Η συμμόρφωση με έννομη υποχρέωση που πηγάζει από δικαστική απόφαση

Παράγει η νομολογία δίκαιο; Ή, για να το θέσουμε σαφέστερα και ειδικότερα στο πεδίο του δικαίου προστασίας προσωπικών δεδομένων, μπορεί μια δικαστική απόφαση να θεμελιώσει συμμόρφωση με έννομη υποχρέωση, υποκαθιστώντας τη νομοθετική διάταξη που απουσιάζει;

Το ερώτημα αυτό εξετάστηκε πρόσφατα από το Δικαστήριο της Ευρωπαϊκής Ένωσης και απαντήθηκε καταφατικά. (C-17/22 και C/18-22 HTB Neunte Immobilien Portfolio)

Η συμμόρφωση με έννομη υποχρέωση

Μια από τις έξι νομιμοποιητικές βάσεις του άρθρου 6 παρ.1 ΓΚΠΔ για την επεξεργασία δεδομένων είναι και η περίπτωση (περ.γ’) στην οποία «η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας». Η πρόβλεψη αυτή του ενωσιακού νομοθέτη δεν είναι αφηρημένη, αλλά εξειδικεύεται μέσα από την παράγραφο 3 του ίδιου άρθρου: «Ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση […]. Η εν λόγω νομική βάση μπορεί να περιλαμβάνει ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού, μεταξύ άλλων: τις γενικές προϋποθέσεις που διέπουν τη σύννομη επεξεργασία από τον υπεύθυνο επεξεργασίας· τα είδη των δεδομένων που υποβάλλονται σε επεξεργασία· τα οικεία υποκείμενα των δεδομένων· τις οντότητες στις οποίες μπορούν να κοινοποιούνται τα δεδομένα προσωπικού χαρακτήρα και τους σκοπούς αυτής της κοινοποίησης· τον περιορισμό του σκοπού· τις περιόδους αποθήκευσης· και τις πράξεις επεξεργασίας και τις διαδικασίες επεξεργασίας, συμπεριλαμβανομένων των μέτρων για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας, όπως εκείνα για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ. Το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και είναι ανάλογο προς τον επιδιωκόμενο νόμιμο σκοπό».

Περαιτέρω, η αιτιολογική σκέψη 41 του Γενικού Κανονισμού επεξηγεί πως «οποτεδήποτε ο παρών κανονισμός αναφέρεται σε νομική βάση ή νομοθετικό μέτρο, αυτό δεν προϋποθέτει απαραιτήτως νομοθετική πράξη εγκεκριμένη από ένα κοινοβούλιο, με την επιφύλαξη των απαιτήσεων σύμφωνα με τη συνταγματική τάξη του συγκεκριμένου κράτους μέλους. Ωστόσο, αυτή η νομική βάση ή το νομοθετικό μέτρο θα πρέπει να είναι διατυπωμένο με σαφήνεια και ακρίβεια και η εφαρμογή του να είναι προβλέψιμη για πρόσωπα που υπόκεινται σε αυτό, σύμφωνα με τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης (το «Δικαστήριο») και του Ευρωπαϊκού Δικαστηρίου των Δικαιωμάτων του Ανθρώπου». Ακολούθως, η αιτιολογική σκέψη 45 προσθέτει πως «όταν η επεξεργασία διενεργείται σύμφωνα με νομική υποχρέωση την οποία υπέχει ο υπεύθυνος επεξεργασίας […], η επεξεργασία θα πρέπει να έχει βάση στο δίκαιο της Ένωσης ή κράτους μέλους. Ο παρών κανονισμός δεν απαιτεί συγκεκριμένο νόμο για κάθε μεμονωμένη επεξεργασία. Μπορεί να αρκεί ένας μόνο νόμος ως βάση για περισσότερες από μία πράξεις επεξεργασίας με βάση νομική υποχρέωση στην οποία υπόκειται ο υπεύθυνος επεξεργασίας […]. Επίσης, ο καθορισμός του σκοπού της επεξεργασίας θα πρέπει να εναπόκειται στο δίκαιο της Ένωσης ή κράτους μέλους. Επιπλέον, το εν λόγω δίκαιο θα μπορούσε να προσδιορίζει τις γενικές προϋποθέσεις του παρόντος κανονισμού που διέπουν τη σύννομη επεξεργασία δεδομένων προσωπικού χαρακτήρα και να θεσπίζει προδιαγραφές για τον καθορισμό του υπευθύνου επεξεργασίας, του είδους των δεδομένων προσωπικού χαρακτήρα που υπόκεινται σε επεξεργασία, των εκάστοτε υποκειμένων των δεδομένων, των οντοτήτων στις οποίες μπορούν να κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, των περιορισμών σκοπού, της περιόδου αποθήκευσης και άλλων μέτρων για την εξασφάλιση σύννομης και δίκαιης επεξεργασίας».

