GDPR: Η πρώτη απόφαση του Δικαστηρίου της ΕΕ σε σχέση με τον Γενικό Κανονισμό για την Προστασία Δεδομένων

Επιμέλεια: Γεώργιος Π. Κανέλλος

Την πρώτη του απόφαση με την οποία απαντά σε ερωτήματα σχετικά με την εφαρμογή του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ - GDPR) εξέδωσε το Δικαστήριο της Ευρωπαϊκής Ένωσης.

Το Δικαστήριο έχει εκδώσει μία σειρά αποφάσεων μετά την εφαρμογή του ΓΚΠΔ (25/5/2018), οι οποίες ερμήνευαν ζητήματα υπό το φως της οδηγίας 95/46 που ίσχυε προηγουμένως, αλλά μπορούσαν να παρέχουν αναλογική προσέγγιση ζητημάτων και με βάση τον ΓΚΠΔ.

Ωστόσο, η νέα αυτή απόφαση αποτελεί την πρώτη στην οποία το Δικαστήριο απαντάει σε προδικαστικό ερώτημα τόσο βάσει της οδηγίας 95/46 όσο και βάσει του ΓΚΠΔ (Κανονισμός 2016/679).

Όπως επισημαίνει το Δικαστήριο, η προσέγγιση αυτή ήταν απαραίτητη προκειμένου να  δοθεί απάντηση στο ερώτημα,  καθώς όλοι οι μετέχοντες στη διαδικασία, πλην της Ευρωπαϊκής Επιτροπής, αλλά και το δικαστήριο που υπέβαλε το ερώτημα, στηρίχθηκαν στον Κανονισμό.

Η Επιτροπή υποστήριξε ότι, δεδομένου ότι τα πραγματικά περιστατικά της κύριας δίκης έλαβαν χώρα τον Απρίλιο του 2017, για την επίλυση της διαφοράς εφαρμοστέα είναι η οδηγία 95/46.

Εντούτοις, το Δικαστήριο έκρινε ότι δεν αποκλείεται ο ΓΚΠΔ να τυγχάνει εφαρμογής ratione temporis για την επίλυση της διαφοράς, δεδομένου ότι από την επ’ ακροατηρίου συζήτηση δεν κατέστη δυνατό να διευκρινιστεί το σημείο αυτό.

Περίληψη της υπόθεσης και της απόφασης

Η υπόθεση αφορά σε ένδικη διαφορά ανάμεσα στο κεντρικό τελωνείο της Κολωνίας και την Deutsche Post.

Συγκεκριμένα, έπειτα από την τροποποίηση των ατομικών όρων αδειοδοτήσεως στον τελωνειακό τομέα, το κεντρικό τελωνείο ζήτησε τον Απρίλιο 2017 από την Deutsche Post να απαντήσει σε ένα ερωτηματολόγιο αυτοαξιολογήσεως, στο οποίο όφειλε να προσδιορίσει με ακρίβεια τα μέλη των συμβουλευτικών επιτροπών και των εποπτικών συμβουλίων, τα κύρια διευθυντικά στελέχη (διευθύνοντες συμβούλους, προϊσταμένους τμημάτων, προϊσταμένους λογιστηρίων, προϊσταμένους του τμήματος τελωνειακών υποθέσεων, κ.λπ.) και τους υπευθύνους της διοικήσεως για τελωνειακά θέματα ή τα πρόσωπα που χειρίζονται τελωνειακές υποθέσεις, διαβιβάζοντας, μεταξύ άλλων, τους αριθμούς φορολογικού μητρώου καθενός εξ αυτών και τα στοιχεία των αρμοδίων για τα πρόσωπα αυτά φορολογικών υπηρεσιών.

Το τελωνείο επισήμανε στην Deutsche Post ότι, σε περίπτωση που δεν παρείχε την απαιτούμενη συνεργασία, δεν θα μπορούσε να διαπιστωθεί κατά πόσον πληρούσε τις προβλεπόμενες στον τελωνειακό κώδικα προϋποθέσεις λήψεως άδειας και ότι, στην περίπτωση αυτή ή αν οι εν λόγω προϋποθέσεις δεν πληρούνταν πλέον, θα ανακαλούσε τις άδειες που κατείχε.

