C-638/23 Amt der Tiroler Landesregierung

ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (όγδοο τμήμα)

της 27ης Φεβρουαρίου 2025 ( *1 )

«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 4, σημείο 7 – Έννοια του όρου “υπεύθυνος επεξεργασίας” – Απευθείας ορισμός του υπεύθυνου επεξεργασίας από το εθνικό δίκαιο – Βοηθητική διοικητική οντότητα στην υπηρεσία περιφερειακής κυβέρνησης – Έλλειψη νομικής προσωπικότητας – Έλλειψη ιδίας ικανότητας δικαίου – Καθορισμός των σκοπών και του τρόπου της επεξεργασίας»

Στην υπόθεση C‑638/23,

με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Verwaltungsgerichtshof (Ανώτατο Διοικητικό Δικαστήριο, Αυστρία), με απόφαση της 23ης Αυγούστου 2023, η οποία περιήλθε στο Δικαστήριο στις 24 Οκτωβρίου 2023, στο πλαίσιο της δίκης

Amt der Tiroler Landesregierung

κατά

Datenschutzbehörde,

παρισταμένων των:

Bundesministerin für Justiz,

CW,

ΤΟ ΔΙΚΑΣΤΗΡΙΟ (όγδοο τμήμα),

συγκείμενο από τους N. Jääskinen, πρόεδρο του ενάτου τμήματος, προεδρεύοντα του ογδόου τμήματος, M. Gavalec (εισηγητή) και N. Piçarra, δικαστές,

γενικός εισαγγελέας: M. Campos Sánchez-Bordona

γραμματέας: A. Calot Escobar

έχοντας υπόψη την έγγραφη διαδικασία,

λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:

–	η Datenschutzbehörde, εκπροσωπούμενη από τον M. Schmidl και την E. Wagner,

–	η Bundesministerin für Justiz, εκπροσωπούμενη από τον E. Riedl,

–	η Αυστριακή Κυβέρνηση, εκπροσωπούμενη από τον A. Posch και τις J. Schmoll και C. Gabauer,

–	η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον A. Μπουχάγιαρ και την M. Heller,

κατόπιν της αποφάσεως που έλαβε, αφού άκουσε τον γενικό εισαγγελέα, να εκδικάσει την υπόθεση χωρίς ανάπτυξη προτάσεων,

εκδίδει την ακόλουθη

Απόφαση

Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 4, σημείο 7, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ).

Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ του Amt der Tiroler Landesregierung (Γραφείου της κυβέρνησης του ομόσπονδου κράτους του Τιρόλου, Αυστρία, στο εξής: Γραφείο) και της Datenschutzbehörde (Aρχής προστασίας δεδομένων, Αυστρία) σχετικά με τη φερόμενη ως παράνομη επεξεργασία των δεδομένων προσωπικού χαρακτήρα ενός φυσικού προσώπου από το Γραφείο.

Το νομικό πλαίσιο

Το δίκαιο της Ένωσης

Οι αιτιολογικές σκέψεις 1, 7, 10, 45 και 74 του ΓΚΠΔ έχουν ως εξής:

«(1)

Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα. Το άρθρο 8 παράγραφος 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης […] και το άρθρο 16, παράγραφος 1, [ΣΛΕΕ] ορίζουν ότι κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.

[…]

(7)	[…] Τα φυσικά πρόσωπα θα πρέπει να έχουν τον έλεγχο των δικών τους δεδομένων προσωπικού χαρακτήρα. Θα πρέπει να ενισχυθούν η ασφάλεια δικαίου και η πρακτική ασφάλεια για τα φυσικά πρόσωπα, τους οικονομικούς παράγοντες και τις δημόσιες αρχές.

[…]

(10)

Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της [Ευρωπαϊκής] Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. […]

[…]

(45)

Όταν η επεξεργασία διενεργείται σύμφωνα με νομική υποχρέωση την οποία υπέχει ο υπεύθυνος επεξεργασίας ή όταν είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας, η επεξεργασία θα πρέπει να έχει βάση στο δίκαιο της Ένωσης ή κράτους μέλους. Ο παρών κανονισμός δεν απαιτεί συγκεκριμένο νόμο για κάθε μεμονωμένη επεξεργασία. Μπορεί να αρκεί ένας μόνο νόμος ως βάση για περισσότερες από μία πράξεις επεξεργασίας με βάση νομική υποχρέωση στην οποία υπόκειται ο υπεύθυνος επεξεργασίας ή εάν η επεξεργασία είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας. Επίσης, ο καθορισμός του σκοπού της επεξεργασίας θα πρέπει να εναπόκειται στο δίκαιο της Ένωσης ή κράτους μέλους. Επιπλέον, το εν λόγω δίκαιο θα μπορούσε να προσδιορίζει τις γενικές προϋποθέσεις του παρόντος κανονισμού που διέπουν τη σύννομη επεξεργασία δεδομένων προσωπικού χαρακτήρα και να θεσπίζει προδιαγραφές για τον καθορισμό του υπευθύνου επεξεργασίας, του είδους των δεδομένων προσωπικού χαρακτήρα που υπόκεινται σε επεξεργασία, των εκάστοτε υποκειμένων των δεδομένων, των οντοτήτων στις οποίες μπορούν να κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, των περιορισμών σκοπού, της περιόδου αποθήκευσης και άλλων μέτρων για την εξασφάλιση σύννομης και δίκαιης επεξεργασίας. Επίσης, θα πρέπει να εναπόκειται στο ενωσιακό δίκαιο ή στο δίκαιο των κρατών μελών ο καθορισμός του κατά πόσον ο υπεύθυνος επεξεργασίας που εκπληρώνει καθήκον που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας θα πρέπει να είναι δημόσια αρχή ή άλλο φυσικό ή νομικό πρόσωπο που διέπεται από το δημόσιο δίκαιο ή, σε περίπτωση που αυτό δικαιολογείται από λόγους δημόσιου συμφέροντος, μεταξύ άλλων για λόγους υγείας, όπως η δημόσια υγεία και η κοινωνική προστασία και η διαχείριση των υπηρεσιών υγειονομικής περίθαλψης, από το ιδιωτικό δίκαιο, όπως μία επαγγελματική οργάνωση.

