ΔΕΕ υπόθ. C-252/21, απόφ. της 4.7.2023 Προδικαστική παραπομπή - Επεξεργασία προσωπικών δεδομένων - Κανονισμός (ΕΕ) 2016/679 - Κατάχρηση δεσπόζουσας θέσης από την επιχείρηση η οποία έχει την εκμετάλλευση ηλεκτρονικού μέσου κοινωνικής δικτύωσης

Προσωρινό κείμενο
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τμήμα μείζονος συνθέσεως)
της 4ης Ιουλίου 2023
Στην υπόθεση C‑252/21,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Oberlandesgericht Ντίσελντορφ (ανώτερο περιφερειακό δικαστήριο Ντίσελντορφ, Γερμανία) με απόφαση της 24ης Μαρτίου 2021, η οποία περιήλθε στο Δικαστήριο στις 22 Απριλίου 2021, στο πλαίσιο της δίκης
Meta Platforms Inc., πρώην Facebook Inc.,
Meta Platforms Ireland Ltd, πρώην Facebook Ireland Ltd,
Facebook Deutschland GmbH
κατά
Bundeskartellamt,
παρισταμένης της:
Verbraucherzentrale Bundesverband eV,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τμήμα μείζονος συνθέσεως),
συγκείμενο από τους K. Lenaerts, Πρόεδρο, L. Bay Larsen, Αντιπρόεδρο, A. Prechal, K. Jürimäe, Κ. Λυκούργο, M. Safjan, L. S. Rossi (εισηγήτρια), Δ. Γρατσία και M. L. Arastey Sahún, προέδρους τμήματος, J.‑C. Bonichot, S. Rodin, F. Biltgen, M. Gavalec, Z. Csehi και O. Spineanu-Matei, δικαστές,
γενικός εισαγγελέας: Α. Ράντος
γραμματέας: D. Dittert, προϊστάμενος μονάδας,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 10ης Μαΐου 2022,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– οι Meta Platforms Inc., πρώην Facebook Inc., Meta Platforms Ireland Ltd, πρώην Facebook Ireland Ltd, και Facebook Deutschland GmbH, εκπροσωπούμενες από τους M. Braun, M. Esser, L. Hesse, J. Höft και H.-G. Kamann, Rechtsanwälte,
– η Bundeskartellamt, εκπροσωπούμενη από τους J. Nothdurft και K. Ost καθώς και από τις I. Sewczyk και J. Topel,
– η Verbraucherzentrale Bundesverband eV, εκπροσωπούμενη από τον S. Louven, Rechtsanwalt,
– η Γερμανική Κυβέρνηση, εκπροσωπούμενη από τους J. Möller και P.‑L. Krüger,
– η Τσεχική Κυβέρνηση, εκπροσωπούμενη από τους M. Smolek και J. Vláčil,
– η Ιταλική Κυβέρνηση, εκπροσωπούμενη από την G. Palmieri, επικουρούμενη από τους E. De Bonis και P. Gentili, avvocati dello Stato,
– η Αυστριακή Κυβέρνηση, εκπροσωπούμενη από τον A. Posch, την J. Schmoll και τον G. Kunnert,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους F. Erlbacher, H. Kranenborg και G. Meessen,
αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 20ής Σεπτεμβρίου 2022,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 4, παράγραφος 3, ΣΕΕ καθώς και του άρθρου 6, παράγραφος 1, του άρθρου 9, παράγραφοι 1 και 2, του άρθρου 51, παράγραφος 1, και του άρθρου 56, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικά ΕΕ 2018, L 127, σ. 2, και ΕΕ 2021, L 74, σ. 35, στο εξής: ΓΚΠΔ ή κανονισμός).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ, αφενός, της Meta Platforms Inc., πρώην Facebook Inc., της Meta Platforms Ireland Ltd, πρώην Facebook Ireland Ltd, και της Facebook Deutschland GmbH και, αφετέρου, της Bundeskartellamt (ομοσπονδιακής αρχής ανταγωνισμού, Γερμανία), με αντικείμενο την απόφαση της τελευταίας να απαγορεύσει στις εταιρίες αυτές να προβαίνουν στην επεξεργασία ορισμένων δεδομένων προσωπικού χαρακτήρα την οποία προβλέπουν οι γενικοί όροι χρήσης του κοινωνικού δικτύου «Facebook» (στο εξής: γενικοί όροι).
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
Ο κανονισμός (ΕΚ) 1/2003
3 Το άρθρο 5 του κανονισμού (ΕΚ) 1/2003 του Συμβουλίου, της 16ης Δεκεμβρίου 2002, για την εφαρμογή των κανόνων ανταγωνισμού που προβλέπονται στα άρθρα [101 και 102 ΣΛΕΕ] (ΕΕ 2003, L 1, σ. 1), επιγράφεται «Αρμοδιότητες των αρχών ανταγωνισμού των κρατών μελών» και ορίζει τα εξής:
«Οι αρχές ανταγωνισμού των κρατών μελών είναι αρμόδιες να εφαρμόζουν τα άρθρα [101 και 102 ΣΛΕΕ] σε συγκεκριμένες περιπτώσεις. Προς τον σκοπό αυτό, δύνανται, αυτεπαγγέλτως ή κατόπιν καταγγελίας, να εκδίδουν τις ακόλουθες αποφάσεις:
– για την παύση της παράβασης,
– για τη λήψη προσωρινών μέτρων,
– για την αποδοχή ανάληψης δεσμεύσεων,
– για την επιβολή προστίμου, χρηματικής ποινής ή κάθε άλλης κύρωσης προβλεπόμενης από την εθνική τους νομοθεσία.
Εάν με βάση τις πληροφορίες που διαθέτουν διαπιστώσουν ότι δεν πληρούνται οι προϋποθέσεις μιας απαγόρευσης, δύνανται επίσης να αποφαίνονται ότι δεν συντρέχει λόγος δράσης από μέρους τους.»
Ο ΓΚΠΔ
4 Οι αιτιολογικές σκέψεις 1, 4, 38, 42, 43, 46, 47, 49 και 51 του ΓΚΠΔ έχουν ως εξής:
«(1) Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα. Το άρθρο 8, παράγραφος 1, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (“Χάρτης”) και το άρθρο 16, παράγραφος 1, [ΣΛΕΕ] ορίζουν ότι κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.
[...]
(4) Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται να εξυπηρετεί τον άνθρωπο. Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα· πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο παρών κανονισμός σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη όπως κατοχυρώνονται στις Συνθήκες, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
[...]
(38) Τα παιδιά απαιτούν ειδική προστασία όσον αφορά τα δεδομένα τους προσωπικού χαρακτήρα, καθώς τα παιδιά μπορεί να έχουν μικρότερη επίγνωση των σχετικών κινδύνων, συνεπειών και εγγυήσεων και των δικαιωμάτων τους σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Αυτή η ειδική προστασία θα πρέπει να ισχύει ιδίως στη χρήση των δεδομένων προσωπικού χαρακτήρα με σκοπό την εμπορία ή τη δημιουργία προφίλ προσωπικότητας ή προφίλ χρήστη και τη συλλογή δεδομένων προσωπικού χαρακτήρα όσον αφορά παιδιά κατά τη χρήση υπηρεσιών που προσφέρονται άμεσα σε ένα παιδί. Η συγκατάθεση του γονέα ή κηδεμόνα δεν θα πρέπει να είναι απαραίτητη σε συνάρτηση με υπηρεσίες πρόληψης ή παροχής συμβουλών που προσφέρονται άμεσα σε ένα παιδί.
[...]
(42) Όταν η επεξεργασία βασίζεται στη συναίνεση του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας θα πρέπει να είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε στη πράξη επεξεργασίας.
[...] Για να θεωρηθεί η συγκατάθεση εν επιγνώσει, το υποκείμενο των δεδομένων θα πρέπει να γνωρίζει τουλάχιστον την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα προσωπικού χαρακτήρα. Η συγκατάθεση δεν θα πρέπει να θεωρείται ότι δόθηκε ελεύθερα αν το υποκείμενο των δεδομένων δεν έχει αληθινή ή ελεύθερη επιλογή ή δεν είναι σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεσή του χωρίς να ζημιωθεί.
(43) Για να διασφαλιστεί ότι η συγκατάθεση έχει δοθεί ελεύθερα, η συγκατάθεση δεν θα πρέπει να παρέχει έγκυρη νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε μια συγκεκριμένη περίπτωση, όταν υπάρχει σαφής ανισότητα μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, ιδίως στις περιπτώσεις που ο υπεύθυνος επεξεργασίας είναι δημόσια αρχή και είναι επομένως σχεδόν απίθανο να έχει παρασχεθεί η συγκατάθεση ελεύθερα σε όλες τις περιστάσεις αυτής της ειδικής κατάστασης. Η συγκατάθεση θεωρείται ότι δεν έχει παρασχεθεί ελεύθερα, εάν δεν επιτρέπεται να δοθεί χωριστή συγκατάθεση σε διαφορετικές πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ακόμη και αν ενδείκνυται στη συγκεκριμένη περίπτωση, ή όταν η εκτέλεση μιας σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, προϋποθέτει τη συγκατάθεση, ακόμη και αν η συγκατάθεση αυτή δεν είναι αναγκαία για την εν λόγω εκτέλεση.
[...]
(46) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει επίσης να θεωρείται σύννομη όταν είναι αναγκαία για την προστασία συμφέροντος που είναι ουσιώδες για τη ζωή του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα με βάση το ζωτικό συμφέρον άλλου φυσικού προσώπου θα πρέπει κατ’ αρχήν να διενεργείται μόνο εάν είναι πρόδηλο ότι η επεξεργασία δεν μπορεί να έχει άλλη νομική βάση. Ορισμένοι τύποι επεξεργασίας μπορούν να χρησιμεύσουν αφενός για σημαντικούς λόγους δημόσιου συμφέροντος και αφετέρου για τα ζωτικά συμφέροντα του υποκειμένου των δεδομένων, όπως, για παράδειγμα, όταν η επεξεργασία είναι απαραίτητη για ανθρωπιστικούς σκοπούς, μεταξύ άλλων για την παρακολούθηση επιδημιών και της εξάπλωσής τους ή σε καταστάσεις επείγουσας ανθρωπιστικής ανάγκης, ιδίως δε σε περιπτώσεις φυσικών και ανθρωπογενών καταστροφών.
(47) Τα έννομα συμφέροντα του υπευθύνου επεξεργασίας, περιλαμβανομένων εκείνων ενός υπευθύνου επεξεργασίας στον οποίο μπορούν να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα ή τρίτων, μπορεί να παρέχουν τη νομική βάση για την επεξεργασία, υπό τον όρο ότι δεν υπερισχύουν των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων, λαμβάνοντας υπόψη τις θεμιτές προσδοκίες των υποκειμένων των δεδομένων βάσει της σχέσης τους με τον υπεύθυνο επεξεργασίας.
[...] Εν πάση περιπτώσει η ύπαρξη έννομου συμφέροντος θα χρειαζόταν προσεκτική αξιολόγηση, μεταξύ άλλων ως προς το κατά πόσον το υποκείμενο των δεδομένων, κατά τη χρονική στιγμή και στο πλαίσιο της συλλογής των δεδομένων προσωπικού χαρακτήρα, μπορεί εύλογα να αναμένει ότι για τον σκοπό αυτό μπορεί να πραγματοποιηθεί επεξεργασία. Ειδικότερα, τα συμφέροντα και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων θα μπορούσαν να υπερισχύουν των συμφερόντων του υπευθύνου επεξεργασίας, όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία σε περιπτώσεις κατά τις οποίες το υποκείμενο των δεδομένων δεν αναμένει ευλόγως περαιτέρω επεξεργασία των δεδομένων του.
[...] H επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άμεσης εμπορικής προώθησης μπορεί να θεωρηθεί ότι διενεργείται χάριν έννομου συμφέροντος.
[...]
(49) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα, στον βαθμό που είναι αυστηρά αναγκαία και ανάλογη για τους σκοπούς της διασφάλισης της ασφάλειας δικτύων και πληροφοριών, δηλαδή της ικανότητας ενός δικτύου ή ενός συστήματος πληροφοριών να ανθίσταται, σε ένα δεδομένο επίπεδο εμπιστοσύνης, σε τυχαία γεγονότα ή παράνομες ή κακόβουλες ενέργειες οι οποίες θέτουν σε κίνδυνο τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα αποθηκευμένων ή διαβιβαζόμενων δεδομένων προσωπικού χαρακτήρα, καθώς και της ασφάλειας των σχετικών υπηρεσιών που προσφέρουν τα εν λόγω δίκτυα και συστήματα, [...] αποτελεί έννομο συμφέρον του ενδιαφερόμενου υπευθύνου επεξεργασίας δεδομένων.
[...]
(51) Δεδομένα προσωπικού χαρακτήρα τα οποία είναι εκ φύσεως ιδιαίτερα ευαίσθητα σε σχέση με θεμελιώδη δικαιώματα και ελευθερίες χρήζουν ειδικής προστασίας, καθότι το πλαίσιο της επεξεργασίας τους θα μπορούσε να δημιουργήσει σημαντικούς κινδύνους για τα θεμελιώδη δικαιώματα και τις ελευθερίες. Τα εν λόγω δεδομένα προσωπικού χαρακτήρα θα πρέπει να περιλαμβάνουν δεδομένα προσωπικού χαρακτήρα που αποκαλύπτουν φυλετική ή εθνοτική καταγωγή, όπου η χρήση του όρου “φυλετική καταγωγή” στον παρόντα κανονισμό δεν συνεπάγεται ότι η [Ευρωπαϊκή] Ένωση αποδέχεται θεωρίες που υποστηρίζουν την ύπαρξη χωριστών ανθρώπινων φυλών. Η επεξεργασία φωτογραφιών δεν θα πρέπει συστηματικά να θεωρείται ότι είναι επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, καθώς αυτές καλύπτονται από τον ορισμό των βιομετρικών δεδομένων μόνο σε περίπτωση επεξεργασίας μέσω ειδικών τεχνικών μέσων που επιτρέπουν την αδιαμφισβήτητη ταυτοποίηση ή επαλήθευση της ταυτότητας ενός φυσικού προσώπου. Τέτοια δεδομένα προσωπικού χαρακτήρα δεν θα πρέπει να υποβάλλονται σε επεξεργασία, εκτός εάν η επεξεργασία επιτρέπεται σε ειδικές περιπτώσεις που προβλέπονται στον παρόντα κανονισμό, λαμβάνοντας υπόψη ότι το δίκαιο των κρατών μελών μπορεί να προβλέπει ειδικές διατάξεις για την προστασία των δεδομένων, προκειμένου να προσαρμόζεται η εφαρμογή των κανόνων του παρόντος κανονισμού λόγω συμμόρφωσης προς νομική υποχρέωση ή λόγω εκπλήρωσης καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. Εκτός από τις ειδικές απαιτήσεις στις οποίες υπάγεται η εν λόγω επεξεργασία, θα πρέπει να εφαρμόζονται οι γενικές αρχές και οι λοιποί κανόνες του παρόντος κανονισμού, ιδίως σε ό,τι αφορά τους όρους νόμιμης επεξεργασίας. Παρεκκλίσεις από τη γενική απαγόρευση επεξεργασίας δεδομένων προσωπικού χαρακτήρα που υπάγονται στις εν λόγω ειδικές κατηγορίες θα πρέπει να προβλέπονται ρητώς, μεταξύ άλλων, σε περίπτωση ρητής συγκατάθεσης του υποκειμένου των δεδομένων ή όταν πρόκειται για ειδικές ανάγκες, ιδίως όταν η επεξεργασία διενεργείται στο πλαίσιο θεμιτών δραστηριοτήτων ορισμένων ενώσεων ή ιδρυμάτων, σκοπός των οποίων είναι να επιτρέπουν την άσκηση των θεμελιωδών ελευθεριών.»
5 Το άρθρο 4 του ΓΚΠΔ προβλέπει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· [...]
2) “επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή·
[...]
7) “υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους·
[...]
11) “συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν·
[...]
23) “διασυνοριακή επεξεργασία”:
α) η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία γίνεται στο πλαίσιο των δραστηριοτήτων διάφορων εγκαταστάσεων σε περισσότερα του ενός κράτη μέλη υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία στην Ένωση όπου ο υπεύθυνος επεξεργασίας ή ο εκτελών επεξεργασία είναι εγκατεστημένος σε περισσότερα του ενός κράτη μέλη ή
β) η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία γίνεται στο πλαίσιο των δραστηριοτήτων μίας μόνης εγκατάστασης υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία στην Ένωση αλλά που επηρεάζει ή ενδέχεται να επηρεάσει ουσιωδώς υποκείμενα των δεδομένων σε περισσότερα του ενός κράτη μέλη·
[...]».
6 Το άρθρο 5 του ΓΚΠΔ φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα» και ορίζει στις παραγράφους 1 και 2 τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”)·
β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· [...]
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”)·
[...]
2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»
7 Το άρθρο 6 του ΓΚΠΔ τιτλοφορείται «Νομιμότητα της επεξεργασίας» και έχει ως εξής:
«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς·
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης·
γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας·
δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου·
ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας·
στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
Το στοιχείο στʹ του πρώτου εδαφίου δεν εφαρμόζεται στην επεξεργασία που διενεργείται από δημόσιες αρχές κατά την άσκηση των καθηκόντων τους.
[...]
3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1, στοιχεία γʹ και εʹ, ορίζεται σύμφωνα με:
α) το δίκαιο της Ένωσης, ή
β) το δίκαιο του κράτους μέλος στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας.
[...]
[...] Το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και είναι ανάλογο προς τον επιδιωκόμενο νόμιμο σκοπό.»
8 Το άρθρο 7 του ΓΚΠΔ επιγράφεται «Προϋποθέσεις για συγκατάθεση» και προβλέπει τα εξής:
«1. Όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα.
[...]
4. Κατά την εκτίμηση κατά πόσο η συγκατάθεση δίνεται ελεύθερα, λαμβάνεται ιδιαιτέρως υπόψη κατά πόσο, μεταξύ άλλων, για την εκτέλεση σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, τίθεται ως προϋπόθεση η συγκατάθεση στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που δεν είναι αναγκαία για την εκτέλεση της εν λόγω σύμβασης.»
9 Το άρθρο 9 του ΓΚΠΔ φέρει τον τίτλο «Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα» και ορίζει τα εξής:
«1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.
2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων·
[...]
ε) η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων·
στ) η επεξεργασία είναι απαραίτητη για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων ή όταν τα δικαστήρια ενεργούν υπό τη δικαιοδοτική τους ιδιότητα·
[...]».
10 Το άρθρο 13 του ΓΚΠΔ αφορά τις «[π]ληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων» και προβλέπει στην παράγραφο 1 τα εξής:
«Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:
[...]
γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία·
δ) εάν η επεξεργασία βασίζεται στο άρθρο 6, παράγραφος 1, στοιχείο στʹ, τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο·
[...]».
11 Το κεφάλαιο VI του ΓΚΠΔ αφορά τις «[α]νεξάρτητες εποπτικές αρχές» και περιλαμβάνει τα άρθρα 51 έως 59 του κανονισμού.
12 Το άρθρο 51 του ΓΚΠΔ τιτλοφορείται «Εποπτική αρχή» και προβλέπει στις παραγράφους 1 και 2 τα εξής:
«1. Κάθε κράτος μέλος διασφαλίζει ότι μία ή περισσότερες ανεξάρτητες δημόσιες αρχές επιφορτίζονται με την παρακολούθηση της εφαρμογής του παρόντος κανονισμού, με σκοπό την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της [επεξεργασίας] και τη διευκόλυνση της ελεύθερης κυκλοφορίας δεδομένων προσωπικού χαρακτήρα στην Ένωση […].
2. Κάθε εποπτική αρχή συμβάλλει στη συνεκτική εφαρμογή του παρόντος κανονισμού σε ολόκληρη την Ένωση. Για τον σκοπό αυτόν, οι εποπτικές αρχές συνεργάζονται μεταξύ τους και με την [Ευρωπαϊκή] Επιτροπή σύμφωνα με το κεφάλαιο VII.»
13 Το άρθρο 55 του ΓΚΠΔ επιγράφεται «Αρμοδιότητα» και έχει ως εξής:
«1. Κάθε εποπτική αρχή είναι αρμόδια να εκτελεί τα καθήκοντα και να ασκεί τις εξουσίες που της ανατίθενται σύμφωνα με τον παρόντα κανονισμό στο έδαφος του κράτους μέλους της.
