CELEX: 62021CC0077
Language: el
Date: 2022-03-31
Title: Προτάσεις του γενικού εισαγγελέα Pikamäe της 31ης Μαρτίου 2022.###

Προσωρινό κείμενο
ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
PRIIT PIKAMÄE
της 31ης Μαρτίου 2022 (1)

Υπόθεση C‑77/21

Digi Távközlési és Szolgáltató Kft.

κατά

Nemzeti Adatvédelmi és Információszabadság Hatóság

[αίτηση του Fővárosi Törvényszék(πρωτοδικείου Περιφέρειας Βουδαπέστης-Πρωτευούσης, Ουγγαρία)για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 5, παράγραφος 1, στοιχεία βʹ και εʹ – Αρχή του περιορισμού του σκοπού – Αρχή του περιορισμού της περιόδου αποθήκευσης – Δεδομένα προσωπικού χαρακτήρα των πελατών τα οποία συνελέγησαν και αποθηκεύτηκαν νόμιμα – Δημιουργία άλλης εσωτερικής ειδικής βάσης δεδομένων μετά από τεχνική βλάβη – Εκ των υστέρων έλεγχος των σκοπών της επεξεργασίας – Διπλός σκοπός – Έλλειψη ταυτότητας των σκοπών της επεξεργασίας με εκείνους της συλλογής των δεδομένων – Συμβατότητα της επεξεργασίας με τους σκοπούς συλλογής – Άρθρο 6, παράγραφος 4 – Παράλειψη διαγραφής της βάσης δεδομένων μετά τη διόρθωση της τεχνικής βλάβης – Επίτευξη των σκοπών της επεξεργασίας»

1.        Υπό ποιες προϋποθέσεις μπορεί ένας πάροχος υπηρεσιών πρόσβασης στο διαδίκτυο και στην τηλεόραση να διατηρεί τα δεδομένα προσωπικού χαρακτήρα των πελατών του, τα οποία έχουν συλλεχθεί και ήδη αποθηκευτεί νόμιμα, σε ένα πρόσθετο εσωτερικό υπόθεμα, χωρίς τη ρητή συγκατάθεσή τους, προκειμένου, ωστόσο, να αντιμετωπιστεί τεχνική βλάβη;

2.        Αυτό είναι ένα από τα ερωτήματα που εγείρονται στο πλαίσιο της υπό κρίση υπόθεσης,  που θα παράσχει στο Δικαστήριο τη δυνατότητα να συμπληρώσει την όλο και πιο πλούσια νομολογία του σχετικά με τον κανονισμό (ΕΕ) 2016/679 (2), όσον αφορά ειδικότερα τις αρχές του περιορισμού του σκοπού και της περιόδου αποθήκευσης οι οποίες προβλέπονται στο άρθρο 5, παράγραφος 1, στοιχεία βʹ και εʹ της πράξης αυτής.
I.      Το νομικό πλαίσιο

3.        Στο πλαίσιο της υπό κρίση υπόθεσης, κρίσιμα είναι τα άρθρα 4 έως 6, 13 και 32 του ΓΚΠΔ.
II.    Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα

4.        Η Digi Távközlési és Szolgáltató Kft. (στο εξής: Digi) είναι ένας από τους βασικούς παρόχους υπηρεσιών διαδικτύου και τηλεόρασης στην Ουγγαρία.

5.        Τον Απρίλιο του 2018, μετά από τεχνική βλάβη που επηρέασε τη λειτουργία ενός διακομιστή, η Digi δημιούργησε μια βάση δεδομένων με την ονομασία «test» (δοκιμαστική), στην οποία αντέγραψε τα δεδομένα προσωπικού χαρακτήρα περίπου του ενός τρίτου των ιδιωτών πελατών της.

6.        Στις 23 Σεπτεμβρίου 2019, η Digi έλαβε γνώση του γεγονότος ότι ένας «ηθικός χάκερ» είχε αποκτήσει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα περίπου 322 000 προσώπων. Ο ίδιος ο χάκερ ενημέρωσε την εν λόγω επιχείρηση γραπτώς για την επίθεση, με μήνυμα ηλεκτρονικού ταχυδρομείου της 21ης Σεπτεμβρίου 2019, εξάγοντας, ως αποδεικτικό στοιχείο, μία από τις εγγραφές της δοκιμαστικής βάσης δεδομένων. Η Digi διόρθωσε το σφάλμα, συνήψε συμφωνία εμπιστευτικότητας με το εν λόγω πρόσωπο και του προσέφερε αμοιβή.

7.        Μετά τη διαγραφή της δοκιμαστικής βάσης δεδομένων, η Digi προέβη σε γνωστοποίηση της παραβίασης των δεδομένων προσωπικού χαρακτήρα στη Nemzeti Adatvédelmi és Információszabadság Hatóság (εθνική αρχή προστασίας δεδομένων και ελευθερίας της πληροφόρησης, Ουγγαρία)  (στο εξής: Αρχή), στις 25 Σεπτεμβρίου 2019, κατόπιν της οποίας η τελευταία κίνησε διαδικασία ελέγχου.

8.        Με απόφαση της 18ης Μαΐου 2020, η Αρχή κατέληξε στο συμπέρασμα, μεταξύ άλλων, ότι αφενός η Digi είχε παραβεί το άρθρο 5, παράγραφος 1, στοιχεία βʹ και εʹ, του ΓΚΠΔ, καθόσον, μετά τη διενέργεια των αναγκαίων δοκιμών και τη διόρθωση των προβλημάτων, δεν διέγραψε τη δοκιμαστική βάση δεδομένων, με αποτέλεσμα μεγάλος αριθμός δεδομένων προσωπικού χαρακτήρα να έχει αποθηκευτεί στην εν λόγω βάση επί 18 περίπου μήνες, χωρίς να εξυπηρετείται κανένας σκοπός, σε ένα αρχείο που καθιστούσε δυνατή την ταυτοποίηση των υποκειμένων των δεδομένων, η δε παράλειψη διαγραφής της βάσης αυτής είχε παράσχει τη δυνατότητα παραβίασης δεδομένων προσωπικού χαρακτήρα. Αφετέρου, η Αρχή έκρινε ότι η Digi είχε παραβεί το άρθρο 32, παράγραφοι 1 και 2 του ΓΚΠΔ. Υπό τις συνθήκες αυτές, η Αρχή επέβαλε στη Digi πρόστιμο 100 000 000 ουγγρικών φιορινίων (HUF) (περίπου 270 000 ευρώ).

9.        Η Digi αμφισβήτησε τη νομιμότητα της αποφάσεως αυτής ενώπιον του αιτούντος δικαστηρίου.

10.      Το αιτούν δικαστήριο επισημαίνει ότι τα δεδομένα προσωπικού χαρακτήρα που αντέγραψε η Digi στη δοκιμαστική βάση δεδομένων είχαν συλλεχθεί με σκοπό τη σύναψη συμβάσεων συνδρομής και ότι η Αρχή δεν αμφισβήτησε τη νομιμότητα της συλλογής των δεδομένων. Ωστόσο, ζητεί να διευκρινιστεί αν ο σκοπός της συλλογής και της επεξεργασίας των δεδομένων τροποποιήθηκε λόγω της αντιγραφής των δεδομένων, που συνελέγησαν για συγκεκριμένο σκοπό, σε άλλη βάση δεδομένων. Προσθέτει ότι πρέπει επίσης να προσδιοριστεί κατά πόσον η δημιουργία μιας δοκιμαστικής βάσης δεδομένων και η περαιτέρω επεξεργασία των δεδομένων των πελατών κατ’ αυτόν τον τρόπο είναι συμβατές με τον σκοπό της συλλογής των δεδομένων αυτών. Συναφώς, η αρχή του περιορισμού του σκοπού δεν παρέχει σαφείς ενδείξεις σχετικά με το ποια είναι τα εσωτερικά συστήματα στο πλαίσιο των οποίων ο υπεύθυνος επεξεργασίας έχει το δικαίωμα να υποβάλει σε επεξεργασία τα δεδομένα που συλλέγονται νόμιμα ή με το εάν μπορεί να αντιγράψει τα δεδομένα αυτά σε δοκιμαστική βάση δεδομένων χωρίς να μεταβληθεί ο σκοπός της συλλογής των δεδομένων.

11.      Σε περίπτωση που η δημιουργία της δοκιμαστικής βάσης δεδομένων δεν συνάδει με τον σκοπό της συλλογής, το αιτούν δικαστήριο διερωτάται επίσης εάν, δεδομένου ότι ο σκοπός της επεξεργασίας των δεδομένων των πελατών στην άλλη βάση δεδομένων δεν είναι η διόρθωση σφαλμάτων, αλλά η σύναψη συμβάσεων, η αναγκαία περίοδος αποθήκευσης πρέπει να καθοριστεί βάσει της περιόδου που απαιτείται για τη διόρθωση σφαλμάτων ή βάσει της περιόδου που απαιτείται για την εκπλήρωση συμβατικών υποχρεώσεων.

