62021CC0579
ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
MANUEL CAMPOS SÁNCHEZ-BORDONA
της 15ης Δεκεμβρίου 2022 (
1
)
Υπόθεση C‑579/21
J. M.
παρισταμένων των:
Apulaistietosuojavaltuutettu,
Pankki S
[αίτηση του Itä-Suomen hallinto-oikeus(διοικητικού πρωτοδικείου Ανατολικής Φινλανδίας, Φινλανδία)για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Επεξεργασία δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Δεδομένα που περιέχονται σε αρχείο πράξεων – Δικαίωμα πρόσβασης – Έννοια των δεδομένων προσωπικού χαρακτήρα – Έννοια του αποδέκτη – Προσωπικό του υπευθύνου επεξεργασίας»
1.
Υπάλληλος χρηματοπιστωτικού ιδρύματος, ο οποίος ήταν συγχρόνως πελάτης του, ζήτησε από το εν λόγω ίδρυμα να του παράσχει πληροφορίες σχετικά με την ταυτότητα των προσώπων που είχαν αναζητήσει πληροφορίες στα δεδομένα του προσωπικού χαρακτήρα στο πλαίσιο εσωτερικής έρευνας. Μετά την άρνηση του χρηματοπιστωτικού ιδρύματος να του παράσχει τις ζητηθείσες πληροφορίες, ο ενδιαφερόμενος άσκησε τα σχετικά ένδικα βοηθήματα και η υπόθεσή του εκκρεμεί πλέον ενώπιον του Itä-Suomen hallinto-oikeus (διοικητικού πρωτοδικείου Ανατολικής Φινλανδίας, Φινλανδία).
2.
Το προμνησθέν δικαστήριο υπέβαλε στο Δικαστήριο αίτηση προδικαστικής αποφάσεως με αντικείμενο την ερμηνεία του κανονισμού (ΕΕ) 2016/679 (
2
). Προκειμένου να απαντήσει στα προδικαστικά ερωτήματα, το Δικαστήριο θα πρέπει να αποφανθεί σχετικά με το δικαίωμα του υποκειμένου των δεδομένων να αποκτήσει πρόσβαση σε συγκεκριμένες πληροφορίες οι οποίες σχετίζονται με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.
I. Το νομικό πλαίσιο
Α.
Το δίκαιο της Ένωσης. Ο ΓΚΠΔ
3.
Η αιτιολογική σκέψη 11 διαλαμβάνει τα εξής:
«Η αποτελεσματική προστασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση απαιτεί την ενίσχυση και τον λεπτομερή καθορισμό των δικαιωμάτων των υποκειμένων των δεδομένων, καθώς και των υποχρεώσεων όσων επεξεργάζονται και καθορίζουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και των αντίστοιχων εξουσιών παρακολούθησης και διασφάλισης της συμμόρφωσης προς τους κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα και των αντίστοιχων κυρώσεων για τις παραβιάσεις στα κράτη μέλη.»
4.
Το άρθρο 4 («Ορισμοί») έχει ως εξής:
«Για τους σκοπούς του παρόντος κανονισμού, νοούνται ως:
1)
“δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου,
2)
“επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,
9)
“αποδέκτης”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, στα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι […].»
5.
Το άρθρο 15 («Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων») ορίζει στην παράγραφό του 1 τα εξής:
«Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες:
α)
τους σκοπούς της επεξεργασίας,
β)
τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα,
γ)
τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς,
δ)
εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα,
ε)
την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην εν λόγω επεξεργασία,
στ)
το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή,
ζ)
όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους,
η)
την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.»
6.
Το άρθρο 24 («Ευθύνη του υπευθύνου επεξεργασίας») προβλέπει στην παράγραφό του 1 τα εξής:
«Λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τον παρόντα κανονισμό. Τα εν λόγω μέτρα επανεξετάζονται και επικαιροποιούνται όταν κρίνεται απαραίτητο.»
7.
Το άρθρο 25 («Προστασία των δεδομένων ήδη από το σχεδιασμό και εξ ορισμού») ορίζει στην παράγραφό του 2 τα εξής:
«Ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Αυτή η υποχρέωση ισχύει για το εύρος των δεδομένων προσωπικού χαρακτήρα που συλλέγονται, τον βαθμό της επεξεργασίας τους, την περίοδο αποθήκευσης και την προσβασιμότητά τους. Ειδικότερα, τα εν λόγω μέτρα διασφαλίζουν ότι, εξ ορισμού, τα δεδομένα προσωπικού χαρακτήρα δεν καθίστανται προσβάσιμα χωρίς την παρέμβαση του φυσικού προσώπου σε αόριστο αριθμό φυσικών προσώπων.»
8.
Το άρθρο 29 («Επεξεργασία υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία») έχει ως εξής:
«Ο εκτελών την επεξεργασία και κάθε πρόσωπο που ενεργεί υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, επεξεργάζεται τα εν λόγω δεδομένα μόνον κατ’ εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους.»
9.
Το άρθρο 30 («Αρχεία των δραστηριοτήτων επεξεργασίας») ορίζει τα εξής:
«1.   Κάθε υπεύθυνος επεξεργασίας και, κατά περίπτωση, ο εκπρόσωπός του, τηρεί αρχείο των δραστηριοτήτων επεξεργασίας για τις οποίες είναι υπεύθυνος. Το εν λόγω αρχείο περιλαμβάνει όλες τις ακόλουθες πληροφορίες:
α)
το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του από κοινού υπευθύνου επεξεργασίας, του εκπροσώπου του υπευθύνου επεξεργασίας και του υπευθύνου προστασίας δεδομένων,
β)
τους σκοπούς της επεξεργασίας,
γ)
περιγραφή των κατηγοριών υποκειμένων των δεδομένων και των κατηγοριών δεδομένων προσωπικού χαρακτήρα,
δ)
τις κατηγορίες αποδεκτών στους οποίους πρόκειται να γνωστοποιηθούν ή γνωστοποιήθηκαν τα δεδομένα προσωπικού χαρακτήρα, περιλαμβανομένων των αποδεκτών σε τρίτες χώρες ή διεθνείς οργανισμούς,
[…]
στ)
όπου είναι δυνατό, τις προβλεπόμενες προθεσμίες διαγραφής των διάφορων κατηγοριών δεδομένων,
ζ)
όπου είναι δυνατό, γενική περιγραφή των τεχνικών και οργανωτικών μέτρων ασφάλειας που αναφέρονται στο άρθρο 32 παράγραφος 1.
2.   Κάθε εκτελών την επεξεργασία και, κατά περίπτωση, ο εκπρόσωπος του εκτελούντος την επεξεργασία τηρούν αρχείο όλων των κατηγοριών δραστηριοτήτων επεξεργασίας που διεξάγονται εκ μέρους του υπευθύνου επεξεργασίας, το οποίο περιλαμβάνει τα εξής:
α)
το όνομα και τα στοιχεία επικοινωνίας του εκτελούντος ή των εκτελούντων την επεξεργασία και των υπευθύνων επεξεργασίας εκ μέρους των οποίων ενεργεί ο εκτελών και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, καθώς και του υπευθύνου προστασίας δεδομένων,
β)
τις κατηγορίες επεξεργασιών που διεξάγονται εκ μέρους κάθε υπευθύνου επεξεργασίας,
γ)
όπου συντρέχει περίπτωση, τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό […],
δ)
όπου είναι δυνατό, γενική περιγραφή των τεχνικών και οργανωτικών μέτρων ασφάλειας που αναφέρονται στο άρθρο 32 παράγραφος 1.
3.   Τα αρχεία που αναφέρονται στις παραγράφους 1 και 2 υφίστανται γραπτώς, μεταξύ άλλων σε ηλεκτρονική μορφή.
4.   Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία και, κατά περίπτωση, ο εκπρόσωπος του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία θέτουν το αρχείο στη διάθεση της εποπτικής αρχής κατόπιν αιτήματος.
5.   Οι υποχρεώσεις που αναφέρονται στις παραγράφους 1 και 2 δεν ισχύουν για επιχείρηση ή οργανισμό που απασχολεί λιγότερα από 250 άτομα, εκτός εάν η διενεργούμενη επεξεργασία ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, η επεξεργασία δεν είναι περιστασιακή ή η επεξεργασία περιλαμβάνει ειδικές κατηγορίες δεδομένων […] ή επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα […]».
10.
Το άρθρο 58 («Εξουσίες») ορίζει στην παράγραφό του 1 τα εξής:
«Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες εξουσίες έρευνας:
α)
να δίνει εντολή στον υπεύθυνο επεξεργασίας και στον εκτελούντα την επεξεργασία και, όπου συντρέχει περίπτωση, στον εκπρόσωπο του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία να παράσχουν κάθε πληροφορία την οποία απαιτεί για την εκτέλεση των καθηκόντων της,
[…]».
Β.
Το εθνικό δίκαιο
1. Tietosuojalaki (1050/2018) (
3
)
11.
Κατά το άρθρο 30, οι διατάξεις σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα εργαζομένων, τους ελέγχους που πρέπει να πραγματοποιούνται σε αυτούς, τις απαιτήσεις που πρέπει να τηρούνται συναφώς, καθώς και την τεχνική εποπτεία στον χώρο εργασίας και την αναζήτηση και το άνοιγμα μηνυμάτων ηλεκτρονικού ταχυδρομείου εργαζομένου, περιλαμβάνονται στον Laki yksityisyyden suojasta työelämässä (759/2004) (
4
).
12.
