Προσωρινό κείμενο
ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
RIMVYDAS NORKUS
της 16ης Απριλίου 2026 (1)
Υπόθεση C‑205/25
Joachim
Lindenberg
κατά
Bayerisches
Landesamt
für
Datenschutzaufsicht
[αίτηση του Bayerisches Verwaltungsgericht Ansbach(βαυαρικού διοικητικού πρωτοδικείου Ansbach, Γερμανία)για την έκδοση προδικαστικής αποφάσεως]
« Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 15 – Αίτημα πρόσβασης του υποκειμένου των δεδομένων στα δεδομένα προσωπικού χαρακτήρα που το αφορούν – Άρθρο 77 – Δεδομένα που περιέχονται στον φάκελο εποπτικής αρχής που επιλαμβάνεται διαδικασίας καταγγελίας – Άρθρο 4, σημείο 7 – Έννοια του όρου “υπεύθυνος επεξεργασίας” – Άρθρο 23 – Περιορισμοί του δικαιώματος πρόσβασης – Εθνική ρύθμιση η οποία αποκλείει κάθε πρόσβαση στον φάκελο »
I.      Εισαγωγή
1.        Η υπό κρίση αίτηση προδικαστικής αποφάσεως την οποία υπέβαλε το Bayerisches Verwaltungsgericht Ansbach (βαυαρικό διοικητικό πρωτοδικείο Ansbach, Γερμανία) δυνάμει του άρθρου 267 ΣΛΕΕ έχει ως αντικείμενο την ερμηνεία του άρθρου 4, σημεία 7 και 21, και των άρθρων 15, 23 και 77 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (2) (στο εξής: ΓΚΠΔ).
2.        Η αίτηση προδικαστικής αποφάσεως εντάσσεται στο πλαίσιο ένδικης διαφοράς μεταξύ του Joachim Lindenberg, δημοσιογράφου ειδικευμένου στην προστασία των δεδομένων, και της Bayerisches Landesamt für Datenschutzaufsicht (βαυαρικής Αρχής προστασίας δεδομένων, Γερμανία) (στο εξής: Landesamt), σχετικά με την άρνηση της ως άνω Αρχής να του παράσχει, βάσει του άρθρου 15 του ΓΚΠΔ, πλήρη πρόσβαση στον φάκελο διαδικασίας κινηθείσας κατόπιν καταγγελίας που είχε υποβάλει κατά τρίτου. Η Landesamt αιτιολόγησε την άρνηση αυτή με μια βαυαρική διάταξη η οποία αποκλείει την πρόσβαση του κοινού στους φακέλους των εποπτικών αρχών. Κατόπιν προσφυγής που άσκησε ο J. Lindenberg, η ως άνω Αρχή παρέσχε τελικά ηλεκτρονική πρόσβαση στον φάκελο, χωρίς ωστόσο να διαπιστώσει πλάνη περί το δίκαιο, ενώ ο προσφεύγων εξακολουθεί να ζητεί τη διαπίστωση του παράνομου χαρακτήρα της αρχικής άρνησης. Το αιτούν δικαστήριο, εκτιμώντας ότι η επίλυση της διαφοράς προϋποθέτει ερμηνεία των σχετικών διατάξεων του ΓΚΠΔ καθώς και εξέταση της συμβατότητας της βαυαρικής νομοθεσίας με το δίκαιο της Ένωσης, αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο δύο προδικαστικά ερωτήματα.
3.        Το Δικαστήριο καλείται να αποφανθεί επί του ζητήματος αν μια εποπτική αρχή προστασίας δεδομένων, στο πλαίσιο διεκπεραίωσης διαδικασίας καταγγελίας δυνάμει του άρθρου 77 του ΓΚΠΔ, μπορεί να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ και κατά πόσον υποχρεούται να συμμορφώνεται με τις υποχρεώσεις πρόσβασης που προβλέπονται στο άρθρο 15 του ΓΚΠΔ. Καλείται, μεταξύ άλλων, να εξετάσει αν το δίκαιο της Ένωσης αντιτίθεται σε εθνική ρύθμιση η οποία αποκλείει, για τα υποκείμενα των δεδομένων, κάθε δικαίωμα πρόσβασης στον φάκελο. Η εκτίμηση αυτή πρέπει να πραγματοποιηθεί υπό το πρίσμα του άρθρου 23 του ΓΚΠΔ, το οποίο, για ορισμένους λόγους γενικού συμφέροντος, παρέχει τη δυνατότητα περιορισμού των υποχρεώσεων παροχής πρόσβασης που προβλέπονται στον εν λόγω κανονισμό, καθώς και του άρθρου 8, παράγραφος 2, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης), το οποίο εγγυάται σε κάθε πρόσωπο το δικαίωμα πρόσβασης στα συλλεγέντα δεδομένα που το αφορούν. Συναφώς, το Δικαστήριο θα πρέπει να σταθμίσει, αφενός, την απαίτηση διαφάνειας της διοικητικής δράσης και, αφετέρου, την ανάγκη διασφάλισης της αποτελεσματικότητας των ερευνών στον τομέα της προστασίας των δεδομένων.
II.    Το νομικό πλαίσιο
Α.      Το δίκαιο της Ένωσης
4.        Στο πλαίσιο της υπό κρίση υπόθεσης, κρίσιμα είναι τα άρθρα 8 και 52 του Χάρτη, το άρθρο 16 ΣΛΕΕ, καθώς και το άρθρο 4, σημεία 1, 2, 7 και 9, και τα άρθρα 5, 15, 23, 51, 57, 58 και 77 του ΓΚΠΔ.
Β.      Το γερμανικό δίκαιο
5.        Δυνάμει του άρθρου 18 του Bayerisches Datenschutzgesetz (βαυαρικού νόμου για την προστασία δεδομένων, στο εξής: BayDSG), η Landesamt είναι εποπτική αρχή για τους μη δημόσιους φορείς.
6.        Το άρθρο 20 του BayDSG προβλέπει τα εξής:
«(1) Κάθε πρόσωπο μπορεί να απευθύνεται στις εποπτικές αρχές επικαλούμενο προσβολή των δικαιωμάτων του κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Η προσφυγή στις εποπτικές αρχές δεν έχει δυσμενείς συνέπειες για το υποκείμενο των δεδομένων.
(2)      Σε σχέση με τους φακέλους και τα αρχεία των εποπτικών αρχών δεν υφίστανται δικαιώματα πρόσβασης ή παροχής πληροφοριών.»
7.        Στην αιτιολογική έκθεση του νόμου σχετικά με το άρθρο 20, παράγραφος 2, του BayDSG αναφέρεται ότι η διάταξη αυτή εφαρμόζεται και αποκλείει κάθε δικαίωμα πρόσβασης δυνάμει του άρθρου 15 του ΓΚΠΔ εφόσον το δικαίωμα αυτό προβάλλεται έναντι της Landesamt όσον αφορά τους φακέλους και τα αρχεία της.
III. Τα πραγματικά περιστατικά της διαφοράς της κύριας δίκης, η διαδικασία της κύριας δίκης και τα προδικαστικά ερωτήματα
8.        Ο J. Lindenberg είναι δημοσιογράφος και διατηρεί ιστολόγιο με αντικείμενο, μεταξύ άλλων, την προστασία των δεδομένων. Από το 2021 έχει υποβάλει πλείονες καταγγελίες στη Landesamt.
9.        Κατόπιν καταγγελίας του J. Lindenberg της 13ης Μαΐου 2022 σχετικά με την προστασία δεδομένων ενώπιον της Landesamt, η τελευταία κίνησε διαδικασία ελέγχου έναντι τρίτου. Με μήνυμα ηλεκτρονικού ταχυδρομείου της 11ης Οκτωβρίου 2022, η Landesamt ενημέρωσε τον J. Lindenberg ότι στο πλαίσιο αυτό διαπίστωσε παραβάσεις της νομοθεσίας περί προσωπικών δεδομένων εκ μέρους του καθού η καταγγελία. Επιπλέον, επισήμανε ότι, μετά τη λήξη της προθεσμίας που τάχθηκε για την άρση των παραβάσεων αυτών, σε περίπτωση νέων παραβάσεων εκ μέρους του καθού η καταγγελία, θα προβεί στην επιβολή διοικητικής κύρωσης. Με μήνυμα ηλεκτρονικού ταχυδρομείου της ίδιας ημέρας, ο J. Lindenberg ζήτησε να λάβει γνώση περαιτέρω λεπτομερειών σχετικά με τα μέτρα που έλαβε η Landesamt. Δεδομένου ότι η τελευταία δεν ανταποκρίθηκε στο αίτημα αυτό, ο J. Lindenberg ζήτησε βάσει του άρθρου 15, παράγραφοι 1 και 3, του ΓΚΠΔ, με μήνυμα ηλεκτρονικού ταχυδρομείου της 11ης Οκτωβρίου 2022, πλήρη πρόσβαση στις σχετικές πληροφορίες.
10.      Με μήνυμα ηλεκτρονικού ταχυδρομείου και απόφαση της 20ής Οκτωβρίου 2022, η Landesamt απέρριψε το αίτημα πρόσβασης που υποβλήθηκε βάσει του άρθρου 15, παράγραφοι 1 και 3, του ΓΚΠΔ. Αιτιολόγησε την απόρριψη αυτή με το σκεπτικό ότι σύμφωνα με τη ρητή διάταξη του άρθρου 20, παράγραφος 2, του BayDSG δεν υφίσταται δικαίωμα πρόσβασης και παροχής πληροφοριών σε σχέση με τους φακέλους και τα αρχεία των εποπτικών αρχών.
11.      Ο J. Lindenberg άσκησε προσφυγή κατά της ως άνω απόφασης ενώπιον του Bayerisches Verwaltungsgericht Ansbach (βαυαρικού διοικητικού πρωτοδικείου Ansbach), με αίτημα να υποχρεωθεί η Landesamt να του παράσχει αντίγραφο όλων των δεδομένων που περιλαμβάνονται στον φάκελο της διαδικασίας που κινήθηκε κατόπιν της καταγγελίας της 13ης Μαΐου 2022.
12.      Στις 23 Φεβρουαρίου 2024, η Landesamt χορήγησε, χωρίς ωστόσο να δεχθεί ότι είχε νομική υποχρέωση προς τούτο, ηλεκτρονική πρόσβαση στον φάκελο της διαδικασίας ελέγχου που κινήθηκε κατόπιν της καταγγελίας του J. Lindenberg.
13.      Ο J. Lindenberg ζητεί πλέον μόνο να διαπιστωθεί ο παράνομος χαρακτήρας της απόφασης της 20ής Οκτωβρίου 2022 με την οποία η Landesamt απέρριψε το αίτημά του περί παροχής πρόσβασης.
14.      Το αιτούν δικαστήριο επισημαίνει ότι, σε περίπτωση που ένας καταγγέλλων, όπως στην υπό κρίση υπόθεση ο J. Lindenberg, θέσει σε κίνηση διαδικασία καταγγελίας ενώπιον εποπτικής αρχής προστασίας δεδομένων, όπως η Landesamt, δυνάμει του άρθρου 77 του ΓΚΠΔ, η αρχή αυτή ενεργεί έναντι του καταγγέλλοντος στο πλαίσιο της διαδικασίας καταγγελίας ως εποπτική αρχή κατά την έννοια του άρθρου 4, σημείο 21, του ΓΚΠΔ. Ορισμένοι, μεταξύ των οποίων και η Landesamt, θεωρούν ότι τούτο αποκλείει τη δυνατότητα η εποπτική αρχή προστασίας δεδομένων να αποτελεί σε σχέση με τον καταγγέλλοντα «υπεύθυνο επεξεργασίας» κατά την έννοια του άρθρου 15 ΓΚΠΔ, σε συνδυασμό με το άρθρο 4, σημείο 7, του ΓΚΠΔ, και ότι συνακόλουθα αποκλείεται εκ των προτέρων η ύπαρξη δικαιώματος του καταγγέλλοντος κατά της εποπτικής αρχής προστασίας δεδομένων για πρόσβαση σε δεδομένα προσωπικού χαρακτήρα που προέρχονται από τη διαδικασία διεκπεραίωσης καταγγελίας.
15.      Αντιθέτως, το αιτούν δικαστήριο εκκινεί από την παραδοχή ότι μια εποπτική αρχή προστασίας δεδομένων μπορεί ταυτόχρονα να αποτελεί εποπτική αρχή κατά την έννοια του άρθρου 4, σημείο 21, του ΓΚΠΔ, και υπεύθυνο επεξεργασίας καθώς και αποδέκτη του αιτήματος κατά την έννοια του άρθρου 15 σε συνδυασμό με το άρθρο 4, σημείο 7, του ΓΚΠΔ.
16.      Το αιτούν δικαστήριο εκτιμά ότι, σε περίπτωση καταφατικής απάντησης, τίθεται το ζήτημα αν ένας γενικός αποκλεισμός του δικαιώματος πρόσβασης στους φακέλους και στα αρχεία της εποπτικής αρχής, όπως αυτός που προβλέπεται στο άρθρο 20, παράγραφος 2, του BayDSG, πληροί τις προϋποθέσεις της ρήτρας ανοίγματος του άρθρου 23, παράγραφος 1, του ΓΚΠΔ.
17.      Υπό τις συνθήκες αυτές, το Bayerisches Verwaltungsgericht Ansbach (βαυαρικό διοικητικό πρωτοδικείο Ansbach) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1)      Έχει το άρθρο 15 σε συνδυασμό με το άρθρο 4, σημείο 7, του [ΓΚΠΔ], την έννοια ότι μια εποπτική αρχή, όπως αυτή ορίζεται στο άρθρο 4, σημείο 21, του εν λόγω κανονισμού, η οποία ενεργεί στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας που υποβλήθηκε από υποκείμενο των δεδομένων δυνάμει του άρθρου 77 του αυτού κανονισμού, αποτελεί ταυτόχρονα “υπεύθυνο επεξεργασίας” κατά την έννοια του άρθρου 15 σε συνδυασμό με το άρθρο 4, σημείο 7, του κανονισμού και επομένως υποχρεούται, βάσει του προμνησθέντος άρθρου 15 [του ΓΚΠΔ], να παρέχει πληροφορίες στο υποκείμενο των δεδομένων;
2)      Σε περίπτωση καταφατικής απαντήσεως στο πρώτο προδικαστικό ερώτημα: Έχει το δίκαιο της Ένωσης, και ειδικότερα το άρθρο 23 του [ΓΚΠΔ], την έννοια ότι αντιτίθεται σε εθνική ρύθμιση –όπως το επίμαχο στην υπόθεση της κύριας δίκης άρθρο 20, παράγραφος 2, του [BayDSG]– βάσει της οποίας δεν υφίστανται εν γένει δικαιώματα προσβάσεως ή παροχής πληροφοριών σε σχέση με τους φακέλους και τα αρχεία των εποπτικών αρχών, όπως αυτές ορίζονται στο άρθρο 4, σημείο 21, του [ΓΚΠΔ];»
IV.    Η διαδικασία ενώπιον του Δικαστηρίου
18.      Η από 19 Φεβρουαρίου 2025 απόφαση περί παραπομπής περιήλθε στη Γραμματεία του Δικαστηρίου στις 17 Μαρτίου 2025.
