Δικαστήριο ΕΕ: Κάθε πρόσωπο έχει το δικαίωμα να γνωρίζει σε ποιον έχουν γνωστοποιηθεί τα προσωπικά του δεδομένα

​Επιμέλεια: Γεώργιος Π. Κανέλλος 

Με τη δημοσιευθείσα στις 12-01-2023 απόφασή του το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) έκρινε ότι κάθε πρόσωπο έχει το δικαίωμα να γνωρίζει σε ποιον έχουν γνωστοποιηθεί τα προσωπικά του δεδομένα, βάσει των διατάξεων του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ).

Εντούτοις, κατά το ΔΕΕ, αν οι αποδέκτες είναι αδύνατο να προσδιοριστούν ή αν το αίτημα πρόσβασης είναι προδήλως αβάσιμο ή υπερβολικό, ο υπεύθυνος επεξεργασίας δύναται να γνωστοποιήσει στο υποκείμενο των δεδομένων μόνο τις κατηγορίες των αποδεκτών. 

Ιστορικό της υπόθεσης

Στις 15 Ιανουαρίου 2019 ο RW ζήτησε από την Österreichische Post να του παράσχει, σύμφωνα με το άρθρο 15 του ΓΚΠΔ, πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν και τα οποία διατηρεί ή διατηρούσε στο παρελθόν η Österreichische Post, καθώς και να τον ενημερώσει, σε περίπτωση κοινολόγησης των δεδομένων σε τρίτους, για την ταυτότητα των εν λόγω αποδεκτών.

Με την απάντησή της στο αίτημα αυτό, η Österreichische Post περιορίστηκε να αναφέρει ότι χρησιμοποιεί δεδομένα, στο μέτρο που επιτρέπεται από τον νόμο, στο πλαίσιο της δραστηριότητάς της ως εκδότριας τηλεφωνικών καταλόγων, και ότι προσφέρει τα εν λόγω δεδομένα προσωπικού χαρακτήρα σε εμπορικούς εταίρους για σκοπούς εμπορικής προώθησης. Κατά τα λοιπά, η Österreichische παρέπεμψε σε έναν ιστότοπο για λεπτομερέστερες πληροφορίες καθώς και όσον αφορά άλλους σκοπούς επεξεργασίας δεδομένων. Δεν γνωστοποίησε στον RW την ταυτότητα των συγκεκριμένων αποδεκτών των δεδομένων.

Ο RW άσκησε αγωγή κατά της Österreichische Post ενώπιον των αυστριακών δικαστηρίων, με αίτημα να υποχρεωθεί η τελευταία να του παράσχει, μεταξύ άλλων, πληροφορίες σχετικά με την ταυτότητα του ή των αποδεκτών στους οποίους κοινολογήθηκαν κατά τα ανωτέρω τα δεδομένα προσωπικού χαρακτήρα που τον αφορούσαν.

Στη διάρκεια της ένδικης διαδικασίας που κινήθηκε κατ’ αυτόν τον τρόπο, η Österreichische Post ενημέρωσε τον RW ότι τα δεδομένα προσωπικού χαρακτήρα που τον αφορούσαν είχαν υποβληθεί σε επεξεργασία για σκοπούς εμπορικής προώθησης και είχαν διαβιβαστεί σε πελάτες, μεταξύ των οποίων περιλαμβάνονταν διαφημιζόμενοι στον τομέα των πωλήσεων δι’ αλληλογραφίας και των πωλήσεων σε φυσικά σημεία πώλησης, επιχειρήσεις πληροφορικής, εκδότες τηλεφωνικών καταλόγων και ενώσεις όπως φιλανθρωπικές οργανώσεις, μη κυβερνητικές οργανώσεις (ΜΚΟ) ή πολιτικά κόμματα.

Τα επιληφθέντα σε πρώτο και δεύτερο βαθμό δικαστήρια απέρριψαν την αγωγή του RW με το σκεπτικό ότι το άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, καθόσον αναφέρεται στους «αποδέκτες ή τις κατηγορίες αποδεκτών», παρέχει στον υπεύθυνο επεξεργασίας τη δυνατότητα να κοινοποιήσει στο υποκείμενο των δεδομένων μόνον τις κατηγορίες αποδεκτών, χωρίς να υποχρεούται να κατονομάσει τους συγκεκριμένους αποδέκτες στους οποίους διαβιβάζονται τα δεδομένα προσωπικού χαρακτήρα.

Ο RW άσκησε αναίρεση (Revision) ενώπιον του αιτούντος δικαστηρίου, του Oberster Gerichtshof (Ανωτάτου Δικαστηρίου, Αυστρία).

Το αιτούν δικαστήριο διερωτήθηκε ως προς την ερμηνεία του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, στο μέτρο που από το γράμμα της εν λόγω διατάξεως δεν καθίσταται σαφές αν αυτή παρέχει στο υποκείμενο των δεδομένων το δικαίωμα πρόσβασης στις πληροφορίες που αφορούν τους συγκεκριμένους αποδέκτες των δεδομένων που κοινολογήθηκαν ή αν ο υπεύθυνος επεξεργασίας διαθέτει διακριτική ευχέρεια ως προς τον τρόπο με τον οποίο προτίθεται να δώσει συνέχεια σε αίτηση παροχής πληροφοριών σχετικά με τους αποδέκτες.