Δυνάμει του άρθρου 34, παράγραφος 1, το υποκείμενο των δεδομένων δεν έχει δικαίωμα πρόσβασης κατά την έννοια του άρθρου 15 του ΓΚΠΔ στα συλλεγέντα δεδομένα που το αφορούν, εφόσον:
1)
η γνωστοποίηση των δεδομένων θα μπορούσε να θίξει την εθνική ασφάλεια, την άμυνα ή τη δημόσια τάξη και ασφάλεια ή να διακυβεύσει την πρόληψη ή διακρίβωση αξιόποινων πράξεων·
2)
η γνωστοποίηση των δεδομένων θα μπορούσε να ενέχει σοβαρό κίνδυνο για την υγεία ή φροντίδα του υποκειμένου των δεδομένων ή για τα δικαιώματα του υποκειμένου των δεδομένων ή τρίτου ή
3)
τα δεδομένα προσωπικού χαρακτήρα χρησιμοποιούνται στο πλαίσιο δραστηριοτήτων εποπτείας και ελέγχου και η παράλειψη γνωστοποίησής τους είναι αναγκαία για την προστασία σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος της Φινλανδίας ή της Ευρωπαϊκής Ένωσης.
13.
Κατά το άρθρο 34, παράγραφος 2, αν μέρος μόνον των δεδομένων που αναφέρονται στην παράγραφο 1 εξαιρείται από το δικαίωμα που προβλέπεται στο άρθρο 15 του ΓΚΠΔ, το υποκείμενο των δεδομένων έχει δικαίωμα πρόσβασης σε οποιοδήποτε άλλο δεδομένο που το αφορά.
14.
Κατά το άρθρο 34, παράγραφος 3, οι λόγοι του περιορισμού πρέπει να γνωστοποιούνται στο υποκείμενο των δεδομένων, εφόσον τούτο δεν θίγει τον σκοπό του περιορισμού.
15.
Κατά το άρθρο 34, παράγραφος 4, τα δεδομένα που αναφέρονται στο άρθρο 15, παράγραφος 1, του ΓΚΠΔ πρέπει, κατόπιν αιτήσεως του υποκειμένου των δεδομένων, να τίθενται στη διάθεση του επόπτη προστασίας δεδομένων, εφόσον το υποκείμενο των δεδομένων δεν έχει δικαίωμα πρόσβασης στα συλλεγέντα δεδομένα που το αφορούν.
2. Laki yksityisyyden suojasta työelämässä (759/2004)
16.
Κατά το άρθρο 4, δεύτερο εδάφιο, του δευτέρου κεφαλαίου, ο εργοδότης υποχρεούται να ενημερώνει εκ των προτέρων τον εργαζόμενο για τη συλλογή δεδομένων που αποσκοπούν στη διερεύνηση της αξιοπιστίας του. Όταν ο εργοδότης εξετάζει τη φερεγγυότητα του εργαζομένου, πρέπει επιπροσθέτως να τον ενημερώνει από ποιο μητρώο αντλήθηκαν οι σχετικές πληροφορίες. Όταν δεδομένα που αφορούν τον εργαζόμενο δεν έχουν συλλεγεί από τον ίδιο, αλλά από άλλο πρόσωπο, ο εργοδότης οφείλει να γνωστοποιήσει στον εργαζόμενο τα δεδομένα που έλαβε πριν τα χρησιμοποιήσει σε αποφάσεις που τον αφορούν. Οι υποχρεώσεις του υπεύθυνου επεξεργασίας για τη διάθεση δεδομένων στο υποκείμενο των δεδομένων, καθώς και το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων στα δεδομένα αυτά, ρυθμίζονται στο κεφάλαιο ΙΙΙ του ΓΚΠΔ.
II. Τα πραγματικά περιστατικά, η ένδικη διαφορά και τα προδικαστικά ερωτήματα
17.
Το 2014 ο J. M. πληροφορήθηκε ότι είχαν αναζητηθεί πληροφορίες στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν, ως πελάτη του χρηματοπιστωτικού ιδρύματος Suur-Savon Osuuspankki (στο εξής: Pankki), στο διάστημα από την 1η Νοεμβρίου έως την 31η Δεκεμβρίου 2013. Στο διάστημα αυτό, εκτός από πελάτης, ο J. M. ήταν υπάλληλος της Pankki.
18.
Στις 29 Μαΐου 2018, έχοντας υπόνοιες ότι οι λόγοι αναζήτησης πληροφοριών δεν ήταν καθ’ όλα σύννομοι, ο J. M. ζήτησε από την Pankki να του παράσχει πληροφορίες σχετικά με την ταυτότητα των υπαλλήλων που είχαν αποκτήσει πρόσβαση στα δεδομένα που τον αφορούν κατά το προμνησθέν διάστημα και σχετικά με τους σκοπούς της επεξεργασίας.
19.
Εν τω μεταξύ, η Pankki είχε απολύσει τον J. M., ο οποίος αιτιολόγησε το αίτημά του προβάλλοντας, ειδικότερα, την επιθυμία να αποσαφηνίσει τους λόγους της απόλυσής του.
20.
Στις 30 Αυγούστου 2018 η Pankki, υπό την ιδιότητα του υπευθύνου επεξεργασίας, αρνήθηκε να παράσχει στον J. M. πληροφορίες σχετικά με τα ονόματα των υπαλλήλων που είχαν επεξεργασθεί τα δεδομένα του προσωπικού χαρακτήρα. Η Pankki υποστήριξε ότι το προβλεπόμενο στο άρθρο 15 του ΓΚΠΔ δικαίωμα δεν εφαρμόζεται στα αρχεία καταγραφής ενεργειών ή στα εσωτερικά αρχεία στα οποία καταγράφονται τα στοιχεία των υπαλλήλων που απέκτησαν πρόσβαση στο σύστημα πληροφορικής που περιέχει τα δεδομένα των πελατών και ο χρόνος της εν λόγω πρόσβασης. Επιπλέον, οι ζητηθείσες πληροφορίες αφορούσαν δεδομένα προσωπικού χαρακτήρα των εν λόγω υπαλλήλων και όχι του J. M.
21.
Προς αποφυγή παρανοήσεων, η Pankki παρέσχε στον J. M. τις ακόλουθες πρόσθετες επεξηγήσεις:
–
οι εσωτερικές υπηρεσίες του χρηματοπιστωτικού ιδρύματος είχαν ερευνήσει, το 2014, τα δεδομένα πελάτη του J. M. για το διάστημα από την 1η Νοεμβρίου έως την 31η Δεκεμβρίου 2013·
–
οι εν λόγω έρευνες συνδέονταν με την επεξεργασία των δεδομένων άλλου πελάτη της Pankki, από τα οποία προέκυπτε ότι διατηρούσε με τον J. M. σχέση που μπορούσε να συνεπάγεται σύγκρουση συμφερόντων. Επομένως, σκοπός της επεξεργασίας ήταν η αποσαφήνιση της προεκτεθείσας κατάστασης (
5
).
22.
Ο J. M. απευθύνθηκε στην εθνική εποπτική αρχή (γραφείο του επόπτη προστασίας δεδομένων, Φινλανδία) ζητώντας να δώσει εντολή στην Pankki να παράσχει τις σχετικές πληροφορίες.
23.
Στις 4 Αυγούστου 2020 ο αναπληρωτής επόπτης προστασίας δεδομένων απέρριψε την καταγγελία του J. M.
24.
Ο J. M. άσκησε προσφυγή ενώπιον του Itä-Suomen hallinto-oikeus (διοικητικού πρωτοδικείου Ανατολικής Φινλανδίας), υποστηρίζοντας ότι, βάσει του ΓΚΠΔ, έχει δικαίωμα πρόσβασης στις πληροφορίες που αφορούν την ταυτότητα και τα καθήκοντα των προσώπων που αναζήτησαν πληροφορίες στα δεδομένα του στο χρηματοπιστωτικό ίδρυμα.
25.
Υπό τις συνθήκες αυτές, το αιτούν δικαστήριο υπέβαλε στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1)
Έχει το δικαίωμα πρόσβασης που παρέχει στο υποκείμενο των δεδομένων το άρθρο 15, παράγραφος 1, του [ΓΚΠΔ], σε συνδυασμό με τον όρο “δεδομένα προσωπικού χαρακτήρα” κατά το άρθρο 4, σημείο 1, του εν λόγω κανονισμού, την έννοια ότι οι πληροφορίες που συλλέγονται από τον υπεύθυνο επεξεργασίας, από τις οποίες προκύπτει ποιος επεξεργάσθηκε τα δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων, πότε τα επεξεργάσθηκε και για ποιον σκοπό, δεν αποτελούν πληροφορίες στις οποίες έχει δικαίωμα πρόσβασης το υποκείμενο των δεδομένων, ιδίως επειδή πρόκειται για δεδομένα που αφορούν εργαζομένους του υπεύθυνου επεξεργασίας;
2)
Σε περίπτωση καταφατικής απαντήσεως στο πρώτο ερώτημα και εφόσον κριθεί κατά συνέπεια ότι το υποκείμενο των δεδομένων δεν έχει δικαίωμα πρόσβασης βάσει του άρθρου 15, παράγραφος 1, του [ΓΚΠΔ] στις προαναφερθείσες πληροφορίες, επειδή δεν αποτελούν “δεδομένα προσωπικού χαρακτήρα” αυτού σύμφωνα με το άρθρο 4, σημείο 1, του [ΓΚΠΔ], πρέπει, εν προκειμένω, να ληφθούν επίσης υπόψη οι πληροφορίες στις οποίες το υποκείμενο των δεδομένων έχει δικαίωμα πρόσβασης σύμφωνα με το άρθρο 15, παράγραφος 1, στοιχεία [αʹ έως ηʹ], του εν λόγω κανονισμού:
α)
Πώς πρέπει να ερμηνευθεί ο σκοπός της επεξεργασίας κατά την έννοια του άρθρου 15, παράγραφος 1, στοιχείο αʹ, λαμβανομένης υπόψη της εκτάσεως του δικαιώματος πρόσβασης του υποκειμένου των δεδομένων, μπορεί δηλαδή ο σκοπός της επεξεργασίας να δικαιολογήσει δικαίωμα πρόσβασης στα δεδομένα του αρχείου καταγραφής ενεργειών των χρηστών, τα οποία έχουν συλλεγεί από τον υπεύθυνο επεξεργασίας, όπως για παράδειγμα σε πληροφορίες σχετικές με δεδομένα προσωπικού χαρακτήρα εκείνων που προβαίνουν στην επεξεργασία, το χρονικό σημείο καθώς και τον σκοπό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα;
β)
Μπορούν τα πρόσωπα που έχουν επεξεργασθεί τα δεδομένα του J. M. ως πελάτη της τράπεζας να θεωρηθούν στο πλαίσιο αυτό, βάσει ορισμένων κριτηρίων, ως αποδέκτες των δεδομένων προσωπικού χαρακτήρα κατά την έννοια του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του [ΓΚΠΔ], για τους οποίους το υποκείμενο των δεδομένων θα δικαιούτο να λάβει πληροφορίες;
3)
Έχει σημασία στο πλαίσιο της διαφοράς το αν πρόκειται για τράπεζα η οποία ασκεί νομοθετικά ρυθμιζόμενη δραστηριότητα, ή το γεγονός ότι ο J. M. ήταν ταυτόχρονα υπάλληλος και πελάτης της;
4)
Έχει σημασία για την εκτίμηση των ανωτέρω υποβληθέντων ερωτημάτων το γεγονός ότι τα δεδομένα του J. M. είχαν υποστεί επεξεργασία πριν από την έναρξη ισχύος του [ΓΚΠΔ];»
III. Η διαδικασία ενώπιον του Δικαστηρίου
26.