12.      Υπό τις συνθήκες αυτές, το Fővárosi Törvényszék (πρωτοδικείο Περιφέρειας Βουδαπέστης-Πρωτευούσης, Ουγγαρία) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1)      Πρέπει ο “περιορισμός του σκοπού”, ο οποίος ορίζεται στο άρθρο 5, παράγραφος 1, στοιχείο βʹ, του [ΓΚΠΔ] […], να ερμηνευθεί υπό την έννοια ότι συμβιβάζεται με αυτόν το γεγονός ότι ο υπεύθυνος επεξεργασίας αποθηκεύει παράλληλα σε άλλη βάση δεδομένων προσωπικά δεδομένα που, κατά τα λοιπά, συνελέγησαν και αποθηκεύτηκαν για περιορισμένο νόμιμο σκοπό ή, αντιθέτως, υπό την έννοια ότι, όσον αφορά την παράλληλη βάση δεδομένων, δεν ισχύει πλέον ο περιορισμένος νόμιμος σκοπός της συλλογής των δεδομένων;
2)      Σε περίπτωση που στο πρώτο προδικαστικό ερώτημα δοθεί απάντηση υπό την έννοια ότι η παράλληλη αποθήκευση δεδομένων είναι αφεαυτής ασυμβίβαστη με την αρχή του “περιορισμού του σκοπού”, συμβιβάζεται με την αρχή του “περιορισμού της περιόδου αποθήκευσης”, που προβλέπεται στο άρθρο 5, παράγραφος 1, στοιχείο εʹ, του [ΓΚΠΔ], το γεγονός ότι ο υπεύθυνος επεξεργασίας αποθηκεύει παράλληλα σε άλλη βάση δεδομένων προσωπικά δεδομένα που, κατά τα λοιπά, συνελέγησαν και αποθηκεύτηκαν για περιορισμένο νόμιμο σκοπό;»
III. Η ενώπιον του Δικαστηρίου διαδικασία

13.      Η προσφεύγουσα και η καθής της κύριας δίκης, η Ουγγρική, η Τσεχική και η Πορτογαλική Κυβέρνηση, καθώς και η Ευρωπαϊκή Επιτροπή κατέθεσαν γραπτές παρατηρήσεις. Κατά την επ’ ακροατηρίου συζήτηση της 17ης Ιανουαρίου 2022, η προσφεύγουσα και η καθής της κύριας δίκης καθώς και η Ουγγρική Κυβέρνηση και η Επιτροπή ανέπτυξαν επίσης προφορικά τις παρατηρήσεις τους.
IV.    Ανάλυση

Α.      Επί του παραδεκτού 

14.      Η Αρχή, καθώς και η Ουγγρική Κυβέρνηση, εξέφρασαν αμφιβολίες ως προς το παραδεκτό της αιτήσεως προδικαστικής αποφάσεως, για τον λόγο ότι τα υποβληθέντα ερωτήματα δεν αντανακλούν τα πραγματικά περιστατικά της υπόθεσης της κύριας δίκης και δεν επηρεάζουν άμεσα την επίλυσή της.

15.      Κατά πάγια νομολογία του Δικαστηρίου, ο εθνικός δικαστής, ο οποίος έχει επιληφθεί της διαφοράς και φέρει την ευθύνη για τη δικαστική απόφαση που πρόκειται να εκδοθεί, είναι αποκλειστικώς αρμόδιος να εκτιμήσει, με γνώμονα τις ιδιαιτερότητες της υπόθεσης, τόσο αν η προδικαστική απόφαση είναι αναγκαία για την έκδοση της δικής του αποφάσεως όσο και αν τα ερωτήματα που υποβάλλει στο Δικαστήριο είναι λυσιτελή. Συνεπώς, εφόσον τα υποβληθέντα ερωτήματα αφορούν την ερμηνεία ή το κύρος κανόνα του δικαίου της Ένωσης, το Δικαστήριο υποχρεούται, κατ’ αρχήν, να απαντήσει. Επομένως, τα ερωτήματα που υποβάλλουν τα εθνικά δικαστήρια απολαύουν τεκμηρίου λυσιτέλειας. Το Δικαστήριο μπορεί να αρνηθεί να αποφανθεί επί προδικαστικού ερωτήματος εθνικού δικαστηρίου μόνον όταν προκύπτει ότι η ερμηνεία την οποία ζητεί το εθνικό δικαστήριο δεν έχει καμία σχέση με το υποστατό ή με το αντικείμενο της διαφοράς της κύριας δίκης, αν το πρόβλημα είναι υποθετικής φύσης ή ακόμη αν το Δικαστήριο δεν διαθέτει τα πραγματικά και νομικά στοιχεία που είναι αναγκαία προκειμένου να δώσει χρήσιμη απάντηση στα εν λόγω ερωτήματα. Εν προκειμένω, η αίτηση προδικαστικής αποφάσεως περιέχει επαρκή πραγματικά και νομικά στοιχεία ώστε να γίνει κατανοητό το νόημα των προδικαστικών ερωτημάτων. Επιπλέον και κυρίως, από κανένα στοιχείο της δικογραφίας που έχει στη διάθεσή του το Δικαστήριο δεν μπορεί να συναχθεί ότι η ζητούμενη ερμηνεία του δικαίου της Ένωσης ουδεμία σχέση έχει με το υποστατό ή με το αντικείμενο της διαφοράς της κύριας δίκης ή ότι είναι υποθετικής φύσης (3).

16.      Συναφώς, επισημαίνεται ότι το αιτούν δικαστήριο έχει επιληφθεί προσφυγής ακυρώσεως κατά αποφάσεως με την οποία επιβλήθηκε κύρωση στη Digi, υπό την ιδιότητά της ως υπευθύνου επεξεργασίας, λόγω φερόμενης παραβίασης των αρχών του περιορισμού του σκοπού και της περιόδου αποθήκευσης που προβλέπονται στο άρθρο 5, παράγραφος 1, στοιχεία βʹ και εʹ, του ΓΚΠΔ, η οποία αφορά το αίτημα ερμηνείας του εν λόγω δικαστηρίου. Επομένως, η αίτηση προδικαστικής αποφάσεως πρέπει να κριθεί παραδεκτή.
Β.       Επί του νομικού πλαισίου της ανάλυσης

17.      Επιβάλλεται η διαπίστωση ότι η αίτηση προδικαστικής αποφάσεως αφορά αποκλειστικά την ερμηνεία του άρθρου 5 του ΓΚΠΔ στο πλαίσιο διαφοράς κύριας δίκης σχετικά με τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που πραγματοποίησε η Digi, ένας από τους κύριους παρόχους υπηρεσιών διαδικτύου και τηλεόρασης στην Ουγγαρία, η οποία, ως εκ τούτου, συνιστά φορέα παροχής πρόσβασης σε υπηρεσίες ηλεκτρονικής επικοινωνίας προς το κοινό.

18.      Επισημαίνεται ότι το άρθρο 1, παράγραφος 1, της οδηγίας 2002/58 (4) ορίζει ότι η οδηγία αυτή προβλέπει την εναρμόνιση των εθνικών διατάξεων οι οποίες απαιτούνται προκειμένου να διασφαλίζεται ισοδύναμο επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών, και ιδίως του δικαιώματος στην ιδιωτική ζωή και την εμπιστευτικότητα, όσον αφορά την επεξεργασία προσωπικών δεδομένων στον τομέα των ηλεκτρονικών επικοινωνιών. Επιπλέον, το άρθρο 3 της οδηγίας 2002/58 προβλέπει ότι αυτή εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της παροχής διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών σε δημόσια δίκτυα επικοινωνιών στην Ένωση, περιλαμβανομένων των δημοσίων δικτύων επικοινωνιών που υποστηρίζουν συσκευές συλλογής δεδομένων και ταυτοποίησης. Συνεπώς, η εν λόγω οδηγία πρέπει να θεωρηθεί ότι ρυθμίζει τις δραστηριότητες των παρόχων τέτοιων υπηρεσιών (5).

19.      Σύμφωνα με το άρθρο 1, παράγραφος 2, της οδηγίας 2002/58, αυτή εξειδικεύει και συμπληρώνει την οδηγία 95/46/ΕΚ (6) για τους σκοπούς που αναφέρονται στην παράγραφο 1 του ίδιου άρθρου, σημειώνεται δε ότι, κατά το άρθρο 94, παράγραφος 2, του ΓΚΠΔ, οι παραπομπές της οδηγίας 2002/58 στην οδηγία 95/46 θεωρούνται παραπομπές στον εν λόγω κανονισμό (7). Κατά την αιτιολογική σκέψη 10 της οδηγίας 2002/58, στον τομέα των ηλεκτρονικών επικοινωνιών, η οδηγία 95/46 εφαρμόζεται ιδίως σε όλα τα ζητήματα που αφορούν την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών που δεν καλύπτονται ρητά από τις διατάξεις της οδηγίας 2002/58, συμπεριλαμβανομένων των υποχρεώσεων του υπευθύνου επεξεργασίας και των ατομικών δικαιωμάτων (8).

20.      Από την αίτηση προδικαστικής αποφάσεως προκύπτει ότι η διαφορά της κύριας δίκης δεν αφορά τη χρήση των υπηρεσιών ηλεκτρονικών επικοινωνιών από τους συνδρομητές της Digi και, ως εκ τούτου, την προστασία των επικοινωνιών που πραγματοποιούνται κατ’ αυτόν τον τρόπο και των συναφών δεδομένων κίνησης η οποία διέπεται από την οδηγία 2002/58, αλλά εντάσσεται στο πλαίσιο της εσωτερικής λειτουργίας της εν λόγω επιχείρησης. Δεν αμφισβητείται ότι η Digi δημιούργησε, το 2018, μετά από τεχνική βλάβη του διακομιστή που είχε ως αποτέλεσμα την αδυναμία πρόσβασης στην αρχική βάση δεδομένων των συνδρομητών της, ένα αρχείο με την ονομασία «test» στο οποίο αντέγραψε τα δεδομένα προσωπικού χαρακτήρα ορισμένων πελατών της (9). Από τη στιγμή που η Digi διόρθωσε αυτή τη δυσλειτουργία, η αποθήκευση των δεδομένων στην πρόσθετη βάση δεδομένων συνεχίστηκε μέχρι τον Σεπτέμβριο του 2019, οπότε έλαβε χώρα παραβίαση ασφαλείας που επηρέασε τη βάση αυτή. Η δραστηριότητα που ανέπτυξε κατ’ αυτόν τον τρόπο η Digi έχει τον χαρακτήρα «επεξεργασίας δεδομένων προσωπικού χαρακτήρα», για την οποία η επιχείρηση αυτή είναι «υπεύθυνος [επεξεργασίας]», κατά την έννοια των ορισμών του άρθρου 4, παράγραφοι 2 και 7, του ΓΚΠΔ. Επιπλέον, υπό την ιδιότητά της αυτή, επιβλήθηκαν στη Digi κυρώσεις από την Αρχή διότι, στο πλαίσιο αυτό, παρέβη τις υποχρεώσεις που υπέχει, μεταξύ άλλων, από το άρθρο 5, παράγραφος 1, στοιχεία βʹ και εʹ, του ΓΚΠΔ.

