62023CC0169
ΠΡΟΤΑΣΕΙΣ ΤΗΣ ΓΕΝΙΚΗΣ ΕΙΣΑΓΓΕΛΕΑ
LAILA MEDINA
της 6ης Ιουνίου 2024 (
1
)
Υπόθεση C‑169/23 [Másdi]
i
Nemzeti Adatvédelmi és Információszabadság Hatóság
κατά
UC
[αίτηση του Kúria (Ανωτάτου Δικαστηρίου, Ουγγαρία)για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Προστασία δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Επεξεργασία δεδομένων για την έκδοση πιστοποιητικού COVID‑19 – Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων – Άρθρο 14, παράγραφος 1 – Παρεκκλίσεις από την υποχρέωση παροχής πληροφοριών – Απόκτηση ή κοινολόγηση η οποία προβλέπεται ρητώς από το δίκαιο της Ένωσης ή κράτους μέλους – Κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων – Άρθρο 14, παράγραφος 5, στοιχείο γʹ – Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή – Άρθρο 77»
I. Εισαγωγή
1.
Μια από τις πλέον σημαντικές υποχρεώσεις του υπευθύνου επεξεργασίας δεδομένων είναι η υποχρέωση παροχής πληροφοριών στο υποκείμενο των δεδομένων. Όπως εύγλωττα επισημαίνει ο γενικός εισαγγελέας P. Cruz Villalón στις προτάσεις του στην υπόθεση Bara, η απαίτηση ενημερώσεως του υποκειμένου των δεδομένων «εγγυάται τη διαφάνεια κάθε επεξεργασίας» (
2
). Η υποχρέωση ενημέρωσης συνιστά θεμελιώδες δικαίωμα του υποκειμένου των δεδομένων να λαμβάνει πληροφορίες σχετικά με την επεξεργασία των δεδομένων του. Στους κόλπους της νομικής θεωρίας (
3
) παρατηρείται ότι το δικαίωμα στην πληροφόρηση «αποτελεί έκφανση» της αρχής της διαφάνειας και «βρίσκεται στο επίκεντρο» όλων των άλλων δικαιωμάτων. Πράγματι, οι ευρείες απαιτήσεις ενημέρωσης παρέχουν στο υποκείμενο των δεδομένων τη δυνατότητα να ασκεί άλλα σημαντικά δικαιώματα που αναγνωρίζονται από τον κανονισμό (ΕΕ) 2016/679 (
4
).
2.
Η υπό κρίση υπόθεση προέκυψε στο πλαίσιο της έκδοσης πιστοποιητικών COVID‑19. Το Δικαστήριο καλείται για πρώτη φορά να ερμηνεύσει μια σημαντική παρέκκλιση από την υποχρέωση ενημέρωσης που υπέχει ο υπεύθυνος επεξεργασίας, η οποία προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ. Η παρέκκλιση αυτή θα εξεταστεί σε σχέση με τις εξουσίες της εποπτικής αρχής στο πλαίσιο της υποβολής καταγγελίας από το υποκείμενο των δεδομένων.
II. Το νομικό πλαίσιο
Α.
Το δίκαιο της Ευρωπαϊκής Ένωσης
3.
Το άρθρο 14 του ΓΚΠΔ, το οποίο επιγράφεται «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων», ορίζει στις παραγράφους 1, 2 και 5 τα εξής:
«1.   Όταν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις ακόλουθες πληροφορίες:
α)
την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας,
β)
τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση,
γ)
τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία,
δ)
τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα,
ε)
τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, ενδεχομένως,
στ)
κατά περίπτωση, ότι ο υπεύθυνος επεξεργασίας προτίθεται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε αποδέκτη σε τρίτη χώρα ή διεθνή οργανισμό και την ύπαρξη ή την απουσία απόφασης επάρκειας της [Ευρωπαϊκής] Επιτροπής […]
2.   Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις εξής πληροφορίες που είναι αναγκαίες για τη διασφάλιση θεμιτής και διαφανούς επεξεργασίας όσον αφορά το υποκείμενο των δεδομένων:
α)
το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω χρονικό διάστημα,
β)
εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο,
γ)
την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορά το υποκείμενο των δεδομένων και δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων,
δ)
όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της,
ε)
το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή,
στ)
την πηγή από την οποία προέρχονται τα δεδομένα προσωπικού χαρακτήρα και, ανάλογα με την περίπτωση, εάν τα δεδομένα προήλθαν από πηγές στις οποίες έχει πρόσβαση το κοινό,
ζ)
την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.
[…]
5.   Οι παράγραφοι 1 έως 4 δεν εφαρμόζονται εάν και εφόσον:
[…]
γ)
η απόκτηση ή η κοινολόγηση προβλέπεται ρητώς από το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο παρέχει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων
[…]».
4.
Το άρθρο 32 του ΓΚΠΔ, το οποίο επιγράφεται «Ασφάλεια επεξεργασίας», ορίζει στην παράγραφο 1 τα εξής:
«Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων […]
[…]».
5.
Το άρθρο 77 του ΓΚΠΔ, το οποίο επιγράφεται «Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή», ορίζει στην παράγραφο 1 τα εξής:
«Με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, ιδίως στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον παρόντα κανονισμό.»
Β.
Το ουγγρικό δίκαιο
6.
Το άρθρο 2, παράγραφος 1, στοιχεία a έως g, του a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (κυβερνητικού διατάγματος 60/2021, της 12ης Φεβρουαρίου, σχετικά με το πιστοποιητικό ανοσίας κατά του κορονοϊού, στο εξής: διάταγμα 60/2021), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της διαφοράς της κύριας δίκης, ορίζει τα εξής:
«Το πιστοποιητικό ανοσίας περιέχει:
a)
το ονοματεπώνυμο του υποκειμένου των δεδομένων,
b)
τον αριθμό διαβατηρίου του υποκειμένου των δεδομένων, εφόσον υπάρχει,
c)
τον αριθμό και το αναγνωριστικό στοιχείο του μόνιμου δελτίου ταυτότητας του υποκειμένου των δεδομένων, εφόσον υπάρχει,
d)
τον αύξοντα αριθμό του πιστοποιητικού ανοσίας,
e)
εάν προσκομίζεται αποδεικτικό εμβολιασμού, την ημερομηνία εμβολιασμού,
f)
εάν προσκομίζεται πιστοποιητικό νόσησης, τη διάρκεια ισχύος του,
g)
έναν κωδικό αποθήκευσης των δεδομένων, αναγνώσιμο με τη χρήση ηλεκτρονικών συσκευών, ο οποίος δημιουργείται βάσει των δεδομένων που αναφέρονται στα στοιχεία a έως f,
[…]».
7.
Κατά το άρθρο 2, παράγραφοι 6 και 7, του διατάγματος 60/2021, το πιστοποιητικό ανοσίας χορηγείτο από την Budapest Főváros Kormányhivatala (Νομαρχία Βουδαπέστης-Πρωτευούσης, Ουγγαρία, στο εξής: νομαρχία Βουδαπέστης) στο φυσικό πρόσωπο που το δικαιούται, είτε αυτεπαγγέλτως είτε κατόπιν αιτήσεως.
8.
Το άρθρο 3, παράγραφος 3, του διατάγματος 60/2021 ορίζει:
«Στις περιπτώσεις του άρθρου 2, παράγραφος 6, στοιχεία c και d, η [νομαρχία Βουδαπέστης] συλλέγει με αυτόματη διαβίβαση πληροφοριών –εν ανάγκη μέσω των οικείων υπηρεσιών του összerendelési nyilvántartás [(μητρώου ηλεκτρονικής καταχώρισης των στοιχείων ταυτοποίησης, Ουγγαρία)]–
a)
από τον φορέα διαχείρισης της EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (Πλατφόρμας Ηλεκτρονικών Υπηρεσιών Υγείας)]: τον αριθμό κοινωνικής ασφάλισης του υποκειμένου των δεδομένων, τα δεδομένα που αναφέρονται στο άρθρο 2, παράγραφος 1, στοιχεία e και g, καθώς και τα δεδομένα που αναφέρονται στην παράγραφο 1,
b)
από τον αρμόδιο φορέα για την καταχώριση δεδομένων προσωπικού χαρακτήρα και διευθύνσεων: το ονοματεπώνυμο, τα αναγνωριστικά στοιχεία του διαβατηρίου και του μόνιμου δελτίου ταυτότητας και τη διεύθυνση του υποκειμένου των δεδομένων.»
III. Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
9.
Ο UC, φυσικό πρόσωπο, έλαβε από τη νομαρχία Βουδαπέστης πιστοποιητικό ανοσίας που επιβεβαίωνε τον εμβολιασμό του έναντι της COVID‑19.
10.
