62021CJ0487
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (πρώτο τμήμα)
της 4ης Μαΐου 2023 (
*1
)
«Προδικαστική παραπομπή – Προστασία των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων στα δεδομένα του που υποβάλλονται σε επεξεργασία – Άρθρο 15, παράγραφος 3 – Παροχή αντιγράφου των δεδομένων – Έννοια του “αντιγράφου” – Έννοια της “ενημέρωσης”»
Στην υπόθεση C‑487/21,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Bundesverwaltungsgericht (Ομοσπονδιακό Διοικητικό Δικαστήριο, Αυστρία) με απόφαση της 9ης Αυγούστου 2021, η οποία περιήλθε στο Δικαστήριο στις 9 Αυγούστου 2021, στο πλαίσιο της δίκης
F.F.
κατά
Österreichische Datenschutzbehörde,
παρισταμένης της:
CRIF GmbH,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (πρώτο τμήμα),
συγκείμενο από τους A. Arabadjiev, πρόεδρο τμήματος, P. G. Xuereb, T. von Danwitz, A. Kumin και I. Ziemele (εισηγήτρια), δικαστές,
γενικός εισαγγελέας: G. Pitruzzella
γραμματέας: A. Calot Escobar
έχοντας υπόψη την έγγραφη διαδικασία,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
–
ο F.F., εκπροσωπούμενος από τον M. Schrems,
–
η Österreichische Datenschutzbehörde, εκπροσωπούμενη από την A. Jelinek και από τον M. Schmidl,
–
η CRIF GmbH, εκπροσωπούμενη από τους L. Feiler και M. Raschhofer, Rechtsanwälte,
–
η Αυστριακή Κυβέρνηση, εκπροσωπούμενη από τους G. Kunnert, A. Posch και από την J. Schmoll,
–
η Τσεχική Κυβέρνηση, εκπροσωπούμενη από τους O. Serdula, M. Smolek και J. Vláčil,
–
η Ιταλική Κυβέρνηση, εκπροσωπούμενη από την G. Palmieri, επικουρούμενη από την M. Russo, avvocato dello Stato,
–
η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον A. Μπουχάγιαρ, την M. Heller και τον H. Kranenborg,
αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 15ης Δεκεμβρίου 2022,
εκδίδει την ακόλουθη
Απόφαση
1
Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 15 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ).
2
Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ του F.F. και της Österreichische Datenschutzbehörde (αυστριακής αρχής προστασίας δεδομένων) (στο εξής: DSB), σχετικά με την άρνηση της τελευταίας να υποχρεώσει την CRIF GmbH να διαβιβάσει στον F.F. αντίγραφο των εγγράφων και αποσπασμάτων βάσεων δεδομένων τα οποία περιείχαν, μεταξύ άλλων, τα προσωπικά δεδομένα του που υποβάλλονται σε επεξεργασία.
Το νομικό πλαίσιο
3
Οι αιτιολογικές σκέψεις 10, 11, 26, 58, 60 και 63 του ΓΚΠΔ έχουν ως εξής:
«(10)
Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της [Ευρωπαϊκής] Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. […]
(11)
Η αποτελεσματική προστασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση απαιτεί την ενίσχυση και τον λεπτομερή καθορισμό των δικαιωμάτων των υποκειμένων των δεδομένων, καθώς και των υποχρεώσεων όσων επεξεργάζονται και καθορίζουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα […]
[…]
(26)
Οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου […]
[…]
(58)
Η αρχή της διαφάνειας απαιτεί οποιαδήποτε ενημέρωση που απευθύνεται στο κοινό ή στο υποκείμενο των δεδομένων να είναι συνοπτική, εύκολα προσβάσιμη και εύκολα κατανοητή και να χρησιμοποιείται σαφής και απλή διατύπωση […]
[…]
(60)
Οι αρχές της δίκαιης και διαφανούς επεξεργασίας απαιτούν να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της. Ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων κάθε περαιτέρω πληροφορία που είναι αναγκαία για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας, λαμβάνοντας υπόψη τις ειδικές συνθήκες και το πλαίσιο εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα. […]
[…]
(63)
Ένα υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας. […] Επομένως, κάθε υποκείμενο των δεδομένων θα πρέπει να έχει το δικαίωμα να γνωρίζει και να του ανακοινώνεται ιδίως για ποιους σκοπούς γίνεται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, εφόσον είναι δυνατόν για πόσο διάστημα γίνεται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, ποιοι αποδέκτες λαμβάνουν τα δεδομένα προσωπικού χαρακτήρα, ποια λογική ακολουθείται στην τυχόν αυτόματη επεξεργασία δεδομένων προσωπικού χαρακτήρα και ποιες θα μπορούσαν να είναι οι συνέπειες της εν λόγω επεξεργασίας, τουλάχιστον όταν αυτή βασίζεται σε κατάρτιση προφίλ. Ο υπεύθυνος επεξεργασίας θα πρέπει να δύναται να παρέχει πρόσβαση εξ αποστάσεως σε ασφαλές σύστημα μέσω του οποίου το υποκείμενο των δεδομένων αποκτά άμεση πρόσβαση στα δεδομένα που το αφορούν. Το δικαίωμα αυτό δεν θα πρέπει να επηρεάζει αρνητικά τα δικαιώματα ή τις ελευθερίες άλλων, όπως το επαγγελματικό απόρρητο ή το δικαίωμα διανοητικής ιδιοκτησίας και, ειδικότερα, το δικαίωμα δημιουργού που προστατεύει το λογισμικό. […]»
4
Το άρθρο 4 του κανονισμού ορίζει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1)
“δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο […]· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου,
2)
“επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα […],
[…]».