21.      Συναφώς, πρέπει να υπομνησθεί ότι, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, υπό την επιφύλαξη των παρεκκλίσεων που επιτρέπονται από το άρθρο 23 του ΓΚΠΔ, να σέβεται τις αρχές οι οποίες διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα καθώς και τα δικαιώματα του υποκειμένου των δεδομένων που περιλαμβάνονται, αντίστοιχα, στα κεφάλαια II και III του κανονισμού αυτού. Ειδικότερα, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, αφενός, να είναι σύμφωνη με τις αρχές του άρθρου 5 του εν λόγω κανονισμού και, αφετέρου, να πληροί τις προϋποθέσεις νομιμότητας που απαριθμούνται στο άρθρο 6 του ίδιου κανονισμού (10).

22.      Κατά το άρθρο 5 του ΓΚΠΔ, εναπόκειται στον υπεύθυνο επεξεργασίας να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε «σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο» (στοιχείο αʹ), ότι «συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς» (στοιχείο βʹ), ότι είναι «κατάλληλα, συναφή και [όχι υπερβολικά] για τους σκοπούς για τους οποίους [συλλέγονται και υφίστανται επεξεργασία]» (στοιχείο γʹ), ότι είναι «ακριβή και, όταν είναι αναγκαίο, [ενημερώνονται]» (στοιχείο δʹ) και, τέλος, ότι «διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για [την επίτευξη] τ[ων] σκοπ[ών] [για τους οποίους έχουν συλλεγεί ή για τους οποίους αργότερα υφίστανται επεξεργασία]» (στοιχείο εʹ), ενώ η επεξεργασία των δεδομένων για ιστορικούς, στατιστικούς ή επιστημονικούς σκοπούς διέπεται από ειδικές διατάξεις. Στην αλληλουχία αυτή, ο υπεύθυνος της επεξεργασίας πρέπει να λαμβάνει όλα τα εύλογα μέτρα ώστε τα δεδομένα που δεν ανταποκρίνονται στις απαιτήσεις της διάταξης αυτής να διαγράφονται ή να διορθώνονται (11).
Γ.      Επί του περιεχομένου της αιτήσεως προδικαστικής αποφάσεως

23.      Το αιτούν δικαστήριο ζητεί από το Δικαστήριο διευκρινίσεις σχετικά με την ερμηνεία των αρχών του περιορισμού του σκοπού και του περιορισμού της περιόδου αποθήκευσης που κατοχυρώνονται, αντίστοιχα, στο άρθρο 5, παράγραφος 1, στοιχεία βʹ και εʹ, του ΓΚΠΔ, γεγονός που οδήγησε στην υποβολή δύο διαφορετικών προδικαστικών ερωτημάτων σχετικά με τις διατάξεις αυτές. Το δεύτερο, ωστόσο,  προδικαστικό ερώτημα, το οποίο αφορά την αρχή του περιορισμού της περιόδου αποθήκευσης των δεδομένων, διατυπώνεται μόνον υπό τον όρο ότι η επίμαχη επεξεργασία δεν συνάδει με την αρχή του περιορισμού του σκοπού.

24.      Πρέπει να υπογραμμισθεί ότι οι απαιτήσεις σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα που προβλέπονται στο άρθρο 5 του ΓΚΠΔ είναι προφανώς σωρευτικές και αυτοτελείς μεταξύ τους (12). Το ζήτημα της τήρησης της αρχής του περιορισμού της περιόδου αποθήκευσης είναι νομικά ανεξάρτητο από το ζήτημα που αφορά την αρχή του περιορισμού του σκοπού. Στην απόφαση που αποτελεί το αντικείμενο της κύριας δίκης, η Αρχή θεωρεί ότι η αποθήκευση των δεδομένων σε εσωτερικό πρόσθετο υπόθεμα αποτελεί την αιτία της παραβίασης των δύο διακριτών αρχών που προαναφέρθηκαν.

25.      Μολονότι το αιτούν δικαστήριο περιόρισε ρητώς το δεύτερο προδικαστικό ερώτημα, υποβάλλοντάς το υπό προϋποθέσεις, το γεγονός αυτό δεν εμποδίζει το Δικαστήριο να του παράσχει όλα τα ερμηνευτικά στοιχεία που μπορούν να είναι χρήσιμα για την εκδίκαση της υπόθεσης της κύριας δίκης, συνάγοντας από το σύνολο των στοιχείων που του παρέσχε το αιτούν δικαστήριο, και ιδίως από το σκεπτικό της αποφάσεως περί παραπομπής, τα στοιχεία του δικαίου της Ένωσης που χρήζουν ερμηνείας, λαμβανομένου υπόψη του αντικειμένου της διαφοράς (13).
Δ.      Επί της νομιμότητας της επεξεργασίας υπό το πρίσμα των αρχών του περιορισμού του σκοπού και της περιόδου αποθήκευσης

1.      Προκαταρκτικές παρατηρήσεις

26.      Κατ’ αρχάς, φρονώ ότι είναι αναγκαίο να αναλύσω υπό δύο οπτικές γωνίες το αντίστοιχο περιεχόμενο των αρχών που ορίζονται στο άρθρο 5, παράγραφος 1, στοιχεία βʹ και εʹ, του ΓΚΠΔ, τούτο δε σε σχέση με την έννοια της αποθήκευσης που χρησιμοποιείται στην απόφαση περί παραπομπής και στα υπομνήματα των μετεχόντων στη διαδικασία για την περιγραφή της επίμαχης πράξης επεξεργασίας. Η πρώτη αφορά την ίδια την πράξη της διατήρησης ή της  αποθήκευσης των δεδομένων, εν προκειμένω την αποθήκευση σε μια εσωτερική πρόσθετη βάση δεδομένων ενός αντιγράφου των δεδομένων ορισμένων συνδρομητών της Digi. Η δεύτερη αφορά την αποθήκευση υπό την έννοια της διαχρονικής διατήρησης αυτής της βάσης δεδομένων. Στην περίπτωση αυτή το ζήτημα που τίθεται είναι η διάρκεια της αποθήκευσης των δεδομένων. Συναφώς, το προαναφερθέν χρονικό ζήτημα δεν εμπίπτει, κατά τη γνώμη μου, στην αρχή του περιορισμού του σκοπού, αλλά αποκλειστικά στην αρχή του περιορισμού της περιόδου αποθήκευσης.

27.      Η αρχή του περιορισμού του σκοπού, η οποία προβλέπεται στο άρθρο 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, απαρτίζεται από δύο συνιστώσες: αφενός, τα δεδομένα προσωπικού χαρακτήρα πρέπει να συλλέγονται για «καθορισμένους, ρητούς και νόμιμους» σκοπούς και, αφετέρου, να μην «υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο» προς τους σκοπούς αυτούς. Σκοπός της αρχής αυτής είναι να οριοθετήσει όσο το δυνατόν σαφέστερα τη χρήση των δεδομένων προσωπικού χαρακτήρα, διασφαλίζοντας την ισορροπία μεταξύ του σεβασμού των θεμελιωδών δικαιωμάτων των υποκειμένων των δεδομένων όσον αφορά την ιδιωτική ζωή και την προστασία των δεδομένων και της αναγνώρισης μιας ορισμένης ευελιξίας υπέρ του υπευθύνου επεξεργασίας κατά τη διαχείριση των δεδομένων αυτών, όπως απαιτεί η ψηφιακή ζωή και οι αστάθμητοι παράγοντές της.

28.      Στο πλαίσιο της δεύτερης συνιστώσας της, η οποία μας ενδιαφέρει ειδικότερα εν προκειμένω, η εν λόγω αρχή αποσκοπεί στον καθορισμό των ορίων εντός των οποίων μπορούν να επαναχρησιμοποιηθούν τα δεδομένα προσωπικού χαρακτήρα που συλλέγονται για έναν συγκεκριμένο σκοπό. Σύμφωνα με το άρθρο 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, κάθε επεξεργασία μετά τη συλλογή πρέπει να θεωρείται ως «περαιτέρω επεξεργασία» και, επομένως, πρέπει, πλην εξαιρέσεων, να πληροί την απαίτηση συμβατότητας (14). Η τελευταία εκφράζει την ανάγκη για συγκεκριμένη, λογική και αρκούντως στενή σχέση μεταξύ του σκοπού της συλλογής των δεδομένων και της περαιτέρω επεξεργασίας τους. Με άλλα λόγια, η επεξεργασία αυτή δεν πρέπει να αποσυνδέεται από τον αρχικό σκοπό της συλλογής των δεδομένων ή να έρχεται σε αντίθεση με αυτόν, και το περιεχόμενό της πρέπει να είναι συμβατό με τον λόγο ύπαρξης της συλλογής, ανεξάρτητα από οποιοδήποτε χρονικό ζήτημα.

29.      Η αρχή του περιορισμού του σκοπού δεν αποτελεί, κατά κυριολεξία, έκφραση της αρχής της αναλογικότητας, σε αντίθεση με την αρχή του περιορισμού της περιόδου αποθήκευσης που προβλέπεται στο άρθρο 5, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ. Όπως έχει διευκρινίσει το Δικαστήριο, από τις απαιτήσεις του εν λόγω άρθρου προκύπτει ότι ακόμη και η αρχικά νόμιμη επεξεργασία δεδομένων μπορεί, με την πάροδο του χρόνου, να καταστεί αντίθετη με τον εν λόγω κανονισμό, εφόσον τα δεδομένα αυτά δεν είναι πλέον απαραίτητα σε σχέση με τους σκοπούς για τους οποίους συλλέχθηκαν ή υποβλήθηκαν σε επεξεργασία. Τούτο συμβαίνει ιδίως όταν τα δεδομένα είναι ακατάλληλα, δεν είναι ή έχουν πάψει να είναι συναφή με το οικείο ζήτημα ή είναι υπερβολικά σε σχέση με τους ως άνω σκοπούς ή με τον χρόνο που έχει παρέλθει (15).

