Η προφορική γνωστοποίηση προσωπικών δεδομένων συνιστά επεξεργασία και υπάγεται στον ΓΚΠΔ (C‑740/22, Endemol Shine Finland)

Επιμέλεια: Δημήτρης Βέρρας

Σε πρωτοφανή όρια επέκτεινε την προστασία των προσωπικών δεδομένων το Δικαστήριο της Ευρωπαϊκής Ένωσης, μετά τη δημοσίευση της απόφασής του στην υπόθεση C‑740/22 (Endemol Shine Finland). Τούτο διότι το Δικαστήριο της Ευρωπαϊκής Ένωσης έκρινε πως στην έννοια της επεξεργασίας δεν εντάσσονται μόνο οι αποκαλύψεις/κοινολογήσεις προσωπικών δεδομένων που γίνονται μέσω της διαβίβασης αρχείου ή εγγράφου, αλλά και οι προφορικές γνωστοποιήσεις αυτών, υπό την προϋπόθεση πως τα δεδομένα που αποκαλύπτονται προέρχονται από σύστημα αρχειοθέτησης ή πρόκειται να περιληφθούν σε αυτό.

Εν ολίγοις και σύμφωνα με το ΔΕΕ, οποιαδήποτε προφορική ανακοίνωση δεδομένων που ήδη βρίσκονται (ή θα περιληφθούν) σε σύστημα αρχειοθέτησης, αποτελεί επεξεργασία δεδομένων και υπάγεται στον ΓΚΠΔ. Το σκεπτικό του Δικαστηρίου ελέγχεται ως προς την ορθότητά του, ενώ σε κάθε περίπτωση η απόφαση αυτή προκαλεί σοβαρές αναταράξεις σε ολόκληρο το εφαρμοστικό περιβάλλον του Γενικού Κανονισμού, ενώ γεννά και σημαντικά ερωτήματα – μεταξύ άλλων - σε σχέση με τον ρόλο του υπευθύνου επεξεργασίας και τις υποχρεώσεις του, την άσκηση των δικαιωμάτων των υποκειμένων και τον προσδιορισμό των αποδεκτών.

Ιστορικό

Το Δικαστήριο της Ευρωπαϊκής Ένωσης εκλήθη να απαντήσει επί δύο προδικαστικών ερωτημάτων που διατυπώθηκαν από το Εφετείο της Ανατολικής Φινλανδίας. Το πρώτο εκ των ερωτημάτων αυτών αφορούσε το κατά πόσον η «προφορική διαβίβαση» δεδομένων προσωπικού χαρακτήρα συνιστά επεξεργασία, κατά την έννοια του άρθρου 2 παρ.1 και άρθρου 4 σημ. 2 ΓΚΠΔ.

Διαβάστε σχετικά: Συνιστά η προφορική αποκάλυψη επεξεργασία προσωπικών δεδομένων; (ΔΕΕ C-740/22)

Το αιτούν φινλανδικό δικαστήριο εξετάζει την προσφυγή της εταιρείας Endemol Shine Finland κατά της άρνησης πρωτοβάθμιου δικαστηρίου να της αποκαλύψει πληροφορίες που αφορούσαν τυχόν εκκρεμείς ή περατωθείσες ποινικές διαδικασίες κατά φυσικού προσώπου.

Σύμφωνα με την αίτηση που είχε η εταιρεία υποβάλει, οι πληροφορίες αυτές κρίνονταν αναγκαίες προκειμένου να διαπιστωθεί το περιεχόμενο ποινικού μητρώου ατόμου συμμετέχοντος σε διαγωνισμό.  Το αξιοσημείωτο στην υπόθεση αυτή είναι πως η ενημέρωση που ζητήθηκε από την εταιρεία δεν περιλάμβανε τη χορήγηση/κοινολόγηση προσωπικών – και δη ποινικών – δεδομένων, αλλά μια απλή προφορική ανακοίνωση.

Το αίτημα απορρίφθηκε από το δικαστήριο για έναν βασικό λόγο: ο σκοπός της εταιρείας δεν περιλαμβανόταν στους νόμιμους σκοπούς για την επεξεργασία ποινικών δεδομένων, το δε αίτημά της προϋπέθετε την επεξεργασία προσωπικών δεδομένων. Όπως χαρακτηριστικά κρίθηκε, «επεξεργασία δεδομένων προσωπικού χαρακτήρα θα συνιστούσε και η αναζήτηση στα πληροφοριακά συστήματα του εθνικού δικαστηρίου, συνεπώς οι αιτηθείσες πληροφορίες δεν θα μπορούσαν να είχαν γνωστοποιηθεί ούτε προφορικά».