2. Όταν η επεξεργασία γίνεται από δημόσιες αρχές ή ιδιωτικούς φορείς που ενεργούν βάσει του άρθρου 6, παράγραφος 1, στοιχείο γʹ ή εʹ, αρμόδια είναι η εποπτική αρχή του οικείου κράτους μέλους. Σε αυτές τις περιπτώσεις δεν εφαρμόζεται το άρθρο 56.»
14 Το άρθρο 56 του ΓΚΠΔ φέρει τον τίτλο «Αρμοδιότητα της επικεφαλής εποπτικής αρχής» και προβλέπει τα εξής:
«Με την επιφύλαξη του άρθρου 55, η εποπτική αρχή της κύριας ή της μόνης εγκατάστασης του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία είναι αρμόδια να ενεργεί ως επικεφαλής εποπτική αρχή για τις διασυνοριακές πράξεις επεξεργασίας του εν λόγω υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία σύμφωνα με τη διαδικασία που προβλέπεται στο άρθρο 60.»
15 Το άρθρο 57 του ΓΚΠΔ τιτλοφορείται «Κυρώσεις» και ορίζει στην παράγραφο 1 τα εξής:
«Με την επιφύλαξη των άλλων καθηκόντων που ορίζονται στον παρόντα κανονισμό, κάθε εποπτική αρχή στο έδαφός της:
α) παρακολουθεί και επιβάλλει την εφαρμογή του παρόντος κανονισμού·
[...]
ζ) συνεργάζεται, μεταξύ άλλων μέσω ανταλλαγής πληροφοριών, με άλλες εποπτικές αρχές και παρέχει αμοιβαία συνδρομή σε άλλες εποπτικές αρχές, με σκοπό να διασφαλίσει τη συνεκτικότητα της εφαρμογής και της επιβολής του παρόντος κανονισμού·
[...]».
16 Στο άρθρο 58 του ΓΚΠΔ απαριθμούνται σε κατάλογο οι εξουσίες έρευνας τις οποίες διαθέτει κάθε εποπτική αρχή και διευκρινίζεται, στην παράγραφο 5, ότι «[κ]άθε κράτος μέλος προβλέπει διά νόμου ότι η οικεία εποπτική αρχή έχει την εξουσία να γνωστοποιεί στις δικαστικές αρχές τις παραβιάσεις του παρόντος κανονισμού και, κατά περίπτωση, να κινεί ή να μετέχει κατ’ άλλο τρόπο σε νομικές διαδικασίες, ώστε να επιβάλει τις διατάξεις του παρόντος κανονισμού».
17 Στο κεφάλαιο VII του ΓΚΠΔ, το οποίο τιτλοφορείται «Συνεργασία και συνεκτικότητα», περιλαμβάνεται το τμήμα 1 που επιγράφεται «Συνεργασία» και περιέχει τα άρθρα 60 έως 62 του κανονισμού. Το άρθρο 60 αφορά τη «[σ]υνεργασία μεταξύ της επικεφαλής εποπτικής αρχής και των άλλων ενδιαφερόμενων εποπτικών αρχών» και προβλέπει στην παράγραφο 1 τα εξής:
«Η επικεφαλής εποπτική αρχή συνεργάζεται με τις άλλες ενδιαφερόμενες εποπτικές αρχές σύμφωνα με το παρόν άρθρο με σκοπό να επιτύχει συναίνεση. Η επικεφαλής εποπτική αρχή και οι ενδιαφερόμενες εποπτικές αρχές ανταλλάσσουν μεταξύ τους κάθε συναφή πληροφορία.»
18 Το άρθρο 61 του ΓΚΠΔ φέρει τον τίτλο «Αμοιβαία συνδρομή» και ορίζει στην παράγραφο 1 τα εξής:
«Οι εποπτικές αρχές παρέχουν η μια στην άλλη σχετικές πληροφορίες και αμοιβαία συνδρομή, ώστε να υλοποιήσουν και να εφαρμόσουν τον παρόντα κανονισμό με συνεκτικό τρόπο, και θεσπίζουν μέτρα για την αποτελεσματική συνεργασία τους. Η αμοιβαία συνδρομή καλύπτει, ιδίως, αιτήματα παροχής πληροφοριών και μέτρα ελέγχου, παραδείγματος χάρη αιτήματα για προηγούμενες διαβουλεύσεις και εγκρίσεις, ελέγχους και έρευνες.»
19 Το άρθρο 62 του ΓΚΠΔ τιτλοφορείται «Κοινές επιχειρήσεις αρχών ελέγχου» και προβλέπει στις παραγράφους 1 και 2 τα εξής:
«1. Οι εποπτικές αρχές πραγματοποιούν, όταν χρειάζεται, κοινές επιχειρήσεις, μεταξύ άλλων και κοινές έρευνες και κοινά μέτρα επιβολής, στα οποία συμμετέχουν μέλη ή υπάλληλοι από εποπτικές αρχές άλλων κρατών μελών.
2. Όταν ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία είναι εγκατεστημένος σε πολλά κράτη μέλη ή σε περιπτώσεις στις οποίες σημαντικός αριθμός υποκειμένων των δεδομένων σε περισσότερα του ενός κράτη μέλη ενδέχεται να επηρεάζονται σημαντικά από πράξεις επεξεργασίας, μια εποπτική αρχή από καθένα από αυτά τα κράτη μέλη δικαιούται να συμμετέχει στις κοινές επιχειρήσεις.
[...]»
20 Το τμήμα 2 του κεφαλαίου VII του ΓΚΠΔ επιγράφεται «Συνεκτικότητα» και περιλαμβάνει τα άρθρα 63 έως 67 του κανονισμού. Το άρθρο 63 φέρει τον τίτλο «Μηχανισμός συνεκτικότητας» και έχει ως εξής:
«Προκειμένου να συμβάλλουν στη συνεκτική εφαρμογή του παρόντος κανονισμού στο σύνολο της Ένωσης, οι εποπτικές αρχές συνεργάζονται μεταξύ τους και, εφόσον απαιτείται, με την Επιτροπή, μέσω του μηχανισμού συνεκτικότητας όπως προβλέπεται στο παρόν τμήμα.»
21 Κατά το άρθρο 64, παράγραφος 2, του ΓΚΠΔ:
«Κάθε εποπτική αρχή, ο Πρόεδρος του Συμβουλίου Προστασίας Δεδομένων ή η Επιτροπή μπορεί να ζητήσει την εξέταση οποιουδήποτε ζητήματος γενικής εφαρμογής ή ζητήματος που παράγει αποτελέσματα σε περισσότερα από ένα κράτη μέλη από το Συμβούλιο Προστασίας Δεδομένων, με σκοπό την έκδοση γνωμοδότησης, ιδίως όταν αρμόδια εποπτική αρχή δεν συμμορφώνεται προς τις υποχρεώσεις περί αμοιβαίας συνδρομής σύμφωνα με το άρθρο 61 ή περί κοινών επιχειρήσεων σύμφωνα με το άρθρο 62.»
22 Το άρθρο 65 του ΓΚΠΔ τιτλοφορείται «Επίλυση διαφορών από το Συμβούλιο Προστασίας Δεδομένων» και προβλέπει στην παράγραφο 1 τα εξής:
«Προκειμένου να διασφαλίζεται η ορθή και συνεκτική εφαρμογή του παρόντος κανονισμού σε μεμονωμένες περιπτώσεις, το Συμβούλιο Προστασίας Δεδομένων εκδίδει δεσμευτική απόφαση στις ακόλουθες περιπτώσεις:
α) όταν, στην περίπτωση που αναφέρεται στο άρθρο 60, παράγραφος 4, η ενδιαφερόμενη εποπτική αρχή έχει διατυπώσει σχετική και αιτιολογημένη ένσταση ως προς σχέδιο απόφασης της επικεφαλής αρχής ή η επικεφαλής αρχή έχει απορρίψει την εν λόγω ένσταση ως μη σχετική ή αιτιολογημένη. Η δεσμευτική απόφαση αφορά όλα τα θέματα που αποτελούν το αντικείμενο της σχετικής και αιτιολογημένης ένστασης, ιδίως όταν υπάρχει παράβαση του παρόντος κανονισμού·
β) όταν υπάρχουν αντικρουόμενες απόψεις σχετικά με το ποια από τις ενδιαφερόμενες εποπτικές αρχές είναι αρμόδια για την κύρια εγκατάσταση·
[...]».
Το γερμανικό δίκαιο
23 Το άρθρο 19, παράγραφος 1, του Gesetz gegen Wettbewerbsbeschränkungen (νόμου κατά των περιορισμών του ανταγωνισμού), όπως δημοσιεύθηκε στις 26 Ιουνίου 2013 (BGBl. 2013 I, σ. 1750, 3245) και μετά την τελευταία τροποποίησή του με το άρθρο 2 του νόμου της 16ης Ιουλίου 2021 (BGBl. 2021 I, σ. 2959) (στο εξής: GWB), ορίζει τα εξής:
«Απαγορεύεται η κατάχρηση δεσπόζουσας θέσης από μία ή περισσότερες επιχειρήσεις.»
24 Κατά το άρθρο 32, παράγραφος 1, του GWB:
«Η αρχή ανταγωνισμού μπορεί να υποχρεώσει επιχειρήσεις ή ενώσεις επιχειρήσεων να παύσουν την παράβαση διατάξεως του παρόντος κεφαλαίου ή του άρθρου 101 ή του άρθρου 102 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης.»
25 Το άρθρο 50f του GWB προβλέπει στην παράγραφο 1 τα εξής:
«Οι αρχές ανταγωνισμού, οι ρυθμιστικές αρχές, ο ομοσπονδιακός υπεύθυνος για την προστασία των δεδομένων και της ελεύθερης πληροφόρησης, οι περιφερειακοί υπεύθυνοι για την προστασία των δεδομένων, καθώς και οι αρμόδιες αρχές κατά το άρθρο 2 του EU-Verbraucherschutzdurchführungsgesetz [νόμου περί εφαρμογής του δικαίου προστασίας των καταναλωτών της Ευρωπαϊκής Ένωσης] μπορούν, ανεξαρτήτως της επιλεγείσας διαδικασίας, να ανταλλάσσουν πληροφορίες, συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα και των πληροφοριών που καλύπτονται από εμπορικό και επιχειρηματικό απόρρητο, εφόσον τούτο είναι αναγκαίο για την εκτέλεση των αντίστοιχων καθηκόντων τους, καθώς και να χρησιμοποιούν τις πληροφορίες αυτές στο πλαίσιο των διαδικασιών τους.
[...]»
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
26 Η Meta Platforms Ireland διαχειρίζεται τη λειτουργία του ηλεκτρονικού μέσου κοινωνικής δικτύωσης Facebook στην Ένωση και προωθεί, μέσω της διεύθυνσης www.facebook.com, υπηρεσίες οι οποίες είναι δωρεάν για τους ιδιώτες χρήστες. Άλλες επιχειρήσεις του ομίλου Meta παρέχουν, εντός της Ένωσης, άλλες διαδικτυακές υπηρεσίες όπως το Instagram, το WhatsApp, το Oculus και –μέχρι τις 13 Μαρτίου 2020– το Masquerade.
27 Το οικονομικό μοντέλο του ηλεκτρονικού μέσου κοινωνικής δικτύωσης Facebook στηρίζεται στη χρηματοδότηση από τη διαδικτυακή διαφήμιση, η οποία είναι ειδικά προσαρμοσμένη σε κάθε μεμονωμένο χρήστη του κοινωνικού δικτύου, ανάλογα με τις καταναλωτικές του συνήθειες, τα ενδιαφέροντά του, την αγοραστική του δύναμη και την προσωπική του κατάσταση. Το συγκεκριμένο είδος διαφήμισης καθίσταται, από τεχνικής απόψεως, δυνατό χάρη στην αυτοματοποιημένη κατάρτιση λεπτομερών προφίλ των χρηστών του δικτύου και των διαδικτυακών υπηρεσιών που παρέχονται στο επίπεδο του ομίλου Meta. Για τον σκοπό αυτό, πέραν των δεδομένων που οι χρήστες παρέχουν απευθείας κατά την εγγραφή τους στις οικείες διαδικτυακές υπηρεσίες, και άλλα δεδομένα σχετικά με τους χρήστες και τις συσκευές τους συλλέγονται, εντός και εκτός του κοινωνικού δικτύου και των παρεχόμενων από τον όμιλο Meta διαδικτυακών υπηρεσιών, και συναρτώνται με τους διαφόρους λογαριασμούς χρήστη καθενός εξ αυτών. Από τη συνολική επισκόπηση των ως άνω δεδομένων μπορούν να αντληθούν λεπτομερή συμπεράσματα ως προς τις προτιμήσεις και τα ενδιαφέροντα των χρηστών.
28 Για την επεξεργασία των δεδομένων, η Meta Platforms Ireland βασίζεται στη σύμβαση χρήσης η οποία συνάπτεται με τους χρήστες του κοινωνικού δικτύου Facebook μέσω της ενεργοποίησης της επιλογής «Εγγραφή» και με την οποία αυτοί αποδέχονται τους γενικούς όρους που θέτει η εταιρία. Η αποδοχή των όρων συνιστά αναγκαία προϋπόθεση της χρήσης του κοινωνικού δικτύου Facebook. Όσον αφορά, ειδικότερα, την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, οι γενικοί όροι παραπέμπουν στην πολιτική της εταιρίας αναφορικά με τη χρήση των δεδομένων και των cookies. Βάσει της πολιτικής αυτής, η Meta Platforms Ireland συλλέγει δεδομένα σχετικά με τους χρήστες και τις συσκευές τους, τα οποία αφορούν τις δραστηριότητές τους εντός και εκτός του κοινωνικού δικτύου, και τα συσχετίζει με τους λογαριασμούς τους στο Facebook. Ως προς τα τελευταία αυτά δεδομένα, σχετικά με τις δραστηριότητες εκτός του κοινωνικού δικτύου (καλούμενα επίσης στο εξής: εκτός Facebook δεδομένα), πρόκειται, αφενός, για δεδομένα τα οποία αφορούν τις επισκέψεις σε τρίτους ιστοτόπους [στο εξής: ιστοσελίδες] και σε τρίτες εφαρμογές που συνδέονται με το Facebook μέσω διεπαφών προγραμματισμού –των «Outils Facebook Business»– και, αφετέρου, για δεδομένα τα οποία σχετίζονται με τη χρήση άλλων διαδικτυακών υπηρεσιών που ανήκουν στον όμιλο Meta, όπως το Instagram, το WhatsApp, το Oculus και –μέχρι τις 13 Μαρτίου 2020– το Masquerade.
29 Η ομοσπονδιακή αρχή ανταγωνισμού κίνησε κατά των Meta Platforms, Meta Platforms Ireland και Facebook Deutschland διαδικασία κατά το πέρας της οποίας τους απαγόρευσε με απόφαση της 6ης Φεβρουαρίου 2019, εκδοθείσα βάσει του άρθρου 19, παράγραφος 1, και του άρθρου 32 του GWB, να προβλέπουν στους γενικούς όρους, ως προϋπόθεση για τη χρήση του Facebook από ιδιώτες που κατοικούν στη Γερμανία, ότι θα επιτρέπεται η επεξεργασία των εκτός Facebook δεδομένων των χρηστών αυτών, καθώς και να προβαίνουν, χωρίς τη συγκατάθεση των τελευταίων, σε επεξεργασία των εν λόγω δεδομένων δυνάμει των γενικών όρων όπως ίσχυαν τότε. Επιπλέον, τους επέβαλε την υποχρέωση να προσαρμόσουν τους γενικούς όρους ώστε να προκύπτει σαφώς ότι τέτοια δεδομένα δεν θα συλλέγονται ούτε θα συσχετίζονται με τους λογαριασμούς χρηστών Facebook ούτε θα χρησιμοποιούνται χωρίς τη συγκατάθεση του ενδιαφερόμενου χρήστη, και διευκρίνισε ότι η συγκατάθεση δεν είναι έγκυρη σε περίπτωση που αποτελεί προϋπόθεση χρήσης του κοινωνικού δικτύου.
30 Η ομοσπονδιακή αρχή ανταγωνισμού στήριξε την αιτιολογία της αποφάσεώς της στο ότι η επεξεργασία των δεδομένων των οικείων χρηστών, όπως προβλεπόταν από τους γενικούς όρους και πραγματοποιούνταν από τη Meta Platforms Ireland, συνιστούσε καταχρηστική εκμετάλλευση της δεσπόζουσας θέσης της εταιρίας στην αγορά των ηλεκτρονικών μέσων κοινωνικής δικτύωσης για τους ιδιώτες χρήστες στη Γερμανία, κατά την έννοια του άρθρου 19, παράγραφος 1, του GWB. Πιο συγκεκριμένα, κατά την ομοσπονδιακή αρχή ανταγωνισμού, οι γενικοί όροι, ως εκδήλωση της δεσπόζουσας αυτής θέσης, είναι καταχρηστικοί, εφόσον η προβλεπόμενη από τους γενικούς όρους επεξεργασία των εκτός Facebook δεδομένων δεν συνάδει με τις αξίες στις οποίες εδράζεται ο ΓΚΠΔ και, ειδικότερα, δεν μπορεί να δικαιολογηθεί βάσει του άρθρου 6, παράγραφος 1, και του άρθρου 9, παράγραφος 2, του κανονισμού.
31 Στις 11 Φεβρουαρίου 2019 οι Meta Platforms, Meta Platforms Ireland και Facebook Deutschland άσκησαν προσφυγή κατά της αποφάσεως της ομοσπονδιακής αρχής ανταγωνισμού ενώπιον του Oberlandesgericht Düsseldorf (ανωτέρου περιφερειακού δικαστηρίου Ντίσελντορφ, Γερμανία).
32 Στις 31 Ιουλίου 2019 η Meta Platforms Ireland άρχισε να εφαρμόζει νέους γενικούς όρους χρήσης, όπου αναφερόταν ρητώς ότι ο χρήστης, αντί πληρωμής για τη χρήση των προϊόντων Facebook, δηλώνει ότι συγκατατίθεται στην προβολή διαφημίσεων.
33 Επιπλέον, από τις 28 Ιανουαρίου 2020 η Meta Platforms παρέχει, σε παγκόσμιο επίπεδο, την υπηρεσία Off-Facebook-Activity, χάρη στην οποία ο χρήστης του κοινωνικού δικτύου Facebook μπορεί να λαμβάνει μια συνοπτική εικόνα των πληροφοριών που τον αφορούν και που έχουν συλλεγεί από τις εταιρίες του ομίλου Meta σε σχέση με τις δικές του δραστηριότητες σε άλλες ιστοσελίδες και εφαρμογές και να διαχωρίζει, εφόσον το επιθυμεί, τα δεδομένα αυτά από τον λογαριασμό του στο Facebook τόσο για το παρελθόν όσο και για το μέλλον.
34 Το Oberlandesgericht Düsseldorf (ανώτερο περιφερειακό δικαστήριο Ντίσελντορφ) διατηρεί αμφιβολίες, πρώτον, ως προς τη δυνατότητα των εθνικών αρχών ανταγωνισμού να ελέγχουν, στο πλαίσιο της άσκησης των δραστηριοτήτων τους, το αν μια επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύμφωνη με τις απαιτήσεις του ΓΚΠΔ, δεύτερον, ως προς τη δυνατότητα επιχείρησης που έχει την εκμετάλλευση ηλεκτρονικού μέσου κοινωνικής δικτύωσης να επεξεργάζεται τα ευαίσθητα προσωπικά δεδομένα του υποκειμένου των δεδομένων, κατά την έννοια του άρθρου 9, παράγραφοι 1 και 2, του κανονισμού, τρίτον, ως προς τη νομιμότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα του ενδιαφερόμενου χρήστη από τέτοια επιχείρηση δυνάμει του άρθρου 6, παράγραφος 1, του κανονισμού και, τέταρτον, ως προς το κύρος, υπό το πρίσμα του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, και του άρθρου 9, παράγραφος 2, στοιχείο αʹ, του κανονισμού, της συγκατάθεσης που δίνεται, για τους σκοπούς μιας τέτοιας επεξεργασίας, σε επιχείρηση η οποία κατέχει δεσπόζουσα θέση στην εθνική αγορά ηλεκτρονικών μέσων κοινωνικής δικτύωσης.