30.      Επομένως, το ζήτημα της εκτίμησης της αναλογικότητας της επεξεργασίας σε σχέση με τον σκοπό της, υπό το πρίσμα της παρόδου του χρόνου, τίθεται στο πλαίσιο της αρχής του περιορισμού της περιόδου αποθήκευσης. Η διατήρηση των δεδομένων για περίοδο που υπερβαίνει το αναγκαίο, ήτοι βαίνει πέραν της περιόδου που απαιτείται για την επίτευξη των σκοπών για τους οποίους έχουν αποθηκευθεί τα δεδομένα αυτά, θα παραβίαζε την εν λόγω αρχή (16). Μετά την επίτευξη των σκοπών της επεξεργασίας αυτής τα δεδομένα πρέπει να διαγράφονται (17). Επομένως, η αρχή του περιορισμού της περιόδου αποθήκευσης δίνει απάντηση στο ερώτημα πότε η αποθήκευση των δεδομένων σε ένα εσωτερικό πρόσθετο υπόθεμα της Digi δεν δικαιολογείτο πλέον.

31.      Υπό το πρίσμα ακριβώς των ανωτέρω εκτιμήσεων, θα εξετάσω τη νομιμότητα της επίμαχης επεξεργασίας σε σχέση με τις δύο προαναφερθείσες αρχές.
2.      Επί της αρχής του περιορισμού του σκοπού

32.      Ο έλεγχος της τήρησης της αρχής αυτής, όσον αφορά τη δεύτερη συνιστώσα της, προϋποθέτει τον προηγούμενο καθορισμό του σκοπού ή των σκοπών της συλλογής των επίμαχων δεδομένων.  Από την ενώπιον του Δικαστηρίου υποβληθείσα δικογραφία προκύπτει ότι τα δεδομένα αυτά συνελέγησαν από τη Digi με σκοπό τη σύναψη και εκτέλεση συμβάσεων συνδρομών τις οποίες προσέφερε υπό την ιδιότητά της ως παρόχου υπηρεσιών πρόσβασης στο διαδίκτυο και στην τηλεόραση και ότι η νομιμότητα της πρώτης αυτής επεξεργασίας δεν αποτελεί αντικείμενο διαφωνίας μεταξύ των διαδίκων της κύριας δίκης. Το ίδιο ισχύει και για την αναπόφευκτη επακόλουθη επεξεργασία που συνίσταται στην αποθήκευση των εν λόγω δεδομένων σε ειδικό υπόθεμα, το οποίο θα αναφέρεται ως αρχική βάση δεδομένων (18). Στο πλαίσιο αυτό, το αιτούν δικαστήριο ζητεί, μεταξύ άλλων, να διευκρινιστεί αν ο καθορισμένος, ρητός και νόμιμος σκοπός της συλλογής των δεδομένων «τροποποιήθηκε» λόγω του γεγονότος ότι τα δεδομένα αυτά αντιγράφηκαν σε βάση δεδομένων πέραν της αρχικής αποθήκευσης που δεν αμφισβητείται από τους διαδίκους.

33.      Κατά τη νομολογία του Δικαστηρίου, οι κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται στον ΓΚΠΔ πρέπει να τηρούνται έναντι κάθε επεξεργασίας των τελευταίων, όπως αυτή προσδιορίζεται στο άρθρο 2 του κανονισμού αυτού (19). Το προαναφερθέν ερώτημα φρονώ ότι εκφράζει μια παρανόηση της απαίτησης εξατομικευμένης εκτίμησης όλων των πράξεων επεξεργασίας δεδομένων μετά τη συλλογή τους, όπως αυτή προκύπτει, εν προκειμένω, από το άρθρο 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ.

34.      Με άλλα λόγια, κάθε περίπτωση περαιτέρω χρήσης των δεδομένων αυτών πρέπει να εξετάζεται ούτως ώστε να εξακριβώνεται ο συγκεκριμένος σκοπός της και, κατά περίπτωση, η συμβατότητά του με τον σκοπό της συλλογής. Η νομιμότητα της τελευταίας καθώς και της αρχικής αποθήκευσης των δεδομένων δεν μπορεί, μέσω ενός είδους αλυσιδωτού αποτελέσματος, να επηρεάσει αυτόματα την τήρηση της αρχής του περιορισμού του σκοπού από μια άλλη δραστηριότητα περαιτέρω επεξεργασίας, ανεξάρτητα από το γεγονός ότι η τελευταία αφορά τα ίδια δεδομένα. Όπως ισχυρίζεται η Ουγγρική Κυβέρνηση, δεν μπορεί να θεωρηθεί ότι ο υπεύθυνος επεξεργασίας έχει τη δυνατότητα να αποθηκεύει τα δεδομένα προσωπικού χαρακτήρα σε πλείονα αρχεία και χωρίς περιορισμούς επειδή τα δεδομένα αυτά, κατ’ αρχάς, συλλέχθηκαν και υποβλήθηκαν σε επεξεργασία νομίμως.

35.      Επομένως, πρέπει να εξεταστεί το ζήτημα της συμβατότητας μεταξύ των σκοπών της συλλογής των δεδομένων και της περαιτέρω επεξεργασίας των δεδομένων αυτών, την οποία απαιτεί το άρθρο 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ. Ωστόσο, το ζήτημα αυτό τίθεται λογικά μόνο στην περίπτωση που η επεξεργασία αυτή πραγματοποιείται για σκοπούς άλλους από εκείνους που είχαν αρχικά καθοριστεί.

36.      Συναφώς, κατά την αιτιολογική σκέψη 50 του εν λόγω κανονισμού, η επεξεργασία δεδομένων προσωπικού χαρακτήρα «για σκοπούς άλλους» από εκείνους για τους οποίους συλλέχθηκαν αρχικά θα πρέπει να επιτρέπεται μόνο εφόσον είναι συμβατή με τους σκοπούς της συλλογής αυτής. Το προαναφερθέν συμπέρασμα ενισχύεται επίσης από το γράμμα του άρθρου 6, παράγραφος 4, του εν λόγω κανονισμού. Η διάταξη αυτή περιλαμβάνει έναν μη εξαντλητικό κατάλογο κριτηρίων τα οποία παρέχουν τη δυνατότητα, σε δεδομένη περίπτωση, να εκτιμάται κατά πόσον η επεξεργασία «για άλλο σκοπό» είναι συμβατή με τον σκοπό για τον οποίο έχουν συλλεγεί αρχικά τα δεδομένα προσωπικού χαρακτήρα. Επομένως, η διαπίστωση της ταυτότητας σκοπού μεταξύ της συλλογής των δεδομένων και της περαιτέρω επεξεργασίας τους, όπως προβάλλεται από τη Digi, θα καθιστούσε άνευ αντικειμένου το ζήτημα της αξιολόγησης της συμβατότητας και θα παρείχε τη δυνατότητα να συναχθεί το συμπέρασμα ότι η επεξεργασία αυτή είναι νόμιμη υπό το πρίσμα της αρχής του περιορισμού του σκοπού (20).
α)      Επί του σκοπού της επεξεργασίας

37.      Από την ενώπιον του Δικαστηρίου υποβληθείσα δικογραφία, και ειδικότερα από τις δηλώσεις της Digi, προκύπτει ότι μετά από τεχνική βλάβη του διακομιστή που είχε ως αποτέλεσμα να μην είναι προσβάσιμη η αρχική βάση δεδομένων, η εν λόγω επιχείρηση προέβη στην αποθήκευση αντιγράφου των δεδομένων ορισμένων συνδρομητών σε εσωτερική πρόσθετη βάση δεδομένων, με την ονομασία βάση «test»  (δοκιμαστική), για να αποκαταστήσει το τεχνικό συμβάν και να διασφαλίσει την πρόσβαση στα δεδομένα σύμφωνα με την υποχρέωση που επιβάλλει στον υπεύθυνο επεξεργασίας  το άρθρο 5, παράγραφος 1, στοιχείο στʹ και περιγράφεται λεπτομερώς στο άρθρο 32 του ΓΚΠΔ (21). Η Digi ισχυρίζεται ότι η εν λόγω πράξη επεξεργασίας συνέβαλε επίσης κατ’ αυτόν τον τρόπο στην επίτευξη του σκοπού της συλλογής των δεδομένων, ήτοι στην παροχή της προβλεπόμενης στη σύμβαση υπηρεσίας. Υπό τις συνθήκες αυτές, η επίμαχη αποθήκευση δεν συνδέεται με διαφορετικό σκοπό, γεγονός που αποκλείει το ενδεχόμενο παράβασης του άρθρου 5, παράγραφος 1, στοιχείο βʹ, του κανονισμού αυτού.

38.      Μολονότι εναπόκειται προφανώς στο αιτούν δικαστήριο να επαληθεύσει τη νομιμότητα της προαναφερθείσας πράξης επεξεργασίας, υπό το πρίσμα, μεταξύ άλλων, των απαιτήσεων  του άρθρου 5 του ΓΚΠΔ και του συνόλου των περιστάσεων που χαρακτηρίζουν την υπό κρίση υπόθεση, μπορούν να του παρασχεθούν πλείονα στοιχεία για τον σκοπό αυτό.

39.      Πρώτον, επισημαίνω ότι η Digi αναφέρει, κατ’ ουσίαν, ότι υπήρχε διπλός σκοπός για την επίμαχη επεξεργασία, υπό την έννοια ότι ο πρωταρχικός και ειδικός σκοπός της διόρθωσης της βλάβης του διακομιστή και της διασφάλισης της διαθεσιμότητας των δεδομένων των συνδρομητών εντασσόταν στο πλαίσιο ενός δευτερεύοντος γενικού σκοπού που συνίστατο στην εκτέλεση των συμβάσεων συνδρομής, ο οποίος συμπίπτει με εκείνον της αρχικής συλλογής των δεδομένων.

40.      Στην πράξη είναι πολύ πιθανό τα δεδομένα προσωπικού χαρακτήρα να συλλέγονται ή να υποβάλλονται σε περαιτέρω επεξεργασία για πλείονες σκοπούς, πράγμα που προβλέπεται και αναγνωρίζεται σαφώς από τον ΓΚΠΔ, όπως προκύπτει από τη διατύπωση του άρθρου 5, παράγραφος 1, στοιχείο βʹ και του άρθρου 6, παράγραφος 1, στοιχείο αʹ, καθώς και από τις αιτιολογικές σκέψεις 32 και 50 του εν λόγω κανονισμού. Η προσέγγιση αυτή ανταποκρίνεται στην ανάγκη για ρεαλισμό και ευελιξία που απαιτεί η πολύπλοκη και ελάχιστα γραμμική επεξεργασία των δεδομένων προσωπικού χαρακτήρα στην ψηφιακή εποχή. Εντούτοις, πρέπει να λαμβάνει υπόψη την απαίτηση ακρίβειας του σκοπού, η οποία αποτελεί βασικό στοιχείο της εφαρμογής του ευρωπαϊκού καθεστώτος προστασίας των δεδομένων προσωπικού χαρακτήρα.

