2024-12-17

ევროკავშირის მართლმსაჯულების სასამართლოს გადაწყვეტილება „ლეგიტიმური ინტერესის“ განმარტების შესახებ

---

ევროკავშირის მართლმსაჯულების სასამართლომ (“CJEU”) (Case C-621/22[1]) ევროკავშირის „მონაცემთა დაცვის ძირითადი რეგულაციის“ (“GDPR”) მე-6 მუხლის პირველი პუნქტის “f” ქვეპუნქტის („მონაცემთა დამუშავება აუცილებელია მონაცემთა დამმუშავებლის ან მესამე პირის კანონიერი ინტერესების დასაცავად, გარდა იმ შემთხვევისა, როდესაც აღნიშნულ ინტერესებს აღემატება იმ მონაცემთა სუბიექტის ინტერესები ან ფუნდამენტური უფლებები და თავისუფლებები, რომელიც მოითხოვს მონაცემთა დაცვას, განსაკუთრებით თუ მონაცემთა სუბიექტი ბავშვია“) ფარგლებში „ლეგიტიმური ინტერესის“ განმარტებასთან დაკავშირებით იმსჯელა.[2]  

 

• საქმის ფაქტობრივი გარემოებები:

2018 წელს, ჩოგბურთის ფედერაციამ, რომელიც წარმოადგენს დამუშავებისთვის პასუხისმგებელ პირს, ორ სპონსორს (სპორტული აღჭურვილობის მიმწოდებელი და ონლაინ ტოტალიზატორის კომპანია), თანხის გადახდის სანაცვლოდ,  ფედერაციის წევრების პერსონალური მონაცემები გადასცა. სპონსორები აღნიშნულ მონაცემებს მარკეტინგული მიზნებისთვის ამუშავებდნენ.

მონაცემთა სუბიექტებმა (ფედერაციის წევრები) საჩივარი შეიტანეს ჰოლანდიის პერსონალურ მონაცემთა დაცვის საზედამხედველო ორგანოში, რომელმაც დაადგინა დამუშავებისთვის პასუხისმგებელი პირის მიერ “GDPR”-ის მე-6 მუხლის („მონაცემთა დამუშავების კანონიერება“) პირველი პუნქტის “a” („მონაცემთა დამუშავება კანონიერია მხოლოდ იმ შემთხვევაში და იმ მოცულობით, თუ მონაცემთა სუბიექტი განაცხადებს თანხმობას მისი პერსონალური მონაცემების დამუშავებაზე ერთი ან ერთზე მეტი კონკრეტული მიზნისთვის“) და “f”  („მონაცემთა დამუშავება აუცილებელია მონაცემთა დამმუშავებლის ან მესამე პირის კანონიერი ინტერესების დასაცავად, გარდა იმ შემთხვევისა, როდესაც აღნიშნულ ინტერესებს აღემატება იმ მონაცემთა სუბიექტის ინტერესები ან ფუნდამენტური უფლებები და თავისუფლებები, რომელიც მოითხოვს მონაცემთა დაცვას, განსაკუთრებით თუ მონაცემთა სუბიექტი ბავშვია“) ქვეპუნქტების დარღვევა.

ამასთან, საზედამხედველო ორგანოს შეფასებით, დაირღვა “GDPR”-ის მე-5 მუხლის პირველი პუნქტის “a” ქვეპუნქტი („პერსონალური მონაცემები უნდა დამუშავდეს კანონიერად, სამართლიანად და გამჭვირვალედ მონაცემთა სუბიექტთან მიმართებით“), ვინაიდან ჩოგბურთის ფედერაციამ სპონსორებს პერსონალური ინფორმაცია მონაცემთა სუბიექტების თანხმობისა და სხვა სამართლებრივი საფუძვლის არსებობის გარეშე გაუზიარა. შესწავლილი გარემოებებიდან გამომდინარე, ჰოლანდიის საზედამხედველო ორგანომ დამუშავებისთვის პასუხისმგებელი პირი 525 000 ევროს ოდენობით დააჯარიმა.

დამუშავებისთვის პასუხისმგებელმა პირმა საზედამხედველო ორგანოს გადაწყვეტილება ამსტერდამის სასამართლოში გაასაჩივრა, ძირითადი რეგულაციის მე-6 მუხლის პირველი პუნქტის “f” ქვეპუნქტის შესაბამისად, ფედერაციის წევრების პერსონალური მონაცემების გაზიარებისთვის ლეგიტიმური ინტერესის არსებობაზე მითითებით. დამატებით, იგი ამტკიცებდა, რომ ლეგიტიმური ინტერესი გულისხმობდა მონაცემთა სუბიექტებისთვის სპონსორების მხრიდან ფასდაკლებების შეთავაზებას, რათა ჩოგბურთის თამაშის შესაძლებლობა უფრო ხელმისაწვდომი ფასებით ჰქონოდათ.