[…]

(74)

Θα πρέπει να θεσπιστεί ευθύνη και υποχρέωση αποζημίωσης του υπευθύνου επεξεργασίας για οποιαδήποτε επεξεργασία δεδομένων προσωπικού χαρακτήρα που γίνεται από τον υπεύθυνο επεξεργασίας ή για λογαριασμό του υπευθύνου επεξεργασίας. Ειδικότερα, ο υπεύθυνος επεξεργασίας θα πρέπει να υποχρεούται να υλοποιεί κατάλληλα και αποτελεσματικά μέτρα και να είναι σε θέση να αποδεικνύει τη συμμόρφωση των δραστηριοτήτων επεξεργασίας με τον παρόντα κανονισμό, συμπεριλαμβανομένης της αποτελεσματικότητας των μέτρων. Τα εν λόγω μέτρα θα πρέπει να λαμβάνουν υπόψη τη φύση, το πλαίσιο, το πεδίο εφαρμογής και τους σκοπούς της επεξεργασίας και τον κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.»

4	Το άρθρο 1 του ως άνω κανονισμού, το οποίο φέρει τον τίτλο «Αντικείμενο και στόχοι», ορίζει στην παράγραφο 2 τα εξής: «Ο παρών κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα.»

Το άρθρο 4 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Ορισμοί» έχει ως εξής:

«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:

[…]

“επεξεργασία”, κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,

[…]

“υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους,

[…]».

Το άρθρο 5 του ίδιου κανονισμού, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», προβλέπει τα εξής:

«1. Τα δεδομένα προσωπικού χαρακτήρα:

α)	υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”),

β)

συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 (“περιορισμός του σκοπού”),

γ)	είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”),

δ)	είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας (“ακρίβεια”),

ε)

διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων (“περιορισμός της περιόδου αποθήκευσης”),

στ)

υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων (“ακεραιότητα και εμπιστευτικότητα”).

2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»

Το άρθρο 6 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», ορίζει στις παραγράφους 1 και 3 τα εξής:

«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:

[…]

γ)	η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,

[…]

ε)	η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,

[…]

3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με:

α)	το δίκαιο της Ένωσης, ή

β)	το δίκαιο του κράτους μέλος στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας.

Ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση ή, όσον αφορά την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχείο ε), είναι η αναγκαιότητα της επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. Η εν λόγω νομική βάση μπορεί να περιλαμβάνει ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού, μεταξύ άλλων: τις γενικές προϋποθέσεις που διέπουν τη σύννομη επεξεργασία από τον υπεύθυνο επεξεργασίας· τα είδη των δεδομένων που υποβάλλονται σε επεξεργασία· τα οικεία υποκείμενα των δεδομένων· τις οντότητες στις οποίες μπορούν να κοινοποιούνται τα δεδομένα προσωπικού χαρακτήρα και τους σκοπούς αυτής της κοινοποίησης· τον περιορισμό του σκοπού· τις περιόδους αποθήκευσης· και τις πράξεις επεξεργασίας και τις διαδικασίες επεξεργασίας, συμπεριλαμβανομένων των μέτρων για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας, όπως εκείνα για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ. […]»

Το αυστριακό δίκαιο

Οι θεμελιώδεις κανόνες του ομόσπονδου κράτους του Τιρόλου του 1989

Το άρθρο 56 του Landesverfassungsgesetz über die Verfassung des Landes Tirol (Tiroler Landesordnung 1989) [περιφερειακού νόμου για το Σύνταγμα του ομόσπονδου κράτους του Τιρόλου (θεμελιώδεις κανόνες του ομόσπονδου κράτους του Τιρόλου του 1989)], της 21ης Σεπτεμβρίου 1988, όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της διαφοράς της κύριας δίκης (στο εξής: θεμελιώδεις κανόνες του ομόσπονδου κράτους του Τιρόλου του 1989), το οποίο φέρει τον τίτλο «Landeshauptmann» (πρόεδρος της κυβερνήσεως του ομόσπονδου κράτους, Αυστρία, στο εξής: πρόεδρος της κυβερνήσεως), προβλέπει στην παράγραφο 1 τα εξής:

«Ο [πρόεδρος της κυβερνήσεως] εκπροσωπεί το ομόσπονδο κράτος του Τιρόλου.»

Το άρθρο 58 των θεμελιωδών κανόνων του ομόσπονδου κράτους του Τιρόλου του 1989, το οποίο φέρει τον τίτλο «[Γραφείο]», ορίζει στην παράγραφο 1 τα εξής:

«Ο [πρόεδρος της κυβερνήσεως], η κυβέρνηση του ομόσπονδου κράτους και τα μέλη της οφείλουν κατά την ενάσκηση των καθηκόντων τους να χρησιμοποιούν τις υπηρεσίες του [Γραφείου]. Πρόεδρος του [Γραφείου] είναι ο [πρόεδρος της κυβερνήσεως].»

Ο TDVG

Το άρθρο 2 του Tiroler Datenverarbeitungsgesetz (νόμου του ομόσπονδου κράτους του Τιρόλου περί επεξεργασίας δεδομένων, στο εξής: TDVG) προβλέπει τα εξής:

«1. Ως υπεύθυνος επεξεργασίας κατά την έννοια του άρθρου 4, σημείο 7, του [ΓΚΠΔ] θεωρείται:

a)	το [Γραφείο]·

[…]

3. Όταν η επεξεργασία δεδομένων διενεργείται ή παραγγέλλεται από το ομόσπονδο κράτος του Τιρόλου, το [Γραφείο] θεωρείται πάντοτε ως υπεύθυνος για την εν λόγω επεξεργασία, εφόσον

a)	δεν υφίσταται από κοινού ευθύνη κατά την έννοια της παραγράφου 1, στοιχεία b ή c, και

b)	δεν υφίσταται κατ’ ανάθεση επεξεργασία κατά την έννοια του άρθρου 5.»

