ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
GIOVANNI PITRUZZELLA
της 9ης Ιουνίου 2022 (1)
Υπόθεση C‑154/21
RW
κατά
Österreichische Post AG
[αίτηση του Oberster Gerichtshof (Ανωτάτου Δικαστηρίου, Αυστρία)
για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Προστασία των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 15, παράγραφος 1, στοιχείο γʹ – Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων – Πληροφορίες σχετικά με τον συγκεκριμένο αποδέκτη ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν τα δεδομένα»
1. Όταν ένα πρόσωπο του οποίου τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία επιθυμεί να λάβει από τον υπεύθυνο επεξεργασίας πληροφορίες σχετικά με τους τρίτους στους οποίους κοινολογούνται τα δεδομένα αυτά, σημαίνει το δικαίωμα πρόσβασης οπωσδήποτε ότι το πρόσωπο αυτό λαμβάνει πληροφορίες σχετικά με τους συγκεκριμένους αποδέκτες των κοινολογήσεων που αφορούν τα προσωπικά δεδομένα του ή μπορεί ο υπεύθυνος της επεξεργασίας να περιορίζεται στην παροχή στοιχείων μόνον ως προς τις κατηγορίες αποδεκτών των εν λόγω κοινολογήσεων;
2. Αυτό είναι, κατ’ ουσίαν, το προδικαστικό ερώτημα που υπέβαλε το Oberster Gerichtshof (Ανώτατο Δικαστήριο, Αυστρία), αιτούν δικαστήριο, στο Δικαστήριο με αντικείμενο την ερμηνεία του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (2) (στο εξής: ΓΚΠΔ).
3. Το ερώτημα που υπέβαλε το αιτούν δικαστήριο ανέκυψε στο πλαίσιο ένδικης διαφοράς μεταξύ του RW, φυσικού προσώπου, και της Österreichische Post, κύριου φορέα παροχής ταχυδρομικών υπηρεσιών και υπηρεσιών εφοδιαστικής αλυσίδας στην Αυστρία, η οποία, κατόπιν αιτήματος του RW για πρόσβαση στα προσωπικά δεδομένα του, δεν παρέσχε σε αυτόν πληροφορίες σχετικά με τους συγκεκριμένους αποδέκτες στους οποίους κοινολογούνται τα προσωπικά δεδομένα του.
I. Το νομικό πλαίσιο
4. Το άρθρο 15 του ΓΚΠΔ, που φέρει τον τίτλο «Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων», ορίζει στην παράγραφο 1, στοιχείο γʹ, τα εξής:
«1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες:
[…]
γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς.
[…]»
II. Τα πραγματικά περιστατικά, η διαδικασία της κύριας δίκης και το προδικαστικό ερώτημα
5. Στις 15 Ιανουαρίου 2019 ο RW, αναιρεσείων ενώπιον του αιτούντος δικαστηρίου, ζήτησε από την Österreichische Post να του παράσχει πρόσβαση, κατ’ εφαρμογήν του άρθρου 15 του ΓΚΠΔ, μεταξύ άλλων, στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν και τα οποία διατηρεί ή διατηρούσε στο παρελθόν η Österreichische Post, καθώς και να τον ενημερώσει, σε περίπτωση κοινολόγησης των δεδομένων αυτών σε τρίτους, για την ταυτότητα των αποδεκτών στους οποίους κοινολογήθηκαν τα δεδομένα αυτά.
6. Με την απάντησή της, η Österreichische Post ανέφερε ότι χρησιμοποιεί δεδομένα, στο μέτρο που επιτρέπεται από τον νόμο, στο πλαίσιο της δραστηριότητάς της ως εκδότρια τηλεφωνικών καταλόγων και τα παρέχει σε επιχειρήσεις για σκοπούς εμπορικής προωθήσεως. Εν συνεχεία, παρέπεμψε σε έναν ιστότοπο από τον οποίο προέκυπταν γενικές πληροφορίες σχετικά με τους σκοπούς της επεξεργασίας των δεδομένων του RW και ο οποίος περιείχε παραπομπή σε άλλον ιστότοπο. Ο δεύτερος αυτός ιστότοπος περιείχε γενικές πληροφορίες σχετικά με την προστασία των δεδομένων και καθιστούσε δυνατό τον γενικό προσδιορισμό ορισμένων κατηγοριών αποδεκτών στους οποίους η Österreichische Post κοινολογούσε δεδομένα προσωπικού χαρακτήρα. Εντούτοις, η Österreichische Post ουδέποτε γνωστοποίησε στον RW τους συγκεκριμένους αποδέκτες στους οποίους κοινολογούνται τα δεδομένα του.
