ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τέταρτο τμήμα) της 4ης Οκτωβρίου 2024
« Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Ηλεκτρονικά μέσα κοινωνικής δικτύωσης – Γενικοί όροι χρήσης που αφορούν τις συμβάσεις που συνάπτονται μεταξύ ψηφιακής πλατφόρμας και χρήστη – Εξατομικευμένη διαφήμιση – Άρθρο 5, παράγραφος 1, στοιχείο βʹ – Αρχή του περιορισμού του σκοπού – Άρθρο 5, παράγραφος 1, στοιχείο γʹ – Αρχή της ελαχιστοποίησης των δεδομένων – Άρθρο 9, παράγραφοι 1 και 2 – Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα – Δεδομένα που αφορούν τον γενετήσιο προσανατολισμό – Δεδομένα που έχουν δημοσιοποιηθεί από το υποκείμενο των δεδομένων »
Στην υπόθεση C‑446/21,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Oberster Gerichtshof (Ανώτατο Δικαστήριο, Αυστρία) με απόφαση της 23ης Ιουνίου 2021, η οποία περιήλθε στο Δικαστήριο στις 20 Ιουλίου 2021, στο πλαίσιο της δίκης
Maximilian Schrems
κατά
Meta Platforms Ireland Ltd, πρώην Facebook Ireland Ltd,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τέταρτο τμήμα),
συγκείμενο από τους Κ. Λυκούργο, πρόεδρο τμήματος, O. Spineanu-Matei, J.‑C. Bonichot, S. Rodin και L. S. Rossi (εισηγήτρια), δικαστές,
γενικός εισαγγελέας: Α. Ράντος
γραμματέας: N. Mundhenke, διοικητική υπάλληλος,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 8ης Φεβρουαρίου 2024,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– ο Maximilian Schrems, εκπροσωπούμενος από την K. Raabe-Stuppnig, Rechtsanwältin,
– η Meta Platforms Ireland Ltd, εκπροσωπούμενη από την K. Hanschitz, τον H.‑G. Kamann, την S. Khalil, την B. Knötzl και τον A. Natterer, Rechtsanwälte,
– η Αυστριακή Κυβέρνηση, εκπροσωπούμενη από τον A. Posch, την J. Schmoll, την C. Gabauer και τους G. Kunnert και E. Riedl,
– η Γαλλική Κυβέρνηση, εκπροσωπούμενη από τον R. Bénard και την A.‑L. Desjonquères,
– η Ιταλική Κυβέρνηση, εκπροσωπούμενη από την G. Palmieri, επικουρούμενη από τον E. De Bonis, avvocato dello Stato,
– η Πορτογαλική Κυβέρνηση, εκπροσωπούμενη από τις P. Barros da Costa και A. Pimenta, καθώς και από τον J. Ramos και την C. Vieira Guerra, advogados,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον Α. Μπουχάγιαρ, τον F. Erlbacher, την M. Heller και τον H. Kranenborg,
αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 25ης Απριλίου 2024,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 5, παράγραφος 1, στοιχεία βʹ και γʹ, του άρθρου 6, παράγραφος 1, στοιχεία αʹ και βʹ, και του άρθρου 9, παράγραφος 1 και παράγραφος 2, στοιχείο εʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικό ΕΕ 2021, L 74, σ. 35) (στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ του Maximilian Schrems (1), χρήστη του μέσου κοινωνικής δικτύωσης Facebook, και της Meta Platforms Ireland Ltd, πρώην Facebook Ireland Ltd, η οποία εδρεύει στην Ιρλανδία, σχετικά με τη φερόμενη ως παράνομη επεξεργασία, από την εταιρία αυτή, των δεδομένων προσωπικού χαρακτήρα του εν λόγω χρήστη.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Οι αιτιολογικές σκέψεις 1, 4, 39, 42, 43, 50 και 51 του ΓΚΠΔ έχουν ως εξής:
«(1) Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα. Το άρθρο 8, παράγραφος 1, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (“Χάρτης”) και το άρθρο 16, παράγραφος 1, [ΣΛΕΕ] ορίζουν ότι κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.
[…]
(4) Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται να εξυπηρετεί τον άνθρωπο. Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα· πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο παρών κανονισμός σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη όπως κατοχυρώνονται στις Συνθήκες, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
[…]
(39) Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και δίκαιη. Θα πρέπει να είναι σαφές για τα φυσικά πρόσωπα ότι δεδομένα προσωπικού χαρακτήρα που τα αφορούν συλλέγονται, χρησιμοποιούνται, λαμβάνονται υπόψη ή υποβάλλονται κατ’ άλλο τρόπο σε επεξεργασία, καθώς και σε ποιον βαθμό τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται ή θα υποβληθούν σε επεξεργασία. […] Θα πρέπει να γνωστοποιείται στα φυσικά πρόσωπα η ύπαρξη κινδύνων, κανόνων, εγγυήσεων και δικαιωμάτων σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα και πώς να ασκούν τα δικαιώματά τους σε σχέση με την επεξεργασία αυτή. Ιδίως, οι συγκεκριμένοι σκοποί της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι ρητοί, νόμιμοι και προσδιορισμένοι κατά τον χρόνο συλλογής των δεδομένων προσωπικού χαρακτήρα. Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να είναι επαρκή και συναφή και να περιορίζονται στα αναγκαία για τους σκοπούς της επεξεργασίας τους. Αυτό απαιτεί ειδικότερα να διασφαλίζεται ότι το διάστημα αποθήκευσης των δεδομένων προσωπικού χαρακτήρα να περιορίζεται στο ελάχιστο δυνατό. Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υποβάλλονται σε επεξεργασία μόνο εάν ο σκοπός της επεξεργασίας δεν μπορεί να επιτευχθεί με άλλα μέσα. Για να διασφαλιστεί ότι τα δεδομένα προσωπικού χαρακτήρα δεν διατηρούνται περισσότερο από όσο είναι αναγκαίο, ο υπεύθυνος επεξεργασίας θα πρέπει να ορίζει προθεσμίες για τη διαγραφή τους ή για την περιοδική επανεξέτασή τους. […]
[…]
(42) Όταν η επεξεργασία βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας θα πρέπει να είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε στη πράξη επεξεργασίας. […] Για να θεωρηθεί η συγκατάθεση εν επιγνώσει, το υποκείμενο των δεδομένων θα πρέπει να γνωρίζει τουλάχιστον την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα προσωπικού χαρακτήρα. Η συγκατάθεση δεν θα πρέπει να θεωρείται ότι δόθηκε ελεύθερα αν το υποκείμενο των δεδομένων δεν έχει αληθινή ή ελεύθερη επιλογή ή δεν είναι σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεσή του χωρίς να ζημιωθεί.
(43) Για να διασφαλιστεί ότι η συγκατάθεση έχει δοθεί ελεύθερα, η συγκατάθεση δεν θα πρέπει να παρέχει έγκυρη νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε μια συγκεκριμένη περίπτωση, όταν υπάρχει σαφής ανισότητα μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, ιδίως στις περιπτώσεις που ο υπεύθυνος επεξεργασίας είναι δημόσια αρχή και είναι επομένως σχεδόν απίθανο να έχει δοθεί η συγκατάθεση ελεύθερα σε όλες τις περιστάσεις αυτής της ειδικής κατάστασης. Η συγκατάθεση θεωρείται ότι δεν έχει παρασχεθεί ελεύθερα, εάν δεν επιτρέπεται να δοθεί χωριστή συγκατάθεση σε διαφορετικές πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ακόμη και αν ενδείκνυται στη συγκεκριμένη περίπτωση, ή όταν η εκτέλεση μιας σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, προϋποθέτει τη συγκατάθεση, ακόμη και αν η συγκατάθεση αυτή δεν είναι αναγκαία για την εν λόγω εκτέλεση.
[…]
(50) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπούς άλλους από εκείνους για τους οποίους τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν αρχικά θα πρέπει να επιτρέπεται μόνο εφόσον η επεξεργασία είναι συμβατή με τους σκοπούς για τους οποίους τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν αρχικά. Σε αυτήν την περίπτωση, δεν απαιτείται νομική βάση χωριστή από εκείνη που επέτρεψε τη συλλογή των δεδομένων προσωπικού χαρακτήρα. […]
(51) Δεδομένα προσωπικού χαρακτήρα τα οποία είναι εκ φύσεως ιδιαίτερα ευαίσθητα σε σχέση με θεμελιώδη δικαιώματα και ελευθερίες χρήζουν ειδικής προστασίας, καθότι το πλαίσιο της επεξεργασίας τους θα μπορούσε να δημιουργήσει σημαντικούς κινδύνους για τα θεμελιώδη δικαιώματα και τις ελευθερίες. […] Τέτοια δεδομένα προσωπικού χαρακτήρα δεν θα πρέπει να υποβάλλονται σε επεξεργασία, εκτός εάν η επεξεργασία επιτρέπεται σε ειδικές περιπτώσεις που προβλέπονται στον παρόντα κανονισμό […]. Εκτός από τις ειδικές απαιτήσεις στις οποίες υπάγεται η εν λόγω επεξεργασία, θα πρέπει να εφαρμόζονται οι γενικές αρχές και οι λοιποί κανόνες του παρόντος κανονισμού, ιδίως σε ό,τι αφορά τους όρους νόμιμης επεξεργασίας. Παρεκκλίσεις από τη γενική απαγόρευση επεξεργασίας δεδομένων προσωπικού χαρακτήρα που υπάγονται στις εν λόγω ειδικές κατηγορίες θα πρέπει να προβλέπονται ρητώς, μεταξύ άλλων, σε περίπτωση ρητής συγκατάθεσης του υποκειμένου των δεδομένων ή όταν πρόκειται για ειδικές ανάγκες […].»