35 Στο πλαίσιο αυτό, το Oberlandesgericht Düsseldorf (ανώτερο περιφερειακό δικαστήριο Ντίσελντορφ), εκτιμώντας ότι η έκβαση της διαφοράς της κύριας δίκης εξαρτάται από την επίλυση των ως άνω ζητημάτων, αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) α) Συνάδει με τα άρθρα 51 επ. του ΓΚΠΔ περίπτωση κατά την οποία εθνική αρχή ανταγωνισμού κράτους μέλους, όπως η [ομοσπονδιακή αρχή ανταγωνισμού], η οποία δεν είναι εποπτική αρχή κατά την έννοια των άρθρων 51 επ. του ΓΚΠΔ, στο πλαίσιο ελέγχου καταχρηστικών από την άποψη του δικαίου του ανταγωνισμού πρακτικών σε επιχείρηση που έχει την έδρα της εκτός της Ευρωπαϊκής Ένωσης και διατηρεί στο εν λόγω κράτος μέλος εγκατάσταση επιφορτισμένη με την παροχή υποστήριξης στους τομείς της διαφήμισης, της επικοινωνίας και των δημοσίων σχέσεων προς την ευρισκόμενη σε άλλο κράτος μέλος κύρια εγκατάσταση της επιχείρησης αυτής η οποία είναι αποκλειστικώς υπεύθυνη για την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ευρωπαϊκή Ένωση, διαπιστώνει ότι οι συμβατικοί όροι της κύριας εγκατάστασης σχετικά με την επεξεργασία των δεδομένων, καθώς και η εφαρμογή των όρων αυτών, συνιστούν παράβαση του ΓΚΠΔ και διατάσσει την παύση της παραβάσεως αυτής;
β) Εάν η απάντηση είναι καταφατική: Συνάδει με τη διάταξη του άρθρου 4, παράγραφος 3, ΣΕΕ, το να διεξάγεται συγχρόνως από την επικεφαλής εποπτική αρχή, στο κράτος μέλος της κύριας εγκατάστασης, διαδικασία ελέγχου σύμφωνα με το άρθρο 56, παράγραφος 1, του ΓΚΠΔ, με αντικείμενο τους συμβατικούς όρους της τελευταίας σχετικά με την επεξεργασία δεδομένων;
Εάν η απάντηση στο πρώτο ερώτημα είναι καταφατική:
2) α) Υπάρχει επεξεργασία ευαίσθητων δεδομένων προσωπικού χαρακτήρα κατά την έννοια του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, στην περίπτωση που ο χρήστης του διαδικτύου, είτε απλώς επισκέπτεται ιστοσελίδες ή εφαρμογές που έχουν σχέση με τα κριτήρια της ως άνω διατάξεως, όπως εφαρμογές αναζήτησης συντρόφων, εφαρμογές γνωριμιών για ομοφυλόφιλους, ιστοσελίδες πολιτικών κομμάτων ή ιστοσελίδες για θέματα υγείας, είτε εισάγει δεδομένα, για παράδειγμα κατά την εγγραφή του ή κατά την πραγματοποίηση παραγγελιών, και μια […] επιχείρηση, όπως η [Meta Platforms Ireland], μέσω ενσωματωμένων διεπαφών, όπως τα “Εργαλεία Facebook Business”, ή μέσω cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη του διαδικτύου, ή μέσω παρόμοιων τεχνολογιών αποθήκευσης, συλλέγει τα δεδομένα που αφορούν τις επισκέψεις του χρήστη στις εν λόγω ιστοσελίδες και εφαρμογές καθώς και τα δεδομένα που αυτός εισάγει, συσχετίζει τα εν λόγω δεδομένα με εκείνα του λογαριασμού Facebook του χρήστη και τα χρησιμοποιεί;
β) Εάν η απάντηση είναι καταφατική: Υπάρχει πρόδηλη δημοσιοποίηση των δεδομένων που αφορούν αυτή καθεαυτήν την επίσκεψη ή/και των προσωπικών δεδομένων που εισάγει ο χρήστης, κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, όταν ο χρήστης επισκέπτεται τις εν λόγω ιστοσελίδες και εφαρμογές ή/και καταχωρεί δεδομένα ή/και επιλέγει τα ενσωματωμένα στις εν λόγω ιστοσελίδες ή εφαρμογές πλήκτρα επιλογής ενός παρόχου υπηρεσιών κοινωνικής δικτύωσης όπως η [Meta Platforms Ireland] (“plugins” κοινωνικών δικτύων, όπως “Μου αρέσει”, “Κοινοποίηση” ή “Σύνδεση Facebook” ή “Account Kit”);
3) Μπορεί μια επιχείρηση όπως η [Meta Platforms Ireland], η οποία εκμεταλλεύεται ένα κοινωνικό δίκτυο που χρηματοδοτείται από διαφημίσεις και η οποία, δυνάμει των όρων χρήσης των υπηρεσιών της, παρέχει εξατομίκευση του περιεχομένου και των διαφημίσεων, ασφάλεια του δικτύου, βελτίωση του προϊόντος καθώς και συνεχή και απρόσκοπτη χρήση όλων των προϊόντων του ομίλου, να ισχυριστεί ότι η επεξεργασία των δεδομένων δικαιολογείται λόγω του ότι είναι απαραίτητη για την εκτέλεση της σύμβασης, σύμφωνα με το άρθρο 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, ή λόγω του ότι αποσκοπεί στην επιδίωξη έννομων συμφερόντων, σύμφωνα με το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, όταν η εν λόγω επιχείρηση, προς εξυπηρέτηση των ανωτέρω σκοπών, συλλέγει δεδομένα που προέρχονται από άλλες υπηρεσίες του ομίλου και από ιστοσελίδες και εφαρμογές τρίτων, μέσω ενσωματωμένων στις εν λόγω ιστοσελίδες και εφαρμογές διεπαφών, όπως τα “Εργαλεία Facebook Business”, είτε μέσω cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη του διαδικτύου, είτε μέσω παρόμοιων τεχνολογιών αποθήκευσης, συσχετίζει τα εν λόγω δεδομένα με τον λογαριασμό Facebook του χρήστη και τα χρησιμοποιεί;
4) Σε μια τέτοια περίπτωση, μπορούν να θεωρηθούν ως έννομα συμφέροντα κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ
– η ανηλικότητα του χρήστη, σε σχέση με τους σκοπούς εξατομίκευσης του περιεχομένου και των διαφημίσεων, της βελτίωσης των υπηρεσιών, της ασφάλειας του δικτύου και του αποκλεισμού επικοινωνίας μαζί του για σκοπούς προώθησης πωλήσεων,
– η διάθεση στοιχείων μετρήσεων και αναλύσεων και η παροχή παρόμοιων επαγγελματικών υπηρεσιών προς διαφημιστές, προγραμματιστές και λοιπούς συνεργαζόμενους επαγγελματίες, προκειμένου αυτοί να είναι σε θέση να αξιολογούν και να βελτιώνουν τις υπηρεσίες τους,
– η παροχή δυνατότητας επικοινωνίας με τον χρήστη για σκοπούς προώθησης πωλήσεων, προκειμένου η επιχείρηση να είναι σε θέση να βελτιώνει τα προϊόντα της και να πραγματοποιεί απευθείας πωλήσεις,
– η έρευνα και καινοτομία προς όφελος του κοινωνικού συνόλου, με σκοπό τη βελτίωση του τεχνολογικού επιπέδου και των επιστημονικών γνώσεων σε σχέση με σημαντικά κοινωνικά ζητήματα καθώς και την άσκηση θετικής επιρροής στην κοινωνία και στον κόσμο,
– η ενημέρωση των αρμόδιων διωκτικών και δικαστικών αρχών και η ικανοποίηση νομίμως υποβαλλόμενων αιτημάτων παροχής πληροφοριών, με σκοπό την πρόληψη, διερεύνηση και δίωξη αξιόποινων πράξεων, παραβάσεων των όρων χρήσης και της πολιτικής προστασίας δεδομένων, καθώς και παρόμοιων επιζήμιων συμπεριφορών,
όταν η επιχείρηση, προς εξυπηρέτηση των ανωτέρω σκοπών, συλλέγει δεδομένα που προέρχονται από άλλες υπηρεσίες του ομίλου και από ιστοσελίδες και εφαρμογές τρίτων, μέσω ενσωματωμένων στις εν λόγω ιστοσελίδες και εφαρμογές διεπαφών, όπως τα “Εργαλεία Facebook Business”, ή μέσω cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη του διαδικτύου, ή μέσω παρόμοιων τεχνολογιών αποθήκευσης, συσχετίζει τα εν λόγω δεδομένα με τον λογαριασμό Facebook του χρήστη και τα χρησιμοποιεί;
5) Σε μια τέτοια περίπτωση, είναι δυνατόν η συλλογή δεδομένων που προέρχονται από άλλες υπηρεσίες του ομίλου, καθώς και από ιστοσελίδες και εφαρμογές τρίτων, μέσω ενσωματωμένων στις εν λόγω ιστοσελίδες και εφαρμογές διεπαφών, όπως τα “Εργαλεία Facebook Business”, ή μέσω cookies που αποθηκεύονται στον υπολογιστή ή στην τερματική κινητή συσκευή του χρήστη του διαδικτύου, η συσχέτισή τους με τον λογαριασμό [Facebook] του χρήστη και η χρήση των δεδομένων αυτών ή η χρήση δεδομένων που έχουν ήδη συλλεγεί με άλλον νόμιμο τρόπο και έχουν συσχετισθεί, να δικαιολογούνται, κατά περίπτωση, βάσει του άρθρου 6, παράγραφος 1, στοιχεία γʹ, δʹ, και εʹ, του ΓΚΠΔ, όταν έχουν σκοπό, για παράδειγμα, την ικανοποίηση νομίμως υποβληθέντος αιτήματος παροχής ορισμένων δεδομένων (στοιχείο γʹ), την καταπολέμηση επιζήμιων συμπεριφορών και την ενίσχυση της ασφάλειας (στοιχείο δʹ), την έρευνα προς όφελος της κοινωνίας και την ενίσχυση της προστασίας, της ακεραιότητας και της ασφάλειας (στοιχείο εʹ);
6) Είναι δυνατόν να παρέχεται έγκυρη και, ιδίως, ελεύθερη, κατά το άρθρο 4, σημείο 11, του ΓΚΠΔ, συγκατάθεση σε επιχείρηση που κατέχει δεσπόζουσα θέση, όπως η [Meta Platforms Ireland], σύμφωνα με το άρθρο 6, παράγραφος 1, στοιχείο αʹ, και με το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ;
Σε περίπτωση αρνητικής απάντησης στο πρώτο ερώτημα;
7) α) Δύναται εθνική αρχή ανταγωνισμού κράτους μέλους, όπως η [ομοσπονδιακή αρχή ανταγωνισμού], η οποία δεν αποτελεί εποπτική αρχή κατά την έννοια των άρθρων 51 επ. του ΓΚΠΔ και η οποία διενεργεί έλεγχο για παράβαση της απαγόρευσης των καταχρηστικών πρακτικών στον τομέα του δικαίου του ανταγωνισμού διαπραχθείσα από επιχείρηση που κατέχει δεσπόζουσα θέση, να αποφανθεί, για παράδειγμα στο πλαίσιο της σταθμίσεως των συμφερόντων, και επί του ζητήματος αν οι όροι της εν λόγω επιχείρησης σχετικά με την επεξεργασία δεδομένων και η εφαρμογή των όρων αυτών συνάδουν προς τον ΓΚΠΔ, μολονότι η ελεγχόμενη παράβαση δεν συνιστά παράβαση του ΓΚΠΔ αναγόμενη στους όρους επεξεργασίας των δεδομένων και την εφαρμογή τους;
β) Εάν η απάντηση είναι καταφατική: Ισχύει τούτο, υπό το πρίσμα του άρθρου 4, παράγραφος 3, ΣΕΕ, ακόμη και στην περίπτωση που οι συμβατικοί όροι της εν λόγω επιχείρησης σχετικά με την επεξεργασία δεδομένων ελέγχονται ταυτόχρονα και από την αρμόδια κατά το άρθρο 56, παράγραφος 1, του ΓΚΠΔ επικεφαλής εποπτική αρχή;
Εάν η απάντηση στο έβδομο ερώτημα είναι καταφατική, το τρίτο, το τέταρτο και το πέμπτο ερώτημα είναι αναγκαίο να απαντηθούν και όσον αφορά τα δεδομένα που προέρχονται από τη χρήση της υπηρεσίας Instagram που παρέχεται από επιχείρηση του ίδιου ομίλου.»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου και του έβδομου προδικαστικού ερωτήματος
36 Με το πρώτο και το έβδομο προδικαστικό ερώτημα, τα οποία πρέπει να εξεταστούν από κοινού, το αιτούν δικαστήριο ζητεί κατ’ ουσίαν να διευκρινιστεί αν τα άρθρα 51 επ. του ΓΚΠΔ έχουν την έννοια ότι αρχή ανταγωνισμού κράτους μέλους μπορεί να διαπιστώσει, στο πλαίσιο της εξέτασης της ύπαρξης κατάχρησης δεσπόζουσας θέσης κατά την έννοια του άρθρου 102 ΣΛΕΕ από μια επιχείρηση, ότι οι γενικοί όροι που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα από την επιχείρηση καθώς και η εφαρμογή των όρων αυτών δεν συνάδουν με τον ΓΚΠΔ και, σε περίπτωση καταφατικής απαντήσεως, αν το άρθρο 4, παράγραφος 3, ΣΕΕ έχει την έννοια ότι μια τέτοια παρεμπίπτουσα διαπίστωση εκ μέρους εθνικής αρχής ανταγωνισμού είναι επίσης δυνατή και όταν οι ως άνω όροι αποτελούν, ταυτόχρονα, αντικείμενο διαδικασίας ελέγχου από την αρμόδια επικεφαλής εποπτική αρχή, δυνάμει του άρθρου 56, παράγραφος 1, του ΓΚΠΔ.
37 Προκειμένου να δοθεί απάντηση στο ερώτημα αυτό, πρέπει κατ’ αρχάς να υπενθυμιστεί ότι το άρθρο 55, παράγραφος 1, του ΓΚΠΔ καθιερώνει την κατ’ αρχήν αρμοδιότητα κάθε εποπτικής αρχής να ασκεί τα καθήκοντα και τις εξουσίες που της ανατίθενται, σύμφωνα με τα όσα ορίζει ο κανονισμός, στο έδαφος του κράτους μέλους στο οποίο υπάγεται (απόφαση της 15ης Ιουνίου 2021, Facebook Ireland κ.λπ., C‑645/19, EU:C:2021:483, σκέψη 47 και εκεί μνημονευόμενη νομολογία).
38 Μεταξύ των καθηκόντων που ανατίθενται στις εποπτικές αρχές περιλαμβάνεται ειδικότερα και το καθήκον τους να ελέγχουν την εφαρμογή του ΓΚΠΔ και να μεριμνούν για την τήρησή του, το οποίο προβλέπεται στο άρθρο 51, παράγραφος 1, και στο άρθρο 57, παράγραφος 1, στοιχείο αʹ, του κανονισμού, προκειμένου να προστατεύονται οι ελευθερίες και τα θεμελιώδη δικαιώματα των φυσικών προσώπων από την επεξεργασία των προσωπικών τους δεδομένων και να διευκολύνεται η ελεύθερη κυκλοφορία τέτοιων δεδομένων εντός της Ένωσης. Επιπλέον, βάσει του άρθρου 51, παράγραφος 2, και του άρθρου 57, παράγραφος 1, στοιχείο ζʹ, του ΓΚΠΔ, κάθε εποπτική αρχή συνεργάζεται, μεταξύ άλλων ανταλλάσσοντας πληροφορίες, με τις άλλες εποπτικές αρχές και παρέχουν αμοιβαία συνδρομή ώστε να διασφαλίζεται η συνεκτική εφαρμογή του κανονισμού και των μέτρων που λαμβάνονται προς εξασφάλιση της τήρησής του.
39 Προς εκπλήρωση των καθηκόντων αυτών, το άρθρο 58 του ΓΚΠΔ παρέχει στις εποπτικές αρχές, με την παράγραφο 1, εξουσίες έρευνας, με την παράγραφο 2, την εξουσία να λαμβάνουν διορθωτικά μέτρα και, με την παράγραφο 5, την εξουσία να γνωστοποιούν οποιαδήποτε παραβίαση του κανονισμού στις δικαστικές αρχές και, εφόσον παρίσταται ανάγκη, να κινούν ένδικες διαδικασίες με αντικείμενο την τήρηση της εφαρμογής των διατάξεων του κανονισμού.
40 Υπό την επιφύλαξη του κανόνα αρμοδιότητας του άρθρου 55, παράγραφος 1, του ΓΚΠΔ, το άρθρο 56 παράγραφος 1, προβλέπει, όσον αφορά τις διασυνοριακές επεξεργασίες κατά την έννοια του άρθρου 4, σημείο 23, του κανονισμού, έναν μηχανισμό τύπου «υπηρεσία μιας στάσης», ο οποίος βασίζεται στην κατανομή των αρμοδιοτήτων μεταξύ μίας «επικεφαλής εποπτικής αρχής» και των λοιπών εμπλεκόμενων εποπτικών αρχών, καθώς και στη συνεργασία μεταξύ όλων των αρχών αυτών σύμφωνα με τη διαδικασία την οποία θεσπίζει το άρθρο 60 του κανονισμού.
41 Εξάλλου, το άρθρο 61, παράγραφος 1, του ΓΚΠΔ υποχρεώνει τις εποπτικές αρχές, μεταξύ άλλων, να ανταλλάσσουν τις χρήσιμες πληροφορίες και να παρέχουν αμοιβαία συνδρομή προκειμένου ο κανονισμός να εφαρμόζεται με συνεκτικό τρόπο σε ολόκληρη την Ένωση. Το άρθρο 63 του ΓΚΠΔ καθιστά σαφές ότι γι’ αυτόν ακριβώς τον σκοπό προβλέπεται ο μηχανισμός συνεκτικότητας τον οποίο θεσπίζουν τα άρθρα 64 και 65 του κανονισμού (απόφαση της 15ης Ιουνίου 2021, Facebook Ireland κ.λπ., C‑645/19, EU:C:2021:483, σκέψη 52 και εκεί μνημονευόμενη νομολογία).
42 Πρέπει πάντως να επισημανθεί ότι οι κανόνες συνεργασίας οι οποίοι προβλέπονται στον ΓΚΠΔ δεν απευθύνονται στις εθνικές αρχές ανταγωνισμού, αλλά διέπουν τη συνεργασία μεταξύ των εμπλεκόμενων εθνικών εποπτικών αρχών και της επικεφαλής εποπτικής αρχής καθώς και, στις περιπτώσεις όπου είναι απαραίτητη, τη συνεργασία των αρχών αυτών με το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) και με την Επιτροπή.
43 Ούτε ο ΓΚΠΔ ούτε οποιαδήποτε άλλη ρύθμιση του δικαίου της Ένωσης προβλέπει ειδικούς κανόνες ως προς τη συνεργασία μεταξύ μιας εθνικής αρχής ανταγωνισμού και των εμπλεκόμενων εθνικών εποπτικών αρχών ή της επικεφαλής εποπτικής αρχής. Επιπλέον, καμία διάταξη του ΓΚΠΔ δεν απαγορεύει στις εθνικές αρχές ανταγωνισμού να διαπιστώσουν, στο πλαίσιο της άσκησης των αρμοδιοτήτων τους, ότι μια επεξεργασία δεδομένων η οποία γίνεται από επιχείρηση με δεσπόζουσα θέση και μπορεί να συνιστά κατάχρηση της θέσης αυτής δεν συμβιβάζεται με τον κανονισμό.
44 Επ’ αυτού πρέπει να διευκρινιστεί, πρώτον, ότι οι εθνικές εποπτικές αρχές, αφενός, και οι εθνικές αρχές ανταγωνισμού, αφετέρου, ασκούν διαφορετικά καθήκοντα και έχουν, οι μεν και οι δε, τους δικούς τους σκοπούς και τις δικές τους αποστολές.