7. Ο RW άσκησε αγωγή με αίτημα να υποχρεωθεί η Österreichische Post να του παράσχει περαιτέρω πληροφορίες, κατ’ εφαρμογήν του άρθρου 15 του ΓΚΠΔ, όσον αφορά τυχόν διαβίβαση των προσωπικών δεδομένων του σε τρίτους καθώς και, σε περίπτωση που πράγματι έχει λάβει χώρα τέτοια διαβίβαση, όσον αφορά τον συγκεκριμένο ή τους συγκεκριμένους αποδέκτες στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα προσωπικά δεδομένα του. Ο RW υποστηρίζει ότι οι πληροφορίες που παρέσχε η Österreichische Post δεν πληρούν τις νόμιμες απαιτήσεις του άρθρου 15 του ΓΚΠΔ, καθόσον εξ αυτών δεν προκύπτει εάν η Österreichische Post γνωστοποίησε ή όχι σε τρίτους τα προσωπικά δεδομένα του και, σε περίπτωση που όντως υπήρξε γνωστοποίηση, ποιοι ήταν οι συγκεκριμένοι αποδέκτες των κοινολογήσεων.
8. Τα δικάσαντα σε πρώτο και δεύτερο βαθμό δικαστήρια απέρριψαν το αγωγικό αίτημα του RW, κρίνοντας κατ’ ουσίαν ότι, δεδομένου ότι το άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ κάνει λόγο για αποδέκτες ή κατηγορίες αποδεκτών, η διάταξη αυτή παρέχει στον υπεύθυνο επεξεργασίας τη δυνατότητα να επιλέξει αν θα περιοριστεί να κοινοποιήσει στο υποκείμενο των δεδομένων τις κατηγορίες αποδεκτών, χωρίς να απαιτείται να κατονομάσει τους συγκεκριμένους αποδέκτες στους οποίους κοινολογούνται τα προσωπικά δεδομένα του.
9. Ο RW ενέμεινε στα αιτήματά του στο πλαίσιο της αναίρεσης που άσκησε ενώπιον του αιτούντος δικαστηρίου.
10. Κατά τη διάρκεια της ένδικης διαδικασίας ενώπιον του αιτούντος δικαστηρίου, η Österreichische Post ενημέρωσε τον RW ότι τα δεδομένα του είχαν υποβληθεί σε επεξεργασία για σκοπούς εμπορικής προώθησης στο πλαίσιο της έκδοσης των τηλεφωνικών καταλόγων και ότι είχαν γνωστοποιηθεί σε επιχειρήσεις, μεταξύ των οποίων περιλαμβάνονταν διαφημιστές στον τομέα των πωλήσεων δι’ αλληλογραφίας και των πωλήσεων σε φυσικά σημεία πώλησης, επιχειρήσεις πληροφορικής, εκδότες τηλεφωνικών καταλόγων και ενώσεις όπως φιλανθρωπικές οργανώσεις, ΜΚΟ ή κόμματα. Εντούτοις, δεν κατονόμασε τους συγκεκριμένους αποδέκτες στους οποίους είχαν κοινολογηθεί τα δεδομένα του RW.
11. Στο πλαίσιο αυτό, το αιτούν δικαστήριο διατηρεί αμφιβολίες ως προς την ερμηνεία του άρθρου 15 του ΓΚΠΔ από τα δικαστήρια της ουσίας και, ως εκ τούτου, αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο το ακόλουθο προδικαστικό ερώτημα:
«Έχει το άρθρο 15, παράγραφος 1, στοιχείο γʹ, του [ΓΚΠΔ] την έννοια ότι το δικαίωμα πρόσβασης [του υποκειμένου των δεδομένων] περιορίζεται στις πληροφορίες σχετικά με τις κατηγορίες αποδεκτών αν οι συγκεκριμένοι αποδέκτες δεν έχουν ακόμη προσδιοριστεί στο πλαίσιο σχεδιαζόμενων κοινολογήσεων, ενώ, αν έχουν ήδη κοινολογηθεί δεδομένα, το εν λόγω δικαίωμα πρέπει υποχρεωτικώς να εκτείνεται και στις πληροφορίες σχετικά με τους αποδέκτες των εν λόγω κοινολογήσεων;»
III. Νομική ανάλυση
12. Με το προδικαστικό ερώτημά του, το αιτούν δικαστήριο ζητεί από το Δικαστήριο να ερμηνεύσει το άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ όσον αφορά την έκταση του προβλεπόμενου στο άρθρο αυτό δικαιώματος του υποκειμένου των δεδομένων να λαμβάνει πληροφορίες από τον υπεύθυνο επεξεργασίας σχετικά με τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα προσωπικά δεδομένα του.