Στις 30 Απριλίου 2021 ο UC υπέβαλε καταγγελία ενώπιον της Nemzeti Adatvédelmi és Információszabadság Hatóság (εθνικής αρχής για την προστασία των δεδομένων και την ελευθερία της πληροφόρησης, Ουγγαρία, στο εξής: ουγγρική εποπτική αρχή) βάσει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ. Ο UC ζητούσε από την εν λόγω αρχή να υποχρεώσει τη νομαρχία Βουδαπέστης να συμμορφώσει τις πράξεις επεξεργασίας της προς τις διατάξεις του ΓΚΠΔ. Με την καταγγελία του ο UC προέβαλε, μεταξύ άλλων, αφενός, ότι η νομαρχία Βουδαπέστης δεν είχε συντάξει ούτε δημοσιεύσει δήλωση εμπιστευτικότητας όσον αφορά την επεξεργασία δεδομένων σχετικά με την έκδοση των πιστοποιητικών ανοσίας και, αφετέρου, ότι δεν παρέχονταν επαρκείς πληροφορίες σχετικά με τον σκοπό και τη νομική βάση της επεξεργασίας, με τα δικαιώματα που είχαν τα υποκείμενα των δεδομένων και με τον τρόπο με τον οποίο τα εν λόγω δικαιώματα μπορούσαν να ασκηθούν.
11.
Στο πλαίσιο της διαδικασίας που κινήθηκε συνεπεία της υποβολής της καταγγελίας, η νομαρχία Βουδαπέστης υποστήριξε ότι εκτελούσε τα καθήκοντά της σχετικά με την έκδοση των πιστοποιητικών ανοσίας δυνάμει του άρθρου 2 του διατάγματος 60/2021, καθώς και ότι τη νομική βάση της επεξεργασίας αποτελούσε το άρθρο 6, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ, ενώ, όσον αφορά την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, τη νομική βάση αποτελούσε το άρθρο 9, παράγραφος 2, στοιχείο θʹ, του ΓΚΠΔ.
12.
Επιπλέον, η νομαρχία Βουδαπέστης επισήμανε ότι, σύμφωνα με το άρθρο 3, παράγραφοι 2 και 3, του διατάγματος 60/2021, είχε συλλέξει τα δεδομένα που υποβάλλονταν σε επεξεργασία με αυτόματη διαβίβαση πληροφοριών από τον φορέα διαχείρισης της Πλατφόρμας Ηλεκτρονικών Υπηρεσιών Υγείας και από τον αρμόδιο φορέα για την καταχώριση δεδομένων προσωπικού χαρακτήρα και διευθύνσεων. Προέβαλε δε ότι, δυνάμει του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, δεν ήταν υποχρεωμένη να παρέχει πληροφορίες σχετικά με την επεξεργασία. Εντούτοις, είχε συντάξει δήλωση εμπιστευτικότητας σχετικά με την οικεία επεξεργασία την οποία είχε δημοσιεύσει στον ιστότοπό της.
13.
Με απόφαση της 15ης Νοεμβρίου 2021, η ουγγρική εποπτική αρχή απέρριψε την καταγγελία με την αιτιολογία ότι η νομαρχία Βουδαπέστης δεν ήταν υποχρεωμένη να παρέχει πληροφορίες, δεδομένου ότι στην περίπτωση της οικείας επεξεργασίας ίσχυε η παρέκκλιση του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ. Ειδικότερα, η εν λόγω εποπτική αρχή έκρινε ότι το διάταγμα 60/2021 αποτελούσε τη νομική βάση της οικείας επεξεργασίας και ότι η νομαρχία Βουδαπέστης δεν είχε συλλέξει τα δεδομένα από τα ίδια τα υποκείμενα των δεδομένων. Επιπλέον, επισήμανε ότι το άρθρο 3, παράγραφος 1, του διατάγματος 60/2021 υποχρέωνε ρητά τη νομαρχία Βουδαπέστης να προβεί στη συλλογή των δεδομένων. Το γεγονός ότι η νομαρχία Βουδαπέστης δημοσίευσε πληροφορίες σχετικά με την επεξεργασία των δεδομένων στον ιστότοπό της, μολονότι δεν υπείχε τέτοια υποχρέωση εκ του νόμου, εκτιμήθηκε ως ορθή πρακτική.
14.
Η ουγγρική εποπτική αρχή εξέτασε αυτεπαγγέλτως το ζήτημα των κατάλληλων μέτρων για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων, τα οποία προβλέπονται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, και έκρινε ότι τα άρθρα 2 και 3, όπως και τα άρθρα 5 έως 7, του διατάγματος 60/2021 έπρεπε να θεωρηθούν ως τέτοια μέτρα.
15.
Ο UC προσέβαλε την απόφαση της ουγγρικής εποπτικής αρχής ενώπιον του Fővárosi Törvényszék (πρωτοδικείο Βουδαπέστης, Ουγγαρία). Το εν λόγω δικαστήριο έκανε δεκτή την προσφυγή, ακύρωσε την απόφαση της ουγγρικής εποπτικής αρχής και διέταξε την τελευταία να διεξαγάγει νέα διαδικασία.
16.
Στο σκεπτικό της αποφάσεώς του, το Fővárosi Törvényszék (πρωτοδικείο Βουδαπέστης) επισήμανε ότι δεν είχε εφαρμογή στην υπόθεση η παρέκκλιση που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, διότι ορισμένα από τα δεδομένα σχετικά με τα πιστοποιητικά ασυλίας δεν είχαν συλλεγεί από άλλον φορέα, αλλά, αντιθέτως, είχαν παραχθεί από τον εν λόγω υπεύθυνο επεξεργασίας. Επρόκειτο, μεταξύ άλλων, για τον αύξοντα αριθμό του πιστοποιητικού ανοσίας, τη διάρκεια ισχύος του πιστοποιητικού, τον ενσωματωμένο στο πιστοποιητικό κωδικό QR, τον γραμμωτό κώδικα και άλλους αλφαριθμητικούς κωδικούς που παρήχθησαν από τον υπεύθυνο επεξεργασίας στο πλαίσιο της διαδικασίας που διεξήγαγε ο ίδιος.
17.
Η ουγγρική εποπτική αρχή άσκησε έκτακτο ένδικο μέσο αναιρέσεως κατά της ως άνω τελεσίδικης αποφάσεως του Fővárosi Törvényszék (πρωτοδικείου Βουδαπέστης) ενώπιον του Kúria (Ανωτάτου Δικαστηρίου, Ουγγαρία).
18.
Όσον αφορά την εφαρμογή της παρέκκλισης που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, το αιτούν δικαστήριο εκτιμά ότι μπορεί να εφαρμοστεί σε όλα τα είδη επεξεργασίας που δεν αφορούν δεδομένα που έχουν συλλεγεί από το υποκείμενο των δεδομένων κατά την έννοια του άρθρου 13 του ΓΚΠΔ, συμπεριλαμβανομένων των δεδομένων που παράγονται από τον υπεύθυνο επεξεργασίας.
19.
Εάν γίνει δεκτή αυτή η ερμηνεία του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, το αιτούν δικαστήριο διατηρεί αμφιβολίες ως προς την έκταση των διορθωτικών εξουσιών των εθνικών εποπτικών αρχών στο πλαίσιο καταγγελίας υποβαλλόμενης βάσει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ. Ειδικότερα, το αιτούν δικαστήριο διατηρεί αμφιβολίες ως προς το αν, στο πλαίσιο μιας τέτοιας καταγγελίας, η εποπτική αρχή έχει την εξουσία να εξετάσει το ζήτημα των κατάλληλων μέτρων που προβλέπονται από το εθνικό δίκαιο για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων, στα οποία αναφέρεται το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ.
20.
Σε περίπτωση που γίνει δεκτό ότι η αρχή ελέγχου διαθέτει τέτοια εξουσία, το αιτούν δικαστήριο διερωτάται ως προς την ακριβή έννοια της φράσεως «κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων». Συναφώς, παρατηρεί ότι θα μπορούσε να διαπιστωθεί ότι τα «κατάλληλα μέτρα» περιλαμβάνουν, αφενός, τη μεταφορά στο εθνικό δίκαιο των στοιχείων που απαριθμούνται στο άρθρο 14, παράγραφος 1, στοιχεία αʹ έως στʹ, του ΓΚΠΔ. Αφετέρου, τα εν λόγω μέτρα θα μπορούσαν να περιλαμβάνουν το δικαίωμα να ζητείται έλεγχος της ασφάλειας της επεξεργασίας, η οποία διέπεται από το άρθρο 32 του ΓΚΠΔ. Ωστόσο, η εν λόγω αντίληψη περί «κατάλληλων μέτρων» θα ενείχε τον κίνδυνο επιβάρυνσης της νομοθεσίας με τεχνικές διατάξεις, πράγμα που θα αντέβαινε στην απαίτηση περί κατανοητού και σαφούς χαρακτήρα των νομοθετικών πράξεων. Θα μπορούσε επίσης να συνιστά επαρκή εγγύηση η τήρηση των μέτρων σχετικά με την ασφάλεια των δεδομένων, ακόμη και αν τα μέτρα αυτά δεν έχουν ειδικώς μεταφερθεί στο εθνικό δίκαιο.
