Η έννοια της κύριας εγκατάστασης στον Γενικό Κανονισμό Προστασίας Δεδομένων

Γνωμοδότηση (4/2024) εξέδωσε το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) κατόπιν ερωτήματος που υπέβαλε η γαλλική αρχή προστασίας δεδομένων CNIL.

Υπενθυμίζεται πως, σύμφωνα με το άρθρο 64 παρ.2 ΓΚΠΔ, «κάθε εποπτική αρχή, ο Πρόεδρος του Συμβουλίου Προστασίας Δεδομένων ή η Επιτροπή μπορεί να ζητήσει την εξέταση οποιουδήποτε ζητήματος γενικής εφαρμογής ή ζητήματος που παράγει αποτελέσματα σε περισσότερα από ένα κράτη μέλη από το Συμβούλιο Προστασίας Δεδομένων, με σκοπό τη έκδοση γνωμοδότησης, ιδίως όταν αρμόδια εποπτική αρχή δεν συμμορφώνεται προς τις υποχρεώσεις περί αμοιβαίας συνδρομής σύμφωνα με το άρθρο 61 ή περί κοινών επιχειρήσεων σύμφωνα με το άρθρο 62».

Το αίτημα που υποβλήθηκε από την CNIL αφορά μια από τις κεντρικότερες έννοιες στο πλαίσιο της διασυνοριακής εφαρμογής του Γενικού Κανονισμού, αυτήν της «κύριας εγκατάστασης» του υπευθύνου επεξεργασίας, όπως αυτή ορίζεται στο άρθρο 4 παρ.16α’ ΓΚΠΔ.

Ο ορισμός του άρθρου 4 παρ.16α ΓΚΠΔ αναφέρει ότι ως κύρια εγκατάσταση του υπευθύνου επεξεργασίας ορίζεται «όταν πρόκειται για υπεύθυνο επεξεργασίας με εγκαταστάσεις σε περισσότερα του ενός κράτη μέλη, ο τόπος της κεντρικής του διοίκησης στην Ένωση, εκτός εάν οι αποφάσεις όσον αφορά τους σκοπούς και τα μέσα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα λαμβάνονται σε άλλη εγκατάσταση του υπευθύνου επεξεργασίας στην Ένωση και η εγκατάσταση αυτή έχει την εξουσία εφαρμογής των αποφάσεων αυτών, οπότε ως κύρια εγκατάσταση θεωρείται η εγκατάσταση στην οποία έλαβε τις αποφάσεις αυτές».

Ειδικότερα και σύμφωνα με το ιστορικό:

Στις 10 Οκτωβρίου 2023, η γαλλική εποπτική αρχή ζήτησε από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων να εκδώσει γνώμη σχετικά με την έννοια της κύριας εγκατάστασης του υπευθύνου επεξεργασίας σύμφωνα με το άρθρο 4 παράγραφος 16 στοιχείο α) του ΓΚΠΔ και τα κριτήρια για την εφαρμογή του μηχανισμού μίας στάσης.

Η CNIL επισήμανε στο αίτημά της πιθανές διαφορετικές ερμηνείες του ορισμού της "κύριας εγκατάστασης" του υπευθύνου επεξεργασίας και ουσιαστικά ρώτησε το Συμβούλιο εάν, προκειμένου να θεωρηθεί ο "τόπος της κεντρικής διοίκησης" του υπευθύνου επεξεργασίας στην Ένωση ως κύρια εγκατάσταση σύμφωνα με το άρθρο 4 παράγραφος 16 στοιχείο α) ΓΚΠΔ, οφείλουν οι εποπτικές αρχές να συλλέγουν αποδεικτικά στοιχεία ως προς το ότι ο εν λόγω "τόπος κεντρικής διοίκησης" λαμβάνει τις αποφάσεις σχετικά με τους σκοπούς και τα μέσα της επεξεργασίας και έχει την εξουσία να εφαρμόζει τις αποφάσεις αυτές.

Το ΕΣΠΔ έκρινε πως, για την απάντηση επί του αιτήματος της γαλλικής αρχής, θα έπρεπε να εξετάσει τα ακόλουθα ερωτήματα:

1. Προκειμένου να χαρακτηριστεί ο «τόπος της κεντρικής διοίκησης» ενός υπευθύνου επεξεργασίας στην Ένωση ως κύρια εγκατάσταση σύμφωνα με το άρθρο 4 παράγραφος 16 στοιχείο α) ΓΚΠΔ, πρέπει η εν λόγω εγκατάσταση να λαμβάνει αποφάσεις σχετικά με τους σκοπούς και τα μέσα της επεξεργασίας και να έχει την εξουσία να τις εφαρμόζει;