19.      Η Landesamt, η Βουλγαρική και η Λεττονική Κυβέρνηση καθώς και η Ευρωπαϊκή Επιτροπή κατέθεσαν γραπτές παρατηρήσεις εντός της προθεσμίας που τάσσει το άρθρο 23 του Οργανισμού του Δικαστηρίου της Ευρωπαϊκής Ένωσης.
20.      Κατά την επ’ ακροατηρίου συζήτηση της 22ας Ιανουαρίου 2026, οι πληρεξούσιοι του J. Lindenberg, της Landesamt, της Βουλγαρικής Κυβέρνησης και της Ευρωπαϊκής Επιτροπής, ανέπτυξαν τις παρατηρήσεις τους.
V.      Νομική ανάλυση
Α.      Προκαταρκτικές παρατηρήσεις
21.      Η υπό κρίση υπόθεση εγείρει ένα ζήτημα αρχής σχετικά με το νομικό καθεστώς των εποπτικών αρχών υπό το πρίσμα των δικαιωμάτων που αναγνωρίζονται από τον ΓΚΠΔ και, ειδικότερα, του δικαιώματος πρόσβασης που κατοχυρώνεται στο άρθρο 15 του εν λόγω κανονισμού. Πρόκειται για τον καθορισμό του αν, κατά την εξέταση καταγγελίας υποβληθείσας δυνάμει του άρθρου 77 του ΓΚΠΔ, μια εποπτική αρχή μπορεί να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» για τα δεδομένα που υποβάλλονται σε επεξεργασία στο συγκεκριμένο πλαίσιο, κατά την έννοια του άρθρου 4, σημείο 7, του κανονισμού αυτού. Ο χαρακτηρισμός αυτός είναι καθοριστικός, δεδομένου ότι αποτελεί προϋπόθεση για τη δυνατότητα εφαρμογής των υποχρεώσεων παροχής πρόσβασης που μπορούν να αντιταχθούν στον υπεύθυνο επεξεργασίας, και θέτει γενικότερα το ζήτημα της ισορροπίας μεταξύ της προστασίας των ατομικών δικαιωμάτων και των χαρακτηριστικών που προσιδιάζουν στην άσκηση των καθηκόντων ελέγχου, τα οποία στηρίζονται στην ανεξαρτησία κατά τη λήψη αποφάσεων, στην εμπιστευτικότητα και στην αποτελεσματικότητα των εξουσιών έρευνας.
22.      Σε περίπτωση που το Δικαστήριο κρίνει ότι η εποπτική αρχή υποχρεούται, κατ’ αρχήν, να τηρεί το άρθρο 15 του ΓΚΠΔ, τούτο θα εγείρει ένα δεύτερο ζήτημα, κανονιστικής φύσεως, σχετικά με τη συμβατότητα ενός γενικού και απόλυτου αποκλεισμού του δικαιώματος πρόσβασης στους διοικητικούς φακέλους με το νομικό πλαίσιο της Ένωσης. Μια τέτοια εθνική ρύθμιση πρέπει να εξεταστεί υπό το πρίσμα των απαιτήσεων του άρθρου 23 του ΓΚΠΔ, το οποίο οριοθετεί αυστηρά τους περιορισμούς που μπορούν να επιβληθούν στα δικαιώματα τα οποία εγγυάται, εξαρτώντας τους από την τήρηση σωρευτικών προϋποθέσεων όσον αφορά τη νομική βάση, την αναγκαιότητα, την αναλογικότητα και τη διαφύλαξη των σκοπών γενικού συμφέροντος που αναγνωρίζει η Ένωση. Η ανάλυση αυτή απαιτεί επίσης την ενσωμάτωση των εγγυήσεων που απορρέουν από το πρωτογενές δίκαιο, ιδίως εκείνων που αφορούν τον σεβασμό των θεμελιωδών δικαιωμάτων και την αποτελεσματικότητα των μέσων έννομης προστασίας.
23.      Επομένως, η νομική ανάλυση θα πραγματοποιηθεί σε δύο διαδοχικά στάδια. Αφενός, πρέπει να προσδιοριστεί εάν και σε ποιο βαθμό μια εποπτική αρχή μπορεί να εξομοιωθεί με «υπεύθυνο επεξεργασίας» στο πλαίσιο μιας διαδικασίας διεκπεραίωσης καταγγελίας, ώστε να δεσμεύεται από τις υποχρεώσεις παροχής πρόσβασης που κατοχυρώνονται στον ΓΚΠΔ (3). Αφετέρου, και μόνο σε περίπτωση καταφατικής απαντήσεως, πρέπει να εξεταστεί το ζήτημα αν ένας γενικός, χωρίς διάκριση, προληπτικός αποκλεισμός από το δικαίωμα πρόσβασης στους φακέλους των εποπτικών αρχών είναι συμβατός με το εναρμονισμένο καθεστώς του ΓΚΠΔ, υπό το πρίσμα των επιταγών της διοικητικής διαφάνειας, της προστασίας των δεδομένων, της θεσμικής ανεξαρτησίας και της αποτελεσματικότητας των μηχανισμών ελέγχου, οι οποίες πρέπει να σταθμίζονται χωρίς κάποια από τις επιταγές αυτές να καθίσταται κενή περιεχομένου (4).
Β.      Επί του πρώτου προδικαστικού ερωτήματος
1.      Επί του χαρακτηρισμού μιας εποπτικής αρχής ως «υπευθύνου επεξεργασίας» βάσει του άρθρου 4, σημείο 7, του ΓΚΠΔ
24.      Όσον αφορά το ζήτημα του ενδεχόμενου χαρακτηρισμού μιας εποπτικής αρχής ως «υπευθύνου επεξεργασίας», το οποίο αποτελεί το αντικείμενο του πρώτου προδικαστικού ερωτήματος, πρέπει, προκαταρκτικώς, να υπομνησθεί ο νομικός ορισμός της έννοιας αυτής, όπως διατυπώνεται στο άρθρο 4, σημείο 7, του ΓΚΠΔ. Κατά τη διάταξη αυτή, ως «υπεύθυνος της επεξεργασίας» νοείται κάθε «φυσικό ή νομικό πρόσωπο, [...] δημόσια αρχή, [...] υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα». Συναφώς, πρέπει να υπομνησθεί ότι, κατά πάγια νομολογία του Δικαστηρίου, η εν λόγω έννοια ερμηνεύεται ευρέως (5).
25.      Κατ’ αρχάς, διαπιστώνεται ότι ο νομικός αυτός ορισμός αναφέρεται ρητώς στις «δημόσιες αρχές». Επομένως, το ίδιο το γράμμα του άρθρου 4, σημείο 7, του ΓΚΠΔ ουδόλως αποκλείει τη δυνατότητα χαρακτηρισμού μιας εποπτικής αρχής ως «υπευθύνου επεξεργασίας». Ο νομοθέτης της Ένωσης σκοπίμως απέφυγε να κάνει διάκριση μεταξύ ιδιωτικών και δημόσιων φορέων, όπως καταδεικνύεται από πλείονες αιτιολογικές σκέψεις στις οποίες γίνεται ρητή αναφορά στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από δημόσιες αρχές. Άλλωστε, το γεγονός ότι η εποπτική αρχή ορίζεται, στο άρθρο 4, σημείο 21, του ΓΚΠΔ, ως ανεξάρτητη δημόσια αρχή που συγκροτείται από κράτος μέλος σύμφωνα με το άρθρο 51, δεν μπορεί, λαμβανομένου υπόψη του ευρέος και λειτουργικού περιεχομένου που προσδίδει ο κανονισμός αυτός στην έννοια του «υπευθύνου επεξεργασίας» (6), να ερμηνευθεί υπό την έννοια ότι εμποδίζει τον ενδεχόμενο χαρακτηρισμό της ως τέτοιας.
26.      Δεύτερον, επισημαίνεται ότι, όταν η εποπτική αρχή ασκεί τα καθήκοντα που της ανατίθενται δυνάμει του άρθρου 77 του ΓΚΠΔ –ιδίως την εξέταση καταγγελιών σχετικά με πιθανές παραβάσεις των κανόνων προστασίας των δεδομένων– καλείται η ίδια να επεξεργαστεί δεδομένα προσωπικού χαρακτήρα. Η αρχή δεν περιορίζεται στη λήψη των εν λόγω δεδομένων· τα οργανώνει, τα αναλύει, τα αποθηκεύει και τα χρησιμοποιεί στο πλαίσιο της αυτόνομης άσκησης των εξουσιών έρευνας και επιβολής του νόμου που της αναγνωρίζει ο εν λόγω κανονισμός. Φρονώ ότι οι πράξεις αυτές εμπίπτουν στο πεδίο εφαρμογής του άρθρου 4, σημείο 2, του ΓΚΠΔ, το οποίο καλύπτει την έννοια της «επεξεργασίας» υπό ευρεία έννοια, ανεξάρτητη από κάθε ειδικό πλαίσιο, καθόσον καλύπτει το σύνολο των πράξεων που πραγματοποιούνται σε δεδομένα.
27.      Προς στήριξη της ανάλυσης αυτής, θα εκθέσω στη συνέχεια, αφενός, τα ουσιώδη χαρακτηριστικά της διαδικασίας διεκπεραίωσης καταγγελίας που προβλέπεται στο άρθρο 77 του ΓΚΠΔ και, αφετέρου, τις κατηγορίες δεδομένων προσωπικού χαρακτήρα που επεξεργάζονται οι εποπτικές αρχές, κατά τρόπο συστηματικό και συγκεκριμένο, στο πλαίσιο αυτό. Η παρουσίαση αυτή θα καταστήσει δυνατή την καλύτερη κατανόηση της φύσης και της έκτασης των καθηκόντων που ασκούν οι εποπτικές αρχές κατά τη διεξαγωγή μιας τέτοιας διαδικασίας.
α)      Τα ουσιώδη χαρακτηριστικά της «διαδικασίας διεκπεραίωσης καταγγελίας» που προβλέπεται στο άρθρο 77 του ΓΚΠΔ
28.      Η διαδικασία διεκπεραίωσης καταγγελίας (7) που θεσπίζεται με το άρθρο 77 του ΓΚΠΔ αποτελεί κεντρικό μηχανισμό του συστήματος της Ένωσης για τη διασφάλιση της προστασίας των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν. Συμβάλλει στη λειτουργική εφαρμογή της αρχής που κατοχυρώνεται στο άρθρο 8, παράγραφος 3, του Χάρτη, κατά την οποία ο σεβασμός των κανόνων σχετικά με την προστασία των δεδομένων πρέπει να υπόκειται στον έλεγχο ανεξάρτητης αρχής. Το Δικαστήριο έχει επανειλημμένως τονίσει ότι ο εν λόγω μηχανισμός ελέγχου δεν έχει αμιγώς τυπικό χαρακτήρα, αλλά αποσκοπεί στη διασφάλιση της αποτελεσματικής και πραγματικής προστασίας των θεμελιωδών δικαιωμάτων (8).
29.      Το άρθρο 77, παράγραφος 1, του ΓΚΠΔ παρέχει σε κάθε υποκείμενο των δεδομένων το δικαίωμα να υποβάλει καταγγελία, χωρίς ειδικές τυπικές απαιτήσεις και χωρίς επιβάρυνση με έξοδα, ιδίως στην εποπτική αρχή στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης. Στο μέτρο που το δικαίωμα αυτό αποτελεί ουσιώδες στοιχείο του συστήματος προστασίας που θεσπίζει ο εν λόγω κανονισμός, δεν μπορεί να ερμηνεύεται ούτε να εφαρμόζεται κατά τρόπο που να καθιστά πρακτικώς αδύνατη ή υπερβολικά δυσχερή την άσκησή του (9).
30.      Πρέπει να υπογραμμιστεί ότι η υποβολή καταγγελίας δεν παρέχει στην εποπτική αρχή απλώς γενική δυνατότητα εξέτασης, αλλά της επιβάλλει τη συγκεκριμένη υποχρέωση να ερευνά τον φάκελο με πλήρη, επιμελή και αμερόληπτο τρόπο. Πράγματι, από τη νομολογία του Δικαστηρίου προκύπτει ότι, σύμφωνα με το άρθρο 57, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, κάθε εποπτική αρχή οφείλει να εξετάζει τις καταγγελίες που υποβάλλονται στην εδαφική περιοχή για την οποία είναι αρμόδια, να ερευνά τη φύση τους στο μέτρο του αναγκαίου και να τις εξετάζει με τη δέουσα επιμέλεια (10).
31.      Επομένως, η εποπτική αρχή δεν μπορεί να παραλείψει την εξέταση καταγγελίας για λόγους που ανάγονται αποκλειστικά στη διοικητική οικονομία ή σε θεωρήσεις σκοπιμότητας. Ομοίως, απαγορεύεται να περιορίζει την παρέμβασή της σε μια άτυπη διαμεσολάβηση ή σε ρόλο απλώς παράγοντα διευκόλυνσης. Αντιθέτως, υποχρεούται να εξετάζει την προβαλλόμενη παράβαση από πραγματική και νομική άποψη και, κατά περίπτωση, να ασκεί αποτελεσματικά τις διορθωτικές εξουσίες που της παρέχει το δίκαιο της Ένωσης (11).
32.      Οι εξουσίες που απαριθμούνται στο άρθρο 58 του ΓΚΠΔ πρέπει, κατά τη νομολογία, να ερμηνεύονται υπό το πρίσμα του σκοπού τους, ο οποίος συνίσταται στη διασφάλιση της πλήρους αποτελεσματικότητας του κανονισμού αυτού. Το Δικαστήριο έχει επισημάνει την υποχρέωση των εποπτικών αρχών να λαμβάνουν, σε περίπτωση διαπιστωθείσας παράβασης, «κατάλληλα και αναγκαία» διορθωτικά μέτρα και να χρησιμοποιούν όλα τα μέσα που έχουν στη διάθεσή τους. Η απαίτηση αυτή περιλαμβάνει την κατασταλτική δράση, δεδομένου ότι η αδράνεια μπορεί να θέσει σε κίνδυνο την πρακτική αποτελεσματικότητα του εν λόγω κανονισμού (12).
33.      Επιπλέον, το άρθρο 77, παράγραφος 2, του ΓΚΠΔ επιβάλλει την ενημέρωση του καταγγέλλοντος σχετικά με την πρόοδο και την έκβαση της διαδικασίας. Η υποχρέωση αυτή τηρείται μόνον αν η απάντηση που δίδεται, αφενός, καθιστά εφικτή τη διαπίστωση ότι η καταγγελία εξετάστηκε πράγματι από πραγματικής και νομικής απόψεως και, αφετέρου, περιέχει τα στοιχεία που είναι αναγκαία για την άσκηση αποτελεσματικού δικαστικού ελέγχου. Επομένως, η διαδικασία δεν μπορεί να περιορίζεται σε μια αμιγώς τυπική απόφαση, αλλά πρέπει να καταλήγει σε εμπεριστατωμένη εκτίμηση, δεόντως αιτιολογημένη και δυνάμενη να εξεταστεί από το επιληφθέν δικαστήριο σύμφωνα με το άρθρο 78, παράγραφος 1, του ΓΚΠΔ. Πράγματι, κάθε απόφαση εποπτικής αρχής επί καταγγελίας υπόκειται σε πλήρη δικαστικό έλεγχο (13).