21.
Στο πλαίσιο αυτό, το Kúria (Ανώτατο Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1)
Έχει το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ –υπό το πρίσμα του άρθρου 14, παράγραφος 1, και της αιτιολογικής σκέψης 62 του ίδιου κανονισμού–, την έννοια ότι η εξαίρεση που προβλέπεται από την πρώτη αυτή διάταξη δεν εφαρμόζεται στα δεδομένα που παράγονται από τον υπεύθυνο επεξεργασίας στο πλαίσιο της δικής του διαδικασίας, αλλά μόνον στα δεδομένα τα οποία ο υπεύθυνος επεξεργασίας έχει συλλέξει συγκεκριμένα από άλλο πρόσωπο;
2)
Σε περίπτωση που το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ εφαρμόζεται και στα δεδομένα που παράγονται στο πλαίσιο της διαδικασίας που διεξάγει ο ίδιος ο υπεύθυνος επεξεργασίας, έχει το άρθρο 77, παράγραφος 1, του ΓΚΠΔ, το οποίο διέπει το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, την έννοια ότι το φυσικό πρόσωπο που προβάλλει παράβαση της υποχρέωσης παροχής πληροφοριών δύναται με την καταγγελία αυτή να ζητήσει να εξεταστεί αν το δίκαιο του κράτους μέλους παρέχει κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων, συμφώνως προς το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ;
3)
Σε περίπτωση καταφατικής απαντήσεως στο δεύτερο προδικαστικό ερώτημα, έχει το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ την έννοια ότι τα «κατάλληλα μέτρα» που προβλέπονται στη διάταξη αυτή προϋποθέτουν τη μεταφορά από τον εθνικό νομοθέτη στο εσωτερικό δίκαιο (με κανόνα δικαίου) των μέτρων για την ασφάλεια των δεδομένων που προβλέπονται στο άρθρο 32 του ΓΚΠΔ;»
22.
Γραπτές παρατηρήσεις κατέθεσαν ο UC, η ουγγρική εποπτική αρχή, η Ουγγρική Κυβέρνηση και η Επιτροπή. Το Δικαστήριο έθεσε ερωτήσεις προς γραπτή απάντηση στους μετέχοντες στη διαδικασία και στα ενδιαφερόμενα μέρη σύμφωνα με το άρθρο 23 του Οργανισμού του Δικαστηρίου της Ευρωπαϊκής Ένωσης, στις οποίες απάντησαν ο UC, η Τσεχική Κυβέρνηση, η Ουγγρική Κυβέρνηση και η Επιτροπή.
IV. Εκτίμηση
Α.
Προκαταρκτικές παρατηρήσεις σχετικά με την υποχρέωση ενημέρωσης και την παρέκκλιση που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ
23.
Η παροχή πληροφοριών στα υποκείμενα των δεδομένων αποτελεί κεντρικό στοιχείο της αρχής της διαφάνειας που προβλέπεται στο άρθρο 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ. Η διαφάνεια «παρέχει στα υποκείμενα των δεδομένων τη δυνατότητα να καθιστούν τους υπευθύνους επεξεργασίας και τους εκτελούντες την υπηρεσία υπόχρεους να παρέχουν λογοδοσία», καθώς ενισχύει τη δυνατότητα των υποκειμένων των δεδομένων τους να ασκούν έλεγχο επί των δεδομένων τους (
5
). Πράγματι, όπως επισημαίνεται στην απόφαση Bara κ.λπ., «η εν λόγω απαίτηση ενημερώσεως των προσώπων τα οποία αφορά η επεξεργασία των δεδομένων προσωπικού χαρακτήρα έχει ακόμα μεγαλύτερη σημασία καθώς από αυτήν εξαρτάται η άσκηση από τα πρόσωπα αυτά του δικαιώματός τους να έχουν πρόσβαση στα υπό επεξεργασία δεδομένα» (
6
). Οι κρίσιμες διατάξεις στο πλαίσιο αυτό είναι τα άρθρα 12, 13 και 14 του ΓΚΠΔ.
24.
Κατά το άρθρο 12, παράγραφος 1, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας πρέπει να λαμβάνει τα κατάλληλα μέτρα για να παρέχει τις πληροφορίες που αναφέρονται στα άρθρα 13 και 14 «σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση». Συνήθως, οι πληροφορίες παρέχονται στο κείμενο πολιτικής για την προστασία της ιδιωτικής ζωής, ανακοίνωσης περί απορρήτου ή δήλωσης εμπιστευτικότητας (
7
).
25.
Το περιεχόμενο και η έκταση της υποχρέωσης παροχής πληροφοριών ορίζονται στα άρθρα 13 και 14 του ΓΚΠΔ. Το άρθρο 13 ρυθμίζει τις πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων (άμεση συλλογή), ενώ το άρθρο 14 ρυθμίζει τις πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων (έμμεση συλλογή) (
8
). Οι πληροφορίες που παρέχονται βάσει των δύο αυτών διατάξεων αλληλεπικαλύπτονται σε σημαντικό βαθμό (
9
).
26.
Όσον αφορά την έμμεση συλλογή δεδομένων, το άρθρο 14, παράγραφος 1, του ΓΚΠΔ περιλαμβάνει στον «βασικό κατάλογο πληροφοριών» (
10
) τις πληροφορίες σχετικά με την ταυτότητα του υπευθύνου επεξεργασίας, τους σκοπούς της επεξεργασίας, τους αποδέκτες των δεδομένων και την πιθανότητα διαβίβασης των δεδομένων σε αποδέκτη σε τρίτη χώρα. Στις πρόσθετες πληροφορίες που είναι απαραίτητες για την εξασφάλιση δίκαιης και διαφανούς επεξεργασίας, το άρθρο 14, παράγραφος 2, του ΓΚΠΔ συγκαταλέγει ρητά το χρονικό διάστημα για το οποίο αποθηκεύονται τα δεδομένα προσωπικού χαρακτήρα, τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας (
11
) ή την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση στα δεδομένα προσωπικού χαρακτήρα και διόρθωση ή διαγραφή τους.
27.
Η υποχρέωση παροχής πληροφοριών που υπέχει ο υπεύθυνος επεξεργασίας σε περίπτωση έμμεσης συλλογής δυνάμει του άρθρου 14 του ΓΚΠΔ υπόκειται σε τέσσερις παρεκκλίσεις, οι οποίες προβλέπονται στην παράγραφο 5 του εν λόγω άρθρου. Η κρίσιμη για την υπόθεση της κύριας δίκης παρέκκλιση είναι η προβλεπόμενη στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, το οποίο περιέχει «ρήτρα ανοίγματος» (
12
). Ο υπεύθυνος επεξεργασίας απαλλάσσεται από την υποχρέωση παροχής πληροφοριών όταν και στον βαθμό που «η απόκτηση ή η κοινολόγηση προβλέπεται ρητώς από το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας» και το δίκαιο αυτό παρέχει «τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων».
28.
Η αγγλική γλωσσική απόδοση του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, όπως και άλλες γλωσσικές αποδόσεις (
13
), δεν κάνει ρητή αναφορά στο αντικείμενο της πράξης της «απόκτησης ή της κοινολόγησης». Αρκετές άλλες γλωσσικές αποδόσεις κάνουν ρητή αναφορά στην απόκτηση ή την κοινολόγηση «δεδομένων» (
14
). Φαίνεται ότι μόνον η γαλλική γλωσσική απόδοση κάνει αναφορά στην απόκτηση ή την κοινολόγηση «πληροφοριών» (
15
).
29.
Εντούτοις, δεδομένου ότι όλες οι γλωσσικές αποδόσεις μιας πράξεως της Ένωσης πρέπει, κατ’ αρχήν, να θεωρούνται ισοδύναμες, σε περίπτωση αποκλίσεως μεταξύ των εν λόγω αποδόσεων, η επίμαχη διάταξη πρέπει να ερμηνεύεται με γνώμονα την εν γένει οικονομία και τον σκοπό της ρυθμίσεως της οποίας αποτελεί μέρος (
16
).
30.
Συναφώς, από την εν γένει οικονομία της ρυθμίσεως της οποίας το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ αποτελεί μέρος καθίσταται εμφανές ότι η απόκτηση ή η κοινολόγηση αφορά δεδομένα προσωπικού χαρακτήρα (και όχι πληροφορίες). Ήδη από τον τίτλο του άρθρου 14 προκύπτει ότι οι πληροφορίες «παρέχονται», ενώ η πράξη της αποκτήσεως αφορά τα «δεδομένα προσωπικού χαρακτήρα». Η ερμηνεία αυτή επιρρωννύεται από την αιτιολογική σκέψη 61, η οποία κάνει αναφορά στα «δεδομένα προσωπικού χαρακτήρα» που λαμβάνονται από άλλη πηγή, καθώς και από την αιτιολογική σκέψη 62, η οποία αναφέρεται στην καταχώριση ή την κοινολόγηση των «δεδομένων προσωπικού χαρακτήρα». Επιπλέον, λαμβανομένης υπόψη της ευρείας έννοιας του όρου «επεξεργασία» σύμφωνα με το άρθρο 4, παράγραφος 2, του ΓΚΠΔ, ήτοι ότι αποτελεί κάθε πράξη ή σειρά πράξεων που πραγματοποιείται σε δεδομένα προσωπικού χαρακτήρα (
17
), η «απόκτηση ή κοινολόγηση» πρέπει να χαρακτηριστεί ως πράξη επεξεργασίας που πραγματοποιείται σε δεδομένα προσωπικού χαρακτήρα.