Η διαφορά της κύριας δίκης και το προδικαστικό ερώτημα

Στο πλαίσιο μέτρων για την καταπολέμηση της πανδημίας της COVID‑19, το Γραφείο, βοηθητική διοικητική οντότητα στην υπηρεσία της κυβερνήσεως και του προέδρου της κυβερνήσεως του ομόσπονδου κράτους του Τιρόλου, απέστειλε «έγγραφο υπενθύμισης εμβολιασμού» σε όλους τους ενήλικες που διέμεναν στο ομόσπονδο κράτος του Τιρόλου και δεν είχαν ακόμη εμβολιαστεί κατά του ιού αυτού. Για να προσδιοριστούν οι αποδέκτες των εγγράφων, το Γραφείο προέβη σε σχετική ανάθεση προς δύο ιδιωτικές επιχειρήσεις οι οποίες διασταύρωσαν τα δεδομένα που περιλαμβάνονταν στο κεντρικό μητρώο εμβολιασμών καθώς και στο μητρώο ασθενών, το οποίο παρέθετε τη διεύθυνση κατοικίας τους.

Στις 21 Δεκεμβρίου 2021 o CW, ένας από τους αποδέκτες, υπέβαλε ενώπιον της Αρχής προστασίας δεδομένων καταγγελία κατά του Γραφείου λόγω παράνομης επεξεργασίας των προσωπικών δεδομένων του. Ενώπιον της εν λόγω αρχής, το Γραφείο δήλωσε ότι είχε την ιδιότητα του «υπεύθυνου επεξεργασίας» και ότι αυτό είχε αποστείλει το έγγραφο προς τον CW.

Με απόφαση της 22ας Αυγούστου 2022, η εν λόγω αρχή διαπίστωσε ότι το Γραφείο είχε προσβάλει το δικαίωμα του CW στην προστασία των προσωπικών δεδομένων του, στο μέτρο που, προκειμένου να του αποστείλει «έγγραφο υπενθύμισης εμβολιασμού», το Γραφείο είχε συμβουλευθεί τα δεδομένα του ενδιαφερομένου που περιλαμβάνονταν στο μητρώο εμβολιασμών, ενώ δεν είχε δικαίωμα πρόσβασης στο μητρώο αυτό, ούτε στο μητρώο ασθενών. Η επεξεργασία των προσωπικών δεδομένων του CW ήταν επομένως παράνομη.

Το Γραφείο άσκησε προσφυγή κατά της απόφασης αυτής ενώπιον του Bundesverwaltungsgericht (Ομοσπονδιακού Διοικητικού Δικαστηρίου, Αυστρία). Το δικαστήριο αυτό έκρινε ότι, βάσει του εφαρμοστέου εθνικού δικαίου, το Γραφείο είχε την ιδιότητα του υπεύθυνου επεξεργασίας, αλλά δεν είχε το δικαίωμα να συμβουλευθεί το μητρώο εμβολιασμών προκειμένου να αποστείλει έγγραφο υπενθύμισης όπως αυτό το οποίο έλαβε ο CW. Κατόπιν της απόρριψης της προσφυγής του από το εν λόγω δικαστήριο, το Γραφείο άσκησε αναίρεση κατά της πρωτόδικης απόφασης ενώπιον του Verwaltungsgerichtshof (Ανωτάτου Διοικητικού Δικαστηρίου, Αυστρία), που είναι το αιτούν δικαστήριο.

15	Το αιτούν δικαστήριο εκτιμά ότι, προκειμένου να αποφανθεί επί της υποθέσεως της οποίας έχει επιληφθεί, πρέπει να καθοριστεί αν το Γραφείο έχει στο πλαίσιο της εν λόγω υπόθεσης την ιδιότητα του «υπεύθυνου επεξεργασίας» κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ.

Συναφώς, το αιτούν δικαστήριο υπογραμμίζει ότι το Γραφείο απλώς υπέβαλε στον πρόεδρο της κυβερνήσεως πρόταση για την αποστολή ενός «εγγράφου υπενθύμισης εμβολιασμού», ο δε πρόεδρος της κυβερνήσεως ενέκρινε την πρόταση υπό την ιδιότητά του ως πρόεδρος του Γραφείου και εκπρόσωπος του ομόσπονδου κράτους του Τιρόλου, σύμφωνα, αντιστοίχως, με το άρθρο 58 και με το άρθρο 56, παράγραφος 1, των θεμελιωδών κανόνων του ομόσπονδου κράτους του Τιρόλου του 1989. Επομένως, το Γραφείο περιορίστηκε στο να ενημερώσει τον πρόεδρο της κυβερνήσεως, αφενός, για τον σκοπό της προβλεπόμενης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, ήτοι την αύξηση του ποσοστού εμβολιασμού, και, αφετέρου, για τα μέσα που θα ετίθεντο σε εφαρμογή με βάση την επεξεργασία αυτή, ήτοι την αποστολή του εν λόγω «εγγράφου υπενθύμισης εμβολιασμού» με χρήση των δεδομένων του κεντρικού μητρώου εμβολιασμού και του μητρώου ασθενών.

Κατά το αιτούν δικαστήριο, δεδομένης της έγκρισης εκ μέρους του προέδρου της κυβερνήσεως, αυτός και μόνον καθόρισε τόσο τον σκοπό όσο και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, κατά συνέπεια δε το Γραφείο δεν μπορεί να έχει την ιδιότητα του «υπεύθυνου επεξεργασίας» κατά την έννοια του άρθρου 4, σημείο 7, πρώτη περίοδος, του ΓΚΠΔ.