41.      Επομένως, ο αρκούντως ακριβής σκοπός συνιστά θεμελιώδη εγγύηση από την άποψη της προβλεψιμότητας και της ασφάλειας δικαίου, υπό την έννοια ότι συμβάλλει στην ορθή κατανόηση από το υποκείμενο των δεδομένων της πιθανής χρήσης των δεδομένων του και του παρέχει τη δυνατότητα να αποφασίζει έχοντας πλήρη επίγνωση. Η προβλεψιμότητα αυτή είναι ουσιώδης για την εκτίμηση της συμβατότητας μεταξύ του σκοπού της συλλογής των δεδομένων και της περαιτέρω επεξεργασίας τους, μειώνοντας έτσι τον κίνδυνο στρέβλωσης μεταξύ των εύλογων προσδοκιών των υποκειμένων των δεδομένων όσον αφορά την πιθανή χρήση των δεδομένων τους στο μέλλον και των πράξεων στις οποίες προβαίνει ο υπεύθυνος επεξεργασίας. Η εξειδίκευση του σκοπού είναι επίσης απαραίτητη για την εφαρμογή άλλων απαιτήσεων σχετικά με την ποιότητα των δεδομένων, μεταξύ ων οποίων περιλαμβάνονται η καταλληλότητα, η συνάφεια, η αναλογικότητα και η ακρίβεια των δεδομένων που συλλέγονται, καθώς και οι απαιτήσεις σχετικά με τη διάρκεια της περιόδου αποθήκευσής τους σύμφωνα με το άρθρο 5, παράγραφος 1, στοιχεία γʹ, δʹ και εʹ του ΓΚΠΔ.

42.      Επομένως, αυτή η απαίτηση ακρίβειας ισχύει, όπως υπογραμμίζεται στη γνώμη 3/2013 της ομάδας εργασίας του άρθρου 29 (22), για κάθε πράξη επεξεργασίας και όχι μόνο στο στάδιο της αρχικής συλλογής των δεδομένων. Είναι ενδιαφέρον να σημειωθεί ότι, σε περίπτωση επεξεργασίας δεδομένων με βάση τη συγκατάθεση του υποκειμένου των δεδομένων, η επεξεργασία αυτή είναι σύννομη, σύμφωνα με τους όρους του άρθρου 6, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, μόνον εάν το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία αυτή για έναν ή περισσότερους «συγκεκριμένους» σκοπούς.

43.      Υπό τις συνθήκες αυτές, μολονότι μια πράξη επεξεργασίας είναι δυνατό να επιδιώκει δύο σκοπούς, καθένας από τους σκοπούς αυτούς πρέπει να είναι συγκεκριμένος και να έχει αντικειμενική και αρκούντως στενή σχέση με τη συγκεκριμένη πράξη επεξεργασίας.

44.      Δεύτερον, πρέπει να γίνει αναφορά στο ιδιαίτερο πλαίσιο εντός του οποίου πρέπει να πραγματοποιηθεί η εκτίμηση του σκοπού ή των σκοπών της επίμαχης περαιτέρω επεξεργασίας.

45.      Σύμφωνα με τις αιτιολογικές σκέψεις 60 και 61 του ΓΚΠΔ, οι αρχές της δίκαιης και διαφανούς επεξεργασίας απαιτούν να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της, οι δε πληροφορίες σε σχέση με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που σχετίζονται με το υποκείμενο των δεδομένων θα πρέπει να του παρέχονται κατά τη συλλογή από το υποκείμενο των δεδομένων. Συναφώς, το άρθρο 13, παράγραφος 1, στοιχείο γʹ, του εν λόγω κανονισμού προβλέπει ότι, όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, ενημερώνει το υποκείμενο των δεδομένων για τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα αυτά καθώς και για τη νομική βάση για την επεξεργασία.

46.      Ωστόσο, όσο προνοητικός και συνετός και αν είναι ένας υπεύθυνος επεξεργασίας, μπορεί να μην είναι σε θέση, ήδη από τη στιγμή του σχεδιασμού της επεξεργασίας, να προβλέψει και να καθορίσει τη φύση καθώς και το ακριβές περιεχόμενο όλων των πράξεων που συνθέτουν την αλυσίδα επεξεργασίας των δεδομένων. Η δε υπό κρίση υπόθεση αποτελεί χαρακτηριστικό παράδειγμα της προβληματικής που συνδέεται με τη διαχείριση μιας τεχνικής βλάβης, εξ ορισμού απροσδόκητης, και της επακόλουθης εφαρμογής ορισμένου είδους επεξεργασίας δεδομένων για έναν σκοπό που δεν είχε αρχικά καθοριστεί.

47.      Στο πλαίσιο της εκτίμησης, όπως εν προκειμένω, της νομιμότητας μια τέτοιας επεξεργασίας από την εποπτική αρχή και στη συνέχεια από το δικαστήριο που είναι αρμόδιο για την εκδίκαση της προσφυγής που ασκείται κατά της αποφάσεως της εν λόγω αρχής, ο σκοπός αυτός ελέγχεται εκ των υστέρων με βάση τις πληροφορίες που παρέσχε ο υπεύθυνος επεξεργασίας κατά τη διάρκεια της διοικητικής διαδικασίας. Εναπόκειται δε στον τελευταίο, ως υπεύθυνο της συγκεκριμένης επεξεργασίας, κατ’ εφαρμογήν της αρχής της λογοδοσίας που προβλέπεται στο άρθρο 5, παράγραφος 2, του ΓΚΠΔ, να αποδείξει το υποστατό του προβαλλόμενου σκοπού και, κατά περίπτωση, τη συμβατότητα της επεξεργασίας με τον σκοπό της συλλογής των δεδομένων (23).

48.      Συναφώς, δύο συγκεκριμένα και αντικειμενικά στοιχεία μπορούν να ληφθούν υπόψη για την εξακρίβωση του σκοπού αυτού. Πρώτον, το άρθρο 13, παράγραφος 3, του ΓΚΠΔ προβλέπει ότι, όταν δεδομένα προσωπικού χαρακτήρα που αφορούν ένα υποκείμενο δεδομένων συλλέγονται από το υποκείμενο των δεδομένων και ο υπεύθυνος επεξεργασίας προτίθεται να τα επεξεργαστεί περαιτέρω για σκοπό άλλον από εκείνον για τον οποίο συλλέχθηκαν, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, πριν από την εν λόγω περαιτέρω επεξεργασία, πληροφορίες για τον σκοπό αυτόν (24) και άλλες τυχόν αναγκαίες πληροφορίες, όπως αναφέρεται στην παράγραφο 2 της διάταξης αυτής. Δεύτερον, το άρθρο 30, παράγραφος 1, του ΓΚΠΔ απαιτεί από κάθε υπεύθυνο επεξεργασίας να τηρεί αρχείο, γραπτώς, μεταξύ άλλων σε ηλεκτρονική μορφή, των δραστηριοτήτων επεξεργασίας για τις οποίες είναι υπεύθυνος και να το θέτει στη διάθεση της εποπτικής αρχής κατόπιν αιτήματος. Το εν λόγω αρχείο περιλαμβάνει διάφορες πληροφορίες, μεταξύ των οποίων αυτές που αφορούν τους σκοπούς της επεξεργασίας.

49.      Εν προκειμένω, είναι σαφές ότι η Digi δεν ενημέρωσε κανέναν από τους συγκεκριμένους συνδρομητές για την πρόθεσή της να αντιγράψει τα δεδομένα τους και να τα αποθηκεύσει σε εσωτερικό υπόθεμα που προοριζόταν για τη διενέργεια δοκιμών και για τη διόρθωση σφαλμάτων, δεδομένου ότι η εν λόγω επιχείρηση θεώρησε ότι η επεξεργασία αυτή δεν είχε σκοπό διαφορετικό από εκείνον της συλλογής των δεδομένων και ότι, ως εκ τούτου, δεν ενέπιπτε στο πεδίο εφαρμογής του άρθρου 13, παράγραφος 3, του ΓΚΠΔ (25). Επιπλέον, από την ενώπιον του Δικαστηρίου υποβληθείσα δικογραφία δεν καθίσταται δυνατό να προσδιοριστεί κατά πόσον η Digi μπορεί να τύχει της απαλλαγής που προβλέπεται στο άρθρο 30, παράγραφος 5, του κανονισμού αυτού όσον αφορά την υποχρέωση τήρησης αρχείου (26).

50.      Εν πάση περιπτώσει, επισημαίνω ότι, κατά την επ’ ακροατηρίου συζήτηση, η Digi δήλωσε σαφώς ότι η τεχνική βλάβη που παρουσιάστηκε το 2018 δεν είχε ως αποτέλεσμα τη διακοπή της προβλεπόμενης στη σύμβαση υπηρεσίας, καθόσον η επίμαχη αποθήκευση πραγματοποιήθηκε υπό το πρίσμα και μόνον του κινδύνου μιας τέτοιας διακοπής. Οι δηλώσεις αυτές πρέπει να συνδεθούν με αντικειμενικές πραγματικές διαπιστώσεις όσον αφορά την επιλογή της ονομασίας της βάσης δεδομένων, ήτοι βάση δεδομένων «test»  (δοκιμαστική), με το γεγονός ότι η τελευταία δεν περιείχε τα δεδομένα του συνόλου των συνδρομητών αλλά μόνον του ενός τρίτου αυτών και ότι, αφού είχε λησμονηθεί από τη Digi κατά το διάστημα των 18 μηνών που ακολούθησαν την επίλυση του αρχικού τεχνικού συμβάντος, η εν λόγω βάση δεδομένων διαγράφηκε αμέσως μετά την παραβίαση ασφαλείας του Σεπτεμβρίου του 2019 η οποία επηρέασε την ασφάλεια των δεδομένων.

