C-169/23 Másdi

ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τρίτο τμήμα)

της 28ης Νοεμβρίου 2024 ( *1 )

«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ελεύθερη κυκλοφορία των δεδομένων αυτών – Κανονισμός (ΕΕ) 2016/679 – Δεδομένα που υποβάλλονται σε επεξεργασία στο πλαίσιο της έκδοσης πιστοποιητικού COVID‑19 – Δεδομένα τα οποία δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων – Πληροφορίες που πρέπει να παρέχονται – Εξαίρεση από την υποχρέωση παροχής πληροφοριών – Άρθρο 14, παράγραφος 5, στοιχείο γʹ – Δεδομένα που παράγει ο ίδιος ο υπεύθυνος επεξεργασίας στο πλαίσιο της διαδικασίας που διενεργεί – Δικαίωμα καταγγελίας – Αρμοδιότητα της εποπτικής αρχής – Άρθρο 77, παράγραφος 1 – Κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων τα οποία προβλέπονται από το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας – Μέτρα για την ασφάλεια της επεξεργασίας των δεδομένων – Άρθρο 32»

Στην υπόθεση C‑169/23 [Másdi] ( i ),

με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Kúria (Ανώτατο Δικαστήριο, Ουγγαρία) με απόφαση της 8ης Φεβρουαρίου 2023, η οποία περιήλθε στο Δικαστήριο στις 17 Μαρτίου 2023, στο πλαίσιο της δίκης

Nemzeti Adatvédelmi és Információszabadság Hatóság

κατά

UC,

ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τρίτο τμήμα),

συγκείμενο από τους K. Jürimäe, πρόεδρο του δεύτερου τμήματος, προεδρεύουσα του τρίτου τμήματος, K. Lenaerts, Πρόεδρο του Δικαστηρίου, ασκούντα καθήκοντα δικαστή του τρίτου τμήματος, N. Jääskinen, M. Gavalec (εισηγητή) και N. Piçarra, δικαστές,

γενική εισαγγελέας: L. Medina

γραμματέας: A. Calot Escobar

έχοντας υπόψη την έγγραφη διαδικασία,

λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:

–	η Nemzeti Adatvédelmi és Információszabadság Hatóság, εκπροσωπούμενη από τον G. J. Dudás, ügyvéd,

–	ο UC, εκπροσωπούμενος από τους D. Karsai και V. Łuszcz, ügyvédek,

–	η Ουγγρική Κυβέρνηση, εκπροσωπούμενη από την Zs. Biró-Tóth και τον M. Z. Fehér,

–	η Τσεχική Κυβέρνηση, εκπροσωπούμενη από την L. Březinová, τον M. Smolek και τον J. Vláčil,

–	η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Μπουχάγιαρ, C. Kovács και H. Kranenborg,

αφού άκουσε τη γενική εισαγγελέα, που ανέπτυξε τις προτάσεις της κατά τη συνεδρίαση της 6ης Ιουνίου 2024,

εκδίδει την ακόλουθη

Απόφαση

Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 14, παράγραφοι 1 και 5, στοιχείο γʹ, του άρθρου 32 και του άρθρου 77, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).

Η υπό κρίση αίτηση υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Nemzeti Adatvédelmi és Információszabadság Hatóság (εθνικής αρχής για την προστασία των δεδομένων και την ελευθερία της πληροφόρησης, Ουγγαρία, στο εξής: εθνική αρχή) και του UC με αντικείμενο την ύπαρξη υποχρέωσης παροχής πληροφοριών σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται στο Budapest Főváros Kormányhivatala (κυβερνητικό γραφείο Βουδαπέστης-Πρωτευούσης, Ουγγαρία, στο εξής: εκδούσα αρχή), το οποίο είναι αρμόδιο για την έκδοση των πιστοποιητικών ανοσίας των προσώπων που έχουν εμβολιαστεί κατά της COVID‑19 ή έχουν νοσήσει.

Το νομικό πλαίσιο

Το δίκαιο της Ένωσης

Ο ΓΚΠΔ

Οι αιτιολογικές σκέψεις 1, 10 και 61 έως 63 του ΓΚΠΔ έχουν ως εξής:

«(1)

Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα. Το άρθρο 8 παράγραφος 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης […] και το άρθρο 16 παράγραφος 1 της [ΣΛΕΕ] ορίζουν ότι κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.

[…]

(10)

Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της [Ευρωπαϊκής] Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. Όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα που γίνεται προς συμμόρφωση με νομική υποχρέωση, προς εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, τα κράτη μέλη θα πρέπει να έχουν τη δυνατότητα να διατηρούν ή να θεσπίζουν εθνικές διατάξεις για τον περαιτέρω προσδιορισμό της εφαρμογής των κανόνων του παρόντος κανονισμού. […]

[…]

(61)

Οι πληροφορίες σε σχέση με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που σχετίζονται με το υποκείμενο των δεδομένων θα πρέπει να του παρέχονται κατά τη συλλογή από το υποκείμενο των δεδομένων ή, εάν τα δεδομένα προσωπικού χαρακτήρα λαμβάνονται από άλλη πηγή, εντός εύλογης προθεσμίας, ανάλογα με τις συνθήκες κάθε περίπτωσης. Εάν τα δεδομένα προσωπικού χαρακτήρα επιτρέπεται να κοινολογηθούν σε άλλον αποδέκτη, το υποκείμενο των δεδομένων θα πρέπει να ενημερώνεται, όταν τα δεδομένα προσωπικού χαρακτήρα κοινολογούνται για πρώτη φορά στον αποδέκτη. Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί τα δεδομένα προσωπικού χαρακτήρα για σκοπό άλλο από εκείνον για τον οποίο συλλέχθηκαν, ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες αναγκαίες πληροφορίες. Όταν η προέλευση των δεδομένων προσωπικού χαρακτήρα δεν μπορεί να γνωστοποιηθεί στο υποκείμενο των δεδομένων διότι έχουν χρησιμοποιηθεί διάφορες πηγές, θα πρέπει να παρέχονται γενικές πληροφορίες.

(62)

Ωστόσο, δεν είναι αναγκαίο να επιβάλλεται η υποχρέωση παροχής πληροφοριών, εάν το υποκείμενο των δεδομένων διαθέτει ήδη τις πληροφορίες, εάν η καταχώριση ή η κοινολόγηση των δεδομένων προσωπικού χαρακτήρα προβλέπεται ρητώς από τον νόμο ή εάν η παροχή πληροφοριών στο υποκείμενο των δεδομένων αποδεικνύεται ανέφικτη ή θα απαιτούσε δυσανάλογη προσπάθεια. […]

(63)

Ένα υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας. […]»

4	Το άρθρο 1 του κανονισμού, το οποίο φέρει τον τίτλο «Αντικείμενο και στόχοι», ορίζει στην παράγραφο 2 τα εξής: «Ο παρών κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα.»

Το άρθρο 4 του κανονισμού, το οποίο φέρει τον τίτλο «Ορισμοί», προβλέπει τα εξής:

«Για τους σκοπούς του παρόντος κανονισμού, ισχύουν οι ακόλουθοι ορισμοί:

1)	“δεδομένα προσωπικού χαρακτήρα” κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· […]

“επεξεργασία” κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,

[…]

7)	“υπεύθυνος επεξεργασίας” το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· […]

[…]».

Το άρθρο 6 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», προβλέπει στην παράγραφο 1 τα εξής:

«Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:

[…]

γ)	η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,

[…]

ε)	η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,

[…]».

Το άρθρο 9 του κανονισμού, το οποίο φέρει τον τίτλο «Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα», ορίζει στις παραγράφους 1 και 2 τα εξής:

«1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.