31.
Όσον αφορά τον σκοπό της ρυθμίσεως της οποίας το άρθρο 14, παράγραφος 5, στοιχείο γʹ, αποτελεί μέρος, η παραδοχή στην οποία βασίζεται η οικεία παρέκκλιση φαίνεται να είναι ότι το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους αντικαθιστά ή υποκαθιστά την υποχρέωση που κανονικά επιβάλλεται στον υπεύθυνο επεξεργασίας να παρέχει πληροφορίες σχετικά με την απόκτηση ή την κοινολόγηση των δεδομένων (
18
). Σύμφωνα με το οικείο δίκαιο, τα υποκείμενα των δεδομένων θα έχουν ήδη επαρκή γνώση της απόκτησης ή της κοινολόγησης των δεδομένων (
19
). Το δίκαιο στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας των δεδομένων πρέπει να αφορά ρητώς την απόκτηση ή την κοινολόγηση των δεδομένων και η εν λόγω απόκτηση ή κοινολόγηση θα πρέπει να είναι υποχρεωτική για τον υπεύθυνο επεξεργασίας των δεδομένων (
20
).
32.
Επομένως, από τα προεκτεθέντα προκύπτει σαφώς ότι το αντικείμενο της παρεκκλίσεως σχετικά με την απόκτηση ή την κοινολόγηση αφορά τα δεδομένα προσωπικού χαρακτήρα.
33.
Υπό το πρίσμα των ως άνω παρατηρήσεων θα εξετάσω περαιτέρω την παρέκκλιση που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ στο πλαίσιο της ανάλυσης των προδικαστικών ερωτημάτων.
Β.
Επί του πρώτου προδικαστικού ερωτήματος
34.
Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι η παρέκκλιση από την υποχρέωση του υπευθύνου επεξεργασίας να παρέχει πληροφορίες στο υποκείμενο των δεδομένων εφαρμόζεται μόνο σε δεδομένα τα οποία ο υπεύθυνος επεξεργασίας έχει αποκτήσει αποκλειστικώς από άλλο πρόσωπο, αποκλειομένων των δεδομένων που παράγονται από τον υπεύθυνο επεξεργασίας στο πλαίσιο της διαδικασίας που ο ίδιος διεξάγει.
35.
Το ερώτημα αυτό απορρέει από το γεγονός ότι στην υπόθεση της κύριας δίκης ορισμένα δεδομένα που περιέχονται στα πιστοποιητικά COVID‑19 δεν αποκτήθηκαν από άλλον οργανισμό, αλλά παρήχθησαν από τη νομαρχία Βουδαπέστης (
21
).
36.
Συνεπώς, πρέπει να διαπιστωθεί αν ο όρος «απόκτηση», που ορίζεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, αποκλείει τα δεδομένα που παράγονται από τον υπεύθυνο επεξεργασίας.
37.
Προκειμένου να δοθεί απάντηση στο ως άνω ερώτημα, υπενθυμίζεται προκαταρκτικώς ότι, για την ερμηνεία διάταξης του δικαίου της Ένωσης, πρέπει να λαμβάνεται υπόψη όχι μόνον το γράμμα της, αλλά και το πλαίσιο στο οποίο αυτή εντάσσεται, καθώς και οι σκοποί που επιδιώκονται με την πράξη της οποίας αποτελεί μέρος (
22
).
38.
Όσον αφορά το γράμμα του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, η εν λόγω διάταξη δεν θέτει περιορισμό όσον αφορά συγκεκριμένο τύπο επεξεργασίας ή την ακριβή μέθοδο με την οποία ο υπεύθυνος επεξεργασίας αποκτά τα δεδομένα. Τα δεδομένα μπορούν να αποκτηθούν με τεχνική διαδικασία, όπως η παραγωγή των δεδομένων από τον υπεύθυνο επεξεργασίας.
39.
Η ευρεία ερμηνεία του όρου «απόκτηση» επιβεβαιώνεται από την αιτιολογική σκέψη 62 του ΓΚΠΔ. Η εν λόγω αιτιολογική σκέψη χρησιμοποιεί τον όρο «καταχώριση» των δεδομένων, πράξη η οποία, όπως επισήμανε το αιτούν δικαστήριο, αφορά ένα ευρύτερο σύνολο πράξεων επεξεργασίας που μπορεί να εκτελέσει ο υπεύθυνος επεξεργασίας. Επομένως, το άρθρο 14, παράγραφος 5, στοιχείο γʹ, δεν μπορεί να ερμηνευθεί υπό την έννοια ότι εφαρμόζεται μόνον στα δεδομένα που αποκτώνται από άλλη οντότητα και όχι στα δεδομένα που παράγονται από τον υπεύθυνο επεξεργασίας.
40.
Η ως άνω ερμηνεία του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ επιβεβαιώνεται επίσης από το πλαίσιο στο οποίο εντάσσεται η εν λόγω διάταξη και από τους σκοπούς που επιδιώκονται με τη διάταξη αυτή.
41.
Συναφώς, πρέπει να επισημανθεί ότι οι παρεκκλίσεις που προβλέπονται στο άρθρο 14, παράγραφος 5, αφορούν τις παραγράφους 1 έως 4 του ίδιου άρθρου. Το καθ’ ύλην πεδίο εφαρμογής του άρθρου 14 (μέρος του οποίου αποτελεί η οικεία παρέκκλιση) ορίζεται με αρνητικό τρόπο σε σύγκριση με το άρθρο 13. Ενώ το άρθρο 13 ρυθμίζει τις πληροφορίες που πρέπει να παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων, το άρθρο 14 ρυθμίζει την παροχή πληροφοριών εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων. Από τη διάκριση μεταξύ άμεσης και έμμεσης συλλογής δεδομένων προκύπτει ότι όλες οι περιπτώσεις στις οποίες τα δεδομένα δεν συλλέγονται από το υποκείμενο των δεδομένων εμπίπτουν στο καθ’ ύλην πεδίο εφαρμογής του άρθρου 14. Από τη στιγμή που τα δεδομένα δεν συλλέγονται από το υποκείμενο των δεδομένων, δεν ασκεί επιρροή το αν αυτά παράγονται από τον υπεύθυνο επεξεργασίας. Το ευρύ καθ’ ύλην πεδίο εφαρμογής του άρθρου 14 επιβεβαιώνεται επίσης από την αιτιολογική σκέψη 61, η οποία αφορά τα δεδομένα που «λαμβάνονται από άλλη πηγή», ήτοι από πηγή διαφορετική από το υποκείμενο των δεδομένων.
42.
Εξάλλου, όπως επισήμαναν, κατ’ ουσίαν, η Επιτροπή και η ουγγρική εποπτική αρχή, οι κανόνες των άρθρων 13 και 14 του ΓΚΠΔ αποτελούν ένα ολοκληρωμένο σύστημα που διέπει την παροχή πληροφοριών στο υποκείμενο των δεδομένων σε όλες τις πιθανές περιπτώσεις. Εάν ο όρος «απόκτηση» στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ ερμηνευόταν υπό την έννοια ότι αποκλείει τα δεδομένα που παράγονται από τον υπεύθυνο επεξεργασίας, η εν λόγω διάταξη θα είχε πιο περιορισμένο πεδίο εφαρμογής από το άρθρο 14, του οποίου αποτελεί μέρος.
43.
Όσον αφορά τον συγκεκριμένο σκοπό της επίμαχης παρεκκλίσεως, όπως υπομνήσθηκε στις προκαταρκτικές παρατηρήσεις των παρουσών προτάσεων, η απαλλαγή του υπευθύνου επεξεργασίας από την υποχρέωση παροχής πληροφοριών στηρίζεται στην υπόθεση ότι η νομική ρύθμιση αντικαθιστά την υποχρέωση παροχής πληροφοριών την οποία κανονικά υπέχει ο υπεύθυνος επεξεργασίας (
23
). Η παρέκκλιση που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, παρέχει στα κράτη μέλη περιθώριο εκτιμήσεως να προβλέπουν διαφορετική οδό ενημέρωσης του υποκειμένου των δεδομένων και εξασφάλισης δίκαιης και διαφανούς επεξεργασίας σε σύγκριση με τις πληροφορίες που παρέχονται από τον υπεύθυνο επεξεργασίας σε ατομική βάση. Η διαφορετική νομική οδός πρέπει και πάλι να επιτυγχάνει το ίδιο αποτέλεσμα. Η νομική ρύθμιση που υποκαθιστά την υποχρέωση των υπευθύνων επεξεργασίας να ενημερώνουν το υποκείμενο των δεδομένων πρέπει να παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να ασκεί έλεγχο επί των δεδομένων του και να ασκεί τα δικαιώματά του βάσει του ΓΚΠΔ (
24
).
