Ειδήσεις Ελλάδα
ΔΙΚΑΣΤΗΡΙΟ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΕΝΩΣΗΣ
ΑΝΑΚΟΙΝΩΘΕΝ ΤΥΠΟΥ αριθ. 71/23
Λουξεμβούργο, 4 Μαΐου 2023
Απόφαση του Δικαστηρίου στην υπόθεση C-487/21 | Osterreichische Datenschutzbehorde και CRIF
ΓΚΠΔ: το δικαίωμα λήψης «αντιγράφου» των δεδομένων προσωπικού χαρακτήρα συνεπάγεται ότι στο υποκείμενο των δεδομένων παρέχεται πιστή και εύληπτη αναπαραγωγή όλων αυτών των δεδομένων
Το δικαίωμα αυτό συνεπάγεται δικαίωμα λήψης αντιγράφων αποσπασμάτων εγγράφων, ή ακόμη και ολόκληρων εγγράφων, ή αποσπασμάτων από βάσεις δεδομένων που περιέχουν τα εν λόγω δεδομένα, εάν τούτο είναι απαραίτητο για να μπορέσει ο ενδιαφερόμενος να ασκήσει αποτελεσματικά τα δικαιώματα που του παρέχει ο ΓΚΠΔ
Η CRIF είναι επιχείρηση παροχής πληροφοριών πιστοληπτικής ικανότητας, η οποία παρέχει στους πελάτες της, κατόπιν αιτήματός τους, πληροφορίες σχετικά με την πιστοληπτική ικανότητα τρίτων. Προς τούτο, η CRIF προέβη στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του προσφεύγοντος της κύριας δίκης. Ο τελευταίος ζήτησε από την CRIF, βάσει του γενικού κανονισμού για την προστασία των δεδομένων1, να αποκτήσει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν. Επιπλέον, ζήτησε την παροχή, «σε συνήθη τεχνικό μορφότυπο», αντιγράφου των εγγράφων, δηλαδή των ηλεκτρονικών μηνυμάτων και των αποσπασμάτων από βάσεις δεδομένων τα οποία περιείχαν, μεταξύ άλλων, τα δεδομένα του.
Απαντώντας στο αίτημα αυτό, η CRIF διαβίβασε στον προσφεύγοντα της κύριας δίκης, υπό συνοπτική μορφή, τον κατάλογο των δεδομένων προσωπικού χαρακτήρα που είχαν υποβληθεί σε επεξεργασία. Εκτιμώντας ότι η CRIF όφειλε να του διαβιβάσει αντίγραφο του συνόλου των εγγράφων τα οποία περιείχαν τα δεδομένα του, όπως τα μηνύματα ηλεκτρονικού ταχυδρομείου και τα αποσπάσματα από τις βάσεις δεδομένων, ο προσφεύγων της κύριας δίκης υπέβαλε διοικητική ένσταση ενώπιον της Osterreichische Datenschutzbehorde (αυστριακής αρχής προστασίας δεδομένων). Η ως άνω αρχή απέρριψε την ένσταση, κρίνοντας ότι η CRIF δεν είχε προσβάλει το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα του προσφεύγοντος της κύριας δίκης.
Το Bundesverwaltungsgericht (Ομοσπονδιακό Διοικητικό Δικαστήριο, Αυστρία), επιληφθέν της προσφυγής που άσκησε ο προσφεύγων της κύριας δίκης κατά της απορριπτικής απόφασης της αρχής αυτής, διερωτάται ως προς το περιεχόμενο της υποχρέωσης του άρθρου 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ περί παροχής στο υποκείμενο των δεδομένων «αντιγράφου» των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Το αιτούν δικαστήριο διερωτάται, ειδικότερα, αν η υποχρέωση αυτή εκπληρώνεται όταν ο υπεύθυνος επεξεργασίας διαβιβάζει τα δεδομένα προσωπικού χαρακτήρα υπό τη μορφή συνοπτικού πίνακα ή αν η υποχρέωση αυτή συνεπάγεται επίσης τη διαβίβαση αποσπασμάτων των εγγράφων ή ακόμη και ολόκληρων εγγράφων, καθώς και αποσπασμάτων από βάσεις δεδομένων στις οποίες αναπαράγονται τα δεδομένα αυτά. Το αιτούν δικαστήριο ζητεί, εξάλλου, διευκρινίσεις ως προς το τι ακριβώς καλύπτει η έννοια της «ενημέρωσης» κατά το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ2.