18	Εντούτοις, το αιτούν δικαστήριο διερωτάται κατά πόσον το Γραφείο ορίστηκε εγκύρως ως υπεύθυνος επεξεργασίας από διάταξη του εθνικού δικαίου, ήτοι από το άρθρο 2, παράγραφος 1, στοιχείο a, του TDVG.

Ειδικότερα, το Γραφείο δεν είναι νομικό πρόσωπο ή αρχή που να είναι επιφορτισμένο με την επεξεργασία δεδομένων προσωπικού χαρακτήρα σε συνέχεια της οποίας απεστάλη το «έγγραφο υπενθύμισης εμβολιασμού» στον CW. Το Γραφείο παρενέβη στην εν λόγω επεξεργασία μόνον ως βοηθητική διοικητική οντότητα στην υπηρεσία μιας δημόσιας αρχής. Στερείται δε νομικής προσωπικότητας, καθώς και ιδίας ικανότητας δικαίου. Πρέπει επομένως να κριθεί αν, υπό τις περιστάσεις αυτές, το Γραφείο μπορεί να θεωρηθεί ως «υπηρεσία ή άλλος φορέας» κατά την έννοια του άρθρου 4, σημείο 7, πρώτη περίοδος, του ΓΚΠΔ, ο οποίος δύναται να οριστεί ως υπεύθυνος επεξεργασίας δυνάμει του εθνικού δικαίου, σύμφωνα με το άρθρο 4, σημείο 7, δεύτερη περίοδος, του κανονισμού αυτού.

Επιπλέον, το αιτούν δικαστήριο υπενθυμίζει ότι, σύμφωνα με το άρθρο 4, σημείο 7, δεύτερη περίοδος, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας μπορεί να οριστεί απευθείας μόνο στην περίπτωση που οι σκοποί και ο τρόπος της σχετικής επεξεργασίας των δεδομένων προσωπικού χαρακτήρα καθορίζονται από το εθνικό δίκαιο. Πλην όμως, το άρθρο 2, παράγραφος 1, στοιχείο a, του TDVG ορίζει μεν το Γραφείο ως υπεύθυνο επεξεργασίας, αλλά δεν αναφέρει συγκεκριμένα ούτε σε ποια είδη επεξεργασίας δεδομένων προσωπικού χαρακτήρα μπορεί να προβεί το Γραφείο, ούτε τους σκοπούς που πρέπει να επιδιώκουν τα εν λόγω είδη επεξεργασίας, ούτε τον τρόπο τον οποίο μπορεί να ακολουθήσει το Γραφείο προκειμένου να προβεί στην εν λόγω επεξεργασία.

Το αιτούν δικαστήριο προσθέτει ότι από το άρθρο 6, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ προκύπτει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη, εάν είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπεύθυνου επεξεργασίας ή εάν είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. Κατά το δικαστήριο αυτό, από τις ως άνω προϋποθέσεις νομιμότητας και από τον σκοπό του άρθρου 4, σημείο 7, του ΓΚΠΔ, ο οποίος συνίσταται στο να εξασφαλίσει αποτελεσματική και ευρεία προστασία των υποκειμένων των δεδομένων, προκύπτει ότι τα κράτη μέλη μπορούν να ορίζουν ως υπεύθυνο επεξεργασίας μόνον ένα πρόσωπο ή μια οντότητα που είναι σε θέση να καθορίσει τους σκοπούς καθώς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα ή τουλάχιστον να συμμετάσχει στον εν λόγω καθορισμό.

Υπό τις συνθήκες αυτές, το Verwaltungsgerichtshof (Ανώτατο Διοικητικό Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο το ακόλουθο προδικαστικό ερώτημα:

«Έχει το άρθρο 4, σημείο 7, του [ΓΚΠΔ] την έννοια ότι αντιβαίνει σε αυτό η εφαρμογή διάταξης του εθνικού δικαίου (όπως εν προκειμένω του άρθρου 2, παράγραφος 1, του [TDVG]) στην οποία προβλέπεται μεν υπεύθυνος επεξεργασίας ο οποίος ορίζεται κατά την έννοια του άρθρου 4, σημείο 7, δεύτερη περίοδος, του ΓΚΠΔ, αλλά

–

αυτός αποτελεί απλή διοικητική υπηρεσία (όπως εν προκειμένω το [Γραφείο]) η οποία έχει μεν συσταθεί διά νόμου πλην όμως δεν είναι φυσικό ή νομικό πρόσωπο και στην υπό κρίση υπόθεση δεν είναι ούτε δημόσια αρχή, αλλά ενεργεί μόνον ως βοηθητικό όργανο της δημόσιας αρχής και δεν διαθέτει ιδία (μερική) ικανότητα δικαίου·

–	ο ορισμός του εν λόγω υπεύθυνου επεξεργασίας γίνεται χωρίς μνεία συγκεκριμένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα και, ως εκ τούτου, δεν προβλέπονται από το δίκαιο του κράτους μέλους ούτε οι σκοποί ούτε ο τρόπος συγκεκριμένης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα·

–	στην υπό κρίση υπόθεση δεν έχει αποφασίσει, ούτε μόνος του ούτε από κοινού με άλλους, για τους σκοπούς και τον τρόπο της επίμαχης επεξεργασίας δεδομένων προσωπικού χαρακτήρα;»

