Το «δεν μπορώ να ενημερώσω τα υποκείμενα» δεν είναι επαρκές επιχείρημα για να μη δίνεις προσωπικά δεδομένα σε αίτημα πρόσβασης στα έγγραφα (ΔΕΕ C‑710/23)
Είναι χρήσιμη η ενημέρωση των υποκειμένων και η διαβούλευση μαζί τους, παρατηρεί το ΔΕΕ, αλλά δεν μπορεί η αδυναμία ικανοποίησής τους να παρακάμπτει την υποχρέωση συμβιβασμού των εμπλεκομένων συμφερόντων
Επιμέλεια: Δημήτρης Βέρρας
Να επανεξετάσουν τις πρακτικές τους ως προς την πρόσβαση στα έγγραφα, καλούνται οι δημόσιες αρχές μετά τη χθεσινή απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης στην υπόθεση C-710/23 (Ministerstvo zdravotnictví). Ειδικότερα, το ζήτημα που θα πρέπει να επανεξεταστεί είναι ο χειρισμός των αιτημάτων πρόσβασης, όταν τα έγγραφα που ζητούνται περιλαμβάνουν προσωπικά δεδομένα και η ενημέρωση των υποκειμένων κρίνεται δυσχερής ή αδύνατη.
Τούτο διότι, στην περίπτωση αυτή, όπως το ΔΕΕ αποφάνθηκε, η διαπίστωση αυτή δεν είναι αρκετή για να περιοριστεί αυτομάτως το δικαίωμα της πρόσβασης στα έγγραφα, δια της άρνησης γνωστοποίησης προσωπικών δεδομένων.
Ιστορικό
Ενώπιον του ΔΕΕ υποβλήθηκε αίτηση προδικαστικής απόφασης από το Ανώτατο Διοικητικό Δικαστήριο της Τσεχίας, στο πλαίσιο εξέτασης ένδικης διαφοράς μεταξύ πολίτη (L.H.) και του Υπουργείου Υγείας της χώρας. Αντικείμενο της διαφοράς η απόφαση του Υπουργείου να μη γνωστοποιήσει στον πολίτη ορισμένες πληροφορίες σχετικά με εκπροσώπους νομικών προσώπων που μνημονεύονταν σε συμβάσεις αγοράς τεστ Covid-19 και σε πιστοποιητικά σχετικά με τα εν λόγω τεστ.
Η διαφορά της κύριας δίκης ξεκίνησε μετά από αίτημα που υπέβαλε ο πολίτη προς του Υπουργείο Υγείας για «παροχή πληροφοριών σχετικών με την ταυτοποίηση προσώπων, τα οποία είχαν υπογράψει, αφενός συμβάσεις αγοράς τεστ ανίχνευσης του Covid-19 συναφθείσες από το εν λόγω Υπουργείο και, αφετέρου, πιστοποιητικά τα οποία αφορούσαν τα τεστ αυτά και αποδείκνυαν τη δυνατότητα χρήσης τους στο έδαφος της Ένωσης».
Το Υπουργείο έκανε εν μέρει δεκτή την αίτηση και του κοινοποίησε τα πιστοποιητικά, έχοντας όμως προηγουμένως αποκρύψει «τις πληροφορίες σχετικά με τα φυσικά πρόσωπα που υπέγραψαν τα πιστοποιητικά εξ ονόματος των οικείων νομικών προσώπων, συμπεριλαμβανομένων του ονόματος, του επωνύμου, της υπογραφής και της θέσης που κατείχαν αυτά τα φυσικά πρόσωπα, καθώς και, σε ορισμένες περιπτώσεις, της διεύθυνσης ηλεκτρονικού ταχυδρομείου, του αριθμού τηλεφώνου και του ιστοτόπου των νομικών προσώπων». Για την απάλειψη των πληροφοριών αυτών, το Υπουργείο επικαλέστηκε, όπως ήταν μάλλον αναμενόμενο, την προστασία δεδομένων των προσώπων αυτών.
Ο πολίτης προσέφυγε στο περιφερειακό δικαστήριο της Πράγας και ζήτησε την ακύρωση της απόφασης του Υπουργείου, κατά το μέρος που απαλείφθηκαν οι ως άνω πληροφορίες. Το δικαστήριο δέχθηκε την προσφυγή, κρίνοντας ότι το Υπουργείο «δεν μπορούσε να αρνηθεί εκ προοιμίου τη γνωστοποίηση πληροφοριών που συνιστούν δεδομένα προσωπικού χαρακτήρα χωρίς προηγουμένως να έχει ενημερώσει τα υποκείμενα των δεδομένων και χωρίς να έχει λάβει τη γνώμη τους ως προς την αίτηση γνωστοποίησης των δεδομένων αυτών, όπως προβλέπει η σχετική εθνική νομολογία».