4 Το άρθρο 4 του ΓΚΠΔ προβλέπει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· […]
2) “επεξεργασία” κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,
[…]
7) “υπεύθυνος επεξεργασίας” το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους,
[…]
11) “συγκατάθεση” του υποκειμένου των δεδομένων: κάθε ένδειξη βουλήσεως, ελεύθερη, συγκεκριμένη, εν πλήρει επιγνώσει και αδιαμφισβήτητη, με την οποία το υποκείμενο των δεδομένων εκδηλώνει ότι συμφωνεί, με δήλωση ή με σαφή θετική ενέργεια, να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν,
[…]
23) “διασυνοριακή επεξεργασία”:
α) η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία γίνεται στο πλαίσιο των δραστηριοτήτων διάφορων εγκαταστάσεων σε περισσότερα του ενός κράτη μέλη υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία στην Ένωση όπου ο υπεύθυνος επεξεργασίας ή ο εκτελών επεξεργασία είναι εγκατεστημένος σε περισσότερα του ενός κράτη μέλη ή
β) η επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία γίνεται στο πλαίσιο των δραστηριοτήτων μίας μόνης εγκατάστασης υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία στην Ένωση αλλά που επηρεάζει ή ενδέχεται να επηρεάσει ουσιωδώς υποκείμενα των δεδομένων σε περισσότερα του ενός κράτη μέλη,
[…]».
5 Το άρθρο 5 του ΓΚΠΔ φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα» και ορίζει στις παραγράφους 1 και 2 τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”),
β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· […] (“περιορισμός του σκοπού”),
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”),
[…]
ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· […] (“περιορισμός της περιόδου αποθήκευσης”),
2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»
6 Το άρθρο 6 του ΓΚΠΔ τιτλοφορείται «Νομιμότητα της επεξεργασίας» και έχει ως εξής:
«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,
[…]
4. Όταν η επεξεργασία για σκοπό άλλο από αυτόν για τον οποίο έχουν συλλεγεί τα δεδομένα προσωπικού χαρακτήρα δεν βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων ή στο δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους το οποίο αποτελεί αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση των σκοπών που αναφέρονται στο άρθρο 23 παράγραφος 1, ο υπεύθυνος επεξεργασίας, προκειμένου να εξακριβωθεί κατά πόσο η επεξεργασία για άλλο σκοπό είναι συμβατή με τον σκοπό για τον οποίο συλλέγονται αρχικώς τα δεδομένα προσωπικού χαρακτήρα, λαμβάνει υπόψη, μεταξύ άλλων:
α) τυχόν σχέση μεταξύ των σκοπών για τους οποίους έχουν συλλεχθεί τα δεδομένα προσωπικού χαρακτήρα και των σκοπών της επιδιωκόμενης περαιτέρω επεξεργασίας,
β) το πλαίσιο εντός του οποίου συλλέχθηκαν τα δεδομένα προσωπικού χαρακτήρα, ιδίως όσον αφορά τη σχέση μεταξύ των υποκειμένων των δεδομένων και του υπευθύνου επεξεργασίας,
γ) τη φύση των δεδομένων προσωπικού χαρακτήρα, ιδίως για τις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, σύμφωνα με το άρθρο 9, ή κατά πόσο δεδομένα προσωπικού χαρακτήρα που σχετίζονται με ποινικές καταδίκες και αδικήματα υποβάλλονται σε επεξεργασία, σύμφωνα με το άρθρο 10,
δ) τις πιθανές συνέπειες της επιδιωκόμενης περαιτέρω επεξεργασίας για τα υποκείμενα των δεδομένων,
ε) την ύπαρξη κατάλληλων εγγυήσεων, που μπορεί να περιλαμβάνουν κρυπτογράφηση ή ψευδωνυμοποίηση.»
7 Το άρθρο 7 του ΓΚΠΔ επιγράφεται «Προϋποθέσεις για συγκατάθεση» και προβλέπει τα εξής:
«1. Όταν η επεξεργασία βασίζεται σε συγκατάθεση, ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι το υποκείμενο των δεδομένων συγκατατέθηκε για την επεξεργασία των δεδομένων του προσωπικού χαρακτήρα.
[…]
3. Το υποκείμενο των δεδομένων έχει δικαίωμα να ανακαλέσει τη συγκατάθεσή του ανά πάσα στιγμή. Η ανάκληση της συγκατάθεσης δεν θίγει τη νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση προ της ανάκλησής της. Πριν την παροχή της συγκατάθεσης, το υποκείμενο των δεδομένων ενημερώνεται σχετικά. Η ανάκληση της συγκατάθεσης είναι εξίσου εύκολη με την παροχή της.
4. Κατά την εκτίμηση κατά πόσο η συγκατάθεση δίνεται ελεύθερα, λαμβάνεται ιδιαιτέρως υπόψη κατά πόσο, μεταξύ άλλων, για την εκτέλεση σύμβασης, συμπεριλαμβανομένης της παροχής μιας υπηρεσίας, τίθεται ως προϋπόθεση η συγκατάθεση στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που δεν είναι αναγκαία για την εκτέλεση της εν λόγω σύμβασης.»
8 Το άρθρο 9 του ΓΚΠΔ φέρει τον τίτλο «Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα» και ορίζει τα εξής:
«1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.
2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων,
[…]
ε) η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων·
[…]».
9 Το άρθρο 13 του ΓΚΠΔ, το οποίο αφορά τις «[π]ληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων», προβλέπει τα εξής:
«1. Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:
[…]
γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία·
[…]
3. Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για άλλο σκοπό από εκείνο για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2.
[…]»
10 Το άρθρο 25, παράγραφος 2, του ίδιου κανονισμού ορίζει τα ακόλουθα:
«Ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Αυτή η υποχρέωση ισχύει για το εύρος των δεδομένων προσωπικού χαρακτήρα που συλλέγονται, τον βαθμό της επεξεργασίας τους, την περίοδο αποθήκευσης και την προσβασιμότητά τους. Ειδικότερα, τα εν λόγω μέτρα διασφαλίζουν ότι, εξ ορισμού, τα δεδομένα προσωπικού χαρακτήρα δεν καθίστανται προσβάσιμα χωρίς την παρέμβαση του φυσικού προσώπου σε αόριστο αριθμό φυσικών προσώπων.»
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
11 Η Meta Platforms Ireland, η οποία διαχειρίζεται την παροχή των υπηρεσιών του ηλεκτρονικού μέσου κοινωνικής δικτύωσης Facebook στην Ένωση, είναι ο υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των χρηστών του εν λόγω μέσου κοινωνικής δικτύωσης στην Ένωση. Δεν διαθέτει υποκατάστημα στην Αυστρία. Η Meta Platforms Ireland προωθεί, μεταξύ άλλων στη διεύθυνση www.facebook.com, υπηρεσίες οι οποίες, μέχρι τις 5 Νοεμβρίου 2023, παρέχονταν δωρεάν σε ιδιώτες χρήστες. Από τις 6 Νοεμβρίου 2023, οι υπηρεσίες αυτές εξακολούθησαν να παρέχονται δωρεάν μόνο για τους χρήστες που είχαν συμφωνήσει να συλλέγονται και να χρησιμοποιούνται τα δεδομένα προσωπικού χαρακτήρα που τους αφορούν προκειμένου να απευθύνονται σε αυτούς εξατομικευμένες διαφημίσεις, οι δε χρήστες είχαν τη δυνατότητα να εγγραφούν ως συνδρομητές επί πληρωμή, προκειμένου να έχουν πρόσβαση σε μια μορφή των εν λόγω υπηρεσιών χωρίς να λαμβάνουν στοχευμένη διαφήμιση.
12 Το επιχειρηματικό μοντέλο του ηλεκτρονικού μέσου κοινωνικής δικτύωσης Facebook στηρίζεται στη χρηματοδότηση από τη διαδικτυακή διαφήμιση, η οποία απευθύνεται στοχευμένα σε κάθε μεμονωμένο χρήστη του μέσου κοινωνικής δικτύωσης σε συνάρτηση, μεταξύ άλλων, με τις καταναλωτικές του συνήθειες, τα ενδιαφέροντά του και την προσωπική του κατάσταση. Το συγκεκριμένο είδος διαφήμισης καθίσταται, από τεχνικής απόψεως, δυνατό χάρη στην αυτοματοποιημένη κατάρτιση λεπτομερών προφίλ των χρηστών του δικτύου και των διαδικτυακών υπηρεσιών που παρέχονται στο επίπεδο του ομίλου Meta.
13 Για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα των χρηστών του μέσου κοινωνικής δικτύωσης Facebook, η Meta Platforms Ireland στηρίζεται στη σύμβαση χρήσης στην οποία αυτοί προσχωρούν μέσω της ενεργοποίησης της επιλογής «Εγγραφή» και με την οποία αποδέχονται τους γενικούς όρους που έχει καθορίσει η εν λόγω εταιρία. Κατά τον χρόνο των πραγματικών περιστατικών της κύριας δίκης, η αποδοχή των γενικών όρων συνιστούσε αναγκαία προϋπόθεση της χρήσης του μέσου κοινωνικής δικτύωσης Facebook. Όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα των χρηστών, οι γενικοί όροι παραπέμπουν στην πολιτική της εταιρίας αναφορικά με τη χρήση των δεδομένων και των cookies. Βάσει της πολιτικής αυτής, η Meta Platforms Ireland συλλέγει δεδομένα σχετικά με τους χρήστες και τις συσκευές τους, τα οποία αφορούν τις δραστηριότητες των χρηστών εντός και εκτός του μέσου κοινωνικής δικτύωσης, και τα συσχετίζει με τους λογαριασμούς των οικείων χρηστών στο Facebook. Τα δεδομένα που αφορούν τις εκτός του μέσου κοινωνικής δικτύωσης δραστηριότητες (καλούμενα επίσης στο εξής: off Facebook δεδομένα) προέρχονται, αφενός, από επισκέψεις σε τρίτους ιστοτόπους και τρίτες εφαρμογές που συνδέονται με το Facebook μέσω διεπαφών προγραμματισμού και, αφετέρου, από τη χρήση άλλων διαδικτυακών υπηρεσιών που ανήκουν στον όμιλο Meta, όπως είναι, μεταξύ άλλων, το Instagram και το WhatsApp.