Η αίτηση προδικαστικής αποφάσεως πρωτοκολλήθηκε στη Γραμματεία του Δικαστηρίου στις 22 Σεπτεμβρίου 2021.
27.
Γραπτές παρατηρήσεις υπέβαλαν ο J. M., η Pankki, η Αυστριακή, η Τσεχική και η Φινλανδική Κυβέρνηση καθώς και η Ευρωπαϊκή Επιτροπή.
28.
Στην επ’ ακροατηρίου συζήτηση που διεξήχθη στις 12 Οκτωβρίου 2022 παρέστησαν ο J. M., το γραφείο του επόπτη προστασίας δεδομένων, η Pankki, η Φινλανδική Κυβέρνηση και η Επιτροπή.
IV. Ανάλυση
29.
Στο μέτρο που το αιτούν δικαστήριο ζητεί να ερμηνευθούν πλείονες διατάξεις του ΓΚΠΔ, πρέπει να αποσαφηνισθεί κατ’ αρχάς αν ο συγκεκριμένος κανονισμός έχει, ratione temporis, εφαρμογή στη διαφορά της κύριας δίκης. Αυτή είναι η αμφιβολία που διατυπώνεται με το τέταρτο προδικαστικό ερώτημα.
Α.
Δυνατότητα εφαρμογής του ΓΚΠΔ (τέταρτο προδικαστικό ερώτημα)
30.
Δυνάμει του άρθρου του 99, παράγραφος 1, ο ΓΚΠΔ άρχισε να ισχύει από τις 24 Μαΐου 2016. Εντούτοις, η εφαρμογή του αναβλήθηκε για τις 25 Μαΐου 2018 (
6
).
31.
Η εξέταση των δεδομένων προσωπικού χαρακτήρα του J. M. πραγματοποιήθηκε στο διάστημα από την 1η Νοεμβρίου έως την 31η Δεκεμβρίου 2013, ήτοι πριν από την έναρξη ισχύος και την εφαρμογή του ΓΚΠΔ.
32.
Εντούτοις, κρίσιμη ημερομηνία είναι η 29η Μαΐου 2018 κατά την οποία ο J. M., επικαλούμενος το άρθρο 15, παράγραφος 1, του ΓΚΠΔ (που εφαρμοζόταν από τις 25 Μαΐου 2018), ζήτησε τις επίμαχες πληροφορίες.
33.
Όπως επισήμανε η Αυστριακή Κυβέρνηση, το άρθρο 15, παράγραφος 1, του ΓΚΠΔ αναγνωρίζει στα υποκείμενα των δεδομένων δικαίωμα διαδικαστικού χαρακτήρα (δικαίωμα πρόσβασης) για τη λήψη πληροφοριών σχετικά με την επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα (
7
). Λόγω της φύσεως της, η συγκεκριμένη διάταξη έχει εφαρμογή από την έναρξη της ισχύος της (
8
). Επομένως, ο J. M. μπορούσε να την επικαλεσθεί όταν ζήτησε τις πληροφορίες από την Pankki.
34.
Είναι αληθές ότι ο σύννομος χαρακτήρας της επεξεργασίας των δεδομένων που συλλέχθηκαν πριν από την έναρξη ισχύος του ΓΚΠΔ θα πρέπει να εξετασθεί υπό το πρίσμα του ουσιαστικού δικαίου που ίσχυε τότε, ήτοι της οδηγίας 95/46/ΕΚ (
9
), και, καθόσον έχει αναδρομική εφαρμογή, του ΓΚΠΔ (
10
).
35.
Δεδομένου ότι δεν αμφισβητείται ότι οι ζητηθείσες πληροφορίες βρίσκονταν στην κατοχή του υπευθύνου επεξεργασίας όταν ο J. M. ζήτησε πρόσβαση σε αυτές (δικαίωμα το οποίο κατοχυρώνεται στο άρθρο 15, παράγραφος 1, του ΓΚΠΔ), εφαρμογή είχε ο προμνησθείς κανονισμός (
11
).
36.
Κατά συνέπεια, το γεγονός ότι τα επίμαχα δεδομένα υποβλήθηκαν σε επεξεργασία πριν από την έναρξη ισχύος του ΓΚΠΔ είναι άνευ σημασίας για την ικανοποίηση ή μη του αιτήματος παροχής πληροφοριών του υποκειμένου των δεδομένων βάσει του άρθρου 15, παράγραφος 1, του ΓΚΠΔ.
Β.
Επί του πρώτου και του δεύτερου προδικαστικού ερωτήματος
37.
Το πρώτο και το δεύτερο προδικαστικό ερώτημα μπορούν να εξετασθούν από κοινού. Το ζήτημα που εγείρεται με αυτά είναι κατ’ ουσίαν αν τα δεδομένα προσωπικού χαρακτήρα του J. M., τα οποία συνέλεξε και επεξεργάσθηκε η Pankki, συμπίπτουν με τις πληροφορίες που το υποκείμενο των δεδομένων δικαιούται να λάβει δυνάμει του άρθρου 15, παράγραφος 1, του ΓΚΠΔ.
1. Ταυτότητα του υπαλλήλου και δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων
38.
Υπενθυμίζω ότι οι πληροφορίες που ζήτησε ο J. M. αφορούσαν την ταυτότητα των υπαλλήλων που είχαν αναζητήσει πληροφορίες στα δεδομένα του ως πελάτη το 2013, καθώς και τον χρόνο διενέργειας και τον σκοπό της επεξεργασίας.
39.
Κατά την επ’ ακροατηρίου συζήτηση επιβεβαιώθηκε ότι ο J. M. περιόρισε το αίτημά του στην παροχή πληροφοριών σχετικά με την ταυτότητα των εν λόγω υπαλλήλων. Συγκεκριμένα, στο πλαίσιο της διαφοράς δεν αμφισβητείται ότι η επεξεργασία των δεδομένων του J. M. από το τραπεζικό ίδρυμα είχε νόμιμη βάση (
12
).
40.
Επομένως:
–
όσον αφορά τον χρόνο της επεξεργασίας, από τη διάταξη περί παραπομπής προκύπτει ότι ο J. M. τον γνώριζε κατά την υποβολή του αιτήματός του·
–
όσον αφορά τον σκοπό της επεξεργασίας, η Pankki τον κοινοποίησε στον J. M., όπως προεκτέθηκε (
13
).
41.
Συνεπώς, το ζήτημα επικεντρώνεται αποκλειστικά και μόνον στις πληροφορίες σχετικά με την ταυτότητα των υπαλλήλων της Pankki που επεξεργάσθηκαν τα δεδομένα προσωπικού χαρακτήρα του J. M.
42.
Στην πραγματικότητα, οι συγκεκριμένες πληροφορίες αφορούν μια λεπτομέρεια των πράξεων επεξεργασίας και όχι τα καθαυτό δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων, κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ (
14
).
43.
Είναι σαφές ότι το πρόσωπο στα δεδομένα του οποίου αναζητήθηκαν πληροφορίες ήταν ο J. M. (
15
). Εφόσον ο J. M. έλαβε επιβεβαίωση από την Pankki σχετικά με την υποβολή των δεδομένων του σε επεξεργασία (
16
), οι πληροφορίες τις οποίες εδικαιούτο να λάβει, κατά το άρθρο 15, παράγραφος 1, του ΓΚΠΔ, είναι οι παρατιθέμενες στα στοιχεία αʹ έως ηʹ της εν λόγω διάταξης (
17
). Με την παροχή των πληροφοριών, διευκολύνεται η άσκηση των δικαιωμάτων που διαθέτει το υποκείμενο των δεδομένων (
18
), στο πλαίσιο των μηχανισμών που διασφαλίζουν τον σύννομο χαρακτήρα της επεξεργασίας δεδομένων.
44.
Από το άρθρο 15, παράγραφος 1, του ΓΚΠΔ συνάγεται ότι οι πληροφορίες που μνημονεύονται σε αυτό αφορούν τις περιστάσεις της επεξεργασίας των δεδομένων.
45.