2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:

[…]

θ)

η επεξεργασία είναι απαραίτητη για λόγους δημόσιου συμφέροντος στον τομέα της δημόσιας υγείας, όπως η προστασία έναντι σοβαρών διασυνοριακών απειλών κατά της υγείας ή η διασφάλιση υψηλών προτύπων ποιότητας και ασφάλειας της υγειονομικής περίθαλψης και των φαρμάκων ή των ιατροτεχνολογικών προϊόντων, βάσει του δικαίου της Ένωσης ή του δικαίου κράτους μέλους, το οποίο προβλέπει κατάλληλα και συγκεκριμένα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων, ειδικότερα δε του επαγγελματικού απορρήτου, ή

[…]».

8	Το κεφάλαιο III του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαιώματα του υποκειμένου των δεδομένων», περιλαμβάνει πολλά τμήματα, μεταξύ των οποίων και το τμήμα 2, το οποίο φέρει τον τίτλο «Ενημέρωση και πρόσβαση σε δεδομένα προσωπικού χαρακτήρα».

Το τμήμα 2 του ΓΚΠΔ περιλαμβάνει το άρθρο 13, το οποίο αφορά τις «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων», το άρθρο 14, το οποίο αφορά τις «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων», και το άρθρο 15, το οποίο αφορά το «Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων».

Το άρθρο 14 του κανονισμού προβλέπει τα εξής:

«1. Όταν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις ακόλουθες πληροφορίες:

α)	την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας,

β)	κατά περίπτωση, τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων,

γ)	τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία,

δ)	τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα,

ε)	τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, ενδεχομένως,

στ)	κατά περίπτωση, ότι ο υπεύθυνος επεξεργασίας προτίθεται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε αποδέκτη σε τρίτη χώρα ή διεθνή οργανισμό […]

2. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις εξής πληροφορίες που είναι αναγκαίες για τη διασφάλιση θεμιτής και διαφανούς επεξεργασίας όσον αφορά το υποκείμενο των δεδομένων:

α)	το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω χρονικό διάστημα,

β)	εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο,

γ)

την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορά το υποκείμενο των δεδομένων και δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων,

δ)	όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της,

ε)	το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή,

στ)	την πηγή από την οποία προέρχονται τα δεδομένα προσωπικού χαρακτήρα και, ανάλογα με την περίπτωση, εάν τα δεδομένα προήλθαν από πηγές στις οποίες έχει πρόσβαση το κοινό,

ζ)	την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, […]

[…]

4. Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί περαιτέρω τα δεδομένα προσωπικού χαρακτήρα για σκοπό άλλο από εκείνον για τον οποίο τα δεδομένα προσωπικού χαρακτήρα συλλέχθηκαν, ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2.

5. Οι παράγραφοι 1 έως 4 δεν εφαρμόζονται εάν και εφόσον:

α)	το υποκείμενο των δεδομένων διαθέτει ήδη τις πληροφορίες,

β)

η παροχή τέτοιων πληροφοριών αποδεικνύεται αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια, ιδίως όσον αφορά επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς, υπό τους όρους και τις εγγυήσεις που αναφέρονται στο άρθρο 89 παράγραφος 1 ή εφόσον η υποχρέωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου είναι πιθανόν να καταστήσει αδύνατη ή να βλάψει σε μεγάλο βαθμό την επίτευξη των σκοπών της εν λόγω επεξεργασίας. Στις περιπτώσεις αυτές, ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, μεταξύ άλλων καθιστώντας τις πληροφορίες διαθέσιμες στο κοινό,

γ)	η απόκτηση ή η κοινολόγηση προβλέπεται ρητώς από το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο παρέχει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων ή

δ)	εάν τα δεδομένα προσωπικού χαρακτήρα πρέπει να παραμείνουν εμπιστευτικά δυνάμει υποχρέωσης επαγγελματικού απορρήτου που ρυθμίζεται από το δίκαιο της Ένωσης ή κράτους μέλους, συμπεριλαμβανομένης της εκ του νόμου υποχρέωσης τήρησης απορρήτου.»

Το άρθρο 32 του κανονισμού, το οποίο φέρει τον τίτλο «Ασφάλεια επεξεργασίας», ορίζει τα εξής:

«1. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων, περιλαμβανομένων, μεταξύ άλλων, κατά περίπτωση:

α)	της ψευδωνυμοποίησης και της κρυπτογράφησης δεδομένων προσωπικού χαρακτήρα,

β)	της δυνατότητας διασφάλισης του απορρήτου, της ακεραιότητας, της διαθεσιμότητας και της αξιοπιστίας των συστημάτων και των υπηρεσιών επεξεργασίας σε συνεχή βάση,

γ)	της δυνατότητας αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα σε εύθετο χρόνο σε περίπτωση φυσικού ή τεχνικού συμβάντος,

δ)	διαδικασίας για την τακτική δοκιμή, εκτίμηση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και των οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας.

2. Κατά την εκτίμηση του ενδεδειγμένου επιπέδου ασφάλειας λαμβάνονται ιδίως υπόψη οι κίνδυνοι που απορρέουν από την επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή προσπέλαση δεδομένων προσωπικού χαρακτήρα που διαβιβάστηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία.

3. Η τήρηση εγκεκριμένου κώδικα δεοντολογίας όπως αναφέρεται στο άρθρο 40 ή εγκεκριμένου μηχανισμού πιστοποίησης όπως αναφέρεται στο άρθρο 42 δύναται να χρησιμοποιηθεί ως στοιχείο για την απόδειξη της συμμόρφωσης με τις απαιτήσεις της παραγράφου 1 του παρόντος άρθρου.

4. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία λαμβάνουν μέτρα ώστε να διασφαλίζεται ότι κάθε φυσικό πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα τα επεξεργάζεται μόνο κατ’ εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους.»

12	Το άρθρο 55 του κανονισμού, το οποίο φέρει τον τίτλο «Αρμοδιότητα», ορίζει στην παράγραφο 1 τα εξής: «Κάθε εποπτική αρχή είναι αρμόδια να εκτελεί τα καθήκοντα και να ασκεί τις εξουσίες που της ανατίθενται σύμφωνα με τον παρόντα κανονισμό στο έδαφος του κράτους μέλους της.»

Το άρθρο 57 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Καθήκοντα», ορίζει στην παράγραφο 1 τα εξής:

«Με την επιφύλαξη των άλλων καθηκόντων που ορίζονται στον παρόντα κανονισμό, κάθε εποπτική αρχή στο έδαφός της:

α)	παρακολουθεί και επιβάλλει την εφαρμογή του παρόντος κανονισμού,

[…]

γ)	συμβουλεύει, σύμφωνα με το δίκαιο του κράτους μέλους, το εθνικό κοινοβούλιο, την κυβέρνηση και άλλα όργανα και οργανισμούς για νομοθετικά και διοικητικά μέτρα που σχετίζονται με την προστασία των δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας,

[…]».

Το άρθρο 58 του κανονισμού, το οποίο φέρει τον τίτλο «Εξουσίες», προβλέπει στην παράγραφο 3 τα εξής:

«Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες αδειοδοτικές και συμβουλευτικές εξουσίες:

[…]

β)

να εκδίδει, με δική της πρωτοβουλία ή κατόπιν αιτήματος, γνώμες προς το εθνικό κοινοβούλιο, την κυβέρνηση του κράτους μέλους ή, σύμφωνα με το δίκαιο του κράτους μέλους, προς άλλα όργανα και οργανισμούς, καθώς και προς το κοινό, για κάθε θέμα το οποίο σχετίζεται με την προστασία των δεδομένων προσωπικού χαρακτήρα,

[…]».