14 Πριν από την έναρξη ισχύος του ΓΚΠΔ, οι χρήστες του Facebook έδιναν τη ρητή συγκατάθεσή τους για την επεξεργασία των δεδομένων τους σύμφωνα με τους όρους χρήσης τους οποίους προέβλεπε η εναγομένη και νυν αναιρεσίβλητη (στο εξής: αναιρεσίβλητη) και οι οποίοι ίσχυαν για την περίοδο αυτή. Ενόψει της έναρξης ισχύος του ΓΚΠΔ στις 25 Μαΐου 2018, η Meta Platforms Ireland θέσπισε, στις 19 Απριλίου 2018, νέους όρους χρήσης και τους υπέβαλε προς έγκριση στους χρήστες της. Ο M. Schrems, του οποίου ο λογαριασμός είχε δεσμευθεί, αποδέχθηκε τους νέους όρους χρήσης προκειμένου να μπορέσει να συνεχίσει να χρησιμοποιεί το Facebook. Η συγκατάθεση αυτή ήταν αναγκαία προκειμένου να μπορέσει να διατηρήσει την πρόσβαση στον λογαριασμό του και να χρησιμοποιεί τις αντίστοιχες υπηρεσίες.
15 Η Meta Platforms Ireland έθεσε σε εφαρμογή πλείονα «εργαλεία» (tools) προκειμένου να μπορούν οι χρήστες να έχουν εικόνα και έλεγχο των αποθηκευμένων δεδομένων τους. Στα εργαλεία αυτά δεν είναι ορατά όλα τα δεδομένα που υποβάλλονται σε επεξεργασία, αλλά μόνο εκείνα τα οποία, σύμφωνα με την εταιρία, παρουσιάζουν ενδιαφέρον και είναι κρίσιμα για τους χρήστες. Συνακόλουθα, ο χρήστης που υποβάλλει σχετικό αίτημα μπορεί να δει, για παράδειγμα, ότι άνοιξε μια εφαρμογή μέσω του προφίλ του στο Facebook, ότι επισκέφθηκε έναν ιστότοπο, ότι πραγματοποίησε συγκεκριμένη αναζήτηση ή αγορά ή ακόμη ότι επέλεξε μια διαφήμιση.
16 Η Meta Platforms Ireland χρησιμοποιεί «cookies», «social plugins» και pixels, όπως προκύπτει από τους όρους χρήσης και τις οδηγίες της. Μέσω των «cookies», μπορεί να προσδιορίσει την πηγή των επισκέψεων. Χωρίς ενεργοποίηση των «cookies», πολλές υπηρεσίες που παρέχει η Meta Platforms Ireland δεν μπορούν να χρησιμοποιηθούν. Τα «social plugins» του Facebook «ενσωματώνονται» από τους διαχειριστές τρίτων ιστοτόπων στις ιστοσελίδες τους. Τη μεγαλύτερη διάδοση έχει η επιλογή «Μου αρέσει» του Facebook. Σε κάθε επίσκεψη σε ιστοσελίδες που περιέχουν την επιλογή αυτή, διαβιβάζονται στη Meta Platforms Ireland τα «cookies» που είναι εγκατεστημένα στη χρησιμοποιούμενη συσκευή, η διεύθυνση URL της ιστοσελίδας στην οποία πραγματοποιήθηκε επίσκεψη και άλλα δεδομένα, όπως η διεύθυνση IP ή η ώρα. Προς τούτο, δεν είναι αναγκαίο ο χρήστης να έχει κλικάρει στην επιλογή «Μου αρέσει», δεδομένου ότι το γεγονός και μόνον ότι επισκέφθηκε ιστοσελίδα που περιέχει τέτοιο «plugin» αρκεί για να διαβιβαστούν στη συνέχεια τα δεδομένα αυτά στην εταιρία.
17 Από την απόφαση περί παραπομπής προκύπτει ότι «plugins» βρίσκονται επίσης στις ιστοσελίδες των πολιτικών κομμάτων και σε σελίδες που απευθύνονται σε ομοφυλόφιλο κοινό τις οποίες επισκέφθηκε ο M. Schrems. Λόγω των «plugins» αυτών, η Meta Platforms Ireland ήταν σε θέση να παρακολουθήσει τη συμπεριφορά του M. Schrems στο διαδίκτυο, γεγονός που οδήγησε στη συλλογή ορισμένων ευαίσθητων δεδομένων προσωπικού χαρακτήρα.
18 Όπως ακριβώς και τα «social plugins», τα pixels μπορούν να ενσωματωθούν στις σελίδες ιστοτόπων και καθιστούν δυνατή τη συλλογή πληροφοριών σχετικά με τους χρήστες που επισκέφθηκαν τις εν λόγω ιστοσελίδες με σκοπό, μεταξύ άλλων, τη μέτρηση και τη βελτιστοποίηση της διαφήμισης σε αυτές. Για παράδειγμα, ενσωματώνοντας pixel του Facebook στις δικές τους ιστοσελίδες, οι διαχειριστές των ιστοσελίδων μπορούν να λάβουν από τη Meta Platforms Ireland εκθέσεις σχετικά με τον αριθμό των προσώπων που είδαν τη διαφήμισή τους στο Facebook και συνδέθηκαν στη συνέχεια στη δική τους ιστοσελίδα προκειμένου να την επισκεφθούν ή να πραγματοποιήσουν αγορά.
19 Επομένως, τα «social plugins» και τα pixels, σε συνδυασμό με τα «cookies», αποτελούν ουσιώδες στοιχείο της διαφημίσεως στο διαδίκτυο, δεδομένου ότι το μεγαλύτερο μέρος του διαθέσιμου στο διαδίκτυο περιεχομένου χρηματοδοτείται από τη διαφήμιση. Ειδικότερα, τα «plugins» καθιστούν δυνατή την παρουσίαση στους χρήστες των σχετικών με τα ενδιαφέροντά τους διαφημίσεων και τα pixels χρησιμεύουν στους διαφημιζόμενους για τη μέτρηση των επιδόσεων των διαφημιστικών εκστρατειών, καθώς και για τη λήψη πληροφοριών σχετικά με στοχευμένες ομάδες χρηστών.
20 Εν προκειμένω, από την απόφαση περί παραπομπής προκύπτει ότι ο M. Schrems δεν επέτρεψε στη Meta Platforms Ireland να επεξεργάζεται τα δεδομένα προσωπικού χαρακτήρα τα οποία τον αφορούν και τα οποία αυτή λαμβάνει από διαφημιζόμενους και άλλους συνεργάτες, σχετικά με τις εκτός Facebook δραστηριότητες του M. Schrems, για σκοπούς εξατομικευμένης διαφήμισης. Εντούτοις, η Meta Platforms Ireland απέκτησε ορισμένα δεδομένα σχετικά με τον M. Schrems χάρη σε «cookies», «social plugins» και παρεμφερείς τεχνολογίες που έχουν ενσωματωθεί σε ιστοτόπους τρίτων και τα χρησιμοποίησε για τη βελτίωση των προϊόντων Facebook και την αποστολή εξατομικευμένης διαφήμισης στον M. Schrems.
21 Εξάλλου, από την απόφαση περί παραπομπής προκύπτει επίσης ότι ο M. Schrems δεν ανέφερε κανένα ευαίσθητο δεδομένο στο προφίλ του στο Facebook, ότι μόνον οι «φίλοι» του μπορούν να βλέπουν τις δραστηριότητές του ή τις πληροφορίες που περιλαμβάνονται στο «timeline» [χρονολόγιό] του και ότι ο «κατάλογος φίλων» του δεν είναι δημόσιος. Ο M. Schrems επέλεξε επίσης να μην παράσχει στη Meta Platforms Ireland την άδεια να χρησιμοποιεί, για σκοπούς στοχευμένης διαφήμισης, τις πληροφορίες του προφίλ του που αφορούν την προσωπική κατάσταση, τον εργοδότη, το αντικείμενο εργασίας και την εκπαίδευσή του.
22 Ωστόσο, με βάση τα δεδομένα που έχει στη διάθεσή της, η Meta Platforms Ireland μπορεί επίσης να εντοπίσει το ενδιαφέρον του M. Schrems για ευαίσθητα θέματα, όπως είναι η υγεία, ο γενετήσιος προσανατολισμός, οι εθνοτικές ομάδες και τα πολιτικά κόμματα, με αποτέλεσμα να μπορεί να του απευθύνει στοχευμένη διαφήμιση που αφορά, για παράδειγμα, συγκεκριμένο γενετήσιο προσανατολισμό ή συγκεκριμένες πολιτικές πεποιθήσεις.
23 Συνακόλουθα, αφενός, ο M. Schrems έλαβε διαφήμιση που αφορούσε Αυστριακή πολιτικό και στηριζόταν στην ανάλυση της Meta Platforms Ireland σύμφωνα με την οποία ο M. Schrems είχε κοινά σημεία με άλλους χρήστες που είχαν κλικάρει «Μου αρέσει» για την εν λόγω πολιτικό. Αφετέρου, ο M. Schrems ελάμβανε επίσης τακτικά διαφημίσεις απευθυνόμενες σε ομοφυλοφιλικό κοινό και προσκλήσεις για αντίστοιχες εκδηλώσεις, ενώ ουδέποτε είχε προηγουμένως ενδιαφερθεί για τις εκδηλώσεις αυτές και δεν γνώριζε τον τόπο διεξαγωγής τους. Οι εν λόγω διαφημίσεις και προσκλήσεις δεν στηρίζονταν ευθέως στον γενετήσιο προσανατολισμό του ενάγοντος και νυν αναιρεσείοντος (στο εξής: αναιρεσείων) της κύριας δίκης και των «φίλων» του, αλλά σε ανάλυση των ενδιαφερόντων τους, εν προκειμένω στο γεγονός ότι ένας από τους φίλους του M. Schrems είχε κλικάρει «Μου αρέσει» για ένα προϊόν.
24 Ο M. Schrems ανέθεσε τη διεξαγωγή ανάλυσης των συμπερασμάτων που μπορούν να συναχθούν από τον κατάλογο φίλων του και από αυτήν προέκυψε ότι είχε υπηρετήσει εναλλακτική θητεία στον Ερυθρό Σταυρό στο Σάλτσμπουργκ και ότι ήταν ομοφυλόφιλος. Επιπλέον, στον κατάλογο των δραστηριοτήτων του εκτός Facebook, τον οποίο τηρεί η Meta Platforms Ireland, περιλαμβάνονται, μεταξύ άλλων, εφαρμογές και ιστότοποι γνωριμιών για ομοφυλόφιλους, καθώς και ο ιστότοπος αυστριακού πολιτικού κόμματος. Μεταξύ των αποθηκευμένων δεδομένων του αναιρεσείοντος της κύριας δίκης περιλαμβάνεται επίσης διεύθυνση ηλεκτρονικού ταχυδρομείου η οποία δεν είχε αναγραφεί στο προφίλ του στο Facebook, την οποία, ωστόσο, είχε χρησιμοποιήσει για την υποβολή αιτημάτων στη Meta Platforms Ireland.