Η Deutsche Post αρνήθηκε ότι έχει την υποχρέωση να διαβιβάσει στο κεντρικό τελωνείο τους αριθμούς φορολογικού μητρώου των οικείων προσώπων και τα στοιχεία των αρμοδίων για τα πρόσωπα αυτά φορολογικών υπηρεσιών.

Μεταξύ άλλων, η Deutshce Post υποστήριξε ότι ο κύκλος των προσώπων στην επιχείρησή της τα οποία αφορούν τα ερωτήματα του κεντρικού τελωνείου είναι πολύ μεγάλος, ότι ορισμένα από τα πρόσωπα αυτά δεν είναι διατεθειμένα να συναινέσουν στη διαβίβαση των δεδομένων προσωπικού χαρακτήρα που τα αφορούν και ότι ο κύκλος των προσώπων αυτών είναι ευρύτερος από τον κύκλο των προσώπων που μνημονεύονται στο σχετικό άρθρο του Εκτελεστικού Κανονισμού 2015/2447.

Τελικώς, το προδικαστικό ερώτημα που απηύθυνε το δικαστήριο φορολογικών διαφορών του Ντίσελντορφ, το οποίο επιλήφθηκε της διαφοράς αφορά στο εάν η τελωνειακή αρχή επιτρέπεται, βάσει σχετικής διάταξης, να ζητήσει από την Deutsche Post να κοινοποιήσει, όσον αφορά τα εν λόγω πρόσωπα, αφενός, τους αριθμούς φορολογικού μητρώου που έχει χορηγήσει για τους σκοπούς της εισπράξεως του φόρου εισοδήματος η γερμανική κεντρική ομοσπονδιακή φορολογική υπηρεσία και, αφετέρου, τα στοιχεία των αρμόδιων για την εκκαθάριση του φόρου εισοδήματος φορολογικών υπηρεσιών;

Το Δικαστήριο, αφού υπογράμμισε ότι ο αριθμός φορολογικού μητρώου αποτελεί, εκ της φύσεώς του, δεδομένο προσωπικού χαρακτήρα, εξέτασε αν πληρούνται αφενός, οι αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων και ειδικότερα ο περιορισμός του σκοπού και η ελαχιστοποίηση των δεδομένων (άρθρο 5, παράγραφος 1, στοιχεία βʹ και γʹ ΓΚΠΔ) και, αφετέρου, οι βασικές αρχές της νόμιμης επεξεργασίας δεδομένων, ειδικότερα αν η επίμαχη επεξεργασία είναι απαραίτητη για την τήρηση εκ του νόμου υποχρέωσης του υπευθύνου της επεξεργασίας (άρθρο 6, παράγραφος 1, στοιχείο γ’ ΓΚΠΔ).

Μεταξύ άλλων, το Δικαστήριο διαπίστωσε ότι τα δεδομένα που συλλέγονται, υποβάλλονται σε επεξεργασία για καθορισμένους, σαφείς και νόμιμους σκοπούς, ενώ περιορίζονται στο αναγκαίο μέτρο για την επίτευξη του σκοπού που αναφέρεται στο συγκεκριμένο άρθρο.

Με βάση τα στοιχεία της υπόθεσης, το Δικαστήριο απάντησε καταφατικά στο υποβληθέν ερώτημα αποκλειστικώς και μόνον όσον αφορά τα δεδομένα των φυσικών προσώπων που διοικούν ή ελέγχουν τη διοίκησή της Deutsche Post και αυτά που είναι υπεύθυνα για τα τελωνειακά θέματα, υπό την προϋπόθεση όμως ότι τα δεδομένα αυτά παρέχουν στις τελωνειακές αρχές τη δυνατότητα να αντλήσουν πληροφορίες σχετικά με σοβαρές ή επανειλημμένες παραβάσεις της τελωνειακής νομοθεσίας ή των φορολογικών διατάξεων ή σχετικά με σοβαρά ποινικά αδικήματα που έχουν διαπραχθεί από τα εν λόγω φυσικά πρόσωπα και συνδέονται με την οικονομική τους δραστηριότητα.

Ιστορικό της υπόθεσης

Η Deutsche Post είχε την ιδιότητα του εγκεκριμένου παραλήπτη του εγκεκριμένου αποστολέα και άδεια χρήσεως συνολικής εγγυήσεως οι οποίες συνιστούν απλουστεύσεις στο πλαίσιο του τελωνειακού καθεστώτος της Ένωσης.

