Η αρχή προστασίας δεδομένων μπορεί να δίνει εντολή διαγραφής δεδομένων ακόμη και αν αυτό δεν έχει ζητηθεί από το υποκείμενο

Επιμέλεια: Γεώργιος Π. Κανέλλος

Με τη δημοσιευθείσα στις 14.03.2024 απόφασή του, το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) έκρινε ότι η εποπτική αρχή ενός κράτους μέλους μπορεί να διατάξει τη διαγραφή δεδομένων που έχουν υποστεί παράνομη επεξεργασία ακόμη και αν δεν έχει υποβληθεί προηγούμενο αίτημα από το υποκείμενο των δεδομένων.

Ιστορικό της υπόθεσης

Τον Φεβρουάριο του 2020 η δημοτική αρχή Újpest αποφάσισε να παράσχει οικονομική στήριξη σε κατοίκους που ανήκαν σε κατηγορία ατόμων που είχαν καταστεί ευάλωτα λόγω της πανδημίας COVID‑19 και πληρούσαν ορισμένες προϋποθέσεις επιλεξιμότητας.

Προς τον σκοπό αυτόν, η δημοτική αρχή Újpest απευθύνθηκε στο Magyar Államkincstár (ουγγρικό δημόσιο ταμείο) και στο Budapest Főváros Kormányhivatala IV. Kerületi Hivatala (κυβερνητικό γραφείο του τέταρτου τοπικού διαμερίσματος Βουδαπέστης-Πρωτευούσης, Ουγγαρία), προκειμένου να λάβει τα δεδομένα προσωπικού χαρακτήρα που ήταν αναγκαία για την επαλήθευση της συνδρομής των εν λόγω προϋποθέσεων επιλεξιμότητας. Τα δεδομένα αυτά περιλάμβαναν, μεταξύ άλλων, τα βασικά στοιχεία ταυτοποίησης και τους αριθμούς κοινωνικής ασφάλισης των φυσικών προσώπων. Το ουγγρικό δημόσιο ταμείο και το κυβερνητικό γραφείο γνωστοποίησαν στη δημοτική αρχή Újpest τα ζητηθέντα δεδομένα.

Για την καταβολή των οικείων χρηματικών ποσών, η δημοτική αρχή Újpest εξέδωσε το az Újpest+ Megbecsülés Program bevezetéséről szóló 16/2020. (IV. 30.) önkormányzati rendelet [δημοτικό διάταγμα 16/2020. (IV. 30.), σχετικά με τη θέσπιση του προγράμματος Újpest+ Megbecsülés], το οποίο τροποποιήθηκε και συμπληρώθηκε με το 30/2020. (VII. 15.) önkormányzati rendelet [δημοτικό διάταγμα 30/2020. (VII. 15.)]. Τα διατάγματα αυτά περιλάμβαναν τα κριτήρια επιλεξιμότητας για λήψη της στήριξης. Η δημοτική αρχή Újpest συγκέντρωσε τα συλλεγέντα δεδομένα σε βάση δεδομένων σχεδιασθείσα προς τον σκοπό της υλοποίησης του προγράμματος στήριξης και δημιούργησε αναγνωριστικό κωδικό καθώς και ειδικό γραμμωτό κώδικα για κάθε σύνολο δεδομένων.

Κατόπιν σχετικής ενημερώσεως, η ουγγρική εποπτική αρχή κίνησε αυτεπαγγέλτως στις 2 Σεπτεμβρίου 2020 έρευνα σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στην οποία στηρίχθηκε το πρόγραμμα για την καταβολή των ποσών της οικονομικής στήριξης. Με απόφαση της 22ας Απριλίου 2021, η εποπτική αρχή διαπίστωσε ότι η δημοτική αρχή Újpest είχε παραβιάσει πλείονες διατάξεις των άρθρων 5 και 14 του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ), καθώς και το άρθρο 12, παράγραφος 1, του ίδιου κανονισμού. Συγκεκριμένα, διαπίστωσε, μεταξύ άλλων, ότι η δημοτική αρχή Újpest δεν είχε ενημερώσει εντός μηνός τα υποκείμενα των δεδομένων σχετικά με τις κατηγορίες των δεδομένων προσωπικού χαρακτήρα που θα υποβάλλονταν σε επεξεργασία στο πλαίσιο του εν λόγω προγράμματος, τους σκοπούς της επεξεργασίας και τους όρους άσκησης των σχετικών δικαιωμάτων από τα πρόσωπα αυτά.

Η ουγγρική εποπτική αρχή έδωσε στη δημοτική αρχή Újpest, κατ’ εφαρμογήν του άρθρου 58, παράγραφος 2, στοιχείο δʹ, του ΓΚΠΔ, εντολή να διαγράψει τα δεδομένα προσωπικού χαρακτήρα των υποκειμένων των δεδομένων τα οποία ήταν μεν δικαιούχοι της ενίσχυσης –βάσει των παρασχεθεισών από το κυβερνητικό γραφείο και το ουγγρικό δημόσιο ταμείο πληροφοριών–, πλην όμως δεν την είχαν ζητήσει. Η εποπτική αρχή έκρινε ότι τόσο το ουγγρικό δημόσιο ταμείο όσο και το κυβερνητικό γραφείο είχαν παραβιάσει τις διατάξεις σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα των εν λόγω προσώπων. Επέβαλε επίσης στη δημοτική αρχή Újpest και στο ουγγρικό δημόσιο ταμείο πρόστιμο βάσει της νομοθεσίας για την προστασία των δεδομένων.