Το Υπουργείο Υγείας άσκησε αναίρεση κατά της απόφασης αυτής, ενώπιον του αιτούντος δικαστηρίου. Ισχυρίστηκε πως τα πρόσωπα, τα οποία θα έπρεπε κατά την προσβαλλόμενη απόφαση να έχει ενημερώσει, «ασκούν τις δραστηριότητές τους από την Κίνα και το Ηνωμένο Βασίλειο, όπου είναι καταχωρισμένα τα νομικά πρόσωπα τα οποία εξέδωσαν τα πιστοποιητικά, και ότι του είναι άγνωστη η κατοικία των ως άνω φυσικών προσώπων. Επομένως, είναι αδύνατο να ενημερώσει τα πρόσωπα αυτά και να διαβουλευθεί μαζί τους επί του εν λόγω ζητήματος».
Τα προδικαστικά ερωτήματα
Υπό τα δεδομένα αυτά, το Ανώτατο Διοικητικό Δικαστήριο της Τσεχίας ανέστειλε τη διαδικασία και έθεσε στο ΔΕΕ τα εξής δύο προδικαστικά ερωτήματα:
1. Συνιστά η γνωστοποίηση του ονόματος, του επωνύμου, της υπογραφής και των στοιχείων επικοινωνίας φυσικού προσώπου, μέλους του διοικητικού συμβουλίου ή εκπροσώπου νομικού προσώπου, η οποία πραγματοποιείται με αποκλειστικό σκοπό την ταυτοποίηση (του προσώπου που είναι εξουσιοδοτημένο να ενεργεί εξ ονόματος) του νομικού προσώπου, επεξεργασία “δεδομένων προσωπικού χαρακτήρα” φυσικού προσώπου κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ και, κατά συνέπεια, εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ;
2. Μπορεί το εθνικό δίκαιο, συμπεριλαμβανομένης της πάγιας νομολογίας των δικαστηρίων, να εξαρτά την εφαρμογή από διοικητική αρχή ενός άμεσα εφαρμοστέου κανονισμού της Ένωσης, συγκεκριμένα του άρθρου 6, παράγραφος 1, στοιχείο γʹ, ή, κατά περίπτωση, στοιχείο εʹ, του ΓΚΠΔ, από πρόσθετες προϋποθέσεις οι οποίες δεν απορρέουν από το γράμμα του ίδιου του κανονισμού, αλλά στην πράξη διευρύνουν το επίπεδο προστασίας του υποκειμένου των δεδομένων, συγκεκριμένα από την υποχρέωση της δημόσιας αρχής να ενημερώνει εκ των προτέρων το υποκείμενο των δεδομένων σχετικά με αίτημα διαβιβάσεως δεδομένων προσωπικού χαρακτήρα σε τρίτους;»
Η κρίση του ΔΕΕ
Το Δικαστήριο της Ευρωπαϊκής Ένωσης δεν δυσκολεύτηκε ιδιαίτερα να απαντήσει στο πρώτο από τα τεθέντα ερωτήματα, δεδομένου ότι η απάντηση αυτή ήταν μάλλον αυτονόητη. Το ΔΕΕ επανέλαβε πως οι έννοιες των δεδομένων προσωπικού χαρακτήρα και της επεξεργασίας πρέπει, κατά πάγια νομολογία του, να έχουν ευρύ περιεχόμενο, ενώ υπενθύμισε πως στην απόφαση Manni (C-398/15) έχει ήδη κρίνει ότι το γεγονός πως πληροφορίες άπτονται επαγγελματικής δραστηριότητας δεν είναι ικανό να άρει τον χαρακτηρισμό τους ως προσωπικών δεδομένων.
Κατά συνέπεια, οι επίμαχες πληροφορίες αποτελούν σαφώς προσωπικά δεδομένα των προσώπων στα οποία αυτές αναφέρονται, ενώ η γνωστοποίηση δεδομένων φυσικού προσώπου που εκπροσωπεί νομικό πρόσωπο εμπίπτει στην έννοια της επεξεργασίας δεδομένων.
Διαβάστε επίσης: Πρόσβαση σε έγγραφα αιτήσεων και καταγγελιών σε ανεξάρτητη αρχή και προστασία προσωπικών δεδομένων
Μεγαλύτερο ενδιαφέρον παρουσιάζει η κρίση του ΔΕΕ επί του δευτέρου ερωτήματος σχετικά με τη δυνατότητα του εθνικού νομοθέτη να θεσπίζει πρόσθετες προϋποθέσεις για τη νόμιμη κοινολόγηση δεδομένων σε τρίτους και ειδικότερα την υποχρέωση της δημόσιας αρχής να ενημερώνει εκ των προτέρων τα υποκείμενα των δεδομένων.