Το ερώτημα προς το ΔΕΕ και η απάντηση του Δικαστηρίου

Με τις από 21-12-2021 αιτήσεις προδικαστικής απόφασης, το Ειρηνοδικείο του Μονάχου έθεσε στο Δικαστήριο της Ευρωπαϊκής Ένωσης σειρά ερωτημάτων σχετικά με τη δυνατότητα κοινολόγησης προσωπικών δεδομένων σε τρίτα πρόσωπα.

Αφορμή για τα ερωτήματα υπήρξε αγωγή δύο εταιρειών επενδύσεων, με την οποία αυτές ζήτησαν να υποχρεωθεί η εναγόμενη να τους γνωστοποιήσει τα ονόματα και τις διευθύνσεις των εταίρων, που κατέχουν, μέσω εταιριών διαχείρισης κεφαλαίων, έμμεσες συμμετοχές σε επενδυτικά κεφάλαια, στα οποία συμμετέχουν και οι ίδιες.

Το αιτούν δικαστήριο προβληματίστηκε ως προς το κατά πόσον μια τέτοια πράξη επεξεργασίας, όπως η κοινοποίηση των δεδομένων που είχαν ζητηθεί, είναι επιτρεπτή και σύννομη με βάση τις απαιτήσεις του ΓΚΠΔ. Ταυτόχρονα όμως, έθεσε υπόψιν του ΔΕΕ τη νομολογία τόσο του Ανώτερου Περιφερειακού Δικαστηρίου του Μονάχου, όσο και του Ανωτάτου Ομοσπονδιακού Δικαστηρίου της χώρας, σύμφωνα με την οποία, η κοινοποίηση αυτή θα μπορούσε να είναι υποχρεωτική.

Το ΔΕΕ εξέτασε κατά σειράν τις τρεις νομικές βάσεις του άρθρου 6 ΓΚΠΔ, που θα μπορούσαν δυνητικώς να νομιμοποιήσουν μια επεξεργασία όπως η επίμαχη, με την τελευταία εξ αυτών να είναι η συμμόρφωση με έννομη υποχρέωση.  

Η εξέταση της νομικής βάσης του άρθρου 6 παρ.1γ’ ΓΚΠΔ φάνηκε αρχικά παράδοξη, δεδομένου ότι ουδέποτε είχε το αιτούν δικαστήριο θέσει υπόψιν του ΔΕΕ διάταξη που να ρυθμίζει την επίμαχη επεξεργασία δεδομένων. Η εξήγηση δόθηκε από το Δικαστήριο, αφού αυτό που ήθελε να εξετάσει ήταν το κατά πόσον η αναφερθείσα γερμανική νομολογία θα μπορούσε να συνιστά «έννομη υποχρέωση», κατά την έννοια του Γενικού Κανονισμού.