25 Από την απόφαση περί παραπομπής προκύπτει επίσης ότι ο M. Schrems γνωστοποιεί δημοσίως το γεγονός ότι είναι ομοφυλόφιλος. Ωστόσο, ουδέποτε ανέφερε τον γενετήσιο προσανατολισμό του στο προφίλ του στο Facebook.
26 Ο M. Schrems υποστήριξε ενώπιον του Landesgericht für Zivilrechtssachen Wien (περιφερειακού δικαστηρίου αστικών υποθέσεων Βιέννης, Αυστρία) ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τον αφορούν στην οποία προέβη η Meta Platforms Ireland παραβίαζε πλείονες διατάξεις του ΓΚΠΔ. Συναφώς, θεώρησε ότι η συγκατάθεσή του για τους όρους χρήσης της ψηφιακής πλατφόρμας της αναιρεσίβλητης της κύριας δίκης δεν πληρούσε τις απαιτήσεις του άρθρου 6, παράγραφος 1, και του άρθρου 7 του ΓΚΠΔ. Επιπλέον, κατά την άποψή του, η Meta Platforms Ireland επεξεργάζεται ευαίσθητα δεδομένα του αναιρεσείοντος της κύριας δίκης, κατά την έννοια του άρθρου 9 του εν λόγω κανονισμού, χωρίς την αναγκαία προς τούτο συγκατάθεση, δυνάμει του άρθρου 7 του ίδιου κανονισμού. Ομοίως, δεν υφίσταται έγκυρη συγκατάθεση όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα του M. Schrems τα οποία η Meta Platforms Ireland έλαβε από τρίτους. Στο πλαίσιο αυτό, ο M. Schrems ζήτησε, μεταξύ άλλων, να υποχρεωθεί η αναιρεσίβλητη να παύσει την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τον αφορούν για σκοπούς εξατομικευμένης διαφημίσεως, καθώς και τη χρήση των δεδομένων αυτών τα οποία προέρχονται από την επίσκεψη σε ιστοτόπους τρίτων και έχουν αποκτηθεί από τρίτους.
27 Κατά τη Meta Platforms Ireland, αντιθέτως, η επεξεργασία των δεδομένων του M. Schrems πραγματοποιήθηκε σύμφωνα με τους όρους χρήσης του ηλεκτρονικού μέσου κοινωνικής δικτύωσης, οι οποίοι είναι συμβατοί με τις απαιτήσεις του ΓΚΠΔ. Η εν λόγω επεξεργασία των δεδομένων είναι σύννομη και δεν στηρίζεται στη συγκατάθεση του αναιρεσείοντος της κύριας δίκης που απαιτείται από το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του κανονισμού, αλλά σε άλλους δικαιολογητικούς λόγους, στους οποίους συγκαταλέγεται κυρίως ο αναγκαίος χαρακτήρας της επεξεργασίας αυτής για την εκτέλεση της συμβάσεως που έχει συναφθεί μεταξύ του αναιρεσείοντος και της αναιρεσίβλητης της κύριας δίκης, κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του εν λόγω κανονισμού.
28 Στο πλαίσιο της υπόθεσης της κύριας δίκης, έχει ήδη υποβληθεί στο Δικαστήριο αίτηση προδικαστικής αποφάσεως επί της οποίας εκδόθηκε η απόφαση της 25ης Ιανουαρίου 2018, Schrems (C‑498/16, EU:C:2018:37). Κατόπιν της αποφάσεως αυτής, το Landesgericht für Zivilrechtssachen Wien (περιφερειακό δικαστήριο αστικών υποθέσεων Βιέννης, Αυστρία), με απόφαση της 30ής Ιουνίου 2020, απέρριψε τα αιτήματα του M. Schrems. Ομοίως, το Oberlandesgericht Wien (ανώτερο περιφερειακό δικαστήριο Βιέννης, Αυστρία), επιληφθέν σε δεύτερο βαθμό, απέρριψε την έφεσή του κατά της πρωτόδικης αποφάσεως με την αιτιολογία, μεταξύ άλλων, ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα του M. Schrems, ως χρήστη της διαδικτυακής πλατφόρμας, συμπεριλαμβανομένης της εξατομικευμένης διαφημίσεως, αποτελεί αναπόσπαστο μέρος της συναφθείσας μεταξύ των διαδίκων συμβάσεως χρήσεως της πλατφόρμας. Επομένως, η επεξεργασία των δεδομένων αυτών είναι απαραίτητη για την εκτέλεση της εν λόγω σύμβασης, κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ.
29 Το Oberster Gerichtshof (Ανώτατο Δικαστήριο, Αυστρία), ενώπιον του οποίου ο M. Schrems άσκησε αναίρεση, παρατηρεί ότι το επιχειρηματικό μοντέλο της Meta Platforms Ireland συνίσταται στη δημιουργία εσόδων από στοχευμένη διαφήμιση και εμπορικό περιεχόμενο που στηρίζονται στις προτιμήσεις και τα ενδιαφέροντα των χρηστών του Facebook μέσω της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα των χρηστών αυτών. Στο μέτρο, όμως, που παρέχει στο Facebook τη δυνατότητα να προσφέρει δωρεάν υπηρεσίες στους χρήστες του, η επεξεργασία αυτή θα μπορούσε να θεωρηθεί απαραίτητη για την εκτέλεση της σύμβασης που συνήφθη με τους εν λόγω χρήστες, κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ.
30 Εντούτοις, κατά το ως άνω δικαστήριο, η διάταξη αυτή, η οποία πρέπει να ερμηνεύεται στενά, δεν θα πρέπει να επιτρέπει μια τέτοια επεξεργασία δεδομένων χωρίς τη συγκατάθεση του υποκειμένου των δεδομένων.
31 Επιπλέον, το εν λόγω δικαστήριο παρατηρεί ότι η Meta Platforms Ireland επεξεργάζεται δεδομένα προσωπικού χαρακτήρα που μπορούν να χαρακτηριστούν «ευαίσθητα», δυνάμει του άρθρου 9, παράγραφος 1, του ΓΚΠΔ.
32 Εν προκειμένω, η Meta Plaforms Ireland επεξεργάζεται δεδομένα σχετικά με τις πολιτικές πεποιθήσεις και τον γενετήσιο προσανατολισμό του M. Schrems. Σύμφωνα με τις διαπιστώσεις του Oberster Gerichtshof (Ανωτάτου Δικαστηρίου, Αυστρία), ο M. Schrems γνωστοποιεί δημοσίως τον γενετήσιο προσανατολισμό του. Ειδικότερα, στο πλαίσιο συζήτησης στρογγυλής τραπέζης στην οποία συμμετέσχε στη Βιέννη στις 12 Φεβρουαρίου 2019, κατόπιν προσκλήσεως της Αντιπροσωπείας της Ευρωπαϊκής Επιτροπής στην Αυστρία, ο M. Schrems αναφέρθηκε στον γενετήσιο προσανατολισμό του, προκειμένου να επικρίνει την επεξεργασία δεδομένων προσωπικού χαρακτήρα από το Facebook, συμπεριλαμβανομένης της επεξεργασίας των δικών του δεδομένων. Εντούτοις, όπως επίσης δήλωσε με την ευκαιρία αυτή, ο M. Schrems ουδέποτε μνημόνευσε αυτή την πτυχή της ιδιωτικής του ζωής στο προφίλ του στο Facebook.
33 Επομένως, κατά το ως άνω δικαστήριο, τίθεται το ερώτημα κατά πόσον ο εν λόγω χρήστης έχει προδήλως δημοσιοποιήσει ευαίσθητα δεδομένα προσωπικού χαρακτήρα που τον αφορούν και έχει, ως εκ τούτου, επιτρέψει την επεξεργασία τους, δυνάμει του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ.
34 Υπό τις συνθήκες αυτές, το Oberster Gerichtshof (Ανώτατο Δικαστήριο, Αυστρία) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1. Έχουν οι διατάξεις του άρθρου 6, παράγραφος 1, στοιχεία αʹ και βʹ, του ΓΚΠΔ την έννοια ότι η νομιμότητα συμβατικών ρητρών που περιλαμβάνονται σε γενικούς όρους χρήσης σχετικά με συμβάσεις πλατφόρμας, όπως η επίμαχη στην υπόθεση της κύριας δίκης (ιδίως συμβατικές ρήτρες όπως: “Αντί να καταβάλετε κάποιο αντίτιμο […], εφόσον προχωρήσετε στη χρήση των Προϊόντων του Facebook που καλύπτονται από τους παρόντες Όρους, συμφωνείτε ότι έχουμε το δικαίωμα να σας δείχνουμε διαφημίσεις […] Χρησιμοποιούμε τα δεδομένα σας προσωπικού χαρακτήρα […] προκειμένου να σας δείχνουμε διαφημίσεις που μπορεί να σας ενδιαφέρουν περισσότερο.”), οι οποίες περιλαμβάνουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα προκειμένου να ομαδοποιηθούν και να αναλυθούν δεδομένα με σκοπό την εμφάνιση εξατομικευμένων διαφημίσεων, πρέπει να εξετάζεται βάσει των απαιτήσεων του άρθρου 6, παράγραφος 1, στοιχείο αʹ, σε συνδυασμό με το άρθρο 7 του ΓΚΠΔ, οι οποίες δεν μπορούν να παρακαμφθούν με επίκληση του άρθρου 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ;
2. Έχει το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ (ελαχιστοποίηση των δεδομένων) την έννοια ότι όλα τα δεδομένα προσωπικού χαρακτήρα που διαθέτει πλατφόρμα, όπως η επίμαχη στην υπόθεση της κύριας δίκης (ιδίως από το υποκείμενο των δεδομένων ή από τρίτους εντός και εκτός της πλατφόρμας), μπορούν να ομαδοποιηθούν, να αναλυθούν και να τύχουν επεξεργασίας με σκοπό τη στοχευμένη διαφήμιση χωρίς περιορισμό ως προς τη διάρκεια ή το είδος των δεδομένων;
3. Έχει το άρθρο 9, παράγραφος 1, του ΓΚΠΔ την έννοια ότι εφαρμόζεται σε περίπτωση επεξεργασίας δεδομένων η οποία παρέχει τη δυνατότητα στοχευμένου φιλτραρίσματος συγκεκριμένων κατηγοριών δεδομένων προσωπικού χαρακτήρα, όπως είναι οι πολιτικές πεποιθήσεις ή ο γενετήσιος προσανατολισμός (παραδείγματος χάριν, για διαφημιστικούς σκοπούς), ακόμη και αν ο υπεύθυνος επεξεργασίας δεν προβαίνει σε διάκριση μεταξύ των δεδομένων αυτών;
4. Έχει το άρθρο 5, παράγραφος 1, στοιχείο βʹ, σε συνδυασμό με το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ την έννοια ότι δήλωση σχετικά με τον γενετήσιο προσανατολισμό του ατόμου, στο πλαίσιο δημόσιας συζήτησης, παρέχει τη δυνατότητα επεξεργασίας άλλων δεδομένων σχετικά με τον γενετήσιο προσανατολισμό προκειμένου να ομαδοποιηθούν και να αναλυθούν δεδομένα με σκοπό την εξατομικευμένη διαφήμιση;»
Η διαδικασία ενώπιον του Δικαστηρίου
35 Με απόφαση της 7ης Απριλίου 2022, ο Πρόεδρος του Δικαστηρίου ανέστειλε την παρούσα διαδικασία εν αναμονή της αποφάσεως που περατώνει τη δίκη στην υπόθεση C‑252/21, Meta Platforms κ.λπ.