5
Το άρθρο 12 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Διαφανής ενημέρωση, ανακοίνωση και ρυθμίσεις για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων», προβλέπει τα εξής:
«1.   Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και κάθε ανακοίνωση στο πλαίσιο των άρθρων 15 έως 22 και του άρθρου 34 σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, ιδίως όταν πρόκειται για πληροφορία απευθυνόμενη ειδικά σε παιδιά. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς. Όταν ζητείται από το υποκείμενο των δεδομένων, οι πληροφορίες μπορούν να δίνονται προφορικά, υπό την προϋπόθεση ότι η ταυτότητα του υποκειμένου των δεδομένων είναι αποδεδειγμένη με άλλα μέσα.
[…]
3.   Ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων πληροφορίες για την ενέργεια που πραγματοποιείται κατόπιν αιτήματος δυνάμει των άρθρων 15 έως 22 χωρίς καθυστέρηση και σε κάθε περίπτωση εντός μηνός από την παραλαβή του αιτήματος. […] Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται, εάν είναι δυνατόν, με ηλεκτρονικά μέσα, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό.
[…]»
6
Δυνάμει του άρθρου 15 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων»:
«1.   Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες:
α)
τους σκοπούς της επεξεργασίας,
β)
τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα,
γ)
τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς,
δ)
εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα,
ε)
την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην εν λόγω επεξεργασία,
στ)
το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή,
ζ)
όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους,
η)
την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.
2.   Όταν δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε τρίτη χώρα ή σε διεθνή οργανισμό, το υποκείμενο των δεδομένων έχει το δικαίωμα να ενημερώνεται για τις κατάλληλες εγγυήσεις σύμφωνα με το άρθρο 46 σχετικά με τη διαβίβαση.
3.   Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.
4.   Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.»
7
Το άρθρο 16 του κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα διόρθωσης», ορίζει τα εξής:
«Το υποκείμενο των δεδομένων έχει το δικαίωμα να απαιτήσει από τον υπεύθυνο επεξεργασίας τη διόρθωση ανακριβών δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση. Έχοντας υπόψη τους σκοπούς της επεξεργασίας, το υποκείμενο των δεδομένων έχει το δικαίωμα να απαιτήσει τη συμπλήρωση ελλιπών δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων μέσω συμπληρωματικής δήλωσης.»
8
Το άρθρο 17 του κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα διαγραφής (“δικαίωμα στη λήθη”)», ορίζει στην παράγραφο 1 τα εξής:
«Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση […]
[…]».
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
9
Η CRIF είναι επιχείρηση παροχής πληροφοριών πιστοληπτικής ικανότητας, η οποία παρέχει στους πελάτες της, κατόπιν αιτήματός τους, πληροφορίες σχετικά με την πιστοληπτική ικανότητα τρίτων. Προς τούτο, η CRIF προέβη στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα του προσφεύγοντος της κύριας δίκης.
10
Στις 20 Δεκεμβρίου 2018, ο προσφεύγων της κύριας δίκης ζήτησε από την CRIF, βάσει του άρθρου 15 του ΓΚΠΔ, πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν. Επιπλέον, ζήτησε αντίγραφο των εγγράφων, και συγκεκριμένα των ηλεκτρονικών μηνυμάτων και των αποσπασμάτων από βάσεις δεδομένων, τα οποία περιείχαν, μεταξύ άλλων, τα δεδομένα του, «σε συνήθη τεχνικό μορφότυπο».
11
Απαντώντας στο αίτημα αυτό, η CRIF διαβίβασε στον προσφεύγοντα της κύριας δίκης, υπό συνοπτική μορφή, τον κατάλογο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία.
12
Εκτιμώντας ότι η CRIF όφειλε να του διαβιβάσει αντίγραφο του συνόλου των εγγράφων τα οποία περιείχαν τα δεδομένα του, όπως τα μηνύματα ηλεκτρονικού ταχυδρομείου και τα αποσπάσματα από τις βάσεις δεδομένων, ο προσφεύγων της κύριας δίκης υπέβαλε διοικητική ένσταση ενώπιον της DSB.
13
Με απόφαση της 11ης Σεπτεμβρίου 2019, η DSB απέρριψε την ένσταση, κρίνοντας ότι η CRIF δεν είχε προσβάλει το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα του προσφεύγοντος της κύριας δίκης.
14
Το αιτούν δικαστήριο, επιληφθέν της προσφυγής που άσκησε ο προσφεύγων της κύριας δίκης κατά της απόφασης της DSB, διατηρεί αμφιβολίες ως προς το περιεχόμενο του άρθρου 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ. Το αιτούν δικαστήριο διερωτάται ειδικότερα αν η προβλεπόμενη από τη διάταξη αυτήν υποχρέωση παροχής «αντιγράφου» των δεδομένων προσωπικού χαρακτήρα εκπληρώνεται όταν ο υπεύθυνος επεξεργασίας διαβιβάζει τα δεδομένα προσωπικού χαρακτήρα υπό τη μορφή συνοπτικού πίνακα ή αν η υποχρέωση αυτή συνεπάγεται επίσης τη διαβίβαση αποσπασμάτων των εγγράφων ή ακόμη και ολόκληρων εγγράφων, καθώς και αποσπασμάτων από βάσεις δεδομένων στις οποίες αναπαράγονται τα δεδομένα αυτά.