Το άρθρο 77 του κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή», ορίζει στην παράγραφο 1 τα εξής:

«Με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, ιδίως στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον παρόντα κανονισμό.»

Το άρθρο 78 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα πραγματικής δικαστικής προσφυγής κατά αρχής ελέγχου», προβλέπει τα εξής:

«1. Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.

2. Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε υποκείμενο των δεδομένων έχει δικαίωμα πραγματικής δικαστικής προσφυγής, εφόσον η εποπτική αρχή που είναι αρμόδια δυνάμει των άρθρων 55 και 56 δεν εξετάσει την καταγγελία ή δεν ενημερώσει το υποκείμενο των δεδομένων εντός τριών μηνών για την πρόοδο ή την έκβαση της καταγγελίας που υποβλήθηκε δυνάμει του άρθρου 77.

3. Οι διαδικασίες κατά εποπτικής αρχής κινούνται ενώπιον των δικαστηρίων του κράτους μέλους στο οποίο είναι εγκατεστημένη η εποπτική αρχή.

4. Όταν κινούνται διαδικασίες κατά απόφασης εποπτικής αρχής, της οποίας προηγήθηκε γνώμη ή απόφαση του Συμβουλίου Προστασίας Δεδομένων στο πλαίσιο του μηχανισμού συνεκτικότητας, η εποπτική αρχή διαβιβάζει στο δικαστήριο τη συγκεκριμένη γνώμη ή απόφαση.»

Ο κανονισμός (ΕΕ) 2021/953

Το άρθρο 10 του κανονισμού (ΕΕ) 2021/953 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Ιουνίου 2021, σχετικά με πλαίσιο για την έκδοση, την επαλήθευση και την αποδοχή διαλειτουργικών πιστοποιητικών εμβολιασμού κατά της COVID‑19, διαγνωστικού της ελέγχου και ανάρρωσης από αυτή (Ψηφιακό Πιστοποιητικό COVID της ΕΕ) με σκοπό να διευκολυνθεί η ελεύθερη κυκλοφορία κατά τη διάρκεια της πανδημίας της COVID‑19 (ΕΕ 2021, L 211, σ. 1), το οποίο φέρει τον τίτλο «Προστασία δεδομένων προσωπικού χαρακτήρα», προβλέπει στην παράγραφο 1 τα εξής:

«Η επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της εφαρμογής του παρόντος κανονισμού υπόκειται στις διατάξεις του [ΓΚΠΔ]».

Το ουγγρικό δίκαιο

Κατά το άρθρο 2, παράγραφος 1, του a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet [κυβερνητικού διατάγματος 60/2021 (II.12.) σχετικά με το πιστοποιητικό ανοσίας κατά του κορονοϊού], της 12ης Φεβρουαρίου 2021, όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της κύριας δίκης (στο εξής: διάταγμα: 60/2021):

«Το πιστοποιητικό ανοσίας περιέχει:

a)	το ονοματεπώνυμο του υποκειμένου των δεδομένων,

b)	τον αριθμό διαβατηρίου του υποκειμένου των δεδομένων, εφόσον διαθέτει διαβατήριο,

c)	τον αριθμό του μόνιμου δελτίου ταυτότητας του υποκειμένου των δεδομένων, εφόσον διαθέτει τέτοιο δελτίο,

d)	τον αύξοντα αριθμό του πιστοποιητικού ανοσίας,

e)	εάν προσκομίζεται αποδεικτικό εμβολιασμού, την ημερομηνία εμβολιασμού,

f)	εάν προσκομίζεται πιστοποιητικό νόσησης, τη διάρκεια ισχύος του,

g)	έναν κωδικό αποθήκευσης των δεδομένων, αναγνώσιμο με τη χρήση ηλεκτρονικών συσκευών, ο οποίος δημιουργείται βάσει των δεδομένων που αναφέρονται στα στοιχεία a έως f,

τις ακόλουθες ενδείξεις υπό μορφή προειδοποιήσεων κειμένου:

ha)	“Για να ισχύει, η κάρτα πρέπει να επιδεικνύεται μαζί με το δελτίο ταυτότητας ή το διαβατήριο”,

hb)	“Δεν μεταβιβάζεται”,

hc)	“Πληροφορίες σχετικά με τα δικαιώματα που απορρέουν από το πιστοποιητικό έχουν αναρτηθεί στην ιστοσελίδα koronavirus.gov.hu”.»

19	Κατά το άρθρο 2, παράγραφοι 6 και 7, του διατάγματος 60/2021, το πιστοποιητικό ανοσίας χορηγείται από την εκδούσα αρχή, είτε αυτεπαγγέλτως είτε κατόπιν αιτήσεως, σε κάθε πρόσωπο που το δικαιούται.

Το άρθρο 3, παράγραφος 3, του ως άνω διατάγματος ορίζει τα εξής:

«Στις περιπτώσεις που διαλαμβάνονται στο άρθρο 2, παράγραφος 6, στοιχεία c και d, η εκδούσα αρχή συλλέγει με αυτόματη διαβίβαση πληροφοριών, εν ανάγκη μέσω των υπηρεσιών του μητρώου ηλεκτρονικής καταχώρισης των στοιχείων ταυτοποίησης:

από τον φορέα διαχείρισης της EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (πλατφόρμας ηλεκτρονικών υπηρεσιών υγείας)]: τον αριθμό κοινωνικής ασφάλισης του υποκειμένου των δεδομένων, τα δεδομένα που αναφέρονται στο άρθρο 2, παράγραφος 1, στοιχεία e και g, καθώς και τα δεδομένα που αναφέρονται στην παράγραφο 1,

b)	από τον αρμόδιο φορέα για την καταχώριση δεδομένων προσωπικού χαρακτήρα και διευθύνσεων: το ονοματεπώνυμο, τα αναγνωριστικά στοιχεία του διαβατηρίου και του μόνιμου δελτίου ταυτότητας και τη διεύθυνση του υποκειμένου των δεδομένων.»

Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα

21	Η εκδούσα αρχή εξέδωσε για τον UC, φυσικό πρόσωπο, πιστοποιητικό ανοσίας το οποίο βεβαίωνε τον εμβολιασμό του κατά της COVID‑19, κατ’ εφαρμογήν του διατάγματος 60/2021.

Στις 30 Απριλίου 2021 ο UC κίνησε διοικητική διαδικασία σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα που τον αφορούν, υποβάλλοντας ενώπιον της εθνικής αρχής καταγγελία βάσει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ με αίτημα να υποχρεωθεί η εκδούσα αρχή να μεριμνήσει ώστε οι πράξεις επεξεργασίας που πραγματοποιεί να είναι σύμφωνες με τις διατάξεις του ΓΚΠΔ. Στην καταγγελία του, μεταξύ άλλων, προσάπτει στην εκδούσα αρχή τη μη σύνταξη και δημοσίευση δήλωσης σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα που αφορούν την έκδοση των πιστοποιητικών ανοσίας και την απουσία πληροφοριών σχετικά με τον σκοπό και τη νομική βάση της επεξεργασίας των εν λόγω δεδομένων και σχετικά με τα δικαιώματα του υποκειμένου των δεδομένων και τον τρόπο άσκησής τους.

Στο πλαίσιο της κινηθείσας βάσει της ως άνω καταγγελίας διαδικασίας, η εκδούσα αρχή δήλωσε ότι εκτελούσε τα σχετικά με την έκδοση του πιστοποιητικού ανοσίας καθήκοντά της βάσει του άρθρου 2 του διατάγματος 60/2021, καθώς η επεξεργασία των δεδομένων προσωπικού χαρακτήρα είχε ως νομική βάση το άρθρο 6, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ και το άρθρο 9, παράγραφος 2, στοιχείο θʹ, του εν λόγω κανονισμού όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα που εμπίπτουν σε ειδικές κατηγορίες.