Επί του προδικαστικού ερωτήματος

Με το ερώτημά του, το αιτούν δικαστήριο ερωτά, κατ’ ουσίαν, αν το άρθρο 4, σημείο 7, του ΓΚΠΔ έχει την έννοια ότι αντιτίθεται σε εθνική ρύθμιση που ορίζει ως υπεύθυνο επεξεργασίας βοηθητική διοικητική οντότητα στερούμενη νομικής προσωπικότητας και ιδίας ικανότητας δικαίου χωρίς να προσδιορίζει ειδικά τις συγκεκριμένες πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις οποίες είναι υπεύθυνη η εν λόγω οντότητα ούτε τον σκοπό των πράξεων αυτών. Το αιτούν δικαστήριο ζητεί επίσης να διευκρινιστεί αν το άρθρο 4, σημείο 7, του ΓΚΠΔ έχει την έννοια ότι μια οντότητα που ορίζεται από το εθνικό δίκαιο ως υπεύθυνος επεξεργασίας, σύμφωνα με τη διάταξη αυτή, πρέπει όντως να αποφασίζει για τους σκοπούς και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα προκειμένου να υποχρεούται να απαντά, ως υπεύθυνος επεξεργασίας, στα αιτήματα που της απευθύνουν τα υποκείμενα των δεδομένων βάσει των δικαιωμάτων που αντλούν από τον ΓΚΠΔ.

Κατ’ αρχάς, υπενθυμίζεται ότι, δυνάμει του άρθρου 4, σημείο 7, του ΓΚΠΔ, η έννοια του «υπεύθυνου επεξεργασίας» καλύπτει τα φυσικά ή νομικά πρόσωπα, τις δημόσιες αρχές, τις υπηρεσίες ή άλλους φορείς, που, μόνοι ή από κοινού με άλλους, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Η διάταξη αυτή προβλέπει επίσης ότι όταν οι σκοποί και ο τρόπος της επεξεργασίας καθορίζονται, μεταξύ άλλων, από το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο αυτό.

Από τη νομολογία του Δικαστηρίου προκύπτει ότι η εν λόγω διάταξη αποσκοπεί, μέσω του ευρέος ορισμού της έννοιας του «υπεύθυνου επεξεργασίας», στη διασφάλιση αποτελεσματικής και πλήρους προστασίας των υποκειμένων των δεδομένων (πρβλ. αποφάσεις της 5ης Δεκεμβρίου 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, σκέψη 29, και της 5ης Δεκεμβρίου 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, σκέψη 40).

Ο σκοπός τον οποίο επιδιώκει ο ΓΚΠΔ, όπως απορρέει από το άρθρο 1 καθώς και από τις αιτιολογικές σκέψεις 1 και 10 αυτού, συνίσταται ιδίως στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων, και ειδικότερα του δικαιώματός τους στην ιδιωτική ζωή έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο άρθρο 8, παράγραφος 1, του Χάρτη των Θεμελιωδών Δικαιωμάτων και στο άρθρο 16, παράγραφος 1, ΣΛΕΕ (απόφαση της 7ης Μαρτίου 2024, IAB Europe, C‑604/22, EU:C:2024:214, σκέψη 53 και εκεί μνημονευόμενη νομολογία).

Λαμβανομένου υπόψη του γράμματος του άρθρου 4, σημείο 7, του ΓΚΠΔ, ερμηνευόμενου υπό το πρίσμα του ως άνω σκοπού, προκειμένου να κριθεί αν ορισμένο πρόσωπο ή ορισμένη οντότητα πρέπει να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» κατά την έννοια της διάταξης αυτής, πρέπει να εξεταστεί αν το συγκεκριμένο πρόσωπο ή η συγκεκριμένη οντότητα, μόνοι ή από κοινού με άλλους, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας ή αν οι σκοποί και ο τρόπος της επεξεργασίας καθορίζονται από το εθνικό δίκαιο. Όταν ο εν λόγω καθορισμός γίνεται από το εθνικό δίκαιο, πρέπει να εξεταστεί αν το εθνικό δίκαιο ορίζει τον υπεύθυνο επεξεργασίας ή προβλέπει τα ειδικά κριτήρια για τον ορισμό του [απόφαση της 11ης Ιανουαρίου 2024, État belge (Επεξεργασία δεδομένων από επίσημη εφημερίδα), C‑231/22, EU:C:2024:7, σκέψη 29].

Δεδομένου του ευρέος ορισμού της έννοιας του «υπεύθυνου επεξεργασίας» κατά το άρθρο 4, σημείο 7, του ΓΚΠΔ, ο καθορισμός των σκοπών και του τρόπου της επεξεργασίας και ο τυχόν ορισμός του υπεύθυνου επεξεργασίας από το εθνικό δίκαιο μπορούν να γίνονται όχι μόνον ρητώς, αλλά και εμμέσως. Εντούτοις, στην τελευταία αυτή περίπτωση απαιτείται ο καθορισμός αυτός να συνάγεται με επαρκή βεβαιότητα από τον ρόλο, την αποστολή και τα καθήκοντα που ανατίθενται στο συγκεκριμένο πρόσωπο ή στη συγκεκριμένη οντότητα [απόφαση της 11ης Ιανουαρίου 2024, État belge (Επεξεργασία δεδομένων από επίσημη εφημερίδα), C‑231/22, EU:C:2024:7, σκέψη 30].

Υπό το πρίσμα των προκαταρκτικών αυτών εκτιμήσεων πρέπει να εξεταστεί το υποβληθέν ερώτημα. Προς τούτο, πρέπει πρώτον να κριθεί κατά πόσον ο εθνικός νομοθέτης δύναται εγκύρως να ορίσει μια βοηθητική διοικητική οντότητα στην υπηρεσία των δημοσίων αρχών ως υπεύθυνο επεξεργασίας, κατά την έννοια του άρθρου 4, σημείο 7, δεύτερη περίοδος, του ΓΚΠΔ, όταν η οντότητα αυτή στερείται νομικής προσωπικότητας και ιδίας ικανότητας δικαίου.