Το αιτούν δικαστήριο παρατήρησε, ωστόσο, ότι η ratio legis της εν λόγω διατάξεως συνηγορεί μάλλον υπέρ της ερμηνείας κατά την οποία η επιλογή να ζητήσει πληροφορίες σχετικά με τις κατηγορίες αποδεκτών ή με τους συγκεκριμένους αποδέκτες των δεδομένων προσωπικού χαρακτήρα που το αφορούν ανήκει στο υποκείμενο των δεδομένων. Κατά το αιτούν δικαστήριο, αντίθετη ερμηνεία θα έθιγε σοβαρά την αποτελεσματικότητα των μέσων παροχής έννομης προστασίας που έχει στη διάθεσή του το υποκείμενο των δεδομένων για την προστασία των δεδομένων του. Συγκεκριμένα, σε περίπτωση που η επιλογή να γνωστοποιήσουν στο υποκείμενο των δεδομένων τους συγκεκριμένους αποδέκτες ή μόνον τις κατηγορίες αποδεκτών ανήκε στους υπεύθυνους επεξεργασίας, θα υπήρχε o φόβος, στην πράξη, σχεδόν κανείς από αυτούς να μην παράσχει τις πληροφορίες που αφορούν τους συγκεκριμένους αποδέκτες.

Επιπλέον, αντιθέτως προς το άρθρο 13, παράγραφος 1, στοιχείο εʹ, και το άρθρο 14, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ, τα οποία προβλέπουν υποχρέωση του υπεύθυνου επεξεργασίας να παράσχει τις πληροφορίες που προβλέπονται σε αυτά, το άρθρο 15, παράγραφος 1, του κανονισμού δίνει έμφαση στο περιεχόμενο του δικαιώματος πρόσβασης του υποκειμένου των δεδομένων, γεγονός το οποίο συνηγορεί επίσης, κατά το αιτούν δικαστήριο, υπέρ του ότι το υποκείμενο των δεδομένων έχει το δικαίωμα να επιλέξει μεταξύ του να ζητήσει πληροφορίες για τους συγκεκριμένους αποδέκτες ή για τις κατηγορίες αποδεκτών.

Τέλος, το αιτούν δικαστήριο πρόσθεσε ότι το δικαίωμα πρόσβασης που προβλέπει το άρθρο 15, παράγραφος 1, του ΓΚΠΔ αφορά όχι μόνο τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία κατά την παρούσα χρονική στιγμή, αλλά και όλα τα δεδομένα που υποβλήθηκαν σε επεξεργασία κατά το παρελθόν. Συναφώς, το αιτούν δικαστήριο διευκρίνισε ότι οι εκτιμήσεις που περιλαμβάνονται στην απόφαση της 7ης Μαΐου 2009, Rijkeboer, C‑553/07, και οι οποίες στηρίζονται στον σκοπό του δικαιώματος πρόσβασης που προβλέπει η οδηγία 95/46/ΕΚ μπορούν να εφαρμοστούν στο δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ, τούτο δε κατά μείζονα λόγο διότι από τις αιτιολογικές σκέψεις 9 και 10 του εν λόγω κανονισμού συνάγεται ότι ο νομοθέτης της Ένωσης δεν είχε την πρόθεση να περιορίσει το επίπεδο προστασίας σε σχέση με την ως άνω οδηγία.

Υπό τις συνθήκες αυτές, το Oberster Gerichtshof (Ανώτατο Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο προδικαστικό ερώτημα.

Απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης

Με την απόφασή του αυτή, το Δικαστήριο αποφάνθηκε ότι το άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων στα δεδομένα προσωπικού χαρακτήρα που το αφορούν, το οποίο προβλέπει η εν λόγω διάταξη, συνεπάγεται, οσάκις τα δεδομένα αυτά κοινολογήθηκαν ή πρόκειται να κοινολογηθούν σε αποδέκτες, την υποχρέωση του υπευθύνου επεξεργασίας να γνωστοποιήσει στο υποκείμενο των δεδομένων τη συγκεκριμένη ταυτότητα των αποδεκτών, εκτός αν οι αποδέκτες είναι αδύνατο να προσδιοριστούν ή αν ο υπεύθυνος επεξεργασίας αποδεικνύει ότι τα αιτήματα πρόσβασης του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, κατά την έννοια του άρθρου 12, παράγραφος 5, του ΓΚΠΔ, οπότε στις περιπτώσεις αυτές ο υπεύθυνος επεξεργασίας δύναται να γνωστοποιήσει στο υποκείμενο των δεδομένων μόνο τις κατηγορίες των εν λόγω αποδεκτών.

Γίνεται υπόμνηση ότι η διαδικασία εκδόσεως προδικαστικής αποφάσεως παρέχει στα δικαστήρια των κρατών μελών τη δυνατότητα να υποβάλουν στο Δικαστήριο, στο πλαίσιο της ένδικης διαφοράς της οποίας έχουν επιληφθεί, ερώτημα σχετικό με την ερμηνεία του δικαίου της Ένωσης ή με το κύρος πράξεως οργάνου της Ένωσης. Το Δικαστήριο δεν αποφαίνεται επί της διαφοράς που εκκρεμεί ενώπιον του εθνικού δικαστηρίου. Στο εθνικό δικαστήριο εναπόκειται να επιλύσει τη διαφορά αυτή, λαμβάνοντας υπόψη την απόφαση του Δικαστηρίου. Η απόφαση αυτή δεσμεύει, ομοίως, άλλα εθνικά δικαστήρια ενώπιον των οποίων ανακύπτει παρόμοιο ζήτημα.

Το πλήρες κείμενο της απόφασης είναι διαθέσιμο στην ιστοσελίδα CURIA