Το ΔΕΕ εξέτασε το ερώτημα ερμηνεύοντας τις νομικές βάσεις των περιπτώσεων γ’ (συμμόρφωση με έννομη υποχρέωση) και ε’ (εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον) του άρθρου 6 παρ.1 ΓΚΠΔ, υπό το πρίσμα των εξειδικεύσεων που προβλέπουν οι παράγραφοι 2 και 3 του άρθρου αυτού και σε συνδυασμό με τις προβλέψεις του άρθρου 86 ΓΚΠΔ για την πρόσβαση στα έγγραφα.
Ως προς το άρθρο 6 παρ.2 ΓΚΠΔ, το ΔΕΕ επεσήμανε πως αυτό παρέχει στα κράτη μέλη τη δυνατότητα να καθορίζουν ακριβέστερα ειδικές απαιτήσεις για την επεξεργασία και άλλα μέτρα προς εξασφάλιση σύννομης και θεμιτής επεξεργασίας, ενώ για το άρθρο 6 παρ.3 ΓΚΠΔ, το Δικαστήριο ανέφερε πως προβλέπει τη δυνατότητα να περιλαμβάνονται ειδικές διατάξεις στη νομική βάση, για την προσαρμογή της εφαρμογής των κανόνων του ΓΚΠΔ. Το ΔΕΕ υπενθύμισε πως τα κράτη μέλη μπορούν να θεσπίζουν ειδικές διατάξεις για τον περαιτέρω προσδιορισμό της εφαρμογής των κανόνων του Γενικού Κανονισμού, οφείλουν όμως να κινούνται εντός του περιθωρίου εκτιμήσεως που διαθέτουν και να νομοθετούν κατά τρόπο που να μη θίγει το περιεχόμενο και τους σκοπούς του.
Ειδική αναφορά έκανε το Δικαστήριο και στη λειτουργία του άρθρου 86 ΓΚΠΔ, παρατηρώντας ότι το άρθρο αυτό «πρέπει να ερμηνευθεί υπό το πρίσμα, πρώτον, της αιτιολογικής σκέψης 4 του ΓΚΠΔ, η οποία αναφέρει, μεταξύ άλλων, ότι το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα, δεύτερον, της αιτιολογικής σκέψης 154 του ΓΚΠΔ, από την οποία προκύπτει, μεταξύ άλλων, ότι η πρόσβαση του κοινού σε επίσημα έγγραφα μπορεί να θεωρηθεί ως δημόσιο συμφέρον, καθώς και, τρίτον, της νομολογίας κατά την οποία η αρχή της διαφάνειας, όπως απορρέει από τα άρθρα 1 και 10 ΣΕΕ καθώς και από το άρθρο 15 ΣΛΕΕ, εξασφαλίζει μεγαλύτερη συμμετοχή των πολιτών στη διαδικασία λήψης αποφάσεων και, παράλληλα, εγγυάται μεγαλύτερη νομιμότητα, αποτελεσματικότητα και υπευθυνότητα της διοίκησης έναντι του πολίτη σε ένα δημοκρατικό σύστημα.»
Στην εξεταζόμενη περίπτωση, η επίμαχη επεξεργασία δεδομένων εμπίπτει, κατά το ΔΕΕ, τόσο στη συμμόρφωση με έννομη υποχρέωση του άρθρου 6 παρ.1γ’ ΓΚΠΔ, αφού η χορήγηση εγγράφων επιβάλλεται από τον νόμο, όσο και στην άσκηση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον του άρθρου 6 παρ.1ε’ ΓΚΠΔ, αφού η διασφάλιση της πρόσβασης του κοινού στα επίσημα έγγραφα μπορεί να θεωρηθεί ως δημόσιο συμφέρον.
Όταν οι πληροφορίες και τα έγγραφα που ζητούνται περιλαμβάνουν προσωπικά δεδομένα, η γνωστοποίησή τους είναι επιτρεπτή μόνον εφόσον τηρείται η νομοθεσία για την προστασία των δεδομένων, ενώ στις υποχρεώσεις που θέτει ο Γενικός Κανονισμός Προστασίας Δεδομένων μπορούν να προστεθούν συμπληρωματικώς οι κανόνες της εθνικής νομολογίας για την υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων και διαβούλευσης με αυτά, πριν την οποιαδήποτε γνωστοποίηση των εν λόγω δεδομένων.
Κατά συνέπεια, διαπιστώνει το ΔΕΕ, εθνική νομολογία η οποία προβλέπει υποχρέωση ενημέρωσης του υποκειμένου και διαβούλευσης πριν τη γνωστοποίηση των δεδομένων του δεν βρίσκεται σε σύγκρουση με τις απαιτήσεις νομιμότητας των δύο νομικών βάσεων της χορήγησης εγγράφων. Όπως χαρακτηριστικά αναφέρει το ΔΕΕ, αντιστρέφοντας τη σκέψη προκειμένου να αποφύγει να κρίνει την εθνική διάταξη, «το άρθρο 6, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ δεν αντιτίθεται, καταρχήν, σε εθνική νομολογία η οποία προβλέπει υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων και διαβούλευσης μαζί του πριν από κάθε γνωστοποίηση δεδομένων προσωπικού χαρακτήρα που το αφορούν».