36 Με απόφαση της 7ης Ιουλίου 2023, ο Πρόεδρος του Δικαστηρίου κοινοποίησε στο αιτούν δικαστήριο στην υπό κρίση υπόθεση την απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου) (C‑252/21, EU:C:2023:537), ερωτώντας το αν, λαμβανομένης υπόψη της αποφάσεως αυτής, επιθυμούσε να εμμείνει στην αίτησή του προδικαστικής αποφάσεως, εν όλω ή εν μέρει, και ζητώντας του, σε περίπτωση που αποσύρει εν μέρει την αίτηση, να εκθέσει τους λόγους για τους οποίους εμμένει εν μέρει σε αυτή.
37 Με διάταξη της 19ης Ιουλίου 2023, η οποία περιήλθε στη Γραμματεία του Δικαστηρίου στις 9 Αυγούστου 2023, το αιτούν δικαστήριο απέσυρε το πρώτο και το τρίτο προδικαστικό ερώτημα, υποστηρίζοντας ότι η εν λόγω απόφαση απαντούσε στα ερωτήματα αυτά. Αντιθέτως, το εν λόγω δικαστήριο ενέμεινε στο δεύτερο και στο τέταρτο προδικαστικό ερώτημα, υποστηρίζοντας ότι η ίδια απόφαση δεν είχε δώσει πλήρη απάντηση στα ερωτήματα αυτά.
Επί του δευτέρου προδικαστικού ερωτήματος
38 Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι η αρχή της «ελαχιστοποίησης των δεδομένων», την οποία προβλέπει η διάταξη αυτή, αποκλείει να ομαδοποιείται, να αναλύεται και να υποβάλλεται σε επεξεργασία, για σκοπούς στοχευμένης διαφήμισης, χωρίς χρονικό περιορισμό και χωρίς διάκριση ανάλογα με τη φύση των δεδομένων, το σύνολο των δεδομένων προσωπικού χαρακτήρα τα οποία απέκτησε υπεύθυνος επεξεργασίας, όπως ο διαχειριστής διαδικτυακής πλατφόρμας μέσου κοινωνικής δικτύωσης, από το υποκείμενο των δεδομένων ή από τρίτους και τα οποία έχουν συλλεγεί τόσο εντός της πλατφόρμας όσο και εκτός αυτής.
Επί του παραδεκτού
39 Η αναιρεσίβλητη της κύριας δίκης υποστηρίζει ότι το ερώτημα αυτό είναι απαράδεκτο για τον λόγο, αφενός, ότι το αιτούν δικαστήριο δεν εξήγησε τους λόγους για τους οποίους η απάντηση στο εν λόγω ερώτημα θα ήταν χρήσιμη για την επίλυση της διαφοράς της κύριας δίκης και, αφετέρου, ότι το δικαστήριο αυτό στηρίχθηκε σε ανακριβή πραγματική παραδοχή, κρίνοντας εσφαλμένως ότι η αναιρεσίβλητη της κύριας δίκης χρησιμοποιεί, για διαφημιστικούς σκοπούς, όλα τα δεδομένα προσωπικού χαρακτήρα που διαθέτει χωρίς χρονικό περιορισμό και χωρίς διάκριση ανάλογα με τη φύση των δεδομένων.
40 Όσον αφορά, πρώτον, το επιχείρημα ότι το αιτούν δικαστήριο δεν εξέθεσε τους λόγους για τους οποίους εκτιμά ότι η απάντηση στο δεύτερο ερώτημά του είναι χρήσιμη για την επίλυση της διαφοράς της κύριας δίκης, επισημαίνεται η σημασία της εκ μέρους του εθνικού δικαστηρίου παραθέσεως των συγκεκριμένων λόγων που το ώθησαν να διερωτηθεί ως προς την ερμηνεία του δικαίου της Ένωσης και να κρίνει αναγκαία την υποβολή προδικαστικών ερωτημάτων στο Δικαστήριο [αποφάσεις της 6ης Δεκεμβρίου 2005, ABNA κ.λπ., C‑453/03, C‑11/04, C‑12/04 και C‑194/04, EU:C:2005:741, σκέψη 46, και της 29ης Φεβρουαρίου 2024, Staatssecretaris van Justitie en Veiligheid (Αμοιβαία εμπιστοσύνη σε περίπτωση μεταφοράς), C‑392/22, EU:C:2024:195, σκέψη 85]. Εν προκειμένω, από τα εκτιθέμενα στην αίτηση προδικαστικής αποφάσεως προκύπτει, εντούτοις, ότι το αιτούν δικαστήριο ζητεί να διευκρινιστεί κατά πόσον, αν υποτεθεί ότι η επίμαχη στην κύρια δίκη επεξεργασία για διαφημιστικούς σκοπούς δικαιολογείται βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο βʹ, του ΓΚΠΔ, η έκταση των δεδομένων που υποβάλλονται σε επεξεργασία με τον τρόπο αυτόν από την αναιρεσίβλητη της κύριας δίκης είναι σύμφωνη προς την αρχή της ελαχιστοποίησης των δεδομένων ή αν, αντιθέτως, μια τόσο εκτεταμένη επεξεργασία παραβιάζει τις υποχρεώσεις που υπέχει ο υπεύθυνος επεξεργασίας από το άρθρο 5 του ΓΚΠΔ. Επομένως, οι λόγοι για τους οποίους η απάντηση στο ερώτημα αυτό είναι χρήσιμη για την επίλυση της διαφοράς της κύριας δίκης προκύπτουν επαρκώς από την αίτηση προδικαστικής αποφάσεως.
41 Όσον αφορά, δεύτερον, το επιχείρημα ότι το αιτούν δικαστήριο στηρίχθηκε σε ανακριβή πραγματική παραδοχή, είναι αληθές ότι το δεύτερο προδικαστικό ερώτημα στηρίζεται στην παραδοχή ότι, αφενός, όπως αναφέρθηκε στη σκέψη 20 της παρούσας αποφάσεως, μολονότι ο M. Schrems δεν είχε παράσχει στη Meta Platforms Ireland την άδεια να επεξεργάζεται τα προσωπικού χαρακτήρα δεδομένα του σχετικά με τις δραστηριότητές του εκτός Facebook, εντούτοις, η εταιρία αυτή επεξεργάστηκε ορισμένα από τα δεδομένα αυτά τα οποία είχε λάβει από τρίτους συνεργάτες, βάσει της αποδοχής από τον M. Schrems των γενικών όρων χρήσης του μέσου κοινωνικής δικτύωσης, ιδίως χάρη στα «cookies» και στα «social plugins» του Facebook που είναι ενσωματωμένα στους ιστοτόπους των εν λόγω τρίτων και ότι, αφετέρου, η Meta Platforms Ireland επεξεργάζεται τα εν λόγω δεδομένα προσωπικού χαρακτήρα χωρίς χρονικό περιορισμό και χωρίς διάκριση ανάλογα με τη φύση των δεδομένων.
42 Πρέπει να υπομνησθεί ότι, κατά πάγια νομολογία, το άρθρο 267 ΣΛΕΕ θεσπίζει διαδικασία άμεσης συνεργασίας μεταξύ του Δικαστηρίου και των δικαστηρίων των κρατών μελών. Στο πλαίσιο της διαδικασίας αυτής, η οποία στηρίζεται σε σαφή διάκριση των καθηκόντων μεταξύ των εθνικών δικαστηρίων και του Δικαστηρίου, κάθε εκτίμηση των πραγματικών περιστατικών της υποθέσεως εμπίπτει στην αρμοδιότητα του εθνικού δικαστηρίου, στο οποίο εναπόκειται να εκτιμήσει, λαμβάνοντας υπόψη τις ιδιομορφίες της υποθέσεως, τόσο αν η έκδοση προδικαστικής αποφάσεως είναι αναγκαία για την έκδοση της δικής του αποφάσεως όσο και αν τα ερωτήματα που υποβάλλει στο Δικαστήριο είναι λυσιτελή, ενώ το Δικαστήριο είναι αρμόδιο αποκλειστικώς να αποφαίνεται επί της ερμηνείας ή του κύρους των νομοθετημάτων της Ένωσης, με βάση τα πραγματικά περιστατικά που του εκθέτει ο εθνικός δικαστής (απόφαση της 25ης Οκτωβρίου 201, Polbud – Wykonawstwo, C‑106/16, EU:C:2017:804, σκέψη 27 και εκεί μνημονευόμενη νομολογία).