Με την απόφασή του, το Δικαστήριο παρέχει διευκρινίσεις ως προς το περιεχόμενο και την έκταση του δικαιώματος πρόσβασης του υποκειμένου των δεδομένων στα δεδομένα του προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Συναφώς, το Δικαστήριο εκτιμά ότι το δικαίωμα, δυνάμει του άρθρου 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ, του υποκειμένου των δεδομένων να λάβει από τον υπεύθυνο επεξεργασίας αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία συνεπάγεται ότι στο υποκείμενο των δεδομένων πρέπει να παρέχεται πιστή και εύληπτη αναπαραγωγή του συνόλου των δεδομένων. Το δικαίωμα αυτό προϋποθέτει το δικαίωμα λήψης αντιγράφων αποσπασμάτων εγγράφων, ή ακόμη και ολόκληρων εγγράφων, ή αποσπασμάτων από βάσεις δεδομένων που περιέχουν, μεταξύ άλλων, τα εν λόγω δεδομένα, αν η παροχή ενός τέτοιου αντιγράφου είναι απαραίτητη για να μπορέσει ο ενδιαφερόμενος να ασκήσει αποτελεσματικά τα δικαιώματα που του παρέχει ο ΓΚΠΔ, με την επισήμανση ότι πρέπει να λαμβάνονται συναφώς υπόψη τα δικαιώματα και οι ελευθερίες των τρίτων. Εξάλλου, το Δικαστήριο διευκρινίζει ότι η έννοια της «ενημέρωσης» κατά το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ αφορά αποκλειστικά τα δεδομένα προσωπικού χαρακτήρα για τα οποία οφείλει να παρέχει αντίγραφο ο υπεύθυνος επεξεργασίας κατ’ εφαρμογήν της πρώτης περιόδου της παραγράφου αυτής.
Εκτίμηση του Δικαστηρίου
Καταρχάς, το Δικαστήριο προβαίνει σε γραμματική, συστηματική και τελολογική ερμηνεία του άρθρου 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ, το οποίο προβλέπει το δικαίωμα του υποκειμένου των δεδομένων να λάβει αντίγραφο των δεδομένων του προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία.
Όσον αφορά το γράμμα του άρθρου 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ, το Δικαστήριο επισημαίνει ότι, μολονότι η διάταξη αυτή δεν περιέχει ορισμό της έννοιας του «αντιγράφου», εντούτοις πρέπει να ληφθεί υπόψη η συνήθης σημασία της λέξης αυτής, η οποία σημαίνει την αναπαραγωγή ή την πιστή μεταγραφή ενός πρωτοτύπου, όπερ συνεπάγεται ότι μια αμιγώς γενική περιγραφή των δεδομένων που υποβάλλονται σε επεξεργασία ή η παραπομπή σε κατηγορίες δεδομένων προσωπικού χαρακτήρα δεν αντιστοιχεί στον ορισμό του αντιγράφου. Επιπλέον, από το γράμμα της διάταξης αυτής προκύπτει ότι η υποχρέωση γνωστοποίησης συνδέεται με τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται στην επίμαχη επεξεργασία. Κατόπιν της γραμματικής ανάλυσης της εν λόγω διάταξης, το Δικαστήριο κρίνει ότι η συγκεκριμένη διάταξη αναγνωρίζει στο υποκείμενο των δεδομένων το δικαίωμα να λάβει πιστή αναπαραγωγή των δεδομένων του προσωπικού χαρακτήρα, ερμηνευόμενων ευρέως, τα οποία υποβάλλονται σε πράξεις που μπορούν να χαρακτηριστούν ως επεξεργασία εκ μέρους του υπευθύνου επεξεργασίας.
Όσον αφορά το πλαίσιο στο οποίο εντάσσεται το άρθρο 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ, το Δικαστήριο επισημαίνει ότι το άρθρο 15 του ΓΚΠΔ ορίζει, στην παράγραφο 1, το αντικείμενο και το πεδίο εφαρμογής του δικαιώματος πρόσβασης που αναγνωρίζεται στο υποκείμενο των δεδομένων. Το άρθρο 15, παράγραφος 3, διευκρινίζει τις πρακτικές λεπτομέρειες για την εκπλήρωση της υποχρέωσης που υπέχει ο υπεύθυνος επεξεργασίας, αποσαφηνίζοντας, μεταξύ άλλων, στην πρώτη περίοδο, τη μορφή με την οποία ο υπεύθυνος επεξεργασίας πρέπει να παρέχει τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, δηλαδή με τη μορφή «αντιγράφου». Ως εκ τούτου, το άρθρο 15 του ΓΚΠΔ δεν μπορεί να ερμηνευθεί υπό την έννοια ότι θεσπίζει, στην παράγραφο 3, πρώτη περίοδο, δικαίωμα διαφορετικό από εκείνο που προβλέπεται στην παράγραφο 1. Εξάλλου, το Δικαστήριο διευκρινίζει ότι ο όρος «αντίγραφο» δεν αναφέρεται στο έγγραφο αυτό καθεαυτό, αλλά στα δεδομένα προσωπικού χαρακτήρα που περιέχονται στο έγγραφο και τα οποία πρέπει να είναι πλήρη. Ως εκ τούτου, το αντίγραφο πρέπει να περιέχει όλα τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία.