44.
Η ερμηνεία του άρθρου 14, παράγραφος 5, στοιχείο γʹ, υπό την έννοια ότι εξαιρεί από το πεδίο εφαρμογής του την παραγωγή δεδομένων από τον υπεύθυνο επεξεργασίας θα περιόριζε το περιθώριο εκτιμήσεως που καταλείπεται στα κράτη μέλη για λόγο ο οποίος δεν φαίνεται να αφορά την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων.
45.
Επιπλέον, διαφορετική ερμηνεία –η οποία θα εισήγε εξαίρεση από την παρέκκλιση που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, όταν τα δεδομένα παράγονται από τον υπεύθυνο επεξεργασίας– θα ενείχε τον κίνδυνο να καταστήσει τη διαδικασία ακόμη πιο πολύπλοκη για το υποκείμενο των δεδομένων. Το υποκείμενο των δεδομένων πρέπει να είναι σε θέση να γνωρίζει από ποια πηγή θα λαμβάνει πληροφορίες σχετικά με την επεξεργασία των δεδομένων του, όταν τα δεδομένα αυτά δεν συλλέγονται από το ίδιο το υποκείμενο των δεδομένων. Το σχετικό δίκαιο πρέπει να καθιστά προβλέψιμη την επεξεργασία για το υποκείμενο των δεδομένων σε όλες αυτές τις περιπτώσεις (
25
).
46.
Από τα ανωτέρω προκύπτει ότι το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι η παρέκκλιση από την υποχρέωση παροχής πληροφοριών στο υποκείμενο των δεδομένων την οποία υπέχει ο υπεύθυνος επεξεργασίας εφαρμόζεται σε όλα τα δεδομένα τα οποία ο υπεύθυνος επεξεργασίας δεν έχει συλλέξει από το υποκείμενο των δεδομένων. Στο πλαίσιο αυτό, είναι αδιάφορο αν τα δεδομένα έχουν αποκτηθεί αποκλειστικώς από άλλη οντότητα ή αν παράγονται από τον υπεύθυνο επεξεργασίας στο πλαίσιο της διαδικασίας που ο ίδιος διεξάγει.
Γ.
Επί του δεύτερου προδικαστικού ερωτήματος
47.
Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 77, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, στο πλαίσιο διαδικασίας καταγγελίας, η εποπτική αρχή έχει την εξουσία να εξετάσει αν το δίκαιο του κράτους μέλους, στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας, προβλέπει κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων, για τους σκοπούς της εφαρμογής του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του εν λόγω κανονισμού.
48.
Στο πλαίσιο αυτό, υπενθυμίζεται, πρώτον, ότι κατά το άρθρο 77, παράγραφος 1, του ΓΚΠΔ, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, εάν θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον εν λόγω κανονισμό (
26
).
49.
Δεύτερον, κατά το άρθρο 55, παράγραφος 1, του ΓΚΠΔ, κάθε εποπτική αρχή είναι αρμόδια να εκτελεί τα καθήκοντα και να ασκεί τις εξουσίες που της ανατίθενται σύμφωνα με τον ίδιο κανονισμό στο έδαφος του κράτους μέλους της (
27
). Επιπλέον, σύμφωνα με το άρθρο 57, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, οι εθνικές εποπτικές αρχές είναι υπεύθυνες για την παρακολούθηση και την επιβολή της εφαρμογής του ΓΚΠΔ.
50.
Οι διατάξεις που παρατίθενται στα δύο προηγούμενα σημεία δεν αποκλείουν από την αρμοδιότητα των εθνικών εποπτικών αρχών τις προϋποθέσεις εφαρμογής της παρέκκλισης που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ.
51.
Ως εκ τούτου, όπως υποστήριξαν η Ουγγρική Κυβέρνηση και η Επιτροπή, κατ’ ουσίαν, στο πλαίσιο καταγγελίας που υποβάλλεται δυνάμει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ, οι εποπτικές αρχές έχουν την εξουσία να ελέγχουν αν πληρούνται όλες οι προϋποθέσεις που προβλέπονται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ. Όπως προκύπτει από το άρθρο 14, παράγραφος 5, πρώτο εδάφιο, όλες οι παρεκκλίσεις που προβλέπει το εν λόγω άρθρο εφαρμόζονται «εάν και εφόσον» πληρούνται οι προβλεπόμενες σε αυτό προϋποθέσεις.
52.
Συναφώς, οι εποπτικές αρχές πρέπει να έχουν την εξουσία να εξετάζουν, ειδικότερα, πρώτον, αν ο νόμος απευθύνεται απευθείας στον υπεύθυνο της επεξεργασίας και αν η απόκτηση ή η κοινολόγηση των δεδομένων είναι υποχρεωτική για τον υπεύθυνο της επεξεργασίας (
28
). Δεύτερον, οι εποπτικές αρχές πρέπει να μπορούν να εξετάζουν αν το δίκαιο που επικαλείται ο υπεύθυνος επεξεργασίας παρέχει «τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων» και αν ο υπεύθυνος επεξεργασίας είναι σε θέση να αποδείξει ότι η απόκτηση ή η κοινολόγηση των δεδομένων προσωπικού χαρακτήρα συνάδει με τα μέτρα αυτά (
29
).
53.
Η ουγγρική εποπτική αρχή υποστηρίζει ότι ο έλεγχος του κατά πόσον το εθνικό δίκαιο παρέχει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων βαίνει πέραν των καθηκόντων και των εξουσιών που της αναγνωρίζονται, αντιστοίχως, από τα άρθρα 57 και 58 του ΓΚΠΔ. Η εν λόγω αρχή φρονεί ότι οι ως άνω διατάξεις δεν απονέμουν στις εποπτικές αρχές διορθωτικές εξουσίες επί του εθνικού δικαίου και ότι δεν είναι δυνατή η άσκηση τέτοιων εξουσιών έναντι υπευθύνου επεξεργασίας ο οποίος απλώς συμμορφώθηκε με το εθνικό δίκαιο.
54.
Συναφώς, επισημαίνεται ότι η εξέταση από εθνική εποπτική αρχή του κατά πόσον πληρούνται όλες οι προϋποθέσεις για την εφαρμογή της παρέκκλισης που προβλέπει το άρθρο 14, παράγραφος 5, στοιχείο γʹ, δεν συνεπάγεται, όπως ορθώς παρατήρησε η Επιτροπή, εξέταση του κύρους του εθνικού δικαίου. Η εποπτική αρχή εξετάζει μόνον το κατά πόσον ο υπεύθυνος επεξεργασίας δικαιούται να επικαλεστεί την παρέκκλιση έναντι συγκεκριμένου υποκειμένου των δεδομένων σε συγκεκριμένη περίπτωση.
55.
Ως εκ τούτου, εναπόκειται στην εθνική εποπτική αρχή να εξετάσει την αίτηση του υποκειμένου των δεδομένων με την οποία ζητείται να μην απαλλαγεί ο υπεύθυνος επεξεργασίας από την υποχρέωση παροχής πληροφοριών για τον λόγο ότι το οικείο δίκαιο δεν παρέχει κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων.
56.
Αν η εθνική εποπτική αρχή καταλήξει στο συμπέρασμα ότι η αίτηση είναι αβάσιμη, το πρόσωπο που υπέβαλε την αίτηση και αμφισβητεί την εν λόγω διαπίστωση πρέπει, όπως προκύπτει από το άρθρο 78 του ΓΚΠΔ, να έχει πρόσβαση σε μέσα ένδικης προστασίας που του παρέχουν τη δυνατότητα να προσβάλει την απόφαση αυτή ενώπιον των εθνικών δικαστηρίων.
57.
Αν η εθνική εποπτική αρχή κρίνει ότι η αίτηση είναι βάσιμη και ότι δεν πληρούνται οι προϋποθέσεις της παρεκκλίσεως, τότε έχει την εξουσία, όπως υποστήριξαν, κατ’ ουσίαν, η Ουγγρική Κυβέρνηση και η Επιτροπή, να διατάξει τον υπεύθυνο επεξεργασίας να συμμορφωθεί με το αίτημα του υποκειμένου των δεδομένων. Στην περίπτωση αυτή, ο υπεύθυνος επεξεργασίας πρέπει να παράσχει τις πληροφορίες σύμφωνα με το άρθρο 14, παράγραφοι 1 έως 4.
58.