43 Επομένως, η απάντηση στο υποβληθέν ερώτημα πρέπει να δοθεί βάσει της παραδοχής αυτής, τη βασιμότητα της οποίας οφείλει, ωστόσο, να εξακριβώσει το αιτούν δικαστήριο.
44 Συνεπώς, το δεύτερο προδικαστικό ερώτημα είναι παραδεκτό.
Επί της ουσίας
45 Πρώτον, υπενθυμίζεται ότι ο σκοπός τον οποίο επιδιώκει ο ΓΚΠΔ, όπως απορρέει από το άρθρο 1 καθώς και από τις αιτιολογικές σκέψεις 1 και 10 του κανονισμού, συνίσταται, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, και ειδικότερα του δικαιώματός τους στην ιδιωτική ζωή έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο άρθρο 8, παράγραφος 1, του Χάρτη και στο άρθρο 16, παράγραφος 1, ΣΛΕΕ (απόφαση της 7ης Μαρτίου 2024, IAB Europe, C‑604/22, EU:C:2024:214, σκέψη 53 και εκεί μνημονευόμενη νομολογία).
46 Για τον σκοπό αυτόν, τα κεφάλαια II και III του εν λόγω κανονισμού προβλέπουν, αντιστοίχως, τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, καθώς και τα δικαιώματα του υποκειμένου των δεδομένων, τα οποία πρέπει να γίνονται σεβαστά σε κάθε περίπτωση επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Ειδικότερα, υπό την επιφύλαξη των παρεκκλίσεων που προβλέπει το άρθρο 23 του ΓΚΠΔ, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, αφενός, να είναι σύμφωνη με τις αρχές που θέτει το άρθρο 5 του εν λόγω κανονισμού ως προς την επεξεργασία τέτοιων δεδομένων και να πληροί τις προϋποθέσεις νομιμότητας που απαριθμούνται στο άρθρο 6 και, αφετέρου, να σέβεται τα δικαιώματα του υποκειμένου των δεδομένων τα οποία κατοχυρώνονται στα άρθρα 12 έως 22 του ΓΚΠΔ [απόφαση της 11ης Ιουλίου 2024, Meta Platforms Ireland (Αντιπροσωπευτική αγωγή), C‑757/22, EU:C:2024:598, σκέψη 49 και εκεί μνημονευόμενη νομολογία].
47 Όπως έχει διευκρινίσει το Δικαστήριο, οι αρχές σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που διατυπώνονται στο άρθρο 5 του ΓΚΠΔ τυγχάνουν σωρευτικής εφαρμογής (απόφαση της 20ής Οκτωβρίου 2022, Digi, C‑77/21, EU:C:2022:805, σκέψη 47).
48 Συναφώς, επισημαίνεται ότι, δυνάμει του άρθρου 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων και ότι, σύμφωνα με το στοιχείο βʹ του άρθρου 5, παράγραφος 1, τα δεδομένα αυτά συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς.
49 Επιπλέον, το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του κανονισμού, το οποίο καθιερώνει τη λεγόμενη αρχή της «ελαχιστοποίησης των δεδομένων», προβλέπει ότι τα δεδομένα προσωπικού χαρακτήρα είναι «κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία» [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 109 και εκεί μνημονευόμενη νομολογία].
50 Η αρχή αυτή, όπως έχει κρίνει το Δικαστήριο, αποτελεί έκφραση της αρχής της αναλογικότητας [πρβλ. αποφάσεις της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής), C‑439/19, EU:C:2021:504, σκέψη 98 και εκεί μνημονευόμενη νομολογία, και της 30ής Ιανουαρίου 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR – Sofia, C‑118/22, EU:C:2024:97, σκέψη 41].
51 Σύμφωνα με την αρχή της λογοδοσίας που διατυπώνεται στο άρθρο 5, παράγραφος 2, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας πρέπει να είναι σε θέση να αποδείξει ότι τα δεδομένα προσωπικού χαρακτήρα συλλέγονται και υποβάλλονται σε επεξεργασία σύμφωνα με τις αρχές που ορίζονται στην παράγραφο 1 του εν λόγω άρθρου (πρβλ. απόφαση της 20ής Οκτωβρίου 2022, Digi, C‑77/21, EU:C:2022:805, σκέψη 24). Πέραν τούτου, βάσει του άρθρου 13, παράγραφος 1, στοιχείο γʹ, του κανονισμού, όταν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται απευθείας από το ίδιο το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας οφείλει να ενημερώσει το υποκείμενο των δεδομένων σχετικά με τους σκοπούς για τους οποίους προορίζεται η επεξεργασία των δεδομένων, καθώς και με τη νομική βάση της επεξεργασίας [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 95].
52 Δεύτερον, όσον αφορά τον χρονικό περιορισμό επεξεργασίας δεδομένων προσωπικού χαρακτήρα όπως η επίμαχη στην κύρια δίκη, πρέπει να υπομνησθεί ότι το Δικαστήριο έχει κρίνει ότι, λαμβανομένης υπόψη της αρχής της ελαχιστοποίησης των δεδομένων, ο υπεύθυνος επεξεργασίας είναι υποχρεωμένος να μην υπερβεί το χρονικό διάστημα συλλογής των επίμαχων δεδομένων προσωπικού χαρακτήρα το οποίο είναι, υπό το πρίσμα του σκοπού της σχεδιαζόμενης επεξεργασίας, απολύτως αναγκαίο [απόφαση της 24ης Φεβρουαρίου 2022, Valsts ieņēmumu dienests (Επεξεργασία των δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς), C‑175/20, EU:C:2022:124, σκέψη 79].
53 Συγκεκριμένα, όσο μεγαλύτερη είναι η διάρκεια της αποθήκευσης των εν λόγω δεδομένων τόσο σημαντικότερες είναι οι συνέπειες για τα συμφέροντα και την ιδιωτική ζωή του υποκειμένου των δεδομένων και τόσο αυξάνονται οι απαιτήσεις σχετικά με τη νομιμότητα της αποθήκευσης των δεδομένων αυτών [πρβλ. απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding (Πτωχευτική απαλλαγή), C‑26/22 και C‑64/22, EU:C:2023:958, σκέψη 95].
54 Εξάλλου, επισημαίνεται ότι, κατά το άρθρο 5, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ, τα δεδομένα προσωπικού χαρακτήρα πρέπει να διατηρούνται υπό μορφή που καθιστά δυνατή την ταυτοποίηση των υποκειμένων των δεδομένων για χρονικό διάστημα που δεν υπερβαίνει το αναγκαίο για την επίτευξη των σκοπών για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία.
55 Επομένως, από το γράμμα του ως άνω άρθρου προκύπτει άνευ αμφισημίας ότι η αρχή του «περιορισμού της περιόδου αποθήκευσης», την οποία καθιερώνει, απαιτεί να είναι σε θέση ο υπεύθυνος της επεξεργασίας να αποδείξει, σύμφωνα με την αρχή της λογοδοσίας η οποία υπομνήσθηκε στη σκέψη 51 της παρούσας αποφάσεως, ότι τα δεδομένα προσωπικού χαρακτήρα αποθηκεύονται μόνον κατά το χρονικό διάστημα που είναι αναγκαίο για την επίτευξη των σκοπών για τους οποίους συνελέγησαν τα δεδομένα ή για τους οποίους υποβλήθηκαν σε περαιτέρω επεξεργασία (πρβλ. απόφαση της 20ής Οκτωβρίου 2022, Digi, C‑77/21, EU:C:2022:805, σκέψη 53).
56 Εξ αυτού συνάγεται, όπως έχει κρίνει το Δικαστήριο, ότι ακόμη και η αρχικώς νόμιμη επεξεργασία δεδομένων μπορεί, με την πάροδο του χρόνου, να καταστεί αντίθετη προς τις διατάξεις του ΓΚΠΔ, εφόσον τα εν λόγω δεδομένα παύσουν να είναι απαραίτητα σε σχέση με τους σκοπούς για τους οποίους συνελέγησαν ή υποβλήθηκαν σε περαιτέρω επεξεργασία, και ότι τα εν λόγω δεδομένα πρέπει να διαγράφονται μετά την επίτευξη των σκοπών αυτών (πρβλ. απόφαση της 20ής Οκτωβρίου 2022, Digi, C‑77/21, EU:C:2022:805, σκέψη 54 και εκεί μνημονευόμενη νομολογία).
57 Υπό τις συνθήκες αυτές, όπως επισήμανε κατ’ ουσίαν ο γενικός εισαγγελέας στο σημείο 22 των προτάσεών του, απόκειται στο εθνικό δικαστήριο να εκτιμήσει, λαμβάνοντας υπόψη το σύνολο των κρίσιμων στοιχείων και εφαρμόζοντας την αρχή της αναλογικότητας, στην οποία αναφέρεται το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, κατά πόσον η χρονική διάρκεια αποθήκευσης των δεδομένων προσωπικού χαρακτήρα από τον υπεύθυνο επεξεργασίας είναι ευλόγως δικαιολογημένη υπό το πρίσμα του σκοπού που συνίσταται στην παροχή της δυνατότητας μετάδοσης εξατομικευμένων διαφημίσεων.
58 Εν πάση περιπτώσει, η αποθήκευση, για απεριόριστο χρονικό διάστημα, των δεδομένων προσωπικού χαρακτήρα των χρηστών πλατφόρμας μέσου κοινωνικής δικτύωσης για σκοπούς στοχευμένης διαφήμισης πρέπει να θεωρείται δυσανάλογη επέμβαση στα δικαιώματα που κατοχυρώνει υπέρ των εν λόγω χρηστών ο ΓΚΠΔ.
59 Τρίτον, όσον αφορά το γεγονός ότι τα επίμαχα στην κύρια δίκη δεδομένα προσωπικού χαρακτήρα συλλέγονται, ομαδοποιούνται, αναλύονται και υποβάλλονται σε επεξεργασία για σκοπούς στοχευμένης διαφήμισης, χωρίς διάκριση ανάλογα με τη φύση των δεδομένων, υπενθυμίζεται ότι το Δικαστήριο έχει κρίνει ότι, λαμβανομένης υπόψη της αρχής της ελαχιστοποίησης των δεδομένων, την οποία προβλέπει το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δεν μπορεί να προβαίνει, γενικώς και αδιακρίτως, στη συλλογή δεδομένων προσωπικού χαρακτήρα και οφείλει να απέχει από τη συλλογή δεδομένων που δεν είναι απολύτως απαραίτητα για τους σκοπούς της επεξεργασίας [απόφαση της 24ης Φεβρουαρίου 2022, Valsts ieņēmumu dienests (Επεξεργασία των δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς), C‑175/20, EU:C:2022:124, σκέψη 74].
