ΑΝΑΚΟΙΝΩΣΗ ΠΡΟΣ ΤΑ ΜΕΛΗ

Ευρωπαϊκό Κοινοβούλιο 2014-2019 Επιτροπή Αναφορών 2.5.2017 ΑΝΑΚΟΙΝΩΣΗ ΠΡΟΣ ΤΑ ΜΕΛΗ Θέμα: Αναφορά αριθ. 1998/2014, του/της S. K., γερμανικής ιθαγένειας, σχετικά με τη διαχείριση προσωπικών δεδομένων από το PayPal 1. Περίληψη της αναφοράς Ο αναφέρων/η αναφέρουσα υποστηρίζει ότι ο φορέας παροχής υπηρεσιών πληρωμών PayPal στο Λουξεμβούργο παραβιάζει την οδηγία 1995/46/ΕΚ για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών. Σύμφωνα με τον αναφέροντα/την αναφέρουσα, το PayPal δεν διαγράφει τα προσωπικά δεδομένα μετά τη λύση της σύμβασης και την αίτηση διαγραφής των δεδομένων. Ο αναφέρων/η αναφέρουσα υποστηρίζει επίσης ότι το PayPal παγώνει λογαριασμούς απροειδοποίητα και αυθαίρετα αμέσως μόλις πραγματοποιηθεί κατάθεση μεγάλου χρηματικού ποσού. Ο αναφέρων/η αναφέρουσα πιστεύει ότι η πρακτική αυτή αποτελεί κατάσχεση χρημάτων. Για την απελευθέρωση των χρημάτων, το PayPal ζητεί πολύ προσωπικά δεδομένα, όπως ανάλυση τραπεζικού λογαριασμού, αντίγραφα λογαριασμών, συμβάσεις προμηθευτών κ.λπ. Ένα άλλο αυθαίρετο μέτρο είναι ο καθορισμός ελάχιστου αποθεματικού, στο πλαίσιο του οποίου το PayPal αναστέλλει κάθε πληρωμή έως ότου συμπληρωθεί ένα συγκεκριμένο ποσό. Η εταιρεία δεν αιτιολογεί τον καθορισμό ούτε του ελάχιστου αποθεματικού ούτε του ύψους του. Επιπλέον, οι πολίτες δεν μπορούν να καταλογίσουν ευθύνες στο PayPal. Σύμφωνα με τον αναφέροντα/την αναφέρουσα, ούτε οι γερμανικές ρυθμιστικές αρχές, όπως η Bundeskartellamt και η Bundesanstalt für Finanzdienstleistungsaufsicht, δύνανται να εποπτεύουν το Paypal και παραπέμπουν στη ρυθμιστική αρχή του Λουξεμβούργου, η οποία, με τη σειρά της, επικαλείται τους γενικούς όρους και προϋποθέσεις του PayPal, που υπάγονται στο δίκαιο του Ηνωμένου Βασιλείου. Ωστόσο, οι περισσότεροι πελάτες του PayPal δεν μπορούν να αντεπεξέλθουν οικονομικά στην υποβολή καταγγελίας κατά του PayPal στο Λουξεμβούργο, βάσει του δικαίου του Ηνωμένου Βασιλείου. Ο αναφέρων/η αναφέρουσα ζητεί την παρέμβαση της ΕΕ. 2. Παραδεκτό Χαρακτηρίσθηκε παραδεκτή στις 24 Ιουνίου 2015. Η Επιτροπή εκλήθη να παράσχει CM\1124855.docx PE578.586v03-00 Eνωμένη στην πολυμορφία

πληροφορίες (άρθρο 216 παράγραφος 6 του Κανονισμού). 3. Απάντηση της Επιτροπής, που ελήφθη στις 29 Φεβρουαρίου 2016 Στην Ευρωπαϊκή Ένωση το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα κατοχυρώνεται στο άρθρο 8 του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και στο άρθρο 16 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης. Διεξοδική αναφορά στο δικαίωμα αυτό γίνεται, ιδίως, στην οδηγία 95/46/ΕΚ για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών 1. Η οδηγία 95/46/ΕΚ καθορίζει το νομικό πλαίσιο για τις εθνικές νομοθετικές διατάξεις περί προστασίας δεδομένων στα κράτη μέλη της Ευρωπαϊκής Ένωσης. Τα κράτη μέλη υποχρεούνται να ενσωματώνουν τις διατάξεις της οδηγίας στο εθνικό τους δίκαιο. Σύμφωνα με την οδηγία 95/46/EΚ τα δεδομένα προσωπικού χαρακτήρα πρέπει να συλλέγονται μόνο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να