51.      Υπό τις συνθήκες αυτές, μπορεί να γίνει δεκτό ότι η επίμαχη επεξεργασία εξυπηρετούσε μόνον τον συγκεκριμένο και ειδικό σκοπό της προσωρινής διασφάλισης μέρους των δεδομένων των συνδρομητών σε σχέση με τη διόρθωση ενός τεχνικού συμβάντος που επηρέασε τη λειτουργία του διακομιστή, ήτοι σκοπό ο οποίος, κατά τη γνώμη μου, είναι διαφορετικός από εκείνον της συλλογής των δεδομένων.

52.      Αντιθέτως, η Επιτροπή και η Digi υποστηρίζουν ότι μια τέτοια επεξεργασία, η οποία αποσκοπεί στη συμμόρφωση με την υποχρέωση ασφάλειας που επιβάλλεται στον υπεύθυνο επεξεργασίας από το άρθρο 5, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ και περιγράφεται λεπτομερώς στο άρθρο 32 του τελευταίου, δεν μπορεί να θεωρηθεί ότι επιδιώκει νέο ή διακριτό σκοπό, διότι άλλως θα θιγόταν η πρακτική αποτελεσματικότητα της πράξης αυτής και θα οδηγούσε σε ενημέρωση των υποκειμένων των δεδομένων στερούμενη πρακτικού ενδιαφέροντος.

53.      Φρονώ ότι αυτή η αφηρημένη και συστηματική προσέγγιση είναι αντίθετη προς την απαίτηση να εκτιμάται η νομιμότητα κάθε πράξης επεξεργασίας υπό το πρίσμα όλων των κρίσιμων περιστάσεων της συγκεκριμένης περίπτωσης. Η προσέγγιση αυτή, στην πραγματικότητα, στερεί  από την πρακτική της αποτελεσματικότητα την υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων η οποία προβλέπεται στο άρθρο 13, παράγραφος 3, του ΓΚΠΔ, ενημέρωση την οποία ο υπεύθυνος επεξεργασίας οφείλει να παρέχει στα εν λόγω  πρόσωπα προκειμένου να διασφαλιστεί έναντι αυτών η θεμιτή επεξεργασία των δεδομένων (27). Η υποχρέωση αυτή έχει επιτακτικό χαρακτήρα σε περίπτωση που, όπως εν προκειμένω, η επεξεργασία πραγματοποιείται στο πλαίσιο συμβατικής σχέσης και στηρίζεται στο άρθρο 6, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, το οποίο αναφέρεται στην περίπτωση που η επεξεργασία είναι αναγκαία για την εκτέλεση της σύμβασης, χωρίς να απαιτείται η συγκατάθεση των συμβαλλομένων μερών. Τέλος, η εν λόγω προσέγγιση δεν λαμβάνει υπόψη το πνεύμα και τον σκοπό του άρθρου 5, παράγραφος 1, στοιχείο βʹ, ΓΚΠΔ, ήτοι ότι η περαιτέρω επεξεργασία για σκοπό άλλο από εκείνον για τον οποίο συλλέχθηκαν τα δεδομένα δεν είναι κατ’ ανάγκην παράνομη, δεδομένου ότι η απλή συμβατότητά της με τον τελευταίο αρκεί για τη συμμόρφωση προς την προαναφερθείσα διάταξη.
β)      Επί της συμβατότητας της επεξεργασίας

54.      Το άρθρο 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ δεν περιέχει καμία αναφορά στις προϋποθέσεις υπό τις οποίες η περαιτέρω επεξεργασία για σκοπό διαφορετικό από εκείνον της αρχικής συλλογής των δεδομένων μπορεί να θεωρηθεί συμβατή με τον τελευταίο. Συναφώς, πρέπει να γίνει αναφορά στο άρθρο 6, παράγραφος 4, του ΓΚΠΔ, σε συνδυασμό με την αιτιολογική του σκέψη 50, το περιεχόμενο της οποίας εκφράζει τη σχέση μεταξύ της αρχής του περιορισμού του σκοπού και της νομικής βάσης της συγκεκριμένης επεξεργασίας.

55.      Επομένως, η διάταξη αυτή διακρίνει, όσον αφορά την απαίτηση συμβατότητας, ανάλογα με το αν η επεξεργασία για σκοπό άλλον από εκείνον για τον οποίο έχουν συλλεγεί τα δεδομένα προσωπικού χαρακτήρα βασίζεται ή μη στη συγκατάθεση του υποκειμένου των δεδομένων ή στο δίκαιο της Ένωσης ή σε εκείνο των κρατών μελών που αποτελεί αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση των σκοπών που αναφέρονται στο άρθρο 23  παράγραφος 1, του ΓΚΠΔ.

56.      Σε καταφατική περίπτωση, κατά την αιτιολογική σκέψη 50, δεύτερη παράγραφος, του ΓΚΠΔ, επιτρέπεται στον υπεύθυνο επεξεργασίας να προβαίνει στην περαιτέρω επεξεργασία των δεδομένων προσωπικού χαρακτήρα, ανεξάρτητα από τη συμβατότητα των σκοπών (28). Η παρέκκλιση αυτή από την απαίτηση συμβατότητας δικαιολογείται, κατ’ ουσίαν, από την ύπαρξη άλλων κανόνων που προστατεύουν τα υποκείμενα των δεδομένων, και ειδικότερα εκείνων που σχετίζονται με την ενημέρωση των τελευταίων όσον αφορά τους διαφορετικούς σκοπούς και το δικαίωμα εναντίωσης στην επεξεργασία (29).

57.      Σε περίπτωση αρνητικής απαντήσεως, και αυτή είναι η περίπτωση της υπό κρίση υποθέσεως, κατά το άρθρο 6, παράγραφος 4, του ΓΚΠΔ:
«[…] ο υπεύθυνος επεξεργασίας, προκειμένου να εξακριβωθεί κατά πόσο η επεξεργασία για άλλο σκοπό είναι συμβατή με τον σκοπό για τον οποίο συλλέγονται αρχικώς τα δεδομένα προσωπικού χαρακτήρα, λαμβάνει υπόψη, μεταξύ άλλων:
α)      τυχόν σχέση μεταξύ των σκοπών για τους οποίους έχουν συλλεχθεί τα δεδομένα προσωπικού χαρακτήρα και των σκοπών της επιδιωκόμενης περαιτέρω επεξεργασίας,
β)      το πλαίσιο εντός του οποίου συλλέχθηκαν τα δεδομένα προσωπικού χαρακτήρα, ιδίως όσον αφορά τη σχέση μεταξύ των υποκειμένων των δεδομένων και του υπευθύνου επεξεργασίας,
γ)      τη φύση των δεδομένων προσωπικού χαρακτήρα, ιδίως για τις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία, σύμφωνα με το άρθρο 9, ή κατά πόσο δεδομένα προσωπικού χαρακτήρα που σχετίζονται με ποινικές καταδίκες και αδικήματα υποβάλλονται σε επεξεργασία, σύμφωνα με το άρθρο 10,
δ)      τις πιθανές συνέπειες της επιδιωκόμενης περαιτέρω επεξεργασίας για τα υποκείμενα των δεδομένων,
ε)      την ύπαρξη κατάλληλων εγγυήσεων, που μπορεί να περιλαμβάνουν κρυπτογράφηση ή ψευδωνυμοποίηση.»

58.      Ελλείψει οποιασδήποτε ρητής ενημέρωσης εκ μέρους της Digi, κατά τη στιγμή της συλλογής των δεδομένων, σχετικά με τη σχεδιαζόμενη περαιτέρω επεξεργασία και τον σκοπό της, είναι σκόπιμο να ακολουθηθεί μια ουσιαστική προσέγγιση η οποία φρονώ ότι οδηγεί στη διαπίστωση της συμβατότητας της επεξεργασίας.

59.      Συναφώς, υπάρχει αναμφισβήτητα σχέση μεταξύ του σκοπού της αρχικής συλλογής των δεδομένων, ήτοι της εκτέλεσης της σύμβασης συνδρομής στο διαδίκτυο και στην τηλεόραση, και της επεξεργασίας που αποσκοπεί στη διασφάλιση των δεδομένων αυτών σε μια εσωτερική πρόσθετη βάση δεδομένων και στη διενέργεια δοκιμών, με ασφαλή τρόπο, προκειμένου να αποκατασταθεί μια τεχνική  βλάβη δυνητικά επιζήμια για την παροχή της προβλεπόμενης στη σύμβαση υπηρεσίας. Μολονότι οι σκοποί αυτοί δεν αλληλεπικαλύπτονται, όπως προαναφέρθηκε, συνδέονται λογικά.

60.      Πρέπει να υπογραμμιστεί ότι η επεξεργασία αυτή δεν αποκλίνει από τις θεμιτές προσδοκίες των συνδρομητών όσον αφορά την περαιτέρω χρήση των δεδομένων τους. Συγκεκριμένα, η πρόσθετη αποθήκευση δεδομένων σε εσωτερικό υπόθεμα, η οποία δικαιολογείται από την ανάγκη επίλυσης μιας τεχνικής βλάβης που επηρεάζει την πρόσβαση στα δεδομένα της αρχικής βάσης δεδομένων δεν μπορεί να θεωρηθεί απροσδόκητη ή απίθανη. Επιπλέον, τα εν λόγω δεδομένα συνέχισαν να υποβάλλονται σε επεξεργασία από τον ίδιο υπεύθυνο επεξεργασίας και δεν γνωστοποιήθηκαν σε τρίτους, πράγμα που υποδηλώνει, εκ των προτέρων, την απουσία αρνητικού αντικτύπου. Το γεγονός ότι, στο πλαίσιο της παραβίασης ασφαλείας σε βάρος της Digi, ο δράστης κατόρθωσε να αποκτήσει πρόσβαση στα δεδομένα που περιέχονταν στο εν λόγω υπόθεμα δεν καθιστά, κατά τη γνώμη μου, δυνατό να εξαχθεί αναδρομικό συμπέρασμα περί ασυμβατότητας της επίμαχης επεξεργασίας.
3.      Επί της αρχής του περιορισμού της περιόδου αποθήκευσης

61.      Σύμφωνα με το άρθρο 5, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ, τα δεδομένα πρέπει να διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων (30) μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89, παράγραφος 1, του κανονισμού αυτού και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο εν λόγω κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων.