Συγκεκριμένα, το άρθρο 15, παράγραφος 1, του ΓΚΠΔ αναγνωρίζει στο υποκείμενο των δεδομένων το δικαίωμα να λάβει από τον υπεύθυνο επεξεργασίας:
–
κατά πρώτον, «επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία»·
–
κατά δεύτερον, εφόσον υφίσταται επεξεργασία, «[…] [πρόσβαση] στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες» (
19
), ήτοι αυτές που παρατίθενται στα στοιχεία αʹ έως ηʹ της ίδιας διάταξης.
46.
Στη διάταξη γίνεται διάκριση μεταξύ, αφενός, των «δεδομένων προσωπικού χαρακτήρα» και, αφετέρου, των «πληροφοριών» που παρατίθενται στα στοιχεία αʹ έως ηʹ της παραγράφου 1.
47.
Επομένως, οι πληροφορίες που πρέπει να παρέχονται στο υποκείμενο των δεδομένων δυνάμει του άρθρου 15, παράγραφος 1, στοιχεία αʹ έως ηʹ, του ΓΚΠΔ δεν πρέπει να συγχέονται με τα δεδομένα προσωπικού χαρακτήρα που το αφορούν, κατά την έννοια του άρθρου 4, σημείο 1, του ίδιου κανονισμού.
48.
Συνεπώς, δεν αποτελούν δεδομένα, αλλά πληροφορίες τα στοιχεία που αφορούν:
–
«τους σκοπούς της επεξεργασίας» (στοιχείο αʹ)·
–
«τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα» (στοιχείο βʹ)·
–
«το χρονικό διάστημα για το οποίο θα αποθηκευτούν» (στοιχείο δʹ)·
–
τα δικαιώματα του υποκειμένου των δεδομένων που μνημονεύονται στα στοιχεία εʹ, στʹ και ζʹ (
20
)·
–
την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων (στοιχείο ηʹ).
49.
Σε όλες τις προεκτεθείσες περιπτώσεις οι πληροφορίες αφορούν είτε συγκεκριμένα δικαιώματα του υποκειμένου των δεδομένων είτε, ειδικότερα, στοιχεία σχετικά με την πραγματοποιηθείσα επεξεργασία, όπως ο σκοπός της (ο οποίος είναι και η αιτία της) και το αντικείμενό της (οι κατηγορίες δεδομένων που υποβάλλονται σε επεξεργασία).
50.
Οι πληροφορίες σχετικά με τους αποδέκτες στους οποίους κοινοποιήθηκαν ή θα κοινοποιηθούν τα δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων (άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ) συνεπάγονται περισσότερες εννοιολογικές δυσχέρειες, τις οποίες θα εξετάσω στη συνέχεια.
51.
Εν ολίγοις, το άρθρο 15, παράγραφος 1, του ΓΚΠΔ θεσπίζει δικαίωμα πρόσβασης στις πληροφορίες σχετικά με την καθαυτό πράξη της επεξεργασίας και σχετικά με τις περιστάσεις της. Στις εν λόγω πληροφορίες προστίθενται οι σχετικές με τα δικαιώματα που διαθέτει το υποκείμενο των δεδομένων σε σχέση με τα δεδομένα που υποβάλλονται σε επεξεργασία, όπως το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή.
52.
Κατά τη γνώμη μου, η ύπαρξη και μόνον της επεξεργασίας και οι περιστάσεις της δεν συνιστούν «δεδομένα προσωπικού χαρακτήρα» κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ.
53.
Είναι αληθές ότι από την επεξεργασία μπορεί να προκύψουν αποφάσεις που επηρεάζουν το υποκείμενο των δεδομένων, όπως επισήμανε το αιτούν δικαστήριο (
21
). Εντούτοις, το αποτέλεσμα αυτό δεν εξαρτάται από την ταυτότητα του συγκεκριμένου φυσικού προσώπου ή των συγκεκριμένων φυσικών προσώπων που εξέτασαν τα δεδομένα για λογαριασμό και υπό την ευθύνη της Pankki, η οποία είναι η επίμαχη πληροφορία στην υπόθεση της κύριας δίκης.
54.
Επομένως, ο J. M. θα εδικαιούτο να ζητήσει από την Pankki, ως υπεύθυνη επεξεργασίας, να του παράσχει πληροφορίες σχετικά με τα δεδομένα προσωπικού χαρακτήρα που έχει στην κατοχή της, είτε συλλέχθηκαν από τον ίδιο τον J. M. (άρθρο 13 του ΓΚΠΔ) είτε συλλέχθηκαν με άλλους τρόπους (άρθρο 14 του ΓΚΠΔ). Ο J. M. θα εδικαιούτο –δυνάμει πλέον του άρθρου 15 του ΓΚΠΔ– να λάβει πληροφορίες σχετικά με την ύπαρξη και τις περιστάσεις κάθε επεξεργασίας στην οποία υποβλήθηκαν τα εν λόγω δεδομένα, πλην όμως όχι επειδή τούτο συνιστά καθαυτό «δεδομένο προσωπικού χαρακτήρα», αλλά λόγω ρητής επιταγής του άρθρου 15 του ΓΚΠΔ (
22
).
55.
Όπως θα εκθέσω αναλυτικότερα στη συνέχεια, στην υπό κρίση υπόθεση σημασία έχει ότι η ταυτότητα των υπαλλήλων που αναζήτησαν πληροφορίες στα δεδομένα του J. M. δεν συνιστά «δεδομένο προσωπικού χαρακτήρα» που αφορά τον ίδιο.
56.
Είναι διαφορετικό το ζήτημα του αν στα αρχεία ή στις καταχωρίσεις, στα οποία θα επανέλθω κατωτέρω, περιλαμβάνονται, άμεσα ή έμμεσα, δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων, πέραν της μνείας της ταυτότητας των συγκεκριμένων υπαλλήλων που απέκτησαν πρόσβαση σε αυτά. Το αν συντρέχει τέτοια περίπτωση θα εξαρτηθεί σε μεγάλο βαθμό από το περιεχόμενο των αντίστοιχων αρχείων ή καταχωρίσεων. Επαναλαμβάνω, όμως, ότι, καθόσον το αντικείμενο της κύριας δίκης περιορίζεται στην παροχή πληροφοριών σχετικά με την ταυτότητα των υπαλλήλων της Pankki, το στοιχείο αυτό δεν περιλαμβάνεται στα δεδομένα προσωπικού χαρακτήρα του J. M., αλλά σε εκείνα των εν λόγω υπαλλήλων.
2. Πρόσβαση στις πληροφορίες σχετικά με τους αποδέκτες στους οποίους κοινοποιήθηκαν τα δεδομένα προσωπικού χαρακτήρα
57.
Το αιτούν δικαστήριο ζητεί να διευκρινισθεί αν, ακόμη και αν δεν συνιστούν δεδομένα προσωπικού χαρακτήρα που τον αφορούν, ο J. M. θα εδικαιούτο, υπό το πρίσμα του άρθρου 15, παράγραφος 1, στοιχεία αʹ και γʹ, του ΓΚΠΔ, να ζητήσει από την Pankki να του παράσχει πληροφορίες σχετικά με τους υπαλλήλους που είχαν επεξεργασθεί τα δεδομένα προσωπικού χαρακτήρα που τον αφορούν.
58.
Κατά το στοιχείο αʹ της προμνησθείσας διάταξης, το υποκείμενο των δεδομένων δικαιούται να λάβει επιβεβαίωση από τον υπεύθυνο επεξεργασίας σχετικά με τους σκοπούς της επεξεργασίας. Εντούτοις, η συγκεκριμένη διάταξη (την οποία η Pankki τήρησε στην υπό κρίση υπόθεση, καθότι ενημέρωσε τον J. M. σχετικά με τον σκοπό της επεξεργασίας) δεν παρέχει κριτήρια προκειμένου να προσδιορισθούν οι αποδέκτες των δεδομένων προσωπικού χαρακτήρα του J. M.
59.
Αντιθέτως, το προδικαστικό ερώτημα αποκτά νόημα καθόσον ζητεί την ερμηνεία του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ. Υπενθυμίζω ότι, κατά τη συγκεκριμένη διάταξη, το υποκείμενο των δεδομένων δικαιούται να λάβει πληροφορίες σχετικά με «τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα […]».
60.
Εξάλλου, κατά το άρθρο 4, σημείο 9, του ΓΚΠΔ, ως «αποδέκτης» νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, στα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι».
61.
Όπως επισημάνθηκε κατά την επ’ ακροατηρίου συζήτηση, η τελευταία ως άνω φράση («είτε πρόκειται για τρίτον είτε όχι») θα μπορούσε να δημιουργεί αμφιβολίες όσον αφορά το υποκειμενικό πεδίο εφαρμογής της διάταξης. Μια επιφανειακή και, κατά τη γνώμη μου, εσφαλμένη ερμηνεία της διάταξης θα μπορούσε να οδηγήσει στην άποψη ότι «αποδέκτης» δεν θα είναι μόνον οποιοσδήποτε τρίτος στον οποίο η Pankki έχει κοινοποιήσει τα δεδομένα προσωπικού χαρακτήρα του J. M., αλλά και καθένας από τους υπαλλήλους που αναζήτησαν, συγκεκριμένα, πληροφορίες στα εν λόγω δεδομένα εξ ονόματος και για λογαριασμό του νομικού προσώπου που είναι η Pankki.
62.
Κατά το άρθρο 4, σημείο 10, του ΓΚΠΔ, ως «τρίτος» νοείται «οποιοδήποτε φυσικό ή νομικό πρόσωπο, δημόσια αρχή, υπηρεσία ή φορέας, με εξαίρεση το υποκείμενο των δεδομένων, τον υπεύθυνο επεξεργασίας, τον εκτελούντα την επεξεργασία και τα
πρόσωπα τα οποία, υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα προσωπικού χαρακτήρα» (
23
).