μην τυγχάνουν περαιτέρω επεξεργασίας κατά τρόπο ασυμβίβαστο προς τους σκοπούς αυτούς. Τα προσωπικά δεδομένα πρέπει, επίσης, να είναι κατάλληλα, συναφή και όχι δυσανάλογα σε σχέση με τους σκοπούς για τους οποίους συλλέγονται ή/και υποβάλλονται σε περαιτέρω επεξεργασία (άρθρο 6). Τα προσωπικά δεδομένα μπορούν να υποβάλλονται σε επεξεργασία μόνο όταν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δώσει τη ρητή συγκατάθεσή του όταν η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το ενδιαφερόμενο πρόσωπο είναι συμβαλλόμενο μέρος όταν η επεξεργασία είναι απαραίτητη για την τήρηση εννόμου υποχρεώσεως του υπευθύνου της επεξεργασίας όταν η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του προσώπου στο οποίο αναφέρονται τα δεδομένα όταν η επεξεργασία είναι απαραίτητη για την εκπλήρωση έργου δημοσίου συμφέροντος ή εμπίπτοντος στην άσκηση δημοσίας εξουσίας ή όταν είναι απαραίτητη για την επίτευξη έννομου συμφέροντος που επιδιώκει ο υπεύθυνος της επεξεργασίας, υπό τον όρο ότι δεν προέχει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του προσώπου στο οποίο αναφέρονται τα δεδομένα (άρθρο 7). Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δικαίωμα, υπό προϋποθέσεις, να ζητήσει τη διόρθωση, τη διαγραφή ή το κλείδωμα των δεδομένων 2, ή/και να αντιτάσσεται στην επεξεργασία των δεδομένων που το αφορούν 3. Τα δικαιώματα αυτά ερμηνεύτηκαν από το Ευρωπαϊκό Δικαστήριο στην υπόθεση Google Spain, και επιβεβαιώθηκε ότι όταν τα δεδομένα είναι ακατάλληλα, δεν είναι ή έχουν πάψει να είναι συναφή με το οικείο ζήτημα ή 1 Οδηγία 95/46/EΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 24ης Οκτωβρίου 1995 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, ΕΕ L 281 της 23.11.95, σ. 31-50. 2 Άρθρο 12 στοιχείο β) της οδηγίας 95/46/ΕΚ. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα μπορεί να ζητήσει τη διόρθωση, τη διαγραφή ή το κλείδωμα των δεδομένων των οποίων η επεξεργασία δεν είναι σύμφωνη προς τις διατάξεις της παρούσας οδηγίας, ιδίως λόγω ελλιπούς ή ανακριβούς χαρακτήρα των δεδομένων. 3 Άρθρο 14 στοιχείο α) της οδηγίας 95/46/ΕΚ. Σύμφωνα με το άρθρο 14 στοιχείο α) της οδηγίας 95/46/ΕΚ, το δικαίωμα να αντιτάσσεται κανείς στην επεξεργασία σχετίζεται τουλάχιστον με τις δύο τελευταίες περιπτώσεις. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα μπορεί να αντιτάσσεται ανά πάσα στιγμή στην επεξεργασία δεδομένων που το αφορούν για επιτακτικούς και νόμιμους λόγους σχετικούς με την προσωπική του κατάσταση, εκτός εάν στην εθνική νομοθεσία ορίζεται διαφορετικά. Σε περίπτωση αιτιολογημένης αντίταξης, η επεξεργασία που πραγματοποιεί ο υπεύθυνος δεν μπορεί πλέον να αφορά τα δεδομένα αυτά. PE578.586v03-00 2/8 CM\1124855.docx