45 Πράγματι, αφενός, όπως προεκτέθηκε στη σκέψη 38 της παρούσας αποφάσεως, η εποπτική αρχή έχει, βάσει του άρθρου 51, παράγραφοι 1 και 2, καθώς και του άρθρου 57, παράγραφος 1, στοιχεία αʹ και ζʹ, του ΓΚΠΔ, ως κύρια αποστολή να ελέγχει την εφαρμογή του κανονισμού και να μεριμνά για την τήρησή του, συμβάλλοντας ταυτόχρονα στη συνεκτική εφαρμογή του εντός της Ένωσης, προκειμένου να προστατεύονται οι ελευθερίες και τα θεμελιώδη δικαιώματα των φυσικών προσώπων από την επεξεργασία των προσωπικών τους δεδομένων και να διευκολύνεται η ελεύθερη κυκλοφορία τέτοιων δεδομένων στο εσωτερικό της Ένωσης. Προς τον σκοπό αυτόν, όπως υπενθυμίστηκε στη σκέψη 39 της παρούσας αποφάσεως, η εποπτική αρχή διαθέτει διάφορες εξουσίες που της απονέμονται από το άρθρο 58 του ΓΚΠΔ.
46 Αφετέρου, δυνάμει του άρθρου 5 του κανονισμού 1/2003, οι εθνικές αρχές ανταγωνισμού είναι αρμόδιες να εκδίδουν, μεταξύ άλλων, αποφάσεις περί διαπίστωσης της ύπαρξης κατάχρησης δεσπόζουσας θέσης κατά την έννοια του άρθρου 102 ΣΛΕΕ, το οποίο αποσκοπεί στη θέσπιση συστήματος που διασφαλίζει ότι δεν νοθεύεται ο ανταγωνισμός στην εσωτερική αγορά, λαμβανομένων επίσης υπόψη των συνεπειών μιας τέτοιας κατάχρησης για τους καταναλωτές στην αγορά αυτή.
47 Όπως παρατήρησε και ο γενικός εισαγγελέας στο σημείο 23 των προτάσεών του, η αρχή ανταγωνισμού οφείλει, στο πλαίσιο της έκδοσης τέτοιας αποφάσεως, να εκτιμά βάσει όλων των ειδικών περιστάσεων της εκάστοτε υποθέσεως αν η συμπεριφορά της επιχείρησης που κατέχει δεσπόζουσα θέση έχει ως αποτέλεσμα να παρακωλύεται, λόγω της χρησιμοποίησης μέσων διαφορετικών από εκείνα τα οποία διέπουν τον κανονικό ανταγωνισμό των προϊόντων ή των υπηρεσιών, η διατήρηση του ανταγωνισμού που υφίσταται στην αγορά ή η περαιτέρω ανάπτυξή του (πρβλ. απόφαση της 25ης Μαρτίου 2021, Deutsche Telekom κατά Επιτροπής, C‑152/19 P, EU:C:2021:238, σκέψεις 41 και 42). Από την άποψη αυτή, το ζήτημα αν μια τέτοια συμπεριφορά συμβιβάζεται, ή όχι, με τις διατάξεις του ΓΚΠΔ μπορεί να συνιστά, ενδεχομένως, σημαντική ένδειξη μεταξύ των κρίσιμων περιστάσεων της συγκεκριμένης περιπτώσεως, προκειμένου να διαπιστωθεί αν η συμπεριφορά εξαντλείται στη χρησιμοποίηση μέσων που διέπουν τον κανονικό ανταγωνισμό καθώς και να αξιολογηθούν οι συνέπειες ορισμένης πρακτικής επί της αγοράς ή επί των καταναλωτών.
48 Επομένως, στο πλαίσιο του ελέγχου της ύπαρξης κατάχρησης δεσπόζουσας θέσης από επιχείρηση σε δεδομένη αγορά, μπορεί να είναι αναγκαίο για την αρχή ανταγωνισμού του ενδιαφερόμενου κράτους μέλους να εξετάσει επίσης αν η συμπεριφορά της επιχείρησης είναι σύμφωνη με κανόνες άλλους από εκείνους του δικαίου του ανταγωνισμού, όπως οι προβλεπόμενοι στον ΓΚΠΔ κανόνες οι οποίοι διέπουν την προστασία των δεδομένων προσωπικού χαρακτήρα.
49 Λαμβανομένων όμως υπόψη των διαφορετικών σκοπών που επιδιώκουν οι κανόνες στον τομέα του ανταγωνισμού, και πιο συγκεκριμένα το άρθρο 102 ΣΛΕΕ, αφενός, και οι προβλεπόμενοι στον ΓΚΠΔ κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα, αφετέρου, πρέπει να γίνει δεκτό ότι, όταν εθνική αρχή ανταγωνισμού κρίνει ότι συντρέχει παραβίαση του ΓΚΠΔ στο πλαίσιο της διαπίστωσης περί ύπαρξης κατάχρησης δεσπόζουσας θέσης, δεν υποκαθίσταται στη θέση των εποπτικών αρχών. Ειδικότερα, μια εθνική αρχή ανταγωνισμού δεν ελέγχει την εφαρμογή του ΓΚΠΔ ούτε μεριμνά για την τήρησή του προς επίτευξη του σκοπού που δηλώνεται στο άρθρο 51, παράγραφος 1, του κανονισμού αυτού, ήτοι προκειμένου να προστατεύονται οι ελευθερίες και τα θεμελιώδη δικαιώματα των φυσικών προσώπων από την επεξεργασία των προσωπικών τους δεδομένων και να διευκολύνεται η ελεύθερη κυκλοφορία τέτοιων δεδομένων εντός της Ένωσης. Επιπλέον, η εθνική αρχή ανταγωνισμού, περιοριζόμενη απλώς στο να κρίνει ότι μια επεξεργασία δεδομένων είναι ασυμβίβαστη προς τον ΓΚΠΔ αποκλειστικώς και μόνο για να διαπιστώσει ότι υφίσταται κατάχρηση δεσπόζουσας θέσης και να επιβάλει μέτρα με σκοπό την παύση της κατάχρησης αυτής στηριζόμενη σε νομική βάση προερχόμενη από το δίκαιο του ανταγωνισμού, δεν ασκεί κανένα από τα καθήκοντα στα οποία αναφέρεται το άρθρο 57 του ΓΚΠΔ ούτε κάνει χρήση κάποιας από τις εξουσίες που το άρθρο 58 του ΓΚΠΔ επιφυλάσσει στην εποπτική αρχή.
50 Εξάλλου, επιβάλλεται η διαπίστωση ότι η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα και η εκμετάλλευσή τους έχουν μείζονα σημασία στο πλαίσιο της ψηφιακής οικονομίας. Ενδεικτικό της σημασίας αυτής είναι, στο πλαίσιο της διαφοράς της κύριας δίκης, το οικονομικό μοντέλο της λειτουργίας του κοινωνικού δικτύου Facebook, το οποίο στηρίζεται, όπως υπενθυμίστηκε με τη σκέψη 27 της παρούσας αποφάσεως, στη χρηματοδότηση μέσω των εσόδων από διαφημιστικά μηνύματα που στοχεύουν προσωπικά τον κάθε χρήστη ανάλογα με τα προφίλ χρήστη τα οποία καταρτίζονται βάσει των δεδομένων προσωπικού χαρακτήρα που συλλέγονται από τη Meta Platforms Ireland.
51 Όπως υπογραμμίστηκε ιδίως από την Επιτροπή, η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα και η δυνατότητα επεξεργασίας τους έχουν καταστεί σημαντική παράμετρος του ανταγωνισμού μεταξύ επιχειρήσεων της ψηφιακής οικονομίας. Ως εκ τούτου, αν οι κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα αποκλείονταν από το νομικό πλαίσιο το οποίο οι αρχές ανταγωνισμού πρέπει να λαμβάνουν υπόψη όταν εξετάζουν την ύπαρξη κατάχρησης δεσπόζουσας θέσης, θα αγνοούνταν η πραγματική αυτή εξέλιξη της οικονομίας και θα υπονομευόταν η αποτελεσματικότητα του δικαίου του ανταγωνισμού εντός της Ένωσης.
52 Ωστόσο πρέπει να επισημανθεί, δεύτερον, ότι, σε περίπτωση που εθνική αρχή ανταγωνισμού εκτιμά ότι είναι αναγκαίο, στο πλαίσιο αποφάσεως σχετικής με κατάχρηση δεσπόζουσας θέσης, να αποφανθεί επί του ζητήματος αν μια επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από την ενδιαφερόμενη επιχείρηση συμβιβάζεται, ή όχι, με τον ΓΚΠΔ, τότε η αρχή αυτή και η εμπλεκόμενη εποπτική αρχή ή, ενδεχομένως, η επικεφαλής εποπτική αρχή που είναι αρμόδια δυνάμει του κανονισμού οφείλουν να συνεργαστούν μεταξύ τους προκειμένου να διασφαλιστεί η συνεκτική εφαρμογή του κανονισμού.
53 Πράγματι, μολονότι, όπως προεκτέθηκε στις σκέψεις 42 και 43 της παρούσας αποφάσεως, ούτε ο ΓΚΠΔ ούτε οποιαδήποτε άλλη ρύθμιση του δικαίου της Ένωσης προβλέπει ειδικούς κανόνες συναφώς, γεγονός παραμένει ότι, όπως παρατήρησε ο γενικός εισαγγελέας στο σημείο 28 των προτάσεών του, οι διάφορες εμπλεκόμενες εθνικές αρχές, όταν εφαρμόζουν τον ΓΚΠΔ, δεσμεύονται όλες από την αρχή της καλόπιστης συνεργασίας που καθιερώνεται στο άρθρο 4, παράγραφος 3, ΣΕΕ. Κατά πάγια νομολογία, δυνάμει της αρχής αυτής, τα κράτη μέλη, περιλαμβανομένων των διοικητικών τους αρχών, οφείλουν, στους τομείς που διέπονται από το δίκαιο της Ένωσης, να σέβονται το ένα το άλλο και να αλληλοβοηθούνται κατά την εκπλήρωση των καθηκόντων που υπέχουν από τις Συνθήκες, να λαμβάνουν κάθε μέτρο ικανό να διασφαλίσει την εκτέλεση των υποχρεώσεων που απορρέουν ιδίως από πράξεις των ενωσιακών θεσμικών οργάνων, καθώς και να απέχουν από κάθε μέτρο ικανό να θέσει σε κίνδυνο την υλοποίηση των στόχων της Ένωσης (πρβλ. αποφάσεις της 7ης Νοεμβρίου 2013, UPC Nederland, C‑518/11, EU:C:2013:709, σκέψη 59, και της 1ης Αυγούστου 2022, Sea Watch, C‑14/21 και C‑15/21, EU:C:2022:604, σκέψη 156).
54 Συνεπώς, λαμβανομένης υπόψη της ως άνω αρχής, όταν οι εθνικές αρχές ανταγωνισμού καλούνται, κατά την άσκηση των αρμοδιοτήτων τους, να εξετάσουν αν η συμπεριφορά μιας επιχείρησης συμβιβάζεται με τις διατάξεις του ΓΚΠΔ, οφείλουν να συνεννοούνται και να συνεργάζονται καλόπιστα με τις εμπλεκόμενες εθνικές εποπτικές αρχές ή με την επικεφαλής εποπτική αρχή, όπερ σημαίνει ότι όλες αυτές οι αρχές πρέπει, εντός του πλαισίου αυτού, να σέβονται τις αντίστοιχες εξουσίες και αρμοδιότητές τους ώστε να τηρούνται οι υποχρεώσεις οι οποίες απορρέουν από τον ΓΚΠΔ καθώς και οι σκοποί του, αλλά και να διαφυλάσσεται η πρακτική τους αποτελεσματικότητα.
55 Τούτο διότι η εξέταση της συμπεριφοράς μιας επιχείρησης από αρχή ανταγωνισμού με γνώμονα τους κανόνες του ΓΚΠΔ μπορεί να ενέχει τον κίνδυνο αποκλίσεων μεταξύ της αρχής αυτής και των εποπτικών αρχών αναφορικά με την ερμηνεία του κανονισμού.
56 Επομένως, όταν εθνική αρχή ανταγωνισμού, στο πλαίσιο της εξέτασης που διενεργεί για να διαπιστώσει τυχόν ύπαρξη κατάχρησης δεσπόζουσας θέσης κατά την έννοια του άρθρου 102 ΣΛΕΕ από μια επιχείρηση, εκτιμά ότι είναι αναγκαίο να κρίνει τη νομιμότητα κάποιας συμπεριφοράς της επιχείρησης βάσει των διατάξεων του ΓΚΠΔ, η αρχή αυτή οφείλει να ελέγξει αν η συγκεκριμένη ή παρόμοια συμπεριφορά έχει ήδη αποτελέσει αποφάσεως εκδοθείσας από την αρμόδια εθνική εποπτική αρχή ή από την επικεφαλής εποπτική αρχή ή ακόμη και από το Δικαστήριο. Αν συμβαίνει κάτι τέτοιο, η εθνική αρχή ανταγωνισμού δεν επιτρέπεται να αποκλίνει, καίτοι παραμένει ελεύθερη να αντλήσει τα δικά της συμπεράσματα υπό το πρίσμα της εφαρμογής του δικαίου του ανταγωνισμού.
57 Σε περίπτωση που διατηρεί αμφιβολίες ως προς το περιεχόμενο της εκτιμήσεως στην οποία έχει προβεί η αρμόδια εθνική εποπτική αρχή ή η επικεφαλής εποπτική αρχή, σε περίπτωση που η επίμαχη ή παρόμοια συμπεριφορά εξετάζεται ταυτόχρονα από τις προαναφερθείσες αρχές ή ακόμη σε περίπτωση που, ελλείψει έρευνας από τις εν λόγω αρχές, η ίδια είναι της γνώμης ότι η συμπεριφορά μιας επιχείρησης δεν είναι σύμφωνη με τις διατάξεις του ΓΚΠΔ, η εθνική αρχή ανταγωνισμού οφείλει να απευθυνθεί στις αρχές αυτές για να τις συμβουλευθεί και να ζητήσει τη συνεργασία τους, προκειμένου να άρει τις αμφιβολίες της ή να κρίνει κατά πόσον είναι σκόπιμο να αναμείνει την έκδοση αποφάσεως της εμπλεκόμενης εποπτικής αρχής προτού προχωρήσει στη δική της εκτίμηση.
58 Από την πλευρά της, η εποπτική αρχή στην οποία απευθύνεται η εθνική αρχή ανταγωνισμού οφείλει να απαντήσει εντός εύλογου χρόνου στο αίτημα παροχής πληροφοριών ή συνεργασίας κοινοποιώντας της τυχόν πληροφορίες που έχει στη διάθεσή της και που θα μπορούσαν να άρουν τις αμφιβολίες της εθνικής αρχής ανταγωνισμού ως προς την εκτίμηση στην οποία προέβη η εποπτική αρχή ή, ενδεχομένως, ενημερώνοντάς την αν προτίθεται να κινήσει, δυνάμει των άρθρων 60 επ. του ΓΚΠΔ, τη διαδικασία συνεργασίας με τις άλλες εμπλεκόμενες εποπτικές αρχές ή με την επικεφαλής εποπτική αρχή, προκειμένου να καταλήξει σε απόφαση αναφορικά με τη διαπίστωση της συμβατότητας, ή μη, της επίμαχης συμπεριφοράς με τον κανονισμό.
59 Εφόσον η εποπτική αρχή στην οποία απευθύνεται το αίτημα δεν απαντήσει σε εύλογο χρόνο, η εθνική αρχή ανταγωνισμού μπορεί να συνεχίσει τη δική της έρευνα. Το ίδιο ισχύει και σε περίπτωση που η αρμόδια εθνική εποπτική αρχή και η επικεφαλής εποπτικής αρχή δεν διατυπώσουν αντίρρηση ως προς το να συνεχίσει η αρχή ανταγωνισμού την έρευνά της χωρίς να αναμείνει την έκδοση δικής τους αποφάσεως.
60 Εν προκειμένω, από τη δικογραφία ενώπιον του Δικαστηρίου προκύπτει ότι τον Οκτώβριο και τον Νοέμβριο του 2018, ήτοι πριν από την έκδοση της αποφάσεως της 6ης Φεβρουαρίου 2019, η ομοσπονδιακή αρχή ανταγωνισμού επικοινώνησε με τον Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (ομοσπονδιακό επίτροπο για την προστασία των δεδομένων και την ελευθερία της πληροφόρησης, Γερμανία), με τον Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (επίτροπο του Αμβούργου για την προστασία των δεδομένων και την ελευθερία της πληροφόρησης, Γερμανία), που ήταν η αρμόδια αρχή για τη Facebook Deutschland, καθώς και με την Data Protection Commission (DPC) (επιτροπή προστασίας δεδομένων, Ιρλανδία), για να ενημερώσει τις αρχές αυτές σχετικά με την παρέμβασή της. Προκύπτει επίσης ότι η ομοσπονδιακή αρχή ανταγωνισμού έλαβε την επιβεβαίωσή τους ότι δεν διενεργούσαν κατά τον χρόνο εκείνο καμία έρευνα με αντικείμενο πραγματικά περιστατικά παρόμοια με αυτά της υποθέσεως της κύριας δίκης, ενώ ουδεμία αντίρρηση προέβαλαν ως προς τη δική της παρέμβαση. Τέλος, στα σημεία 555 και 556 της από 6 Φεβρουαρίου 2019 αποφάσεώς της, η ομοσπονδιακή αρχή ανταγωνισμού αναφέρθηκε ρητώς στη συνεργασία που περιγράφηκε μόλις ανωτέρω.
61 Υπό τις συνθήκες αυτές, και υπό την επιφύλαξη των ελέγχων στους οποίους είναι αρμόδιο να προβεί το αιτούν δικαστήριο, η ομοσπονδιακή αρχή ανταγωνισμού φαίνεται να εκπλήρωσε τις υποχρεώσεις καλόπιστης συνεργασίας της με τις εμπλεκόμενες εθνικές εποπτικές αρχές και με την επικεφαλής εποπτική αρχή.
62 Κατόπιν των ανωτέρω σκέψεων, στο πρώτο και στο έβδομο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι τα άρθρα 51 επ. του ΓΚΠΔ και το άρθρο 4, παράγραφος 3, ΣΕΕ έχουν την έννοια ότι, υπό την επιφύλαξη της τήρησης της υποχρέωσης καλόπιστης συνεργασίας της με τις εποπτικές αρχές, η αρχή ανταγωνισμού κράτους μέλους μπορεί να διαπιστώσει, στο πλαίσιο της εξέτασης τυχόν ύπαρξης κατάχρησης δεσπόζουσας θέσης κατά την έννοια του άρθρου 102 ΣΛΕΕ από μια επιχείρηση, ότι οι γενικοί όροι τους οποίους θέτει η επιχείρηση όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα καθώς και η εφαρμογή των γενικών αυτών όρων δεν συμβιβάζονται με τον ΓΚΠΔ, εφόσον η ως άνω διαπίστωση είναι αναγκαία προκειμένου να αποδειχθεί η ύπαρξη τέτοιας κατάχρησης.
63 Λόγω ακριβώς της υποχρέωσης καλόπιστης συνεργασίας, η εθνική αρχή ανταγωνισμού δεν επιτρέπεται να αποκλίνει από απόφαση της αρμόδιας εθνικής εποπτικής αρχής ή της αρμόδιας επικεφαλής εποπτικής αρχής, σχετικής με τους συγκεκριμένους ή με παρόμοιους γενικούς όρους. Σε περίπτωση που η αρχή ανταγωνισμού διατηρεί αμφιβολίες ως προς το περιεχόμενο τέτοιας αποφάσεως, σε περίπτωση που οι συγκεκριμένοι ή παρόμοιοι γενικοί όροι εξετάζονται ταυτόχρονα από τις προαναφερθείσες αρχές ή ακόμη σε περίπτωση που, ελλείψει έρευνας ή αποφάσεως των εν λόγω αρχών, η ίδια είναι της γνώμης ότι οι επίμαχοι όροι δεν συμβιβάζονται με τον ΓΚΠΔ, η αρχή ανταγωνισμού οφείλει να απευθυνθεί στις αρχές αυτές για να τις συμβουλευθεί και να ζητήσει τη συνεργασία τους, προκειμένου να άρει τις αμφιβολίες της ή να κρίνει κατά πόσον είναι σκόπιμο να αναμείνει την έκδοση δικής τους αποφάσεως προτού προχωρήσει στη δική της εκτίμηση. Εφόσον δεν διατυπώσουν αντίρρηση ή δεν απαντήσουν σε εύλογο χρόνο, η εθνική αρχή ανταγωνισμού μπορεί να συνεχίσει τη δική της έρευνα.