34.      Εκτιμώμενη στο σύνολό της, η διαδικασία του άρθρου 77 του ΓΚΠΔ δεν αποτελεί απλή διοικητική πράξη, αλλά αυτοτελές μέσο έννομης προστασίας, το οποίο έχει θεσπιστεί από το δίκαιο της Ένωσης και συμβάλλει τόσο στην προστασία των ατομικών δικαιωμάτων όσο και στην αντικειμενική διασφάλιση της έννομης τάξης όσον αφορά τον τομέα της προστασίας των δεδομένων. Το Δικαστήριο αναγνωρίζει στις εποπτικές αρχές την ιδιότητα των θεσμικών εγγυητών ενός συστήματος διαρθρωτικής προστασίας των θεμελιωδών δικαιωμάτων, η αποστολή των οποίων δεν περιορίζεται στην παθητική παραλαβή καταγγελιών, αλλά συνεπάγεται την ενεργό εφαρμογή των κανόνων προστασίας των δεδομένων.
β)      Η «επεξεργασία» δεδομένων προσωπικού χαρακτήρα από εποπτική αρχή στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας
35.      Μετά την υπόμνηση των ουσιωδών χαρακτηριστικών της διαδικασίας διεκπεραίωσης καταγγελίας, πρέπει να εξεταστεί κατά πόσον η δραστηριότητα μιας εποπτικής αρχής συνιστά «επεξεργασία» κατά την έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ. Η έννοια αυτή ορίζεται ως «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή».
36.      Συναφώς, υπογραμμίζεται ότι, στο πλαίσιο διαδικασίας βάσει του άρθρου 77 του ΓΚΠΔ, η εποπτική αρχή δεν περιορίζεται στη λήψη δεδομένων. Αντιθέτως, εκτελεί ένα σύνολο αυτοτελών και διαρθρωμένων πράξεων, οι οποίες πραγματοποιούνται για την άσκηση της εκ του νόμου αποστολής της όσον αφορά την εξέταση, τη διερεύνηση και τον έλεγχο. Συγκεκριμένα, η επεξεργασία αρχίζει με την υποβολή της καταγγελίας, η οποία περιέχει δεδομένα που αφορούν τον καταγγέλλοντα και, κατά περίπτωση, τον εκάστοτε υπεύθυνο επεξεργασίας ή ταυτοποιήσιμους τρίτους. Οι εν λόγω πληροφορίες –οι οποίες εμπίπτουν στην έννοια των «δεδομένων προσωπικού χαρακτήρα» κατά το άρθρο 4, σημείο 1, του ΓΚΠΔ– καταχωρίζονται, ενσωματώνονται σε φάκελο και αποθηκεύονται στα εσωτερικά συστήματα της εποπτικής αρχής, πράγμα που συνεπάγεται ήδη υλικές και οργανωτικές πράξεις που συνιστούν «επεξεργασία» (14).
37.      Οι πράξεις αυτές εντάσσονται στα καθήκοντα που το άρθρο 57, παράγραφος 1, του ΓΚΠΔ αναθέτει στις εποπτικές αρχές, όπως περιγράφονται στις παρούσες προτάσεις. Στα καθήκοντα αυτά περιλαμβάνονται, μεταξύ άλλων, η εξέταση των καταγγελιών (στοιχείο στʹ) καθώς και η άσκηση εξουσιών έρευνας και λήψης αποφάσεων (στοιχείο ηʹ). Κατά την εκτέλεση των καθηκόντων αυτών, οι αρχές ενεργούν εντός ενός πλαισίου λειτουργικής αυτονομίας και αυτονομίας λήψεως αποφάσεων το οποίο εγγυάται το δίκαιο της Ένωσης, αυτονομία η οποία αποτυπώνεται συγκεκριμένα στον τρόπο με τον οποίο διερευνώνται οι καταγγελίες και ασκούνται οι εξουσίες ελέγχου που απορρέουν από αυτό.
38.      Κατά τη διάρκεια της διαδικασίας, η εποπτική αρχή προβαίνει σε εξέταση, από πραγματικής και νομικής απόψεως, των στοιχείων που της υποβάλλονται. Συλλέγει, οργανώνει, αναλύει και αξιολογεί τα δεδομένα σύμφωνα με το ισχύον κανονιστικό πλαίσιο. Άλλες πράξεις επεξεργασίας πραγματοποιούνται επίσης όταν ζητεί συμπληρωματικές πληροφορίες από τον υπεύθυνο επεξεργασίας –κατά του οποίου στρέφεται μια καταγγελία και ο οποίος τελεί υπό έρευνα– ή όταν αναζητεί πληροφορίες σε πρόσθετα έγγραφα, τα οποία ενδέχεται να περιέχουν δεδομένα προσωπικού χαρακτήρα. Οι πληροφορίες αυτές στη συνέχεια λαμβάνονται, καταχωρίζονται, αναλύονται και αποθηκεύονται από την εποπτική αρχή. Ομοίως, η συσχέτιση των στοιχείων αυτών με τυχόν προϋπάρχοντα αρχεία ή πληροφορίες μπορεί να θεωρηθεί ως πράξη «επεξεργασίας».
39.      Τα δεδομένα που υποβάλλονται σε επεξεργασία κατ’ αυτόν τον τρόπο χρησιμοποιούνται για τους σκοπούς της αυτόνομης άσκησης των εξουσιών έρευνας και λήψης αποφάσεων της εποπτικής αρχής (15). Χρησιμεύουν για τη διαπίστωση των πραγματικών περιστατικών, τον νομικό χαρακτηρισμό τους, την αξιολόγηση των πιθανών διορθωτικών μέτρων και, κατά περίπτωση, την έκδοση δεσμευτικών αποφάσεων ή διαταγών. Χρησιμοποιούνται επίσης στο πλαίσιο διαδικαστικών ανακοινώσεων προς τα μέρη, ιδίως κατά την ενημέρωση του καταγγέλλοντος ή του υπευθύνου επεξεργασίας σχετικά με την έκβαση της διαδικασίας.
40.      Από το σύνολο των στοιχείων αυτών προκύπτει ότι η εποπτική αρχή δεν μπορεί να θεωρηθεί ως απλός «αποδέκτης» δεδομένων κατά την έννοια του άρθρου 4, σημείο 9, του ΓΚΠΔ. Δεδομένου ότι αποφασίζει αυτόνομα σχετικά με τον τρόπο συλλογής, ανάλυσης, οργάνωσης και χρήσης των δεδομένων αυτών για την άσκηση των καθηκόντων που της έχουν ανατεθεί εκ του νόμου, ενεργεί ως φορέας που πραγματοποιεί «επεξεργασία» κατά την πλήρη έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ. Η πτυχή αυτή χρήζει περαιτέρω εξέτασης στην επόμενη ενότητα.
2.      Επί της δυνατότητας της εποπτικής αρχής να «καθορίζει τους σκοπούς και τον τρόπο της επεξεργασίας»
41.      Για να μπορεί μια εποπτική αρχή να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ, θα πρέπει να έχει την εξουσία να καθορίζει τους σκοπούς και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.
42.      Όπως προαναφέρθηκε, ο ρόλος της εποπτικής αρχής, στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας βάσει του άρθρου 77 του ΓΚΠΔ, δεν περιορίζεται στην απλή παθητική λήψη πληροφοριών. Στην πραγματικότητα, καθορίζει τον σκοπό της επεξεργασίας, καθόσον αποφασίζει ότι τα δεδομένα θα χρησιμοποιηθούν για την εξέταση ενδεχόμενης παράβασης των κανόνων προστασίας των δεδομένων, για τη διαπίστωση των πραγματικών περιστατικών και, κατά περίπτωση, για την προετοιμασία και τη λήψη μέτρων ελέγχου. Ο προσδιορισμός αυτός του σκοπού δεν είναι απλώς προκαθορισμένος από τον νόμο, αλλά απαιτεί επίσης αυτοτελή συγκεκριμενοποίηση από την αρχή κατά περίπτωση, ιδίως όσον αφορά την έκταση του ελέγχου, το ακριβές αντικείμενο της έρευνας και τον νομικό χαρακτηρισμό των προβαλλόμενων αιτιάσεων (16).
43.      Η εποπτική αρχή αποφασίζει επίσης, αυτόνομα ως προς ουσιώδη σημεία, για τον τρόπο επεξεργασίας. Καθορίζει ποια δεδομένα προσωπικού χαρακτήρα συλλέγονται, με ποια μορφή καταχωρίζονται, διαρθρώνονται και αποθηκεύονται, σύμφωνα με ποια κριτήρια καταρτίζονται οι φάκελοι, οργανώνονται τα ψηφιακά αρχεία ή καταχωρίζονται τα αποδεικτικά στοιχεία, καθώς και τις τεχνικές ή οργανωτικές διαδικασίες που χρησιμοποιούνται για την ανάλυση, την περαιτέρω επεξεργασία ή την εσωτερική διάθεση των δεδομένων. Ομοίως, αποφασίζει αν πρέπει να απευθύνει αιτήματα παροχής πληροφοριών στον καθού η καταγγελία, ποιες συμπληρωματικές πληροφορίες πρέπει να ζητηθούν, με ποιες μεθόδους θα συσχετιστούν και για πόσο χρονικό διάστημα θα διατηρηθούν. Αυτή η εξουσία επιλογής και οργάνωσης υπερβαίνει προδήλως την απλή εκτέλεση βοηθητικού ή δευτερεύοντος καθήκοντος.
44.      Οι πράξεις επεξεργασίας που όντως πραγματοποιούνται επιβεβαιώνουν αυτή την αυτονομία λήψης αποφάσεων. Η αρχή καταχωρίζει την καταγγελία, ανοίγει δικούς της φακέλους, αποθηκεύει και οργανώνει τα δεδομένα που λαμβάνει καθώς και εκείνα που συλλέγει, προβαίνει σε πραγματική και νομική εκτίμησή τους, ζητεί πρόσθετα έγγραφα, καταγράφει τις πράξεις έρευνας και εκδίδει, βάσει δικής της ανάλυσης, αποφάσεις διαδικαστικού χαρακτήρα και αποφάσεις επί της ουσίας. Επομένως, η επεξεργασία δεν εξυπηρετεί μόνο την τεχνική διαχείριση του διοικητικού φακέλου, αλλά αποτελεί επίσης τη βάση μιας αυτοτελούς δραστηριότητας έρευνας, εκτίμησης και λήψης αποφάσεων, την οποία το δίκαιο της Ένωσης αναθέτει αποκλειστικά στην εποπτική αρχή.
45.      Το γεγονός ότι η δραστηριότητα αυτή εντάσσεται στο πλαίσιο άσκησης ενός εκ του νόμου καθήκοντος δεν αναιρεί την ιδιότητα του «υπευθύνου επεξεργασίας». Το Δικαστήριο έχει επανειλημμένως υπενθυμίσει ότι οι δημόσιες αρχές μπορούν να χαρακτηριστούν ως «υπεύθυνοι επεξεργασίας» όταν διαθέτουν διακριτική ευχέρεια ως προς την επιλογή του συγκεκριμένου τρόπου επεξεργασίας (17). Συναφώς, επισημαίνεται ότι η ίδια η Landesamt αναγνώρισε, κατά την επ’ ακροατηρίου συζήτηση, ότι διαθέτει περιθώριο εκτίμησης κατά τον καθορισμό των καθηκόντων της, ακόμη και στο πλαίσιο της εξέτασης των καταγγελιών (18), καθόσον το περιθώριο αυτό συνιστά έκφραση της αυτονομίας της.
46.      Ο χαρακτηρισμός «εκτελών την επεξεργασία» πρέπει επίσης να απορριφθεί ελλείψει οποιασδήποτε δέσμευσης όσον αφορά τον καθορισμό των σκοπών και των μέσων, δεδομένου ότι η αρχή δεν παρεμβαίνει κατόπιν εντολής τρίτου, αλλά στο πλαίσιο της άσκησης των δικών της εξουσιών. Ειδικότερα, η εποπτική αρχή ουδόλως ενεργεί για λογαριασμό του υπευθύνου επεξεργασίας τον οποίο αφορά η καταγγελία, αλλά ασκεί δημόσια εξουσία που της έχει ανατεθεί προκειμένου να διασφαλίσει την τήρηση του δικαίου της Ένωσης.
47.      Μολονότι η επίμαχη επεξεργασία στηρίζεται, κατά κανόνα, στο άρθρο 6, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ, σε συνδυασμό με το άρθρο 57, παράγραφος 1, στοιχεία στʹ και ηʹ, του εν λόγω κανονισμού, η ύπαρξη νομικής βάσης διασφαλίζει μόνον τη νομιμότητα της επεξεργασίας, χωρίς να αποκλείει την ιδιότητα του «υπευθύνου» επεξεργασίας. Αντιθέτως, το γεγονός ότι ο νόμος αναθέτει στην αρχή την εκτέλεση καθηκόντων ελέγχου επιβεβαιώνει ότι η αρχή αυτή επεξεργάζεται τα δεδομένα κατά την εκπλήρωση των εκ του νόμου υποχρεώσεών της και σύμφωνα με τους όρους που καθορίζει η ίδια. Επομένως, ως «υπεύθυνος», εξακολουθεί, κατ’ αρχήν, να υπόκειται στις γενικές υποχρεώσεις του ΓΚΠΔ, ιδίως στις αρχές που διατυπώνονται στο άρθρο 5 και στα δικαιώματα των φυσικών προσώπων που απαριθμούνται στο κεφάλαιο III του ως άνω κανονισμού, εφόσον τα δικαιώματα αυτά δεν έχουν περιοριστεί εγκύρως από επαρκώς σαφή και αναλογική νομική διάταξη, σύμφωνα με το άρθρο 23 του ΓΚΠΔ.
48.      Η ανεξαρτησία των εποπτικών αρχών, η οποία κατοχυρώνεται στο άρθρο 52 του ΓΚΠΔ και επιβεβαιώνεται στην αιτιολογική σκέψη 117, επιτάσσει να χαρακτηρίζονται οι εν λόγω αρχές ως «υπεύθυνοι επεξεργασίας» για τις πράξεις που αφορούν δεδομένα προσωπικού χαρακτήρα τις οποίες διενεργούν κατά την άσκηση των καθηκόντων που τους έχουν ανατεθεί εκ του νόμου. Μόνον ο αυτόνομος καθορισμός των σκοπών και του τρόπου της εκάστοτε επεξεργασίας, σε συνδυασμό με τη συνακόλουθη ευθύνη, τους παρέχει τη δυνατότητα να ασκούν τις εξουσίες τους ελέγχου και συμμόρφωσης με πλήρη ανεξαρτησία έναντι των οντοτήτων που εποπτεύουν. Ο χαρακτηρισμός τους, στο πλαίσιο της διαχείρισης των καταγγελιών, ως απλών εκτελεστών σκοπών καθορισμένων από τρίτους θα έθετε σε κίνδυνο τη θεσμική αυτονομία τους, θα τις έθετε σε σχέση εξάρτησης από τους υπευθύνους που ελέγχονται και θα καθιστούσε κενή περιεχομένου την απαίτηση περί ευθύνης που προβλέπει το δίκαιο της Ένωσης. Επομένως, η εποπτική αρχή πρέπει να αναλαμβάνει η ίδια την ευθύνη για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται στο πλαίσιο της διαδικασίας διεκπεραίωσης καταγγελίας, δεδομένου ότι τα δικαιώματα των υποκειμένων των δεδομένων που προβλέπονται στον ΓΚΠΔ ισχύουν πλήρως έναντι αυτής (19).
