ΔΕΕ: φορέας εκμεταλλεύσεως ιστοτόπου - δεδομένα προσωπικού χαρακτήρα επισκεπτών

Δικαστήριο της Ευρωπαϊκής Ένωσης 

 ΑΝΑΚΟΙΝΩΘΕΝ ΤΥΠΟΥ αριθ.112/16

Λουξεμβούργο, 19 Οκτωβρίου 2016

Απόφαση στην υπόθεση C-582/14 Patrick Breyer κατά Bundesrepublik Deutschland

Ο φορέας εκμεταλλεύσεως ιστοτόπου μπορεί να έχει έννομο συμφέρον στην αποθήκευση δεδομένων προσωπικού χαρακτήρα των επισκεπτών για την αποτροπή επιθέσεων στον κυβερνοχώρο

Η δυναμική διεύθυνση διαδικτύου ενός επισκέπτη αποτελεί, για τον φορέα εκμεταλλεύσεως του ιστοτόπου (site operator), δεδομένο προσωπικού χαρακτήρα, όταν ο εν λόγω φορέας έχει στη διάθεσή του νόμιμα μέσα βάσει των οποίων μπορεί να εξακριβωθεί η ταυτότητα του οικείου επισκέπτη χάρη στις πρόσθετες πληροφορίες που έχει στη διάθεσή του ο φορέας παροχής προσβάσεως στο διαδίκτυο (internet provider) του επισκέπτη

Ο Patrick Breyer προσέφυγε ενώπιον των γερμανικών δικαστηρίων κατά της καταχωρίσεως και αποθηκεύσεως των διευθύνσεών του πρωτοκόλλου διαδικτύου (διευθύνσεις IP) ^[1] από τους ιστοτόπους των γερμανικών ομοσπονδιακών υπηρεσιών τους οποίους επισκέπτεται. Οι εν λόγω υπηρεσίες καταχωρούν και αποθηκεύουν, πέραν της ημερομηνίας και ώρας της εκάστοτε επισκέψεως σε ιστότοπο, τις διευθύνσεις IP των επισκεπτών προς αποτροπή των επιθέσεων στον κυβερνοχώρο και διευκόλυνση της ποινικής διώξεως.

Το Bundesgerichtshof (Ανώτατο Ομοσπονδιακό Δικαστήριο, Γερμανία) υπέβαλε αίτηση προδικαστικής αποφάσεως ενώπιον του Δικαστηρίου ζητώντας να διευκρινισθεί αν, στο πλαίσιο αυτό, και οι «δυναμικές» διευθύνσεις IP αποτελούν, έναντι του φορέα εκμεταλλεύσεως του ιστοτόπου, δεδομένο προσωπικού χαρακτήρα και απολαύουν επομένως την προβλεπόμενη για τα δεδομένα αυτά προστασία. Δυναμική διεύθυνση IP είναι διεύθυνση IP η οποία αλλάζει σε κάθε νέα σύνδεση στο διαδίκτυο. Αντιθέτως προς τις στατικές διευθύνσεις IP, οι δυναμικές διευθύνσεις IP δεν επιτρέπουν να γίνει συσχετισμός, μέσω προσβάσιμων στο κοινό αρχείων, ενός συγκεκριμένου υπολογιστή και της συνδέσεως με το διαδίκτυο που χρησιμοποίησε ο φορέας παροχής προσβάσεως στο διαδίκτυο. Επομένως, μόνον ο φορέας παροχής προσβάσεως στο διαδίκτυο του Ρ. Breyer έχει στη διάθεσή του πρόσθετες πληροφορίες που απαιτούνται για την εξακρίβωση της ταυτότητάς του.

Εξάλλου, το Bundesgerichtshof ζητεί να διευκρινισθεί αν ο φορέας εκμεταλλεύσεως ιστοτόπου πρέπει, τουλάχιστον κατ' αρχήν, να έχει τη δυνατότητα να συλλέγει και να χρησιμοποιεί μεταγενέστερα τα δεδομένα προσωπικού χαρακτήρα των επισκεπτών προς τον σκοπό διασφαλίσεως της γενικής λειτουργικότητας του ιστοτόπου του. Παρατηρεί συναφώς ότι η κρατούσα στη γερμανική νομική θεωρία άποψη ερμηνεύει τη συναφή γερμανική ρύθμιση υπό την έννοια ότι τα δεδομένα αυτά πρέπει να διαγράφονται μετά τη λήξη της εκάστοτε επισκέψεως εφόσον δεν είναι αναγκαία για σκοπούς τιμολογήσεως.

Με τη σημερινή απόφασή του, το Δικαστήριο απαντά κατ' αρχάς ότι δυναμική διεύθυνση IP καταχωρισμένη από «φορέα παροχής υπηρεσιών τηλεμέσων» (ήτοι από τον φορέα εκμεταλλεύσεως ιστοτόπου, εν προκειμένω τις γερμανικές ομοσπονδιακές υπηρεσίες) κατά την επίσκεψη του προσβάσιμου στο κοινό ιστοτόπου του αποτελεί, έναντι του φορέα εκμεταλλεύσεως,

δεδομένο προσωπικού χαρακτήρα ^[2], όταν έχει στη διάθεσή του νόμιμα μέσα βάσει των οποίων μπορεί να εξακριβωθεί η ταυτότητα του επισκέπτη χάρη στις πρόσθετες πληροφορίες που έχει στη διάθεσή του ο φορέας παροχής προσβάσεως στο διαδίκτυο του επισκέπτη αυτού.