Δεδομένου ότι ο τελωνειακός κώδικας τροποποίησε τους ατομικούς όρους αδειοδοτήσεως στον τελωνειακό τομέα, το κεντρικό τελωνείο, ζήτησε τον Απρίλιο 2017 από την Deutsche Post να απαντήσει σε ένα ερωτηματολόγιο αυτοαξιολογήσεως, στο οποίο όφειλε να προσδιορίσει με ακρίβεια τα μέλη των συμβουλευτικών επιτροπών και των εποπτικών συμβουλίων, τα κύρια διευθυντικά στελέχη (διευθύνοντες συμβούλους, προϊσταμένους τμημάτων, προϊσταμένους λογιστηρίων, προϊσταμένους του τμήματος τελωνειακών υποθέσεων, κ.λπ.) και τους υπευθύνους της διοικήσεως για τελωνειακά θέματα ή τα πρόσωπα που χειρίζονται τελωνειακές υποθέσεις, διαβιβάζοντας, μεταξύ άλλων, τους αριθμούς φορολογικού μητρώου εκάστου εξ αυτών των φυσικών προσώπων και τα στοιχεία των αρμοδίων για τα πρόσωπα αυτά φορολογικών υπηρεσιών.

Το κεντρικό τελωνείο επισήμανε στην Deutsche Post ότι, σε περίπτωση που δεν παρείχε την απαιτούμενη συνεργασία, δεν θα μπορούσε να διαπιστωθεί κατά πόσον πληρούσε τις προβλεπόμενες στον τελωνειακό κώδικα προϋποθέσεις λήψεως άδειας και ότι, στην περίπτωση αυτή ή αν οι εν λόγω προϋποθέσεις δεν πληρούνταν πλέον, θα ανακαλούσε τις άδειες που κατείχε.

Με το ένδικο βοήθημα που άσκησε ενώπιον του Finanzgericht Düsseldorf (δικαστήριο φορολογικών διαφορών Ντίσελντορφ, Γερμανία), η Deutsche Post αρνείται ότι έχει την υποχρέωση να διαβιβάσει στο κεντρικό τελωνείο τους αριθμούς φορολογικού μητρώου των οικείων προσώπων και τα στοιχεία των αρμοδίων για τα πρόσωπα αυτά φορολογικών υπηρεσιών.

Επιλαμβανόμενο της διαφοράς, το Finanzgericht Düsseldorf, αφενός, διερωτάται αν η διαβίβαση τέτοιων δεδομένων αποτελεί νόμιμη επεξεργασία υπό το πρίσμα του εκτελεστικού κανονισμού  (ΕΕ) 2015/2447 (εκτελεστικός κανονισμός για τη θέσπιση λεπτομερών κανόνων εφαρμογής ορισμένων διατάξεων του κανονισμού (ΕΕ) 952/2013 για τη θέσπιση του ενωσιακού τελωνειακού κώδικα). Αφετέρου, αμφιβάλλει ως προς την ανάγκη προσφυγής στα δεδομένα προσωπικού χαρακτήρα των εργαζομένων και των μελών του εποπτικού συμβουλίου της Deutsche Post, τα οποία έχουν συλλεγεί για τους σκοπούς της εισπράξεως του φόρου εισοδήματος με παρακράτηση από τον μισθό.

Υπό τις συνθήκες αυτές, το Finanzgericht Düsseldorf αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να ερωτήσει, κατ’ ουσίαν, το Δικαστήριο εάν οι τελωνειακές αρχές μπορούν να απαιτήσουν από τον αιτούμενο την ιδιότητα του «εγκεκριμένου οικονομικού φορέα» να κοινοποιήσει τους χορηγηθέντες για τους σκοπούς της εισπράξεως του φόρου εισοδήματος αριθμούς φορολογικού μητρώου των μελών του εποπτικού του συμβουλίου και των μισθωτών του που ασκούν τα καθήκοντα διευθυνόντων συμβούλων, προϊσταμένων τμημάτων, προϊσταμένων λογιστηρίου, προϊσταμένων του τμήματος τελωνειακών υποθέσεων καθώς και των υπεύθυνων για τις τελωνειακές υποθέσεις και των αρμόδιων για τον χειρισμό των υποθέσεων αυτών μελών του προσωπικού, καθώς και τα στοιχεία των αρμόδιων για το σύνολο των προσώπων αυτών φορολογικών υπηρεσιών.

Απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης

Με την απόφασή του αυτή, το Δικαστήριο εξετάζει, καταρχάς, αν για την επίλυση της διαφοράς στην υπόθεση εν προκειμένω τυγχάνει εφαρμογής η καταργηθείσα πλέον οδηγία 95/46/ΕΚ, δεδομένου ότι τα πραγματικά περιστατικά της κύριας δίκης έλαβαν χώρα τον Απρίλιο του 2017, ή ο κανονισμός (ΕΕ) 2016/679 - Γενικός Κανονισμός Προστασίας Δεδομένων (ΓΚΠΔ) ο οποίος αντικατέστησε την οδηγία από τις 25 Μαΐου 2018.

Το Δικαστήριο παρατηρεί, λαμβανομένου υπόψη του αναγνωριστικού χαρακτήρα του ενδίκου βοηθήματος ενώπιον του εθνικού δικαστηρίου (Feststellungsklage), ότι δεν αποκλείεται ο ΓΚΠΔ να τυγχάνει εφαρμογής ratione temporis για την επίλυση της διαφοράς της κύριας δίκης, δεδομένου ότι από την επ’ ακροατηρίου συζήτηση δεν κατέστη δυνατό να διευκρινιστεί το σημείο αυτό.

Εξ αυτών, το Δικαστήριο αποφαίνεται ότι απάντηση στο υποβληθέν ερώτημα πρέπει να δοθεί τόσο βάσει της οδηγίας 95/46/ΕΚ όσο και βάσει του Γενικού Κανονισμού Προστασίας Προσωπικών Δεδομένων.

Όσον αφορά την ουσία της υπόθεσης, το Δικαστήριο, αρχικά, προβαίνοντας σε γραμματική ερμηνεία της διατάξεως του άρθρου 24, παράγραφος 1, δεύτερο εδάφιο, του εκτελεστικού κανονισμού 2015/2447, καταλήγει ότι από τον εξαντλητικό κατάλογο των προσώπων που ορίζονται στην εν λόγω διάταξη προκύπτει ότι σε αυτόν δεν εμπίπτουν τα μέλη συμβουλευτικών επιτροπών και εποπτικών συμβουλίων νομικού προσώπου, οι προϊστάμενοι τμημάτων, εκτός εκείνων που είναι υπεύθυνοι για τα τελωνειακά θέματα του αιτούντος, οι διευθυντές λογιστηρίων και τα πρόσωπα που ασχολούνται με τη διεκπεραίωση των τελωνειακών ζητημάτων.

Επιπλέον, σύμφωνα με το Δικαστήριο, δεδομένου ότι πλείονα φυσικά πρόσωπα συνδιοικούν ή ελέγχουν από κοινού τη διοίκηση μίας επιχείρησης και ότι πλείονα άλλα φυσικά πρόσωπα είναι υπεύθυνα για τα τελωνειακά θέματά της, ιδίως σε εδαφική βάση, τα φυσικά πρόσωπα που αναφέρονται στην προαναφερθείσα διάταξη του εκτελεστικού κανονισμού 2015/2447 είναι όλα αυτά που, στο πλαίσιο της οργανώσεως του αιτούντος, διοικούν τον αιτούντα ή ελέγχουν τη διοίκησή του καθώς και αυτά που είναι υπεύθυνα για τα τελωνειακά θέματά του.

Στη συνέχεια, ως προς το αίτημα των γερμανικών τελωνειακών αρχών για κοινοποίηση των αριθμών φορολογικού μητρώου συγκεκριμένων φυσικών προσώπων και τα στοιχεία των αρμόδιων για τα πρόσωπα αυτά φορολογικών υπηρεσιών, το Δικαστήριο υπενθυμίζει την πάγια νομολογία του κατά την οποία τα φορολογικά δεδομένα συνιστούν «δεδομένα προσωπικού χαρακτήρα» κατά την έννοια της οδηγίας 95/46/ΕΚ.