Με ένδικη διοικητική προσφυγή ασκηθείσα ενώπιον του αιτούντος δικαστηρίου, του Fővárosi Törvényszék (περιφερειακού δικαστηρίου Βουδαπέστης-Πρωτευούσης, Ουγγαρία), η δημοτική αρχή Újpest έβαλε κατά της απόφασης της ουγγρικής εποπτικής αρχής, υποστηρίζοντας ότι η συγκεκριμένη αρχή δεν έχει την εξουσία να διατάξει τη διαγραφή των δεδομένων προσωπικού χαρακτήρα στηριζόμενη στο άρθρο 58, παράγραφος 2, στοιχείο δʹ, του ΓΚΠΔ, διότι δεν έχει υποβληθεί σχετικό αίτημα από το υποκείμενο των δεδομένων κατά την έννοια του άρθρου 17 του ίδιου κανονισμού. Συναφώς, επικαλέστηκε την απόφαση Kfv.II.37.001/2021/6. του Kúria (Ανωτάτου Δικαστηρίου, Ουγγαρία), με την οποία το δικαστήριο αυτό έκρινε ότι η ουγγρική εποπτική αρχή δεν διέθετε τέτοια εξουσία, επιβεβαιώνοντας έτσι προγενέστερη απόφαση του αιτούντος δικαστηρίου. Κατά την προσφεύγουσα της κύριας δίκης, το δικαίωμα διαγραφής, το οποίο προβλέπεται στο άρθρο 17 του ΓΚΠΔ, νοείται αποκλειστικά ως δικαίωμα του υποκειμένου των δεδομένων.

Κατόπιν αίτησης ελέγχου συνταγματικότητας την οποία άσκησε η ουγγρική εποπτική αρχή, το Alkotmánybíróság (Συνταγματικό Δικαστήριο, Ουγγαρία) ακύρωσε την προαναφερθείσα απόφαση του Kúria (Ανωτάτου Δικαστηρίου), κρίνοντας ότι η εποπτική αρχή δύναται να διατάξει αυτεπαγγέλτως τη διαγραφή των δεδομένων προσωπικού χαρακτήρα που έχουν υποβληθεί σε παράνομη επεξεργασία, ακόμη και ελλείψει σχετικού αιτήματος του υποκειμένου των δεδομένων. Το Alkotmánybíróság (Συνταγματικό Δικαστήριο) στηρίχθηκε συναφώς στη γνώμη 39/2021 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, κατά την οποία το άρθρο 17 του ΓΚΠΔ προβλέπει δύο διακριτές περιπτώσεις διαγραφής, εκ των οποίων η μία είναι η διαγραφή κατόπιν σχετικού αιτήματος του υποκειμένου των δεδομένων και η άλλη συνίσταται σε αυτοτελή σχετική υποχρέωση του υπευθύνου επεξεργασίας, με αποτέλεσμα το άρθρο 58 παράγραφος 2, στοιχείο ζʹ, του ΓΚΠΔ να αποτελεί έγκυρη νομική βάση προς τον σκοπό της αυτεπαγγέλτως διατασσόμενης διαγραφής δεδομένων προσωπικού χαρακτήρα που έχουν υποβληθεί σε παράνομη επεξεργασία.

Παρά την ανωτέρω απόφαση του Alkotmánybíróság (Συνταγματικού Δικαστηρίου), το αιτούν δικαστήριο εξακολούθησε να διατηρεί αμφιβολίες όσον αφορά την ερμηνεία του άρθρου 17 και του άρθρου 58, παράγραφος 2, του ΓΚΠΔ. Εκτίμησε ότι το δικαίωμα διαγραφής των δεδομένων προσωπικού χαρακτήρα ορίζεται στο άρθρο 17, παράγραφος 1 του ΓΚΠΔ ως δικαίωμα του υποκειμένου των δεδομένων και ότι η διάταξη αυτή δεν περιλαμβάνει δύο διακριτές περιπτώσεις διαγραφής.

Το αιτούν δικαστήριο σημείωσε επίσης ότι ένα πρόσωπο ενδέχεται να αντλεί όφελος από την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν, τούτο δε ακόμη και στην περίπτωση που η εθνική εποπτική αρχή δίνει στον υπεύθυνο επεξεργασίας εντολή για διαγραφή των δεδομένων λόγω της παράνομης επεξεργασίας τους. Σε μια τέτοια περίπτωση, η εποπτική αρχή θα ασκούσε το δικαίωμα του υποκειμένου των δεδομένων ενάντια στη βούλησή του.