62.      Όπως προαναφέρθηκε, η αρχή του περιορισμού της περιόδου αποθήκευσης εκφράζει την αρχή της αναλογικότητας, καθώς και την αρχή της «ελαχιστοποίησης των δεδομένων», κατά την οποία τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο μέτρο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (31). Στο πλαίσιο της αρχής του περιορισμού της περιόδου αποθήκευσης, το ζήτημα της αναγκαιότητας της επεξεργασίας, εξεταζόμενο από χρονική άποψη, σχετίζεται με το ζήτημα της συνέχισης της ύπαρξης του σκοπού της.

63.      Πρέπει επίσης να υπομνησθεί ότι η τήρηση της απαίτησης της αναλογικότητας συνεπάγεται ότι οι παρεκκλίσεις από την προστασία των δεδομένων προσωπικού χαρακτήρα και οι περιορισμοί τους πρέπει να μην υπερβαίνουν τα όρια του απολύτως αναγκαίου (32). Το Δικαστήριο έχει ρητώς επισημάνει ότι το άρθρο 5, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ αποσκοπεί στην προστασία των υποκειμένων των δεδομένων (33).

64.      Η αιτιολογική σκέψη 39 του ΓΚΠΔ αναφέρει, ομοίως, ρητώς, ότι το διάστημα αποθήκευσης των δεδομένων προσωπικού χαρακτήρα πρέπει να «περιορίζεται στο ελάχιστο δυνατό» και ότι, για τον σκοπό αυτό, ο υπεύθυνος επεξεργασίας θα πρέπει να ορίζει προθεσμίες για τη διαγραφή τους ή για την περιοδική επανεξέτασή τους. Το άρθρο 13, παράγραφος 2, στοιχείο αʹ, του ΓΚΠΔ ορίζει ότι o υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, πρέπει να παρέχει στο υποκείμενο των δεδομένων επιπλέον πληροφορίες, πέραν εκείνων που αναφέρονται στην παράγραφο 1 του άρθρου αυτού, οι οποίες είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας, μεταξύ των οποίων το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα (34).

65.      Στο πλαίσιο αυτό, πρέπει να προσδιοριστεί, λαμβανομένου υπόψη του συνόλου των περιστάσεων που χαρακτηρίζουν τη συγκεκριμένη περίπτωση (35), το χρονικό σημείο κατά το οποίο θα μπορούσε, ενδεχομένως, να θεωρηθεί ότι επιτεύχθηκε ο σκοπός της αποθήκευσης αντιγράφου των δεδομένων ορισμένων συνδρομητών σε πρόσθετη εσωτερική βάση, με αποτέλεσμα να εκλείπει ο λόγος ύπαρξης της επεξεργασίας αυτής και να υποχρεούται η Digi να διαγράψει τα δεδομένα. Είναι προφανές ότι εναπόκειται στον υπεύθυνο επεξεργασίας, κατ’ εφαρμογήν της αρχής της λογοδοσίας που προβλέπεται στο άρθρο 5, παράγραφος 2, του ΓΚΠΔ, να αποδείξει τη νομιμότητα της επεξεργασίας υπό το πρίσμα της αρχής του περιορισμού του σκοπού.

66.      Εν προκειμένω, η Digi, θεωρώντας ότι η επίμαχη αποθήκευση ανταποκρινόταν στον σκοπό της διασφάλισης των δεδομένων και, ως εκ τούτου, συνέβαλλε στην επίτευξη του σκοπού της εκτέλεσης της σύμβασης συνδρομής, υποστηρίζει ότι η περίοδος αποθήκευσης των δεδομένων που περιλαμβάνονταν στη δοκιμαστική βάση δεδομένων συμπίπτει με εκείνη της εκπλήρωσης των συμβατικών υποχρεώσεών της, γεγονός το οποίο αποκλείει το ενδεχόμενο παράβασης του άρθρου 5, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ.

67.      Όσον αφορά τον καθορισμό του σκοπού ή των σκοπών, παραπέμπω στο σύνολο των διαπιστώσεων και εκτιμήσεων που έγιναν στο πλαίσιο της απάντησης που δόθηκε στο ερώτημα σχετικά με την τήρηση της αρχής του περιορισμού του σκοπού, από τις οποίες προκύπτει ότι δεν μπορεί να θεωρηθεί ότι η επίμαχη επεξεργασία είχε διττό σκοπό, που περιλάμβανε την εκτέλεση των συμβάσεων συνδρομής (36).

68.      Εν πάση περιπτώσει, ανεξάρτητα από τη φύση του σκοπού ή των σκοπών, η επεξεργασία των δεδομένων υπό τη μορφή αποθήκευσης σε πρόσθετο εσωτερικό αρχείο έπρεπε να περιορίζεται χρονικά στο απολύτως αναγκαίο. Με άλλα λόγια, μετά την επίλυση της αρχικής δυσλειτουργίας, η περίσταση που δικαιολογούσε την αποθήκευση και τη διατήρησή της εξαφανίστηκε. Ο άμεσος και πρωταρχικός σκοπός της διασφάλισης των δεδομένων σε σχέση με την αποκατάσταση του τεχνικού συμβάντος, θεωρούμενος μεμονωμένα ή ακόμη και σε συνδυασμό με τον έμμεσο και παρεπόμενο σκοπό της εκτέλεσης της σύμβασης συνδρομής, δεν μπορούσε πλέον, υπό αυτές τις συνθήκες, να καλύψει τη συνέχιση της επεξεργασίας.

69.      Επιβάλλεται η διαπίστωση ότι η Digi δήλωσε απερίφραστα ότι η δοκιμαστική βάση δεδομένων προοριζόταν να διασφαλίσει την πρόσβαση στα δεδομένα των συνδρομητών «έως ότου διορθωθεί το σφάλμα» και ότι εκ παραδρομής δεν τη διέγραψε, μολονότι η διόρθωση των σφαλμάτων δεν τη δικαιολογούσε πλέον (37), πράγμα που σημαίνει ότι η επίμαχη επεξεργασία δεν είχε πλέον χρησιμότητα και, επομένως, στερούνταν σκοπού. Μπορεί να θεωρηθεί ότι μια εσωτερική βάση δεδομένων, η οποία, όπως παραδέχεται ο υπεύθυνος επεξεργασίας, έχει ξεχαστεί επί ενάμισι έτος, εξακολουθεί να εξυπηρετεί πραγματικό σκοπό; Φρονώ ότι η απάντηση στο ερώτημα αυτό είναι κατ’ ανάγκην αρνητική.
V.      Πρόταση

70.      Υπό το πρίσμα των ανωτέρω εκτιμήσεων, προτείνω στο Δικαστήριο να απαντήσει στο Fővárosi Törvényszék (πρωτοδικείο Περιφέρειας Βουδαπέστης-Πρωτευούσης, Ουγγαρία) ως εξής:
1)      Το άρθρο 5, παράγραφος 1, στοιχείο βʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), έχει την έννοια ότι δεν αντιβαίνει στην προβλεπόμενη από το άρθρο αυτό αρχή η αποθήκευση δεδομένων προσωπικού χαρακτήρα, τα οποία συνελέγησαν και αποθηκεύτηκαν νομίμως, σε πρόσθετη εσωτερική βάση δεδομένων, υπό την προϋπόθεση ότι η επεξεργασία αυτή εξυπηρετεί τους ίδιους σκοπούς με εκείνους της συλλογής ή, εφόσον τούτο δεν συμβαίνει, είναι συμβατή με τους σκοπούς αυτούς, πράγμα το οποίο ο υπεύθυνος επεξεργασίας οφείλει να αποδείξει, περιλαμβανομένης της περίπτωσης κατά την οποία η επεξεργασία συνιστά εκπλήρωση της υποχρέωσης  του υπευθύνου επεξεργασίας να εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 5, παράγραφος 1, στοιχείο στʹ, του εν λόγω κανονισμού.
Όταν η εν λόγω επεξεργασία για σκοπό άλλον από εκείνον για τον οποίο έχουν συλλεγεί τα δεδομένα προσωπικού χαρακτήρα δεν βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων ή σε νομική πράξη της Ένωσης ή κράτους μέλους κατά την έννοια του άρθρου 23, παράγραφος 1, του κανονισμού 2016/679, η συμβατότητά της πρέπει να κρίνεται, μεταξύ άλλων, υπό το πρίσμα των κριτηρίων που ορίζονται στο άρθρο 6, παράγραφος 4, του κανονισμού αυτού.
2)      Το άρθρο 5, παράγραφος 1, στοιχείο εʹ, του κανονισμού 2016/679 έχει την έννοια ότι αντιβαίνει στην προβλεπόμενη από το άρθρο αυτό αρχή η αποθήκευση δεδομένων υπό μορφή που παρέχει τη δυνατότητα ταυτοποίησης των υποκειμένων των δεδομένων, τα οποία συνελέγησαν και αποθηκεύτηκαν νομίμως, σε πρόσθετη εσωτερική βάση δεδομένων με σκοπό την αποκατάσταση μιας τεχνικής ανωμαλίας και την προσωρινή διασφάλιση των δεδομένων αυτών πέραν της περιόδου που απαιτείται για την επίτευξη του σκοπού αυτού και, επομένως, μετά την επίλυση του συμβάντος αυτού, ακόμη και όταν ο εν λόγω σκοπός, ο οποίος είναι άμεσος και πρωταρχικός, μπορεί να συνδεθεί με τον έμμεσο και παρεπόμενο σκοπό της παροχής της προβλεπόμενης στη σύμβαση υπηρεσίας.

1      Γλώσσα του πρωτοτύπου: η γαλλική.

2      Κανονισμός του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1)  (στο εξής: ΓΚΠΔ).

3      Απόφαση της 16ης Ιουλίου 2020, Facebook Ireland και Schrems (C‑311/18, EU:C:2020:559, σκέψεις 73 και 74).

4      Οδηγία του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία για την προστασία ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες) (ΕΕ 2002, L 201, σ. 37).

5      Απόφαση της 6ης Οκτωβρίου 2020, Privacy International (C‑623/17, EU:C:2020:790, σκέψεις 34 και 36).