Πρόσθετα, το Δικαστήριο υπογραμμίζει ότι ο αριθμός φορολογικού μητρώου αποτελεί, εκ της φύσεώς του, φορολογικό δεδομένο που αφορά φυσικό πρόσωπο η ταυτότητα του οποίου είναι γνωστή ή μπορεί να εξακριβωθεί και, κατά συνέπεια, δεδομένο προσωπικού χαρακτήρα. Ακόμα, λόγω του συσχετισμού του αριθμού φορολογικού μητρώου ενός επακριβώς προσδιοριζόμενου προσώπου με την πληροφορία σχετικά με την αρμόδια για το πρόσωπο αυτό φορολογική υπηρεσία, στον οποίο προβαίνουν οι τελωνειακές αρχές, η πληροφορία αυτή πρέπει επίσης να θεωρηθεί δεδομένο προσωπικού χαρακτήρα.

Το Δικαστήριο συνεχίζει εξετάζοντας αν πληρούνται στην υπόθεση εν προκειμένω αφενός, οι αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, ειδικότερα ο περιορισμός του σκοπού και η ελαχιστοποίηση των δεδομένων (άρθρο 6, παράγραφος 1, στοιχεία βʹ και γʹ, της οδηγίας 95/46/ΕΚ ή άρθρο 5, παράγραφος 1, στοιχεία βʹ και γʹ ΓΚΠΔ) και, αφετέρου, οι βασικές αρχές της νόμιμης επεξεργασίας δεδομένων, ειδικότερα αν η επίμαχη επεξεργασία είναι απαραίτητη για την τήρηση εκ του νόμου υποχρεώσεως του υπευθύνου της επεξεργασίας (άρθρο 7, στοιχείο γʹ, της οδηγίας 95/46/ΕΚ ή άρθρο 6, παράγραφος 1, στοιχείο γ’ ΓΚΠΔ).

Από τη μελέτη των στοιχείων της υπόθεσης, το Δικαστήριο διαπιστώνει ότι τα δεδομένα που συλλέγονται, υποβάλλονται σε επεξεργασία για καθορισμένους, σαφείς και νόμιμους σκοπούς.

Ακόμα, κατά το Δικαστήριο, η συλλογή των αριθμών φορολογικού μητρώου των φυσικών πρόσωπων και μόνον που μνημονεύονται στην επίμαχη διάταξη του εκτελεστικού κανονισμού 2015/2447 καθώς και των στοιχείων των αρμόδιων για τα πρόσωπα αυτά φορολογικών υπηρεσιών αποτελεί κατάλληλο και συναφές μέτρο προκειμένου να παρασχεθεί η δυνατότητα στις τελωνειακές αρχές να εξακριβώσουν εάν έχει διαπραχθεί από αυτά κάποια από τις παραβάσεις που αναφέρονται στο εν λόγω άρθρο.

Τέλος, το Δικαστήριο συμπεραίνει ότι τα δεδομένα που συλλέγονται εν προκειμένω περιορίζονται στο αναγκαίο μέτρο για την επίτευξη του σκοπού που αναφέρεται στο συγκεκριμένο άρθρο καθόσον πρόκειται για περιορισμένα δεδομένα, τα οποία, αυτά καθαυτά, δεν αποκαλύπτουν στις τελωνειακές αρχές ευαίσθητες πληροφορίες σχετικά με την προσωπική κατάσταση, όπως είναι η οικογενειακή κατάσταση ή το θρήσκευμα ή τα εισοδήματα των φυσικών προσώπων που τα δεδομένα αυτά αφορούν.

Εκ των ανωτέρω, το Δικαστήριο απαντά καταφατικά στο υποβληθέν ερώτημα αποκλειστικώς και μόνον όσον αφορά τα δεδομένα των φυσικών προσώπων που διοικούν τον αιτούντα ή ελέγχουν τη διοίκησή του και αυτά που είναι υπεύθυνα για τα τελωνειακά θέματα του αιτούντος, υπό την προϋπόθεση όμως ότι τα δεδομένα αυτά παρέχουν στις τελωνειακές αρχές τη δυνατότητα να αντλήσουν πληροφορίες σχετικά με σοβαρές ή επανειλημμένες παραβάσεις της τελωνειακής νομοθεσίας ή των φορολογικών διατάξεων ή σχετικά με σοβαρά ποινικά αδικήματα που έχουν διαπραχθεί από τα εν λόγω φυσικά πρόσωπα και συνδέονται με την οικονομική τους δραστηριότητα.

Το πλήρες κείμενο της αποφάσεως είναι διαθέσιμο στην ιστοσελίδα CURIA