ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (δεύτερο τμήμα) της 19ης Οκτωβρίου 2016 (*)
Το ΔΕΕ έκρινε επί του ζητήματος του νομικού χαρακτηρισμού των στατικών διευθύνσεων ΙΡ ως προσωπικά δεδομένα, καθώς και επί του ζητήματος αν επιτρέπεται οι φορείς παροχής υπηρεσιών τηλεμέσων να συλλέγουν και να χρησιμοποιούν δεδομένα προσωπικού χαρακτήρα όταν αυτό είναι αναγκαίο για τη διασφάλιση και διατήρηση της ασφάλειας και λειτουργικότητας των ιστοτόπων των τηλεμέσων, με το σκεπτικό ότι έτσι διευκολύνεται, ειδικότερα, η εξακρίβωση των επιθέσεων στον κυβερνοχώρο οι οποίες αποκαλούνται «επιθέσεις άρνησης υπηρεσίας», και σκοπό έχουν να παραλύσουν τη λειτουργικότητα των ιστοτόπων αυτών μέσω στοχευμένης και συντονισμένης συμφορήσεως συγκεκριμένων διαδικτυακών διακομιστών με πλειάδα αιτημάτων, και διότι συμβάλλει στην αποτροπή των ως άνω επιθέσεων.
Ως προς το πρώτο ζήτημα, η απόφαση του Δικαστηρίου είναι θεμελιώδης, καθώς έχει απασχολήσει πολλές φορές την επιστήμη του δικαίου το ερώτημα αν οι δυναμικές διευθύνσεις ΙΡ συνιστούν προσωπικά δεδομένα. Συγκεκριμένα, το ερώτημα που υποβλήθηκε ήταν αν το άρθρο 2, στοιχείο α΄, της οδηγίας 95/46 έχει την έννοια ότι δυναμική διεύθυνση IP αποθηκευθείσα από φορέα παροχής υπηρεσιών τηλεμέσων επ’ ευκαιρία της επισκέψεως προσώπου σε ιστότοπο τον οποίο ο εν λόγω φορέας καθιστά προσβάσιμο στο κοινό αποτελεί, για τον φορέα αυτό, δεδομένο προσωπικού χαρακτήρα κατά την έννοια της διατάξεως αυτής, όταν μόνον ένας τρίτος, εν προκειμένω ο πάροχος υπηρεσιών προσβάσεως στο διαδίκτυο του ως άνω προσώπου, έχει στη διάθεσή του πρόσθετες πληροφορίες οι οποίες απαιτούνται για την εξακρίβωση της ταυτότητας του προσώπου αυτού.
Το Δικαστήριο επισήμανε καταρχή ότι δυναμική διεύθυνση IP δεν αποτελεί πληροφορία αφορώσα «φυσικό πρόσωπο του οποίου η ταυτότητα είναι γνωστή», καθόσον η διεύθυνση αυτή δεν αποκαλύπτει άμεσα την ταυτότητα του φυσικού προσώπου στο οποίο ανήκει ο υπολογιστής από τον οποίο πραγματοποιήθηκε η επίσκεψη ιστοτόπου, ούτε άλλου προσώπου που τυχόν χρησιμοποίησε τον υπολογιστή αυτόν (σκ. 38).
Βεβαίως, σύμφωνα με το άρθρ. 2 στοιχ. α΄ της οδηγίας 95/46, ως πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί λογίζεται το πρόσωπο εκείνο που μπορεί να προσδιοριστεί όχι μόνον άμεσα αλλά και έμμεσα. Εν προκειμένω, οι πρόσθετες πληροφορίες που απαιτούνται για την εξακρίβωση της ταυτότητας του χρήστη ιστοτόπου δεν βρίσκονται στη διάθεση του φορέα της παροχής υπηρεσιών τηλεμέσων αλλά του παρόχου υπηρεσιών προσβάσεως στο διαδίκτυο του χρήστη αυτού. Βεβαίως, το κρίσιμο ζήτημα είναι αν είναι εφικτή η εξακρίβωση της ταυτότητας του χρήστη και αν δεν απαγορεύεται από το νόμο.
Στην περίπτωση της Γερμανίας, υπάρχουν νόμιμες διαδικασίες παρέχουσες στον φορέα παροχής υπηρεσιών τηλεμέσων τη δυνατότητα να απευθυνθεί, ιδίως σε περίπτωση επιθέσεων στον κυβερνοχώρο, στην αρμόδια αρχή ώστε αυτή να προβεί στις απαραίτητες ενέργειες για να λάβει τις εν λόγω πληροφορίες από τον φορέα παροχής υπηρεσιών προσβάσεως στο διαδίκτυο και να κινήσει ποινική δίωξη (σκ. 47). Συνεπώς, ο φορέας παροχής υπηρεσιών τηλεμέσων έχει στη διάθεσή του μέσα που μπορούν ευλόγως να χρησιμοποιηθούν για να εξακριβωθεί, με τη βοήθεια άλλων προσώπων, ήτοι της αρμόδιας αρχής και του φορέα παροχής υπηρεσιών προσβάσεως στο διαδίκτυο, η ταυτότητα του οικείου προσώπου βάσει των αποθηκευμένων διευθύνσεων IP.