2. Ο μηχανισμός μίας στάσης εφαρμόζεται μόνο όταν αποδεικνύεται πως μία από τις εγκαταστάσεις του υπευθύνου επεξεργασίας στην Ένωση (ο "τόπος κεντρικής διοίκησης" του υπευθύνου επεξεργασίας ή όχι) λαμβάνει τις αποφάσεις σχετικά με τους σκοπούς και τα μέσα που αφορούν τις εν λόγω πράξεις επεξεργασίας και έχει την εξουσία να εφαρμόζει τις αποφάσεις αυτές;

Επί των ερωτημάτων αυτών και σύμφωνα με την εισαγωγική σύνοψη του κειμένου, το ΕΣΠΔ έκρινε ότι:

Το Συμβούλιο καταλήγει στην παρούσα γνώμη στο συμπέρασμα ότι ο "τόπος κεντρικής διοίκησης" ενός υπευθύνου επεξεργασίας στην Ένωση μπορεί να θεωρηθεί ως κύρια εγκατάσταση σύμφωνα με το άρθρο 4 παράγραφος 16 στοιχείο α) ΓΚΠΔ μόνο εάν λαμβάνει τις αποφάσεις σχετικά με τους σκοπούς και τα μέσα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και έχει την εξουσία να εφαρμόζει τις αποφάσεις αυτές.

Επιπλέον, το ΕΣΠΔ θεωρεί ότι ο μηχανισμός μιας στάσης μπορεί να εφαρμοστεί μόνο εάν υπάρχουν αποδείξεις ότι μία από τις εγκαταστάσεις του υπευθύνου επεξεργασίας στην Ένωση λαμβάνει τις αποφάσεις σχετικά με τους σκοπούς και τα μέσα για τις σχετικές πράξεις επεξεργασίας και έχει την εξουσία να εφαρμόζει τις αποφάσεις αυτές. Επομένως, όταν οι αποφάσεις σχετικά με τους σκοπούς και τα μέσα και η εξουσία εφαρμογής των αποφάσεων αυτών ασκούνται εκτός της Ένωσης, δεν θα πρέπει να υπάρχει κύρια εγκατάσταση σύμφωνα και δεν θα πρέπει να εφαρμόζεται ο μηχανισμός μιας στάσης.

Επιπλέον, το Συμβούλιο αποσαφηνίζει τον τρόπο με τον οποίο οι εποπτικές αρχές θα πρέπει να εφαρμόζουν στην πράξη το άρθρο 4 παράγραφος 16 στοιχείο α) του ΓΚΠΔ, ώστε να διασφαλίζεται η συνεπής εφαρμογή του. Ειδικότερα, το ΕΣΠΔ επαναλαμβάνει ότι το βάρος της απόδειξης σε σχέση με τον τόπο όπου λαμβάνονται οι σχετικές αποφάσεις επεξεργασίας και όπου υπάρχει η εξουσία εφαρμογής των εν λόγω αποφάσεων στην Ένωση βαρύνει τελικά τους υπευθύνους επεξεργασίας, οι οποίοι έχουν και την υποχρέωση να συνεργάζονται με τις εποπτικές αρχές.

Τέλος, το ΕΣΠΔ διευκρινίζει ότι οι εποπτικές αρχές διατηρούν τη δυνατότητα να αμφισβητήσουν τους ισχυρισμούς του υπευθύνου επεξεργασίας βάσει αντικειμενικής εξέτασης των σχετικών πραγματικών περιστατικών, ζητώντας περαιτέρω πληροφορίες, εφόσον απαιτείται. Για την εξέταση αυτή, το ΕΣΠΔ υπενθυμίζει την υποχρέωση των εποπτικών αρχών να συνεργάζονται και ότι θα πρέπει, ως εκ τούτου, να συμφωνούν από κοινού για το επίπεδο λεπτομέρειας που ενδείκνυται, ανάλογα με τη συγκεκριμένη περίπτωση. Ειδικότερα, ο καθορισμός ενός τόπου κεντρικής διοίκησης στην Ένωση (π.χ. περιφερειακή έδρα) αποτελεί σημείο εκκίνησης που βοηθά τις εποπτικές αρχές να προσδιορίσουν τον τόπο όπου ενδεχομένως λαμβάνονται οι αποφάσεις σχετικά με τους σκοπούς και τα μέσα της επεξεργασίας και την αρμοδιότητα για την εφαρμογή των αποφάσεων αυτών. Ωστόσο, οι εποπτικές αρχές θα εξακολουθήσουν να χρειάζεται να αξιολογούν τον τόπο όπου λαμβάνονται οι αποφάσεις σχετικά με τους σκοπούς και τα μέσα επεξεργασίας και όπου υπάρχει η εξουσία εκτέλεσης των εν λόγω αποφάσεων στην Ένωση, προτού χαρακτηρίσουν την εν λόγω εγκατάσταση (ή οποιαδήποτε άλλη εγκατάσταση στην Ένωση) ως κύρια εγκατάσταση.

Η γνωμοδότηση 4/2024 ΕΣΠΔ είναι διαθέσιμη στα αγγλικά εδώ.