63.
Υπό το πρίσμα των ως άνω παραδοχών, εκτιμώ, όμως, ότι η έννοια του αποδέκτη δεν περιλαμβάνει τους υπαλλήλους νομικού προσώπου οι οποίοι, κάνοντας χρήση του συστήματος πληροφορικής του νομικού προσώπου, αναζητούν πληροφορίες στα δεδομένα προσωπικού χαρακτήρα πελάτη, κατ’ εντολή των διευθυντικών οργάνων του νομικού προσώπου. Όταν οι εν λόγω υπάλληλοι ενεργούν υπό την άμεση εποπτεία του υπευθύνου επεξεργασίας δεν αποκτούν, εκ του λόγου αυτού και μόνον, την ιδιότητα «αποδεκτών» των δεδομένων (
24
).
64.
Εντούτοις, ενδέχεται ένας υπάλληλος να παραβεί τις διαδικασίες που έχει θεσπίσει ο υπεύθυνος επεξεργασίας και, με δική του πρωτοβουλία, να αποκτήσει πρόσβαση, με μη σύννομο τρόπο, στα δεδομένα πελατών ή άλλων υπαλλήλων. Εν τοιαύτη περιπτώσει, ο υπάλληλος που παρέβη τις διαδικασίες δεν θα έχει ενεργήσει για λογαριασμό και εξ ονόματος του υπευθύνου επεξεργασίας.
65.
Στο μέτρο αυτό, ο υπάλληλος που παρέβη τις διαδικασίες θα μπορούσε να χαρακτηρισθεί «αποδέκτης» στον οποίο «κοινοποιήθηκαν» (μεταφορικώς), μολονότι με δική του πρωτοβουλία και, συνεπώς, παρανόμως, δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων (
25
), ή ακόμη (αυτόνομος) υπεύθυνος επεξεργασίας (
26
).
66.
Από την έκθεση των πραγματικών περιστατικών στη διάταξη περί παραπομπής και τα επιχειρήματα που προέβαλε η Pankki κατά την επ’ ακροατηρίου συζήτηση προκύπτει ότι η εν λόγω οντότητα εξουσιοδότησε τους υπαλλήλους τους να αναζητήσουν πληροφορίες, υπό την ευθύνη της, στα δεδομένα προσωπικού χαρακτήρα του J. M. Επομένως, οι συγκεκριμένοι υπάλληλοι ακολούθησαν τις εντολές και ενήργησαν για λογαριασμό του υπευθύνου επεξεργασίας. Ως εκ τούτου, δεν μπορούν να χαρακτηρισθούν αποδέκτες κατά την έννοια του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ (
27
).
67.
Διαφορετικό είναι το ζήτημα ότι ο προσδιορισμός των υπαλλήλων και του χρόνου κατά τον οποίο οιοσδήποτε εξ αυτών απέκτησε πρόσβαση στα δεδομένα προσωπικού χαρακτήρα του πελάτη (ήτοι το περιεχόμενο των όσων μνημονεύονται στα αρχεία ή τις καταχωρίσεις που θα εξετάσω στη συνέχεια) πρέπει να τίθεται στη διάθεση των εποπτικών αρχών προκειμένου να ελέγχεται η νομιμότητα των ενεργειών τους.
68.
Τούτο επιβεβαιώνεται από το άρθρο 29 του ΓΚΠΔ το οποίο κάνει λόγο για το πρόσωπο που ενεργεί «υπό την εποπτεία του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, το οποίο έχει πρόσβαση σε δεδομένα προσωπικού χαρακτήρα». Το εν λόγω πρόσωπο θα μπορεί να επεξεργασθεί τα δεδομένα μόνον κατ’ εντολή του εργοδότη του, ο οποίος είναι ο πραγματικός υπεύθυνος επεξεργασίας (ή εκτελών την επεξεργασία).
69.
Σκοπός του άρθρου 15, παράγραφος 1, του ΓΚΠΔ είναι να διευκολύνει την αποτελεσματική άσκηση (προάσπιση), από το υποκείμενο των δεδομένων, των δικαιωμάτων που διαθέτει σε σχέση με τα δεδομένα προσωπικού χαρακτήρα που το αφορούν. Προς τούτο, πρέπει να ενημερώνεται για τον υπεύθυνο επεξεργασίας και, ενδεχομένως, τους αποδέκτες στους οποίους κοινοποιούνται τα εν λόγω δεδομένα. Με τις πληροφορίες αυτές, το υποκείμενο των δεδομένων θα μπορεί να απευθυνθεί, επιπλέον του υπευθύνου επεξεργασίας, στους αποδέκτες που έλαβαν γνώση των δεδομένων που το αφορούν.
70.
Είναι αληθές ότι το υποκείμενο των δεδομένων μπορεί να διατηρεί αμφιβολίες σχετικά με τη νομιμότητα της παρέμβασης συγκεκριμένων προσώπων στη διαχείριση της επεξεργασίας των δεδομένων που το αφορούν για λογαριασμό του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία και υπό την εποπτεία αυτών.
71.
Σε τέτοια περίπτωση, όπως υπογράμμισε η Τσεχική Κυβέρνηση και επισήμανε η Επιτροπή κατά την επ’ ακροατηρίου συζήτηση, το υποκείμενο των δεδομένων μπορεί να απευθυνθεί στον υπεύθυνο προστασίας δεδομένων (άρθρο 38, παράγραφος 4, του ΓΚΠΔ) ή στην εποπτική αρχή προκειμένου να υποβάλει καταγγελία [άρθρο 15, παράγραφος 1, στοιχείο στʹ, και άρθρο 77 του ΓΚΠΔ]. Το υποκείμενο των δεδομένων δεν έχει, όμως, δικαίωμα να λάβει άμεσα συγκεκριμένο δεδομένο προσωπικού χαρακτήρα (την ταυτότητα) του υπαλλήλου, ο οποίος ως υφιστάμενος του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, ενεργεί κατ’ αρχήν βάσει των εντολών του.
72.
Κατά την επ’ ακροατηρίου συζήτηση αντηλλάγησαν απόψεις σχετικά με το αν η δυνατότητα του υποκειμένου των δεδομένων να απευθυνθεί στον υπεύθυνο προστασίας δεδομένων ή στην εποπτική αρχή συνιστά επαρκή εγγύηση, από την άποψη της προάσπισης των δικαιωμάτων του προσώπου του οποίου τα δικαιώματα υποβάλλονται σε επεξεργασία.
73.
Προς επίλυση της διαφωνίας, μπορεί να υιοθετηθεί μαξιμαλιστική άποψη, ώστε κάθε υποκείμενο των δεδομένων να έχει δικαίωμα να γνωρίζει την ταυτότητα των υπαλλήλων του υπευθύνου επεξεργασίας που απέκτησαν πρόσβαση στα δεδομένα που το αφορούν, ακόμη και τούτο συνέβη κατ’ εντολήν και υπό την καθοδήγηση του εν λόγω υπευθύνου επεξεργασίας.
74.
Φρονώ ότι ο ΓΚΠΔ δεν παρέχει έρεισμα προς στήριξη της άποψης αυτής, μολονότι τα κράτη μέλη μπορούν να την υιοθετήσουν στην εσωτερική νομοθεσία τους, σε έναν ή πλείονες ειδικούς τομείς (
28
).
75.
Κατά τη γνώμη μου, δεν θα ήταν συνετό, ασκώντας οιονεί νομοθετικά καθήκοντα, το Δικαστήριο να τροποποιήσει τον ΓΚΠΔ προκειμένου να εισαγάγει νέα υποχρέωση παροχής πληροφοριών επιπλέον εκείνων που προβλέπονται στο άρθρο του 15, παράγραφος 1. Τούτο θα συνέβαινε εάν ο υπεύθυνος επεξεργασίας είχε, αδιακρίτως, υποχρέωση να παράσχει στο υποκείμενο των δεδομένων την ταυτότητα όχι πλέον του αποδέκτη στον οποίο κοινοποιήθηκαν τα δεδομένα, αλλά κάθε υπαλλήλου, ή προσώπου από τον εσωτερικό κύκλο της επιχείρησης, που απέκτησε νομίμως πρόσβαση στα εν λόγω δεδομένα (
29
).
76.
Όπως επισήμανε η Pankki κατά την επ’ ακροατηρίου συζήτηση, η ταυτότητα των μεμονωμένων υπαλλήλων που διαχειρίσθηκαν την επεξεργασία δεδομένων πελάτη συνιστά ιδιαιτέρως ευαίσθητη πληροφορία από την άποψη της ασφάλειάς τους, τουλάχιστον σε ορισμένους οικονομικούς τομείς.
77.
Οι συγκεκριμένοι υπάλληλοι θα μπορούσαν να εκτεθούν σε απόπειρες άσκησης πιέσεων και επιρροής εκ μέρους προσώπων, όπως οι πελάτες του τραπεζικού ιδρύματος, που μπορεί να έχουν συμφέρον να εξατομικεύσουν τον συνομιλητή τους, ο οποίος δεν θα είναι πλέον το ίδιο το χρηματοπιστωτικό ίδρυμα, αλλά κάποιος ή κάποιοι από τους εργαζομένους του, ως πιο αδύναμοι κρίκοι της επιχειρηματικής αλυσίδας. Τούτο θα μπορούσε να συμβεί, για παράδειγμα, όταν η παρακολούθηση των συναλλαγών, μέσω της αναζήτησης πληροφοριών στα δεδομένα του πελάτη, πραγματοποιείται με σκοπό την εκπλήρωση των υποχρεώσεων που οι τράπεζες υπέχουν σε σχέση με την πρόληψη και την καταπολέμηση του χρηματοοικονομικού εγκλήματος.
78.