49.      Τέλος, εάν η εποπτική αρχή δεν χαρακτηριζόταν ως «υπεύθυνος επεξεργασίας» στο πλαίσιο του χειρισμού των καταγγελιών, το υποκείμενο των δεδομένων θα στερούνταν σε μεγάλο βαθμό προστασίας όσον αφορά ένα βασικό στοιχείο της επεξεργασίας των δεδομένων του. Συγκεκριμένα, τα δικαιώματα των υποκειμένων των δεδομένων που προβλέπονται στα άρθρα 12 έως 22 του ΓΚΠΔ, ιδίως το δικαίωμα πρόσβασης που κατοχυρώνεται στο άρθρο 15, μπορούν να ασκηθούν μόνον κατά του υπευθύνου επεξεργασίας. Χωρίς τον χαρακτηρισμό αυτό, το υποκείμενο των δεδομένων δεν θα ήταν σε θέση να γνωρίζει ποια δεδομένα συλλέγει και επεξεργάζεται η αρχή στο πλαίσιο της καταγγελίας, ούτε να ζητεί τη διόρθωση, τη διαγραφή ή τον περιορισμό τους. Επομένως, η επεξεργασία δεδομένων από την αρχή θα διέφευγε της απαίτησης διαφάνειας και λογοδοσίας, μολονότι η εν λόγω αρχή είναι ακριβώς επιφορτισμένη με τη διασφάλιση της προστασίας των δικαιωμάτων των υποκειμένων των δεδομένων. Ως εκ τούτου, η απουσία του χαρακτηρισμού ως «υπευθύνου επεξεργασίας» θα δημιουργούσε δομικό κενό προστασίας, στερώντας από το υποκείμενο των δεδομένων, στο πλαίσιο της σχέσης του με την εποπτική αρχή, τις θεμελιώδεις εγγυήσεις που προβλέπει ο ΓΚΠΔ (20).
50.      Επομένως, η εποπτική αρχή, στο πλαίσιο του χειρισμού των καταγγελιών που υποβάλλονται δυνάμει του άρθρου 77 του ΓΚΠΔ, αποφασίζει σχετικά με τους σκοπούς και τον τρόπο της επεξεργασίας και δεν περιορίζεται στη λήψη ή τη διαχείριση δεδομένων που καθορίζονται από τρίτους. Ενεργεί ως αυτόνομος φορέας, ο οποίος συλλέγει, οργανώνει, αναλύει και χρησιμοποιεί τα δεδομένα προσωπικού χαρακτήρα ως βάση αποφάσεων που εμπίπτουν στην άσκηση δημόσιας εξουσίας. Ως εκ τούτου, πρέπει να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» κατά την έννοια του ευρέος ορισμού του άρθρου 4, σημείο 7, του ΓΚΠΔ (21).
51.      Για λόγους πληρότητας, επισημαίνεται ότι το γεγονός ότι ο νομοθέτης της Ένωσης δεν προέβλεψε ρητώς την περίπτωση κατά την οποία μια εποπτική αρχή ενεργεί ταυτοχρόνως, στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας, ως «υπεύθυνος επεξεργασίας» κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ, δεν συνιστά κρίσιμο επιχείρημα ικανό να εμποδίσει τον χαρακτηρισμό αυτόν. Αντιθέτως, το καθοριστικό στοιχείο έγκειται στο κατά πόσον η αρχή αυτή πληροί τις ουσιαστικές προϋποθέσεις που προβλέπει η εν λόγω διάταξη. Όπως προκύπτει δε από την προηγηθείσα ανάλυση, τούτο συμβαίνει προδήλως εν προκειμένω.
52.      Στο πλαίσιο αυτό, δεν μπορεί να ευδοκιμήσει ούτε το επιχείρημα της Landesamt ότι ορισμένες διατάξεις του ΓΚΠΔ προϋποθέτουν κατ’ ανάγκην αυστηρή διάκριση μεταξύ, αφενός, της εποπτικής αρχής και, αφετέρου, του «υπευθύνου επεξεργασίας». Οι διατάξεις αυτές αφορούν μόνον την κατ’ αρχήν κατάσταση την οποία έλαβε υπόψη ο νομοθέτης της Ένωσης, στην οποία οι δύο αυτοί ρόλοι δεν συγχέονται. Εντούτοις, δεν αποκλείουν το ενδεχόμενο μια εποπτική αρχή, υπό ορισμένες περιστάσεις –όπως αυτές στην υπόθεση της κύριας δίκης–, να πληροί ταυτοχρόνως τις προϋποθέσεις που απαιτούνται για να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας».
53.      Στο μέτρο που ορισμένες διατάξεις του ΓΚΠΔ προβλέπουν «συνεργασία» ή «διαβούλευση» μεταξύ του «υπευθύνου επεξεργασίας» και της εποπτικής αρχής, ιδίως στα άρθρα 31 και 36, τυχόν σύγκρουση που ενδέχεται να προκύψει από αλληλεπικάλυψη των ρόλων αυτών μπορεί να επιλυθεί μέσω τελολογικής ερμηνείας του εν λόγω κανονισμού. Η ερμηνεία αυτή συνεπάγεται ότι οι εσωτερικές διαδικασίες της εποπτικής αρχής οργανώνονται και συντονίζονται κατά τρόπο ώστε να διασφαλίζεται η αποτελεσματική επίτευξη των σκοπών που επιδιώκουν οι οικείες διατάξεις.
3.      Επί της ύπαρξης δικαιώματος πρόσβασης του καταγγέλλοντος βάσει του άρθρου 15 του ΓΚΠΔ
54.      Όπως επισημάνθηκε στις παρούσες προτάσεις, ο χαρακτηρισμός της εποπτικής αρχής ως «υπευθύνου επεξεργασίας» συνεπάγεται για αυτήν την υποχρέωση να διασφαλίζει τον σεβασμό των δικαιωμάτων που αναγνωρίζονται στα υποκείμενα των δεδομένων από το κεφάλαιο III του ΓΚΠΔ. Μεταξύ των δικαιωμάτων αυτών περιλαμβάνεται, ειδικότερα, το δικαίωμα πρόσβασης που κατοχυρώνεται στο άρθρο 15 του εν λόγω κανονισμού.
55.      Στο πλαίσιο διαδικασίας κινηθείσας δυνάμει του άρθρου 77 του ΓΚΠΔ, ο καταγγέλλων έχει, κατ’ αρχήν, και την ιδιότητα του «υποκειμένου των δεδομένων» κατά την έννοια του κανονισμού αυτού. Ως εκ τούτου, μπορεί να απαιτήσει από την εποπτική αρχή να επιβεβαιώσει αν τα δεδομένα προσωπικού χαρακτήρα που τον αφορούν υποβάλλονται σε επεξεργασία. Σε περίπτωση καταφατικής απάντησης, το δικαίωμα πρόσβασης περιλαμβάνει επίσης το σύνολο των πληροφοριών που απαριθμούνται εξαντλητικά στο άρθρο 15, παράγραφος 1, στοιχεία αʹ έως ηʹ, του ΓΚΠΔ, μεταξύ των οποίων περιλαμβάνονται ιδίως οι σκοποί της επεξεργασίας, οι σχετικές κατηγορίες δεδομένων, οι αποδέκτες ή οι κατηγορίες αποδεκτών, το χρονικό διάστημα αποθήκευσης καθώς και οι πληροφορίες σχετικά με τα δικαιώματα που έχει στη διάθεσή του το υποκείμενο των δεδομένων.
α)      Το δικαίωμα λήψης «αντιγράφου» σύμφωνα με το άρθρο 15, παράγραφος 3, του ΓΚΠΔ
56.      Το δικαίωμα πρόσβασης συνεπάγεται, μεταξύ άλλων, το δικαίωμα του υποκειμένου των δεδομένων να λαμβάνει αντίγραφο των δεδομένων σύμφωνα με το άρθρο 15, παράγραφος 3, του ΓΚΠΔ. Η διάταξη αυτή επιβάλλει στον υπεύθυνο επεξεργασίας την υποχρέωση να παρέχει στον ενδιαφερόμενο αντίγραφο των δεδομένων του προσωπικού χαρακτήρα κατά τρόπο εύληπτο, ώστε να καθίσταται δυνατή η ακριβής κατανόηση της έκτασης και των όρων της επεξεργασίας τους. Σκοπός του δικαιώματος αυτού είναι να παρασχεθεί στο υποκείμενο των δεδομένων η δυνατότητα να εξακριβώσει ποια δεδομένα τα οποία το αφορούν υποβάλλονται σε επεξεργασία, να προσδιορίσει την προέλευσή τους, να κατανοήσει τους σκοπούς της επεξεργασίας και να γνωρίσει τους ενδεχόμενους αποδέκτες τους (22).
57.      Το Δικαστήριο έχει κρίνει ότι το αντίγραφο πρέπει να παρέχεται υπό συνθήκες που καθιστούν δυνατό τον αποτελεσματικό έλεγχο της νομιμότητας της επεξεργασίας καθώς και την αποτελεσματική άσκηση των λοιπών δικαιωμάτων που κατοχυρώνονται στον ΓΚΠΔ (23). Ο όρος «αντίγραφο» δεν αναφέρεται στο έγγραφο αυτό καθεαυτό, αλλά στα δεδομένα προσωπικού χαρακτήρα που περιέχει· αυτό που έχει σημασία είναι τα εν λόγω δεδομένα να γνωστοποιούνται κατά τρόπο πλήρη, σαφή και ικανό να αποδώσει το νόημά τους. Προκειμένου να διασφαλιστεί η αποτελεσματικότητα του δικαιώματος αυτού, η αναπαραγωγή αποσπασμάτων εγγράφων –ή ακόμη και ολόκληρων εγγράφων– ή αποσπασμάτων από βάσεις δεδομένων που περιέχουν, μεταξύ άλλων, τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία μπορεί να αποδειχθεί απαραίτητη (24).
58.      Ωστόσο, το περιεχόμενο του δικαιώματος αυτού εξακολουθεί να οριοθετείται αυστηρά από τη λειτουργία του. Εκτείνεται μόνο στα «δεδομένα προσωπικού χαρακτήρα» του υποκειμένου των δεδομένων και περιλαμβάνει κάθε πληροφορία που αφορά το υποκείμενο των δεδομένων ή καθιστά δυνατή την ταυτοποίησή του, κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ. Όταν το πλαίσιο εντός του οποίου εμφανίζονται τα δεδομένα αυτά είναι αναγκαίο για την πλήρη κατανόησή τους, η υποχρέωση γνωστοποίησης μπορεί να συνεπάγεται τη διαβίβαση κατάλληλου αποσπάσματος ή παρουσίασης βάσει πλαισίου, στον βαθμό που απαιτείται για την εκπλήρωση των απαιτήσεων διαφάνειας. Επομένως, το δικαίωμα λήψης αντιγράφου αποτελεί βασικό στοιχείο του μηχανισμού πληροφοριακής αυτοδιάθεσης που θεσπίζει ο ΓΚΠΔ, καθόσον διασφαλίζει στο υποκείμενο των δεδομένων ουσιαστικό έλεγχο επί της επεξεργασίας των δεδομένων του και του παρέχει τη δυνατότητα να επαληθεύσει τη συμμόρφωση με τις απαιτήσεις του δικαίου της Ένωσης.
β)      Το άρθρο 15 του ΓΚΠΔ δεν προβλέπει «γενικό δικαίωμα πρόσβασης στον διοικητικό φάκελο»
59.      Εντούτοις, το εν λόγω δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ, το οποίο προσιδιάζει στο καθεστώς προστασίας των δεδομένων προσωπικού χαρακτήρα, δεν μπορεί να εξομοιωθεί με γενικό δικαίωμα πρόσβασης στον διοικητικό φάκελο ούτε με απαίτηση διοικητικής διαφάνειας γενικής ισχύος. Η διάταξη αυτή αποσκοπεί αποκλειστικά στη διασφάλιση της διαφάνειας της επεξεργασίας, ώστε να μπορεί το υποκείμενο των δεδομένων να ελέγχει τη νομιμότητά της και να ασκεί αποτελεσματικά τα δικαιώματα που απορρέουν από αυτήν, ιδίως τα δικαιώματα διόρθωσης, διαγραφής («δικαίωμα στη λήθη»), περιορισμού της επεξεργασίας ή εναντίωσης (25). Αντιθέτως, δεν κατοχυρώνει ούτε γενικό δικαίωμα πρόσβασης στις πληροφορίες που κατέχει η διοίκηση, ούτε δικαίωμα πρόσβασης στα εσωτερικά έγγραφα ούτε, κατά μείζονα λόγο, δικαίωμα γνωστοποίησης στοιχείων που αφορούν την εσωτερική διαδικασία διαβούλευσης ή λήψης αποφάσεων της δημόσιας αρχής. Τούτο καθίσταται προφανές όταν το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ αντιπαραβάλλεται με άλλα δικαιώματα πρόσβασης που κατοχυρώνονται στο δίκαιο της Ένωσης και στα εθνικά δίκαια.
60.      Πρώτον, το άρθρο 15 και το άρθρο 77, παράγραφος 2, του ΓΚΠΔ εξυπηρετούν διαφορετικούς σκοπούς και, ως εκ τούτου, πρέπει να διακρίνονται αυστηρά. Το άρθρο 77, παράγραφος 2, θεσπίζει διαδικαστικό δικαίωμα ενημέρωσης σχετικά με την πρόοδο και την έκβαση της εξέτασης της καταγγελίας, αλλά δεν παρέχει δικαίωμα πρόσβασης σε δεδομένα ή έγγραφα βάσει της νομοθεσίας για την προστασία των δεδομένων. Επομένως, ενώ το άρθρο 15 αποσκοπεί να διασφαλίσει τον έλεγχο των προσωπικών δεδομένων από το ίδιο το υποκείμενο των δεδομένων, το άρθρο 77, παράγραφος 2, συνδέεται με την απαίτηση για διαδικαστική διαφάνεια κατά τη διοικητική εξέταση των καταγγελιών. Οι διατάξεις αυτές, οι οποίες είναι αυτοτελείς ως προς το αντικείμενο και το πεδίο εφαρμογής τους, δεν πρέπει να συγχέονται ούτε να υποκαθιστούν η μία την άλλη. Πρόκειται για ανεξάρτητα νομικά καθεστώτα που ανταποκρίνονται σε διαφορετικές κανονιστικές λογικές, υπόκεινται σε ιδιαίτερους όρους άσκησης και δεν μπορούν να αλληλεπικαλύπτονται ούτε να υποκαθιστούν το ένα το άλλο.