είναι υπερβολικά σε σχέση με τους σκοπούς της επίμαχης επεξεργασίας δεν πρέπει να υποβάλλονται σε (περαιτέρω) επεξεργασία 1. Εφόσον η PayPal αποτελεί υπόχρεη οντότητα υπό την έννοια της οδηγίας 2015/849, υπόκειται σε υποχρεώσεις όσον αφορά την επεξεργασία προσωπικών δεδομένων για τους σκοπούς της πρόληψης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας 2. Η επεξεργασία προσωπικών δεδομένων με βάση την εν λόγω οδηγία και για τους εν λόγω σκοπούς θεωρείται ζήτημα δημόσιου ενδιαφέροντος σύμφωνα με την οδηγία 95/46/EΚ (βλ. άρθρο 43 της οδηγίας 2015/849). Η συλλογή και η επακόλουθη επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να περιορίζονται σε ό,τι είναι αναγκαίο για τους σκοπούς της συμμόρφωσης με τις απαιτήσεις της οδηγίας 2015/849 και τα δεδομένα προσωπικού χαρακτήρα δεν πρέπει να τυγχάνουν περαιτέρω επεξεργασίας κατά τρόπο ασύμβατο με τους σκοπούς αυτούς. Η PayPal αποτελεί πάροχο υπηρεσιών πληρωμών και υπόκειται, επομένως, και στις απαιτήσεις της οδηγίας για τις υπηρεσίες πληρωμών (2007/64/EΚ). Η επεξεργασία προσωπικών δεδομένων από παρόχους υπηρεσιών πληρωμών επιτρέπεται όταν είναι απαραίτητη για τη διασφάλιση της πρόληψης, της διερεύνησης και του εντοπισμού απάτης στον τομέα των πληρωμών. Η οδηγία για τις υπηρεσίες πληρωμών δεν περιλαμβάνει ειδικούς κανόνες για το χρόνο διατήρησης των δεδομένων για τον σκοπό αυτό, αλλά ακολουθεί τους κανόνες της οδηγίας 95/46/EΚ. Προκειμένου να μπορούν να συνεργάζονται πλήρως και να απαντούν γρήγορα σε αιτήματα παροχής πληροφοριών από αρμόδιες αρχές για τους σκοπούς της πρόληψης, του εντοπισμού ή της διερεύνησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, οι υπόχρεες οντότητες θα πρέπει, σύμφωνα με την οδηγία 2015/849, να διατηρούν, για τουλάχιστον πέντε έτη, τις απαραίτητες πληροφορίες που συγκεντρώνουν μέσω μέτρων δέουσας επιμέλειας ως προς τον πελάτη και τα αρχεία των συναλλαγών. Προκειμένου να πληρούνται οι προϋποθέσεις σχετικά με την διατήρηση των προσωπικών δεδομένων, η περίοδος διατήρησης ορίζεται στα πέντε έτη μετά τη λήξη μιας επιχειρηματικής σχέσης ή μιας περιστασιακής συναλλαγής. Ωστόσο, εφόσον κρίνεται απαραίτητο και αναλογικό, τα κράτη μέλη μπορούν να επιτρέψουν ή να απαιτήσουν την περαιτέρω διατήρηση των αρχείων για χρονικό διάστημα που δεν θα υπερβαίνει τα πέντε επιπλέον χρόνια (άρθρο 40). Πρέπει να τεθούν σε εφαρμογή ειδικές εγγυήσεις που να διασφαλίζουν την ασφάλεια των δεδομένων και να καθορίζουν τα πρόσωπα που έχουν πρόσβαση στα δεδομένα που διατηρούνται. Με την επιφύλαξη των εξουσιών της Ευρωπαϊκής Επιτροπής ως θεματοφύλακα των Συνθηκών, εναπόκειται πρωτίστως στα κράτη μέλη να παρακολουθούν την εφαρμογή των εθνικών κανόνων προστασίας δεδομένων κατ εφαρμογή της οδηγίας 95/46/EΚ, ιδίως μέσω των εθνικών εποπτικών αρχών προστασίας δεδομένων. Η Επιτροπή δεν είναι αρμόδια για τη διεκπεραίωση των καταγγελιών που υποβάλλονται σε αυτήν από τα πρόσωπα στα οποία αναφέρονται τα δεδομένα κατά ιδιωτών, φυσικών ή νομικών προσώπων. 1 Απόφαση του Δικαστηρίου της 13ης Μαΐου 2014 στην υπόθεση C-131/12, Google Spain SL και Google Inc. κατά Agencia Española de Protección de Datos (AEPD) και Mario Costeja González, παράγραφοι 94, 98-99. 2 Οδηγία 2015/849 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ης Μαΐου 2015, σχετικά με την πρόληψη της χρησιμοποίησης του χρηματοπιστωτικού συστήματος για τη νομιμοποίηση εσόδων από παράνομες δραστηριότητες ή για τη χρηματοδότηση της τρομοκρατίας, ΕΕ L 141 της 5.6.2015, σ. 73 117. CM\1124855.docx 3/8 PE578.586v03-00