Είναι αληθές ότι ο πελάτης μπορεί να διατηρεί αμφιβολίες όσον αφορά την ακεραιότητα ή την αμεροληψία του φυσικού προσώπου που παρενέβη, για λογαριασμό του υπευθύνου επεξεργασίας, στην επεξεργασία των δεδομένων που τον αφορούν. Η αμφιβολία αυτή, εάν είναι εύλογη, θα μπορούσε να δικαιολογεί το συμφέρον του να γνωρίζει την ταυτότητα του υπαλλήλου, προκειμένου να ασκήσει το δικαίωμά του να απευθυνθεί σε αυτό.
79.
Λαμβανομένου υπόψη του ευαίσθητου χαρακτήρα της προμνησθείσας πληροφορίας, το συμφέρον του υποκειμένου των δεδομένων να γνωρίζει την ταυτότητα του υπαλλήλου έρχεται σε σύγκρουση με το εξίσου αδιαμφισβήτητο συμφέρον των διαχειριστών της επεξεργασίας να διατηρήσουν εχεμύθεια όσον αφορά την ταυτότητα των υπαλλήλων τους και με το δικαίωμα των εν λόγω υπαλλήλων στην προστασία των δεδομένων που τα αφορούν. Κατά τη γνώμη μου, η εξισορρόπηση επιτυγχάνεται με τη διαμεσολάβηση της εποπτικής αρχής, η οποία θα σταθμίσει τα δύο αυτά αντικρουόμενα συμφέροντα.
80.
Επομένως, σε περίπτωση όπως η επίμαχη στην υπό κρίση υπόθεση, η εποπτική αρχή θα πρέπει, από θέση αμερόληπτου κριτή, να εκτιμήσει αν οι αμφιβολίες σχετικά με τις ενέργειες των υπαλλήλων της τραπεζικής οντότητας είναι βάσιμες και συνεκτικές ώστε να δικαιολογείται η αποκάλυψη της ταυτότητάς τους.
3. Πρόσβαση στα στοιχεία σχετικά με την ταυτότητα των υπαλλήλων τα οποία περιέχονται στα αρχεία ή στις καταχωρίσεις πράξεων
81.
Η απάντηση στο πρώτο και στο δεύτερο προδικαστικό ερώτημα θα μπορούσε να περιορισθεί στα προεκτεθέντα, καθόσον διαπιστώθηκε ότι οι υπάλληλοι της οντότητας οι οποίοι ενεργούν για λογαριασμό και κατ’ εντολήν της δεν είναι, καθ’ εαυτούς, οι αποδέκτες που μνημονεύονται στο άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ.
82.
Εντούτοις, είναι σκόπιμο η απάντηση να συμπληρωθεί με την ανάλυση του ενδεχόμενου δικαιώματος του υποκειμένου των δεδομένων να γνωρίζει την ταυτότητα των υπαλλήλων, όταν μνημονεύεται στα αρχεία ή στις καταχωρίσεις πράξεων μιας οντότητας. Μολονότι, όπως προεκτέθηκε, δεν θα έχουν κατ’ ανάγκην όλα τα αρχεία ή οι καταχωρίσεις ταυτόσημο περιεχόμενο, γίνεται γενικά δεκτό ότι παρέχουν στοιχεία σχετικά με το ποιος (από τους υπαλλήλους του υπευθύνου επεξεργασίας), το πώς και το πότε αναζήτησε πληροφορίες στα δεδομένα των πελατών.
83.
Το συγκεκριμένο είδος καταχωρίσεων παρέχει στον υπεύθυνο επεξεργασίας τη δυνατότητα να εκπληρώσει την υποχρέωσή του τήρησης των αρχών που προβλέπονται στο άρθρο 5, παράγραφος 1, του ΓΚΠΔ και να εφαρμόσει τα κατάλληλα τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλίζει και να μπορεί να αποδεικνύει ότι η επεξεργασία διενεργείται σύμφωνα με τις απαιτήσεις του εν λόγω κανονισμού (άρθρο 24, παράγραφος 1, και άρθρο 25, παράγραφος 2, του ΓΚΠΔ).
84.
Στο ειδικό πεδίο της οδηγίας (ΕΕ) 2016/680 (
30
), την οποία η Επιτροπή μνημόνευσε ως παράδειγμα (
31
) ιδιαίτερου καθεστώτος προστασίας δεδομένων στο πλαίσιο των ποινικών αδικημάτων:
–
το άρθρο της 24 υποχρεώνει κάθε υπεύθυνο επεξεργασίας να διατηρεί αρχείο όλων των κατηγοριών δραστηριοτήτων επεξεργασίας για τις οποίες είναι υπεύθυνος (παράγραφος 1)· και κάθε εκτελούντα την επεξεργασία να διατηρεί αρχείο όλων των κατηγοριών δραστηριοτήτων επεξεργασίας που διενεργούνται εκ μέρους του υπεύθυνου επεξεργασίας (παράγραφος 2)·
–
το άρθρο της 25 απαιτεί να «[…] τηρούνται καταχωρίσεις τουλάχιστον για τις ακόλουθες πράξεις επεξεργασίας στα συστήματα αυτοματοποιημένης επεξεργασίας: συλλογή, μεταβολή, αναζήτηση πληροφοριών, κοινολόγηση, περιλαμβανομένων των διαβιβάσεων, συνδυασμό και διαγραφή. Οι καταχωρίσεις της αναζήτησης πληροφοριών και της κοινολόγησης επιτρέπουν τον προσδιορισμό της αιτιολόγησης και της ημερομηνίας και της ώρας των εν λόγω πράξεων και, στο βαθμό του εφικτού, της ταυτότητας του προσώπου που αναζήτησε πληροφορίες ή κοινολόγησε δεδομένα προσωπικού χαρακτήρα, καθώς και της ταυτότητας των αποδεκτών των εν λόγω δεδομένων προσωπικού χαρακτήρα» (
32
).
85.
Κατά το άρθρο 14 της οδηγίας 2016/680, όμως, οι πληροφορίες οι οποίες αφορούν, ειδικότερα, την ταυτότητα του υπαλλήλου που επεξεργάσθηκε τα δεδομένα προσωπικού χαρακτήρα δεν περιλαμβάνονται σε εκείνες στις οποίες έχει δικαίωμα πρόσβασης το ενδιαφερόμενο πρόσωπο.
86.
Στο ίδιο πνεύμα, το άρθρο 30 του ΓΚΠΔ επιβάλλει την τήρηση του επονομαζόμενου «αρχείου των δραστηριοτήτων επεξεργασίας», το περιεχόμενο του οποίου συμπίπτει –με μικρότερο βαθμό ακρίβειας όσον αφορά τον ορισμό των πράξεων– με εκείνο του άρθρου 25 της οδηγίας 2016/680 (
33
). Επίσης, όπως και στην περίπτωση της οδηγίας 2016/680, οι καταχωρισμένες πληροφορίες σχετικά με την ταυτότητα του υπαλλήλου επίσης δεν απαριθμούνται μεταξύ εκείνων στις οποίες το υποκείμενο των δεδομένων μπορεί να έχει πρόσβαση δυνάμει του άρθρου 15 του ΓΚΠΔ.
87.
Ο λόγος της προεκτεθείσας αναντιστοιχίας μεταξύ, αφενός, των καταχωρισμένων πληροφοριών και, αφετέρου, του δικαιώματος πρόσβασης σε αυτές έγκειται στους διαφορετικούς σκοπούς που εξυπηρετούν οι διατάξεις οι οποίες ρυθμίζουν τα αρχεία των δραστηριοτήτων επεξεργασίας και τη δυνατότητα πρόσβασης στο περιεχόμενό τους, αντιστοίχως.
88.
Επαναλαμβάνω ότι σκοπός των αρχείων που μνημονεύονται στο άρθρο 30 του ΓΚΠΔ είναι να διασφαλίζονται η νομιμότητα της επεξεργασίας καθώς και η ακεραιότητα και η ασφάλεια των δεδομένων. Τη σχετική ευθύνη φέρει, γενικά, η εποπτική αρχή, στη διάθεση της οποίας θέτουν τα αρχεία πράξεων ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία (άρθρο 30, παράγραφος 4, του ΓΚΠΔ).
89.
Στον ΓΚΠΔ, το δικαίωμα υποβολής καταγγελίας στις εποπτικές αρχές (άρθρο 15, παράγραφος 1, στοιχείο στʹ), οι οποίες είναι αρμόδιες να μεριμνούν για τη δέουσα εφαρμογή του, κατατείνει στην προστασία των δικαιωμάτων των φυσικών προσώπων όσον αφορά την επεξεργασία των δεδομένων που τα αφορούν. Τούτο προβλέπεται στο άρθρο 51, παράγραφος 1, του ΓΚΠΔ και προκύπτει από την απαρίθμηση των καθηκόντων που ανατίθενται στις εποπτικές αρχές στο άρθρο 57 του εν λόγω κανονισμού.
90.
Το γενικό καθήκον παρακολούθησης της εφαρμογής του ΓΚΠΔ και προστασίας των δικαιωμάτων των φυσικών προσώπων δικαιολογεί τα προνόμια της εποπτικής αρχής. Σε αυτά περιλαμβάνεται η γνώση των περιστάσεων υπό τις οποίες διενεργήθηκε η επεξεργασία δεδομένων από τον εκτελούντα την επεξεργασία ή τον υπεύθυνο της επεξεργασίας. Εν προκειμένω, σημασία έχει ακριβώς μία από τις περιστάσεις αυτές: η ταυτότητα των προσώπων που αναζητούν πληροφορίες στα δεδομένα προσωπικού χαρακτήρα των πελατών εξ ονόματος του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία.
91.