60 Επισημαίνεται επίσης ότι το άρθρο 25, παράγραφος 2, του κανονισμού απαιτεί από τον υπεύθυνο επεξεργασίας να εφαρμόζει τα κατάλληλα μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνον τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Κατά τη διάταξη αυτή, η εν λόγω απαίτηση ισχύει, μεταξύ άλλων, για το εύρος των δεδομένων προσωπικού χαρακτήρα που συλλέγονται και τον βαθμό της επεξεργασίας τους, καθώς και για την περίοδο αποθήκευσής τους.
61 Εν προκειμένω, από την απόφαση περί παραπομπής προκύπτει ότι η Meta Platforms Ireland συλλέγει τα δεδομένα προσωπικού χαρακτήρα των χρηστών του Facebook, στους οποίους συγκαταλέγεται και ο M. Schrems, σχετικά με τις δραστηριότητες των χρηστών τόσο εντός του ως άνω μέσου κοινωνικής δικτύωσης όσο και εκτός αυτού, συμπεριλαμβανομένων, μεταξύ άλλων, των δεδομένων σχετικά με την επίσκεψη στη διαδικτυακή πλατφόρμα καθώς και σε τρίτες ιστοσελίδες και εφαρμογές, και παρακολουθεί επίσης τη συμπεριφορά πλοήγησης των χρηστών στις σελίδες αυτές μέσω «social plugins» και «pixels» που έχουν ενσωματωθεί στις οικείες ιστοσελίδες.
62 Όπως έχει κρίνει το Δικαστήριο, η εν λόγω επεξεργασία είναι ιδιαιτέρως εκτεταμένη καθώς αφορά εν δυνάμει απεριόριστα δεδομένα και έχει σημαντικό αντίκτυπο στον χρήστη, του οποίου οι περισσότερες, αν όχι όλες σχεδόν, οι διαδικτυακές δραστηριότητες καταγράφονται από τη Meta Platforms Ireland, κάτι που μπορεί να του δημιουργήσει την αίσθηση μιας διαρκούς παρακολούθησης της ιδιωτικής του ζωής [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 118].
63 Υπό τις συνθήκες αυτές, η επίμαχη στην κύρια δίκη επεξεργασία δεδομένων χαρακτηρίζεται από σοβαρή επέμβαση στα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων, ιδίως στα δικαιώματά τους στον σεβασμό της ιδιωτικής ζωής και στην προστασία των δεδομένων προσωπικού χαρακτήρα που κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, η οποία, υπό την επιφύλαξη των εξακριβώσεων στις οποίες οφείλει να προβεί το αιτούν δικαστήριο, δεν φαίνεται ευλόγως δικαιολογημένη υπό το πρίσμα του σκοπού που συνίσταται στην παροχή της δυνατότητας μετάδοσης στοχευμένων διαφημίσεων.
64 Εν πάση περιπτώσει, η χωρίς διάκριση χρήση του συνόλου των δεδομένων προσωπικού χαρακτήρα τα οποία διαθέτει πλατφόρμα μέσου κοινωνικής δικτύωσης για διαφημιστικούς σκοπούς, ανεξαρτήτως του βαθμού ευαισθησίας των δεδομένων αυτών, δεν συνιστά σύμφωνη με την αρχή της αναλογικότητας επέμβαση στα δικαιώματα που κατοχυρώνει ο ΓΚΠΔ για τους χρήστες της πλατφόρμας.
65 Λαμβανομένων υπόψη των προεκτεθέντων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι η αρχή της «ελαχιστοποίησης των δεδομένων», την οποία προβλέπει η διάταξη αυτή, αποκλείει να ομαδοποιείται, να αναλύεται και να υποβάλλεται σε επεξεργασία, για σκοπούς στοχευμένης διαφήμισης, χωρίς χρονικό περιορισμό και χωρίς διάκριση ανάλογα με τη φύση των δεδομένων, το σύνολο των δεδομένων προσωπικού χαρακτήρα τα οποία απέκτησε υπεύθυνος επεξεργασίας, όπως ο διαχειριστής διαδικτυακής πλατφόρμας μέσου κοινωνικής δικτύωσης, από το υποκείμενο των δεδομένων ή από τρίτους και τα οποία έχουν συλλεγεί τόσο εντός της πλατφόρμας όσο και εκτός αυτής.
Επί του τετάρτου προδικαστικού ερωτήματος
66 Με το ερώτημα αυτό, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ έχει την έννοια ότι το γεγονός ότι ένα πρόσωπο εκφράστηκε ως προς τον γενετήσιο προσανατολισμό του στο πλαίσιο συζήτησης στρογγυλής τραπέζης ανοικτής στο κοινό επιτρέπει στον διαχειριστή διαδικτυακής πλατφόρμας μέσου κοινωνικής δικτύωσης να επεξεργάζεται άλλα δεδομένα σχετικά με τον γενετήσιο προσανατολισμό του εν λόγω προσώπου, τα οποία αποκτήθηκαν, ενδεχομένως, εκτός της συγκεκριμένης πλατφόρμας από εφαρμογές και ιστοτόπους τρίτων συνεργατών, με σκοπό να τα ομαδοποιήσει και να τα αναλύσει, προκειμένου να προτείνει στο πρόσωπο αυτό εξατομικευμένη διαφήμιση.
67 Ειδικότερα, το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν ο M. Schrems, με τη δήλωση στην οποία προέβη στο πλαίσιο συζήτησης στρογγυλής τραπέζης, δεν δικαιούται πλέον την προστασία που παρέχει το άρθρο 9, παράγραφος 1, του ΓΚΠΔ και αν, κατά συνέπεια, το Facebook είχε δικαίωμα να επεξεργάζεται άλλα δεδομένα σχετικά με τον γενετήσιο προσανατολισμό του.
68 Προκαταρκτικώς, επισημαίνεται ότι η συζήτηση στρογγυλής τραπέζης στην οποία αναφέρεται το αιτούν δικαστήριο, στο πλαίσιο της οποίας ο M. Schrems προέβη σε δήλωση σχετικά με τον γενετήσιο προσανατολισμό του, πραγματοποιήθηκε στις 12 Φεβρουαρίου 2019 και ότι, όπως προκύπτει από την απόφαση περί παραπομπής, κατά την ημερομηνία αυτή, η Meta Platforms Ireland επεξεργαζόταν ήδη δεδομένα προσωπικού χαρακτήρα σχετικά με τον γενετήσιο προσανατολισμό του M. Schrems, οπότε η δήλωση αυτή ήταν μεταγενέστερη σε σχέση με την έναρξη της εν λόγω επεξεργασίας δεδομένων.
69 Εξ αυτού συνάγεται ότι το τέταρτο ερώτημα που υπέβαλε το αιτούν δικαστήριο πρέπει να νοηθεί υπό την έννοια ότι αφορά αποκλειστικώς τις ενδεχόμενες επεξεργασίες δεδομένων σχετικών με τον γενετήσιο προσανατολισμό του M. Schrems τις οποίες φέρεται να πραγματοποίησε η Meta Platforms Ireland μετά τις 12 Φεβρουαρίου 2019. Ωστόσο, σύμφωνα με τη νομολογία που υπομνήσθηκε στη σκέψη 422 της παρούσας αποφάσεως, εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει αν έλαβαν πράγματι χώρα τέτοιες επεξεργασίες μετά την ημερομηνία αυτή.
70 Προκειμένου να δοθεί απάντηση στο ερώτημα αυτό, πρέπει, πρώτον, να υπομνησθεί ότι στην αιτιολογική σκέψη 51 του ΓΚΠΔ επισημαίνεται ότι τα δεδομένα προσωπικού χαρακτήρα τα οποία είναι εκ φύσεως ιδιαίτερα ευαίσθητα σε σχέση με θεμελιώδη δικαιώματα και ελευθερίες χρήζουν ειδικής προστασίας, καθότι το πλαίσιο της επεξεργασίας τους θα μπορούσε να δημιουργήσει σημαντικούς κινδύνους για τα θεμελιώδη δικαιώματα και τις ελευθερίες. Η ίδια αιτιολογική σκέψη διευκρινίζει ότι τέτοια δεδομένα προσωπικού χαρακτήρα δεν θα πρέπει να υποβάλλονται σε επεξεργασία, εκτός εάν η επεξεργασία επιτρέπεται σε ειδικές περιπτώσεις που προβλέπονται στον κανονισμό.
71 Στο πνεύμα αυτό, το άρθρο 9, παράγραφος 1, του ΓΚΠΔ κατοχυρώνει την αρχή της απαγόρευσης της επεξεργασίας των εκεί αναφερόμενων ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα. Πρόκειται, μεταξύ άλλων, για δεδομένα τα οποία αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές πεποιθήσεις, καθώς και για δεδομένα που αφορούν την υγεία, τη σεξουαλική ζωή ή τον γενετήσιο προσανατολισμό φυσικού προσώπου.
72 Για τους σκοπούς της εφαρμογής του άρθρου 9, παράγραφος 1, του ΓΚΠΔ, πρέπει να ελέγχεται, σε περίπτωση επεξεργασίας δεδομένων προσωπικού χαρακτήρα από επιχείρηση εκμετάλλευσης ηλεκτρονικού μέσου κοινωνικής δικτύωσης, αν από τα δεδομένα προκύπτουν πληροφορίες που εμπίπτουν σε κάποια από τις αναφερόμενες στη διάταξη κατηγορίες, είτε οι πληροφορίες αυτές αφορούν χρήστη του κοινωνικού δικτύου είτε οποιοδήποτε άλλο φυσικό πρόσωπο. Σε καταφατική περίπτωση, η εν λόγω επεξεργασία δεδομένων προσωπικού χαρακτήρα απαγορεύεται, υπό την επιφύλαξη των εξαιρέσεων του άρθρου 9, παράγραφος 2, του ΓΚΠΔ.