Όσον αφορά τους σκοπούς που επιδιώκονται με το άρθρο 15 του ΓΚΠΔ, το Δικαστήριο επισημαίνει ότι το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο αυτό πρέπει να παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να βεβαιώνεται ότι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν είναι ακριβή και ότι η επεξεργασία τους γίνεται με νόμιμο τρόπο.
Περαιτέρω, κατά το Δικαστήριο, από τον ΓΚΠΔ3 προκύπτει ότι ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε κρίσιμη πληροφορία, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, και ότι οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς, εκτός εάν το υποκείμενο των δεδομένων ζητήσει να παρασχεθούν προφορικά. Ως εκ τούτου, το αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, το οποίο οφείλει να παράσχει ο υπεύθυνος επεξεργασίας, πρέπει να έχει όλα τα χαρακτηριστικά που επιτρέπουν στο υποκείμενο των δεδομένων να ασκήσει αποτελεσματικά τα δικαιώματά του βάσει του ΓΚΠΔ και πρέπει, κατά συνέπεια, να αναπαράγει πλήρως και πιστά τα δεδομένα αυτά.
Επομένως, προκειμένου να διασφαλιστεί ότι οι κατ’ αυτόν τον τρόπο παρεχόμενες πληροφορίες είναι ευχερώς κατανοητές, η αναπαραγωγή αποσπασμάτων εγγράφων ή ακόμη και ολόκληρων εγγράφων ή αποσπασμάτων από βάσεις δεδομένων που περιέχουν, μεταξύ άλλων, τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία μπορεί να αποδειχθεί απαραίτητη. Ειδικότερα, όταν δεδομένα προσωπικού χαρακτήρα παράγονται από άλλα δεδομένα ή όταν τα δεδομένα αυτά προέρχονται από ελεύθερα πεδία, δηλαδή από την έλλειψη ενδείξεων που αποκαλύπτουν πληροφορίες σχετικά με το υποκείμενο των δεδομένων, το πλαίσιο εντός του οποίου τα δεδομένα υποβάλλονται σε επεξεργασία αποτελεί απαραίτητο στοιχείο προκειμένου το υποκείμενο των δεδομένων να έχει διαφανή πρόσβαση στα δεδομένα και να λαμβάνει εύληπτη παρουσίασή τους.
Σε περίπτωση σύγκρουσης μεταξύ, αφενός, της άσκησης του δικαιώματος πλήρους πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και, αφετέρου, των δικαιωμάτων ή των ελευθεριών άλλων, το Δικαστήριο εκτιμά ότι πρέπει να γίνει στάθμιση των επίμαχων δικαιωμάτων και ελευθεριών. Οσάκις είναι δυνατόν, πρέπει να επιλέγονται τρόποι κοινοποίησης των δεδομένων προσωπικού χαρακτήρα οι οποίοι δεν προσβάλλουν τα δικαιώματα ή τις ελευθερίες άλλων, λαμβανομένης μέριμνας περί του ότι τέτοιοι παράγοντες δεν πρέπει να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων.
Στη συνέχεια, το Δικαστήριο εξετάζει το ζήτημα του περιεχομένου της έννοιας της «ενημέρωσης» κατά το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ. Μολονότι η διάταξη αυτή δεν διευκρινίζει την έννοια του όρου «ενημέρωση», από το πλαίσιο στο οποίο εντάσσεται προκύπτει ότι η «ενημέρωση» αντιστοιχεί κατ’ ανάγκην στα δεδομένα προσωπικού χαρακτήρα για τα οποία πρέπει να παρέχει αντίγραφο ο υπεύθυνος επεξεργασίας σύμφωνα με την πρώτη περίοδο της παραγράφου αυτής.
1Άρθρο 15 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).2Δυνάμει του άρθρου 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ, εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.3Και ειδικότερα από τις αιτιολογικές σκέψεις 58 και 60 και από το άρθρο 12 παράγραφος 1, του κανονισμού αυτού.