Επομένως, αν ο αναφέρων/η αναφέρουσα θεωρεί ότι τα δικαιώματά του/της σχετικά με την προστασία δεδομένων προσωπικού χαρακτήρα έχουν παραβιαστεί, μπορεί να προσφύγει στην αρμόδια εθνική αρχή προστασίας δεδομένων. Καθώς τα γραφεία του PayPal (Ευρώπης) βρίσκονται στο Λουξεμβούργο και η επεξεργασία πραγματοποιείται στο πλαίσιο των δραστηριοτήτων αυτής της εγκατάστασης του ελεγκτή, εφαρμόζεται εκ πρώτης όψεως η νομοθεσία του Λουξεμβούργου περί προστασίας δεδομένων κατ εφαρμογή της οδηγίας 95/46/EΚ. Αν ο αναφέρων/η αναφέρουσα θεωρεί ότι η επεξεργασία δεδομένων από το PayPal στην περίπτωσή του/της δεν συνάδει με την οδηγία 95/46/EΚ και την νομοθεσία περί προστασίας δεδομένων του Λουξεμβούργου για την εφαρμογή της, μπορεί να υποβάλει επίσημη καταγγελία στην εποπτική αρχή προστασίας δεδομένων του Λουξεμβούργου, ή στην εθνική εποπτική αρχή του κράτους μέλους στο οποίο ανήκει. Οι εθνικές εποπτικές αρχές προστασίας δεδομένων υποχρεούνται με βάση το άρθρο 28 της οδηγίας 95/46/EΚ να εξετάσουν τις καταγγελίες (εντός της επικράτειας του οικείου κράτους μέλους). Όταν η καταγγελία σχετίζεται με υπόθεση που εκτυλίχθηκε στην επικράτεια άλλου κράτους μέλους, οι εποπτικές αρχές και των δύο κρατών μελών πρέπει να συνεργαστούν στο βαθμό που κρίνεται απαραίτητος για την εκτέλεση των καθηκόντων τους, σύμφωνα με το άρθρο 26 παράγραφος 6 της οδηγίας 95/46/EΚ. Αυτό αποσαφηνίστηκε πρόσφατα από το Ευρωπαϊκό Δικαστήριο, όσον αφορά τον καθορισμό του εφαρμοστέου δικαίου και της αρμόδιας εποπτικής αρχής, όπως επίσης και όσον αφορά την άσκηση των αρμοδιοτήτων της εποπτικής αρχής 1. Οι διευθύνσεις των αρχών προστασίας δεδομένων σε όλα τα κράτη μέλη της ΕΕ είναι διαθέσιμες στον ακόλουθο διαδικτυακό τόπο: http://ec.europa.eu/justice/dataprotection/bodies/authorities/ Συμπέρασμα Αρμόδιες να ελέγχουν την εφαρμογή των εθνικών κανόνων προστασίας δεδομένων που θεσπίστηκαν κατ εφαρμογή της οδηγίας 95/46/ΕΚ είναι πρωτίστως οι εθνικές εποπτικές αρχές προστασίας δεδομένων. Σε περίπτωση που ο αναφέρων/η αναφέρουσα θεωρεί ότι τα δικαιώματά του σύμφωνα με την οδηγία 95/46/EΚ παραβιάζονται, μπορεί να εξετάσει το ενδεχόμενο να υποβάλει επίσημη καταγγελία στην αρμόδια εθνική εποπτική αρχή προστασίας δεδομένων. 4. Απάντηση της Επιτροπής (ΑΝΑΘ.), που ελήφθη στις 2 Μαΐου 2017 Η αναφορά εγείρει δύο διαφορετικά ζητήματα σε σχέση με το PayPal. Το πρώτο ζήτημα αφορά την παραβίαση της νομοθεσίας της ΕΕ για την προστασία των δεδομένων, το δεύτερο αφορά τη δέσμευση από πλευράς του PayPal σημαντικών ποσών από τους λογαριασμούς των πελατών του ως ελάχιστο αποθεματικό. Όσον αφορά το δεύτερο ζήτημα, ο αναφέρων/η αναφέρουσα έχει υποβάλει χωριστή αναφορά (αριθ. 0407/2016), η οποία εστιάζει στο συγκεκριμένο θέμα, και σχετικά με την οποία η Επιτροπή διαβίβασε στις αρχικές της παρατηρήσεις στις 28 Φεβρουαρίου 2017. 1 Απόφαση του Δικαστηρίου της 1ης Οκτωβρίου 2015 στην υπόθεση C-230/14, Weltimmo s.r.o./ Nemzeti Adatvédelmi és Információszabadság Hatóság, ECLI:EU:C:2015:639. PE578.586v03-00 4/8 CM\1124855.docx