Συναφώς, επισημαίνεται αφενός ότι το Δικαστήριο έχει κρίνει ότι από το σαφές γράμμα του άρθρου 4, σημείο 7, του ΓΚΠΔ προκύπτει ότι υπεύθυνος επεξεργασίας μπορεί να είναι όχι μόνον ένα φυσικό ή νομικό πρόσωπο, αλλά και μια δημόσια αρχή, μια υπηρεσία ή ένας φορέας, οντότητες οι οποίες δεν έχουν κατ’ ανάγκην νομική προσωπικότητα βάσει του εθνικού δικαίου [πρβλ. απόφαση της 11ης Ιανουαρίου 2024, État belge (Επεξεργασία δεδομένων από επίσημη εφημερίδα), C‑231/22, EU:C:2024:7, σκέψη 36].

31	Κατά συνέπεια, δεν αποκλείεται μια οντότητα να μπορεί να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας», κατά την έννοια της διάταξης αυτής, ακόμη και αν στερείται νομικής προσωπικότητας.

Αφετέρου, όσον αφορά το ζήτημα αν ο χαρακτηρισμός μιας οντότητας ως «υπεύθυνου επεξεργασίας» απαιτεί την ύπαρξη ιδίας ικανότητας δικαίου της οντότητας αυτής ή αν αρκεί προς τούτο να διαθέτει η εν λόγω οντότητα κάποια ικανότητα απόφασης και δράσης στο πλαίσιο της προστασίας των δεδομένων προσωπικού χαρακτήρα, υπενθυμίζεται ότι από την αιτιολογική σκέψη 74 του ΓΚΠΔ προκύπτει ότι ο νομοθέτης της Ένωσης θέλησε η ευθύνη που βαρύνει τον υπεύθυνο επεξεργασίας να είναι η ίδια για οποιαδήποτε επεξεργασία δεδομένων προσωπικού χαρακτήρα την οποία διενεργεί ο τελευταίος, ανεξαρτήτως του αν στην επεξεργασία αυτή προβαίνει ο ίδιος ο υπεύθυνος επεξεργασίας ή τρίτος για λογαριασμό του υπεύθυνου επεξεργασίας. Ο νομοθέτης της Ένωσης θέλησε επίσης να διασφαλίσει ότι ο υπεύθυνος επεξεργασίας υποχρεούται να εφαρμόζει κατάλληλα και αποτελεσματικά μέτρα και είναι σε θέση να αποδείξει τη συμφωνία των δραστηριοτήτων επεξεργασίας προς τον κανονισμό αυτόν, συμπεριλαμβανομένης της αποτελεσματικότητας των εν λόγω μέτρων, τα οποία πρέπει να λαμβάνουν υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τον κίνδυνο που αυτή ενέχει για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.

Ακριβώς προς τούτο το άρθρο 5, παράγραφος 2, του ΓΚΠΔ καθιερώνει την αρχή της λογοδοσίας, δυνάμει της οποίας ο υπεύθυνος επεξεργασίας φέρει την ευθύνη για τη συμμόρφωση προς τις αρχές που αφορούν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και οι οποίες διατυπώνονται στην παράγραφο 1 του ίδιου άρθρου, και προβλέπει ότι ο υπεύθυνος επεξεργασίας πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωση προς τις εν λόγω αρχές.

Δεδομένων των νόμιμων υποχρεώσεων στις οποίες υπόκειται επομένως ο κατά το άρθρο 4, σημείο 7, του ΓΚΠΔ υπεύθυνος επεξεργασίας, αυτός οφείλει, σύμφωνα με τους όρους που προβλέπει η νομοθεσία του κράτους μέλους στο οποίο υπάγεται, να είναι σε θέση να εκπληρώσει από πραγματικής και νομικής απόψεως τις υποχρεώσεις αυτές, χωρίς να έχει σημασία συναφώς το αν η οντότητα αυτή έχει νομική προσωπικότητα και ιδία ικανότητα δικαίου.

Εν προκειμένω, εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει αν το Γραφείο είναι αρμόδιο βάσει του αυστριακού δικαίου να αναλάβει τις ευθύνες και τις υποχρεώσεις τις οποίες ο ΓΚΠΔ επιβάλλει στον υπεύθυνο επεξεργασίας, λαμβανομένου ιδίως υπόψη του γεγονότος, το οποίο δεν αμφισβητήθηκε ενώπιον των εθνικών δικαστηρίων που επιλήφθηκαν της διαφοράς της κύριας δίκης, ότι το Γραφείο μπορεί να ασκήσει προσφυγή κατά της απόφασης της Αρχής προστασίας δεδομένων, όπως ακριβώς μπορεί και να υποβληθεί καταγγελία εις βάρος του ενώπιον της εν λόγω αρχής. Το αιτούν δικαστήριο θα έχει επίσης τη δυνατότητα να συνεκτιμήσει το γεγονός ότι το Γραφείο ανέθεσε σε δύο ιδιωτικές επιχειρήσεις την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονταν στο κεντρικό μητρώο εμβολιασμών και στο μητρώο των ασθενών που διαμένουν στο ομόσπονδο κράτος του Τιρόλου.

Δεύτερον, το αιτούν δικαστήριο διερωτάται αν ο εθνικός νομοθέτης μπορεί να ορίσει μια οντότητα ως υπεύθυνο επεξεργασίας, δυνάμει του άρθρου 4, σημείο 7, δεύτερη περίοδος, του ΓΚΠΔ, χωρίς να προσδιορίσει συγκεκριμένα ούτε τις μορφές επεξεργασίας δεδομένων προσωπικού χαρακτήρα στις οποίες μπορεί να κληθεί να προβεί η εν λόγω οντότητα ούτε τον σκοπό τους ούτε τον συγκεκριμένο τρόπο τον οποίο μπορεί αυτή να ακολουθήσει προκειμένου να προβεί στην εν λόγω επεξεργασία.