15
Ειδικότερα, το αιτούν δικαστήριο θέτει το ζήτημα αν το άρθρο 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ περιορίζεται στον καθορισμό της μορφής υπό την οποία πρέπει να διασφαλίζεται το δικαίωμα πρόσβασης στις πληροφορίες που διαλαμβάνονται στο άρθρο 15, παράγραφος 1, του κανονισμού αυτού ή αν η καθιερώνει αυτοτελές δικαίωμα του προσώπου το οποίο αφορούν τα δεδομένα να έχει πρόσβαση, υπό τη μορφή αντιγράφου των αποσπασμάτων εγγράφων ή ακόμη και ολόκληρων εγγράφων ή αποσπασμάτων από βάσεις δεδομένων που περιέχουν, μεταξύ άλλων, τα δεδομένα αυτά, στις πληροφορίες σχετικά με το πλαίσιο εντός του οποίου τα δεδομένα του υφίστανται επεξεργασία.
16
Το αιτούν δικαστήριο διερωτάται, επιπλέον, αν η έννοια της «ενημέρωσης», του άρθρου 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ, περιλαμβάνει και τις πληροφορίες που διαλαμβάνονται στο άρθρο 15, παράγραφος 1, στοιχεία αʹ έως ηʹ, του κανονισμού ή ακόμη και συμπληρωματικές πληροφορίες, όπως τα μεταδεδομένα που σχετίζονται με τα δεδομένα, ή αν περιλαμβάνει μόνον τα «δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία», κατά το άρθρο 15, παράγραφος 3, πρώτη περίοδος, του κανονισμού.
17
Υπό τις συνθήκες αυτές, το Bundesverwaltungsgericht (Ομοσπονδιακό Διοικητικό Δικαστήριο, Αυστρία) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1)
Έχει ο όρος “αντίγραφο” στο άρθρο 15, παράγραφος 3, του [ΓΚΠΔ] την έννοια ότι εμπίπτει σε αυτόν φωτοτυπία ή πανομοιότυπο αντίγραφο ή ηλεκτρονικό αντίγραφο (ηλεκτρονικών) δεδομένων, ή εμπίπτει σε αυτόν σύμφωνα και με τα αναφερόμενα στα γερμανικά, γαλλικά και αγγλικά λεξικά και ένα “Abschrift”, ένα “double” (“duplicata”) ή ένα “transcript”;
2)
Έχει το άρθρο 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ, κατά το οποίο «[ο] υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία», την έννοια ότι κατοχυρώνει γενικό δικαίωμα του υποκειμένου των δεδομένων να του δοθεί αντίγραφο –επίσης– του συνόλου των εγγράφων στα οποία γίνεται επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν ή αντίγραφο αποσπάσματος βάσεως δεδομένων προσωπικού χαρακτήρα, σε περίπτωση που η επεξεργασία των δεδομένων προσωπικού χαρακτήρα έχει γίνει σε τέτοια βάση, ή το υποκείμενο των δεδομένων έχει –μόνο– δικαίωμα σε πιστή αναπαραγωγή των δεδομένων προσωπικού χαρακτήρα για τα οποία υφίσταται σύμφωνα με το άρθρο 15, παράγραφος 1, του ΓΚΠΔ δικαίωμα προσβάσεως;
3)
Σε περίπτωση που στο δεύτερο ερώτημα δοθεί η απάντηση ότι το υποκείμενο των δεδομένων έχει δικαίωμα μόνο σε πιστή αναπαραγωγή των δεδομένων προσωπικού χαρακτήρα για τα οποία υφίσταται σύμφωνα με το άρθρο 15, παράγραφος 1, του ΓΚΠΔ δικαίωμα προσβάσεως, έχει το άρθρο 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ την έννοια ότι, με βάση τη φύση των δεδομένων που έχουν υποστεί επεξεργασία [για παράδειγμα τα δεδομένα σχετικά με διαγνώσεις, αποτελέσματα εξετάσεων, αξιολογήσεις για τα οποία γίνεται λόγος στην αιτιολογική σκέψη 63 του ΓΚΠΔ ή επίσης σχετικά με εξετάσεις κατά την έννοια της αποφάσεως του Δικαστηρίου της 20ής Δεκεμβρίου 2017, Nowak (C‑434/16, EU:C:2017:994)] και την υποχρέωση διαφάνειας του άρθρου 12, παράγραφος 1, του ΓΚΠΔ, μπορεί, ωστόσο, να αποδειχθεί αναγκαίο κατά περίπτωση, να παρέχονται στο υποκείμενο των δεδομένων αποσπάσματα εγγράφων ή ολόκληρα έγγραφα;
4)
Έχει ο όρος “ενημέρωση” που πρέπει κατά το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ να παρέχεται στο υποκείμενο των δεδομένων όταν υποβάλλει το αίτημα με ηλεκτρονικά μέσα “σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως”, “εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό”, την έννοια ότι καταλαμβάνει μόνο τα αναφερόμενα στο άρθρο 15, παράγραφος 3, πρώτη περίοδος, “δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία”;
α)
Σε περίπτωση που στο τέταρτο ερώτημα δοθεί αρνητική απάντηση: Έχει ο όρος «ενημέρωση» που πρέπει κατά το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ να παρέχεται στο υποκείμενο των δεδομένων όταν υποβάλλει το αίτημα με ηλεκτρονικά μέσα «σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως», «εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό», την έννοια ότι καταλαμβάνει επίσης και τις πληροφορίες που αναφέρονται στο άρθρο 15, παράγραφος 1, στοιχεία αʹ έως ηʹ, του ΓΚΠΔ;