61.      Δεύτερον, το άρθρο 15 του ΓΚΠΔ θεσπίζει αποκλειστικά δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα και δεν κατοχυρώνει ούτε δικαίωμα πρόσβασης στον διοικητικό φάκελο ούτε δικαίωμα πρόσβασης σε έγγραφα που βρίσκονται στην κατοχή της αρχής (26). Το καθ’ ύλην πεδίο εφαρμογής του περιορίζεται στην γνωστοποίηση των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία και δεν αφορά ούτε τη διοικητική διαφάνεια ούτε την πρόσβαση στις εσωτερικές διαδικασίες λήψης αποφάσεων. Επομένως, το δικαίωμα πρόσβασης στον φάκελο παραμένει –πλην των τομεακών διατάξεων του δικαίου της Ένωσης– στην κανονιστική αρμοδιότητα των κρατών μελών, όπου διέπεται γενικώς από τη νομοθεσία σχετικά με τη γενική διοικητική διαδικασία, από ειδικά διαδικαστικά καθεστώτα, από τους νόμους περί ελευθερίας της πληροφόρησης και διαφάνειας ή ακόμη από ειδικούς επαγγελματικούς ή τομεακούς κανόνες (27).
62.      Επομένως, το άρθρο 15 του ΓΚΠΔ δεν θεμελιώνει δικαίωμα γνωστοποίησης ή πρόσβασης στον ίδιο τον διοικητικό φάκελο. Ειδικότερα, το πεδίο εφαρμογής του δικαιώματος πρόσβασης δεν καλύπτει τις εσωτερικές νομικές αναλύσεις, τις γνωμοδοτήσεις, τις σημειώσεις, τα υπηρεσιακά σημειώματα, τα προπαρασκευαστικά έγγραφα ούτε, γενικότερα, τα στοιχεία που εμπίπτουν στην εσωτερική διαδικασία κατάρτισης ή αιτιολόγησης της διοικητικής απόφασης. Όταν ένα έγγραφο το οποίο έχει στην κατοχή της η αρχή περιέχει δεδομένα προσωπικού χαρακτήρα σχετικά με τον καταγγέλλοντα, η υποχρέωση πρόσβασης περιορίζεται στη γνωστοποίηση των εν λόγω δεδομένων αυτών καθεαυτούς
και όχι στην παράδοση ή στην πλήρη αναπαραγωγή του υλικού φορέα που τα περιέχει. Τέλος, οι πληροφορίες που δεν έχουν άμεση ή έμμεση σχέση ταυτοποίησης με το υποκείμενο των δεδομένων δεν εμπίπτουν, ως εκ της φύσεώς τους, στο καθ’ ύλην πεδίο εφαρμογής του άρθρου 15 του ΓΚΠΔ.
63.      Επιπλέον, υπενθυμίζεται ότι το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ μπορεί να υπόκειται σε ορισμένους περιορισμούς δυνάμει του άρθρου 23, παράγραφος 1, του εν λόγω κανονισμού, εφόσον πληρούνται οι προϋποθέσεις που ορίζει. Η πτυχή αυτή αποτελεί το αντικείμενο του δευτέρου προδικαστικού ερωτήματος, το οποίο θα εξεταστεί στην επόμενη ενότητα.
4.      Ενδιάμεσο συμπέρασμα
64.      Λαμβανομένων υπόψη των προεκτεθέντων, εκτιμώ ότι στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 15, σε συνδυασμό με το άρθρο 4, σημείο 7, του ΓΚΠΔ, έχει την έννοια ότι μια εποπτική αρχή, όπως αυτή ορίζεται στο άρθρο 4, σημείο 21, του κανονισμού αυτού, όταν ενεργεί στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας βάσει του άρθρου 77 του εν λόγω κανονισμού, έχει επίσης την ιδιότητα του «υπευθύνου επεξεργασίας» κατά την έννοια του ίδιου κανονισμού και επομένως υποχρεούται να διασφαλίζει στο υποκείμενο των δεδομένων το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ.
Γ.      Επί του δευτέρου προδικαστικού ερωτήματος
1.      Οι περιορισμοί του δικαιώματος πρόσβασης στα δεδομένα προσωπικού χαρακτήρα που απαριθμούνται στο άρθρο 23 του ΓΚΠΔ
65.      Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί να διευκρινιστεί η σχέση μεταξύ του άρθρου 23 του ΓΚΠΔ και εθνικής ρύθμισης η οποία, όπως το άρθρο 20, παράγραφος 2, του BayDSG, αποκλείει γενικώς κάθε δικαίωμα πρόσβασης ή παροχής πληροφοριών από την εποπτική αρχή προστασίας δεδομένων. Η απάντηση στο ερώτημα αυτό απαιτεί εμπεριστατωμένη ανάλυση της οικονομίας του ΓΚΠΔ, όπως προκύπτει από το γράμμα του, τον σκοπό του και τις σχετικές αιτιολογικές σκέψεις, καθώς και την εφαρμογή των αρχών που έχει διατυπώσει το Δικαστήριο σχετικά με τους περιορισμούς που μπορούν να επιβληθούν στα δικαιώματα των υποκειμένων των δεδομένων.
66.      Το άρθρο 23 του ΓΚΠΔ προβλέπει ότι τα νομοθετικά μέτρα της Ένωσης ή των κρατών μελών στα οποία υπόκειται ο υπεύθυνος επεξεργασίας μπορούν να περιορίζουν, μεταξύ άλλων, το δικαίωμα πρόσβασης που κατοχυρώνεται στο άρθρο 15 του κανονισμού αυτού, υπό την προϋπόθεση ότι ένας τέτοιος περιορισμός σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση ενός από τους θεμιτούς σκοπούς που απαριθμούνται στα στοιχεία αʹ έως ιʹ της διάταξης αυτής. Εντούτοις, το άρθρο 23, παράγραφος 1, του ΓΚΠΔ δεν μπορεί να ερμηνευθεί υπό την έννοια ότι εξουσιοδοτεί τον εθνικό νομοθέτη να αντικαταστήσει ελεύθερα τις διατάξεις των άρθρων 12 έως 22 του εν λόγω κανονισμού με το δικό του καθεστώς. Αντιθέτως, η διάταξη αυτή θεσπίζει έναν περιοριστικό κατάλογο ρητρών ανοίγματος, ο οποίος επιτρέπει στον εθνικό νομοθέτη, για τους επακριβώς απαριθμούμενους λόγους, να προβλέπει περιορισμούς στα δικαιώματα των υποκειμένων των δεδομένων καθώς και στις υποχρεώσεις που υπέχει ο υπεύθυνος επεξεργασίας δυνάμει των άρθρων αυτών (28).
67.      Επομένως, το άρθρο 23 του ΓΚΠΔ θεσπίζει ένα καθεστώς παρέκκλισης για τους τομείς τους οποίους καλύπτει, οι οποίοι αφορούν κατ’ ουσίαν την άσκηση δημόσιων καθηκόντων και την επιδίωξη επιταγών γενικού συμφέροντος ικανών να δικαιολογήσουν τον περιορισμό των δικαιωμάτων των υποκειμένων των δεδομένων σε σχέση με άλλους τομείς δραστηριότητας. Συναφώς, πρέπει να ληφθεί υπόψη η αιτιολογική σκέψη 4, πρώτη και δεύτερη περίοδος, του ΓΚΠΔ, η οποία επιβάλλει τη στάθμιση των επίμαχων θεμελιωδών δικαιωμάτων και τη διασφάλιση ότι οι προβλεπόμενοι περιορισμοί είναι δικαιολογημένοι, αναγκαίοι και αναλογικοί σε σχέση με τα αντικρουόμενα δικαιώματα και συμφέροντα.
68.      Από την απόφαση περί παραπομπής προκύπτει ότι, μολονότι η αιτιολογική έκθεση του βαυαρικού νόμου μνημονεύει ρητώς το άρθρο 23 του ΓΚΠΔ ως νομική βάση του άρθρου 20, παράγραφος 2, του BayDSG, εντούτοις δεν αναφέρεται σε κανέναν από τους σκοπούς που απαριθμούνται στη διάταξη αυτή. Αναφέρει απλώς ότι η διάταξη αυτή εκφράζει την ειδική απαίτηση σκοπού που συνδέεται με τις πληροφορίες που λαμβάνονται στο πλαίσιο των δραστηριοτήτων ελέγχου στον τομέα της προστασίας των δεδομένων. Ωστόσο, το αιτούν δικαστήριο επισημαίνει ότι, σύμφωνα με τις παρατηρήσεις της Landesamt στο πλαίσιο της κύριας δίκης, η διάταξη αυτή επιδιώκει στην πραγματικότητα δύο βασικούς σκοπούς: αφενός, τη διαφύλαξη της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα τρίτων και, αφετέρου, τη διασφάλιση της εύρυθμης λειτουργίας και της ανεξαρτησίας της εποπτικής αρχής.
69.      Σύμφωνα με τις αρχές που διέπουν τον μηχανισμό συνεργασίας που θεσπίζει το άρθρο 267 ΣΛΕΕ μεταξύ του δικαστή της Ένωσης και των εθνικών δικαστηρίων –δυνάμει των οποίων η ερμηνεία του εσωτερικού δικαίου υπάγεται αποκλειστικά στην αρμοδιότητα των αιτούντων δικαστηρίων (29) και το Δικαστήριο οφείλει να βασίζεται στις διευκρινίσεις που παρέχουν τα δικαστήρια αυτά ως προς το περιεχόμενο και την έκταση του εν λόγω δικαίου (30) – θα λάβω υπόψη τα στοιχεία αυτά ως βάση της ανάλυσής μου.
2.      Συμβατότητα με το άρθρο 23 του ΓΚΠΔ ενός γενικού αποκλεισμού του δικαιώματος πρόσβασης που προβλέπεται στο άρθρο 15 του κανονισμού αυτού
70.      Στη συνέχεια των παρουσών προτάσεων, θα εξετάσω αν ένας γενικός αποκλεισμός του δικαιώματος πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ μπορεί να δικαιολογηθεί υπό το πρίσμα των προμνημονευθέντων νομοθετικών σκοπών. Θα αναλύσω επίσης το ζήτημα αν μια τέτοια ρύθμιση πληροί τις πρόσθετες απαιτήσεις που επιβάλλει το άρθρο 23 του ΓΚΠΔ σε κάθε περιορισμό του εν λόγω δικαιώματος.
α)      Η ύπαρξη θεμιτού σκοπού
1)      Η προστασία της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα τρίτων
71.      Η προστασία της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα τρίτων συνιστά θεμιτό σκοπό κατά την έννοια του ΓΚΠΔ, ικανό να δικαιολογήσει, κατ’ αρχήν, περιορισμούς στα δικαιώματα που παρέχονται στα υποκείμενα των δεδομένων. Συναφώς, επισημαίνεται ότι, όσον αφορά το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ, η αιτιολογική σκέψη 63 του κανονισμού διευκρινίζει ότι «[τ]ο δικαίωμα αυτό δεν θα πρέπει να επηρεάζει αρνητικά τα δικαιώματα ή τις ελευθερίες άλλων». Επομένως, λαμβάνεται υπόψη το γεγονός ότι, όπως προκύπτει από την αιτιολογική σκέψη 4 του εν λόγω κανονισμού, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, καθόσον πρέπει να εκτιμάται υπό το πρίσμα της λειτουργίας του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα (31).
72.      Το άρθρο 23, παράγραφος 1, στοιχείο θʹ, του ΓΚΠΔ παραπέμπει ρητώς στην προστασία των «δικαιωμάτων και των ελευθεριών τρίτων», όπως επιβεβαιώνεται στην αιτιολογική σκέψη 73 του ως άνω κανονισμού. Κατά συνέπεια, όταν πρόκειται για δεδομένα προσωπικού χαρακτήρα προσωπικού της διοίκησης ή ιδιωτών, ο εθνικός νομοθέτης μπορεί βασίμως να στηριχθεί στο γεγονός ότι η γνωστοποίησή τους θα έθιγε δικαιώματα προσωπικότητας και ότι υφίσταται ανάγκη προστασίας η οποία πρέπει να σταθμιστεί με το δικαίωμα πρόσβασης του καταγγέλλοντος.
2)      Προστασία της εύρυθμης λειτουργίας και της ανεξαρτησίας των εποπτικών αρχών
73.      Η διαφύλαξη της εύρυθμης λειτουργίας και της ανεξαρτησίας των εποπτικών αρχών όσον αφορά τη λήψη αποφάσεων συνιστά επίσης θεμιτό σκοπό κατά την έννοια του άρθρου 23, παράγραφος 1, του ΓΚΠΔ. Πράγματι, ο νομοθέτης της Ένωσης προσδίδει στις εν λόγω αρχές κεντρικό ρόλο στο πλαίσιο του ευρωπαϊκού συστήματος προστασίας δεδομένων, όπως μαρτυρεί, αφενός, το άρθρο 52 του κανονισμού αυτού, το οποίο εγγυάται την πλήρη ανεξαρτησία τους, και, αφετέρου, η έκταση των εξουσιών έρευνας καθώς και των διορθωτικών εξουσιών που προβλέπονται στα άρθρα 57 και 58 του εν λόγω κανονισμού (32). Συναφώς, το Δικαστήριο έχει επισημάνει με τη νομολογία του ότι πρέπει να διασφαλίζεται η εύρυθμη λειτουργία των εν λόγω αρχών, ιδίως διασφαλίζοντας ότι δεν παρεμποδίζεται από προδήλως αβάσιμες ή υπερβολικές καταγγελίες, κατά την έννοια του άρθρου 57, παράγραφος 4, του ΓΚΠΔ (33).
74.      Επομένως, και λαμβανομένου υπόψη του άρθρου 23, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, το οποίο παρέχει τη δυνατότητα επιβολής περιορισμών όταν αυτοί είναι αναγκαίοι για την άσκηση των καθηκόντων «παρακολούθησης» και «επιθεώρησης» που συνδέονται με την άσκηση δημόσιας εξουσίας, ο περιορισμός του δικαιώματος πρόσβασης μπορεί, κατ’ αρχήν, να δικαιολογείται. Άλλωστε, λαμβανομένων υπόψη των υφιστάμενων ομοιοτήτων, θα πρέπει επίσης να συνεκτιμηθεί ο σκοπός του άρθρου 23, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, όπως διευκρινίζεται στην αιτιολογική σκέψη 73, του κανονισμού αυτού, ο οποίος συνίσταται στη διασφάλιση της ανεξαρτησίας της δικαστικής εξουσίας και της προστασίας της διεξαγωγής των δικαστικών διαδικασιών. Βεβαίως, οι εποπτικές αρχές δεν υπάγονται στη δικαστική εξουσία· ωστόσο, όπως και τα κρατικά όργανα που είναι επιφορτισμένα με την εφαρμογή, διαδραματίζουν καίριο ρόλο στον εντοπισμό και την επιβολή κυρώσεων για παραβιάσεις της νομοθεσίας για την προστασία των δεδομένων προσωπικού χαρακτήρα. Επομένως, μπορεί, εν πάση περιπτώσει, να εξεταστεί το ενδεχόμενο κατ’ αναλογίαν εφαρμογής της διάταξης αυτής.