Απαντώντας στις γραπτές ερωτήσεις του Δικαστηρίου, η Τσεχική Κυβέρνηση υποστήριξε ότι η εξέταση της καταλληλότητας των μέτρων για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων δεν είναι δυνατή όταν το εθνικό δίκαιο προβλέπει στοχευμένα και για συγκεκριμένη περίπτωση εξαίρεση από την υποχρέωση παροχής πληροφοριών. Επικαλούμενη την απόφαση Schrems (
30
), η εν λόγω κυβέρνηση επισημαίνει, κατ’ ουσίαν, ότι για την εξέταση της συμβατότητας μιας πηγής δικαίου με άλλη πηγή δικαίου είναι αποκλειστικά αρμόδια τα δικαστήρια και όχι κάποια διοικητική αρχή.
59.
Συναφώς, υπενθυμίζεται ότι ένα από τα κύρια ζητήματα που τέθηκαν με την απόφαση Schrems αφορούσε τις εξουσίες των εθνικών εποπτικών αρχών να εξετάζουν την αίτηση προσώπου σχετικά με την προστασία των δικαιωμάτων και ελευθεριών του έναντι αποφάσεως της Επιτροπής με την οποία διαπιστώνεται ότι τρίτη χώρα διασφαλίζει ικανοποιητικό επίπεδο προστασίας (
31
). Το Δικαστήριο έκρινε, κατ’ ουσίαν, ότι όταν οι εθνικές εποπτικές αρχές εξετάζουν τέτοια αίτηση, δεν δικαιούνται να προβαίνουν οι ίδιες στη διαπίστωση της ακυρότητας της εν λόγω αποφάσεως (
32
). Η εθνική εποπτική αρχή, αν κρίνει βάσιμες τις αιτιάσεις που προέβαλε το πρόσωπο που υπέβαλε την αίτηση, πρέπει να έχει τη δυνατότητα να προσφύγει σε δικαστήριο (
33
).
60.
Ωστόσο, η απόφαση Schrems δεν φαίνεται να έχει άμεση σχέση με το ζήτημα των εξουσιών των εποπτικών αρχών όσον αφορά την εξέταση της παρέκκλισης που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ. Επισημαίνεται εκ προοιμίου ότι, στο πλαίσιο της εν λόγω εξετάσεως, η εποπτική αρχή δεν παρεμβαίνει στη νομική υποχρέωση που επιβάλλεται στον υπεύθυνο επεξεργασίας να αποκτά ή να κοινολογεί τα δεδομένα προσωπικού χαρακτήρα. Με άλλα λόγια, η εποπτική αρχή δεν διατάσσει τον υπεύθυνο επεξεργασίας να μην εκπληρώσει την εκ του νόμου υποχρέωση απόκτησης ή κοινολόγησης την οποία αυτός εξακολουθεί να υπέχει. Όπως υποστήριξαν, κατ’ ουσίαν, η Επιτροπή και η Ουγγρική Κυβέρνηση, σε μια τέτοια περίπτωση, η εξουσία της εθνικής εποπτικής αρχής συνίσταται στο να διατάσσει τον υπεύθυνο επεξεργασίας να παράσχει τις αναγκαίες πληροφορίες σχετικά με τη δήλωσή του εμπιστευτικότητας (
34
), αν δεν πληρούνται οι προϋποθέσεις της οικείας παρεκκλίσεως. Πράγματι, μια τέτοια διαταγή, όπως επισημάνθηκε ανωτέρω, δεν θίγει το κύρος του νομικού μέτρου στο οποίο υπόκειται ο υπεύθυνος της επεξεργασίας.
61.
Η εξουσία της εποπτικής αρχής να διατάσσει τον υπεύθυνο επεξεργασίας να παράσχει πληροφορίες δεν θίγει την εξουσία της να κινήσει την ένδικη διαδικασία που προβλέπεται για τον σκοπό αυτόν από το εθνικό δίκαιο, δυνάμει του άρθρου 58, παράγραφος 5, του ΓΚΠΔ, αν κρίνει ότι το εν λόγω νομικό μέτρο είναι άκυρο.
62.
Τέλος, σε ένα πιο συστημικό επίπεδο, όπως υποστήριξαν όλα τα ενδιαφερόμενα μέρη, η εποπτική αρχή έχει την εξουσία να συμβουλεύει τη νομοθετική ή την εκτελεστική εξουσία να τροποποιήσει το σχετικό νομικό μέτρο, εάν κρίνει ότι τούτο δεν παρέχει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων. Στο πλαίσιο αυτό, υπενθυμίζεται ότι οι εποπτικές αρχές είναι υπεύθυνες για την παροχή συμβουλών στο εθνικό κοινοβούλιο, καθώς και στην κυβέρνηση και σε άλλα όργανα και οργανισμούς, σύμφωνα με το άρθρο 57, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ. Διαθέτουν επίσης τις συμβουλευτικές εξουσίες που προβλέπονται στο άρθρο 58, παράγραφος 3, στοιχείο βʹ, του ΓΚΠΔ.
63.
Από τα ανωτέρω συνάγεται ότι το άρθρο 77, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι, στο πλαίσιο διαδικασίας καταγγελίας, η εποπτική αρχή έχει την εξουσία να εξετάζει αν πληρούνται όλες οι προϋποθέσεις του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του εν λόγω κανονισμού. Ειδικότερα, έχει την εξουσία να εξετάζει κατά πόσον το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας παρέχει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων.
Δ.
Επί του τρίτου προδικαστικού ερωτήματος
64.
Με το τρίτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι τα «κατάλληλα μέτρα» που μνημονεύονται στη διάταξη αυτή προϋποθέτουν τη μεταφορά από τον εθνικό νομοθέτη στο εσωτερικό δίκαιο των μέτρων σχετικά με την ασφάλεια των δεδομένων που προβλέπονται στο άρθρο 32 του εν λόγω κανονισμού.
65.
Υπενθυμίζεται συναφώς, αφενός, ότι η δυνατότητα εφαρμογής της παρέκκλισης από την υποχρέωση παροχής πληροφοριών σύμφωνα με το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ εξαρτάται από την παροχή «κατάλληλων μέτρων» για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων. Αφετέρου, από το άρθρο 32 του ΓΚΠΔ προκύπτει ότι ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία πρέπει να εφαρμόζουν «κατάλληλα τεχνικά και οργανωτικά μέτρα» προκειμένου να διασφαλίζεται το κατάλληλο επίπεδο ασφάλειας της επεξεργασίας.
66.
Ωστόσο, όπως υποστηρίζει η Επιτροπή, τα άρθρα 14 και 32 έχουν διαφορετικό πεδίο εφαρμογής. Το περιεχόμενο των «κατάλληλων μέτρων» πρέπει να εξετάζεται στο πλαίσιο του άρθρου 14 του ΓΚΠΔ. Συνεπώς, δεν είναι δυνατόν να εκτιμηθεί μία από τις προϋποθέσεις εφαρμογής της παρέκκλισης που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, βάσει της έννοιας των «κατάλληλων τεχνικών και οργανωτικών μέτρων», η οποία όμως χρησιμοποιείται σε άλλη διάταξη. Επιπλέον, στο πλαίσιο του άρθρου 32 του ΓΚΠΔ, δεν φαίνεται να έχει σημασία αν οι πληροφορίες παρέχονται από τον υπεύθυνο επεξεργασίας ή αν η απόκτηση ή η κοινολόγηση προβλέπεται από τον νόμο. Επομένως, το αντικείμενο της εξετάσεως στην οποία προβαίνει η εποπτική αρχή πρέπει να οριοθετείται από το πεδίο εφαρμογής του άρθρου 14.
67.
Το ακριβές περιεχόμενο των «κατάλληλων μέτρων» δεν διευκρινίζεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ. Είναι αρκετά ευρύ ώστε να καταλαμβάνει κάθε μέτρο που ο νομοθέτης κρίνει αναγκαίο και κατάλληλο. Η έννοια των «κατάλληλων μέτρων» πρέπει να ερμηνευθεί, όπως υποστήριξε κατ’ ουσίαν η Επιτροπή, υπό το πρίσμα της αρχής της διαφάνειας που διατυπώνεται στο άρθρο 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ. Συναφώς, πρέπει να ληφθεί υπόψη το γεγονός ότι το οικείο δίκαιο, όπως επισημάνθηκε στις προκαταρκτικές παρατηρήσεις των παρουσών προτάσεων (
35
), «υποκαθιστά» την υποχρέωση παροχής πληροφοριών την οποία κανονικά υπέχει ο υπεύθυνος επεξεργασίας. Εναπόκειται στον νομοθέτη να καθορίσει τα κατάλληλα μέτρα σε συνάρτηση, επί παραδείγματι, με την κατηγορία των δεδομένων που αποκτώνται και το πλαίσιο εντός του οποίου πραγματοποιείται η επεξεργασία.
68.
Η Τσεχική Κυβέρνηση υποστήριξε, απαντώντας στην ερώτηση του Δικαστηρίου, ότι το περιεχόμενο των κατάλληλων μέτρων είναι ευρύτερο από τον κατάλογο των πληροφοριών του άρθρου 14, παράγραφοι 1, 2 και 4, του ΓΚΠΔ.
69.