Εντούτοις, καμία διάταξη του ΓΚΠΔ δεν επιβάλλει να γνωστοποιούνται στον πελάτη οι εν λόγω αναφορές στην ταυτότητα των υπαλλήλων οι οποίες περιέχονται στα εσωτερικά αρχεία των οντοτήτων, χάρη στα οποία οι οντότητες μπορούν να γνωρίζουν (και, ενδεχομένως, να θέτουν στη διάθεση της εποπτικής αρχής) τα στοιχεία του προσώπου που εξέτασε τα δεδομένα προσωπικού χαρακτήρα πελάτη και τον χρόνο διενέργειας της εν λόγω εξέτασης.
92.
Αντιθέτως, στο ενδιαφερόμενο πρόσωπο, σε σχέση με συγκεκριμένη επεξεργασία, θα πρέπει να παρέχονται οι πληροφορίες που είναι αναγκαίες ώστε να γνωρίζει τις σχετικές περιστάσεις, προκειμένου να μπορεί να εκτιμήσει τον σύννομο χαρακτήρα της επεξεργασίας και να τον αμφισβητήσει, ενδεχομένως, ενώπιον της εποπτικής αρχής και, τελικώς, ενώπιον της δικαστικής αρχής.
93.
Τα ανωτέρω δεν ανατρέπονται από το γεγονός ότι, εάν στις εν λόγω καταχωρίσεις πράξεων περιέχονται όντως δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων (ήτοι δεδομένα πέραν της ταυτότητας και μόνον των υπαλλήλων), το υποκείμενο των δεδομένων θα διαθέτει, ευλόγως, δικαίωμα να λάβει από τον υπεύθυνο επεξεργασίας επιβεβαίωση ότι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υποβάλλονται σε επεξεργασία. Προς τούτο, είναι άνευ σημασίας αν τα εν λόγω δεδομένα περιέχονται σε καταχώριση πράξεων ή σε οποιοδήποτε άλλο αρχείο ή εσωτερική βάση δεδομένων της οντότητας.
Γ.
Επί του τρίτου προδικαστικού ερωτήματος
94.
Το αιτούν δικαστήριο ζητεί να διευκρινισθεί αν «έχει σημασία στο πλαίσιο της διαφοράς το αν πρόκειται για τράπεζα, η οποία ασκεί νομοθετικά ρυθμιζόμενη δραστηριότητα, ή το γεγονός ότι ο J. M. ήταν ταυτόχρονα υπάλληλος και πελάτης της».
95.
Κατά τη γνώμη μου, τα προεκτεθέντα δεν αναιρούνται από το γεγονός ότι ο υπεύθυνος επεξεργασίας των δεδομένων ασκεί νομοθετικά ρυθμιζόμενη δραστηριότητα. Εντούτοις, το γεγονός ότι ο υπεύθυνος επεξεργασίας είναι τράπεζα υποκείμενη στην ειδική ρύθμιση για το συγκεκριμένο είδος οντοτήτων (
34
) μπορεί να ασκεί επιρροή κατά την εξακρίβωση της νομιμότητας (της νομικής βάσης) της επεξεργασίας, όταν αυτή είναι απόρροια της εκπλήρωσης των νόμιμων υποχρεώσεων τις οποίες υπέχει η τράπεζα (
35
).
96.
Κατ’ αρχήν, στερείται επίσης σημασίας το γεγονός ότι το πρόσωπο στα δεδομένα του οποίου έγινε αναζήτηση πληροφοριών υπήρξε εργαζόμενος και, συγχρόνως, πελάτης της εν λόγω τράπεζας. Το άρθρο 15, παράγραφος 1, του ΓΚΠΔ δεν εισάγει διαφοροποιήσεις ανάλογα με την επαγγελματική δραστηριότητα του υποκειμένου των δεδομένων, επιπλέον της ιδιότητάς του ως πελάτη του χρηματοπιστωτικού ιδρύματος (
36
).
97.
Είναι αληθές, όπως υπογράμμισε η Επιτροπή, ότι το άρθρο 23 του ΓΚΠΔ επιτρέπει στα κράτη μέλη να περιορίζουν νομοθετικά το πεδίο εφαρμογής των υποχρεώσεων και των δικαιωμάτων που προβλέπονται, μεταξύ άλλων, στο άρθρο του 15, μέσω τομεακών διατάξεων για συγκεκριμένη κατηγορία ενδιαφερόμενων προσώπων. Εντούτοις, το αιτούν δικαστήριο δεν μνημονεύει οποιονδήποτε εθνικό περιορισμό του είδους αυτού.
V. Πρόταση
98.
Λαμβανομένων υπόψη των προεκτεθέντων, προτείνω στο Δικαστήριο να απαντήσει στα προδικαστικά ερωτήματα που υπέβαλε το Itä-Suomen hallinto-oikeus (διοικητικό πρωτοδικείο Ανατολικής Φινλανδίας, Φινλανδία) ως εξής:
«Το άρθρο 15, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), σε συνδυασμό με το άρθρο 4, σημείο 1, του ίδιου κανονισμού,
έχει την έννοια ότι:
έχει εφαρμογή όταν το αίτημα πρόσβασης στις πληροφορίες, το οποίο απηύθυνε το υποκείμενο των δεδομένων στον υπεύθυνο επεξεργασίας των δεδομένων που το αφορούν, υποβλήθηκε μετά τις 25 Μαΐου 2018·
δεν αναγνωρίζει στο υποκείμενο των δεδομένων το δικαίωμα να γνωρίζει, μεταξύ των πληροφοριών που διαθέτει ο υπεύθυνος επεξεργασίας (ενδεχομένως, μέσω αρχείων ή καταχωρίσεων πράξεων), την ταυτότητα του υπαλλήλου ή των υπαλλήλων που, υπό την εποπτεία και κατ’ εντολήν του υπευθύνου επεξεργασίας, αναζήτησαν πληροφορίες στα δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων.»
(
1
)	Γλώσσα του πρωτοτύπου: η ισπανική.
(
2
)	Κανονισμός του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, διορθωτικό ΕΕ 2021, L 74, σ. 35, στο εξής: ΓΚΠΔ).
(
3
)	Νόμος περί προστασίας δεδομένων. Κατά το άρθρο του 1, ο εν λόγω νόμος εφαρμόζει και συμπληρώνει τον ΓΚΠΔ.
(
4
)	Νόμος περί προστασίας της ιδιωτικής ζωής στον εργασιακό βίο.
(
5
)	Η Pankki επιθυμούσε να αποσαφηνίσει την ενδεχόμενη ύπαρξη σύγκρουσης συμφερόντων μεταξύ του J. M. και πελάτη της τράπεζας του οποίου υπεύθυνος σύμβουλος ήταν ο J. M. Διαπιστώθηκε, τελικώς, ότι ο J. M. δεν ήταν ύποπτος για οποιαδήποτε παράνομη πράξη.
(
6
)	Άρθρο 99, παράγραφος 2, του ΓΚΠΔ.
(
7
)	Στο ίδιο πνεύμα, βλ. προτάσεις του γενικού εισαγγελέα G. Pitruzzella στην υπόθεση Österreichische Post (Πληροφορίες σχετικά με τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα) (C-154/21, EU:C:2022:452, σημείο 33): «[…] το κατά το άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ δικαίωμα πρόσβασης διαδραματίζει λειτουργικό και οργανικό ρόλο όσον αφορά την άσκηση άλλων προνομίων του υποκειμένου των δεδομένων τα οποία προβλέπονται στον ΓΚΠΔ».
(
8
)	Ή, όπως συμβαίνει εν προκειμένω, από τον χρόνο κατά τον οποίο η διάταξη τίθεται σε εφαρμογή, εάν δεν ταυτίζεται με τον χρόνο έναρξης ισχύος.
(
9
)	Οδηγία του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31).
(
10
)	Η νομολογία του Δικαστηρίου σχετικά με το διαχρονικό αποτέλεσμα των νομοθετικών τροποποιήσεων ανακεφαλαιώνεται με την απόφαση της 15ης Ιουνίου 2021, Facebook Ireland κ.λπ. (C-645/19, EU:C:2021:483).
(
11
)	Σε σχέση με την οδηγία 95/46, με την απόφαση της 7ης Μαΐου 2009, Rijkeboer (C-553/07, EU:C.2009:293, σκέψη 70), το Δικαστήριο αποφάνθηκε ότι «[τ]ο άρθρο 12, στοιχείο αʹ, της οδηγίας υποχρεώνει τα κράτη μέλη να προβλέπουν δικαίωμα προσβάσεως στα στοιχεία […] όχι μόνο για το παρόν αλλά και για το παρελθόν. Στα κράτη μέλη εναπόκειται να καθορίσουν τη χρονική περίοδο διατήρησης των στοιχείων αυτών και να ρυθμίσουν τη συνεπακόλουθη πρόσβαση στα στοιχεία αυτά κατά τρόπο που να σταθμίζονται δικαίως, αφενός, το συμφέρον του ενδιαφερομένου να προστατεύσει την ιδιωτική του ζωή, ιδίως μέσω των τρόπων παρέμβασης ή του δικαιώματος προσφυγής που προβλέπει η οδηγία, και, αφετέρου, το βάρος που η υποχρέωση διατήρησης των στοιχείων αυτών συνεπάγεται για τον υπεύθυνο της επεξεργασίας». Η υπογράμμιση δική μου.
(
12
)	Με την επιφύλαξη ότι τούτο θα πρέπει να εξακριβωθεί, ενδεχομένως, από το αιτούν δικαστήριο, κατά την επ’ ακροατηρίου συζήτηση μνημονεύθηκαν ως βάσεις για τη νομιμότητα της επεξεργασίας των δεδομένων, αφενός, οι υποχρεώσεις που απορρέουν από τους φιλανδικούς νόμους δυνάμει των οποίων η Pankki, ως χρηματοπιστωτικό ίδρυμα, οφείλει να μεριμνά για την ορθή διαχείριση των κινδύνων, καθώς και να τηρεί τους κανόνες για την πρόληψη και την καταπολέμηση της νομιμοποίησης των εσόδων από παράνομες δραστηριότητες όσον αφορά την ιχνηλασιμότητα των συναλλαγών· αφετέρου, οι συμβάσεις της τράπεζας με τους πελάτες και τους υπαλλήλους της, οι οποίες επιτρέπουν την αναζήτηση πληροφοριών στα δεδομένα τους σε περιπτώσεις όπως η επίμαχη στην κύρια δίκη.