β)
Σε περίπτωση που δοθεί επίσης αρνητική απάντηση στο τέταρτο ερώτημα, υπό αʹ: Έχει ο όρος «ενημέρωση» που πρέπει κατά το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ να παρέχεται στο υποκείμενο των δεδομένων όταν υποβάλλει το αίτημα με ηλεκτρονικά μέσα «σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως», «εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό», την έννοια ότι καταλαμβάνει πέρα από τα «δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία», καθώς και πέρα από τις πληροφορίες που αναφέρονται στο άρθρο 15, παράγραφος 1, στοιχεία αʹ έως ηʹ, του ΓΚΠΔ, και π.χ. τα μεταδεδομένα που σχετίζονται με αυτές;»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου, δεύτερου και τρίτου προδικαστικού ερωτήματος
18
Με το πρώτο, δεύτερο και τρίτο προδικαστικό ερώτημα, τα οποία πρέπει να εξεταστούν από κοινού, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα της αρχής της διαφάνειας που προβλέπεται στο άρθρο 12, παράγραφος 1, του κανονισμού αυτού, έχει την έννοια ότι το δικαίωμα λήψης αντιγράφου των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία συνεπάγεται ότι στο υποκείμενο των δεδομένων παρέχεται όχι μόνον αντίγραφο των δεδομένων, αλλά και αντίγραφο των αποσπασμάτων εγγράφων ή ακόμη και ολόκληρων εγγράφων ή αποσπασμάτων βάσεων δεδομένων που περιέχουν, μεταξύ άλλων, τα δεδομένα αυτά. Το αιτούν δικαστήριο διερωτάται, ειδικότερα, ως προς την έκταση του δικαιώματος αυτού.
19
Προκαταρκτικώς, υπενθυμίζεται ότι, κατά πάγια νομολογία του Δικαστηρίου, για την ερμηνεία διάταξης του δικαίου της Ένωσης πρέπει να λαμβάνεται υπόψη όχι μόνον το γράμμα της, κατά τη συνήθη έννοιά του στην καθημερινή γλώσσα, αλλά και το πλαίσιο στο οποίο εντάσσεται και οι σκοποί που επιδιώκονται με τη ρύθμιση της οποίας αποτελεί μέρος [πρβλ. αποφάσεις της 2ας Δεκεμβρίου 2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, σκέψη 19 και εκεί μνημονευόμενη νομολογία, και της 7ης Σεπτεμβρίου 2022, Staatssecretaris van Justitie en Veiligheid (Φύση του δικαιώματος διαμονής δυνάμει του άρθρου 20 ΣΛΕΕ), C‑624/20, EU:C:2022:639, σκέψη 28].
20
Όσον αφορά το γράμμα του άρθρου 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ, η διάταξη αυτή ορίζει ότι ο υπεύθυνος επεξεργασίας «παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία».
21
Μολονότι ο ΓΚΠΔ δεν περιέχει ορισμό της έννοιας του «αντιγράφου» όπως χρησιμοποιείται σε αυτόν, πρέπει να ληφθεί υπόψη η συνήθης σημασία της λέξης αυτής, η οποία σημαίνει, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 30 των προτάσεών του, την αναπαραγωγή ή την πιστή μεταγραφή ενός πρωτοτύπου, οπότε μια αμιγώς γενική περιγραφή των δεδομένων που υποβάλλονται σε επεξεργασία ή η παραπομπή σε κατηγορίες δεδομένων προσωπικού χαρακτήρα δεν αντιστοιχεί στον ορισμό αυτόν. Επιπλέον, από το γράμμα του άρθρου 15, παράγραφος 3, πρώτη περίοδος, του κανονισμού αυτού προκύπτει ότι η υποχρέωση γνωστοποίησης συνδέεται με τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία.
22
Το άρθρο 4, σημείο 1, του ΓΚΠΔ ορίζει τα «δεδομένα προσωπικού χαρακτήρα» ως «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο» και διευκρινίζει ότι «το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας, ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου».
23
Η χρήση της φράσης «κάθε πληροφορία» στο πλαίσιο του ορισμού της έννοιας των «δεδομένων προσωπικού χαρακτήρα», που περιλαμβάνεται στη διάταξη αυτή, αντικατοπτρίζει τον σκοπό του νομοθέτη της Ένωσης να ορίσει ευρέως την έννοια αυτή, η οποία δυνητικά καλύπτει κάθε είδος πληροφοριών, τόσο αντικειμενικών όσο και υποκειμενικών, με τη μορφή γνώμης ή εκτιμήσεως, υπό την προϋπόθεση ότι οι πληροφορίες αυτές «αφορούν» το συγκεκριμένο πρόσωπο (βλ., κατ’ αναλογίαν, απόφαση της 20ής Δεκεμβρίου 2017, Nowak, C‑434/16, EU:C:2017:994, σκέψη 34).