Όπως υπομνήσθηκε στη σκέψη 28 της παρούσας απόφασης, όταν το εθνικό δίκαιο ορίζει μια οντότητα ως υπεύθυνο επεξεργασίας, ο καθορισμός των σκοπών και του τρόπου της επεξεργασίας από το εν λόγω δίκαιο μπορεί να γίνεται εμμέσως, υπό την προϋπόθεση ότι ο καθορισμός αυτός συνάγεται με επαρκή βεβαιότητα από τον ρόλο, την αποστολή και τα καθήκοντα που ανατίθενται στην εν λόγω οντότητα. Η προϋπόθεση αυτή πληρούται αν οι σκοποί και ο τρόπος της επεξεργασίας προκύπτουν, κατ’ ουσίαν, από τις διατάξεις του εθνικού δικαίου που διέπουν τη δραστηριότητα της εν λόγω οντότητας.

O απευθείας ορισμός από τον εθνικό νομοθέτη μιας οντότητας ως υπεύθυνου επεξεργασίας συμβάλλει στον σκοπό της ασφάλειας δικαίου τον οποίον επιδιώκει ο ΓΚΠΔ, όπως προκύπτει από την αιτιολογική του σκέψη 7, παρέχοντας στα φυσικά πρόσωπα των οποίων τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία τη δυνατότητα να προσδιορίζουν ευχερώς την οντότητα που είναι επιφορτισμένη με τη μέριμνα για την τήρηση των δικαιωμάτων που τους απονέμει ο εν λόγω κανονισμός.

Πλην όμως το κύρος ενός απευθείας ορισμού εξαρτάται από την προϋπόθεση ότι η εθνική ρύθμιση καθορίζει την έκταση της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την οποία ορίζεται ως υπεύθυνη η εν λόγω οντότητα, χωρίς πάντως να είναι αναγκαίο ο νομοθέτης της Ένωσης να έχει απαριθμήσει εξαντλητικώς όλες τις πράξεις επεξεργασίας για τις οποίες ορίζεται απευθείας η εν λόγω οντότητα. Όπως αναφέρεται στην αιτιολογική σκέψη 45 του εν λόγω κανονισμού, «[μ]πορεί να αρκεί ένας μόνο νόμος ως βάση για περισσότερες από μία πράξεις επεξεργασίας με βάση νομική υποχρέωση στην οποία υπόκειται ο υπεύθυνος επεξεργασίας ή εάν η επεξεργασία είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας».

Επομένως, εθνική ρύθμιση η οποία ορίζει μια οντότητα ως υπεύθυνο επεξεργασίας χωρίς να απαριθμεί ρητώς όλες τις συγκεκριμένες πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις οποίες είναι υπεύθυνη η εν λόγω οντότητα και χωρίς να προβλέπει τον σκοπό των εν λόγω πράξεων επεξεργασίας συμβιβάζεται με το άρθρο 4, σημείο 7, του ΓΚΠΔ υπό την προϋπόθεση ότι η ρύθμιση αυτή καθορίζει, ρητώς ή έστω εμμέσως, την έκταση της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την οποία ορίζεται ως υπεύθυνη η εν λόγω οντότητα.

Εν προκειμένω, εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει, αφενός, αν η επεξεργασία δεδομένων προσωπικού χαρακτήρα στην οποία προέβη το Γραφείο για τους σκοπούς της προετοιμασίας και της αποστολής των επίμαχων στην κύρια δίκη «εγγράφων υπενθύμισης εμβολιασμού» είναι συμβατή με τους σκοπούς στους οποίους πρέπει να ανταποκρίνονται οι πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις οποίες το Γραφείο ορίστηκε ως υπεύθυνο, όπως οι σκοποί αυτοί προκύπτουν, έστω και εμμέσως, από το σύνολο των διατάξεων του εθνικού δικαίου που διέπουν τη δραστηριότητά του και, αφετέρου, τον τρόπο τον οποίο μπορεί να ακολουθήσει το Γραφείο προκειμένου να προβεί στην εν λόγω επεξεργασία. Το γεγονός και μόνον ότι οι εν λόγω εθνικές διατάξεις ενδεχομένως δεν προσδιορίζουν συγκεκριμένα τις πράξεις επεξεργασίας τις οποίες επιτρέπεται να διενεργεί το Γραφείο δεν μπορεί να αποκλείσει τον χαρακτηρισμό μιας οντότητας όπως το Γραφείο ως υπεύθυνου επεξεργασίας κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ.

Τρίτον, το αιτούν δικαστήριο ζητεί να διευκρινιστεί αν μια οντότητα που ορίζεται από την εθνική νομοθεσία ως υπεύθυνος επεξεργασίας δυνάμει του άρθρου 4, σημείο 7, δεύτερη περίοδος, του ΓΚΠΔ πρέπει επίσης να αποφασίζει η ίδια ή από κοινού με άλλες αρμόδιες αρχές για τους σκοπούς και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την οποία έχει οριστεί ως υπεύθυνη, προκειμένου να υποχρεούται να απαντά, υπό την ιδιότητα αυτή, στα αιτήματα που της απευθύνουν τα υποκείμενα των δεδομένων βάσει των δικαιωμάτων που αντλούν από τον ΓΚΠΔ.

Συναφώς, αρκεί να επισημανθεί ότι η εξέταση του κατά πόσον μια οντότητα όντως επηρέασε, για δικούς της στόχους, τον καθορισμό των σκοπών και του τρόπου της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα γίνεται προκειμένου να διαπιστωθεί η ιδιότητα της οντότητας αυτής ως υπεύθυνου επεξεργασίας κατά την έννοια του άρθρου 4, σημείο 7, πρώτη περίοδος, του ΓΚΠΔ (πρβλ. απόφαση της 5ης Δεκεμβρίου 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, σκέψεις 30 και 31).

Αντιθέτως, προκειμένου να διαπιστωθεί η ιδιότητα μιας οντότητας ως υπεύθυνου επεξεργασίας κατά την έννοια του άρθρου 4, σημείο 7, δεύτερη περίοδος, του ΓΚΠΔ, δεν είναι αναγκαίο, όπως προκύπτει από το σαφές γράμμα της διάταξης αυτής, να ασκεί η οντότητα αυτή επιρροή στον καθορισμό των σκοπών και του τρόπου της επεξεργασίας.