Όσον αφορά το πρώτο ζήτημα, στην Ευρωπαϊκή Ένωση το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα κατοχυρώνεται στο άρθρο 8 του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και στο άρθρο 16 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης. Διεξοδική αναφορά στο δικαίωμα αυτό γίνεται, ιδίως, στην οδηγία 95/46/ΕΚ για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών 1. Η οδηγία 95/46/ΕΚ καθορίζει το νομικό πλαίσιο για τις εθνικές νομοθετικές διατάξεις περί προστασίας δεδομένων στα κράτη μέλη της Ευρωπαϊκής Ένωσης. Τα κράτη μέλη υποχρεούνται να ενσωματώνουν τις διατάξεις της οδηγίας στο εθνικό τους δίκαιο. Σύμφωνα με την οδηγία 95/46/EΚ τα δεδομένα προσωπικού χαρακτήρα πρέπει να συλλέγονται μόνο για καθορισμένους, σαφείς και νόμιμους σκοπούς και να μην τυγχάνουν περαιτέρω επεξεργασίας κατά τρόπο ασυμβίβαστο προς τους σκοπούς αυτούς. Τα προσωπικά δεδομένα πρέπει, επίσης, να είναι κατάλληλα, συναφή και όχι δυσανάλογα σε σχέση με τους σκοπούς για τους οποίους συλλέγονται ή/και υποβάλλονται σε περαιτέρω επεξεργασία (άρθρο 6). Τα προσωπικά δεδομένα μπορούν να υποβάλλονται σε επεξεργασία μόνο όταν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δώσει τη ρητή συγκατάθεσή του όταν η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το ενδιαφερόμενο πρόσωπο είναι συμβαλλόμενο μέρος όταν η επεξεργασία είναι απαραίτητη για την τήρηση εννόμου υποχρεώσεως του υπευθύνου της επεξεργασίας όταν η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του προσώπου στο οποίο αναφέρονται τα δεδομένα όταν η επεξεργασία είναι απαραίτητη για την εκπλήρωση έργου δημοσίου συμφέροντος ή εμπίπτοντος στην άσκηση δημοσίας εξουσίας ή όταν είναι απαραίτητη για την επίτευξη έννομου συμφέροντος που επιδιώκει ο υπεύθυνος της επεξεργασίας, υπό τον όρο ότι δεν προέχει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του προσώπου στο οποίο αναφέρονται τα δεδομένα (άρθρο 7). Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δικαίωμα, υπό προϋποθέσεις, να ζητήσει τη διόρθωση, τη διαγραφή ή το κλείδωμα των δεδομένων 2, ή/και να αντιτάσσεται στην επεξεργασία των δεδομένων που το αφορούν 3. Τα δικαιώματα αυτά ερμηνεύτηκαν από το Ευρωπαϊκό Δικαστήριο στην υπόθεση Google Spain, και επιβεβαιώθηκε ότι όταν τα δεδομένα είναι ακατάλληλα, δεν είναι ή έχουν πάψει να είναι συναφή με το οικείο ζήτημα ή είναι υπερβολικά σε σχέση με τους σκοπούς της επίμαχης επεξεργασίας δεν πρέπει να υποβάλλονται σε (περαιτέρω) επεξεργασία 4. 1 Οδηγία 95/46/EΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 24ης Οκτωβρίου 1995 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, ΕΕ L 281 της 23.11.95, σ. 31-50. 2 Άρθρο 12 στοιχείο β) της οδηγίας 95/46/ΕΚ. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα μπορεί να ζητήσει τη διόρθωση, τη διαγραφή ή το κλείδωμα των δεδομένων των οποίων η επεξεργασία δεν είναι σύμφωνη προς τις διατάξεις της παρούσας οδηγίας, ιδίως λόγω ελλιπούς ή ανακριβούς χαρακτήρα των δεδομένων. 3 Άρθρο 14 στοιχείο α) της οδηγίας 95/46/ΕΚ. Σύμφωνα με το άρθρο 14 στοιχείο α) της οδηγίας 95/46/ΕΚ, το δικαίωμα να αντιτάσσεται κανείς στην επεξεργασία σχετίζεται τουλάχιστον με τις δύο τελευταίες περιπτώσεις. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα μπορεί να αντιτάσσεται ανά πάσα στιγμή στην επεξεργασία δεδομένων που το αφορούν για επιτακτικούς και νόμιμους λόγους σχετικούς με την προσωπική του κατάσταση, εκτός εάν στην εθνική νομοθεσία ορίζεται διαφορετικά. Σε περίπτωση αιτιολογημένης αντίταξης, η επεξεργασία που πραγματοποιεί ο υπεύθυνος δεν μπορεί πλέον να αφορά τα δεδομένα αυτά. 4 Απόφαση του Δικαστηρίου της 13ης Μαΐου 2014 στην υπόθεση C-131/12, Google Spain SL και Google Inc. κατά Agencia Española de Protección de Datos (AEPD) και Mario Costeja González, παράγραφοι 94, 98-99. CM\1124855.docx 5/8 PE578.586v03-00

Εφόσον η PayPal αποτελεί υπόχρεη οντότητα υπό την έννοια της οδηγίας 2015/849, υπόκειται σε υποχρεώσεις όσον αφορά την επεξεργασία προσωπικών δεδομένων για τους σκοπούς της πρόληψης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας 1. Η επεξεργασία δεδομένων που είναι απαραίτητη για την τήρηση των υποχρεώσεων αυτών μπορεί να θεωρηθεί ότι πραγματοποιείται συννόμως, υπό την έννοια του άρθρου 7 της οδηγίας 95/46/ΕΚ, και δεν προϋποθέτει τη συγκατάθεση των υποκειμένων των δεδομένων (δηλαδή των χρηστών). Η επεξεργασία προσωπικών δεδομένων με βάση την εν λόγω οδηγία και για τους εν λόγω σκοπούς, θα μπορούσε, υπό προϋποθέσεις, να θεωρηθεί ζήτημα δημόσιου συμφέροντος σύμφωνα με την οδηγία 95/46/EΚ (βλ. άρθρο 43 της οδηγίας 2015/849). Η συλλογή και η επακόλουθη επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να περιορίζονται σε ό,τι είναι αναγκαίο για τους σκοπούς της συμμόρφωσης με τις απαιτήσεις της οδηγίας 2015/849 και τα δεδομένα προσωπικού χαρακτήρα δεν πρέπει να τυγχάνουν περαιτέρω επεξεργασίας κατά τρόπο ασύμβατο με τους σκοπούς αυτούς. Η PayPal αποτελεί πάροχο υπηρεσιών πληρωμών και υπόκειται, επομένως, και στις απαιτήσεις της οδηγίας για τις υπηρεσίες πληρωμών (2007/64/EΚ). Η επεξεργασία προσωπικών δεδομένων από παρόχους υπηρεσιών πληρωμών επιτρέπεται όταν είναι απαραίτητη για τη διασφάλιση της πρόληψης, της διερεύνησης και του εντοπισμού απάτης στον τομέα των πληρωμών. Η επεξεργασία αυτών των προσωπικών δεδομένων πρέπει να πραγματοποιείται σύμφωνα με την οδηγία 95/46/ΕΚ (βλ. άρθρο 79 της οδηγίας 2007/64/ΕΚ). Προκειμένου να μπορούν να συνεργάζονται πλήρως και να απαντούν γρήγορα σε αιτήματα παροχής πληροφοριών από αρμόδιες αρχές για τους σκοπούς της πρόληψης, του εντοπισμού ή της διερεύνησης της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, οι υπόχρεες οντότητες θα πρέπει, σύμφωνα με την οδηγία 2015/849, να διατηρούν, για τουλάχιστον πέντε έτη, τις απαραίτητες πληροφορίες που συγκεντρώνουν μέσω μέτρων δέουσας επιμέλειας ως προς τον πελάτη