24
Συναφώς, έχει κριθεί ότι η πληροφορία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο όταν, λόγω του περιεχομένου της, του σκοπού της ή του αποτελέσματός της, συνδέεται με ταυτοποιήσιμο πρόσωπο (πρβλ. απόφαση της 20ής Δεκεμβρίου 2017, Nowak, C‑434/16, EU:C:2017:994, σκέψη 35).
25
Όσον αφορά τη δυνατότητα «ταυτοποίησης» φυσικού προσώπου, στην αιτιολογική σκέψη 26 του ΓΚΠΔ διευκρινίζεται ότι πρέπει να λαμβάνονται υπόψη «όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου».
26
Επομένως, όπως επισήμανε, κατ’ ουσίαν, ο γενικός εισαγγελέας στα σημεία 36 έως 39 των προτάσεών του, η ευρεία ερμηνεία της έννοιας των «δεδομένων προσωπικού χαρακτήρα» δεν καλύπτει μόνον τα δεδομένα που συλλέγονται και διατηρούνται από τον υπεύθυνο επεξεργασίας, αλλά περιλαμβάνει επίσης όλες τις πληροφορίες που προκύπτουν από την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αφορούν ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο, όπως η εκτίμηση της φερεγγυότητάς του ή της προθυμίας του να πληρώσει.
27
Στο πλαίσιο αυτό, πρέπει ακόμη να προστεθεί ότι ο νομοθέτης της Ένωσης θέλησε να προσδώσει ευρύ περιεχόμενο στην έννοια της «επεξεργασίας», όπως αυτή ορίζεται στο άρθρο 4, σημείο 2, του ΓΚΠΔ, χρησιμοποιώντας μη εξαντλητική απαρίθμηση πράξεων [πρβλ. απόφαση της 24ης Φεβρουαρίου 2022, Valsts ieņēmumu dienests (Επεξεργασία των δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς), C‑175/20, EU:C:2022:124, σκέψη 35].
28
Επομένως, από τη γραμματική ανάλυση του άρθρου 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ προκύπτει ότι η διάταξη αυτή αναγνωρίζει στο υποκείμενο των δεδομένων το δικαίωμα σε πιστή αναπαραγωγή των δεδομένων του προσωπικού χαρακτήρα, ερμηνευόμενων ευρέως, τα οποία υποβάλλονται σε πράξεις που μπορούν να χαρακτηριστούν ως επεξεργασία εκ μέρους του υπευθύνου επεξεργασίας.
29
Τούτου δοθέντος, επιβάλλεται η διαπίστωση ότι το γράμμα της διάταξης αυτής δεν καθιστά, αφ’ εαυτού, δυνατή την απάντηση στα τρία πρώτα προδικαστικά ερωτήματα, στο μέτρο που δεν περιέχει καμία ένδειξη ως προς ενδεχόμενο δικαίωμα λήψης όχι μόνον αντιγράφου των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, αλλά και αντιγράφου αποσπασμάτων εγγράφων ή ακόμη και ολόκληρων εγγράφων ή αποσπασμάτων βάσεων δεδομένων που περιέχουν, μεταξύ άλλων, τα δεδομένα αυτά.
30
Όσον αφορά το πλαίσιο στο οποίο εντάσσεται το άρθρο 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ, επισημαίνεται ότι το άρθρο 15 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων», ορίζει, στην παράγραφο 1, το αντικείμενο και το πεδίο εφαρμογής του δικαιώματος πρόσβασης που αναγνωρίζεται στο υποκείμενο των δεδομένων και κατοχυρώνει το δικαίωμά του να αποκτήσει από τον υπεύθυνο επεξεργασίας πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που το αφορούν, καθώς και στις πληροφορίες που διαλαμβάνονται στα στοιχεία αʹ έως ηʹ της παραγράφου αυτής.
31
Το άρθρο 15, παράγραφος 3, του ΓΚΠΔ διευκρινίζει τις πρακτικές λεπτομέρειες για την εκπλήρωση της υποχρέωσης που υπέχει ο υπεύθυνος επεξεργασίας, αποσαφηνίζοντας, μεταξύ άλλων, στην πρώτη περίοδο, τη μορφή με την οποία ο υπεύθυνος επεξεργασίας πρέπει να παρέχει τα «δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία», δηλαδή με τη μορφή «αντιγράφου». Επιπλέον, η παράγραφος αυτή ορίζει, στην τρίτη περίοδο, ότι, όταν η αίτηση υποβάλλεται ηλεκτρονικά, η ενημέρωση παρέχεται με τη συνήθως χρησιμοποιούμενη ηλεκτρονική μορφή, εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό.
32
Ως εκ τούτου, το άρθρο 15 του ΓΚΠΔ δεν μπορεί να ερμηνευθεί υπό την έννοια ότι θεσπίζει, στην παράγραφο 3, πρώτη περίοδος, δικαίωμα διαφορετικό από εκείνο που προβλέπεται στην παράγραφο 1. Εξάλλου, όπως επισήμανε η Ευρωπαϊκή Επιτροπή με τις γραπτές παρατηρήσεις της, ο όρος «αντίγραφο» δεν αναφέρεται στο έγγραφο αυτό καθεαυτό, αλλά στα δεδομένα προσωπικού χαρακτήρα που περιέχονται σε αυτό, τα οποία πρέπει να είναι πλήρη. Ως εκ τούτου, το αντίγραφο πρέπει να περιέχει όλα τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία.