Επιπλέον, η εκδούσα αρχή επισήμανε ότι αποκτούσε τα δεδομένα προσωπικού χαρακτήρα τα οποία επεξεργαζόταν από άλλον φορέα, σύμφωνα με τις διατάξεις του διατάγματος 60/2021. Επί τη βάσει αυτή, ισχυρίστηκε ότι δεν ήταν υποχρεωμένη, δυνάμει του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, να παρέχει πληροφορίες σχετικά με την επεξεργασία των εν λόγω δεδομένων. Ωστόσο, συνέταξε και δημοσίευσε στον ιστότοπό της τη ζητηθείσα δήλωση προστασίας δεδομένων προσωπικού χαρακτήρα.

25	Με απόφαση της 15ης Νοεμβρίου 2021 η εθνική αρχή απέρριψε το αίτημα του UC και έκρινε ότι η εκδούσα αρχή δεν είχε υποχρέωση παροχής πληροφοριών, λόγω του ότι η σχετική επεξεργασία δεδομένων προσωπικού χαρακτήρα ενέπιπτε στην εξαίρεση του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ.

Ειδικότερα, η εθνική αρχή έκρινε ότι το διάταγμα 60/2021, αφενός, αποτελούσε τη νομική βάση για την επεξεργασία και, αφετέρου, επέβαλλε ρητώς στην εκδούσα αρχή την υποχρέωση συλλογής των υπό κρίση δεδομένων. Κατά την εθνική αρχή, η εκ μέρους της εκδούσας αρχής δημοσίευση στον δικτυακό της τόπο των σχετικών με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα πληροφοριών συνιστούσε καλή πρακτική και όχι εκπλήρωση νομικής υποχρέωσης.

Πέραν τούτου, η εθνική αρχή εξέτασε αυτεπαγγέλτως το ζήτημα της ύπαρξης κατάλληλων μέτρων για την προστασία των εννόμων συμφερόντων του υποκειμένου των δεδομένων, κατά την έννοια του άρθρου 14, παράγραφος 5, στοιχείο γʹ, δεύτερο σκέλος πρότασης, του ΓΚΠΔ, και εκτίμησε ότι ως τέτοια έπρεπε να θεωρηθούν οι διατάξεις των άρθρων 2, 3 και 5 έως 7 του διατάγματος 60/2021.

28	Ο UC προσέφυγε κατά της ανωτέρω απόφασης ενώπιον του Fővárosi Törvényszék (πρωτοδικείο Βουδαπέστης, Ουγγαρία), το οποίο ακύρωσε την εν λόγω απόφαση και διέταξε την εθνική αρχή να κινήσει νέα διαδικασία.

Στην απόφασή του, το πρωτοδικείο Βουδαπέστης έκρινε ότι δεν μπορούσε να εφαρμοστεί η προβλεπόμενη στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ εξαίρεση, διότι ο υπεύθυνος επεξεργασίας δεν είχε αποκτήσει από άλλον φορέα ορισμένα παραγόμενα στο πλαίσιο της έκδοσης των πιστοποιητικών ανοσίας δεδομένα προσωπικού χαρακτήρα, αλλά τα είχε παραγάγει ο ίδιος στο πλαίσιο της εκτέλεσης των καθηκόντων του. Κατά το ως άνω δικαστήριο, τούτο ίσχυε για τον αύξοντα αριθμό του πιστοποιητικού ανοσίας, για την ημερομηνία λήξης του πιστοποιητικού που εκδόθηκε για πρόσωπο το οποίο είχε νοσήσει, για τον κωδικό QR που είναι ενσωματωμένος στην κάρτα, για τον ραβδοκωδικό και τους λοιπούς αλφαριθμητικούς κωδικούς που υπάρχουν στο αποδεικτικό παράδοσης καθώς και για τα δεδομένα προσωπικού χαρακτήρα που παράγονται κατά τη διενεργούμενη από τον υπεύθυνο επεξεργασίας διαδικασία διαχείρισης φακέλων. Κατά την άποψη του εν λόγω δικαστηρίου, στην προβλεπόμενη στο άρθρο 14, παράγραφο 5, στοιχείο γʹ, του ΓΚΠΔ εξαίρεση ήταν δυνατόν να εμπίπτουν μόνον τα δεδομένα προσωπικού χαρακτήρα που αποκτήθηκαν από άλλον φορέα.

30	Η εθνική αρχή προσέβαλε την ανωτέρω απόφαση ενώπιον του Kúria (Ανωτάτου Δικαστηρίου, Ουγγαρία), ασκώντας έκτακτο ένδικο μέσο.

Υπό τις συνθήκες αυτές, το αιτούν δικαστήριο υποβάλλει κατ’ αρχάς ερώτημα σχετικά με το αν η εξαίρεση που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ μπορεί να εφαρμοστεί σε όλες τις περιπτώσεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα πλην εκείνων που αφορούν δεδομένα προσωπικού χαρακτήρα τα οποία έχουν συλλεγεί από το υποκείμενο των δεδομένων.

Σε περίπτωση καταφατικής απαντήσεως, υποβάλλει ερώτημα σχετικά με το αν, στο πλαίσιο διαδικασίας καταγγελίας βάσει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ, η εποπτική αρχή έχει την αρμοδιότητα να ελέγχει, προκειμένου να αποφανθεί επί της δυνατότητας εφαρμογής της εξαίρεσης, κατά πόσον το εθνικό δίκαιο του υπευθύνου επεξεργασίας προβλέπει κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων.

Τέλος, σε περίπτωση καταφατικής απαντήσεως, το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν ο έλεγχος αυτός καλύπτει και το ζήτημα της καταλληλότητας των μέτρων που υποχρεούται να εφαρμόζει ο υπεύθυνος επεξεργασίας βάσει του άρθρου 32 του ΓΚΠΔ για την εγγύηση της ασφάλειας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

Υπό τις συνθήκες αυτές, το Kúria (Ανώτατο Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:

«1)

Έχει το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ –υπό το πρίσμα του άρθρου 14, παράγραφος 1, και της αιτιολογικής σκέψης 62 του ίδιου κανονισμού–, την έννοια ότι η εξαίρεση που προβλέπεται από την πρώτη αυτή διάταξη δεν εφαρμόζεται στα δεδομένα που παράγονται από τον υπεύθυνο επεξεργασίας στο πλαίσιο της δικής του διαδικασίας, αλλά μόνον στα δεδομένα τα οποία ο υπεύθυνος επεξεργασίας έχει συλλέξει συγκεκριμένα από άλλο πρόσωπο;

Σε περίπτωση που το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ εφαρμόζεται και στα δεδομένα που παράγονται στο πλαίσιο της διαδικασίας που διεξάγει ο ίδιος ο υπεύθυνος επεξεργασίας, έχει το άρθρο 77, παράγραφος 1, του ΓΚΠΔ, το οποίο διέπει το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, την έννοια ότι το φυσικό πρόσωπο που προβάλλει παράβαση της υποχρέωσης παροχής πληροφοριών δύναται με την καταγγελία αυτή να ζητήσει να εξεταστεί αν το δίκαιο του κράτους μέλους παρέχει κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων, συμφώνως προς το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ;

Σε περίπτωση καταφατικής απαντήσεως στο δεύτερο προδικαστικό ερώτημα, έχει το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ την έννοια ότι τα “κατάλληλα μέτρα” που προβλέπονται στη διάταξη αυτή προϋποθέτουν τη μεταφορά από τον εθνικό νομοθέτη στο εσωτερικό δίκαιο (με κανόνα δικαίου) των μέτρων για την ασφάλεια των δεδομένων που προβλέπονται στο άρθρο 32 του ΓΚΠΔ;»

Στις 16 Ιανουαρίου 2024 το Δικαστήριο ζήτησε από τους διαδίκους και από τους κατά το άρθρο 23 του Οργανισμού του Δικαστηρίου της Ευρωπαϊκής Ένωσης ενδιαφερομένους να απαντήσουν γραπτώς σε ορισμένες ερωτήσεις, κατ’ εφαρμογήν του άρθρου 61 του Κανονισμού Διαδικασίας του Δικαστηρίου. Η αναιρεσείουσα και ο αναιρεσίβλητος της κύριας δίκης, η Ουγγρική Κυβέρνηση, η Τσεχική Κυβέρνηση και η Ευρωπαϊκή Επιτροπή απάντησαν στις ερωτήσεις αυτές.