Σύμφωνα με την απόφαση, «μια τέτοια υποχρέωση θα μπορούσε παρά ταύτα να συναχθεί, υπό την επιφύλαξη των εξακριβώσεων στις οποίες οφείλει να προβεί συναφώς το αιτούν δικαστήριο, από τη νομολογία του Bundesgerichtshof (Ανώτατου Ομοσπονδιακού Δικαστηρίου, Γερμανία) και του Oberlandesgericht München (ανώτερου περιφερειακού δικαστηρίου Μονάχου)», με το Δικαστήριο να προσθέτει πως «δεν μπορεί να αποκλειστεί το ενδεχόμενο «το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας», κατά την έννοια του άρθρου 6, παράγραφος 3, στοιχείο βʹ, του ΓΚΠΔ, να καλύπτει και την εθνική νομολογία».

Η ταύτιση αυτή, ωστόσο, της νομολογίας με το δίκαιο του κράτους μέλους δεν γίνεται χωρίς προϋποθέσεις, αφού όπως επισημάνθηκε, «η νομολογία αυτή πρέπει να είναι διατυπωμένη με σαφήνεια και ακρίβεια και η εφαρμογή της να είναι προβλέψιμη για τα οικεία πρόσωπα» και περαιτέρω «η νομολογία αυτή πρέπει επίσης να συνιστά νομική βάση η οποία ανταποκρίνεται σε σκοπό δημοσίου συμφέροντος και είναι ανάλογη προς τον σκοπό αυτό, η δε επεξεργασία πρέπει να περιορίζεται εντός των απολύτως αναγκαίων ορίων».

Η ΑΠΔΠΧ 49/2023

Η απόφαση του ΔΕΕ βρίσκει κοινά στοιχεία αναφοράς με την κρίση της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα στην υπόθεση με την αναζήτηση δεδομένων υποψηφίου τακτικού Καθηγητή από την εισηγητική επιτροπή.

Στην απόφαση αυτή, η Αρχή είχε παρατηρήσει την απουσία διάταξης που να ρυθμίζει ειδικώς τη συλλογή και επεξεργασία αυτή, για να επικαλεστεί στη συνέχεια απόφαση του Συμβουλίου της Επικρατείας για την ερμηνεία των διατάξεων περί εκλογής/εξέλιξης μελών ΔΕΠ. Με την απόφαση αυτή του ΣτΕ, η οποία είχε ερμηνεύσει την προϊσχύσασα, πλην συναφούς περιεχομένου, ρύθμιση του Ν.2083/1992, είχε κριθεί πως η εισηγητική επιτροπή δεν κωλύεται να συνεκτιμήσει στοιχεία για τον υποψήφιο, τα οποία γνωρίζει από άλλες πηγές ή την προσωπική της αντίληψη.

Με βάση την κρίση αυτή, η Αρχή παρατήρησε πως «σύμφωνα με το Ευρωπαϊκό Δικαστήριο Δικαιωμάτων του Ανθρώπου, οι περιορισμοί της άσκησης του δικαιώματος στην ιδιωτική ζωή μπορούν να προβλέπονται κατ’ αρχήν όχι μόνο από το νόμο, με την τυπική του όρου έννοια, αλλά και από την πάγια νομολογία των Ανωτάτων Δικαστηρίων, υπό την προϋπόθεση τήρησης των λοιπών προϋποθέσεων που απαιτούνται από τη νομολογία του ΕΔΔΑ για την ισχύ των περιορισμών στην άσκηση των κατοχυρωμένων σε αυτή δικαιωμάτων».