33
Όσον αφορά τους σκοπούς που επιδιώκονται με το άρθρο 15 του ΓΚΠΔ, επισημαίνεται ότι, όπως διευκρινίζεται στην αιτιολογική σκέψη του 11, σκοπός του ΓΚΠΔ είναι η ενίσχυση και ο λεπτομερής καθορισμός των δικαιωμάτων των υποκειμένων των δεδομένων. Το άρθρο 15 του κανονισμού αυτού προβλέπει, συναφώς, δικαίωμα λήψης αντιγράφου, σε αντίθεση με το άρθρο 12, στοιχείο αʹ, δεύτερη περίπτωση, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31), το οποίο προέβλεπε μόνον τη «γνωστοποίηση, με εύληπτο τρόπο, των δεδομένων υπό επεξεργασία». Η αιτιολογική σκέψη 63 του ΓΚΠΔ διευκρινίζει ότι «[τ]ο υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας».
34
Επομένως, το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ πρέπει να παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να βεβαιώνεται ότι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν είναι ακριβή και ότι η επεξεργασία τους γίνεται με νόμιμο τρόπο [πρβλ. απόφαση της 12ης Ιανουαρίου 2023, Österreichische Post (Πληροφορίες σχετικά με τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα), C‑154/21, EU:C:2023:3, σκέψη 37 και εκεί μνημονευόμενη νομολογία].
35
Ειδικότερα, το δικαίωμα πρόσβασης είναι αναγκαίο προκειμένου το υποκείμενο των δεδομένων να μπορεί να ασκήσει, ενδεχομένως, το δικαίωμά του διόρθωσης, το δικαίωμά του διαγραφής των δεδομένων («δικαίωμα στη λήθη») και το δικαίωμά του περιορισμού της επεξεργασίας, τα οποία του αναγνωρίζονται, αντιστοίχως, από τα άρθρα 16, 17 και 18 του ΓΚΠΔ, το δικαίωμά του να αντιταχθεί στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν, το οποίο προβλέπεται στο άρθρο 21 του ΓΚΠΔ, καθώς και το δικαίωμά του να ασκήσει αγωγή σε περίπτωση ζημίας, το οποίο προβλέπεται στα άρθρα 79 και 82 του ΓΚΠΔ. [απόφαση της 12ης Ιανουαρίου 2023, Österreichische Post (Πληροφορίες σχετικά με τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα), C‑154/21, EU:C:2023:3, σκέψη 38 και εκεί μνημονευόμενη νομολογία].
36
Επισημαίνεται επίσης ότι στην αιτιολογική σκέψη 60 του ΓΚΠΔ αναφέρεται ότι η αρχή της δίκαιης και διαφανούς επεξεργασίας απαιτεί να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της, ενώ τονίζεται ότι ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει κάθε περαιτέρω πληροφορία που είναι αναγκαία για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας, λαμβάνοντας υπόψη τις ειδικές συνθήκες και το πλαίσιο εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα.
37
Εξάλλου, σύμφωνα με τη μνημονευόμενη από το αιτούν δικαστήριο αρχή της διαφάνειας, στην οποία παραπέμπει η αιτιολογική σκέψη 58 του ΓΚΠΔ και η οποία κατοχυρώνεται ρητώς στο άρθρο 12, παράγραφος 1, του κανονισμού αυτού, οποιαδήποτε ενημέρωση που απευθύνεται στο κοινό ή στο υποκείμενο των δεδομένων πρέπει να είναι συνοπτική, εύκολα προσβάσιμη και εύκολα κατανοητή και έχει σαφή και απλή διατύπωση.
38
Όπως επισήμανε ο γενικός εισαγγελέας στα σημεία 54 και 55 των προτάσεών του, από την ως άνω διάταξη προκύπτει ότι ο υπεύθυνος επεξεργασίας οφείλει να λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που μνημονεύεται, μεταξύ άλλων, στο άρθρο 15 του ΓΚΠΔ, σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, και ότι οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, μεταξύ άλλων, εφόσον ενδείκνυται, ηλεκτρονικώς, εκτός εάν το υποκείμενο των δεδομένων ζητήσει να παρασχεθούν προφορικά. Σκοπός της προμνησθείσας διάταξης, η οποία αποτελεί έκφραση της αρχής της διαφάνειας, είναι να διασφαλίζεται ότι το υποκείμενο των δεδομένων είναι σε θέση να κατανοεί πλήρως τις πληροφορίες που του διαβιβάζονται.
39
Ως εκ τούτου, το αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, το οποίο ο υπεύθυνος επεξεργασίας οφείλει να παράσχει δυνάμει του άρθρου 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ, πρέπει να έχει όλα τα χαρακτηριστικά που επιτρέπουν στο υποκείμενο των δεδομένων να ασκήσει αποτελεσματικά τα δικαιώματά του βάσει του κανονισμού αυτού και πρέπει, κατά συνέπεια, να αναπαράγει πλήρως και πιστά τα δεδομένα αυτά.
40
Η ερμηνεία αυτή ανταποκρίνεται στον σκοπό του κανονισμού ο οποίος συνίσταται, μεταξύ άλλων, όπως προκύπτει από την αιτιολογική σκέψη του 10, στη διασφάλιση υψηλού επιπέδου προστασίας των φυσικών προσώπων εντός της Ένωσης και στη διασφάλιση, για τον σκοπό αυτόν, της συνεκτικής και ομοιόμορφης εφαρμογής των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των προσώπων αυτών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση (πρβλ. απόφαση της 9ης Φεβρουαρίου 2023, X-FAB Dresden, C‑453/21, EU:C:2023:79, σκέψη 25 και εκεί μνημονευόμενη νομολογία).