Επί των προδικαστικών ερωτημάτων

Επί του πρώτου προδικαστικού ερωτήματος

Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι η προβλεπόμενη στην εν λόγω διάταξη εξαίρεση από την υποχρέωση παροχής πληροφοριών στο υποκείμενο των δεδομένων εκ μέρους του υπευθύνου επεξεργασίας αφορά αποκλειστικά και μόνον τα δεδομένα προσωπικού χαρακτήρα που ο υπεύθυνος επεξεργασίας συνέλεξε από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων ή αν η εξαίρεση αυτή καλύπτει και τα δεδομένα προσωπικού χαρακτήρα που παρήγαγε ο ίδιος ο υπεύθυνος επεξεργασίας στο πλαίσιο της άσκησης των καθηκόντων του.

Το άρθρο 14, παράγραφοι 1, 2 και 4, του ΓΚΠΔ καθορίζει τις πληροφορίες τις οποίες υποχρεούται να παρέχει ο υπεύθυνος επεξεργασίας στο υποκείμενο των δεδομένων, κατά την έννοια του άρθρου 4, σημείο 1, του εν λόγω κανονισμού, στην περίπτωση που τα δεδομένα προσωπικού χαρακτήρα δεν συλλέχθηκαν από το εν λόγω πρόσωπο.

Το άρθρο 14, παράγραφος 5, του ΓΚΠΔ προβλέπει εξαιρέσεις από την ως άνω υποχρέωση. Μεταξύ αυτών, το στοιχείο γʹ της εν λόγω παραγράφου 5 προβλέπει ότι η εν λόγω υποχρέωση δεν ισχύει εάν και εφόσον η απόκτηση ή η κοινολόγηση των πληροφοριών προβλέπεται ρητώς από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο παρέχει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων.

Προκειμένου να εξεταστεί αν η εξαίρεση αυτή καλύπτει τα δεδομένα προσωπικού χαρακτήρα που παράγει ο ίδιος ο υπεύθυνος επεξεργασίας, στο πλαίσιο εκτέλεσης των καθηκόντων του, χρησιμοποιώντας δεδομένα που συλλέγονται από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων, πρέπει, κατά πάγια νομολογία, να λαμβάνεται υπόψη όχι μόνον το γράμμα της διάταξης που την προβλέπει, αλλά και το πλαίσιο στο οποίο εντάσσεται η διάταξη αυτή και οι σκοποί που επιδιώκονται με τη ρύθμιση της οποίας αποτελεί μέρος (πρβλ. απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, σκέψη 32 και εκεί μνημονευόμενη νομολογία).

40	Πρώτον, πρέπει να προσδιοριστεί, λαμβανομένου υπόψη του γράμματος του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, το αντικείμενο «[της] απόκτηση[ς] ή [της] κοινολόγηση[ς]» στην οποία αναφέρεται η εν λόγω διάταξη.

Παρατηρείται πράγματι, κατά πρώτον, κάποια απόκλιση μεταξύ των διαφόρων γλωσσικών αποδόσεων της ως άνω διάταξης. Η απόδοσή της στη γαλλική γλώσσα αναφέρεται στην απόκτηση ή κοινολόγηση «πληροφοριών», ενώ, κατ’ αρχάς, οι γλωσσικές αποδόσεις στην ουγγρική («adat»), την εσθονική («isikuandmed»), την κροατική («podataka»), τη λιθουανική («duomenų»), την ολλανδική («gegevens»), την πορτογαλική («dados»), τη ρουμανική («datelor») και τη σουηδική («uppgifter») γλώσσα αναφέρονται στην απόκτηση ή την κοινολόγηση «δεδομένων», η γλωσσική απόδοση στη φινλανδική γλώσσα περιέχει, εν συνεχεία, έναν όρο («tietojen») ο οποίος μπορεί να αφορά ταυτόχρονα τόσο τα «δεδομένα» όσο και τις «πληροφορίες» και, τέλος, η γλωσσικές αποδόσεις στη βουλγαρική, την ισπανική, την τσεχική, τη δανική, τη γερμανική, την ελληνική, την αγγλική, την ελληνική, τη λεττονική, τη μαλτέζικη, την πολωνική, τη σλοβακική, και τη σλοβενική γλώσσα δεν αναφέρουν το αντικείμενο της απόκτησης ή της κοινολόγησης.

Κατά πάγια επίσης νομολογία, η διατύπωση που χρησιμοποιείται σε μία από τις γλωσσικές αποδόσεις διατάξεως του δικαίου της Ένωσης δεν μπορεί να αποτελεί τη μοναδική βάση για την ερμηνεία της διάταξης αυτής, ούτε μπορεί να της δίδεται προτεραιότητα σε σχέση με τις άλλες γλωσσικές αποδόσεις. Οι διατάξεις του δικαίου της Ένωσης πρέπει, πράγματι, να ερμηνεύονται και να εφαρμόζονται κατά τρόπο ομοιόμορφο, λαμβανομένων υπόψη των αποδόσεών τους σε όλες τις γλώσσες της Ένωσης. Σε περίπτωση αποκλίσεως μεταξύ των διαφόρων γλωσσικών αποδόσεων νομοθετήματος της Ένωσης, η επίμαχη διάταξη πρέπει να ερμηνεύεται με γνώμονα την εν γένει οικονομία και τον σκοπό της ρυθμίσεως της οποίας αποτελεί στοιχείο (απόφαση της 21ης Μαρτίου 2024, Cobult,C‑76/23, EU:C:2024:253, σκέψη 25 και εκεί μνημονευόμενη νομολογία).

Όσον αφορά τη γενική οικονομία του ΓΚΠΔ, το άρθρο 14, παράγραφος 5, πρέπει να ερμηνευθεί υπό το πρίσμα των αιτιολογικών σκέψεων 61 και 62 του εν λόγω κανονισμού, οι οποίες αναφέρονται, αφενός, στα «δεδομένα προσωπικού χαρακτήρα […] [που] λαμβάνονται [και τα] δεδομένα προσωπικού χαρακτήρα […] [που] κοινολογούνται» και στην «καταχώριση ή [την] κοινολόγηση των δεδομένων προσωπικού χαρακτήρα […] [που] προβλέπεται ρητώς από τον νόμο» και, αφετέρου, σε «πληροφορίες […] [παρασχεθείσες]» ή που «πρέπει να παρέχονται». Η ερμηνεία σύμφωνα με την οποία η κατά την έννοια του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ «απόκτηση ή η κοινολόγηση» αφορά δεδομένα προσωπικού χαρακτήρα επιβεβαιώνεται εξάλλου από το ευρύ περιεχόμενο που προσδίδεται στην έννοια «επεξεργασία» του άρθρου 4, σημείο 2, του ΓΚΠΔ, η οποία καλύπτει κάθε πράξη που πραγματοποιείται σε δεδομένα προσωπικού χαρακτήρα [πρβλ. απόφαση της 5ης Οκτωβρίου 2023, Ministerstvo zdravotnictví (Εφαρμογή Covid-19 για κινητά τηλέφωνα),C‑659/22, EU:C:2023:745, σκέψη 27 και εκεί μνημονευόμενη νομολογία].