6      Οδηγία του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (EE 1995, L 281, σ. 31).

7      Υπενθυμίζεται ότι, δεδομένου ότι ο ΓΚΠΔ κατάργησε και αντικατέστησε την οδηγία 95/46 και ότι οι κρίσιμες διατάξεις του κανονισμού έχουν περιεχόμενο κατ’ ουσίαν ταυτόσημο προς εκείνο των κρίσιμων διατάξεων της ως άνω οδηγίας, η νομολογία του Δικαστηρίου σχετικά με την εν λόγω οδηγία έχει επίσης εφαρμογή, κατ’ αρχήν, όσον αφορά τον εν λόγω κανονισμό (απόφαση της 17ης Ιουνίου 2021, M.I.C.M., C‑597/19, EU:C:2021:492, σκέψη 107).

8      Βλ. απόφαση της 11ης Νοεμβρίου 2020, Orange Romania (C‑61/19, EU:C:2020:901), για την αποκλειστική εφαρμογή των διατάξεων της οδηγίας 95/46 και του ΓΚΠΔ σε υπόθεση που αφορά τη συγκατάθεση των πελατών της εταιρίας Orange România, παρόχου υπηρεσιών κινητής τηλεφωνίας στη ρουμανική αγορά, σχετικά με τη συλλογή και αποθήκευση αντιγράφων των εγγράφων ταυτότητας των προσώπων αυτών.

9      Από το σημείο 2 των παρατηρήσεων της Επιτροπής προκύπτει ότι τα δεδομένα αυτά αντιστοιχούσαν στις ακόλουθες πληροφορίες: όνομα, τόπος και ημερομηνία γέννησης, διεύθυνση, αριθμός δελτίου ταυτότητας, κατά περίπτωση προσωπικός αριθμός, διεύθυνση ηλεκτρονικού ταχυδρομείου, αριθμοί σταθερού και κινητού τηλεφώνου των συγκεκριμένων προσώπων.

10      Απόφαση της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ. (C‑511/18, C‑512/18 και C‑520/18, EU:C:2020:791, σκέψη 208).

11      Βλ., κατ’ αναλογίαν, απόφαση της 13ης Μαΐου 2014, Google Spain και Google (C‑131/12, EU:C:2014:317, σκέψη 72).

12      Η αυτοτέλεια των υποχρεώσεων που βαρύνουν τον υπεύθυνο επεξεργασίας, όπως ορίζεται στο άρθρο 5 του ΓΚΠΔ, δεν αποκλείει την ύπαρξη σύνδεσης μεταξύ των εν λόγω υποχρεώσεων, η οποία εν προκειμένω συνίσταται στην έννοια του σκοπού. Η εξακρίβωση της φύσης και του σκοπού μιας δραστηριότητας επεξεργασίας είναι ουσιώδης προκειμένου να εκτιμηθεί η τήρηση των αρχών που προβλέπονται στη διάταξη αυτή και, ιδίως, των αρχών του περιορισμού του σκοπού και της περιόδου αποθήκευσης των δεδομένων που αφορά η διαφορά της κύριας δίκης.

13      Απόφαση της 22ας Απριλίου 2021, Profi Credit Slovakia (C‑485/19, EU:C:2021:313, σκέψη 50).

14      Η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς πρέπει να θεωρείται ως νόμιμη επεξεργασία συμβατή με τους αρχικούς σκοπούς κατά το άρθρο 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, περίπτωση η οποία δεν αντιστοιχεί στις περιστάσεις της κύριας δίκης.

15      Βλ., κατ’ αναλογίαν, απόφαση της 13ης Μαΐου 2014, Google Spain και Google (C‑131/12, EU:C:2014:317, σκέψη 93).

16      Πρβλ. αποφάσεις της 7ης Μαΐου 2009, Rijkeboer (C‑553/07, EU:C:2009:293, σκέψη 33), και της 13ης Μαΐου 2014, Google Spain και Google (C‑131/12, EU:C:2014:317, σκέψη 92).

17      Πρβλ. απόφαση της 7ης Μαΐου 2009, Rijkeboer (C‑553/07, EU:C:2009:293, σκέψη 33).

18      Λαμβανομένης υπόψη της φύσης αυτών των πράξεων επεξεργασίας, το άρθρο 6, παράγραφος 1, στοιχεία αʹ και βʹ του ΓΚΠΔ φαίνεται να αποτελεί την κατάλληλη νομική βάση, η οποία, εξάλλου, δεν αποτελεί αντικείμενο διαφωνίας στην υπό κρίση υπόθεση.

19      Βλ., κατ’ αναλογίαν, απόφαση της 20ής Μαΐου 2003, Österreichischer Rundfunk κ.λπ. (C‑465/18, C‑138/18 και C‑139/18, EU:C:2003:294, σκέψη 40).

20      Η συλλογή των δεδομένων προσωπικού χαρακτήρα των πελατών και η αποθήκευση των δεδομένων στην αρχική βάση δεδομένων εξυπηρετούν ταυτόχρονα τον ίδιο σκοπό, ήτοι την παροχή της προβλεπόμενης στη σύμβαση υπηρεσίας.

21      Βλέπε σημείο 13 των παρατηρήσεων της Digi.

22      Ανεξάρτητο συμβουλευτικό όργανο που συστάθηκε δυνάμει του άρθρου 29 της οδηγίας 95/46 και αντικαταστάθηκε μετά την έκδοση του ΓΚΠΔ από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων.

23      Βλ., κατ’ αναλογίαν, απόφαση της 11ης Νοεμβρίου 2020, Orange Romania (C‑61/19, EU:C:2020:901, σκέψεις 51 και 52).

24      Το περιεχόμενο του άρθρου 13, παράγραφος 3, του ΓΚΠΔ ενισχύει την άποψη ότι η απαίτηση ακρίβειας του σκοπού δεν ισχύει μόνο στο στάδιο της συλλογής των δεδομένων, αλλά αφορά κάθε πράξη επεξεργασίας.

25      Η διάταξη αυτή αντικατοπτρίζει την ευελιξία διαχείρισης που αναγνωρίζεται υπέρ του υπευθύνου επεξεργασίας, η εκτίμηση του οποίου και μόνον καθορίζει την εφαρμογή της υποχρέωσης παροχής πληροφοριών στα υποκείμενα των δεδομένων. Η δυνατότητα αυτή απαιτεί, συνακόλουθα, αυστηρή εξακρίβωση των σκοπών της επεξεργασίας από την εποπτική αρχή, η οποία είναι ουσιώδης για τη διασφάλιση της νομιμότητας της περαιτέρω επεξεργασίας και, ιδίως, της τήρησης της απαίτησης συμβατότητας.

26      Συγκεκριμένα, το πεδίο εφαρμογής της υποχρέωσης αυτής περιορίζεται με την απαλλαγή που προβλέπεται για επιχειρήσεις ή οργανισμούς που απασχολούν λιγότερα από 250 άτομα, εκτός εάν η διενεργούμενη επεξεργασία ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, η επεξεργασία δεν είναι περιστασιακή ή η επεξεργασία περιλαμβάνει ειδικές κατηγορίες δεδομένων κατά το άρθρο 9, παράγραφος 1, του ΓΚΠΔ ή επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα που αναφέρονται στο άρθρο 10 της πράξης αυτής.

27      Απόφαση της 11ης Νοεμβρίου 2020, Orange Romania (C‑61/19, EU:C:2020:901, σκέψη 48). Σημειώνω με ενδιαφέρον ότι η απαλλαγή του υπευθύνου επεξεργασίας από την υποχρέωση παροχής πληροφοριών όταν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, όπως προβλέπεται στο άρθρο 14, παράγραφος 5, στοιχείο βʹ, του ΓΚΠΔ σε περιπτώσεις όπου η παροχή των πληροφοριών αποδεικνύεται αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια, δεν έχει εφαρμοστεί σε καταστάσεις που διέπονται από το άρθρο 13 του κανονισμού αυτού.

28      Επισημαίνεται ότι οι πράξεις επεξεργασίας που εξαιρούνται από την απαίτηση συμβατότητας δεν περιλαμβάνουν εκείνες που βασίζονται στο άρθρο 6, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ σχετικά με την επεξεργασία που είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας και, ιδίως, εκείνη που προβλέπεται στο άρθρο 5, παράγραφος 1, στοιχείο στʹ, του κανονισμού αυτού σχετικά με την εγγύηση της ενδεδειγμένης ασφάλειας των δεδομένων.

29      Υπενθυμίζεται ότι, σύμφωνα με το άρθρο 6, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, η επεξεργασία είναι σύννομη εάν και εφόσον το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του «για έναν ή περισσότερους συγκεκριμένους σκοπούς».

30      Η προϋπόθεση αυτή δεν αμφισβητείται εν προκειμένω.

31      Πρβλ. απόφαση της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής) (C‑439/19, EU:C:2021:504, σκέψη 98).

32      Απόφαση της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ. (C‑511/18, C‑512/18 και C‑520/18, EU:C:2020:791, σκέψη 210).

33      Βλ., κατ’ αναλογίαν, απόφαση της 7ης Μαΐου 2009, Rijkeboer (C‑553/07, EU:C:2009:293, σκέψη 35).

34      Λαμβανομένων υπόψη των συνθηκών υπό τις οποίες πραγματοποιήθηκε η υπό κρίση επεξεργασία, η διάταξη αυτή δεν εφαρμόστηκε εν προκειμένω.

35      Απόφαση της 13ης Μαΐου 2014, Google Spain και Google (C‑131/12, EU:C:2014:317, σκέψη 94).

36      Υπενθυμίζω μόνον ότι το γεγονός ότι η δοκιμαστική βάση δεδομένων διαγράφηκε αμέσως μετά την «ηθική» παραβίαση ασφαλείας την οποία υπέστη η Digi, ανεξαρτήτως της συνέχισης των συμβατικών σχέσεων με τους συγκεκριμένους συνδρομητές, έρχεται σε ριζική αντίθεση με τον ισχυρισμό ότι η διατήρηση της εν λόγω βάσης δεδομένων δικαιολογούνταν από την εκτέλεση των συμβάσεων συνδρομής.

37      Βλ., ιδίως, σημείο 22 των παρατηρήσεων της Digi.