Σύμφωνα με το δικαστήριο, το ζήτημα δεν είναι ο τρόπος της γνωστοποίησης - αποκάλυψης των πληροφοριών, αλλά η πράξη επεξεργασίας που προηγείται αυτής.

Η εταιρεία προσέβαλε την απορριπτική απόφαση ενώπιον του Εφετείου προβάλλοντας πως «η ικανοποίηση αιτήματος προφορικής παροχής πληροφοριών σχετικά με τυχόν εκκρεμείς και περατωθείσες ποινικές διαδικασίες δεν συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 4, σημείο 2, του κανονισμού».

Το αιτούν δικαστήριο φάνηκε να προβληματίζεται απέναντι στο ζήτημα που είχε τεθεί και προτίμησε να ζητήσει την ερμηνεία του ΔΕΕ.

Η κρίση του ΔΕΕ

Με μια σχετική συνοπτική ανάλυση δεκαπέντε σκέψεων, το ΔΕΕ δικαίωσε το φινλανδικό δικαστήριο, που είχε αρνηθεί να προβεί στην προφορική ανακοίνωση των δεδομένων που είχαν ζητηθεί, κρίνοντας πως και η ανακοίνωση αυτή αποτελεί επεξεργασία δεδομένων.

Η κρίση του ΔΕΕ αναπτύχθηκε σε τρεις άξονες: την έννοια της επεξεργασίας, την ένταξη στο καθ’ ύλην πεδίο εφαρμογής του ΓΚΠΔ και την έννοια του συστήματος αρχειοθέτησης.

Ως προς την έννοια της επεξεργασίας, το Δικαστήριο υπενθύμισε πως από τη διατύπωση του σημείου 2 του άρθρου 4 ΓΚΠΔ προκύπτει πως ο νομοθέτης θέλησε να της προσδώσει ευρύ περιεχόμενο. Το ΔΕΕ στάθηκε ιδιαίτερα στην αναφορά της διάταξης σε «κοινολόγηση με διαβίβαση, διάδοση και κάθε άλλη μορφή διάθεσης», επισημαίνοντας πως «οι εργασίες αυτές μπορούν να είναι αυτοματοποιημένες και μη αυτοματοποιημένες». Περαιτέρω, το άρθρο 4 στοιχ. 2 δεν θέτει προϋποθέσεις ως προς την μορφή της μη αυτοματοποιημένης επεξεργασίας, ως εκ τούτου «η έννοια της επεξεργασίας καλύπτει και την προφορική γνωστοποίηση». Ουσιαστικά δηλαδή, το ΔΕΕ υπήγαγε την προφορική κοινολόγηση ή διάδοση των προσωπικών δεδομένων στις αντίστοιχες πράξεις επεξεργασίας που μνημονεύονται στον ορισμό της επεξεργασίας και έκρινε πως πουθενά δεν προκύπτει πως οι πράξεις αυτές δεν μπορούν να γίνονται και προφορικά.

Την ερμηνεία του αυτή επιβεβαίωσε το Δικαστήριο και μέσα από τον σκοπό του Γενικού Κανονισμού, που είναι η «διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων και, ειδικότερα, του δικαιώματός τους στην ιδιωτική ζωή έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα». Σύμφωνα με το Δικαστήριο, αν δεχόμασταν πως η προφορική γνωστοποίηση δεδομένων εξαιρείται της έννοιας της επεξεργασίας θα καταστρατηγούσαμε την εφαρμογή του ΓΚΠΔ και θα ενεργούσαμε κατά τρόπο προδήλως ασύμβατο προς τον σκοπό του.

Με το σκεπτικό αυτό, το Δικαστήριο κατέληξε πως «υπό τις συνθήκες αυτές, η έννοια της «επεξεργασίας» του άρθρου 4, στοιχείο 2, του ΓΚΠΔ οπωσδήποτε καλύπτει την προφορική γνωστοποίηση δεδομένων προσωπικού χαρακτήρα».

Ως προς το κατά πόσον μια τέτοια επεξεργασία εμπίπτει στο καθ’ ύλην πεδίο εφαρμογής του Γενικού Κανονισμού, το ΔΕΕ μνημόνευσε την αιτιολογική σκέψη 15, σύμφωνα με την οποία ο Κανονισμός εφαρμόζεται στην αυτοματοποιημένη, αλλά και στη «δια χειρός» («χειροκίνητη», κατά την αιτιολογική) επεξεργασία δεδομένων, υπό την προϋπόθεση, στη δεύτερη περίπτωση, πως τα δεδομένα που υποβάλλονται σε επεξεργασία «περιλαμβάνονται ή πρόκειται να περιληφθούν σε «σύστημα αρχειοθέτησης»

Με βάση τα ανωτέρω, το Δικαστήριο κατέληξε πως προκειμένου η επεξεργασία μέσω προφορικής γνωστοποίησης να εμπίπτει στο καθ’ ύλην πεδίο εφαρμογής του ΓΚΠΔ, πρέπει τα δεδομένα να «περιλαμβάνονται» ή «να πρόκειται να περιληφθούν» σε «σύστημα αρχειοθέτησης».