και τα αρχεία των συναλλαγών. Προκειμένου να πληρούνται οι προϋποθέσεις σχετικά με την διατήρηση των προσωπικών δεδομένων, η περίοδος διατήρησης ορίζεται στα πέντε έτη μετά τη λήξη μιας επιχειρηματικής σχέσης ή μιας περιστασιακής συναλλαγής. Ωστόσο, εφόσον κρίνεται απαραίτητο και αναλογικό, τα κράτη μέλη μπορούν να επιτρέψουν ή να απαιτήσουν την περαιτέρω διατήρηση των αρχείων για χρονικό διάστημα που δεν θα υπερβαίνει τα πέντε επιπλέον χρόνια (άρθρο 40). Πρέπει να τεθούν σε εφαρμογή ειδικές εγγυήσεις που να διασφαλίζουν την ασφάλεια των δεδομένων και να καθορίζουν τα πρόσωπα που έχουν πρόσβαση στα δεδομένα που διατηρούνται. Με την επιφύλαξη των εξουσιών της Ευρωπαϊκής Επιτροπής ως θεματοφύλακα των Συνθηκών, εναπόκειται πρωτίστως στα κράτη μέλη να παρακολουθούν την εφαρμογή των εθνικών κανόνων προστασίας δεδομένων κατ εφαρμογή της οδηγίας 95/46/EΚ, ιδίως μέσω των εθνικών εποπτικών αρχών προστασίας δεδομένων. Η Επιτροπή δεν είναι αρμόδια για τη διεκπεραίωση των καταγγελιών που υποβάλλονται σε αυτήν από τα πρόσωπα στα οποία αναφέρονται τα δεδομένα κατά ιδιωτών, φυσικών ή νομικών προσώπων. Επομένως, αν ο αναφέρων/η αναφέρουσα θεωρεί ότι τα δικαιώματά του/της σχετικά με την προστασία δεδομένων προσωπικού χαρακτήρα έχουν παραβιαστεί, μπορεί να προσφύγει στην 1 Οδηγία 2015/849 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ής Μαΐου 2015, σχετικά με την πρόληψη της χρησιμοποίησης του χρηματοπιστωτικού συστήματος για τη νομιμοποίηση εσόδων από παράνομες δραστηριότητες ή για τη χρηματοδότηση της τρομοκρατίας, ΕΕ L 141 της 5.6.2015, σ. 73 117. PE578.586v03-00 6/8 CM\1124855.docx

αρμόδια εθνική αρχή προστασίας δεδομένων. Καθώς τα γραφεία του PayPal (Ευρώπης) βρίσκονται στο Λουξεμβούργο και η επεξεργασία πραγματοποιείται στο πλαίσιο των δραστηριοτήτων αυτής της εγκατάστασης του ελεγκτή, εφαρμόζεται εκ πρώτης όψεως η νομοθεσία του Λουξεμβούργου περί προστασίας δεδομένων κατ εφαρμογή της οδηγίας 95/46/EΚ. Αν ο αναφέρων/η αναφέρουσα θεωρεί ότι η επεξεργασία δεδομένων από το PayPal στην περίπτωσή του/της δεν συνάδει με την οδηγία 95/46/EΚ και τη νομοθεσία περί προστασίας δεδομένων του Λουξεμβούργου για την εφαρμογή της, μπορεί να υποβάλει επίσημη καταγγελία στην εποπτική αρχή προστασίας δεδομένων του Λουξεμβούργου, ή στην εθνική εποπτική αρχή του κράτους μέλους στο οποίο ανήκει. Οι εθνικές εποπτικές αρχές προστασίας δεδομένων υποχρεούνται με βάση το άρθρο 28 της οδηγίας 95/46/EΚ να εξετάσουν τις καταγγελίες (εντός της επικράτειας του οικείου κράτους μέλους). Όταν η καταγγελία σχετίζεται με υπόθεση που εκτυλίχθηκε στην επικράτεια άλλου κράτους μέλους, οι εποπτικές αρχές και των δύο κρατών μελών πρέπει να συνεργαστούν στο βαθμό που κρίνεται απαραίτητος για την εκτέλεση των καθηκόντων τους, σύμφωνα με το άρθρο 26 παράγραφος 6 της οδηγίας 95/46/EΚ. Αυτό αποσαφηνίστηκε πρόσφατα από το Ευρωπαϊκό Δικαστήριο, όσον αφορά τον καθορισμό του εφαρμοστέου δικαίου και της αρμόδιας εποπτικής αρχής, όπως επίσης και όσον αφορά την άσκηση των αρμοδιοτήτων