Έτσι, το Δικαστήριο έδωσε την απάντηση στο πρώτο ερώτημα ότι το άρθρο 2, στοιχείο α΄, της οδηγίας 95/46 έχει την έννοια ότι δυναμική διεύθυνση IP αποθηκευθείσα από τον φορέα παροχής υπηρεσιών τηλεμέσων κατά την επίσκεψη προσώπου σε ιστότοπο τον οποίο ο εν λόγω φορέας καθιστά προσβάσιμο στο κοινό αποτελεί, έναντι του φορέα αυτού, δεδομένο προσωπικού χαρακτήρα κατά την έννοια της ως άνω διατάξεως, όταν έχει στη διάθεσή του νόμιμα μέσα βάσει των οποίων μπορεί να εξακριβωθεί η ταυτότητα του οικείου προσώπου χάρη στις πρόσθετες πληροφορίες που έχει στη διάθεσή του ο πάροχος υπηρεσιών προσβάσεως στο διαδίκτυο του εν λόγω προσώπου.
Με το δεύτερο ερώτημά του, το αιτούν δικαστήριο ζήτησε να διευκρινισθεί αν το άρθρο 7 στοιχ. στ΄ της οδηγίας 95/46 έχει την έννοια ότι αντιτίθεται σε ρύθμιση κράτους μέλους δυνάμει της οποίας φορέας παροχής υπηρεσιών τηλεμέσων δύναται να συλλέγει και να χρησιμοποιεί δεδομένα προσωπικού χαρακτήρα αφορώντα χρήστη των ως άνω υπηρεσιών χωρίς τη συγκατάθεσή του, μόνον όταν η εν λόγω συλλογή και χρησιμοποίηση απαιτούνται για να καταστεί δυνατή και να τιμολογηθεί η συγκεκριμένη χρήση των ως άνω υπηρεσιών από τον εν λόγω χρήστη, και κατά την οποία ο σκοπός διασφαλίσεως της γενικής λειτουργικότητας των ιδίων υπηρεσιών δεν μπορεί να δικαιολογήσει τη
χρησιμοποίηση των δεδομένων αυτών μετά τη λήξη της εκάστοτε επισκέψεως σε ιστότοπο.
Το Δικαστήριο δέχθηκε καταρχήν ότι η επίμαχη στην υπόθεση της κύριας δίκης επεξεργασία δεδομένων προσωπικού χαρακτήρα, ήτοι των δυναμικών διευθύνσεων IP των χρηστών ορισμένων ιστοτόπων των γερμανικών ομοσπονδιακών υπηρεσιών, δεν εκφεύγει του πεδίου εφαρμογής της οδηγίας 95/46 για το λόγο ότι "οι γερμανικές ομοσπονδιακές υπηρεσίες, οι οποίες παρέχουν υπηρεσίες τηλεμέσων και είναι υπεύθυνες για την επεξεργασία των δυναμικών διευθύνσεων IP, ενεργούν, παρά το ότι είναι δημόσιες αρχές, ως ιδιώτες και πέραν του πλαισίου των απτομένων των
τομέων του ποινικού δικαίου δραστηριοτήτων του κράτους" (σκ. 53).
To Δικαστήριο δέχθηκε ότι οι γερμανικές ομοσπονδιακές υπηρεσίες οι οποίες παρέχουν υπηρεσίες τηλεμέσων μπορεί να έχουν και έννομο συμφέρον για τη διασφάλιση της λειτουργικότητας των εν λόγω ιστοτόπων, πέραν της εκάστοτε συγκεκριμένης χρήσεως των προσβάσιμων στο κοινό ιστότοπών τους (σκ. 60). Και ότι, ρύθμιση, όπως η επίμαχη στην υπόθεση της κύριας δίκης, όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα των χρηστών τηλεμέσων, περιορίζει το πεδίο εφαρμογής της αρχής του άρθρου 7 στοιχ. στ΄ της οδηγίας 95/46, αποκλείοντας τη στάθμιση του σκοπού διασφαλίσεως της γενικής λειτουργικότητας του εν λόγω τηλεμέσου με το συμφέρον ή τα θεμελιώδη δικαιώματα και ελευθερίες των ως άνω χρηστών, που χρήζουν προστασίας δυνάμει του άρθρου 1, παράγραφος 1, της οδηγίας αυτής.
Επισημαίνεται, ως εκ τούτου, ότι η νομολογία αυτή δίνει "πράσινο φως" στη Γερμανική κυβέρνηση να συνεχίσει την συλλογή και αποθήκευση δυναμικών διευθύνσεων των επισκεπτών των ιστοχώρων της (βλ. ECJ rules in favour of Germany in IP address squabble)
Δεν υπάρχουν σχόλια:
Δημοσίευση σχολίου