3)      Η προστασία της δημόσιας ασφάλειας
75.      Για λόγους πληρότητας, επισημαίνεται ότι η απόφαση περί παραπομπής μνημονεύει επίσης την προστασία της δημόσιας ασφάλειας, κατά την έννοια του άρθρου 23, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, ως πιθανό δικαιολογητικό λόγο, χωρίς ωστόσο να παρέχει ακριβέστερες πληροφορίες. Εντούτοις, πρέπει να γίνει δεκτή η εκτίμηση του αιτούντος δικαστηρίου και της Επιτροπής ότι η επίκληση αυτή είναι αβάσιμη. Πράγματι, λαμβανομένων υπόψη των πραγματικών περιστατικών της υπόθεσης της κύριας δίκης, όπως αυτά εκτίθενται από το αιτούν δικαστήριο, ο περιορισμός αυτός προδήλως δεν ασκεί επιρροή. Ως εκ τούτου, ο συγκεκριμένος δικαιολογητικός λόγος δεν θα ληφθεί υπόψη στην ανάλυση που ακολουθεί.
β)      Οι απαιτήσεις που επιβάλλει το κανονιστικό πλαίσιο του ΓΚΠΔ
76.      Αφενός, διαπιστώνεται ότι το συμφέρον που συνδέεται με την εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα τρίτων λαμβάνεται δεόντως υπόψη από εθνική ρύθμιση όπως το άρθρο 20, παράγραφος 2, του BayDSG, καθόσον απαγορεύει κατηγορηματικά τη γνωστοποίηση των δεδομένων αυτών. Επιπλέον, δεν μπορεί να αποκλειστεί το ενδεχόμενο η έλλειψη συνεργασίας των εποπτικών αρχών στο πλαίσιο της εξέτασης αιτήσεων πρόσβασης να οδηγήσει σε ανακατανομή ανθρώπινων και υλικών πόρων σε άλλους τομείς δραστηριότητας, η οποία θα μπορούσε, κατά περίπτωση, να αποφέρει ορισμένα οφέλη όσον αφορά την αποτελεσματικότητα.
77.      Αφετέρου, οι περιστάσεις αυτές δημιουργούν αμφιβολίες ως προς τη συμβατότητά τους με το κανονιστικό πλαίσιο που θέσπισε ο νομοθέτης της Ένωσης κατά την έκδοση του ΓΚΠΔ, και ιδίως με τη γενική οικονομία του κανονισμού αυτού, η οποία στηρίζεται σε μια ισορροπία μεταξύ πλειόνων συμφερόντων: τη διαφάνεια της επεξεργασίας των δεδομένων, τη διαφύλαξη της εμπιστευτικότητας, όπου απαιτείται, και την αποτελεσματική προστασία των συμφερόντων αυτών από τις εποπτικές αρχές. Επομένως, μια εθνική ρύθμιση η οποία δεν αντικατοπτρίζει επαρκώς τη στάθμιση των συμφερόντων αυτών δεν μπορεί να πληροί τις απαιτήσεις του άρθρου 23, παράγραφος 1, του ΓΚΠΔ. Το ίδιο ισχύει και όταν προκύπτει ότι μπορούν να προβλεφθούν μέτρα τα οποία θίγουν λιγότερο τα θεμελιώδη δικαιώματα, αλλά είναι εξίσου αποτελεσματικά για την επίτευξη των επιδιωκόμενων σκοπών (34).
78.      Συναφώς, υπενθυμίζεται ότι ο ΓΚΠΔ έχει διαμορφώσει το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 αυτού ως ουσιώδες στοιχείο της αρχής της διαφάνειας. Τούτο προκύπτει σαφώς από την αιτιολογική σκέψη 63 του ως άνω κανονισμού, κατά την οποία το υποκείμενο των δεδομένων πρέπει να έχει «επίγνωση της επεξεργασίας» προκειμένου να διασφαλίζεται η αποτελεσματικότητα των δικαιωμάτων που του παρέχει ο εν λόγω κανονισμός. Το Δικαστήριο έχει επιβεβαιώσει επανειλημμένως την άποψη αυτή επισημαίνοντας ότι το δικαίωμα πρόσβασης κατέχει κεντρική θέση στη γενική οικονομία του συστήματος που θεσπίζει ο κανονισμός αυτός. Επομένως, εθνική ρύθμιση η οποία στερεί το υποκείμενο των δεδομένων από το δικαίωμα αυτό γενικώς και αδιακρίτως θίγει τον πυρήνα του συστήματος προστασίας που έχει θεσπίσει ο νομοθέτης της Ένωσης.
79.      Μολονότι είναι αληθές ότι το άρθρο 23 του ΓΚΠΔ παρέχει τη δυνατότητα επιβολής περιορισμών στα δικαιώματα των υποκειμένων των δεδομένων, συμπεριλαμβανομένου του δικαιώματος πρόσβασης, για λόγους δημόσιου συμφέροντος, συγχρόνως επιτάσσει οι περιορισμοί αυτοί να στηρίζονται σε επαρκώς ακριβή νομική βάση. Η βάση αυτή πρέπει να καθορίζει με σαφήνεια τη φύση, το πεδίο εφαρμογής και τα όρια του περιορισμού, καθώς και τις αναγκαίες διασφαλίσεις για την αποτροπή του κινδύνου κατάχρησης. Η αιτιολογική σκέψη 41 του ως άνω κανονισμού διευκρινίζει συναφώς ότι κάθε περιορισμός δικαιώματος που κατοχυρώνεται από τον εν λόγω κανονισμό πρέπει να διατυπώνεται με «σαφήνεια και ακρίβεια» και να είναι «προβλέψιμ[ος]» για το υποκείμενο των δεδομένων, το οποίο πρέπει να είναι σε θέση να προσδιορίσει το εύρος των περιορισμών που ενδέχεται να επιβληθούν στα δικαιώματά του (35). Εθνική ρύθμιση η οποία προβλέπει απόλυτο αποκλεισμό από το δικαίωμα πρόσβασης, χωρίς να καθορίζει το καθ’ ύλην ή το προσωπικό πεδίο εφαρμογής του, ούτε να προβλέπει μέτρα διασφάλισης, δεν πληροί τις ως άνω απαιτήσεις.
80.      Επιπλέον, η αιτιολογική σκέψη 60 του ΓΚΠΔ υπενθυμίζει ότι η διαφάνεια αποτελεί θεμελιώδη αρχή της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η οποία εφαρμόζεται και στη δράση των δημόσιων αρχών. Μολονότι ορισμένες πληροφορίες μπορούν προσωρινά να εξαιρεθούν από τη γνωστοποίηση στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας, ιδίως προκειμένου να μην τεθεί σε κίνδυνο η πρόληψη, ο εντοπισμός ή η διερεύνηση παραβάσεων (36), ο εν λόγω περιορισμός πρέπει να παραμένει απολύτως αναγκαίος και αναλογικός και δεν μπορεί να έχει ως αποτέλεσμα την πλήρη εξουδετέρωση της διαφάνειας έναντι του υποκειμένου των δεδομένων. Ως εκ τούτου, εθνική ρύθμιση η οποία αποκλείει κάθε μορφή πρόσβασης, χωρίς να διακρίνει μεταξύ δεδομένων προσωπικού χαρακτήρα και εσωτερικών εγγράφων, αντιβαίνει στην οικονομία του ΓΚΠΔ.
81.      Το Δικαστήριο έχει επίσης κρίνει, υπό το πρίσμα του άρθρου 52, παράγραφος 1, του Χάρτη, ότι οι περιορισμοί που μπορούν να επιβληθούν σε ένα θεμελιώδες δικαίωμα πρέπει να είναι σύμφωνοι όχι μόνο με τις αρχές της νομιμότητας και της αναλογικότητας, αλλά και με την αρχή που επιβάλλει τον σεβασμό του «βασικού περιεχομένου» του επίμαχου δικαιώματος (37). Η αιτιολογική σκέψη 4 του ΓΚΠΔ επιβεβαιώνει ότι η προστασία των δεδομένων προσωπικού χαρακτήρα συνιστά θεμελιώδες δικαίωμα, το οποίο κατοχυρώνεται στο άρθρο 8 του Χάρτη και του οποίου οι περιορισμοί μπορούν να επιβάλλονται μόνο τηρουμένης της αρχής της αναλογικότητας. Ωστόσο, ο πλήρης αποκλεισμός από το δικαίωμα πρόσβασης έχει ως αποτέλεσμα να στερείται το υποκείμενο των δεδομένων την ίδια την ουσία του δικαιώματος αυτού, καθόσον εμποδίζεται να ελέγξει, έστω και κατ’ ελάχιστον, την επεξεργασία των δεδομένων που το αφορούν.
82.      Η αιτιολογική σκέψη 75 του ΓΚΠΔ υπογραμμίζει, συμπληρωματικώς, ότι η έλλειψη ή η ανεπάρκεια διαφάνειας συνιστά, αυτή καθεαυτήν, κίνδυνο ικανό να θίξει σοβαρά τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων. Μια ρύθμιση η οποία στερεί πλήρως από το υποκείμενο των δεδομένων τη δυνατότητα να γνωρίζει τις πράξεις επεξεργασίας που πραγματοποιούνται επί των δεδομένων που το αφορούν δημιουργεί ακριβώς την κατάσταση κινδύνου που ο νομοθέτης θέλησε να αποτρέψει.
83.      Επιπλέον, επισημαίνεται ότι η αιτιολογική σκέψη 129 του ΓΚΠΔ ορίζει τις εποπτικές αρχές ως ανεξάρτητους φορείς που είναι επιφορτισμένοι με τη διασφάλιση της εφαρμογής του κανονισμού αυτού και την προστασία των δικαιωμάτων των υποκειμένων των δεδομένων. Εντούτοις, το καθήκον αυτό, καθώς και η θέση που κατέχουν στον εποπτικό μηχανισμό που θεσπίζει ο ΓΚΠΔ, δεν συνεπάγεται ότι απαλλάσσονται από το σύνολο των υποχρεώσεων που απορρέουν από αυτόν. Αντιθέτως, ο ΓΚΠΔ δημιουργεί ένα συνεκτικό νομικό πλαίσιο εντός του οποίου οι εποπτικές αρχές, ενώ ασκούν τις εξουσίες τους, εξακολουθούν να υπόκεινται πλήρως στους κανόνες που θεσπίζει, ιδίως στους κανόνες που αφορούν τα δικαιώματα των υποκειμένων των δεδομένων. Μια εθνική ρύθμιση που αποκλείει πλήρως τη γνωστοποίηση των δεδομένων που αφορούν το υποκείμενο των δεδομένων θέτει σε κίνδυνο την ισορροπία αυτή και υπονομεύει την υποχρέωση λογοδοσίας που υπέχουν οι εποπτικές αρχές.
84.      Επιπλέον, ο απόλυτος αποκλεισμός του δικαιώματος πρόσβασης δεν συνάδει με τον επιδιωκόμενο από τον ΓΚΠΔ σκοπό της διασφάλισης υψηλού επιπέδου προστασίας των δεδομένων για τα φυσικά πρόσωπα, όπως υπενθυμίζεται στην αιτιολογική σκέψη 10 του κανονισμού αυτού (38). Επομένως, το επιδιωκόμενο επίπεδο προστασίας στηρίζεται κατ’ ουσίαν στη διαφάνεια και στη δυνατότητα του υποκειμένου των δεδομένων να ελέγχει τις πράξεις επεξεργασίας που το αφορούν. Το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του εν λόγω κανονισμού αποτελεί συναφώς απαραίτητο στοιχείο, δεδομένου ότι στηρίζει την αποτελεσματική άσκηση όλων των άλλων δικαιωμάτων των υποκειμένων των δεδομένων (39). Ο γενικός αποκλεισμός του δικαιώματος αυτού θα ισοδυναμούσε με εξαίρεση ορισμένων περιπτώσεων επεξεργασίας από κάθε ατομικό έλεγχο και, ως εκ τούτου, θα υπονόμευε την αποτελεσματικότητα του υψηλού επιπέδου προστασίας που επιδιώκει ο νομοθέτης της Ένωσης.
85.      Όσον αφορά τον σκοπό της προστασίας των δικαιωμάτων και των ελευθεριών τρίτων, ο οποίος προβάλλεται προς δικαιολόγηση του περιορισμού του δικαιώματος πρόσβασης, υπενθυμίζεται ότι το Δικαστήριο έχει κρίνει ότι, σε περίπτωση σύγκρουσης μεταξύ του δικαιώματος πρόσβασης και των δικαιωμάτων ή ελευθεριών άλλων προσώπων, οι αρχές οφείλουν να προβαίνουν σε στάθμιση των αντικρουόμενων συμφερόντων. Από την αιτιολογική σκέψη 63 του ΓΚΠΔ προκύπτει ρητώς ότι η στάθμιση αυτή δεν μπορεί, σε καμία περίπτωση, να δικαιολογήσει την πλήρη στέρηση της πρόσβασης (40). Κατάλληλες ρυθμίσεις, όπως η μερική γνωστοποίηση, η απόκρυψη ή η ανωνυμοποίηση δεδομένων, η προστασία της ταυτότητας των ατόμων που αναφέρουν παραβιάσεις, ο διαφορετικός χειρισμός ανάλογα με τις κατηγορίες εγγράφων ή η παροχή μη εξατομικευμένων δομημένων πληροφοριών, καθιστούν δυνατή την εξισορρόπηση των επίμαχων συμφερόντων χωρίς να καταργείται πλήρως το δικαίωμα πρόσβασης.
86.      Όσον αφορά την προβαλλόμενη ανάγκη διασφάλισης της ανεξάρτητης και αποτελεσματικής άσκησης των καθηκόντων των εποπτικών αρχών, δεν προκύπτει με ποιον τρόπο η άσκηση του δικαιώματος πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ θα μπορούσε να υπονομεύσει τον εν λόγω σκοπό. Πρέπει να γίνει δεκτή η εκτίμηση του αιτούντος δικαστηρίου ότι η ανεξαρτησία των εποπτικών αρχών ουδόλως συνεπάγεται ότι η νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα την οποία πραγματοποιούν πρέπει να εξαιρείται από τον έλεγχο του υποκειμένου των δεδομένων. Επομένως, ο κίνδυνος ενδεχόμενης «επιρροής» που θα μπορούσε να ευνοηθεί από την πρόσβαση στις πληροφορίες, όπως προβάλλει η Landesamt, πρέπει να απορριφθεί.