Επομένως, το αιτούν δικαστήριο ζήτησε να διευκρινιστεί αν –ανεξαρτήτως της άσκησης από το υποκείμενο των δεδομένων των δικαιωμάτων του– η εποπτική αρχή κράτους μέλους μπορεί να απαιτήσει από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία να διαγράψει τα δεδομένα προσωπικού χαρακτήρα που έχουν υποβληθεί σε παράνομη επεξεργασία και, σε περίπτωση καταφατικής απάντησης, επί ποιας νομικής βάσης, λαμβανομένων υπόψη ιδίως της διάταξης του άρθρου 58, παράγραφος 2, στοιχείο γʹ, του ΓΚΠΔ, που προβλέπει ρητώς αίτημα του εν λόγω υποκειμένου των δεδομένων προς άσκηση των δικαιωμάτων του, καθώς και εκείνης του άρθρου 58, παράγραφος 2, στοιχείο δʹ, του ίδιου κανονισμού, που προβλέπει γενικώς την τήρηση των διατάξεων του κανονισμού στο πλαίσιο της εκτέλεσης πράξεων επεξεργασίας, ενώ το άρθρο 58, παράγραφος 2, στοιχείο ζʹ, του ΓΚΠΔ παραπέμπει ευθέως στο άρθρο 17 του ίδιου κανονισμού, του οποίου η εφαρμογή απαιτεί ρητό αίτημα του υποκειμένου των δεδομένων.

Εάν η εποπτική αρχή μπορεί να δώσει στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία εντολή διαγραφής δεδομένων προσωπικού χαρακτήρα που έχουν υποβληθεί σε παράνομη επεξεργασία, ακόμη και χωρίς να έχει υποβληθεί σχετικό αίτημα από το υποκείμενο των δεδομένων, το αιτούν δικαστήριο διερωτήθηκε επίσης αν κατά την έκδοση της εντολής διαγραφής μπορεί να γίνει διάκριση αναλόγως του εάν πηγή της συλλογής των δεδομένων προσωπικού χαρακτήρα είναι το υποκείμενο των δεδομένων, λαμβανομένης υπόψη της υποχρέωσης του υπευθύνου επεξεργασίας βάσει του άρθρου 13, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ, ή εάν είναι άλλο πρόσωπο, λαμβανομένης υπόψη της υποχρέωσης που προβλέπεται στο άρθρο 14, παράγραφος 2, στοιχείο γʹ, του κανονισμού.

Υπό τις συνθήκες αυτές, το Fővárosi Törvényszék (περιφερειακό δικαστήριο Βουδαπέστης-Πρωτευούσης, Ουγγαρία) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο προδικαστικά ερωτήματα.

Απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης

Με την απόφασή του αυτή, το Δικαστήριο, πρώτον, αποφάνθηκε ότι το άρθρο 58, παράγραφος 2, στοιχεία δʹ και ζʹ, του ΓΚΠΔ έχει την έννοια ότι η εποπτική αρχή κράτους μέλους έχει την εξουσία, στο πλαίσιο της λήψης των προβλεπόμενων από τις διατάξεις αυτές διορθωτικών μέτρων, να απευθύνει στον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία εντολή διαγραφής δεδομένων προσωπικού χαρακτήρα που έχουν υποβληθεί σε παράνομη επεξεργασία, ακόμη και σε περίπτωση που δεν έχει προηγουμένως υποβληθεί σχετικό αίτημα από το υποκείμενο των δεδομένων προς άσκηση των δικαιωμάτων του κατ’ εφαρμογήν του άρθρου 17 παράγραφος 1, του ΓΚΠΔ.

Δεύτερον, το Δικαστήριο έκρινε ότι η εξουσία της εποπτικής αρχής κράτους μέλους να διατάσσει τη διαγραφή δεδομένων προσωπικού χαρακτήρα που έχουν υποβληθεί σε παράνομη επεξεργασία υφίσταται τόσο στην περίπτωση που πηγή της συλλογής των δεδομένων είναι το ίδιο το υποκείμενο των δεδομένων όσο και στην περίπτωση που τα δεδομένα προέρχονται από άλλη πηγή.

Γίνεται υπόμνηση ότι η διαδικασία εκδόσεως προδικαστικής αποφάσεως παρέχει στα δικαστήρια των κρατών μελών τη δυνατότητα να υποβάλουν στο Δικαστήριο, στο πλαίσιο της ένδικης διαφοράς της οποίας έχουν επιληφθεί, ερώτημα σχετικό με την ερμηνεία του δικαίου της Ένωσης ή με το κύρος πράξεως οργάνου της Ένωσης. Το Δικαστήριο δεν αποφαίνεται επί της διαφοράς που εκκρεμεί ενώπιον του εθνικού δικαστηρίου. Στο εθνικό δικαστήριο εναπόκειται να επιλύσει τη διαφορά αυτή, λαμβάνοντας υπόψη την απόφαση του Δικαστηρίου. Η απόφαση αυτή δεσμεύει, ομοίως, άλλα εθνικά δικαστήρια ενώπιον των οποίων ανακύπτει παρόμοιο ζήτημα.

Το πλήρες κείμενο της απόφασης είναι διαθέσιμο στην ιστοσελίδα CURIA