της εποπτικής αρχής 1. Οι διευθύνσεις των αρχών προστασίας δεδομένων σε όλα τα κράτη μέλη της ΕΕ είναι διαθέσιμες στον ακόλουθο διαδικτυακό τόπο: http://ec.europa.eu/justice/data-protection/bodies/authorities/eu/index_en.htm Στις 27 Απριλίου 2016 η ΕΕ εξέδωσε τον κανονισμό (ΕΕ) 2016/679 2 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (γενικός κανονισμός για την προστασία των δεδομένων). Ο κανονισμός αυτός θα τεθεί σε ισχύ στις 25 Μαΐου 2018 και θα καταργήσει την οδηγία 95/46/ΕΚ από την ημερομηνία αυτή 3. Ο κανονισμός διατηρεί τις βασικές αρχές, για παράδειγμα ότι τα δεδομένα πρέπει να συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς ή ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στα αναγκαία σε σχέση με τους σκοπούς για τους οποίους υφίστανται επεξεργασία (άρθρο 5). Ομοίως με την οδηγία 95/46/ΕΚ, ο γενικός κανονισμός για την προστασία των δεδομένων επιτρέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα εάν αυτή η επεξεργασία είναι απαραίτητη για την τήρηση εκ του νόμου υποχρέωσης του υπευθύνου της επεξεργασίας ή είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον ελεγκτή (άρθρο 6). 1 Απόφαση του Δικαστηρίου της 1ης Οκτωβρίου 2015 στην υπόθεση C-230/14, Weltimmo s.r.o./ Nemzeti Adatvédelmi és Információszabadság Hatóság, ECLI:EU:C:2015:639. 2 http://eur-lex.europa.eu/legal-content/en-/txt/?uri=cex:32016r0679&from=en 3 Κανονισμός (EΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ ), ΕΕ L 119, 4.5.2016, σ. 1 88. CM\1124855.docx 7/8 PE578.586v03-00

Ο κανονισμός θα απλουστεύσει την επιβολή των δικαιωμάτων του υποκειμένου των δεδομένων, αφού παρέχει ένα σύνολο κανόνων που εφαρμόζονται εξίσου σε όλα τα κράτη μέλη και ενισχύει περαιτέρω τη συνεργασία μεταξύ των αρχών προστασίας των δεδομένων. Τα υποκείμενα των δεδομένων μπορούν να υποβάλουν καταγγελία στην εθνική αρχή προστασίας δεδομένων κάθε κράτους μέλους (άρθρο 77). Όσον αφορά το δεύτερο ζήτημα, η Επιτροπή ανέφερε στις παρατηρήσεις της στην αναφορά 0407/2016 ότι θα επικοινωνήσει με τις αρχές του Λουξεμβούργου για να εξετάσει σε ποιες ενέργειες προέβησαν ή πρόκειται να προβούν για να διασφαλίσουν ότι οι όροι και οι προϋποθέσεις του εν λόγω φορέα συνάδουν με την οδηγία για τις υπηρεσίες πληρωμών και δεν περιέχουν καταχρηστικές ρήτρες που παραβιάζουν τη νομοθεσία για την προστασία των καταναλωτών της ΕΕ. Συμπέρασμα Αρμόδιες να ελέγχουν την εφαρμογή των εθνικών κανόνων προστασίας δεδομένων που θεσπίστηκαν κατ εφαρμογή της οδηγίας 95/46/ΕΚ είναι πρωτίστως οι εθνικές εποπτικές αρχές προστασίας δεδομένων. Σε περίπτωση που ο αναφέρων/η αναφέρουσα θεωρεί ότι τα δικαιώματά του σύμφωνα με την οδηγία 95/46/EΚ παραβιάζονται, μπορεί να εξετάσει το ενδεχόμενο να υποβάλει επίσημη καταγγελία στην αρμόδια εθνική εποπτική αρχή προστασίας δεδομένων. Όσον αφορά το δεύτερο ζήτημα, η Επιτροπή θα υποβάλει έκθεση σχετικά με την έκβαση των επαφών της με τις αρχές του Λουξεμβούργου με τη συμπληρωματική απάντησή της στην αναφορά 0407/2016. PE578.586v03-00 8/8 CM\1124855.docx