Όσον αφορά τον σκοπό της ρύθμισης στην οποία εντάσσεται το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, αρκεί η παρατήρηση, όπως επισήμανε και η γενική εισαγγελέας στο σημείο 31 των προτάσεών της, ότι η ratio legis της εν λόγω εξαίρεσης έγκειται στο γεγονός ότι η υποχρέωση παροχής πληροφοριών στο υποκείμενο των δεδομένων, την οποία επιβάλλει το άρθρο 14, παράγραφοι 1, 2 και 4, του κανονισμού, δεν δικαιολογείται όταν άλλη διάταξη του δικαίου της Ένωσης ή του δικαίου κράτους μέλους επιβάλλει στον υπεύθυνο επεξεργασίας, κατά τρόπο αρκούντως πλήρη και δεσμευτικό, να παράσχει στο υποκείμενο των δεδομένων πληροφορίες σχετικά με την απόκτηση ή την κοινολόγηση των δεδομένων προσωπικού χαρακτήρα. Πράγματι, σε μια εμπίπτουσα στο πεδίο εφαρμογής του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ περίπτωση, τα υποκείμενα των δεδομένων πρέπει να γνωρίζουν επαρκώς τον τρόπο και τους σκοπούς της απόκτησης ή της κοινολόγησης των δεδομένων.

45	Κατά συνέπεια, πρέπει να γίνει δεκτό ότι, υπό το πρίσμα του γράμματος του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ σε όλες τις γλωσσικές αποδόσεις, η συγκεκριμένη διάταξη πρέπει να ερμηνευθεί ως αναφερόμενη στην απόκτηση ή την κοινολόγηση των δεδομένων προσωπικού χαρακτήρα.

Κατά δεύτερον, διαπιστώνεται ότι το γράμμα του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ δεν περιορίζει τη σχετική εξαίρεση ώστε αυτή να καλύπτει μόνον τα δεδομένα προσωπικού χαρακτήρα που αποκτά ο υπεύθυνος επεξεργασίας από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων, ούτε και αποκλείει από το πεδίο εφαρμογής της τα δεδομένα που παρήγαγε ο ίδιος ο υπεύθυνος της επεξεργασίας, στο πλαίσιο της άσκησης των καθηκόντων του, χρησιμοποιώντας τέτοια δεδομένα.

Επομένως, στα δεδομένα προσωπικού χαρακτήρα τα οποία, κατά την έννοια της εν λόγω διάταξης, αποτέλεσαν αντικείμενο «απόκτησης» από τον υπεύθυνο επεξεργασίας περιλαμβάνονται όλα τα δεδομένα τα οποία ο υπεύθυνος επεξεργασίας συλλέγει από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων και εκείνα τα οποία παρήγαγε ο ίδιος, στο πλαίσιο της άσκησης των καθηκόντων του, χρησιμοποιώντας δεδομένα τα οποία απέκτησε από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων.

Δεύτερον, επισημαίνεται ότι το καθ’ ύλην πεδίο εφαρμογής του άρθρου 14 του ΓΚΠΔ ορίζεται με αρνητική διατύπωση σε σχέση με το άρθρο 13 του κανονισμού. Όπως προκύπτει και από τους ίδιους τους τίτλους των εν λόγω διατάξεων, το άρθρο 13 αφορά τις πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων, ενώ το άρθρο 14 αφορά τις πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων. Λαμβανομένης υπόψη της εν λόγω διχοτόμησης, όλες οι περιπτώσεις κατά τις οποίες τα δεδομένα δεν συλλέγονται από το υποκείμενο των δεδομένων εμπίπτουν στο καθ’ ύλην πεδίο εφαρμογής του άρθρου 14.

Ως εκ τούτου, από τη συνδυασμένη ερμηνεία των άρθρων 13 και 14 του ΓΚΠΔ προκύπτει ότι τόσο τα δεδομένα προσωπικού χαρακτήρα που συνέλεξε ο υπεύθυνος επεξεργασίας από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων όσο και τα δεδομένα τα οποία παρήγαγε ο ίδιος και τα οποία, ως εκ της φύσεώς τους, δεν έχουν ούτε αυτά συλλεγεί από το υποκείμενο των δεδομένων, εμπίπτουν στο πεδίο εφαρμογής του άρθρου 14. Επομένως, η εξαίρεση που θεσπίζει το άρθρο 14, παράγραφος 5, στοιχείο γʹ, καλύπτει τις δύο αυτές κατηγορίες δεδομένων.

Τρίτον, το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ πρέπει να ερμηνευθεί κατά τρόπο σύμφωνο προς τον επιδιωκόμενο από τον εν λόγω κανονισμό σκοπό, ο οποίος, όπως απορρέει από το άρθρο 1, υπό το πρίσμα των αιτιολογικών σκέψεων 1 και 10, συνίσταται, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, και ειδικότερα του δικαιώματός τους στην ιδιωτική ζωή έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο άρθρο 8, παράγραφος 1, του Χάρτη των Θεμελιωδών Δικαιωμάτων και στο άρθρο 16, παράγραφος 1, ΣΛΕΕ (πρβλ. απόφαση της 7ης Μαρτίου 2024, IAB Europe,C‑604/22, EU:C:2024:214, σκέψη 53 και εκεί μνημονευόμενη νομολογία).

Συναφώς, από την αιτιολογική σκέψη 63 του ΓΚΠΔ προκύπτει ότι βούληση του νομοθέτη της Ένωσης ήταν να έχει το υποκείμενο των δεδομένων, κατά την έννοια του εν λόγω κανονισμού, το δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν, προκειμένου να έχει επίγνωση της επεξεργασίας στην οποία υποβάλλονται και να επαληθεύει τη νομιμότητά της.

Συνεπώς, ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση την οποία κανονικά υπέχει έναντι του υποκειμένου των δεδομένων, υπό την προϋπόθεση ότι το υποκείμενο των δεδομένων είναι σε θέση, αφενός, να ασκεί έλεγχο επί των δεδομένων προσωπικού χαρακτήρα που το αφορούν και, αφετέρου, να ασκεί τα δικαιώματα που του απονέμει ο ΓΚΠΔ.

Σύμφωνα με τον επιδιωκόμενο από τον εν λόγω κανονισμό σκοπό, η εξαίρεση από την υποχρέωση παροχής πληροφοριών στο υποκείμενο των δεδομένων, η οποία προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, προϋποθέτει, αφενός, η απόκτηση ή η κοινολόγηση των δεδομένων προσωπικού χαρακτήρα από τον υπεύθυνο επεξεργασίας να προβλέπεται ρητώς από το δίκαιο της Ένωσης ή από το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας. Αφετέρου, το δίκαιο αυτό πρέπει να παρέχει τα κατάλληλα μέτρα για την προστασία των εννόμων συμφερόντων του υποκειμένου των δεδομένων.

Από τα ανωτέρω προκύπτει ότι, προκειμένου η εφαρμογή του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ να συνάδει πλήρως με τον σκοπό που επιδιώκει ο εν λόγω κανονισμός, απαιτείται σχολαστική τήρηση των προβλεπόμενων στην εν λόγω διάταξη προϋποθέσεων, ήτοι απαιτείται, μεταξύ άλλων, να υπάρχει ένα επίπεδο προστασίας του υποκειμένου των δεδομένων το οποίο να είναι τουλάχιστον ισοδύναμο με αυτό που κατοχυρώνεται στο άρθρο 14, παράγραφοι 1 έως 4, του εν λόγω κανονισμού.