Συναφώς, το Δικαστήριο επισημαίνει ότι στη Γερμανία φαίνεται ότι υφίστανται νόμιμες διαδικασίες παρέχουσες στον φορέα παροχής υπηρεσιών τηλεμέσων ^[3] τη δυνατότητα να απευθυνθεί, ιδίως σε περίπτωση επιθέσεων στον κυβερνοχώρο, στην αρμόδια αρχή ώστε αυτή να προβεί στις απαραίτητες ενέργειες για να λάβει τις εν λόγω πληροφορίες από τον φορέα παροχής υπηρεσιών προσβάσεως στο διαδίκτυο και να κινήσει στη συνέχεια ποινική δίωξη.

Δεύτερον, το Δικαστήριο απαντά ότι το δίκαιο της Ένωσης ^[4] αντιτίθεται σε ρύθμιση κράτους μέλους δυνάμει της οποίας, χωρίς τη συγκατάθεση επισκέπτη σε ιστότοπο, φορέας παροχής υπηρεσιών τηλεμέσων δύναται να συλλέγει και να χρησιμοποιεί δεδομένα προσωπικού χαρακτήρα αφορώντα τον επισκέπτη μόνον αν η εν λόγω συλλογή και χρησιμοποίηση απαιτούνται για να καταστεί δυνατή και να τιμολογηθεί η συγκεκριμένη χρήση των ως άνω υπηρεσιών από τον εν λόγω επισκέπτη, και κατά την οποία ο σκοπός της διασφαλίσεως της γενικής λειτουργικότητας των ιδίων υπηρεσιών δεν μπορεί να δικαιολογήσει τη χρησιμοποίηση των δεδομένων αυτών μετά τη λήξη της εκάστοτε επισκέψεως σε ιστότοπο.

Το Δικαστήριο υπενθυμίζει ότι, κατά το δίκαιο της Ένωσης, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι νόμιμη όταν είναι απαραίτητη για την επίτευξη του εννόμου συμφέροντος που επιδιώκει ο υπεύθυνος της επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα, υπό τον όρο ότι δεν προέχει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του οικείου προσώπου.

Η γερμανική ρύθμιση, κατά την κρατούσα στη νομική θεωρία ερμηνεία, περιορίζει το πεδίο εφαρμογής της αρχής αυτής, αποκλείοντας τη στάθμιση του σκοπού διασφαλίσεως της γενικής λειτουργικότητας του εν λόγω τηλεμέσου με το συμφέρον ή τα θεμελιώδη δικαιώματα και ελευθερίες των επισκεπτών.

Στο πλαίσιο αυτό, το Δικαστήριο τονίζει ότι οι γερμανικές ομοσπονδιακές υπηρεσίες οι οποίες παρέχουν υπηρεσίες τηλεμέσων μπορεί να έχουν έννομο συμφέρον για τη διασφάλιση, πέραν της εκάστοτε συγκεκριμένης χρήσεως των προσβάσιμων στο κοινό ιστότοπών τους, της λειτουργικότητας των ιστοτόπων τους.

ΥΠΟΜΝΗΣΗ: Η διαδικασία εκδόσεως προδικαστικής αποφάσεως παρέχει στα δικαστήρια των κρατών μελών τη δυνατότητα να υποβάλουν στο Δικαστήριο, στο πλαίσιο της ένδικης διαφοράς της οποίας έχουν επιληφθεί, ερώτημα σχετικό με την ερμηνεία του δικαίου της Ένωσης ή με το κύρος πράξεως οργάνου της Ένωσης. Το Δικαστήριο δεν αποφαίνεται επί της διαφοράς που εκκρεμεί ενώπιον του εθνικού δικαστηρίου. Στο εθνικό δικαστήριο εναπόκειται να επιλύσει τη διαφορά αυτή, λαμβάνοντας υπόψη την απόφαση του Δικαστηρίου. Η απόφαση αυτή δεσμεύει, ομοίως, άλλα εθνικά δικαστήρια ενώπιον των οποίων ανακύπτει παρόμοιο ζήτημα.

Ανεπίσημο έγγραφο προοριζόμενο για τα μέσα μαζικής ενημερώσεως, το οποίο δεν δεσμεύει το Δικαστήριο.

Το πλήρες κείμενο της αποφάσεως είναι διαθέσιμο στην ιστοσελίδα CURIA από την ημερομηνία

δημοσιεύσεώς της

Επικοινωνία: Estella Cigna-Αγγελίδη @ (+352) 4303 2582

---

^[1] Οι διευθύνσεις IP είναι αριθμητικές ακολουθίες οι οποίες αποδίδονται σε υπολογιστές που συνδέονται με το διαδίκτυο προκειμένου να καταστήσουν δυνατή την επικοινωνία τους στο διαδίκτυο. Κατά την επίσκεψη σε συγκεκριμένο ιστότοπο, η διεύθυνση ΙΡ του υπολογιστή από τον οποίο πραγματοποιείται η επίσκεψη αυτή διαβιβάζεται στον διακομιστή στον οποίο είναι αποθηκευμένος ο σχετικός ιστότοπος. Τούτο είναι αναγκαίο προκειμένου τα δεδομένα που χρησιμοποιήθηκαν να μεταφερθούν στον ορθό παραλήπτη.

^[2] Κατά την έννοια της οδηγίας 95/46/ΕΚ 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 281, σ. 31).

Όσον αφορά την παρούσα υπόθεση όπου τους εν λόγω ιστότοπους διαχειρίζονται οι γερμανικές ομοσπονδιακές υπηρεσίες, το Δικαστήριο παρατηρεί ότι φαίνεται ότι οι γερμανικές ομοσπονδιακές υπηρεσίες ενεργούν, παρά το ότι είναι δημόσιες αρχές, ως ιδιώτες.

^[4] Ήτοι η οδηγία 95/46.