41
Πράγματι, προκειμένου να διασφαλιστεί ότι οι κατ’ αυτόν τον τρόπο παρεχόμενες πληροφορίες είναι ευχερώς κατανοητές, όπως απαιτεί το άρθρο 12, παράγραφος 1, σε συνδυασμό με την αιτιολογική σκέψη 58 του κανονισμού του ΓΚΠΔ, η αναπαραγωγή αποσπασμάτων εγγράφων ή ακόμη και ολόκληρων εγγράφων ή αποσπασμάτων από βάσεις δεδομένων που περιέχουν, μεταξύ άλλων, τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία μπορεί να αποδειχθεί απαραίτητη, όπως επισήμανε ο γενικός εισαγγελέας στα σημεία 57 και 58 των προτάσεών του, στην περίπτωση που, προκειμένου να εξασφαλιστεί ο εύληπτος χαρακτήρας των δεδομένων, απαιτείται η ένταξή τους σε συγκεκριμένο πλαίσιο.
42
Ειδικότερα, όταν δεδομένα προσωπικού χαρακτήρα παράγονται από άλλα δεδομένα ή όταν τα δεδομένα αυτά προέρχονται από ελεύθερα πεδία, δηλαδή από την έλλειψη ενδείξεων που αποκαλύπτουν πληροφορίες σχετικά με το υποκείμενο των δεδομένων, το πλαίσιο εντός του οποίου τα δεδομένα υποβάλλονται σε επεξεργασία αποτελεί απαραίτητο στοιχείο προκειμένου το υποκείμενο των δεδομένων να έχει διαφανή πρόσβαση και εύληπτη παρουσίαση των δεδομένων.
43
Εξάλλου, σύμφωνα με το άρθρο 15, παράγραφος 4, του ΓΚΠΔ, σε συνδυασμό με την αιτιολογική σκέψη 63 του κανονισμού αυτού, το κατά την παράγραφο 3 δικαίωμα λήψης αντιγράφου δεν πρέπει να θίγει τα δικαιώματα και τις ελευθερίες τρίτων, συμπεριλαμβανομένων του επαγγελματικού απορρήτου ή της διανοητικής ιδιοκτησίας, ιδίως του δικαιώματος πνευματικής ιδιοκτησίας που προστατεύει το λογισμικό.
44
Επομένως, όπως υπογράμμισε ο γενικός εισαγγελέας στο σημείο 61 των προτάσεών του, σε περίπτωση σύγκρουσης μεταξύ, αφενός, της άσκησης του δικαιώματος πλήρους πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και, αφετέρου, των δικαιωμάτων ή των ελευθεριών τρίτων, θα πρέπει να γίνει στάθμιση των επίμαχων δικαιωμάτων. Οσάκις είναι δυνατόν, θα πρέπει να επιλέγονται τρόποι κοινοποίησης των δεδομένων προσωπικού χαρακτήρα οι οποίοι δεν προσβάλλουν τα δικαιώματα ή τις ελευθερίες τρίτων, λαμβανομένου, εντούτοις, υπόψη ότι, όπως προκύπτει από την αιτιολογική σκέψη 63 του ΓΚΠΔ, τέτοιοι παράγοντες δεν πρέπει «να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων».
45
Λαμβανομένων υπόψη των προεκτεθέντων, στο πρώτο, στο δεύτερο και στο τρίτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 15, παράγραφος 3, πρώτη περίοδος, του ΓΚΠΔ
έχει την έννοια ότι:
το δικαίωμα του υποκειμένου των δεδομένων να λάβει από τον υπεύθυνο επεξεργασίας αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία συνεπάγεται ότι στον υποκείμενο των δεδομένων παρέχεται πρόσβαση σε πιστή και εύληπτη αναπαραγωγή του συνόλου των δεδομένων αυτών. Το δικαίωμα αυτό προϋποθέτει το δικαίωμα λήψης αντιγράφων αποσπασμάτων εγγράφων ή ακόμη και ολόκληρων εγγράφων ή αποσπασμάτων από βάσεις δεδομένων που περιέχουν, μεταξύ άλλων, τα εν λόγω δεδομένα, αν η παροχή ενός τέτοιου αντιγράφου είναι απαραίτητη για να μπορέσει ο ενδιαφερόμενος να ασκήσει αποτελεσματικά τα δικαιώματα που του παρέχει ο κανονισμός, με την επισήμανση ότι πρέπει να λαμβάνονται συναφώς υπόψη τα δικαιώματα και οι ελευθερίες των τρίτων.
Επί του τέταρτου προδικαστικού ερωτήματος
46
Με το ερώτημα αυτό, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ έχει την έννοια ότι ο όρος «ενημέρωση» που διαλαμβάνεται σε αυτό αφορά αποκλειστικώς τα δεδομένα προσωπικού χαρακτήρα για τα οποία ο υπεύθυνος επεξεργασίας πρέπει να παρέχει αντίγραφο, κατ’ εφαρμογήν της πρώτης περιόδου της παραγράφου αυτής, ή αν αφορά και το σύνολο των πληροφοριών που μνημονεύονται στην παράγραφο 1 του άρθρου αυτού ή ακόμη αν περιλαμβάνει και στοιχεία που βαίνουν πέραν αυτών, όπως τα μεταδεδομένα.