Λαμβανομένων υπόψη των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι η προβλεπόμενη στην εν λόγω διάταξη εξαίρεση από την υποχρέωση παροχής πληροφοριών στο υποκείμενο των δεδομένων εκ μέρους του υπευθύνου επεξεργασίας αφορά αδιακρίτως όλα τα δεδομένα προσωπικού χαρακτήρα τα οποία ο υπεύθυνος επεξεργασίας δεν συνέλεξε απευθείας από το υποκείμενο των δεδομένων, είτε πρόκειται για δεδομένα τα οποία απέκτησε από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων είτε πρόκειται για δεδομένα τα οποία παρήγαγε ο ίδιος ο υπεύθυνος επεξεργασίας στο πλαίσιο της άσκησης των καθηκόντων του.

Επί του δευτέρου και του τρίτου προδικαστικού ερωτήματος

Με το δεύτερο και το τρίτο προδικαστικό ερώτημα, τα οποία πρέπει να εξεταστούν από κοινού, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 14, παράγραφος 5, στοιχείο γʹ, και το άρθρο 77, παράγραφος 1, του ΓΚΠΔ έχουν την έννοια ότι, στο πλαίσιο διαδικασίας καταγγελίας, η εποπτική αρχή έχει την αρμοδιότητα να εξακριβώνει αν το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας προβλέπει κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων στο πλαίσιο της εφαρμογής της προβλεπόμενης στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, εξαίρεσης, και, σε καταφατική περίπτωση, αν η εξακρίβωση αυτή καλύπτει και το ζήτημα της καταλληλότητας των μέτρων τα οποία υποχρεούται να εφαρμόζει ο υπεύθυνος επεξεργασίας βάσει του άρθρου 32 του εν λόγω κανονισμού για την εγγύηση της ασφάλειας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.

Πρώτον, υπενθυμίζεται ότι, βάσει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ, με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή αν θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον εν λόγω κανονισμό.

58	Όσον αφορά την αρμοδιότητα των εποπτικών αρχών, το άρθρο 55, παράγραφος 1, του ΓΚΠΔ προβλέπει ότι κάθε εποπτική αρχή είναι αρμόδια, στο έδαφος του κράτους μέλους της, να ασκεί τα καθήκοντα και τις εξουσίες που τις ανατίθενται βάσει του εν λόγω κανονισμού.

59	Όσον αφορά τα ως άνω καθήκοντα, το άρθρο 57, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ ορίζει ότι κάθε εποπτική αρχή παρακολουθεί και επιβάλλει την εφαρμογή του εν λόγω κανονισμού στο έδαφός της.

60	Ο ΓΚΠΔ δεν περιλαμβάνει καμία διάταξη βάσει της οποίας ορισμένες πτυχές της εφαρμογής της προβλεπόμενης στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του εν λόγω κανονισμού εξαίρεσης να εκφεύγουν της αρμοδιότητας των εν λόγω εποπτικών αρχών.

Κατά την ως άνω διάταξη, ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση παροχής των μνημονευόμενων στο άρθρο 14, παράγραφοι 1, 2 και 4, του ΓΚΠΔ πληροφοριών στο υποκείμενο των δεδομένων εάν και εφόσον, αφενός, η απόκτηση ή η κοινολόγηση των δεδομένων προσωπικού χαρακτήρα προβλέπεται ρητώς από το δίκαιο της Ένωσης ή από το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και, αφετέρου, το εν λόγω δίκαιο παρέχει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων.

Ως εκ τούτου, καταγγελία η οποία υποβάλλεται βάσει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ μπορεί να στηρίζεται σε παράβαση της υποχρέωσης παροχής πληροφοριών από τον υπεύθυνο επεξεργασίας η οποία να αφορά τη μη τήρηση των προϋποθέσεων εφαρμογής της εξαίρεσης που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του εν λόγω κανονισμού.

Όσον αφορά την πρώτη προϋπόθεση, η οποία υπενθυμίζεται στη σκέψη 61 της παρούσας απόφασης, η εποπτική αρχή που επιλαμβάνεται τέτοιας καταγγελίας μπορεί να χρειαστεί να εξακριβώσει κατά πόσον το δίκαιο της Ένωσης ή το εθνικό δίκαιο προβλέπει ότι ο υπεύθυνος επεξεργασίας υπέχει υποχρέωση απόκτησης ή κοινολόγησης δεδομένων προσωπικού χαρακτήρα.

Όσον αφορά τη δεύτερη προϋπόθεση, διαπιστώνεται ότι, όπως επισήμανε και η γενική εισαγγελέας στα σημεία 67 και 69 των προτάσεών της, στον ΓΚΠΔ δεν διευκρινίζεται το περιεχόμενο της φράσης «κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων». Πάντως, οι διατάξεις του δικαίου της Ένωσης ή του δικαίου του κράτους μέλους οι οποίες προβλέπουν τέτοια μέτρα και στις οποίες υπόκειται ο υπεύθυνος επεξεργασίας πρέπει να εγγυώνται, όπως επισημαίνεται στη σκέψη 54 της παρούσας απόφασης, ένα επίπεδο προστασίας του υποκειμένου των δεδομένων όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν το οποίο να είναι τουλάχιστον ισοδύναμο με εκείνο που προβλέπεται στο άρθρο 14, παράγραφοι 1 έως 4, του εν λόγω κανονισμού. Επομένως, οι διατάξεις αυτές πρέπει να παρέχουν στο υποκείμενο των δεδομένων τη δυνατότητα, αφενός, να ασκεί έλεγχο επί των δεδομένων προσωπικού χαρακτήρα που το αφορούν και, αφετέρου, να ασκεί τα δικαιώματα που του απονέμει ο ΓΚΠΔ.

65	Συναφώς, μεταξύ άλλων, είναι σημαντικό οι ως άνω διατάξεις να αναφέρουν, κατά τρόπο σαφή και προβλέψιμο, την πηγή από την οποία το υποκείμενο των δεδομένων θα λάβει τις πληροφορίες σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.

Στο πλαίσιο της διαβίβασης δεδομένων προσωπικού χαρακτήρα μεταξύ φορέων κράτους μέλους και της παραγωγής τέτοιων δεδομένων από τον υπεύθυνο επεξεργασίας με τη χρήση δεδομένων που έχουν συλλεγεί από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων, επισημαίνεται ότι, σε περίπτωση υποβολής καταγγελίας εκ μέρους του υποκειμένου των δεδομένων, απόκειται στην εποπτική αρχή να εξακριβώσει, μεταξύ άλλων, κατά πόσον οι σχετικές διατάξεις του δικαίου του κράτους μέλους ή του δικαίου της Ένωσης ορίζουν με επαρκή ακρίβεια τα διάφορα είδη δεδομένων προσωπικού χαρακτήρα που πρέπει να αποκτηθούν ή να κοινολογηθούν, καθώς και τα δεδομένα προσωπικού χαρακτήρα που ο υπεύθυνος επεξεργασίας καλείται να παράγει στο πλαίσιο της άσκησης των καθηκόντων του, και κατά πόσον το εν λόγω δίκαιο προβλέπει τον τρόπο με τον οποίο το υποκείμενο των δεδομένων διαθέτει πρακτικά πρόσβαση στις πληροφορίες που μνημονεύονται στο άρθρο 14, παράγραφοι 1, 2 και 4, του ΓΚΠΔ.