Συμφωνώ με την άποψη ότι η καταλληλότητα των μέτρων δεν μπορεί να εκτιμηθεί μόνον μέσω «μηχανικής» σύγκρισης με τις υποχρεώσεις παροχής πληροφοριών του υπευθύνου επεξεργασίας οι οποίες εναρμονίστηκαν από τον ΓΚΠΔ. Δεν θα είχε νόημα να προβλέπεται«ρήτρα ανοίγματος» βάσει του άρθρου 14, παράγραφος 5, στοιχείο γʹ (
36
), και ταυτόχρονα να επιβάλλονται ακριβώς οι ίδιες υποχρεώσεις χωρίς να καταλείπεται κανένα περιθώριο εκτιμήσεως στον νομοθέτη. Κατά συνέπεια, το οικείο δίκαιο πρέπει να εξασφαλίζει ένα βασικό επίπεδο δίκαιης και διαφανούς επεξεργασίας ισότιμο με εκείνο που εξασφαλίζεται από τις παραγράφους 1 έως 4 του άρθρου 14 (
37
). Για να μπορεί το υποκείμενο των δεδομένων να αξιολογήσει κάθε κίνδυνο που συνδέεται με την απόκτηση των δεδομένων και την επεξεργασία τους (
38
) πρέπει να καθίσταται σαφές, με μια απλή ανάγνωση της σχετικής νομικής διάταξης, ποιος πραγματοποιεί την επεξεργασία των δεδομένων, για ποιον λόγο και με ποιον τρόπο (
39
). Όπως επισήμανα σε προηγούμενο σημείο των παρουσών προτάσεων (
40
), η διαφορετική νομική οδός πρέπει να επιτυγχάνει το ίδιο αποτέλεσμα, ήτοι να παρέχεται στο υποκείμενο των δεδομένων η δυνατότητα ασκήσεως ελέγχου επί των δεδομένων του και ασκήσεως των δικαιωμάτων του βάσει του ΓΚΠΔ.
70.
Ο συγκεκριμένος νομικός λόγος της επεξεργασίας επηρεάζει επίσης τον καθορισμό των «κατάλληλων μέτρων» όσον αφορά τις συγκεκριμένες περιστάσεις της επεξεργασίας. Συναφώς, υπενθυμίζεται ότι από το άρθρο 6, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ προκύπτει ότι η επεξεργασία είναι νόμιμη εφόσον, και στον βαθμό που, είναι αναγκαία για τη συμμόρφωση με νομική υποχρέωση στην οποία υπόκειται ο υπεύθυνος επεξεργασίας και όταν η επεξεργασία είναι αναγκαία για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον. Σύμφωνα με το άρθρο 6, παράγραφος 2, τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν πιο ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του ΓΚΠΔ όσον αφορά την επεξεργασία, καθορίζοντας περαιτέρω σχετικές ειδικές απαιτήσεις και άλλα μέτρα προς εξασφάλιση σύννομης και θεμιτής επεξεργασίας (
41
). Επιπλέον, κατά το άρθρο 9, παράγραφος 2, στοιχείο θʹ, του ΓΚΠΔ, όταν η επεξεργασία είναι απαραίτητη για λόγους δημόσιου συμφέροντος στον τομέα της δημόσιας υγείας, το δίκαιο του κράτους μέλους (ή της Ένωσης) πρέπει να προβλέπει κατάλληλα και συγκεκριμένα μέτρα για την προστασία των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων.
71.
Στην υπόθεση της κύριας δίκης, η απόκτηση των δεδομένων επιβλήθηκε με το διάταγμα 60/2021, το οποίο, όπως προκύπτει από τη δικογραφία, εκδόθηκε επί τη βάσει του άρθρου 6, παράγραφος 1, στοιχεία γʹ και εʹ, και του άρθρου 9, παράγραφος 2, στοιχείο θʹ, του ΓΚΠΔ. Η Ουγγρική Κυβέρνηση υποστηρίζει ότι το διάταγμα 60/2021 προέβλεπε πρόσθετες εγγυήσεις –επιπλέον των γενικών εγγυήσεων που εφαρμόζονται βάσει του νομικού πλαισίου που θεσπίστηκε για τη διασφάλιση της νομιμότητας της επεξεργασίας. Συναφώς, η εν λόγω κυβέρνηση επισήμανε ότι μία από τις εγγυήσεις αυτές συνίστατο στο γεγονός ότι οι υπεργολάβοι που ορίζονταν με το ως άνω διάταγμα αποτελούν κρατικές εταιρίες και οφείλουν να τηρούν το νομοθετικό πλαίσιο για την ασφάλεια των δεδομένων που ισχύει για τους κρατικούς οργανισμούς και την τοπική αυτοδιοίκηση. Εναπόκειται στο αιτούν δικαστήριο να εξετάσει υπό το πρίσμα των ανωτέρω σκέψεων τα επιχειρήματα αυτά και να εκτιμήσει κατά πόσον το εθνικό δίκαιο προβλέπει κατάλληλα μέτρα.
72.
Υπό το πρίσμα των ανωτέρω, φρονώ ότι το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι τα «κατάλληλα μέτρα» στα οποία αναφέρεται η εν λόγω διάταξη δεν προϋποθέτουν τη μεταφορά από τον εθνικό νομοθέτη στο εσωτερικό δίκαιο των μέτρων για την ασφάλεια των δεδομένων που προβλέπονται στο άρθρο 32 του εν λόγω κανονισμού.
V. Πρόταση
73.
Λαμβανομένου υπόψη του συνόλου των προεκτεθέντων, προτείνω στο Δικαστήριο να απαντήσει στα προδικαστικά ερωτήματα που υπέβαλε το Kúria (Ανώτατο Δικαστήριο, Ουγγαρία) ως εξής:
1)
Το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι η παρέκκλιση από την υποχρέωση παροχής πληροφοριών στο υποκείμενο των δεδομένων την οποία υπέχει ο υπεύθυνος επεξεργασίας εφαρμόζεται σε όλα τα δεδομένα τα οποία ο υπεύθυνος επεξεργασίας δεν έχει συλλέξει από το υποκείμενο των δεδομένων. Στο πλαίσιο αυτό, είναι αδιάφορο αν τα δεδομένα έχουν αποκτηθεί αποκλειστικώς από άλλη οντότητα ή αν παράγονται από τον υπεύθυνο επεξεργασίας στο πλαίσιο της διαδικασίας που ο ίδιος διεξάγει.
2)
Το άρθρο 77, παράγραφος 1, του κανονισμού 2016/679
έχει την έννοια ότι, στο πλαίσιο διαδικασίας καταγγελίας, η εποπτική αρχή έχει την εξουσία να εξετάζει αν πληρούνται όλες οι προϋποθέσεις του άρθρου 14, παράγραφος 5, στοιχείο γʹ, του εν λόγω κανονισμού. Ειδικότερα, έχει την εξουσία να εξετάζει κατά πόσον το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας παρέχει τα κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων.
3)
Το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του κανονισμού 2016/679
έχει την έννοια ότι τα «κατάλληλα μέτρα» στα οποία αναφέρεται η εν λόγω διάταξη δεν προϋποθέτουν τη μεταφορά από τον εθνικό νομοθέτη στο εσωτερικό δίκαιο των μέτρων για την ασφάλεια των δεδομένων που προβλέπονται στο άρθρο 32 του εν λόγω κανονισμού.
(
1
)	Γλώσσα του πρωτοτύπου: η αγγλική.
(
2
)	Προτάσεις του γενικού εισαγγελέα P. Cruz Villalón στην υπόθεση Bara κ.λπ. (C‑201/14, EU:C:2015:461, σημείο 74) (η υπογράμμιση δική μου).
(
3
)	Vrabec, U., H., Data Subject Rights under the RGPD, Oxford University Press, Οξφόρδη, 2021, σ. 64.
(
4
)	Κανονισμός του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ).
(
5
)	Βλ. Ομάδα εργασίας του άρθρου 29 για την προστασία των δεδομένων, «Κατευθυντήριες γραμμές σχετικά με τη διαφάνεια βάσει του κανονισμού 2016/679», που εγκρίθηκε στις 29 Νοεμβρίου 2017, 17/EN WP260 rev. 01 (στο εξής: κατευθυντήριες γραμμές για τη διαφάνεια), σημείο 4. Στη συνέχεια, η εν λόγω ομάδα εργασίας αντικαταστάθηκε από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ). Ωστόσο, οι κατευθυντήριες γραμμές για τη διαφάνεια εξακολουθούν να ισχύουν. Βλ. επίσης Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, «Κατευθυντήριες γραμμές 03/2020 σχετικά με την επεξεργασία δεδομένων που αφορούν την υγεία για σκοπούς επιστημονικής έρευνας στο πλαίσιο της έξαρσης της νόσου COVID‑19», που εγκρίθηκαν στις 21 Απριλίου 2020, σημείο 5.1.2.4.