2022 წლის 22 სექტემბერს, ამსტერდამის სასამართლომ, „ლეგიტიმური ინტერესების“ განმარტების თხოვნით ევროკავშირის მართლმსაჯულების სასამართლოს მიმართა, რათა დაეზუსტებინა შეიძლება თუ არა, რომ ნებისმიერი ინტერესი ლეგიტიმურ ინტერესად შეფასდეს, თუ იგი არ ეწინააღმდეგება კანონს.

 

• ევროკავშირის მართლმსაჯულების სასამართლოს გადაწყვეტილება:

სასამართლომ, უპირველეს ყოვლისა, აღნიშნა, რომ ლეგიტიმური ინტერესის სამართლებრივი საფუძველი უნდა განიმარტოს ვიწროდ, ვინაიდან პერსონალური მონაცემები მონაცემთა სუბიექტის თანხმობის გარეშე მუშავდება. სასამართლოს განმარტებით, “GDPR”-ის პრეამბულის 47-ე პუნქტის თანახმად, აუცილებელი არ არის, რომ ლეგიტიმური ინტერესის შინაარსი არ შემოიფარგლება კანონით. დამატებით, ამავე პუნქტის შესაბამისად, პირდაპირი მარკეტინგის მიზნებით პერსონალური მონაცემების დამუშავება შეიძლება ჩაითვალოს კანონიერი ინტერესის საფუძველზე დამუშავებად. “CJEU”-მ განმარტა, რომ ლეგიტიმური ინტერესი უნდა შეფასდეს კანონმდებლობისა და განსახილველი საქმის ფაქტობრივი გარემოებების ანალიზის საფუძველზე. სასამართლომ აღნიშნა, რომ ლეგიტიმური ინტერესების უზრუნველსაყოფად პერსონალური მონაცემების დამუშავება, მიზნის გათვალისწინებით, უნდა იყოს აუცილებელი. ასევე, დაცული უნდა იქნას  ბალანსი მონაცემთა სუბიექტის უფლებებსა და თავისუფლებებს და დამუშავებისთვის პასუხისმგებელი პირის ლეგიტიმურ ინტერესებს შორის. პერსონალური მონაცემების დამუშავება უნდა იყოს აუცილებელი მიზნის მისაღწევად და არ უნდა არსებობდეს სხვა, ნაკლებად მზღუდავი საშუალებები.

განსახილველ საქმეში, დამუშავებისთვის პასუხისმგებელ პირს უნდა მიეწოდებინა ფედერაციის წევრებისთვის ინფორმაცია, რომ მარკეტინგული მიზნებისთვის გეგმავდა მათი პერსონალური მონაცემების სპონსორებისთვის გადაცემას და გადაცემამდე  თითოეულის თანხმობის მოპოვება.

დამატებით, სასამართლომ აღნიშნა, რომ ისეთი სპონსორებისთვის, რომლებიც მართავენ კაზინოებისა და აზარტული თამაშების ვებგვერდებს, პერსონალური მონაცემების გადაცემას შეიძლებოდა, ჰქონოდა ნეგატიური გავლენა მონაცემთა სუბიექტებზე (მაგალითად, აზარტულ თამაშებზე დამოკიდებულება). “CJEU”-მ შეაფასა მონაცემთა სუბიექტის მოლოდინი ფედერაციაში გასაწევრიანებლად წარდგენილი ინფორმაციის შემდგომში მესამე მხარისათვის მარკეტინგული მიზნებისთვის, თანხის გადახდის სანაცვლოდ გადაცემასთან დაკავშირებით.

სასამართლომ დაადგინა, რომ სავალდებულო არ არის, რომ ლეგიტიმური ინტერესი ეფუძნებოდეს სამართლებრივ ნორმას, თუმცა უნდა იყოს კანონიერი. ლეგიტიმური ინტერესი “GDPR”-ის მე-6 მუხლის პირველი პუნქტის “f” ქვეპუნქტთან იმ შემთხვევაში იქნება შესაბამისი, თუ სახეზეა მონაცემთა დამუშავების მწვავე საჭიროება და მონაცემთა სუბიექტის უფლებები და თავისუფლებები არ გადაწონის აღნიშნულს.