(
13
)	Βλ. σημείο 21 των παρουσών προτάσεων.
(
14
)	Κατά τη συγκεκριμένη διάταξη, δεδομένα προσωπικού χαρακτήρα είναι «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο», ήτοι πρόσωπο «του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα».
(
15
)	Η ταυτότητά του δεν αποσαφηνίσθηκε ως συνέπεια ή ως αποτέλεσμα της επεξεργασίας, καθότι η επεξεργασία πραγματοποιήθηκε, ακριβώς, πριν από την ταυτοποίηση του J. M.
(
16
)	Όπως επισήμανε η Επιτροπή, ενδεχομένως ο J. M. θεωρεί ότι οι παρασχεθείσες πληροφορίες δεν είναι επαρκείς ή είναι ασαφείς. Εν πάση περιπτώσει, και κατά το άρθρο 15, παράγραφος 1, του ΓΚΠΔ, ο J. M. δικαιούται να λάβει επιβεβαίωση για το αν τα δεδομένα που τον αφορούν υποβλήθηκαν ή υποβάλλονται σε επεξεργασία (στοιχείο το οποίο εμπεριέχει τον χρονικό προσδιορισμό) και πληροφορίες σχετικά με τους σκοπούς της επεξεργασίας. Απόκειται στο αιτούν δικαστήριο να εξακριβώσει αν αμφότερες οι πληροφορίες παρασχέθηκαν στον J. M. σε επαρκή βαθμό.
(
17
)	Βλ. παράθεσή του στο σημείο 9 των παρουσών προτάσεων.
(
18
)	Όπως έχει αποφανθεί το Δικαστήριο σε σχέση με την οδηγία 95/46 και με διατύπωση που μπορεί να εφαρμοσθεί στον ΓΚΠΔ, οι αρχές της προστασίας που εγγυάται το δίκαιο της Ένωσης στον συγκεκριμένο τομέα «έχουν συγκεκριμενοποιηθεί, αφενός, με τις υποχρεώσεις τις οποίες υπέχουν τα πρόσωπα που επεξεργάζονται δεδομένα, όσον αφορά ιδίως την ποιότητα των δεδομένων, την τεχνική ασφάλεια, την κοινοποίηση στην αρχή ελέγχου, τις συνθήκες υπό τις οποίες πραγματοποιείται η επεξεργασία, και, αφετέρου, με τα παρεχόμενα στα πρόσωπα των οποίων τα δεδομένα αποτελούν αντικείμενο επεξεργασίας δικαιώματα να ενημερώνονται για την επεξεργασία αυτή, να μπορούν να έχουν πρόσβαση στα δεδομένα, να ζητούν τη διόρθωσή τους ή ακόμη να αντιτάσσονται στην επεξεργασία υπό ορισμένες προϋποθέσεις» (απόφαση της 20ής Δεκεμβρίου 2017, Nowak, C-434/16, EU:C:2017:994, σκέψη 48).
(
19
)	Η υπογράμμιση δική μου.
(
20
)	Δικαιώματα που αφορούν την υποβολή αιτήματος διόρθωσης ή διαγραφής δεδομένων ή περιορισμού της επεξεργασίας ή την αντίταξη στην επεξεργασία· την υποβολή καταγγελίας σε εποπτική αρχή και τη λήψη πληροφοριών σχετικά με την προέλευση των δεδομένων που δεν συλλέχθηκαν από το υποκείμενο των δεδομένων.
(
21
)	Σημείο 38 της διατάξεως περί παραπομπής.
(
22
)	Τα άρθρα 13, 14 και 15 του ΓΚΠΔ, τα οποία περιλαμβάνονται στο κεφάλαιο III («Δικαιώματα του υποκειμένου των δεδομένων»), τμήμα 2 («Ενημέρωση και πρόσβαση σε δεδομένα προσωπικού χαρακτήρα»), συνιστούν ένα σύστημα το οποίο βασίζεται στην αναγνώριση του δικαιώματος του υποκειμένου των δεδομένων να γνωρίζει: α) τα δεδομένα προσωπικού χαρακτήρα που βρίσκονται στην κατοχή του υπευθύνου επεξεργασίας, ανεξαρτήτως του τρόπου με τον οποίο συλλέχθηκαν (άρθρα 13 και 14)· και β) ειδικότερα, τις περιστάσεις κάθε επεξεργασίας των εν λόγω δεδομένων (άρθρο 15).
(
23
)	Η υπογράμμιση δική μου.
(
24
)	Την ίδια άποψη διατυπώνει επίσης το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων με τις κατευθυντήριες γραμμές 07/2020, που εξέδωσε στις 2 Σεπτεμβρίου 2020, σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ, σημεία 83 έως 90.
(
25
)	Στην περίπτωση αυτή, θα έχει εφαρμογή το άρθρο 34, παράγραφος 1, του ΓΚΠΔ.
(
26
)	Αυτή είναι η γνώμη του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων στις προμνησθείσες κατευθυντήριες γραμμές 07/2020, σημείο 86: «An employee […] who obtains access to data that he or she is not authorised to access and for other purposes than that of the employer does not fall within this category. Instead, this employee should be considered as a third party vis-à-vis the processing undertaken by the employer. Insofar as the employee processes personal data for his or her own purposes, distinct from those of his or her employer, he or she will then be considered a controller and take on all the resulting consequences and liabilities in terms of personal data processing».
(
27
)	Στο ίδιο αποτέλεσμα καταλήγει η ερμηνεία των παραπομπών, στα άρθρα 13 και 14 του ΓΚΠΔ καθώς και στην αιτιολογική σκέψη του 61, στον χρόνο κατά τον οποίο πρέπει να παρέχονται στα υποκείμενα των δεδομένων οι πληροφορίες σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που κοινοποιούνται στους αποδέκτες. Από τις εν λόγω παραπομπές συνάγεται ότι ο αποδέκτης είναι εξωτερική οντότητα ή πρόσωπο, τρίτο σε σχέση με τον υπεύθυνο επεξεργασίας/τον εκτελούντα την επεξεργασία.
(
28
)	Η Φινλανδική Κυβέρνηση ισχυρίστηκε κατά την επ’ ακροατηρίου συζήτηση ότι εφαρμόζει τη συγκεκριμένη πρακτική σε σχέση με τα δεδομένα για την υγεία.
(
29
)	Οι συνέπειες της αναγνώρισης τέτοιας υποχρέωσης δεν μπορούν να προβλεφθούν ευχερώς όσον αφορά την καθημερινή δραστηριότητα των επιχειρήσεων, ειδικότερα, εκείνων που υποχρεούνται να επεξεργάζονται (προφανώς, μέσω των υπαλλήλων τους) εκατομμύρια δεδομένα προσωπικού χαρακτήρα των πελατών τους.
(
30
)	Οδηγία του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ 2016, L 119, σ. 89).
(
31
)	Κατά την επ’ ακροατηρίου συζήτηση, η Επιτροπή διευκρίνισε ότι η παραπομπή στην οδηγία 2016/680 δεν συνεπάγεται ότι έχει εφαρμογή στην υπό κρίση υπόθεση, η οποία στερείται ποινικού χαρακτήρα.
(
32
)	Διατάξεις οι οποίες επαναλαμβάνονται στο άρθρο 88 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ 2018, L 295, σ. 39), με την προσθήκη, στην παράγραφό του 2, ότι ο καταχωρίσεις αυτές διαγράφονται έπειτα από τρία έτη, εκτός εάν τα δεδομένα είναι αναγκαία για διεξαγόμενο έλεγχο.
(
33
)	Το άρθρο 25, παράγραφος 1, της οδηγίας 2016/680 παραπέμπει ρητώς στο «[πρόσωπο] που αναζήτησε πληροφορίες ή κοινολόγησε δεδομένα προσωπικού χαρακτήρα». Γενικά, και χωρίς να παραπέμπει σε κάθε συγκεκριμένη δραστηριότητα επεξεργασίας, αλλά μόνον στις «κατηγορ[ίες] δραστηριοτήτων επεξεργασίας που διεξάγονται εκ μέρους του υπευθύνου επεξεργασίας», το άρθρο 30, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ μνημονεύει «το όνομα και τα στοιχεία επικοινωνίας του εκτελούντος [την επεξεργασία]», ήτοι κατά το άρθρο 4, σημείο 8, του ΓΚΠΔ, «το […] πρόσωπο […] που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας».
(
34
)	Η ειδική αυτή ρύθμιση μπορεί να συνεπάγεται, για παράδειγμα, όπως επισημαίνεται στην αιτιολογική σκέψη 11 της οδηγίας 2016/680, ότι «[…] για τους σκοπούς της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων τα χρηματοπιστωτικά ιδρύματα διατηρούν ορισμένα δεδομένα προσωπικού χαρακτήρα τα οποία και επεξεργάζονται, και παρέχουν τα δεδομένα αυτά μόνο στις αρμόδιες εθνικές αρχές σε ειδικές περιπτώσεις και σύμφωνα με το δίκαιο του κράτους μέλους».
(
35
)	Βλ. υποσημείωση 12 των παρουσών προτάσεων.
(
36
)	Το αιτούν δικαστήριο δεν υποβάλλει ερωτήματα σχετικά με την ενδεχόμενη προσβολή των δικαιωμάτων του, ως υπαλλήλου της Pankki, την οποία προβάλλει ο J. M.