(
6
)	Απόφαση της 1ης Οκτωβρίου 2015, Bara κ.λπ. (C‑201/14, EU:C:2015:638, σκέψη 33), η οποία παραπέμπει στις προτάσεις του γενικού εισαγγελέα P. Cruz Villalón στην εν λόγω υπόθεση.
(
7
)	Βλ. Κατευθυντήριες γραμμές για τη διαφάνεια, σημείο 24. Βλ. επίσης Vrabec, U., H., Data Subject Rights under the GDPR, όπ.π. στην υποσημείωση 3 των παρουσών προτάσεων, σ. 84.
(
8
)	Βλ., Zanfir-Fortuna, G., «Article 14. Information to be provided where personal data have not been obtained from the data subject», σε Kuner, C., Bygrave, L.A. και Docksey, C. (επιμ.), The EU General Data Protection Regulation (GDPR) – A Commentary, Oxford University Press, Οξφόρδη, 2020, σ. 435 έως 448, σ. 436.
(
9
)	Όπ.π., σ. 444.
(
10
)	Vrabec, U., H., Data Subject Rights under the GDPR, όπ.π. στην υποσημείωση 3 των παρουσών προτάσεων, σ. 68.
(
11
)	Όταν η επεξεργασία βασίζεται στο άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ.
(
12
)	Ως διάταξη που περιέχει ρήτρα ανοίγματος, παρέχει στα κράτη μέλη τη δυνατότητα να θεσπίζουν πρόσθετους εθνικούς κανόνες, αυστηρότερους ή εισάγοντες παρεκκλίσεις και καταλείπει σε αυτά περιθώριο εκτιμήσεως ως προς τον τρόπο με τον οποίο η εν λόγω διάταξη μπορεί να τίθεται σε εφαρμογή [πρβλ. απόφαση της 30ής Μαρτίου 2023, Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270, σκέψη 51)]. Βλ. Knyrim, R., «IV. Ausnahme von der Informationspflicht», σε Ehmann, E. και Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, Μόναχο, 2η έκδοση, 2018, άρθρο 14, παράγραφοι 42 έως 48, στην παράγραφο 47.
(
13
)	Συγκεκριμένα, η βουλγαρική, η δανική, η γερμανική, η ελληνική, η ισπανική, η ιταλική, η λεττονική, η πολωνική, η σλοβακική και η σουηδική γλωσσική απόδοση.
(
14
)	Αυτό ισχύει ιδίως για την εσθονική («isikuandmed»), τη λιθουανική («duomenų»), την ουγγρική («adat»), την ολλανδική («gegevens»), την πορτογαλική («datos»), τη ρουμανική («datelor») και τη φινλανδική («tietojen») γλωσσική απόδοση.
(
15
)	Στη γαλλόφωνη νομική θεωρία παρατηρείται ότι η γαλλική γλωσσική απόδοση θα έπρεπε να αναφέρει «δεδομένα» αντί για «πληροφορίες», όπως συνέβαινε με τη διάταξη που ίσχυε πριν από το άρθρο 14, παράγραφος 5, στοιχείο γʹ, του ΓΚΠΔ, ήτοι το άρθρο 11, παράγραφος 2, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31) (βλ. de Terwangne, C. και Rosier, K., «Section 1. – Droit d’être informée de l’existence de traitements la concernant», σε Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Βρυξέλλες, 1η έκδοση, 2018, σ. 409 έως 432, υποσημείωση 132).
(
16
)	Πρβλ. απόφαση της 21ης Μαρτίου 2024, Cobult (C‑76/23, EU:C:2024:253, σκέψη 25 και εκεί μνημονευόμενη νομολογία).
(
17
)	Πρβλ. απόφαση της 5ης Οκτωβρίου 2023, Ministerstvo zdravotnictví (Εφαρμογή σχετικά με την COVID‑19 για κινητά τηλέφωνα) (C‑659/22, EU:C:2023:745, σκέψη 27).
(
18
)	Ebner, K., «6. Ausschluss der Informationspflicht», σε Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Μπάντεν-Μπάντεν, 2022, σ. 272 έως 298, στη σ. 280. Ο μελετητής επισημαίνει επίσης (στη σ. 281) ότι η απαλλαγή του υπευθύνου επεξεργασίας από την παροχή πληροφοριών στην περίπτωση που προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο γʹ, αποτελεί μέσο αποφυγής του κινδύνου υπερβολικού «όγκου» ή «υπερφόρτωσης» πληροφοριών. Επίσης, Dix, A., «DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)» σε Simitis, S., Hornung, G., και Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, Μόναχο, 2019, παράγραφοι 27 και 28, στην παράγραφο 27, όπου το οικείο δίκαιο χαρακτηρίζεται ως «επαρκές υποκατάστατο» («hinreichendes Surrogat») των πληροφοριών που απαιτείται να παρέχονται από τον υπεύθυνο επεξεργασίας.
(
19
)	Dix, A., όπ.π στην υποσημείωση 18.
(
20
)	Κατευθυντήριες γραμμές για τη διαφάνεια, σημείο 66. Ως εκ τούτου, οι υπεύθυνοι επεξεργασίας των δεδομένων πρέπει να είναι σε θέση να αποδείξουν τον τρόπο με τον οποίο εφαρμόζεται σε αυτούς η επίμαχη νομοθετική ρύθμιση και τους επιβάλλει είτε να αποκτήσουν είτε να κοινολογήσουν τα εν λόγω δεδομένα προσωπικού χαρακτήρα.
(
21
)	Βλ. σημείο 16 των παρουσών προτάσεων.
(
22
)	Απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding (Ανάληψη χρεών) (C‑26/22 και C‑64/22, EU:C:2023:958, σκέψη 48 και εκεί μνημονευόμενη νομολογία).
(
23
)	Βλ. σημείο 31 των παρουσών προτάσεων.
(
24
)	Βλ. σημείο 23 των παρουσών προτάσεων.
(
25
)	Dix, A., όπ.π. στην υποσημείωση 18 των παρουσών προτάσεων, και Ebner, όπ.π. στην υποσημείωση 18 των παρουσών προτάσεων, σ. 281.
(
26
)	Απόφαση της 16ης Ιανουαρίου 2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, σκέψη 61).
(
27
)	Όπ.π.
(
28
)	Βλ. κατευθυντήριες γραμμές για τη διαφάνεια, σημείο 66.
(
29
)	Όπ.π.
(
30
)	Απόφαση της 6ης Οκτωβρίου 2015, Schrems (C‑362/14, EU:C:2015:650, σκέψη 65).
(
31
)	Σύμφωνα με το άρθρο 25, παράγραφος 6, της οδηγίας 95/46.
(
32
)	Πρβλ. απόφαση της 6ης Οκτωβρίου 2015, Schrems (C‑362/14, EU:C:2015:650, σκέψη 62).
(
33
)	Όπ.π. (σκέψη 65).
(
34
)	Με την επιφύλαξη τυχόν περιορισμών στο δικαίωμα ενημέρωσης που δύναται να προβλέπει το δίκαιο της Ένωσης ή κράτους μέλους υπό τις προϋποθέσεις του άρθρου 23 του ΓΚΠΔ.
(
35
)	Σημείο 31 των παρουσών προτάσεων.
(
36
)	Βλ. σημείο 27 των παρουσών προτάσεων.
(
37
)	Πρβλ. Ebner, K., όπ.π. στην υποσημείωση 18 των παρουσών προτάσεων, σ. 281, ο οποίος αναφέρεται σε συγκρίσιμο επίπεδο προστασίας («vergleichbares Schutzniveau»)· Mester, B.-A., «DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)», σε Taeger, J. και Gabel, D., DSGVO – BDSG – TTDSG, Beck, Μόναχο, 2022, παράγραφος 26· Paal, B. και Hennemann, M., «DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)», σε Paal, B. και Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, Μόναχο, 2021, παράγραφος 42.
(
38
)	Mester, B.‑A., όπ.π. στην υποσημείωση 37 των παρουσών προτάσεων.
(
39
)	Ebner, K., όπ.π. στην υποσημείωση 18 των παρουσών προτάσεων, σ. 281.
(
40
)	Σημείο 43 των παρουσών προτάσεων.
(
41
)	Οι εν λόγω ειδικές διατάξεις μπορούν να περιέχουν τα στοιχεία που ορίζονται στο άρθρο 6, παράγραφος 3, του ΓΚΠΔ, μεταξύ άλλων: τις γενικές προϋποθέσεις που διέπουν τη σύννομη επεξεργασία· τα είδη των δεδομένων που υπόκεινται σε επεξεργασία· τις οντότητες στις οποίες και τους σκοπούς για τους οποίους μπορούν να κοινοποιούνται τα δεδομένα προσωπικού χαρακτήρα· τον περιορισμό του σκοπού· τις περιόδους αποθήκευσης· τις πράξεις επεξεργασίας και τις διαδικασίες επεξεργασίας, συμπεριλαμβανομένων των μέτρων για τη διασφάλιση της σύννομης και θεμιτής επεξεργασίας, όπως εκείνα για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ του ΓΚΠΔ.