87.      Άλλωστε, όπως εκτέθηκε στις παρούσες προτάσεις, το άρθρο 15 του ΓΚΠΔ δεν κατοχυρώνει γενικό δικαίωμα πρόσβασης στον φάκελο (41) και, ως εκ τούτου, ο διοικητικός φόρτος που συνεπάγεται είναι περιορισμένος. Ανεξαρτήτως αυτού, επισημαίνεται ότι ο εν λόγω κανονισμός θέτει στη διάθεση των εποπτικών αρχών, στο άρθρο 12, παράγραφος 5, ένα κατάλληλο μέσο για την αντιμετώπιση καταχρηστικών ή υπερβολικών αιτημάτων (42). Οι αρχές αυτές έχουν επίσης την εξουσία να λαμβάνουν διάφορα μέτρα διαχείρισης, όπως να απέχουν προσωρινά από την παροχή πληροφοριών κατά τη διάρκεια της διαδικασίας, να αποκλείουν ορισμένα εσωτερικά έγγραφα από τη δημοσιοποίηση, να διακρίνουν τα διάφορα είδη διαδικασιών, να κοινοποιούν μόνον πληροφορίες που αφορούν ήδη περατωθείσες φάσεις ή να θεσπίζουν οργανωτικούς μηχανισμούς οι οποίοι διασφαλίζουν ότι οι εσωτερικές διαδικασίες δεν διαταράσσονται από τα αιτήματα πρόσβασης. Τα μέτρα αυτά διασφαλίζουν την εύρυθμη λειτουργία των εποπτικών αρχών, χωρίς ωστόσο να αποκλείουν πλήρως το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του ΓΚΠΔ.
88.      Πρέπει επίσης να υπομνησθεί ότι η αποτελεσματικότητα των εποπτικών αρχών εξαρτάται σε μεγάλο βαθμό από το αν τίθενται στη διάθεσή τους τα αναγκαία μέσα, ήτοι οι ανθρώπινοι, τεχνικοί και οικονομικοί πόροι, καθώς και οι εγκαταστάσεις και οι υποδομές που είναι απαραίτητες για την αποτελεσματική εκτέλεση των καθηκόντων και άσκηση των εξουσιών τους (43). Το άρθρο 52, παράγραφος 4, του ΓΚΠΔ απαιτεί ρητώς από τα κράτη μέλη να διασφαλίζουν τη χορήγηση των ως άνω πόρων. Υπό το πρίσμα αυτό, το ζήτημα της λειτουργικότητας των εποπτικών αρχών δεν μπορεί να περιοριστεί μόνο στον αριθμό των αιτημάτων πρόσβασης που βασίζονται στο άρθρο 15 του ΓΚΠΔ. Η ανεπαρκής χρηματοδότηση των αρχών δεν πρέπει σε καμία περίπτωση να έχει ως αποτέλεσμα τη μείωση του επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα.
89.      Από την απόφαση περί παραπομπής προκύπτει ότι το άρθρο 20, παράγραφος 2, του BayDSG αποτελεί ιδιαίτερη περίπτωση στη γερμανική έννομη τάξη, δεδομένου ότι κανένα άλλο ομόσπονδο κράτος δεν προβλέπει παρόμοιο αποκλεισμό από το δικαίωμα πρόσβασης. Η κανονιστική αυτή απομόνωση αποτελεί σοβαρή ένδειξη ότι ένας περιορισμός τέτοιας εμβέλειας δεν μπορεί να θεωρηθεί αναγκαίος ή αναλογικός κατά την έννοια του άρθρου 23, παράγραφος 1, του ΓΚΠΔ. Δεδομένου ότι όλες οι άλλες εποπτικές αρχές ασκούν τα καθήκοντά τους χωρίς να καταφεύγουν σε γενική κατάργηση των δικαιωμάτων των υποκειμένων των δεδομένων, δύσκολα μπορεί να υποστηριχθεί ότι το μέτρο αυτό είναι απαραίτητο για την εύρυθμη λειτουργία της αρχής ή για την προστασία των δικαιωμάτων τρίτων. Μια ρύθμιση η οποία ισχύει ειδικώς σε ένα μόνο ομόσπονδο κράτος και περιορίζει σημαντικά περισσότερο τα δικαιώματα που κατοχυρώνονται από τον ΓΚΠΔ σε σχέση με τις ρυθμίσεις που έχουν θεσπιστεί σε άλλα τμήματα της εθνικής επικράτειας, δεν φαίνεται να πληροί τις απαιτήσεις της συνοχής, της αναγκαιότητας και της αναλογικότητας που απορρέουν από το δίκαιο της Ένωσης.
90.      Επομένως, διαπιστώνεται ότι, όσον αφορά τους δύο προβαλλόμενους σκοπούς –την προστασία των δικαιωμάτων τρίτων και τη διαφύλαξη της ορθής εκτέλεσης των καθηκόντων των εποπτικών αρχών– υφίστανται μέτρα λιγότερο περιοριστικά, διαφοροποιημένα και σύμφωνα με το δίκαιο της Ένωσης τα οποία καθιστούν δυνατή την επίτευξη των επιδιωκόμενων αποτελεσμάτων χωρίς να καταργούν την ουσία του δικαιώματος πρόσβασης, χωρίς να εξαλείφουν τη διαφάνεια που απαιτείται έναντι του υποκειμένου των δεδομένων και χωρίς να εμποδίζουν τη δυνατότητα ελέγχου της νομιμότητας της διενεργούμενης επεξεργασίας.
91.      Ένα άλλο κρίσιμο στοιχείο έγκειται στο γεγονός ότι το άρθρο 20, παράγραφος 2, του BayDSG δεν καθιστά δυνατό τον προσδιορισμό του σκοπού που επιδιώκει ο εθνικός νομοθέτης. Όπως προκύπτει από τα στοιχεία που παρέχονται από το αιτούν δικαστήριο, στο πλαίσιο των προπαρασκευαστικών εργασιών απλώς μνημονεύεται το άρθρο 23 του ΓΚΠΔ ως νομική βάση, χωρίς ωστόσο να γίνεται παραπομπή σε κάποιον από τους σκοπούς που απαριθμούνται στη διάταξη αυτή. Ωστόσο, το ως άνω άρθρο 23 επιτάσσει ο σκοπός του περιορισμού να προκύπτει σαφώς από την ίδια τη διάταξη, προϋπόθεση αναγκαία για τον αποτελεσματικό έλεγχο της τήρησης των αρχών της αναγκαιότητας και της αναλογικότητας.
92.      Η εν λόγω απαίτηση σαφήνειας δεν μπορεί να θεραπευθεί με δικαιολογητικούς λόγους που προβάλλονται ex post από μετέχοντα στη διαδικασία έκδοσης προδικαστικής απόφασης δυνάμει του άρθρου 267 ΣΛΕΕ, ιδίως όταν ο εν λόγω μετέχων είναι εκείνος που επωφελείται από τον επίμαχο περιορισμό. Η αποδοχή της δυνατότητας αυτής θα ισοδυναμούσε με υποκατάσταση της βούλησης του δημοκρατικά νομιμοποιούμενου νομοθέτη από μια επιχειρηματολογία που αναπτύχθηκε στο πλαίσιο ένδικης διαδικασίας, πράγμα που δεν συνάδει με τις απαιτήσεις προβλεψιμότητας, κανονιστικής διαφάνειας και ασφάλειας δικαίου που απορρέουν από το άρθρο 23, παράγραφοι 1 και 2, του ΓΚΠΔ.
93.      Υπό τις συνθήκες αυτές, συνάγεται το συμπέρασμα ότι ένας γενικός και χωρίς διάκριση αποκλεισμός του δικαιώματος πρόσβασης, όπως αυτός που προβλέπεται στο άρθρο 20, παράγραφος 2, του BayDSG, δεν είναι σύμφωνος προς τις απαιτήσεις του άρθρου 23 του ΓΚΠΔ, δεδομένου ότι δεν περιέχει κανένα από τα στοιχεία που απαιτούνται ρητώς στην παράγραφο 2 του άρθρου αυτού και δεν συνάδει ούτε με την οικονομία ούτε με τον σκοπό του εν λόγω κανονισμού, όπως προκύπτουν από τις σχετικές αιτιολογικές σκέψεις. Η διάταξη αυτή είναι δυσανάλογη, ανεπαρκώς προσδιορισμένη και ικανή να στερήσει το δικαίωμα πρόσβασης από το βασικό περιεχόμενό του.
3.      Ενδιάμεσο συμπέρασμα
94.      Για τους λόγους που εκτίθενται ανωτέρω, φρονώ ότι το άρθρο 23 του ΓΚΠΔ έχει την έννοια ότι αντιτίθεται σε εθνική ρύθμιση όπως το άρθρο 20, παράγραφος 2, του BayDSG, στο μέτρο που αποκλείει, αυτή καθεαυτήν, την ύπαρξη δικαιώματος πρόσβασης, βάσει του άρθρου 15 του εν λόγω κανονισμού, έναντι της εποπτικής αρχής.
VI.    Πρόταση
95.      Λαμβανομένων υπόψη των προεκτεθέντων, προτείνω στο Δικαστήριο να απαντήσει στα προδικαστικά ερωτήματα που υπέβαλε το Bayerisches Verwaltungsgericht Ansbach (βαυαρικό διοικητικό πρωτοδικείο Ansbach, Γερμανία) ως εξής:
1)      Το άρθρο 15, σε συνδυασμό με το άρθρο 4, σημείο 7, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
μια εποπτική αρχή, όπως αυτή ορίζεται στο άρθρο 4, σημείο 21, του κανονισμού αυτού, όταν ενεργεί στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας βάσει του άρθρου 77 του εν λόγω κανονισμού, έχει επίσης την ιδιότητα του «υπευθύνου επεξεργασίας» κατά την έννοια του ίδιου κανονισμού και επομένως υποχρεούται να διασφαλίζει στο υποκείμενο των δεδομένων το δικαίωμα πρόσβασης που προβλέπεται στο άρθρο 15 του κανονισμού 2016/679.
2)      Το άρθρο 23 του κανονισμού 2016/679
έχει την έννοια ότι:
αντιτίθεται σε εθνική ρύθμιση, όπως αυτή που προβλέπεται στο άρθρο 20, παράγραφος 2, του βαυαρικού νόμου για την προστασία των δεδομένων, η οποία αποκλείει, αυτή καθεαυτήν, την ύπαρξη δικαιώματος πρόσβασης, βάσει του άρθρου 15 του κανονισμού αυτού, έναντι της βαυαρικής αρχής προστασίας δεδομένων.
1      Γλώσσα του πρωτοτύπου: η γαλλική.
2      ΕΕ 2016, L 119, σ. 1.
3      Βλ. σημεία 24 επ. των παρουσών προτάσεων.
4      Βλ. σημεία 65 επ. των παρουσών προτάσεων.
5      Βλ. απόφαση της 29ης Ιουλίου 2019, Fashion ID (C‑40/17, EU:C:2019:629, σκέψεις 65 και 66).
6      Το Δικαστήριο έχει μάλιστα κρίνει ότι φυσικό ή νομικό πρόσωπο το οποίο επηρεάζει, για τους δικούς του σκοπούς, την επεξεργασία δεδομένων προσωπικού χαρακτήρα και μετέχει κατ’ αυτόν τον τρόπο στον καθορισμό των στόχων και του τρόπου της επεξεργασίας αυτής μπορεί να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» [βλ. αποφάσεις της 10ης Ιουλίου 2018, Jehovan todistajat, C‑25/17 (EU:C:2018:551, σκέψη 68), και της 29ης Ιουλίου 2019, Fashion ID, C‑40/17 (EU:C:2019:629, point 68)].
7      Ο ΓΚΠΔ δεν ορίζει ρητώς τι συνιστά «καταγγελία», αλλά το γράμμα του άρθρου 77 παρέχει μια πρώτη ένδειξη περί αυτού. Σύμφωνα με τις κατευθυντήριες γραμμές του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ), ως καταγγελία νοείται η υποβολή αναφοράς σε εποπτική αρχή από ταυτοποιημένο φυσικό πρόσωπο –ή από φορέα που πληροί τις προϋποθέσεις του άρθρου 80– το οποίο θεωρεί ότι η επεξεργασία των δεδομένων του συνιστά παράβαση του ΓΚΠΔ. Το ΕΣΠΔ διευκρινίζει ότι η έννοια αυτή δεν περιορίζεται στις προσβολές των δικαιωμάτων που προσδιορίζονται στο κεφάλαιο ΙΙΙ, αλλά καλύπτει ευρύτερα κάθε παράβαση του κανονισμού που προκύπτει από την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος (ΕΣΠΔ, «Internal Document 6/2020 on preliminary steps to handle a complaint: : admissibility and vetting of complaints», 15 Δεκεμβρίου 2020, σ. 3).
8      Βλ. αποφάσεις της 7ης Δεκεμβρίου 2023, SCHUFA Holding (Πτωχευτική απαλλαγή) (C‑26/22 και C‑64/22, EU:C:2023:958, σκέψη 58), της 26ης Σεπτεμβρίου 2024, Land Hessen (Υποχρέωση ενέργειας εκ μέρους της αρχής προστασίας δεδομένων) (C‑768/21, EU:C:2024:785, σκέψη 35), και της 9ης Ιανουαρίου 2025, Österreichische Datenschutzbehörde (Υπερβολικά αιτήματα) (C‑416/23, EU:C:2025:3, σκέψη 39).
9      Βλ. απόφαση του Δικαστηρίου της ΕΖΕΣ της 10ης Δεκεμβρίου 2020, Adpublisher AG κατά J & K (συνεκδικασθείσες υποθέσεις E‑11/19 και E‑12/19, σκέψη 45).
10      Βλ. αποφάσεις της 6ης Οκτωβρίου 2015, Schrems (C‑362/14, EU:C:2015:650, σκέψη 63), της 16ης Ιουλίου 2020, Facebook Ireland και Schrems (C‑311/18, EU:C:2020:559, σκέψη 107), της 7ης Δεκεμβρίου 2023, SCHUFA Holding (Πτωχευτική απαλλαγή) (C‑26/22 και C‑64/22, EU:C:2023:958, σκέψη 56), και της 26ης Σεπτεμβρίου 2024, Land Hessen (Υποχρέωση ενέργειας της Αρχής προστασίας δεδομένων) (C‑768/21, EU:C:2024:785, σκέψη 32).
11      Στο πλαίσιο αυτό, πρέπει να υπομνησθούν οι προτάσεις του γενικού εισαγγελέα P. Pikamäe στις συνεκδικασθείσες υποθέσεις SCHUFA Holding (Πτωχευτική απαλλαγή) (C‑26/22 και C‑64/22, EU:C:2023:222, σημείο 42), στις οποίες ο γενικός εισαγγελέας υπογράμμισε ότι πρόθεση του νομοθέτη της Ένωσης δεν ήταν να καταστήσει τη διαδικασία υποβολής καταγγελίας μηχανισμό εξομοιούμενο με απλή «αναφορά». Αντιθέτως, ο επιδιωκόμενος σκοπός ήταν η δημιουργία ενός μηχανισμού ικανού να προστατεύει με αποτελεσματικό τρόπο τα δικαιώματα και τα συμφέροντα των προσώπων που υποβάλλουν καταγγελίες. Ειδικότερα, οι υποχρεώσεις που προβλέπονται στο άρθρο 57, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, τις οποίες υπέχει η εποπτική αρχή στο πλαίσιο της εξέτασης των εν λόγω καταγγελιών και οι οποίες εμπίπτουν στην αρχή της «χρηστής διοίκησης», επιβεβαιώνουν τη βούληση του νομοθέτη να προσδώσει στη διαδικασία αυτή τον χαρακτήρα «πραγματικής διοικητικής προσφυγής».
