίας έχουν επιληφθεί, ερώτημα σχετικό με την ερμηνεία του δικαίου της Ένωσης ή με το κύρος πράξεως οργάνου της Ένωσης. Το Δικαστήριο δεν αποφαίνεται επί της διαφοράς που εκκρεμεί ενώπιον του εθνικού δικαστηρίου. Στο εθνικό δικαστήριο εναπόκειται να επιλύσει τη διαφορά αυτή, λαμβάνοντας υπόψη την απόφαση του Δικαστηρίου. Η απόφαση αυτή δεσμεύει, ομοίως, άλλα εθνικά δικαστήρια ενώπιον των οποίων ανακύπτει παρόμοιο ζήτημα.
Το πλήρες κείμενο της απόφασης είναι διαθέσιμο στην ιστοσελίδα CURIA
Επιμέλεια: Γεώργιος Π. Κανέλλος
Πηγή: lawspot.gr