Όπως επισημαίνει η Επιτροπή στις γραπτές παρατηρήσεις της, η εκ μέρους εποπτικής αρχής εξακρίβωση του κατά πόσον πληρούνται όλες οι προϋποθέσεις εφαρμογής της προβλεπόμενης στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ εξαίρεσης δεν υπάγεται, εντούτοις, σε έλεγχο του κύρους των κρίσιμων διατάξεων του εθνικού δικαίου. Η εποπτική αρχή εκφέρει κρίση αποκλειστικά και μόνον επί του ζητήματος αν, σε μια συγκεκριμένη περίπτωση, ο υπεύθυνος επεξεργασίας έχει ή δεν έχει το δικαίωμα να επικαλεστεί την προβλεπόμενη στη συγκεκριμένη διάταξη εξαίρεση έναντι του υποκειμένου των δεδομένων.

Όσον αφορά την έκβαση μιας τέτοιας εξακρίβωσης, υπενθυμίζεται ότι, βάσει του άρθρου 78 του εν λόγω κανονισμού, όταν, σε μια συγκεκριμένη περίπτωση, η εποπτική αρχή αποφαίνεται ότι η καταγγελία του υποκειμένου των δεδομένων δεν είναι βάσιμη, πρέπει το υποκείμενο των δεδομένων να διαθέτει στο κράτος μέλος του το δικαίωμα πραγματικής δικαστικής προσφυγής κατά της απορριπτικής αποφάσεως.

Αντιθέτως, όταν η εν λόγω αρχή κρίνει ότι η καταγγελία είναι βάσιμη και ότι δεν πληρούνται οι προϋποθέσεις εφαρμογής της εξαίρεσης που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, διατάσσει τον υπεύθυνο επεξεργασίας να παράσχει τις πληροφορίες στο υποκείμενο των δεδομένων σύμφωνα με το άρθρο 14, παράγραφοι 1, 2 και 4, του κανονισμού.

Δεύτερον, όσον αφορά το ζήτημα κατά πόσον η κατά τα ανωτέρω εξακρίβωση πρέπει να καλύπτει και την –υπό το πρίσμα του άρθρου 32 του ΓΚΠΔ– καταλληλότητα των μέτρων που πρέπει να εφαρμόζει ο υπεύθυνος επεξεργασίας για την εγγύηση της ασφάλειας της επεξεργασίας, υπογραμμίζεται ότι το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του κανονισμού θεσπίζει εξαίρεση μόνον ως προς την προβλεπόμενη στο άρθρο 14, παράγραφοι 1, 2 και 4, υποχρέωση παροχής πληροφοριών, χωρίς να προβλέπει παρέκκλιση από τις υποχρεώσεις που περιλαμβάνονται σε άλλες διατάξεις του ίδιου κανονισμού, μεταξύ των οποίων και του άρθρου 32 του κανονισμού.

Το άρθρο 32 του ΓΚΠΔ επιβάλλει στον υπεύθυνο επεξεργασίας και στον τυχόν εκτελούντα την επεξεργασία την υποχρέωση να εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται ένα κατάλληλο επίπεδο ασφάλειας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Η καταλληλότητα των μέτρων αυτών πρέπει να αξιολογείται κατά τρόπο συγκεκριμένο, λαμβανομένων υπόψη των κινδύνων που συνδέονται με τη συγκεκριμένη επεξεργασία και εξεταζομένου του ζητήματος κατά πόσον η φύση, το περιεχόμενο και η εφαρμογή των μέτρων είναι προσαρμοσμένα στους κινδύνους αυτούς (πρβλ. αποφάσεις της 14ης Δεκεμβρίου 2023, Natsionalna agentsia za prihodite,C‑340/21, EU:C:2023:986,σκέψεις 42, 46 και 47, και της 25ης Ιανουαρίου 2024, MediaMarktSaturn,C‑687/21, EU:C:2024:72, σκέψεις 37 και 38).

Λαμβανομένης υπόψη, αντιστοίχως, της διατύπωσης των δύο ως άνω διατάξεων, επισημαίνεται ότι οι υποχρεώσεις που θεσπίζονται στο άρθρο 32 του ΓΚΠΔ, οι οποίες πρέπει να τηρούνται σε όλες τις περιπτώσεις και ανεξαρτήτως της ύπαρξης ή μη υποχρέωσης παροχής πληροφοριών βάσει του άρθρου 14 του κανονισμού, διαφέρουν ως προς τη φύση και το περιεχόμενό τους από την υποχρέωση παροχής πληροφοριών που προβλέπεται στο εν λόγω άρθρο 14.

Επομένως, σε περίπτωση υποβολής καταγγελίας βάσει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ για τον λόγο ότι ο υπεύθυνος επικοινωνίας εσφαλμένως επικαλέστηκε την εξαίρεση που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του κανονισμού, το αντικείμενο των εξακριβώσεων στις οποίες πρέπει να προβεί η εποπτική αρχή οριοθετείται από το πεδίο εφαρμογής το άρθρου 14 του κανονισμού και μόνον, καθώς η τήρηση του άρθρου 32 του κανονισμού δεν περιλαμβάνεται στις εξακριβώσεις αυτές.

Λαμβανομένων υπόψη των προεκτεθέντων, στο δεύτερο και στο τρίτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 14, παράγραφος 5, στοιχείο γʹ, και το άρθρο 77, παράγραφος 1, του ΓΚΠΔ έχουν την έννοια ότι, στο πλαίσιο διαδικασίας καταγγελίας, η εποπτική αρχή έχει την αρμοδιότητα να εξακριβώνει αν το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας προβλέπει κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων στο πλαίσιο της εφαρμογής της προβλεπόμενης στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, εξαίρεσης. Η εξακρίβωση αυτή δεν καλύπτει ωστόσο το ζήτημα της καταλληλότητας των μέτρων τα οποία υποχρεούται να εφαρμόζει ο υπεύθυνος επεξεργασίας βάσει του άρθρου 32 του εν λόγω κανονισμού για την εγγύηση της ασφάλειας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.

Επί των δικαστικών εξόδων

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (τρίτο τμήμα) αποφαίνεται:

Το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),

έχει την έννοια ότι:

η προβλεπόμενη στην εν λόγω διάταξη εξαίρεση από την υποχρέωση παροχής πληροφοριών στο υποκείμενο των δεδομένων εκ μέρους του υπευθύνου επεξεργασίας αφορά αδιακρίτως όλα τα δεδομένα προσωπικού χαρακτήρα τα οποία ο υπεύθυνος επεξεργασίας δεν συνέλεξε απευθείας από το υποκείμενο των δεδομένων, είτε πρόκειται για δεδομένα τα οποία απέκτησε από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων είτε πρόκειται για δεδομένα τα οποία παρήγαγε ο ίδιος ο υπεύθυνος επεξεργασίας στο πλαίσιο της άσκησης των καθηκόντων του.

Το άρθρο 14, παράγραφος 5, στοιχείο γʹ, και το άρθρο 77, παράγραφος 1, του κανονισμού 2016/679

έχουν την έννοια ότι:

στο πλαίσιο διαδικασίας καταγγελίας, η εποπτική αρχή έχει την αρμοδιότητα να εξακριβώνει αν το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας προβλέπει κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων στο πλαίσιο της εφαρμογής της προβλεπόμενης στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, εξαίρεσης. Η εξακρίβωση αυτή δεν καλύπτει ωστόσο το ζήτημα της καταλληλότητας των μέτρων τα οποία υποχρεούται να εφαρμόζει ο υπεύθυνος επεξεργασίας βάσει του άρθρου 32 του εν λόγω κανονισμού για την εγγύηση της ασφάλειας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.

(υπογραφές)

( *1 ) Γλώσσα διαδικασίας: η ουγγρική.

( i ) Η ονομασία που έχει δοθεί στην παρούσα υπόθεση είναι πλασματική. Δεν αντιστοιχεί στο πραγματικό όνομα κανενός διαδίκου.

Το Eureka προσθέτει συνδέσμους…