12      Βλ. απόφαση της 26ης Σεπτεμβρίου 2024, Land Hessen (Υποχρέωση ενέργειας εκ μέρους της Αρχής προστασίας δεδομένων) (C‑768/21, EU:C:2024:785, σκέψη 42).
13      Βλ. αποφάσεις της 7ης Δεκεμβρίου 2023, SCHUFA Holding (Πτωχευτική απαλλαγή) (C‑26/22 και C‑64/22, EU:C:2023:958, σκέψη 70), και της 26ης Σεπτεμβρίου 2024, Land Hessen (Υποχρέωση ενέργειας εκ μέρους της Αρχής προστασίας δεδομένων) (C‑768/21, EU:C:2024:785, σκέψη 49).
14      Στο δίκαιο της Ένωσης δεν υπάρχουν ενιαίοι κανόνες όσον αφορά τον συγκεκριμένο χειρισμό των καταγγελιών από τις εποπτικές αρχές. Κατά συνέπεια, η διοικητική πρακτική παρουσιάζει ορισμένες διαφορές μεταξύ των κρατών μελών. Ωστόσο, το ΕΣΠΔ επιδιώκει, μέσω κατευθυντήριων γραμμών και με την ανάπτυξη «βέλτιστων πρακτικών», να διασφαλίσει έναν ορισμένο βαθμό εναρμόνισης της εποπτικής δραστηριότητας καθώς και των διαδικαστικών ρυθμίσεων, ιδίως όσον αφορά την αποδοχή ή την αρχειοθέτηση καταγγελιών, τη διαπίστωση φιλικών διακανονισμών κ.λπ. (πρβλ. ΕΣΠΔ, «Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints», το
οποίο
εγκρίθηκε
στις 15 Δεκεμβρίου 2020).
15      Όπως επισήμανε το Δικαστήριο της ΕΖΕΣ στην απόφασή του της 10ης Δεκεμβρίου 2020, Adpublisher κατά J & K (συνεκδικασθείσες υποθέσεις E‑11/19 και E‑12/19, σκέψη 60), η εποπτική αρχή έχει την εξουσία, βάσει του άρθρου 57, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, να κινεί αυτεπαγγέλτως έρευνες. Επομένως, στο πλαίσιο της εξέτασης μιας καταγγελίας, μπορεί να αποφανθεί επί άλλων αξιώσεων ή επί άλλου αντικειμένου της διαφοράς από εκείνα που προέβαλε ο καταγγέλλων. Η αποτελεσματικότητα της διαδικασίας διεκπεραίωσης καταγγελίας επιτάσσει η εποπτική αρχή να μην περιορίζεται, κατά την άσκηση των εξουσιών έρευνας που διαθέτει, από τον τρόπο με τον οποίο ο καταγγέλλων διατύπωσε τα σχετικά νομικά ζητήματα στην καταγγελία του.
16      Οι εποπτικές αρχές φαίνεται να εξετάζουν τις καταγγελίες είτε βάσει των διατάξεων του εθνικού δικαίου είτε βάσει του περιθωρίου εκτίμησης που διαθέτουν. Φαίνεται επίσης να υπάρχουν διαφορές όσον αφορά την εξέταση των καταγγελιών με βάση ρεαλιστικά κριτήρια ή στο πλαίσιο μιας απλουστευμένης διαδικασίας (πρβλ. González Fuster, G. κ.ά., «The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR», Access Now, Open Universiteit, 2022, σ. 30).
17      Βλ. αποφάσεις της 11ης Ιανουαρίου 2024, État belge (Επεξεργασία δεδομένων από επίσημη εφημερίδα) (C‑231/22, EU:C:2024:7, σκέψη 39), και της 27ης Φεβρουαρίου 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, σκέψη 49).
18      Κατόπιν αιτήματος του Δικαστηρίου, η Landesamt εξέθεσε τη διοικητική πρακτική της όσον αφορά τον χειρισμό των καταγγελιών. Διευκρίνισε, συναφώς, ότι οι καταγγέλλοντες μπορούν να υποβάλλουν αιτήματα, μεταξύ άλλων και με ηλεκτρονικά μέσα, στους αρμόδιους υπαλλήλους της Landesamt και να ζητούν πρόσβαση στον φάκελο. Από την έκθεση αυτή προκύπτει σαφώς ότι ο τρόπος με τον οποίο η Landesamt χειρίζεται τις καταγγελίες, ιδίως όσον αφορά τα δεδομένα που συλλέγονται, τα οργανωτικά μέτρα που λαμβάνονται και τις έρευνες που διενεργούνται, εμπίπτει στην αυτονομία που της παρέχει ο ΓΚΠΔ κατά την άσκηση των καθηκόντων της.
19      Ο Möhle, J.-P., «Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht», Die Öffentliche
Verwaltung, 2023, αριθ. 3, σ. 108, εξηγεί ότι μόνον το πρόσωπο που είναι πράγματι σε θέση να ασκήσει επιρροή μπορεί να θεωρηθεί υπεύθυνο για τις υποχρεώσεις που απορρέουν από το δίκαιο περί προστασίας των δεδομένων (όπως οι υποχρεώσεις ενημέρωσης, λογοδοσίας ή συνεργασίας), ήτοι το πρόσωπο που είναι ικανό να αποτρέψει στο μέλλον παραβάσεις των κανόνων προστασίας των δεδομένων. Κατά τη γνώμη μου, δεν χωρεί αμφιβολία ότι, στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας, μόνον η εποπτική αρχή εμπίπτει στον ορισμό αυτό.
20      Όπως έχει κρίνει το Δικαστήριο, σκοπός του ευρέος ορισμού της έννοιας «υπεύθυνος επεξεργασίας» είναι ακριβώς να διασφαλιστεί αποτελεσματική και πλήρης προστασία των υποκειμένων των δεδομένων [βλ. αποφάσεις της 13ης Μαΐου 2014, Google Spain και Google, C‑131/12 (EU:C:2014:317, σκέψη 34), της 29ης Ιουλίου 2019, Fashion ID (C‑40/17, EU:C:2019:629, σκέψη 66), και της 5ης Ιουνίου 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, σκέψη 28)].
21      Πρβλ. Kunert, J., «Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG», GRUR-Prax, 2025, αριθ. 9, σ. 324.
22      Βλ. απόφαση της 22ας Ιουνίου 2023, Pankki S (C‑579/21, EU:C:2023:501, σκέψη 50).
23      Βλ. απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF (C‑487/21, EU:C:2023:369, σκέψεις 33 και 34.).
24      Βλ. απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF (C‑487/21, EU:C:2023:369, σκέψη 41).
25      Βλ. αποφάσεις της 20ής Δεκεμβρίου 2017, Nowak (C‑434/16, EU:C:2017:994, σκέψη 57), της 12ης Ιανουαρίου 2023, Österreichische Post (Πληροφορίες σχετικά με τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα) (C‑154/21, EU:C:2023:3, σκέψη 38), και της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF (C‑487/21, EU:C:2023:369, σκέψη 35).
26      Η
Zanfir-Fortuna, G., «Article 15. Right of access by the data subject»,
σε
Kuner, C., Bygrave, L. A. και Docksey, C. (επιμ.), The EU General Data Protection Regulation (GDPR): A Commentary, Οξφόρδη 2020, σ. 452, υπογραμμίζει ότι είναι σημαντικό να γίνεται διάκριση μεταξύ του δικαιώματος πρόσβασης του υποκειμένου στα δικά του δεδομένα προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο άρθρο 15 του ΓΚΠΔ, και του δικαιώματος πρόσβασης σε δημόσιες πληροφορίες. Τα δύο αυτά δικαιώματα βασίζονται σε διαφορετικούς κανονιστικούς σκοπούς: το πρώτο αποσκοπεί στη διασφάλιση της διαφάνειας έναντι του προσώπου του οποίου τα δεδομένα συλλέγονται και υποβάλλονται σε επεξεργασία από υπεύθυνο επεξεργασίας (διαφάνεια inter partes), ενώ το δεύτερο αποσκοπεί στη διασφάλιση της διαφάνειας έναντι του κοινού όσον αφορά πληροφορίες που έχουν δημόσια αξία ή δημόσιο ενδιαφέρον (διαφάνεια erga omnes).
27      Ο Gumzej, N., «DPA powers toward effective and transparent GDPR enforcement: the case of Croatia», Juridical Tribune – Review of Comparative and International Law,
τόμος 13, αριθ. 2 (2023), σ. 210, παραπέμπει στους ισχύοντες νόμους για την ελεύθερη πρόσβαση στην πληροφόρηση.
28      Schemmer, F., «Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen», Zeitschrift
für
das
gesamte
Informationsrecht, 2024, αριθ. 5, σ. 210.
29      Βλ. αποφάσεις της 24ης Σεπτεμβρίου 2019, Placanica κ.λπ. (C‑338/04, C‑359/04 και C‑360/04, EU:C:2007:133, σκέψη 34), και
της 21ης
Ιουνίου 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, σκέψη 240).
30      Βλ. αποφάσεις της 25ης Οκτωβρίου 2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, σκέψη 10), και της 14ης Νοεμβρίου 2024, S. (Μεταβολή της σύνθεσης δικαστικού σχηματισμού) (C‑197/23, EU:C:2024:956, σκέψη 43).
31      Βλ. αποφάσεις της 16ης Ιουλίου 2020, Facebook Ireland και Schrems (C‑311/18, EU:C:2020:559, σκέψη 172), της 12ης Ιανουαρίου 2023, Österreichische Post (Πληροφορίες σχετικά με τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα) (C‑154/21, EU:C:2023:3, σκέψη 47), και της 21ης Μαρτίου 2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, σκέψη 75).
32      Giurgiu, A., και Larsen, T., «Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More European DPAs as Guardians of Consistency?», European Data Protection Law Review,
αριθ. 3 (2016), σ. 352, οι οποίοι θεωρούν ότι οι εποπτικές αρχές είναι οι κύριοι εγγυητές των ατομικών δικαιωμάτων, λόγω του κεντρικού ρόλου τους στην εποπτεία και την εφαρμογή των κανόνων προστασίας των δεδομένων που προβλέπονται στον ΓΚΠΔ. Τονίζουν ότι είναι σημαντικό να παρασχεθούν στις εν λόγω αρχές επαρκείς πόροι, τόσο σε ανθρώπινο δυναμικό όσο και σε οικονομικά μέσα, ώστε να είναι σε θέση να εκπληρώνουν αποτελεσματικά τα καθήκοντά τους.
33      Βλ. απόφαση της 9ης Ιανουαρίου 2025, Österreichische Datenschutzbehörde (Υπερβολικά αιτήματα) (C‑416/23, EU:C:2025:3, σκέψη 40).
34      Βλ. απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, σκέψη 85).
35      Βλ. απόφαση της 24ης Φεβρουαρίου 2022, Valstsieņēmumudienests (Επεξεργασία των δεδομένων προσωπικού χαρακτήρα για φορολογικούς σκοπούς) (C‑175/20, EU:C:2022:124, σκέψη 56).
36      Πρβλ. ΕΣΠΔ, Κατευθυντήριες γραμμές 10/2020 σχετικά με τους περιορισμούς του άρθρου 23 ΓΚΠΔ (έκδοση 2.1), που εγκρίθηκαν στις 13 Οκτωβρίου 2021, σημεία 65 έως 67 και 82, οι οποίες συνιστούν προσωρινούς περιορισμούς στην άσκηση ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων προκειμένου να μην τίθενται σε κίνδυνο οι διοικητικές έρευνες.
37      Βλ. αποφάσεις της 8ης Απριλίου 2014, Digital Rights Ireland κ.λπ. (C‑293/12 και C‑594/12, EU:C:2014:238, σκέψη 38), της 6ης Οκτωβρίου 2015, Schrems (C‑362/14, EU:C:2015:650, σκέψη 94), της 16ης Ιουλίου 2020, Facebook Ireland και Schrems (C‑311/18, EU:C:2020:559, σκέψη 174), και της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ. (C‑511/18, C‑512/18 και C‑520/18, EU:C:2020:791, σκέψη 121).
38      Το Δικαστήριο, κατά πάγια νομολογία, υπενθυμίζει τον σκοπό αυτόν και υπογραμμίζει ότι η προστασία των δεδομένων προσωπικού χαρακτήρα διασφαλίζεται τόσο από το άρθρο 16 ΣΛΕΕ όσο και από το άρθρο 8 του Χάρτη, κατοχυρώνοντας έτσι το δικαίωμα αυτό σε δύο διατάξεις του πρωτογενούς δικαίου της Ένωσης (βλ. απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, σκέψη 43).
39      Βλ. απόφαση της 22ας Ιουνίου 2023, Pankki S (C‑579/21, EU:C:2023:501, σκέψεις 53 επ.).
40      Βλ. απόφαση της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF (C‑487/21, EU:C:2023:369, σκέψη 44).
41      Βλ. σημεία 59 επ. των παρουσών προτάσεων.
42      Βλ. απόφαση της 12ης Ιανουαρίου 2023, Österreichische Post (Πληροφορίες σχετικά με τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα) (C‑154/21, EU:C:2023:3, σκέψη 49). Όπως έχει επισημάνει το Δικαστήριο, εναπόκειται στον υπεύθυνο επεξεργασίας να αποδείξει τον προδήλως αβάσιμο ή υπερβολικό χαρακτήρα αιτήματος πρόσβασης κατά την έννοια του άρθρου 12, παράγραφος 5, του ΓΚΠΔ.
43      Πρβλ. Οργανισμός Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (FRA), GDPR in practice – Experiences of Data Protection Authorities, Λουξεμβούργο, 11 Ιουνίου 2024, σ. 21, όπου η διαθεσιμότητα των πόρων των εποπτικών αρχών κατά την πάροδο των ετών χαρακτηρίζεται ως «γενικά ανεπαρκής». Μετά την πρώτη αξιολόγηση της εφαρμογής του ΓΚΠΔ από την Επιτροπή, το Ευρωπαϊκό Κοινοβούλιο εξέδωσε ψήφισμα με το οποίο καλεί τα κράτη μέλη να συμμορφωθούν με την υποχρέωση που υπέχουν δυνάμει του άρθρου 52, παράγραφος 4, του ΓΚΠΔ να παρέχουν στις εποπτικές αρχές τους επαρκείς πόρους ώστε να μπορούν να εκτελούν τα καθήκοντά τους με τον καλύτερο δυνατό τρόπο και να εξασφαλίζουν ισότιμους όρους εφαρμογής του ΓΚΠΔ σε ευρωπαϊκό επίπεδο.