Κατά συνέπεια, το τελευταίο κρίσιμο ζήτημα ήταν πώς ορίζεται το «σύστημα αρχειοθέτησης», με το Δικαστήριο να προχωρά σε μια ακόμη ιδιαίτερα διασταλτική ερμηνεία έννοιας της νομοθεσίας.

Σύμφωνα με την απόφαση, η έννοια του συστήματος αρχειοθέτησης ορίζεται ευρέως στο στοιχείο 6 του άρθρου 4, καθώς σε αυτήν υπάγεται, μεταξύ άλλων, «κάθε» διαρθρωμένο σύνολο δεδομένων προσωπικού χαρακτήρα. Ως προς την απαίτηση του νόμου τα δεδομένα αυτά να είναι «προσβάσιμα με γνώμονα συγκεκριμένα κριτήρια», το ΔΕΕ έκρινε πως η αναφορά αυτή δεν αποσκοπεί παρά μόνο «στο να καταστεί δυνατή η ευχερής εύρεση των δεδομένων που αφορούν ένα πρόσωπο».

Όπως επισημάνθηκε, πέραν της ανωτέρω απαίτησης, το άρθρο 4 στοιχ. 6 «δεν ορίζει ούτε τον τρόπο με τον οποίο πρέπει να είναι δομημένο το σύστημα αρχειοθετήσεως ούτε τη μορφή που πρέπει να έχει», καθώς μάλιστα από καμία διάταξη του ΓΚΠΔ δεν προκύπτει πως τα επίμαχα δεδομένα πρέπει να περιλαμβάνονται σε «δελτία ή ειδικούς καταλόγους ή ακόμη και σε άλλο σύστημα αναζητήσεως».

Ως προς την εξεταζόμενη υπόθεση, το Δικαστήριο παρατήρησε πως από την αίτηση προκύπτει ότι τα δεδομένα που ζητήθηκαν από την Endemol περιλαμβάνονται σε «σύστημα αρχειοθετήσεως δεδομένων προσωπικού χαρακτήρα τηρούμενο από δικαστήριο», ενώ προσέθεσε πως δεν έχει σημασία «αν τα εν λόγω δεδομένα περιλαμβάνονται σε ηλεκτρονικές βάσεις δεδομένων ή ακόμη σε φακέλους ή φυσικά μητρώα».

Με βάση τα ανωτέρω, το ΔΕΕ κατέληξε πως:

«Υπό τις συνθήκες αυτές, στο πρώτο προδικαστικό ερώτημα προσήκει η απάντηση ότι το άρθρο 2, παράγραφος 1, και το άρθρο 4, σημείο 2, του ΓΚΠΔ έχουν την έννοια ότι η προφορική γνωστοποίηση πληροφοριών σχετικά με τυχόν εκτιόμενες ή ήδη εκτιθείσες ποινικές καταδίκες φυσικού προσώπου συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ, η οποία εμπίπτει στο καθ’ ύλην πεδίο εφαρμογής του, εφόσον οι πληροφορίες αυτές περιλαμβάνονται ή πρόκειται να περιληφθούν σε σύστημα αρχειοθετήσεως».

Το δεύτερο προδικαστικό ερώτημα

Με το δεύτερο ερώτημά του, το φινλανδικό δικαστήριο έθεσε το ζήτημα του κατά πόσον οι διατάξεις του ΓΚΠΔ, ιδίως το άρθρο 86, έχουν την έννοια πως ποινικά δεδομένα του άρθρου 10 που περιλαμβάνονται σε αρχείο δικαστηρίου δεν μπορούν να γνωστοποιούνται προφορικά με σκοπό τη διασφάλιση της πρόσβασης του κοινού σε επίσημα έγγραφα, χωρίς να απαιτείται η απόδειξη συγκεκριμένου συμφέροντος για τη λήψη τους από το νομικό ή φυσικό πρόσωπο που τα ζητά.