Επί του δεύτερου προδικαστικού ερωτήματος
64 Με το στοιχείο αʹ του δεύτερου προδικαστικού ερωτήματος, το αιτούν δικαστήριο ζητεί κατ’ ουσίαν να διευκρινιστεί αν το άρθρο 9, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, σε περίπτωση που χρήστης ηλεκτρονικού μέσου κοινωνικής δικτύωσης επισκέπτεται ιστοτόπους ή εφαρμογές που σχετίζονται με τις μνημονευόμενες στην εν λόγω διάταξη κατηγορίες και, ενδεχομένως, εισάγει δεδομένα στο πλαίσιο της εγγραφής του ή της πραγματοποίησης διαδικτυακών παραγγελιών, η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από την επιχείρηση εκμετάλλευσης του κοινωνικού δικτύου και συνίσταται, πρώτον, στη συλλογή, μέσω ενσωματωμένων διεπαφών ή μέσω cookies ή μέσω παρόμοιων τεχνολογιών αποθήκευσης, των δεδομένων που προέρχονται από τις επισκέψεις του χρήστη στους ιστοτόπους και στις εφαρμογές καθώς και των δεδομένων που ο χρήστης εισάγει εκεί, δεύτερον, στον συσχετισμό του συνόλου των δεδομένων αυτών με τον λογαριασμό του χρήστη στο κοινωνικό δίκτυο και, τρίτον, στη χρήση των δεδομένων από την επιχείρηση εκμετάλλευσης πρέπει να θεωρηθεί ως «επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα» κατά την έννοια της διατάξεως αυτής, η οποία κατ’ αρχήν απαγορεύεται, υπό την επιφύλαξη των εξαιρέσεων που προβλέπονται στο άρθρο 9, παράγραφος 2.
65 Σε περίπτωση καταφατικής απαντήσεως, το αιτούν δικαστήριο ζητεί κατ’ ουσίαν να διευκρινιστεί, με το στοιχείο βʹ του δεύτερου προδικαστικού ερωτήματος, αν το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ έχει την έννοια ότι, όταν χρήστης ηλεκτρονικού μέσου κοινωνικής δικτύωσης επισκέπτεται ιστοτόπους ή εφαρμογές που σχετίζονται με τις μνημονευόμενες στο άρθρο 9, παράγραφος 1, του ΓΚΠΔ κατηγορίες, εισάγει δεδομένα στους ιστοτόπους ή τις εφαρμογές ή κλικάρει στις εκεί ενσωματωμένες επιλογές τύπου «Μου αρέσει» ή «Κοινοποίηση» ή στα πεδία όπου μπορεί να ταυτοποιηθεί από τους ιστοτόπους ή τις εφαρμογές χρησιμοποιώντας, ως αναγνωριστικά, τους κωδικούς σύνδεσης στον λογαριασμό τον οποίο έχει ως χρήστης στο κοινωνικό δίκτυο, τον αριθμό τηλεφώνου ή την ηλεκτρονική του διεύθυνση, θεωρείται ότι ο χρήστης έχει προδήλως δημοσιοποιήσει, κατά την έννοια της πρώτης από τις ως άνω διατάξεις, τα δεδομένα που συλλέγονται εκ της αφορμής αυτής από την επιχείρηση εκμετάλλευσης του κοινωνικού δικτύου μέσω cookies ή παρόμοιων τεχνολογιών αποθήκευσης.
Επί του στοιχείου αʹ του δεύτερου προδικαστικού ερωτήματος
66 Στην αιτιολογική σκέψη 51 του ΓΚΠΔ επισημαίνεται ότι τα δεδομένα προσωπικού χαρακτήρα τα οποία είναι εκ φύσεως ιδιαιτέρως ευαίσθητα από πλευράς θεμελιωδών δικαιωμάτων και ελευθεριών χρήζουν ειδικής προστασίας, καθότι το όλο πλαίσιο της επεξεργασίας τους θα μπορούσε να συνεπάγεται σημαντικούς κινδύνους για τα θεμελιώδη δικαιώματα και τις ελευθερίες. Η ίδια αιτιολογική σκέψη καθιστά σαφές ότι τέτοια δεδομένα προσωπικού χαρακτήρα δεν θα πρέπει να υποβάλλονται σε επεξεργασία, πλην των ειδικώς προβλεπόμενων από τον κανονισμό περιπτώσεων στις οποίες η επεξεργασία τους επιτρέπεται.
67 Στο πνεύμα αυτό, το άρθρο 9, παράγραφος 1, του ΓΚΠΔ κατοχυρώνει την αρχή της απαγόρευσης της επεξεργασίας των εκεί αναφερόμενων ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα. Πρόκειται, μεταξύ άλλων, για δεδομένα τα οποία αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, καθώς και για δεδομένα που αφορούν την υγεία, τη σεξουαλική ζωή ή τον γενετήσιο προσανατολισμό φυσικού προσώπου.
68 Για τους σκοπούς της εφαρμογής του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, πρέπει να ελέγχεται, σε περίπτωση επεξεργασίας προσωπικών δεδομένων από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης, αν από τα δεδομένα προκύπτουν πληροφορίες που εμπίπτουν σε κάποια από τις αναφερόμενες στη διάταξη κατηγορίες, είτε οι πληροφορίες αυτές αφορούν χρήστη του κοινωνικού δικτύου είτε οποιοδήποτε άλλο φυσικό πρόσωπο. Σε περίπτωση καταφατικής απαντήσεως, η επεξεργασία δεδομένων προσωπικού χαρακτήρα απαγορεύεται, υπό την επιφύλαξη των εξαιρέσεων του άρθρου 9, παράγραφος 2, του ΓΚΠΔ.
69 Όπως παρατήρησε ο γενικός εισαγγελέας στα σημεία 40 και 41 των προτάσεών του, αυτή η κατ’ αρχήν απαγόρευση την οποία προβλέπει το άρθρο 9, παράγραφος 1, του ΓΚΠΔ είναι ανεξάρτητη από το αν η πληροφορία η οποία αποκαλύπτεται από την επίμαχη επεξεργασία είναι ακριβής, ή όχι, και από το αν ο υπεύθυνος επεξεργασίας ενεργεί με σκοπό να αποκτήσει πληροφορίες που εμπίπτουν σε κάποια από τις αναφερόμενες στη διάταξη ειδικές κατηγορίες.
70 Τούτο διότι, λαμβανομένων υπόψη των σημαντικών κινδύνων τους οποίους ενέχει για τις θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα τα οποία εμπίπτουν στις κατηγορίες που μνημονεύονται στο άρθρο 9, παράγραφος 1, του ΓΚΠΔ, ο κανονισμός στοχεύει στην απαγόρευση τέτοιων επεξεργασιών ανεξαρτήτως του προβαλλόμενου σκοπού τους.
71 Εν προκειμένω, η επίμαχη στην υπόθεση της κύριας δίκης επεξεργασία από τη Meta Platforms Ireland συνίσταται, κατ’ αρχάς, στη συλλογή προσωπικών δεδομένων των χρηστών του κοινωνικού δικτύου Facebook όταν αυτοί επισκέπτονται ιστοτόπους ή εφαρμογές –περιλαμβανομένων και εκείνων που μπορούν να αποκαλύψουν πληροφορίες οι οποίες εμπίπτουν σε μία ή περισσότερες από τις κατηγορίες του άρθρου 9, παράγραφος 1, του ΓΚΠΔ– και, ενδεχομένως, εισάγουν εκεί δεδομένα στο πλαίσιο της εγγραφής τους ή της πραγματοποίησης διαδικτυακών παραγγελιών, εν συνεχεία στον συσχετισμό των δεδομένων αυτών με τον λογαριασμό των χρηστών στο κοινωνικό δίκτυο και, τέλος, στη χρήση των δεδομένων.
72 Συναφώς, εναπόκειται στο αιτούν δικαστήριο να κρίνει αν τα δεδομένα που συλλέγονται κατ’ αυτόν τον τρόπο μπορούν πράγματι, είτε μεμονωμένα είτε μέσω του συσχετισμού τους με τους λογαριασμούς των ενδιαφερόμενων χρηστών στο Facebook, να αποκαλύψουν τέτοιες πληροφορίες, είτε αφορούν χρήστη του συγκεκριμένου κοινωνικού δικτύου είτε οποιοδήποτε άλλο φυσικό πρόσωπο. Πάντως, λαμβανομένων υπόψη των ζητημάτων που εγείρει το αιτούν δικαστήριο, πρέπει να επισημανθεί ότι κατά τα φαινόμενα, υπό την επιφύλαξη των ελέγχων στους οποίους είναι το ίδιο αρμόδιο να προβεί, η επίμαχη επεξεργασία δεδομένων σχετικών με τις επισκέψεις σε ιστοτόπους ή εφαρμογές μπορεί, σε ορισμένες περιπτώσεις, να αποκαλύψει τέτοιες πληροφορίες, χωρίς να είναι απαραίτητο οι χρήστες να εισαγάγουν εκεί πληροφορίες στο πλαίσιο της εγγραφής τους ή της πραγματοποίησης διαδικτυακών παραγγελιών.
73 Κατόπιν των ανωτέρω σκέψεων, στο στοιχείο αʹ του δεύτερου προδικαστικού ερωτήματος πρέπει να δοθεί η απάντηση ότι το άρθρο 9, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, σε περίπτωση που χρήστης ηλεκτρονικού μέσου κοινωνικής δικτύωσης επισκέπτεται ιστοτόπους ή εφαρμογές που σχετίζονται με μία ή περισσότερες από τις κατηγορίες στις οποίες αναφέρεται η εν λόγω διάταξη και, ενδεχομένως, εισάγει δεδομένα στο πλαίσιο της εγγραφής του ή της πραγματοποίησης διαδικτυακών παραγγελιών, η επεξεργασία δεδομένων προσωπικού χαρακτήρα από την επιχείρηση εκμετάλλευσης του κοινωνικού δικτύου, η οποία συνίσταται, πρώτον, στη συλλογή, μέσω ενσωματωμένων διεπαφών ή μέσω cookies ή μέσω παρόμοιων τεχνολογιών αποθήκευσης, των δεδομένων που προέρχονται από τις επισκέψεις του χρήστη στους ιστοτόπους και στις εφαρμογές καθώς και των δεδομένων που ο χρήστης εισάγει εκεί, δεύτερον, στον συσχετισμό του συνόλου των δεδομένων αυτών με τον λογαριασμό του χρήστη στο κοινωνικό δίκτυο και, τρίτον, στη χρήση των δεδομένων από την επιχείρηση εκμετάλλευσης, πρέπει να θεωρηθεί ως «επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα» κατά την έννοια της διατάξεως αυτής, η οποία κατ’ αρχήν απαγορεύεται, υπό την επιφύλαξη των εξαιρέσεων που προβλέπονται στο άρθρο 9, παράγραφος 2, εφόσον πρόκειται για επεξεργασία δεδομένων ικανή να αποκαλύψει πληροφορίες οι οποίες εμπίπτουν σε κάποια από τις προαναφερθείσες κατηγορίες, ανεξαρτήτως του αν οι πληροφορίες αφορούν χρήστη του συγκεκριμένου δικτύου ή οποιοδήποτε άλλο φυσικό πρόσωπο.
Επί του στοιχείου βʹ του δεύτερου προδικαστικού ερωτήματος
74 Ως προς το στοιχείο βʹ του δεύτερου ερωτήματος, το οποίο αναδιατυπώθηκε στη σκέψη 65 της παρούσας αποφάσεως και αναφέρεται στην εξαίρεση του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, πρέπει να υπενθυμιστεί ότι, δυνάμει της διατάξεως αυτής, η κατ’ αρχήν απαγόρευση, με το άρθρο 9, παράγραφος 1, κάθε επεξεργασίας που αφορά ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα δεν ισχύει σε περίπτωση που η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία «έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων».
75 Επισημαίνεται εκ προοιμίου ότι, αφενός, η εξαίρεση αυτή εφαρμόζεται μόνον επί δεδομένων που έχουν προδήλως δημοσιοποιηθεί «από το υποκείμενο των δεδομένων». Ως εκ τούτου, δεν έχει εφαρμογή επί δεδομένων άλλων προσώπων, πέραν εκείνου που τα έχει δημοσιοποιήσει.
76 Αφετέρου, στον βαθμό που προβλέπει εξαίρεση από την αρχή της απαγόρευσης της επεξεργασίας των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, το άρθρο 9, παράγραφος 2, του ΓΚΠΔ πρέπει να ερμηνεύεται στενά (πρβλ. αποφάσεις της 17ης Σεπτεμβρίου 2014, Baltic Agro, C‑3/13, EU:C:2014:2227, σκέψη 24 και εκεί μνημονευόμενη νομολογία, καθώς και της 6ης Ιουνίου 2019, Weil, C‑361/18, EU:C:2019:473, σκέψη 43 και εκεί μνημονευόμενη νομολογία).
77 Επομένως, για τους σκοπούς της εφαρμογής της εξαίρεσης του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, πρέπει να ελέγχεται αν το υποκείμενο των δεδομένων θέλησε, ρητώς και με σαφή θετική ενέργεια, να καταστήσει προσβάσιμα στο ευρύ κοινό τα επίμαχα δεδομένα προσωπικού χαρακτήρα.
78 Επ’ αυτού, όσον αφορά κατ’ αρχάς την επίσκεψη ιστοτόπων ή εφαρμογών που σχετίζονται με μία ή περισσότερες από τις κατηγορίες του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, διαπιστώνεται ότι ο ενδιαφερόμενος χρήστης επ’ ουδενί προτίθεται, μέσω αυτής, να δημοσιοποιήσει, αφενός, το γεγονός ότι επισκέφθηκε τους ιστοτόπους ή τις εφαρμογές και, αφετέρου, τα σχετικά με την επίσκεψη δεδομένα τα οποία ενδεχομένως συνδέονται με το άτομό του. Πράγματι, ο χρήστης μπορεί το πολύ να αναμένει ότι ο διαχειριστής του ιστοτόπου ή της εφαρμογής θα έχει πρόσβαση στα δεδομένα αυτά και ότι θα τα μοιραστεί, ενδεχομένως και υπό την επιφύλαξη της παροχής ρητής συγκατάθεσης από τον ίδιο τον χρήστη, με ορισμένους τρίτους και όχι με το ευρύ κοινό.
79 Συνεπώς, δεν μπορεί να συναχθεί από το γεγονός και μόνον ότι ο χρήστης επισκέφθηκε τέτοιους ιστοτόπους ή τέτοιες εφαρμογές ότι τα εν λόγω δεδομένα προσωπικού χαρακτήρα έχουν προδήλως δημοσιοποιηθεί από τον χρήστη, κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ.
80 Εν συνεχεία, όσον αφορά τις δραστηριότητες που συνίστανται στην εισαγωγή δεδομένων στους ιστοτόπους ή τις εφαρμογές καθώς και στο κλικάρισμα των εκεί ενσωματωμένων επιλογών τύπου «Μου αρέσει» ή «Κοινοποίηση» ή των πεδίων όπου ο χρήστης μπορεί να ταυτοποιηθεί από τον ιστότοπο ή την εφαρμογή χρησιμοποιώντας, ως αναγνωριστικά, τους κωδικούς σύνδεσης στον λογαριασμό του στο Facebook, τον αριθμό τηλεφώνου ή την ηλεκτρονική του διεύθυνση, επισημαίνεται ότι πρόκειται για δραστηριότητες οι οποίες συνεπάγονται μια διάδραση μεταξύ του χρήστη και του επίμαχου ιστοτόπου ή της επίμαχης εφαρμογής και, ενδεχομένως, του ιστοτόπου του κοινωνικού δικτύου, οι δε μορφές διαφήμισης στο πλαίσιο της διάδρασης αυτής μπορεί να ποικίλλουν στον βαθμό που υπόκεινται σε εξατομικευμένη παραμετροποίηση από τον χρήστη.
81 Υπό τις συνθήκες αυτές, το αιτούν δικαστήριο οφείλει να ελέγξει αν οι ενδιαφερόμενοι χρήστες έχουν τη δυνατότητα, βάσει μιας παραμετροποίησης που γίνεται εν πλήρει επιγνώσει, να καταστήσουν προσβάσιμα στο ευρύ κοινό ή, αντιθέτως, σε έναν κατά το μάλλον ή ήττον περιορισμένο αριθμό επιλεγμένων προσώπων τα δεδομένα τα οποία εισάγονται στους επίμαχους ιστοτόπους ή τις επίμαχες εφαρμογές καθώς και τα δεδομένα που προέρχονται από το κλικάρισμα των εκεί ενσωματωμένων επιλογών.
82 Εφόσον οι ενδιαφερόμενοι χρήστες έχουν στην πράξη τέτοια δυνατότητα, μπορεί μεν να γίνει δεκτό ότι, εισάγοντας οικειοθελώς δεδομένα σε ιστότοπο ή εφαρμογή ή κλικάροντας στις εκεί ενσωματωμένες επιλογές, δημοσιοποιούν προδήλως δεδομένα τα οποία τους αφορούν, κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, μόνον όμως σε περίπτωση που, βάσει μιας εξατομικευμένης παραμετροποίησης η οποία γίνεται εν πλήρει επιγνώσει, οι χρήστες έχουν εκφράσει σαφώς την επιλογή τους να καταστούν τα δεδομένα αυτά προσβάσιμα σε απεριόριστο αριθμό προσώπων, όπερ εναπόκειται στο αιτούν δικαστήριο να ελέγξει.
83 Αντιθέτως, αν δεν προτείνεται τέτοια εξατομικευμένη παραμετροποίηση, επιβάλλεται το συμπέρασμα, λαμβανομένων υπόψη των όσων προεκτέθηκαν στη σκέψη 77 της παρούσας αποφάσεως, ότι, όταν οι χρήστες εισάγουν οικειοθελώς δεδομένα σε ιστότοπο ή εφαρμογή ή όταν κλικάρουν στις εκεί ενσωματωμένες επιλογές, πρέπει, για να θεωρηθεί ότι έχουν προδήλως δημοσιοποιήσει τα δεδομένα αυτά, να είχαν σαφώς συγκατατεθεί, κατόπιν της ρητής παροχής σχετικής πληροφορίας από τον ιστότοπο ή την εφαρμογή πριν από την εισαγωγή των δεδομένων ή από το κλικάρισμα των επιλογών, στο να μπορούν τα δεδομένα αυτά να είναι ορατά από οποιονδήποτε έχει πρόσβαση στον ιστότοπο ή την εφαρμογή.
84 Κατόπιν των ανωτέρω σκέψεων, στο στοιχείο βʹ του δεύτερου προδικαστικού ερωτήματος πρέπει να δοθεί η απάντηση ότι το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ έχει την έννοια ότι, όταν ο χρήστης ηλεκτρονικού μέσου κοινωνικής δικτύωσης επισκέπτεται ιστοτόπους ή εφαρμογές που σχετίζονται με μία ή περισσότερες από τις κατηγορίες του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, ο χρήστης δεν δημοσιοποιεί προδήλως, κατά την έννοια της πρώτης από τις διατάξεις αυτές, τα σχετικά με την επίσκεψή του δεδομένα τα οποία συλλέγονται από την επιχείρηση εκμετάλλευσης του κοινωνικού δικτύου μέσω cookies ή παρόμοιων τεχνολογιών αποθήκευσης.
85 Όταν εισάγει δεδομένα σε τέτοιους ιστοτόπους ή σε τέτοιες εφαρμογές ή όταν κλικάρει στις εκεί ενσωματωμένες επιλογές τύπου «Μου αρέσει» ή «Κοινοποίηση» ή στα πεδία όπου μπορεί να ταυτοποιηθεί από τον ιστότοπο ή την εφαρμογή χρησιμοποιώντας, ως αναγνωριστικά, τους κωδικούς σύνδεσης στον λογαριασμό του στο κοινωνικό δίκτυο, τον αριθμό τηλεφώνου ή την ηλεκτρονική του διεύθυνση, ο χρήστης δεν δημοσιοποιεί προδήλως κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, τα δεδομένα τα οποία εισάγονται κατ’ αυτόν τον τρόπο ή προέρχονται από το κλικάρισμα των επιλογών, παρά μόνο σε περίπτωση που έχει εκ των προτέρων εκφράσει ρητώς την επιλογή του, ενδεχομένως βάσει μιας εξατομικευμένης παραμετροποίησης που γίνεται εν πλήρει επιγνώσει, να καταστούν τα δεδομένα τα οποία τον αφορούν δημοσίως προσβάσιμα σε απεριόριστο αριθμό προσώπων.