Επομένως, μια τέτοια οντότητα, η οποία ορίζεται από το εθνικό δίκαιο ως υπεύθυνος επεξεργασίας, δεν πρέπει να αποφασίζει η ίδια για τους σκοπούς και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα προκειμένου να υποχρεούται να απαντά, ως υπεύθυνος επεξεργασίας, στα αιτήματα που της απευθύνουν τα υποκείμενα των δεδομένων βάσει των δικαιωμάτων που αντλούν από τον ΓΚΠΔ.

Συναφώς, το Δικαστήριο έχει κρίνει ότι το κύρος ενός απευθείας ορισμού δεν θίγεται από το γεγονός ότι, βάσει του εθνικού δικαίου, η οντότητα που ορίζεται ως υπεύθυνος επεξεργασίας δεν ασκεί κανέναν έλεγχο επί των δεδομένων προσωπικού χαρακτήρα τα οποία καλείται να επεξεργαστεί [πρβλ. απόφαση της 11ης Ιανουαρίου 2024, État belge (Επεξεργασία δεδομένων από επίσημη εφημερίδα), C‑231/22, EU:C:2024:7, σκέψεις 37 και 38].

Μια τέτοια ερμηνεία συνάδει με τον σκοπό της ασφάλειας δικαίου τον οποίον επιδιώκει ο ΓΚΠΔ. Όπως υπογράμμισε η Ευρωπαϊκή Επιτροπή στις γραπτές παρατηρήσεις της, ο σκοπός αυτός θα διακυβευόταν, εάν, προκειμένου να μπορούν να θεωρήσουν ότι ο ορισμός αυτός έγινε εγκύρως από τον εθνικό νομοθέτη, τα υποκείμενα των δεδομένων έπρεπε να επαληθεύσουν ότι η οντότητα που ορίστηκε ως υπεύθυνη για την επεξεργασία των προσωπικών δεδομένων τους έχει την εξουσία να καθορίζει η ίδια τους σκοπούς και τον τρόπο της επεξεργασίας αυτής.

Πρέπει ακόμη να προστεθεί ότι το γεγονός ότι δεν είναι αναγκαίο η οντότητα που ορίζεται από το εθνικό δίκαιο ως υπεύθυνος επεξεργασίας να έχει επίσης την εξουσία να αποφασίζει η ίδια σχετικά με τους σκοπούς και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, προκειμένου να υποχρεούται να απαντά, ως υπεύθυνος επεξεργασίας, στα αιτήματα που της απευθύνουν τα υποκείμενα των δεδομένων βάσει των δικαιωμάτων που αντλούν από τον ΓΚΠΔ, δεν στερεί πάντως από τα υποκείμενα των δεδομένων τη δυνατότητα να απευθύνουν τα αιτήματα αυτά σε άλλη οντότητα, την οποία θεωρούν υπεύθυνη ή συνυπεύθυνη για την επεξεργασία των προσωπικών δεδομένων τους λόγω της επιρροής που άσκησε η άλλη αυτή οντότητα στον καθορισμό των σκοπών και του τρόπου της επεξεργασίας.

Λαμβανομένων υπόψη των προεκτεθέντων, στο υποβληθέν ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 4, σημείο 7, του ΓΚΠΔ έχει την έννοια ότι δεν αντιτίθεται σε εθνική ρύθμιση που ορίζει ως υπεύθυνο επεξεργασίας βοηθητική διοικητική οντότητα στερούμενη νομικής προσωπικότητας και ιδίας ικανότητας δικαίου χωρίς να προσδιορίζει ειδικά τις συγκεκριμένες πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις οποίες είναι υπεύθυνη η εν λόγω οντότητα ούτε τον σκοπό των πράξεων αυτών, υπό την προϋπόθεση, αφενός, ότι η εν λόγω οντότητα είναι ικανή να εκπληρώσει, σύμφωνα με την εθνική ρύθμιση, τις υποχρεώσεις που βαρύνουν τον υπεύθυνο επεξεργασίας έναντι των υποκειμένων των δεδομένων όσον αφορά την προστασία των δεδομένων προσωπικού χαρακτήρα και, αφετέρου, ότι η εθνική ρύθμιση καθορίζει, ρητώς ή έστω εμμέσως, την έκταση της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την οποία είναι υπεύθυνη η εν λόγω οντότητα.

Επί των δικαστικών εξόδων

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (όγδοο τμήμα) αποφαίνεται:

Το άρθρο 4, σημείο 7, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),

έχει την έννοια ότι:

δεν αντιτίθεται σε εθνική ρύθμιση που ορίζει ως υπεύθυνο επεξεργασίας βοηθητική διοικητική οντότητα στερούμενη νομικής προσωπικότητας και ιδίας ικανότητας δικαίου χωρίς να προσδιορίζει ειδικά τις συγκεκριμένες πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα για τις οποίες είναι υπεύθυνη η εν λόγω οντότητα ούτε τον σκοπό των πράξεων αυτών, υπό την προϋπόθεση, αφενός, ότι η εν λόγω οντότητα είναι ικανή να εκπληρώσει, σύμφωνα με την εθνική ρύθμιση, τις υποχρεώσεις που βαρύνουν τον υπεύθυνο επεξεργασίας έναντι των υποκειμένων των δεδομένων όσον αφορά την προστασία των δεδομένων προσωπικού χαρακτήρα και, αφετέρου, ότι η εθνική ρύθμιση καθορίζει, ρητώς ή έστω εμμέσως, την έκταση της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την οποία είναι υπεύθυνη η εν λόγω οντότητα.

(υπογραφές)

( *1 ) Γλώσσα διαδικασίας: η γερμανική.

Το Eureka προσθέτει συνδέσμους…