Μπορούν οι εποπτικές αρχές να μην επιβάλλουν πρόστιμο σε περιπτώσεις παραβίασης προσωπικών δεδομένων; (απόφαση ΔΕΕ)

Επιμέλεια: Γεώργιος Π. Κανέλλος 

Με τη δημοσιευθείσα στις 26.09.2024 απόφασή του, το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ) αποφάνθηκε ότι η εποπτική αρχή δεν υποχρεούται να ασκεί διορθωτική εξουσία σε όλες τις περιπτώσεις παραβίασης προσωπικών δεδομένων και, ιδίως, να επιβάλλει πρόστιμο.

Σύμφωνα με το ΔΕΕ, μπορεί να μην το πράξει όταν ο υπεύθυνος επεξεργασίας έχει ήδη λάβει τα αναγκαία μέτρα με δική του πρωτοβουλία.

Ιστορικό της υπόθεσης

Στη Γερμανία, ένα ταμιευτήριο διαπίστωσε ότι ένας από τους υπαλλήλους του είχε συμβουλευτεί τα προσωπικά δεδομένα ενός πελάτη πολλές φορές χωρίς να έχει την εξουσιοδότηση να το πράξει. Το ταμιευτήριο δεν ενημέρωσε σχετικά τον πελάτη, καθώς ο υπεύθυνος προστασίας δεδομένων του είχε την άποψη ότι δεν υπήρχε υψηλός κίνδυνος για τον ίδιο. Η υπάλληλος είχε επιβεβαιώσει εγγράφως ότι δεν είχε αντιγράψει ούτε διατηρήσει τα δεδομένα, ότι δεν τα είχε διαβιβάσει σε τρίτους και ότι δεν θα το έκανε στο μέλλον. Επιπλέον, το ταμιευτήριο είχε λάβει πειθαρχικά μέτρα εναντίον της. Ωστόσο, το ταμιευτήριο κοινοποίησε την παραβίαση αυτή στον Επίτροπο Προστασίας Δεδομένων του κρατιδίου της Έσσης. 

Αφού έλαβε τυχαία γνώση της παραβίασης αυτής, ο πελάτης υπέβαλε καταγγελία στον εν λόγω Επίτροπο Προστασίας Δεδομένων. Αφού άκουσε το ταμιευτήριο, ο Επίτροπος Προστασίας Δεδομένων ενημέρωσε την πελάτισσα ότι δεν έκρινε αναγκαίο να ασκήσει διορθωτικές ενέργειες έναντι του ταμιευτηρίου. 

Ο πελάτης προσέφυγε στη συνέχεια ενώπιον γερμανικού δικαστηρίου, ζητώντας του να διατάξει τον Επίτροπο Προστασίας Δεδομένων να λάβει μέτρα κατά του ταμιευτηρίου και, ιδίως, να του επιβάλει πρόστιμο. 

Το γερμανικό δικαστήριο ζήτησε από το Δικαστήριο να ερμηνεύσει εν προκειμένω τον Γενικό Κανονισμό για την Προστασία Δεδομένων (ΓΚΠΔ). 

Απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης

Με την απόφασή του αυτή, το Δικαστήριο απάντησε ότι, όταν διαπιστώνεται παραβίαση δεδομένων προσωπικού χαρακτήρα, η εποπτική αρχή (εν προκειμένω ο Επίτροπος Προστασίας Δεδομένων του κρατιδίου της Έσσης) δεν υποχρεούται να ασκήσει διορθωτική εξουσία [η εποπτική αρχή μπορεί, μεταξύ άλλων, να απευθύνει επιπλήξεις στον υπεύθυνο επεξεργασίας, να τον διατάξει να συμμορφωθεί με τα αιτήματα του υποκειμένου των δεδομένων και να συμμορφώσει τις πράξεις επεξεργασίας με τον ΓΚΠΔ ή, επιπλέον ή αντί των μέτρων αυτών, να του επιβάλει διοικητικό πρόστιμο.], ιδίως την εξουσία επιβολής διοικητικού προστίμου, όταν αυτό δεν είναι αναγκαίο για την αποκατάσταση της διαπιστωθείσας ανεπάρκειας και τη διασφάλιση της πλήρους εφαρμογής του ΓΚΠΔ. Αυτό θα μπορούσε να συμβεί, μεταξύ άλλων, όταν, μόλις ο υπεύθυνος επεξεργασίας έλαβε γνώση της παραβίασης, έλαβε τα αναγκαία μέτρα για να διασφαλίσει ότι η εν λόγω παραβίαση τερματίστηκε και δεν επαναλήφθηκε. 

Ο ΓΚΠΔ αφήνει στην εποπτική αρχή διακριτική ευχέρεια ως προς τον τρόπο με τον οποίο πρέπει να αποκαταστήσει τη διαπιστωθείσα ανεπάρκεια. Η διακριτική αυτή ευχέρεια περιορίζεται από την ανάγκη να διασφαλιστεί ένα συνεπές και υψηλό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα μέσω της αυστηρής εφαρμογής του ΓΚΠΔ. 

Εναπόκειται στο γερμανικό δικαστήριο να εξακριβώσει αν ο Επίτροπος Προστασίας Δεδομένων τήρησε τα όρια αυτά.

Γίνεται υπόμνηση ότι η διαδικασία εκδόσεως προδικαστικής αποφάσεως παρέχει στα δικαστήρια των κρατών μελών τη δυνατότητα να υποβάλουν στο Δικαστήριο, στο πλαίσιο της ένδικης διαφοράς της οποίας έχουν επιληφθεί, ερώτημα σχετικό με την ερμηνεία του δικαίου της Ένωσης ή με το κύρος πράξεως οργάνου της Ένωσης. Το Δικαστήριο δεν αποφαίνεται επί της διαφοράς που εκκρεμεί ενώπιον του εθνικού δικαστηρίου. Στο εθνικό δικαστήριο εναπόκειται να επιλύσει τη διαφορά αυτή, λαμβάνοντας υπόψη την απόφαση του Δικαστηρίου. Η απόφαση αυτή δεσμεύει, ομοίως, άλλα εθνικά δικαστήρια ενώπιον των οποίων ανακύπτει παρόμοιο ζήτημα.

Το πλήρες κείμενο της απόφασης είναι διαθέσιμο στην ιστοσελίδα CURIA