Επί του τρίτου, του τέταρτου και του πέμπτου προδικαστικού ερωτήματος
86 Με το τρίτο και το τέταρτο προδικαστικό ερώτημα, τα οποία πρέπει να εξεταστούν από κοινού, το αιτούν δικαστήριο ζητεί κατ’ ουσίαν να διευκρινιστεί αν και υπό ποιες προϋποθέσεις το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ και στʹ, του ΓΚΠΔ έχει την έννοια ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης και συνίσταται στη συλλογή δεδομένων των χρηστών του κοινωνικού αυτού δικτύου, προερχόμενων από άλλες υπηρεσίες του ομίλου όπου ανήκει η επιχείρηση εκμετάλλευσης ή από την επίσκεψη των χρηστών σε τρίτους ιστοτόπους ή σε τρίτες εφαρμογές τρίτων, στον συσχετισμό των ως άνω δεδομένων με τον λογαριασμό των χρηστών στο κοινωνικό δίκτυο και, τέλος, στη χρήση των δεδομένων μπορεί να θεωρηθεί αναγκαία για την εκτέλεση σύμβασης στην οποία τα υποκείμενα των δεδομένων είναι συμβαλλόμενα μέρη, κατά την έννοια του στοιχείου βʹ, ή για τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, κατά την έννοια του στοιχείου στʹ. Το αιτούν δικαστήριο διερωτάται ειδικότερα αν, στο πλαίσιο αυτό, ορισμένα συμφέροντα, τα οποία μνημονεύει ρητώς, αποτελούν «έννομα συμφέροντα» κατά την έννοια της προαναφερθείσας διατάξεως.
87 Με το πέμπτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί κατ’ ουσίαν να διευκρινιστεί αν το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία γʹ έως εʹ, έχει την έννοια ότι τέτοια επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί αναγκαία για τη συμμόρφωση με έννομη υποχρέωση την οποία υπέχει ο υπεύθυνος επεξεργασίας, κατά την έννοια του στοιχείου γʹ, για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, κατά την έννοια του στοιχείου δʹ, ή για την εκπλήρωση αποστολής που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, κατά την έννοια του στοιχείου εʹ, σε περίπτωση που η επεξεργασία γίνεται, αντιστοίχως, για την ικανοποίηση νομίμως υποβληθέντος αιτήματος παροχής ορισμένων δεδομένων, για την καταπολέμηση επιζήμιων συμπεριφορών και τη διαφύλαξη της ασφάλειας καθώς και για την έρευνα προς όφελος της κοινωνίας και την ενίσχυση της προστασίας, της ακεραιότητας και της ασφάλειας.
Εισαγωγικές παρατηρήσεις
88 Εκ προοιμίου παρατηρείται, πρώτον, ότι το τρίτο, το τέταρτο και το πέμπτο προδικαστικό ερώτημα υποβάλλονται επειδή, βάσει των διαπιστώσεων στις οποίες προέβη η ομοσπονδιακή αρχή ανταγωνισμού με την απόφαση της 6ης Φεβρουαρίου 2019, κρίθηκε ότι δεν μπορεί να γίνει δεκτό ότι οι χρήστες του κοινωνικού δικτύου Facebook έχουν δώσει τη συγκατάθεσή τους, κατά την έννοια του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, και του άρθρου 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ, για την επίμαχη στην υπόθεση της κύριας δίκης επεξεργασία. Επομένως, αυτός είναι ο λόγος που το αιτούν δικαστήριο, παρότι με το έκτο προδικαστικό του ερώτημα ζητεί από το Δικαστήριο διευκρινίσεις σε σχέση με την ως άνω παραδοχή, εκτιμά ότι οφείλει να ελέγξει αν η επίμαχη επεξεργασία πληροί κάποια από τις άλλες προϋποθέσεις νομιμότητας στις οποίες αναφέρεται το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ έως στʹ, του ΓΚΠΔ.
89 Στο πλαίσιο αυτό, επισημαίνεται ότι οι διεργασίες συλλογής, συσχετισμού και χρήσης των δεδομένων για τις οποίες γίνεται λόγος στο τρίτο, το τέταρτο και το πέμπτο προδικαστικό ερώτημα είναι δυνατόν να καλύπτουν, ταυτόχρονα, τόσο ευαίσθητα δεδομένα κατά την έννοια του άρθρου 9, παράγραφος 1, του ΓΚΠΣ όσο και μη ευαίσθητα δεδομένα. Πρέπει όμως να διευκρινιστεί ότι, σε περίπτωση που ένα σύνολο δεδομένων το οποίο περιλαμβάνει, ταυτόχρονα, τόσο ευαίσθητα όσο και μη ευαίσθητα δεδομένα υποβάλλεται σε τέτοιες διεργασίες και, ειδικότερα, συλλέγεται μαζικά χωρίς τα δεδομένα να μπορούν να διαχωριστούν τα μεν από τα δε κατά τον χρόνο που συλλέγονται, η επεξεργασία του συνόλου αυτού δεδομένων πρέπει να θεωρείται ως απαγορευμένη, κατά την έννοια του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, εφόσον περιλαμβάνει τουλάχιστον ένα ευαίσθητο δεδομένο και εφόσον δεν τυγχάνει εφαρμογής καμία από τις εξαιρέσεις του άρθρου 9, παράγραφος 2, του ΓΚΠΔ.
90 Δεύτερον, προκειμένου να δοθεί απάντηση στο τρίτο, το τέταρτο και το πέμπτο προδικαστικό ερώτημα, πρέπει να υπενθυμιστεί ότι το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, του ΓΚΠΔ περιέχει εξαντλητικό και περιοριστικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί νόμιμη. Συνεπώς, για να μπορεί να θεωρηθεί νόμιμη η επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να εμπίπτει σε μία από τις περιπτώσεις που προβλέπονται στη διάταξη αυτή [απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 99 και εκεί μνημονευόμενη νομολογία].
91 Κατά το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη εάν και στον βαθμό που το υποκείμενο των δεδομένων έχει παράσχει τη συγκατάθεσή του για έναν ή περισσότερους συγκεκριμένους σκοπούς.
92 Ελλείψει τέτοιας συγκατάθεσης ή όταν δεν έχει δοθεί ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει συγκατάθεση, κατά την έννοια του άρθρου 4, σημείο 11, του ΓΚΠΔ, η επεξεργασία δικαιολογείται παρά ταύτα εφόσον πληροί κάποια από τις απαιτήσεις αναγκαιότητας στις οποίες αναφέρεται το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ έως στʹ.
93 Στο πλαίσιο αυτό, οι δικαιολογητικοί λόγοι που προβλέπονται στην τελευταία αυτή διάταξη πρέπει να ερμηνεύονται στενά, δεδομένου ότι η επίκλησή τους μπορεί να καταστήσει νόμιμη μια επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία γίνεται ελλείψει συγκατάθεσης του υποκειμένου των δεδομένων [πρβλ. απόφαση της 24ης Φεβρουαρίου 2022, Valsts ieņēmumu dienests (Επεξεργασία των δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς), C‑175/20, EU:C:2022:124, σκέψη 73 και εκεί μνημονευόμενη νομολογία].
94 Επιπλέον, όπως έχει αποφανθεί το Δικαστήριο, όταν χωρεί η διαπίστωση ότι μια επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι αναγκαία βάσει ενός εκ των δικαιολογητικών λόγων που προβλέπονται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ έως στʹ, του ΓΚΠΔ, δεν είναι απαραίτητο να εξεταστεί αν η ίδια επεξεργασία καλύπτεται και από κάποιον άλλον εκ των δικαιολογητικών αυτών λόγων (πρβλ. απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, σκέψη 71).
95 Τέλος, πρέπει να διευκρινιστεί ότι, σύμφωνα με τα όσα ορίζει το άρθρο 5 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας είναι εκείνος που φέρει το βάρος να αποδείξει ότι τα δεδομένα αυτά συλλέγονται, μεταξύ άλλων, για καθορισμένους, ρητούς και νόμιμους σκοπούς και ότι υποβάλλονται σε επεξεργασία η οποία είναι νόμιμη, θεμιτή και διαφανής απέναντι στο υποκείμενο των δεδομένων. Πέραν τούτου, βάσει του άρθρου 13, παράγραφος 1, στοιχείο γʹ, του κανονισμού, όταν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται απευθείας από το ίδιο το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας οφείλει να ενημερώσει το υποκείμενο των δεδομένων σχετικά με τους σκοπούς για τους οποίους προορίζεται η επεξεργασία, καθώς και με τη νομική βάση της επεξεργασίας.
96 Μολονότι εναπόκειται στο αιτούν δικαστήριο να κρίνει αν τα διάφορα στοιχεία της επίμαχης στην κύρια δίκη επεξεργασίας δικαιολογούνται βάσει κάποιας από τις απαιτήσεις αναγκαιότητας στις οποίες αναφέρεται το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ και εʹ, του ΓΚΠΔ, το Δικαστήριο μπορεί πάντως να του παράσχει χρήσιμες ενδείξεις προκειμένου να το διευκολύνει στην επίλυση της ενώπιόν του διαφοράς.
Επί του τρίτου και του τέταρτου προδικαστικού ερωτήματος
97 Κατά πρώτον, αναφορικά με το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ, η διάταξη αυτή προβλέπει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη εφόσον «είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης».
98 Ειδικότερα, για να θεωρηθεί μια επεξεργασία δεδομένων προσωπικού χαρακτήρα ως απαραίτητη για την εκτέλεση σύμβασης κατά την έννοια της εν λόγω διατάξεως, πρέπει να είναι αντικειμενικώς αναγκαία για την επίτευξη σκοπού που είναι άρρηκτα συνδεδεμένος με τη συμβατική παροχή η οποία προορίζεται για το υποκείμενο των δεδομένων. Ο υπεύθυνος επεξεργασίας πρέπει, συνεπώς, να είναι σε θέση να αποδείξει για ποιον λόγο το κύριο αντικείμενο της σύμβασης δεν θα μπορούσε να υλοποιηθεί ελλείψει της επίμαχης επεξεργασίας.
99 Το γεγονός ότι η επεξεργασία μνημονεύεται στη σύμβαση ή ότι είναι απλώς χρήσιμη για την εκτέλεσή της δεν ασκεί, καθ’ εαυτό, επιρροή συναφώς. Πράγματι, αποφασιστικό στοιχείο για την εφαρμογή του δικαιολογητικού λόγου του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ είναι ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία γίνεται από τον υπεύθυνο επεξεργασίας πρέπει να είναι ουσιώδης για την ορθή εκτέλεση της σύμβασης που συνάπτεται μεταξύ του ιδίου και του υποκειμένου των δεδομένων και ότι, επομένως δεν υφίστανται άλλες εφικτές και λιγότερο επεμβατικές λύσεις.
100 Όπως παρατήρησε δε ο γενικός εισαγγελέας στο σημείο 54 των προτάσεών του, όταν η σύμβαση αφορά περισσότερες υπηρεσίες ή περισσότερα διακριτά στοιχεία της ίδιας υπηρεσίας τα οποία μπορούν να εκτελεστούν ανεξάρτητα το ένα από το άλλο, η δυνατότητα εφαρμογής του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ πρέπει να εκτιμάται χωριστά σε σχέση με καθεμία από τις υπηρεσίες αυτές.
101 Εν προκειμένω, στο πλαίσιο των δικαιολογητικών λόγων που είναι δυνατόν να εμπίπτουν στο πεδίο εφαρμογής της ως άνω διατάξεως, το αιτούν δικαστήριο αναφέρει ως στοιχεία τα οποία συντείνουν στην εξασφάλιση της κατάλληλης εκτέλεσης της σύμβασης που συνάπτεται μεταξύ της Meta Platforms Ireland και των χρηστών της την εξατομίκευση των περιεχομένων και την ομοιογενή και απρόσκοπτη χρήση των υπηρεσιών που είναι χαρακτηριστικές του ομίλου Meta.
102 Όσον αφορά, πρώτον, τον δικαιολογητικό λόγο περί εξατομίκευσης των περιεχομένων, διαπιστώνεται ότι, μολονότι η εξατομίκευση είναι χρήσιμη για τον χρήστη, στο μέτρο που του παρέχει τη δυνατότητα, μεταξύ άλλων, να βλέπει στη οθόνη του περιεχόμενο το οποίο ανταποκρίνεται σε μεγάλο βαθμό στα ενδιαφέροντά του, γεγονός παραμένει ότι, υπό την επιφύλαξη του ελέγχου στον οποίο είναι αρμόδιο να προβεί το αιτούν δικαστήριο, η εξατομίκευση των περιεχομένων δεν παρίσταται αναγκαία για την προσφορά στον χρήστη των υπηρεσιών του ηλεκτρονικού μέσου κοινωνικής δικτύωσης. Πρόκειται για υπηρεσίες που μπορούν, εν ανάγκη, να του παρασχεθούν υπό κάποια εναλλακτική μορφή η οποία δεν θα συνεπάγεται τέτοια εξατομίκευση, όπερ σημαίνει ότι αυτή δεν είναι αντικειμενικώς αναγκαία για την επίτευξη σκοπού άρρηκτα συνδεδεμένου με τις εν λόγω υπηρεσίες.
103 Όσον αφορά, δεύτερον, τον δικαιολογητικό λόγο περί ομοιογενούς και απρόσκοπτης χρήσης των υπηρεσιών που είναι χαρακτηριστικές του ομίλου Meta, από τη δικογραφία ενώπιον του Δικαστηρίου προκύπτει ότι η εγγραφή στις διάφορες υπηρεσίες τις οποίες προσφέρει ο όμιλος Meta δεν είναι υποχρεωτική για να μπορεί ο χρήστης να δημιουργήσει λογαριασμό στο κοινωνικό δίκτυο Facebook. Πράγματι, τα διάφορα προϊόντα και οι διάφορες υπηρεσίες που προτείνονται από τον όμιλο στους χρήστες μπορούν να χρησιμοποιηθούν αυτοτελώς και η χρήση κάθε προϊόντος ή κάθε υπηρεσίας στηρίζεται στη σύναψη χωριστής σύμβασης χρήσης.
104 Συνεπώς και υπό την επιφύλαξη του σχετικού ελέγχου από το αιτούν δικαστήριο, η επεξεργασία δεδομένων προσωπικού χαρακτήρα προερχόμενων από υπηρεσίες τις οποίες προσφέρει ο όμιλος Meta πέραν της υπηρεσίας του ηλεκτρονικού μέσου κοινωνικής δικτύωσης δεν παρίσταται αναγκαία για την παροχή της τελευταίας αυτής υπηρεσίας.
105 Κατά δεύτερον, αναφορικά με το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, εκεί προβλέπεται ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη εφόσον «είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί».
106 Όπως έχει αποφανθεί το Δικαστήριο, η διάταξη αυτή προβλέπει τρεις σωρευτικές προϋποθέσεις που πρέπει να συντρέχουν για να είναι νόμιμες οι επεξεργασίες δεδομένων προσωπικού στις οποίες αναφέρεται, ήτοι πρώτον, την επιδίωξη εννόμου συμφέροντος εκ μέρους του υπευθύνου επεξεργασίας ή τρίτου, δεύτερον, την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου εννόμου συμφέροντος και, τρίτον, την απαίτηση να μην υπερισχύουν του εννόμου συμφέροντος του υπευθύνου επεξεργασίας ή του τρίτου τα συμφέροντα ή οι ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων (απόφαση της 17ης Ιουνίου 2021, M.I.C.M., C‑597/19, EU:C:2021:492, σκέψη 106 και εκεί μνημονευόμενη νομολογία).
107 Πρώτον, ως προς την προϋπόθεση της επιδίωξης εννόμου συμφέροντος, διευκρινίζεται ότι, βάσει του άρθρου 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, ο υπεύθυνος εργασίας υποχρεούται, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα όταν αυτά συλλέγονται απευθείας από το υποκείμενο των δεδομένων, να του γνωστοποιήσει ποια είναι τα επιδιωκόμενα έννομα συμφέροντα σε περίπτωση που η επεξεργασία στηρίζεται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του κανονισμού.
108 Δεύτερον, ως προς την προϋπόθεση της αναγκαιότητας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου εννόμου συμφέροντος, απαιτείται από το αιτούν δικαστήριο να βεβαιωθεί ότι το έννομο συμφέρον το οποίο επιδιώκεται με την επεξεργασία των δεδομένων δεν είναι ευλόγως δυνατόν να πραγματωθεί κατά τρόπο εξίσου αποτελεσματικό με άλλα μέσα που να θίγουν λιγότερο τις θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων, ιδίως τα δικαιώματα του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα τα οποία κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη [πρβλ. απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 110 και εκεί μνημονευόμενη νομολογία].
109 Στο πλαίσιο αυτό, υπενθυμίζεται επίσης ότι η προϋπόθεση της αναγκαιότητας της επεξεργασίας πρέπει να εξετάζεται από κοινού με τη λεγόμενη αρχή της «ελαχιστοποίησης των δεδομένων», την οποία καθιερώνει το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, όπου ορίζεται ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι «κατάλληλα, συναφή και [να] περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία» (πρβλ. απόφαση της 11ης Δεκεμβρίου 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, σκέψη 48).
110 Τρίτον, ως προς την προϋπόθεση ότι πρέπει τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων να μην υπερισχύουν του εννόμου συμφέροντος του υπευθύνου επεξεργασίας ή του τρίτου, το Δικαστήριο έχει κρίνει ότι απαιτείται μια στάθμιση των αντιπαρατιθέμενων δικαιωμάτων και συμφερόντων η οποία εξαρτάται, κατ’ αρχήν, από τις συγκεκριμένες περιστάσεις της κάθε περιπτώσεως και, κατά συνέπεια, εναπόκειται στο αιτούν δικαστήριο να προβεί στην εν λόγω στάθμιση λαμβάνοντας υπόψη τις ειδικές αυτές περιστάσεις (απόφαση της 17ης Ιουνίου 2021, M.I.C.M., C‑597/19, EU:C:2021:492, σκέψη 111 και εκεί μνημονευόμενη νομολογία).
111 Όπως προκύπτει συναφώς από το γράμμα του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, είναι αναγκαίο, στο πλαίσιο της ως άνω στάθμισης, να αποδίδεται ιδιαίτερη προσοχή στην περίπτωση όπου το υποκείμενο των δεδομένων είναι παιδί. Πράγματι, σύμφωνα με την αιτιολογική σκέψη 38 του κανονισμού, τα παιδιά χρήζουν ειδικής προστασίας όσον αφορά τα δεδομένα τους προσωπικού χαρακτήρα, καθώς είναι πιθανόν να έχουν μικρότερη επίγνωση των σχετικών κινδύνων, συνεπειών και εγγυήσεων, όπως των δικαιωμάτων των οποίων απολαύουν σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συνεπώς, αυτό το καθεστώς ιδιαίτερης προστασίας πρέπει να εφαρμόζεται, μεταξύ άλλων, σε περίπτωση επεξεργασίας δεδομένων προσωπικού χαρακτήρα σχετικών με παιδιά, η οποία γίνεται για σκοπούς εμπορικής προώθησης ή δημιουργίας προφίλ προσωπικότητας ή προφίλ χρήστη ή, τέλος, προσφοράς υπηρεσιών που στοχεύουν απευθείας τα παιδιά.
112 Επιπλέον, όπως καθίσταται σαφές στην αιτιολογική σκέψη 47 του ΓΚΠΔ, τα συμφέροντα και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων μπορούν, ειδικότερα, να υπερισχύουν των συμφερόντων του υπευθύνου επεξεργασίας όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία υπό περιστάσεις στις οποίες το υποκείμενο των δεδομένων δεν αναμένει ευλόγως περαιτέρω επεξεργασία των δεδομένων του.
113 Εν προκειμένω, στο πλαίσιο των δικαιολογητικών λόγων που είναι δυνατόν να εμπίπτουν στο πεδίο εφαρμογής του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, το αιτούν δικαστήριο αναφέρει την εξατομίκευση των διαφημίσεων, την ασφάλεια του δικτύου, την ενημέρωση των αρμόδιων αρχών για την άσκηση ποινικών διώξεων και για την επιβολή και εκτέλεση ποινών, το ενδεχόμενο να είναι ο χρήστης ανήλικος, την έρευνα και την καινοτομία για κοινωνικούς σκοπούς καθώς και την προσφορά, σε διαφημιζόμενους και λοιπούς επαγγελματικούς εταίρους, υπηρεσιών εμπορικής επικοινωνίας με αποδέκτη τον χρήστη και εργαλείων ανάλυσης τα οποία συμβάλλουν στην αξιολόγηση των επιδόσεών τους.