Η πρόσθετη πρόβλεψη αυτή, μάλιστα, είναι κατά το ΔΕΕ χρήσιμη και θεμιτή, αφού διασφαλίζει την τήρηση της αρχής της νομιμότητας, αντικειμενικότητας και διαφάνειας, με το να παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να εκφράσει την άποψή του σχετικά με τη σχεδιαζόμενη γνωστοποίηση. Παράλληλα, η υποχρέωση αυτή παρέχει και στη δημόσια αρχή τη δυνατότητα να προβεί στο απαιτούμενο συμβιβασμό του άρθρου 86 ΓΚΠΔ, έχοντας πλήρη γνώση της κατάστασης.
Στο σημείο αυτό, το Δικαστήριο αναδεικνύει τον κύριο παράγοντα για τη ρύθμιση της σχέσης της πρόσβασης στα έγγραφα με την προστασία δεδομένων, τον συμβιβασμό. Το ΔΕΕ επισημαίνει με έμφαση πως ο συμβιβασμός αυτό προβλέπεται ρητώς στο άρθρο 86 ΓΚΠΔ και δεν μπορεί να παρακάμπτεται από την επίκληση μιας πρόσθετης υποχρέωσης μέσω εθνικής ρύθμισης.
Σύμφωνα με την απόφαση του Δικαστηρίου, η απόλυτη εφαρμογή της υποχρέωσης ενημέρωσης και διαβούλευσης «θα μπορούσε να οδηγήσει σε δυσανάλογο περιορισμό του δικαιώματος πρόσβασης του κοινού σε επίσημα έγγραφα. Πράγματι, είναι πιθανό, για διάφορους λόγους, η ενημέρωση του υποκειμένου των δεδομένων και/ή η διαβούλευση μαζί του να αποδειχθούν ανέφικτες ή να απαιτούν δυσανάλογη προσπάθεια. Σε ένα τέτοιο πλαίσιο, η επίκληση πρακτικής αδυναμίας ενημέρωσης του υποκειμένου των δεδομένων και διαβούλευσης μαζί του προκειμένου να δικαιολογηθεί η συστηματική άρνηση κάθε γνωστοποίησης πληροφοριών σχετικών με το εν λόγω πρόσωπο θα οδηγούσε σε αποκλεισμό κάθε προσπάθειας συμβιβασμού των εμπλεκόμενων συμφερόντων, ενώ ο συμβιβασμός αυτός προβλέπεται ρητώς στο άρθρο 86 του ΓΚΠΔ».
Αυτό ακριβώς έκανε το Υπουργείο Υγείας εν προκειμένω. Σύμφωνα με το ΔΕΕ, το Υπουργείο «φαίνεται να στήριξε την απόφασή του να μη γνωστοποιήσει το σύνολο των ζητούμενων πληροφοριών σε αυτή την πρακτική αδυναμία και μόνον, χωρίς ουδόλως να επιχειρήσει να προβεί σε συμβιβασμό των συμφερόντων».
Με βάση τα ανωτέρω, το Δικαστήριο καταλήγει ότι:
Λαμβανομένου υπόψη του συνόλου των προεκτεθέντων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ, ερμηνευόμενο σε συνδυασμό με το άρθρο 86 του κανονισμού αυτού, έχει την έννοια ότι δεν αντιτίθεται σε εθνική νομολογία σύμφωνα με την οποία υπεύθυνος επεξεργασίας που είναι δημόσια αρχή επιφορτισμένη με τον συμβιβασμό του δικαιώματος πρόσβασης του κοινού σε επίσημα έγγραφα με το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα υποχρεούται να ενημερώνει το φυσικό πρόσωπο το οποίο είναι το υποκείμενο των δεδομένων και να διαβουλεύεται με αυτό πριν από τη γνωστοποίηση επίσημων εγγράφων που περιέχουν τέτοια δεδομένα, υπό την προϋπόθεση ότι μια τέτοια υποχρέωση δεν είναι αδύνατο να εφαρμοστεί ούτε απαιτεί δυσανάλογη προσπάθεια και, ως εκ τούτου, δεν συνεπάγεται δυσανάλογο περιορισμό του δικαιώματος πρόσβασης του κοινού στα εν λόγω έγγραφα.
Το πλήρες κείμενο της απόφασης είναι διαθέσιμο στον ιστότοπο του ΔΕΕ.