47
Όπως υπομνήσθηκε στη σκέψη 19 της παρούσας αποφάσεως, για την ερμηνεία διατάξεως του δικαίου της Ένωσης πρέπει να λαμβάνεται υπόψη όχι μόνο το γράμμα της, αλλά και το πλαίσιο στο οποίο εντάσσεται, καθώς και οι σκοποί που επιδιώκονται με τη ρύθμιση της οποίας αποτελεί μέρος.
48
Συναφώς, μολονότι το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ ορίζει απλώς ότι, «εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως», χωρίς να διευκρινίζει την έννοια του όρου «ενημέρωση», η πρώτη περίοδος της ίδιας παραγράφου ορίζει ότι «ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία».
49
Ως εκ τούτου, από το πλαίσιο στο οποίο εντάσσεται το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ προκύπτει ότι η «ενημέρωση» που διαλαμβάνεται σε αυτό αντιστοιχεί κατ’ ανάγκην στα δεδομένα προσωπικού χαρακτήρα για τα οποία πρέπει να παρέχει αντίγραφο ο υπεύθυνος επεξεργασίας σύμφωνα με την πρώτη περίοδο της παραγράφου αυτής.
50
Η ερμηνεία αυτή επιβεβαιώνεται από τους σκοπούς που επιδιώκει το άρθρο 15, παράγραφος 3, του ΓΚΠΔ, οι οποίοι συνίστανται, όπως υπομνήσθηκε στη σκέψη 31 της παρούσας αποφάσεως, στον καθορισμό των πρακτικών λεπτομερειών για την εκπλήρωση της υποχρέωσης του υπευθύνου επεξεργασίας να παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Κατά συνέπεια, η διάταξη αυτή δεν δημιουργεί ένα δικαίωμα που είναι αυτοτελές σε σχέση με το δικαίωμα του υποκειμένου των δεδομένων σε πιστή και εύληπτη αναπαραγωγή των δεδομένων, ούτως ώστε να μπορεί να ασκήσει αποτελεσματικά τα δικαιώματα που του παρέχει ο κανονισμός.
51
Επισημαίνεται, όμως, ότι καμία διάταξη του εν λόγω κανονισμού δεν εισάγει διαφορετική μεταχείριση του αιτήματος αναλόγως της μορφής υπό την οποία υποβάλλεται, οπότε η έκταση του δικαιώματος λήψης αντιγράφου δεν μπορεί να ποικίλλει αναλόγως της μορφής του αιτήματος.
52
Εξάλλου, επισημαίνεται επίσης ότι, σύμφωνα με το άρθρο 12, παράγραφος 3, του ΓΚΠΔ, όταν το αίτημα υποβάλλεται ηλεκτρονικά, οι πληροφορίες που διαλαμβάνονται στο άρθρο 15, καθώς και εκείνες που μνημονεύονται στο άρθρο 15, παράγραφος 1, στοιχεία αʹ έως ηʹ, παρέχονται με ηλεκτρονικά μέσα, εκτός αν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό.
53
Λαμβανομένων υπόψη των προεκτεθέντων, στο τέταρτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του ΓΚΠΔ
έχει την έννοια ότι:
η «ενημέρωση» που διαλαμβάνεται σε αυτό αφορά αποκλειστικά τα δεδομένα προσωπικού χαρακτήρα για τα οποία οφείλει να παρέχει αντίγραφο ο υπεύθυνος επεξεργασίας κατ’ εφαρμογήν της πρώτης περιόδου της παραγράφου αυτής.
Επί των δικαστικών εξόδων
54
Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (πρώτο τμήμα) αποφαίνεται:
1)
Το άρθρο 15, παράγραφος 3, πρώτη περίοδος, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
το δικαίωμα του υποκειμένου των δεδομένων να λάβει από τον υπεύθυνο επεξεργασίας αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία συνεπάγεται ότι στον υποκείμενο των δεδομένων παρέχεται πρόσβαση σε πιστή και εύληπτη αναπαραγωγή του συνόλου των δεδομένων αυτών. Το δικαίωμα αυτό προϋποθέτει το δικαίωμα λήψης αντιγράφων αποσπασμάτων εγγράφων ή ακόμη και ολόκληρων εγγράφων ή αποσπασμάτων από βάσεις δεδομένων που περιέχουν, μεταξύ άλλων, τα εν λόγω δεδομένα, αν η παροχή ενός τέτοιου αντιγράφου είναι απαραίτητη για να μπορέσει ο ενδιαφερόμενος να ασκήσει αποτελεσματικά τα δικαιώματα που του παρέχει ο κανονισμός, με την επισήμανση ότι πρέπει να λαμβάνονται συναφώς υπόψη τα δικαιώματα και οι ελευθερίες των τρίτων.
2)
Το άρθρο 15, παράγραφος 3, τρίτη περίοδος, του κανονισμού 2016/679
έχει την έννοια ότι:
η «ενημέρωση» που διαλαμβάνεται σε αυτό αφορά αποκλειστικά τα δεδομένα προσωπικού χαρακτήρα για τα οποία οφείλει να παρέχει αντίγραφο ο υπεύθυνος επεξεργασίας κατ’ εφαρμογήν της πρώτης περιόδου της παραγράφου αυτής.
(υπογραφές)
(
*1
)	Γλώσσα διαδικασίας: η γερμανική.