114 Εκ προοιμίου, διαπιστώνεται συναφώς ότι η αίτηση προδικαστικής αποφάσεως δεν περιλαμβάνει επεξηγηματικά στοιχεία ώστε να μπορεί να γίνει αντιληπτό για ποιον λόγο η έρευνα και η καινοτομία για κοινωνικούς σκοπούς ή το ενδεχόμενο να είναι ο χρήστης ανήλικος θα μπορούσαν να δικαιολογήσουν, ως έννομα συμφέροντα κατά την έννοια του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, τη συλλογή και την εκμετάλλευση των επίμαχων δεδομένων. Κατά συνέπεια, το Δικαστήριο δεν είναι σε θέση να αποφανθεί επί του συγκεκριμένου ζητήματος.
115 Πρώτον, όσον αφορά την εξατομίκευση των διαφημίσεων, επισημαίνεται ότι, σύμφωνα με την αιτιολογική σκέψη 47 του κανονισμού, η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άμεσης εμπορικής προώθησης μπορεί να θεωρηθεί ότι διενεργείται χάριν εννόμου συμφέροντος του υπευθύνου επεξεργασίας.
116 Πρέπει πάντως επίσης η επεξεργασία να είναι αναγκαία για την εξυπηρέτηση του συμφέροντος του υπευθύνου επεξεργασίας, αλλά και τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων να μην υπερισχύουν του συμφέροντος αυτού. Στο πλαίσιο της απαιτούμενης στάθμισης των αντιπαρατιθέμενων δικαιωμάτων και συμφερόντων, ήτοι εκείνων του υπευθύνου επεξεργασίας, αφενός, και εκείνων του υποκειμένου των δεδομένων, αφετέρου, πρέπει να λαμβάνονται υπόψη, όπως προεκτέθηκε στη σκέψη 112 της παρούσας αποφάσεως, ιδίως οι εύλογες προσδοκίες του υποκειμένου των δεδομένων, η έκταση της επίμαχης επεξεργασίας και ο αντίκτυπός της στο υποκείμενο των δεδομένων.
117 Επισημαίνεται δε ότι, παρότι οι υπηρεσίες ενός ηλεκτρονικού μέσου κοινωνικής δικτύωσης όπως το Facebook προσφέρονται δωρεάν, δεν μπορεί ο χρήστης του να αναμένει ευλόγως ότι, χωρίς τη συγκατάθεσή του, η επιχείρηση η οποία έχει την εκμετάλλευση του κοινωνικού αυτού δικτύου επεξεργάζεται τα προσωπικά του δεδομένα προς τον σκοπό της εξατομίκευσης των διαφημίσεων. Υπό τις συνθήκες αυτές, πρέπει να γίνει δεκτό ότι τα συμφέροντα και τα θεμελιώδη δικαιώματα του χρήστη υπερισχύουν του συμφέροντος της επιχείρησης να προβαίνει σε εξατομίκευση των διαφημίσεων μέσω της οποίας χρηματοδοτεί τη δραστηριότητά της, όπερ σημαίνει ότι η επεξεργασία που πραγματοποιείται για τέτοιον σκοπό δεν καλύπτεται από το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ.
118 Εξάλλου, η επίμαχη στην υπόθεση της κύριας δίκης επεξεργασία είναι ιδιαιτέρως εκτεταμένη καθώς αφορά εν δυνάμει απεριόριστα δεδομένα και έχει σημαντικό αντίκτυπο στον χρήστη, του οποίου οι περισσότερες, αν όχι όλες σχεδόν, οι διαδικτυακές δραστηριότητες καταγράφονται από τη Meta Platforms Ireland, κάτι που μπορεί να του δημιουργήσει την αίσθηση μιας διαρκούς παρακολούθησης της ιδιωτικής του ζωής.
119 Δεύτερον, όσον αφορά τον σκοπό της διαφύλαξης της ασφάλειας του δικτύου, πρόκειται, όπως δηλώνεται στην αιτιολογική σκέψη 49 του ΓΚΠΔ, για έννομο συμφέρον της Meta Platforms Ireland, το οποίο είναι ικανό να δικαιολογήσει την επίμαχη στην υπόθεση της κύριας δίκης επεξεργασία.
120 Εντούτοις, ως προς την αναγκαιότητα της επεξεργασίας αυτής για την εξυπηρέτηση του συγκεκριμένου εννόμου συμφέροντος, το αιτούν δικαστήριο θα πρέπει να ελέγξει αν και σε ποιον βαθμό η επεξεργασία δεδομένων προσωπικού χαρακτήρα που συλλέγονται από εξωτερικές πηγές σε σχέση με το κοινωνικό δίκτυο Facebook είναι πράγματι αναγκαία προκειμένου να μην τίθεται σε κίνδυνο η εσωτερική ασφάλεια του δικτύου αυτού.
121 Στο πλαίσιο αυτό, όπως προεκτέθηκε στις σκέψεις 108 και 109 της παρούσας αποφάσεως, το αιτούν δικαστήριο θα πρέπει επίσης να ελέγξει, αφενός, αν το έννομο συμφέρον το οποίο επιδιώκεται με την επεξεργασία των δεδομένων δεν είναι ευλόγως δυνατόν να πραγματωθεί κατά τρόπο εξίσου αποτελεσματικό με άλλα μέσα που να θίγουν λιγότερο τις θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων, ιδίως τα δικαιώματα του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα τα οποία κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη, καθώς και, αφετέρου, αν τηρείται η λεγόμενη αρχή της «ελαχιστοποίησης των δεδομένων», η οποία καθιερώνεται στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ.
122 Τρίτον, όσον αφορά τον σκοπό της βελτίωσης του προϊόντος, δεν μπορεί να αποκλειστεί εκ των προτέρων ως ενδεχόμενο ότι το συμφέρον του υπευθύνου επεξεργασίας για βελτίωση του προϊόντος ή της υπηρεσίας του προκειμένου να ενισχυθεί η αποτελεσματικότητα και, ως εκ τούτου, η ελκυστικότητά τους μπορεί να συνιστά έννομο συμφέρον ικανό να δικαιολογήσει επεξεργασία δεδομένων προσωπικού χαρακτήρα και ότι τέτοια επεξεργασία μπορεί να είναι αναγκαία προς επιδίωξη του συμφέροντος αυτού.
123 Ωστόσο, υπό την επιφύλαξη της τελικής εκτιμήσεως στην οποία θα προβεί το αιτούν δικαστήριο επί του ζητήματος, παρίσταται αμφίβολο κατά πόσον, στην περίπτωση της επίμαχης στην κύρια δίκη επεξεργασίας, ο σκοπός της βελτίωσης του προϊόντος μπορεί να υπερισχύει των συμφερόντων και των θεμελιωδών δικαιωμάτων του χρήστη, κατά μείζονα λόγο αν πρόκειται για παιδί, λαμβανομένων υπόψη της έκτασης της επεξεργασίας και του σημαντικού της αντίκτυπου στον χρήστη, καθώς και του ότι αυτός δεν μπορεί ευλόγως να αναμένει ότι η Meta Platforms Ireland θα υποβάλλει τα δεδομένα του σε επεξεργασία.
124 Τέταρτον, όσον αφορά τον σκοπό στον οποίο αναφέρεται το αιτούν δικαστήριο, περί ενημέρωσης των αρμόδιων αρχών για την άσκηση ποινικών διώξεων και την επιβολή και εκτέλεση ποινών προκειμένου να προλαμβάνονται, να εντοπίζονται και να διώκονται οι παραβάσεις, διαπιστώνεται ότι ο συγκεκριμένος σκοπός δεν μπορεί, κατ’ αρχήν, να θεωρηθεί ως έννομο συμφέρον που επιδιώκεται από τον υπεύθυνο επεξεργασίας, κατά την έννοια του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ. Τούτο διότι, μια ιδιωτική επιχείρηση όπως η Meta Platforms Ireland δεν δύναται να επικαλεστεί τέτοιο έννομο συμφέρον, ξένο προς την οικονομική και εμπορική δραστηριότητά της. Αντιθέτως, ο εν λόγω σκοπός μπορεί να δικαιολογήσει την επεξεργασία την οποία πραγματοποιεί ιδιωτική επιχείρηση εφόσον είναι αντικειμενικώς αναγκαία για την εκπλήρωση έννομης υποχρέωσης στην οποία υπόκειται η επιχείρηση αυτή.
125 Κατόπιν όλων των ανωτέρω σκέψεων, στο τρίτο και το τέταρτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ έχει την έννοια ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης και συνίσταται στη συλλογή δεδομένων των χρηστών του κοινωνικού αυτού δικτύου, προερχόμενων από άλλες υπηρεσίες του ομίλου όπου ανήκει η επιχείρηση εκμετάλλευσης ή από την επίσκεψη των χρηστών σε τρίτους ιστοτόπους ή σε τρίτες εφαρμογές, στον συσχετισμό των ως άνω δεδομένων με τον λογαριασμό των χρηστών στο κοινωνικό δίκτυο και, τέλος, στη χρήση των δεδομένων δεν μπορεί να θεωρηθεί αναγκαία για την εκτέλεση σύμβασης στην οποία τα υποκείμενα των δεδομένων είναι συμβαλλόμενα μέρη, κατά την έννοια της προαναφερθείσας διατάξεως, παρά μόνον υπό την προϋπόθεση ότι η επεξεργασία αυτή είναι αντικειμενικώς αναγκαία για την επίτευξη σκοπού άρρηκτα συνδεδεμένου με τη συμβατική παροχή που προορίζεται για τους χρήστες, με συνέπεια η εκπλήρωση του κυρίου αντικειμένου της σύμβασης να είναι αδύνατη ελλείψει της επεξεργασίας.
126 Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ έχει την έννοια ότι μια τέτοια επεξεργασία δεν μπορεί να θεωρηθεί αναγκαία για τους σκοπούς των εννόμων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, κατά την έννοια της διατάξεως αυτής, παρά μόνον υπό την προϋπόθεση ότι η ενδιαφερόμενη επιχείρηση έχει γνωστοποιήσει στους χρήστες από τους οποίους συλλέγονται τα δεδομένα ποιο έννομο συμφέρον επιδιώκεται με την επεξεργασία τους, ότι η επεξεργασία περιορίζεται εντός των ορίων που είναι απολύτως αναγκαία για την εξυπηρέτηση του έννομου αυτού συμφέροντος και ότι από τη στάθμιση των αντιτιθέμενων συμφερόντων, υπό το πρίσμα του συνόλου των κρίσιμων περιστάσεων, προκύπτει ότι τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των χρηστών δεν υπερισχύουν του εν λόγω εννόμου συμφέροντος του υπευθύνου επεξεργασίας ή τρίτου.
Επί του πέμπτου προδικαστικού ερωτήματος
127 Κατά πρώτον, στον βαθμό που το ερώτημα αυτό αφορά το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία γʹ και εʹ, του ΓΚΠΔ, υπενθυμίζεται κατ’ αρχάς ότι, βάσει του στοιχείου γʹ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη εφόσον είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας. Επιπλέον, βάσει του στοιχείου εʹ, είναι επίσης νόμιμη η επεξεργασία η οποία είναι απαραίτητη για την εκπλήρωση αποστολής που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας.
128 Το άρθρο 6, παράγραφος 3, του ΓΚΠΔ ορίζει ειδικότερα, σε σχέση με τις δύο προαναφερθείσες περιπτώσεις νόμιμης επεξεργασίας, ότι βάση της επεξεργασίας πρέπει να είναι το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και ότι η νομική αυτή βάση πρέπει να ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και να είναι ανάλογη προς τον επιδιωκόμενο νόμιμο σκοπό.
129 Εν προκειμένω, το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν μια επεξεργασία δεδομένων προσωπικού χαρακτήρα όπως η επίμαχη στην υπόθεση της κύριας δίκης μπορεί να θεωρηθεί δικαιολογημένη βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο γʹ, του ΓΚΠΔ σε περίπτωση που αποσκοπεί στην «ικανοποίηση νομίμως υποβληθέντος αιτήματος παροχής ορισμένων δεδομένων» και, βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο εʹ, του κανονισμού, σε περίπτωση που επιδιώκει «προς όφελος της κοινωνίας [...] την ενίσχυση της προστασίας, της ακεραιότητας και της ασφάλειας».
130 Διαπιστώνεται όμως ότι το αιτούν δικαστήριο δεν έχει παράσχει στο Δικαστήριο στοιχεία που να του δίνουν τη δυνατότητα να αποφανθεί συγκεκριμένα επί των ζητημάτων αυτών.
131 Εναπόκειται επομένως στο αιτούν δικαστήριο να ελέγξει αν, υπό το πρίσμα των προϋποθέσεων που προεκτέθηκαν στη σκέψη 128 της παρούσας αποφάσεως, η επίμαχη επεξεργασία μπορεί να θεωρηθεί δικαιολογημένη βάσει των σκοπών των οποίων γίνεται επίκληση.
132 Ειδικότερα, λαμβανομένων υπόψη των όσων επισημάνθηκαν στη σκέψη 124 της παρούσας αποφάσεως, το αιτούν δικαστήριο θα πρέπει μεταξύ άλλων να διερευνήσει, στο πλαίσιο της εφαρμογής του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο γʹ, του ΓΚΠΔ, αν η Meta Platforms Ireland υπόκειται σε έννομη υποχρέωση προληπτικής συλλογής και αποθήκευσης των δεδομένων προσωπικού χαρακτήρα προκειμένου να είναι σε θέση να ανταποκριθεί σε οποιοδήποτε αίτημα εθνικής αρχής με το οποίο ζητούνται ορισμένα δεδομένα σχετικά με τους χρήστες της.
133 Ομοίως, το αιτούν δικαστήριο θα πρέπει να εκτιμήσει, υπό το πρίσμα του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο εʹ, του ΓΚΠΔ, αν έχει ανατεθεί στη Meta Platforms Ireland αποστολή δημοσίου συμφέροντος ή άσκηση δημόσιας εξουσίας ιδίως προς όφελος της κοινωνίας και για την ενίσχυση της προστασίας, της ακεραιότητας και της ασφάλειας, με δεδομένο ότι, ενόψει της φύσης και του, κατά βάση, οικονομικού και εμπορικού χαρακτήρα της δραστηριότητάς της, δεν παρίσταται ιδιαιτέρως πιθανό να έχει ανατεθεί τέτοια αποστολή στην επιχείρηση αυτή.
134 Πέραν τούτου, το αιτούν δικαστήριο θα πρέπει, εφόσον κριθεί απαραίτητο, να ελέγξει αν, λαμβανομένων υπόψη της έκτασης της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την οποία πραγματοποιεί η Meta Platforms Ireland και του σημαντικού της αντίκτυπου για τους χρήστες του κοινωνικού δικτύου Facebook, η επίμαχη επεξεργασία περιορίζεται εντός των απολύτως αναγκαίων ορίων.
135 Κατά δεύτερον, ως προς το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο δʹ, του ΓΚΠΔ, υπενθυμίζεται ότι η διάταξη αυτή προβλέπει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη εφόσον είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου.
136 Όπως προκύπτει από την αιτιολογική σκέψη 46 του κανονισμού, η ως άνω διάταξη αφορά την ειδική περίπτωση στην οποία η επεξεργασία προσωπικών δεδομένων είναι αναγκαία για την προστασία συμφέροντος που είναι ουσιώδες για τη ζωή του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου. Εν είδει παραδείγματος, μνημονεύονται, στην αιτιολογική αυτή σκέψη ανθρωπιστικοί σκοποί, όπως η παρακολούθηση επιδημιών και της εξάπλωσής τους, ή καταστάσεις επείγουσας ανθρωπιστικής ανάγκης, όπως οι περιπτώσεις φυσικών και ανθρωπογενών καταστροφών.
137 Από τα παραδείγματα αυτά, όπως και από την επιβαλλόμενη στενή ερμηνεία του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο δʹ, του ΓΚΠΔ, συνάγεται ότι, λόγω της φύσης των υπηρεσιών που παρέχονται από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης, μια τέτοια επιχείρηση, της οποίας η δραστηριότητα έχει κατά βάση οικονομικό και εμπορικό χαρακτήρα, δεν δύναται να επικαλεστεί την προστασία συμφέροντος ουσιώδους για τη ζωή των χρηστών του κοινωνικού δικτύου ή άλλου φυσικού προσώπου, προκειμένου να δικαιολογήσει αφηρημένα, αμιγώς θεωρητικά και προληπτικά, τη νομιμότητα επεξεργασίας δεδομένων όπως η επίμαχη στην υπόθεση της κύριας δίκης.
138 Κατόπιν των ανωτέρω σκέψεων, στο πέμπτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης και συνίσταται στη συλλογή δεδομένων των χρηστών του κοινωνικού αυτού δικτύου, προερχόμενων από άλλες υπηρεσίες του ομίλου όπου ανήκει η επιχείρηση εκμετάλλευσης ή από την επίσκεψη των χρηστών σε τρίτους ιστοτόπους ή σε τρίτες εφαρμογές, στον συσχετισμό των ως άνω δεδομένων με τον λογαριασμό των χρηστών στο κοινωνικό δίκτυο και, τέλος, στη χρήση των δεδομένων δικαιολογείται βάσει της διατάξεως αυτής εφόσον είναι πράγματι απαραίτητη για την εκπλήρωση έννομης υποχρέωσης την οποία υπέχει ο υπεύθυνος επεξεργασίας από ρύθμιση του δικαίου της Ένωσης ή του δικαίου του οικείου κράτους μέλους, εφόσον η νομική αυτή βάση ανταποκρίνεται σε σκοπό δημοσίου συμφέροντος και είναι ανάλογη προς τον επιδιωκόμενο νόμιμο σκοπό και εφόσον η επεξεργασία περιορίζεται εντός των απολύτως αναγκαίων ορίων.
139 Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία δʹ και εʹ, του ΓΚΠΔ έχει την έννοια ότι μια τέτοια επεξεργασία δεδομένων προσωπικού χαρακτήρα δεν μπορεί κατ’ αρχήν, και υπό την επιφύλαξη ελέγχου στον οποίο αρμόδιο να προβεί είναι το αιτούν δικαστήριο, να θεωρηθεί αναγκαία για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, κατά την έννοια του στοιχείου δʹ, ή για την εκπλήρωση αποστολής που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, κατά την έννοια του στοιχείου εʹ.
Επί του έκτου προδικαστικού ερωτήματος
140 Με το έκτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί κατ’ ουσίαν να διευκρινιστεί αν το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, και το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ έχουν την έννοια ότι συγκατάθεση που δίνεται από τον χρήστη ηλεκτρονικού μέσου κοινωνικής δικτύωσης στην επιχείρηση εκμετάλλευσης του δικτύου αυτού μπορεί να θεωρηθεί ότι πληροί τις προϋποθέσεις εγκυρότητας οι οποίες προβλέπονται στο άρθρο 4, σημείο 11, του κανονισμού, και δη την προϋπόθεση ότι η συγκατάθεση πρέπει να παρέχεται ελεύθερα, σε περίπτωση που η συγκεκριμένη επιχείρηση κατέχει δεσπόζουσα θέση στην αγορά τέτοιων κοινωνικών δικτύων.
141 Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, και το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ απαιτούν τη συγκατάθεση του υποκειμένου των δεδομένων ως προϋπόθεση, αντιστοίχως, της επεξεργασίας των δεδομένων του προσωπικού χαρακτήρα για έναν ή περισσότερους ειδικούς σκοπούς και της επεξεργασίας των ειδικών κατηγοριών δεδομένων που μνημονεύονται στο άρθρο 9, παράγραφος 1.
142 Από την πλευρά του, το άρθρο 4, σημείο 11, ορίζει τη «συγκατάθεση» ως «κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, εν πλήρει επιγνώσει και αδιαμφισβήτητη, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν».
143 Σε σχέση με τις αμφιβολίες που διατυπώνει το αιτούν δικαστήριο, υπενθυμίζεται, πρώτον, ότι, σύμφωνα με την αιτιολογική σκέψη 42 του ΓΚΠΔ, η συγκατάθεση δεν μπορεί να θεωρηθεί ότι έχει δοθεί ελεύθερα αν το υποκείμενο των δεδομένων δεν διαθέτει πραγματική ελευθερία επιλογής ή δεν είναι σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεσή του χωρίς να ζημιωθεί.