Το ΔΕΕ έκρινε πως «ο ΓΚΠΔ δεν αντιτίθεται στη γνωστοποίηση δεδομένων προσωπικού χαρακτήρα στο κοινό όταν η γνωστοποίηση είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας, κατά την έννοια του άρθρου 6, παράγραφος 1, στοιχείο εʹ, του κανονισμού αυτού. Τούτο ισχύει ακόμη και όταν τα επίμαχα δεδομένα εμπίπτουν στο άρθρο 10 του ΓΚΠΔ, υπό την προϋπόθεση ότι η νομοθεσία που επιτρέπει τη γνωστοποίηση προβλέπει επαρκείς εγγυήσεις για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων».

Κρίσιμο στοιχείο για την επίμαχη επεξεργασία είναι η αναλογικότητα «ιδίως υπό το πρίσμα της σταθμίσεως που πρέπει να πραγματοποιείται μεταξύ, αφενός, του δικαιώματος προσβάσεως του κοινού σε επίσημα έγγραφα, το οποίο προβλέπεται στο άρθρο 86 του ΓΚΠΔ, και, αφετέρου, των θεμελιωδών δικαιωμάτων στον σεβασμό της ιδιωτικής ζωής και στην προστασία των δεδομένων προσωπικού χαρακτήρα, τα οποία κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη».

Το Δικαστήριο υπενθύμισε πως, όπως έχει ήδη κρίνει, η επεξεργασία δεδομένων σχετικών με ποινικές καταδίκες και αδικήματα ή σχετικά μέτρα ασφαλείας μπορεί, λόγω του ιδιαιτέρως ευαίσθητου χαρακτήρα των δεδομένων αυτών, να συνιστά ιδιαιτέρως σοβαρή επέμβαση στα θεμελιώδη δικαιώματα του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, εφόσον τα δεδομένα αυτά αφορούν συμπεριφορές που προκαλούν την κοινωνική αποδοκιμασία, η παροχή προσβάσεως στα ίδια αυτά δεδομένα ενδέχεται να οδηγήσει σε στιγματισμό του υποκειμένου των δεδομένων και να αποτελέσει, ως εκ τούτου, σοβαρή επέμβαση στην ιδιωτική ή επαγγελματική ζωή του

Μολονότι η πρόσβαση του κοινού στα επίσημα έγγραφα συνιστά, όπως προκύπτει από την αιτιολογική σκέψη 154 ΓΚΠΔ, δημόσιο συμφέρον ικανό να νομιμοποιήσει τη γνωστοποίηση δεδομένων προσωπικού χαρακτήρα που περιέχονται σε τέτοια έγγραφα, εντούτοις η πρόσβαση σε αυτά πρέπει να συμβιβάζεται με τα θεμελιώδη δικαιώματα του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα, όπως εξάλλου επιτάσσει ρητώς το άρθρο 86 του ΓΚΠΔ.

Λαμβανομένου υπόψη, μεταξύ άλλων, του ευαίσθητου χαρακτήρα των δεδομένων που αφορούν ποινικές καταδίκες και της σοβαρότητας της επεμβάσεως στα θεμελιώδη δικαιώματα του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων, την οποία συνεπάγεται η γνωστοποίηση των δεδομένων αυτών, πρέπει να γίνει δεκτό ότι τα ανωτέρω δικαιώματα υπερισχύουν του συμφέροντος του κοινού να αποκτήσει πρόσβαση στα επίσημα έγγραφα.

Κατά συνέπεια, το δικαίωμα στην ελευθερία της πληροφόρησης του άρθρου 85 ΓΚΠΔ δεν μπορεί να ερμηνευθεί υπό την έννοια ότι δικαιολογεί τη γνωστοποίηση σε κάθε πρόσωπο που υποβάλλει σχετικό αίτημα δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες.

Σύμφωνα με το ΔΕΕ: «Λαμβανομένων υπόψη των ανωτέρω σκέψεων, στο δεύτερο και στο τρίτο προδικαστικό ερώτημα προσήκει η απάντηση ότι οι διατάξεις του ΓΚΠΔ, ιδίως το άρθρο του 6, παράγραφος 1, στοιχείο εʹ, και το άρθρο του 10, έχουν την έννοια ότι δεδομένα τα οποία αφορούν ποινικές καταδίκες φυσικού προσώπου και περιλαμβάνονται σε αρχείο τηρούμενο από δικαστήριο δεν μπορούν να γνωστοποιούνται προφορικά, με σκοπό τη διασφάλιση της πρόσβασης του κοινού σε επίσημα έγγραφα, χωρίς να απαιτείται να αποδείξει ο αιτούμενος τη γνωστοποίηση ειδικό συμφέρον για τη λήψη των εν λόγω δεδομένων, είναι δε άνευ σημασίας συναφώς αν το εν λόγω πρόσωπο είναι εμπορική εταιρία ή φυσικό πρόσωπο».

Το πλήρες κείμενο της απόφασης είναι διαθέσιμο εδώ.