Αυτό που έκρινε η Αρχή ήταν πως η έννομη υποχρέωση δεν απαιτείται να πηγάζει ευθέως από τον νόμο, αφού ενδέχεται να προκύπτει εμμέσως και από την ερμηνεία του νόμου από τα δικαστήρια. Όπως παρατηρήθηκε καταληκτικώς, «ενόψει της, καθ’ ερμηνεία των ανωτέρω σχετικών διατάξεων, υποχρέωσης της Εισηγητικής Επιτροπής να αναλύσει και να αξιολογήσει το έργο και την προσωπικότητα κάθε υποψηφίου, προκειμένου να προβεί στη συγκριτική και αξιολογική κατάταξή τους, εν προκειμένω η αναζήτηση, συλλογή και συσχέτιση πληροφοριών από τρίτες πηγές κατά την αξιολόγηση της υποψηφιότητας του καταγγέλλοντος, έλαβε χώρα σε συμμόρφωση της Εισηγητικής Επιτροπής με έννομη υποχρέωσή της κατά τα οριζόμενα στο άρθρο 6 παρ. 1 στοιχ. γ’ του ΓΚΠΔ».

Το πλήρες απόσπασμα της απόφασης του ΔΕΕ

69. Εν προκειμένω, αφενός, το δίκαιο της Ένωσης ουδεμία υποχρέωση προβλέπει για τα επενδυτικά κεφάλαια ή τις εταιρίες συμμετοχών, όπως αυτές στις υποθέσεις των κύριων δικών, να κοινοποιούν δεδομένα προσωπικού χαρακτήρα εταίρων που κατέχουν έμμεσες συμμετοχές στα εν λόγω επενδυτικά κεφάλαια.

70. Αφετέρου, από τις αιτήσεις προδικαστικής αποφάσεως προκύπτει ότι μια τέτοια υποχρέωση θα μπορούσε παρά ταύτα να συναχθεί, υπό την επιφύλαξη των εξακριβώσεων στις οποίες οφείλει να προβεί συναφώς το αιτούν δικαστήριο, από τη νομολογία του Bundesgerichtshof (Ανώτατου Ομοσπονδιακού Δικαστηρίου, Γερμανία) και του Oberlandesgericht München (ανώτερου περιφερειακού δικαστηρίου Μονάχου) σύμφωνα με την οποία οι συμβατικές ρήτρες που διασφαλίζουν την εμπιστευτικότητα των στοιχείων επικοινωνίας των έμμεσων εταίρων προσωπικής εταιρίας η οποία προβαίνει σε δημόσια προσφορά, όπως οι επίμαχες στις υποθέσεις των κύριων δικών, πρέπει να θεωρηθούν άκυρες, με αποτέλεσμα να χωρεί κοινοποίηση των δεδομένων προσωπικού χαρακτήρα των εταίρων με έμμεσες συμμετοχές σε επενδυτικό κεφάλαιο συσταθέν υπό μορφή ετερόρρυθμης εταιρίας που προβαίνει σε δημόσια προσφορά.

71. Συναφώς, επισημαίνεται ότι, σύμφωνα με όσα μνημονεύονται στη σκέψη 68 της παρούσας απόφασης, δεν μπορεί να αποκλειστεί το ενδεχόμενο «το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας», κατά την έννοια του άρθρου 6, παράγραφος 3, στοιχείο βʹ, του ΓΚΠΔ, να καλύπτει και την εθνική νομολογία.

72. Εντούτοις, όπως προκύπτει από την αιτιολογική σκέψη 41 του κανονισμού, η νομολογία αυτή πρέπει να είναι διατυπωμένη με σαφήνεια και ακρίβεια και η εφαρμογή της να είναι προβλέψιμη για τα οικεία πρόσωπα, σύμφωνα με τη νομολογία του Δικαστηρίου.

73. Επιπλέον, σύμφωνα με τη νομολογία που υπομνήσθηκε στη σκέψη 67 της παρούσας απόφασης, η νομολογία αυτή πρέπει επίσης να συνιστά νομική βάση η οποία ανταποκρίνεται σε σκοπό δημοσίου συμφέροντος και είναι ανάλογη προς τον σκοπό αυτό, η δε επεξεργασία πρέπει να περιορίζεται εντός των απολύτως αναγκαίων ορίων, πράγμα το οποίο εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει [πρβλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψεις 134 και 138].

Φωτογραφία από Nico Siegl: https://www.pexels.com/el-gr/photo/15686924/