144 Δεύτερον, στην αιτιολογική σκέψη 43 επισημαίνεται ότι, για να διασφαλίζεται ότι παρέχεται ελεύθερα η συγκατάθεση, δεν θα πρέπει αυτή να συνιστά έγκυρη νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα όταν υπάρχει σαφής ανισότητα μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας. Στην ίδια αιτιολογική σκέψη διευκρινίζεται επίσης ότι η συγκατάθεση τεκμαίρεται ότι δεν έχει παρασχεθεί ελεύθερα, εάν δεν επιτρέπεται να δοθεί χωριστή συγκατάθεση σε διαφορετικές πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ακόμη και αν τούτο ενδείκνυται στη συγκεκριμένη περίπτωση.
145 Τρίτον, το άρθρο 7, παράγραφος 4, του ΓΚΠΔ προβλέπει ότι, όταν κρίνεται το αν η συγκατάθεση έχει παρασχεθεί ελεύθερα, πρέπει να λαμβάνεται ιδιαιτέρως υπόψη το κατά πόσον, μεταξύ άλλων, για την εκτέλεση μιας σύμβασης, συμπεριλαμβανομένης της παροχής υπηρεσίας, τίθεται ως προϋπόθεση η συγκατάθεση σε επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία δεν είναι αναγκαία για την εκτέλεση της σύμβασης.
146 Βάσει αυτών ακριβώς των εκτιμήσεων πρέπει να δοθεί απάντηση στο ως άνω προδικαστικό ερώτημα.
147 Διαπιστώνεται συναφώς ότι το γεγονός ότι μια επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης, ως υπεύθυνος επεξεργασίας, κατέχει δεσπόζουσα θέση στην αγορά των κοινωνικών δικτύων δεν αποκλείει, αυτό καθ’ εαυτό, την ύπαρξη δυνατότητας των χρηστών του εν λόγω κοινωνικού δικτύου να συγκατατεθούν εγκύρως, κατά την έννοια του άρθρου 4, σημείο 11, του ΓΚΠΔ, στην επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα την οποία πραγματοποιεί η προαναφερθείσα επιχείρηση.
148 Αληθεύει όμως ότι, όπως παρατήρησε και ο γενικός εισαγγελέας στο σημείο 75 των προτάσεών του, το γεγονός αυτό πρέπει να ληφθεί υπόψη κατά την εκτίμηση του ζητήματος εάν η συγκατάθεση την οποία έδωσε ο χρήστης του δικτύου ήταν έγκυρη και, κυρίως, ελεύθερη, δεδομένου ότι πρόκειται για γεγονός που μπορεί να επηρεάσει την ελευθερία επιλογής του χρήστη, ο οποίος ενδέχεται να μην είναι σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεσή του χωρίς να ζημιωθεί, όπως αναφέρεται στην αιτιολογική σκέψη 42 του ΓΚΠΔ.
149 Επιπλέον, η ύπαρξη τέτοιας δεσπόζουσας θέσης είναι πιθανόν να δημιουργεί σαφή ανισότητα, κατά την έννοια της αιτιολογικής σκέψης 43 του ΓΚΠΔ, μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, η δε ανισότητα αυτή ευνοεί, μεταξύ άλλων, την επιβολή όρων που δεν είναι απολύτως αναγκαίοι για την εκτέλεση της σύμβασης, πράγμα το οποίο πρέπει να λαμβάνεται υπόψη, σύμφωνα με τα όσα ορίζει το άρθρο 7, παράγραφος 4, του κανονισμού. Στο πλαίσιο αυτό, υπενθυμίζεται ότι, όπως προεκτέθηκε στις σκέψεις 102 έως 104 της παρούσας αποφάσεως, δεν προκύπτει εν προκειμένω, υπό την επιφύλαξη των ελέγχων στους οποίους αρμόδιο να προβεί είναι το αιτούν δικαστήριο, ότι η επίμαχη στην υπόθεση της κύριας δίκης επεξεργασία είναι απολύτως αναγκαία για την εκτέλεση της σύμβασης μεταξύ της Meta Platforms Ireland και των χρηστών του κοινωνικού δικτύου Facebook.
150 Ειδικότερα, οι χρήστες αυτοί πρέπει να διαθέτουν την ελευθερία να αρνηθούν ατομικώς, στο πλαίσιο της όλης διαδικασίας σύναψης της σύμβασης, να δώσουν τη συγκατάθεσή τους για ειδικές πράξεις επεξεργασίας δεδομένων οι οποίες δεν είναι αναγκαίες για την εκτέλεση της σύμβασης, χωρίς ωστόσο να είναι αναγκασμένοι να παραιτηθούν πλήρως από τη χρήση της υπηρεσίας την οποία παρέχει η επιχείρηση εκμετάλλευσης του κοινωνικού δικτύου, όπερ σημαίνει ότι τους αντιπροτείνεται, εν ανάγκη έναντι κατάλληλης αμοιβής, μια αντίστοιχη εναλλακτική που δεν θα συνεπάγεται τη διενέργεια τέτοιων πράξεων επεξεργασίας.
151 Πέραν τούτου, λαμβανομένων υπόψη της έκτασης της επίμαχης επεξεργασίας δεδομένων και του σημαντικού αντίκτυπού της στους χρήστες του συγκεκριμένου κοινωνικού δικτύου, καθώς και του ότι οι χρήστες δεν μπορούν ευλόγως να αναμένουν ότι άλλα δεδομένα πέραν εκείνων που αφορούν τη συμπεριφορά τους εντός του κοινωνικού δικτύου θα υποβάλλονται σε επεξεργασία από την επιχείρηση αυτή, ενδείκνυται, κατά την έννοια της αιτιολογικής σκέψης 43 του ΓΚΠΔ, να υφίσταται δυνατότητα να δοθεί χωριστή συγκατάθεση για την επεξεργασία των τελευταίων αυτών δεδομένων, αφενός, και των εκτός Facebook δεδομένων, αφετέρου. Εναπόκειται στο αιτούν δικαστήριο να ελέγξει αν όντως υφίσταται τέτοια δυνατότητα, ελλείψει της οποίας η συγκατάθεση των χρηστών στην επεξεργασία των εκτός Facebook δεδομένων θα πρέπει, κατά τεκμήριο, να θεωρηθεί ότι δεν έχει παρασχεθεί ελεύθερα.
152 Τέλος, υπενθυμίζεται ότι, βάσει του άρθρου 7, παράγραφος 1, του ΓΚΠΔ, στις περιπτώσεις στις οποίες η επεξεργασία στηρίζεται στη συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι εκείνος που φέρει το βάρος να αποδείξει ότι το υποκείμενο των δεδομένων έχει συγκατατεθεί στην επεξεργασία δεδομένων προσωπικού χαρακτήρα τα οποία το αφορούν.
153 Υπό το πρίσμα των ως άνω κριτηρίων και αφού εξετάσει λεπτομερώς όλες τις περιστάσεις της προκειμένης περιπτώσεως, το αιτούν δικαστήριο θα πρέπει να κρίνει αν οι χρήστες του κοινωνικού δικτύου έχουν συγκατατεθεί εγκύρως και, κυρίως, ελεύθερα, στην επίμαχη επεξεργασία.
154 Κατόπιν των ανωτέρω, στο έκτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, και το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ έχουν την έννοια ότι το γεγονός ότι η επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης κατέχει δεσπόζουσα θέση στην αγορά τέτοιων κοινωνικών δικτύων δεν αποκλείει, αυτό καθ’ εαυτό, την ύπαρξη δυνατότητας των χρηστών του εν λόγω δικτύου να συγκατατεθούν εγκύρως, κατά την έννοια του άρθρου 4, σημείο 11, του κανονισμού, στην επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα την οποία πραγματοποιεί η προαναφερθείσα επιχείρηση. Το γεγονός αυτό συνιστά πάντως σημαντικό στοιχείο για την κρίση του ζητήματος εάν η συγκατάθεση δόθηκε στην πράξη εγκύρως και, κυρίως, ελεύθερα, η δε επιχείρηση φέρει συναφώς το βάρος απόδειξης.
Επί των δικαστικών εξόδων
155 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (τμήμα μείζονος συνθέσεως) αποφαίνεται:
1) Τα άρθρα 51 επ. του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), καθώς και το άρθρο 4, παράγραφος 3, ΣΕΕ
έχουν την έννοια ότι:
υπό την επιφύλαξη της τήρησης της υποχρέωσης καλόπιστης συνεργασίας με τις εποπτικές αρχές, η αρχή ανταγωνισμού κράτους μέλους μπορεί να διαπιστώσει, στο πλαίσιο της εξέτασης τυχόν ύπαρξης κατάχρησης δεσπόζουσας θέσης κατά την έννοια του άρθρου 102 ΣΛΕΕ από μια επιχείρηση, ότι οι γενικοί όροι χρήσης τους οποίους θέτει η επιχείρηση όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα καθώς και η εφαρμογή των γενικών αυτών όρων δεν συμβιβάζονται με τον κανονισμό 2016/679, εφόσον η ως άνω διαπίστωση είναι αναγκαία προκειμένου να αποδειχθεί η ύπαρξη τέτοιας κατάχρησης.
Λόγω ακριβώς της υποχρέωσης καλόπιστης συνεργασίας, η εθνική αρχή ανταγωνισμού δεν επιτρέπεται να αποκλίνει από απόφαση της αρμόδιας εθνικής εποπτικής αρχής ή της αρμόδιας επικεφαλής εποπτικής αρχής, σχετικής με τους συγκεκριμένους ή με παρόμοιους γενικούς όρους. Σε περίπτωση που η αρχή ανταγωνισμού διατηρεί αμφιβολίες ως προς το περιεχόμενο τέτοιας αποφάσεως, σε περίπτωση που οι συγκεκριμένοι ή παρόμοιοι γενικοί όροι εξετάζονται ταυτόχρονα από τις προαναφερθείσες αρχές ή ακόμη σε περίπτωση που, ελλείψει έρευνας ή αποφάσεως των εν λόγω αρχών, η ίδια είναι της γνώμης ότι οι επίμαχοι όροι δεν συμβιβάζονται με τον κανονισμό 2016/679, οφείλει να απευθυνθεί στις αρχές αυτές για να τις συμβουλευθεί και να ζητήσει τη συνεργασία τους, προκειμένου να άρει τις αμφιβολίες της ή να κρίνει κατά πόσον είναι σκόπιμο να αναμείνει την έκδοση δικής τους αποφάσεως προτού προχωρήσει στη δική της εκτίμηση. Εφόσον οι εν λόγω αρχές δεν διατυπώσουν αντίρρηση ή δεν απαντήσουν σε εύλογο χρόνο, η εθνική αρχή ανταγωνισμού μπορεί να συνεχίσει τη δική της έρευνα.
2) Το άρθρο 9, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι:
σε περίπτωση που χρήστης ηλεκτρονικού μέσου κοινωνικής δικτύωσης επισκέπτεται ιστοτόπους ή εφαρμογές που σχετίζονται με μία ή περισσότερες από τις κατηγορίες στις οποίες αναφέρεται η εν λόγω διάταξη και, ενδεχομένως, εισάγει δεδομένα στο πλαίσιο της εγγραφής του ή της πραγματοποίησης διαδικτυακών παραγγελιών, η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από την επιχείρηση εκμετάλλευσης του κοινωνικού δικτύου και συνίσταται, πρώτον, στη συλλογή, μέσω ενσωματωμένων διεπαφών ή μέσω cookies ή μέσω παρόμοιων τεχνολογιών αποθήκευσης, των δεδομένων που προέρχονται από τις επισκέψεις του χρήστη στους ιστοτόπους και στις εφαρμογές καθώς και των δεδομένων που ο χρήστης εισάγει εκεί, δεύτερον, στον συσχετισμό του συνόλου των δεδομένων αυτών με τον λογαριασμό του χρήστη στο κοινωνικό δίκτυο και, τρίτον, στη χρήση των δεδομένων από την επιχείρηση εκμετάλλευσης πρέπει να θεωρηθεί ως «επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα» κατά την έννοια της διατάξεως αυτής, η οποία κατ’ αρχήν απαγορεύεται, υπό την επιφύλαξη των εξαιρέσεων που προβλέπονται στο άρθρο 9, παράγραφος 2, εφόσον πρόκειται για επεξεργασία δεδομένων ικανή να αποκαλύψει πληροφορίες οι οποίες εμπίπτουν σε κάποια από τις προαναφερθείσες κατηγορίες, ανεξαρτήτως του αν οι πληροφορίες αφορούν χρήστη του συγκεκριμένου δικτύου ή οποιοδήποτε άλλο φυσικό πρόσωπο.
3) Το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού 2016/679
έχει την έννοια ότι:
όταν ο χρήστης ηλεκτρονικού μέσου κοινωνικής δικτύωσης επισκέπτεται ιστοτόπους ή εφαρμογές που σχετίζονται με μία ή περισσότερες από τις κατηγορίες του άρθρου 9, παράγραφος 1, του κανονισμού, ο χρήστης δεν δημοσιοποιεί προδήλως, κατά την έννοια της πρώτης από τις διατάξεις αυτές, τα σχετικά με την επίσκεψή του δεδομένα τα οποία συλλέγονται από την επιχείρηση εκμετάλλευσης του κοινωνικού δικτύου μέσω cookies ή παρόμοιων τεχνολογιών αποθήκευσης.
Όταν εισάγει δεδομένα σε τέτοιους ιστοτόπους ή σε τέτοιες εφαρμογές ή όταν κλικάρει στις εκεί ενσωματωμένες επιλογές τύπου «Μου αρέσει» ή «Κοινοποίηση» ή στα πεδία όπου μπορεί να ταυτοποιηθεί από τον ιστότοπο ή την εφαρμογή χρησιμοποιώντας, ως αναγνωριστικά, τους κωδικούς σύνδεσης στον λογαριασμό του στο κοινωνικό δίκτυο, τον αριθμό τηλεφώνου ή την ηλεκτρονική του διεύθυνση, ο χρήστης δεν δημοσιοποιεί προδήλως κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, τα δεδομένα τα οποία εισάγονται κατ’ αυτόν τον τρόπο ή προέρχονται από το κλικάρισμα των επιλογών, παρά μόνο σε περίπτωση που έχει εκ των προτέρων εκφράσει ρητώς την επιλογή του, ενδεχομένως βάσει μιας εξατομικευμένης παραμετροποίησης που γίνεται εν πλήρει επιγνώσει, να καταστούν τα δεδομένα τα οποία τον αφορούν δημοσίως προσβάσιμα σε απεριόριστο αριθμό προσώπων.
4) Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του κανονισμού 2016/679
έχει την έννοια ότι:
η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης και συνίσταται στη συλλογή δεδομένων των χρηστών του κοινωνικού αυτού δικτύου, προερχόμενων από άλλες υπηρεσίες του ομίλου όπου ανήκει η επιχείρηση εκμετάλλευσης ή από την επίσκεψη των χρηστών σε τρίτους ιστοτόπους ή σε τρίτες εφαρμογές, στον συσχετισμό των ως άνω δεδομένων με τον λογαριασμό των χρηστών στο κοινωνικό δίκτυο και, τέλος, στη χρήση των δεδομένων δεν μπορεί να θεωρηθεί αναγκαία για την εκτέλεση σύμβασης στην οποία τα υποκείμενα των δεδομένων είναι συμβαλλόμενα μέρη, κατά την έννοια της προαναφερθείσας διατάξεως, παρά μόνον υπό την προϋπόθεση ότι η επεξεργασία αυτή είναι αντικειμενικώς αναγκαία για την επίτευξη σκοπού άρρηκτα συνδεδεμένου με τη συμβατική παροχή που προορίζεται για τους χρήστες, με συνέπεια η εκπλήρωση του κυρίου αντικειμένου της σύμβασης να είναι αδύνατη ελλείψει της επεξεργασίας.
5) Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του κανονισμού 2016/2679
έχει την έννοια ότι:
η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης και συνίσταται στη συλλογή δεδομένων των χρηστών του κοινωνικού αυτού δικτύου, προερχόμενων από άλλες υπηρεσίες του ομίλου όπου ανήκει η επιχείρηση εκμετάλλευσης ή από την επίσκεψη των χρηστών σε τρίτους ιστοτόπους ή σε τρίτες εφαρμογές, στον συσχετισμό των ως άνω δεδομένων με τον λογαριασμό των χρηστών στο κοινωνικό δίκτυο και, τέλος, στη χρήση των δεδομένων δεν μπορεί να θεωρηθεί αναγκαία για τους σκοπούς των εννόμων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, κατά την έννοια της διατάξεως αυτής, παρά μόνον υπό την προϋπόθεση ότι η ενδιαφερόμενη επιχείρηση έχει γνωστοποιήσει στους χρήστες από τους οποίους συλλέγονται τα δεδομένα ποιο έννομο συμφέρον επιδιώκεται με την επεξεργασία τους, ότι η επεξεργασία γίνεται εντός των ορίων που είναι απολύτως αναγκαία για την εξυπηρέτηση του έννομου αυτού συμφέροντος και ότι από τη στάθμιση των αντιτιθέμενων συμφερόντων, υπό το πρίσμα του συνόλου των κρίσιμων περιστάσεων, προκύπτει ότι τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των χρηστών δεν υπερισχύουν του εν λόγω εννόμου συμφέροντος του υπευθύνου επεξεργασίας ή τρίτου.
6) Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο γʹ, του κανονισμού 2016/679
έχει την έννοια ότι:
η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία πραγματοποιείται από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης και συνίσταται στη συλλογή δεδομένων των χρηστών του κοινωνικού αυτού δικτύου, προερχόμενων από άλλες υπηρεσίες του ομίλου όπου ανήκει η επιχείρηση εκμετάλλευσης ή από την επίσκεψη των χρηστών σε τρίτους ιστοτόπους ή σε τρίτες εφαρμογές, στον συσχετισμό των ως άνω δεδομένων με τον λογαριασμό των χρηστών στο κοινωνικό δίκτυο και, τέλος, στη χρήση των δεδομένων δικαιολογείται βάσει της διατάξεως αυτής εφόσον είναι πράγματι απαραίτητη για την εκπλήρωση έννομης υποχρέωσης την οποία υπέχει ο υπεύθυνος επεξεργασίας από ρύθμιση του δικαίου της Ένωσης ή του δικαίου του οικείου κράτους μέλους, εφόσον η νομική αυτή βάση ανταποκρίνεται σε σκοπό δημοσίου συμφέροντος και είναι ανάλογη προς τον επιδιωκόμενο νόμιμο σκοπό και εφόσον η επεξεργασία περιορίζεται εντός των απολύτως αναγκαίων ορίων.
7) Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία δʹ και εʹ, του κανονισμού 2016/679
έχουν την έννοια ότι:
η επεξεργασία δεδομένων προσωπικού χαρακτήρα από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης, η οποία συνίσταται στη συλλογή δεδομένων των χρηστών του κοινωνικού αυτού δικτύου, προερχόμενων από άλλες υπηρεσίες του ομίλου όπου ανήκει η επιχείρηση εκμετάλλευσης ή από την επίσκεψη των χρηστών σε τρίτους ιστοτόπους ή σε τρίτες εφαρμογές, στον συσχετισμό των ως άνω δεδομένων με τον λογαριασμό των χρηστών στο κοινωνικό δίκτυο και, τέλος, στη χρήση των δεδομένων, δεν μπορεί κατ’ αρχήν, και υπό την επιφύλαξη ελέγχου στον οποίο αρμόδιο να προβεί είναι το αιτούν δικαστήριο, να θεωρηθεί αναγκαία για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου, κατά την έννοια του στοιχείου δʹ, ή για την εκπλήρωση αποστολής που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, κατά την έννοια του στοιχείου εʹ.
8) Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο αʹ, και το άρθρο 9, παράγραφος 2, στοιχείο αʹ, του κανονισμού 2016/679
έχουν την έννοια ότι:
το γεγονός ότι η επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης κατέχει δεσπόζουσα θέση στην αγορά τέτοιων κοινωνικών δικτύων δεν αποκλείει, αυτό καθ’ εαυτό, την ύπαρξη δυνατότητας των χρηστών του εν λόγω δικτύου να συγκατατεθούν εγκύρως, κατά την έννοια του άρθρου 4, σημείο 11, του κανονισμού, στην επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα την οποία πραγματοποιεί η προαναφερθείσα επιχείρηση. Το γεγονός αυτό συνιστά πάντως σημαντικό στοιχείο για την κρίση του ζητήματος εάν η συγκατάθεση δόθηκε στην πράξη εγκύρως και, κυρίως, ελεύθερα, η δε επιχείρηση φέρει συναφώς το βάρος απόδειξης.
(υπογραφές)