73 Όπως έχει κρίνει το Δικαστήριο, αυτή η κατ’ αρχήν απαγόρευση την οποία προβλέπει το άρθρο 9, παράγραφος 1, του ΓΚΠΔ είναι ανεξάρτητη από το αν η πληροφορία η οποία αποκαλύπτεται από την επίμαχη επεξεργασία είναι ακριβής ή όχι, και από το αν ο υπεύθυνος επεξεργασίας ενεργεί με σκοπό να αποκτήσει πληροφορίες που εμπίπτουν σε κάποια από τις αναφερόμενες στη διάταξη ειδικές κατηγορίες. Συγκεκριμένα, λαμβανομένων υπόψη των σημαντικών κινδύνων τους οποίους ενέχει για τις θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα τα οποία εμπίπτουν στις κατηγορίες που μνημονεύονται στο άρθρο 9, παράγραφος 1, του ΓΚΠΔ, ο κανονισμός στοχεύει στην απαγόρευση τέτοιων επεξεργασιών ανεξαρτήτως του προβαλλόμενου σκοπού τους [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψεις 69 και 70].
74 Τούτου λεχθέντος, μολονότι το εν λόγω άρθρο 9, παράγραφος 1, απαγορεύει, κατ’ αρχήν, την επεξεργασία δεδομένων που αφορούν, μεταξύ άλλων, τον γενετήσιο προσανατολισμό, στην παράγραφο 2 του εν λόγω άρθρου προβλέπονται, στα στοιχεία αʹ έως ιʹ, δέκα παρεκκλίσεις οι οποίες είναι ανεξάρτητες μεταξύ τους και οι οποίες πρέπει, ως εκ τούτου, να εκτιμώνται αυτοτελώς. Επομένως, το γεγονός ότι δεν πληρούνται οι προϋποθέσεις εφαρμογής μιας από τις παρεκκλίσεις που προβλέπονται στην παράγραφο 2 δεν εμποδίζει τον υπεύθυνο επεξεργασίας να επικαλεστεί άλλη παρέκκλιση που μνημονεύεται στη διάταξη αυτή (απόφαση της 21ης Δεκεμβρίου 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, σκέψη 47).
75 Όσον αφορά, ειδικότερα, την παρέκκλιση που προβλέπεται στο άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, πρέπει να υπενθυμιστεί ότι, δυνάμει της διατάξεως αυτής, η κατ’ αρχήν απαγόρευση, με το άρθρο 9, παράγραφος 1, κάθε επεξεργασίας που αφορά ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα δεν ισχύει σε περίπτωση που η επεξεργασία αφορά δεδομένα προσωπικού χαρακτήρα τα οποία «έχουν προδήλως δημοσιοποιηθεί από το υποκείμενο των δεδομένων».
76 Στο μέτρο που προβλέπει εξαίρεση από την αρχή της απαγορεύσεως της επεξεργασίας των ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ πρέπει να ερμηνεύεται στενά [πρβλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 76 και εκεί μνημονευόμενη νομολογία].
77 Επομένως, για τους σκοπούς της εφαρμογής της εξαίρεσης του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, πρέπει να ελέγχεται αν το υποκείμενο των δεδομένων θέλησε, ρητώς και με σαφή θετική ενέργεια, να καταστήσει προσβάσιμα στο ευρύ κοινό τα επίμαχα δεδομένα προσωπικού χαρακτήρα [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 77].
78 Εν προκειμένω, από την απόφαση περί παραπομπής προκύπτει ότι η συζήτηση στρογγυλής τραπέζης που διοργανώθηκε στη Βιέννη στις 12 Φεβρουαρίου 2019, στο πλαίσιο της οποίας ο M. Schrems προέβη σε δήλωση σχετικά με τον γενετήσιο προσανατολισμό του, ήταν προσβάσιμη στο κοινό, το οποίο μπορούσε να λάβει εισιτήριο για να παρευρεθεί σε αυτή εντός των ορίων των διαθέσιμων θέσεων, και ότι η συζήτηση μεταδιδόταν ζωντανά στο διαδίκτυο. Επιπλέον, η ηχογράφηση της συζήτησης δημοσιεύθηκε εν συνεχεία υπό μορφή podcast, καθώς και στο κανάλι της Επιτροπής στο Youtube.
79 Υπό τις συνθήκες αυτές, και υπό την επιφύλαξη των εξακριβώσεων στις οποίες οφείλει να προβεί το εθνικό δικαστήριο, δεν μπορεί να αποκλειστεί το ενδεχόμενο η δήλωση αυτή, μολονότι εντάσσεται σε μια ευρύτερη ομιλία και πραγματοποιήθηκε με αποκλειστικό σκοπό την άσκηση κριτικής για την επεξεργασία δεδομένων προσωπικού χαρακτήρα από το Facebook, να συνιστά πράξη με την οποία ο ενδιαφερόμενος, εν πλήρει επιγνώσει, δημοσιοποίησε προδήλως, κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ, τον γενετήσιο προσανατολισμό του.
80 Δεύτερον, καίτοι το γεγονός ότι το υποκείμενο των δεδομένων έχει προδήλως δημοσιοποιήσει ένα δεδομένο σχετικό με τον γενετήσιο προσανατολισμό του συνεπάγεται ότι το εν λόγω δεδομένο μπορεί να αποτελέσει αντικείμενο επεξεργασίας, κατά παρέκκλιση από την απαγόρευση του άρθρου 9, παράγραφος 1, του ΓΚΠΔ και σύμφωνα με τις απαιτήσεις που απορρέουν από τις λοιπές διατάξεις του κανονισμού [πρβλ. απόφαση της 24ης Σεπτεμβρίου 2019, GC κ.λπ. (Διαγραφή συνδέσμων προς ευαίσθητα δεδομένα), C‑136/17, EU:C:2019:773, σκέψη 64], το γεγονός αυτό και μόνον δεν επιτρέπει, αντιθέτως προς όσα υποστηρίζει η Meta Platforms Ireland, την επεξεργασία άλλων δεδομένων προσωπικού χαρακτήρα που αφορούν τον γενετήσιο προσανατολισμό του προσώπου αυτού.
81 Επομένως, αφενός, θα ήταν αντίθετο προς τη στενή ερμηνεία που πρέπει να δίδεται στο άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ να γίνει δεκτό ότι το σύνολο των δεδομένων σχετικά με τον γενετήσιο προσανατολισμό ενός προσώπου εκφεύγει της προστασίας που απορρέει από την παράγραφο 1 του άρθρου αυτού για τον λόγο και μόνον ότι το υποκείμενο των δεδομένων έχει προδήλως δημοσιοποιήσει ένα δεδομένο προσωπικού χαρακτήρα που αφορά τον γενετήσιο προσανατολισμό του.
82 Αφετέρου, από το γεγονός ότι ένα πρόσωπο έχει προδήλως δημοσιοποιήσει ένα δεδομένο σχετικά με τον γενετήσιο προσανατολισμό του δεν μπορεί να συναχθεί ότι το πρόσωπο αυτό παρέσχε τη συγκατάθεσή του, κατά την έννοια του άρθρου 9, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ, για την επεξεργασία από τον διαχειριστή διαδικτυακής πλατφόρμας μέσου κοινωνικής δικτύωσης άλλων δεδομένων σχετικών με τον γενετήσιο προσανατολισμό του.
83 Λαμβανομένων υπόψη των προεκτεθέντων, στο τέταρτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του ΓΚΠΔ έχει την έννοια ότι το γεγονός ότι ένα πρόσωπο εκφράστηκε ως προς τον γενετήσιο προσανατολισμό του στο πλαίσιο συζήτησης στρογγυλής τραπέζης ανοικτής στο κοινό δεν επιτρέπει στον διαχειριστή διαδικτυακής πλατφόρμας μέσου κοινωνικής δικτύωσης να επεξεργάζεται άλλα δεδομένα σχετικά με τον γενετήσιο προσανατολισμό του εν λόγω προσώπου, τα οποία αποκτήθηκαν, ενδεχομένως, εκτός της συγκεκριμένης πλατφόρμας από εφαρμογές και ιστοτόπους τρίτων συνεργατών, με σκοπό να τα ομαδοποιήσει και να τα αναλύσει, προκειμένου να προτείνει στο πρόσωπο αυτό εξατομικευμένη διαφήμιση.
Επί των δικαστικών εξόδων
84 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (τέταρτο τμήμα) αποφαίνεται:
1) Το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
η αρχή της «ελαχιστοποίησης των δεδομένων», την οποία προβλέπει η διάταξη αυτή, αποκλείει να ομαδοποιείται, να αναλύεται και να υποβάλλεται σε επεξεργασία, για σκοπούς στοχευμένης διαφήμισης, χωρίς χρονικό περιορισμό και χωρίς διάκριση ανάλογα με τη φύση των δεδομένων, το σύνολο των δεδομένων προσωπικού χαρακτήρα τα οποία απέκτησε υπεύθυνος επεξεργασίας, όπως ο διαχειριστής διαδικτυακής πλατφόρμας μέσου κοινωνικής δικτύωσης, από το υποκείμενο των δεδομένων ή από τρίτους και τα οποία έχουν συλλεγεί τόσο εντός της πλατφόρμας όσο και εκτός αυτής.
2) Το άρθρο 9, παράγραφος 2, στοιχείο εʹ, του κανονισμού 2016/679
έχει την έννοια ότι:
το γεγονός ότι ένα πρόσωπο εκφράστηκε ως προς τον γενετήσιο προσανατολισμό του στο πλαίσιο συζήτησης στρογγυλής τραπέζης ανοικτής στο κοινό δεν επιτρέπει στον διαχειριστή διαδικτυακής πλατφόρμας μέσου κοινωνικής δικτύωσης να επεξεργάζεται άλλα δεδομένα σχετικά με τον γενετήσιο προσανατολισμό του εν λόγω προσώπου, τα οποία αποκτήθηκαν, ενδεχομένως, εκτός της συγκεκριμένης πλατφόρμας από εφαρμογές και ιστοτόπους τρίτων συνεργατών, με σκοπό να τα ομαδοποιήσει και να τα αναλύσει, προκειμένου να προτείνει στο πρόσωπο αυτό εξατομικευμένη διαφήμιση.