13. Το αιτούν δικαστήριο διερωτάται εάν η διάταξη αυτή έχει την έννοια ότι το περιεχόμενο του δικαιώματος πρόσβασης του υποκειμένου των δεδομένων πρέπει να διαφοροποιείται ανάλογα με το εάν τα δεδομένα έχουν ήδη κοινολογηθεί, οπότε το δικαίωμα αυτό πρέπει να εκτείνεται στους συγκεκριμένους αποδέκτες των κοινολογήσεων, ή δεν έχουν ακόμη προσδιοριστεί οι συγκεκριμένοι αποδέκτες μελλοντικών κοινολογήσεων, οπότε το δικαίωμα αυτό πρέπει να θεωρείται ότι περιορίζεται στις πληροφορίες που αφορούν κατηγορίες αποδεκτών.
14. Συναφώς, επισημαίνεται εξαρχής ότι το άρθρο 15 του ΓΚΠΔ ρυθμίζει το δικαίωμα του υποκειμένου των δεδομένων να του παράσχει ο υπεύθυνος επεξεργασίας πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που το αφορούν και τα οποία υποβάλλονται σε επεξεργασία, καθώς και σε ένα ευρύ φάσμα πληροφοριών που αφορούν, μεταξύ άλλων, την ίδια την επεξεργασία. Η διάταξη αυτή συγκεκριμενοποιεί και εξειδικεύει το δικαίωμα κάθε προσώπου να έχει πρόσβαση στα δεδομένα που το αφορούν, το οποίο κατοχυρώνεται στο άρθρο 8, παράγραφος 2, δεύτερη περίοδος, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (3).
15. Ειδικότερα, κατά το άρθρο 15, παράγραφος 1, του ΓΚΠΔ, το υποκείμενο των δεδομένων έχει, κατ’ αρχάς, το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία. Εάν συμβαίνει τούτο, το υποκείμενο των δεδομένων έχει δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία καθώς και σε διάφορες πρόσθετες πληροφορίες, οι οποίες απαριθμούνται στα στοιχεία αʹ έως ηʹ της ίδιας διάταξης. Στο πλαίσιο αυτό, κατά το άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, το υποκείμενο των δεδομένων έχει δικαίωμα πρόσβασης στις πληροφορίες σχετικά με «τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς».
16. Το προδικαστικό ερώτημα που υποβάλλει το αιτούν δικαστήριο προϋποθέτει την ερμηνεία του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ προκειμένου να προσδιοριστεί το ακριβές περιεχόμενο του προβλεπόμενου στη διάταξη αυτή δικαιώματος του υποκειμένου των δεδομένων να λαμβάνει πληροφορίες σχετικά με τους αποδέκτες στους οποίους κοινολογούνται τα προσωπικά δεδομένα του.
17. Συναφώς, πρέπει να υπομνησθεί ότι, κατά πάγια νομολογία, η ερμηνεία διάταξης του δικαίου της Ένωσης απαιτεί να λαμβάνονται υπόψη όχι μόνον το γράμμα της, αλλά και το πλαίσιο στο οποίο εντάσσεται καθώς και οι σκοποί τους οποίους επιδιώκει η ρύθμιση της οποίας αποτελεί μέρος (4).
18. Εξάλλου, καθόσον οι διατάξεις του ΓΚΠΔ ρυθμίζουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία ενδέχεται να οδηγήσει σε προσβολή των θεμελιωδών ελευθεριών και, ειδικότερα, του δικαιώματος στον σεβασμό της ιδιωτικής ζωής, πρέπει οπωσδήποτε να ερμηνεύονται υπό το πρίσμα των θεμελιωδών δικαιωμάτων τα οποία κατοχυρώνονται από τον Χάρτη (5).
19. Κατά πάγια νομολογία, οσάκις διάταξη του δικαίου της Ένωσης επιδέχεται πλείονες ερμηνείες, πρέπει να προτιμάται η ερμηνεία η οποία διασφαλίζει την πρακτική της αποτελεσματικότητα (6).
20. Όσον αφορά, κατ’ αρχάς, τη διατύπωση της επίμαχης διάταξης, όπως επισήμαναν το ίδιο το αιτούν δικαστήριο και ορισμένοι παρεμβαίνοντες ενώπιον του Δικαστηρίου, το γράμμα του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ δεν επιτρέπει να δοθεί οριστική απάντηση στο ερώτημα εάν το προβλεπόμενο στην εν λόγω διάταξη δικαίωμα πρόσβασης του υποκειμένου των δεδομένων πρέπει οπωσδήποτε να θεωρηθεί ότι περιλαμβάνει την πρόσβαση σε πληροφορίες σχετικές με συγκεκριμένους αποδέκτες στους οποίους κοινολογούνται τα προσωπικά δεδομένα του ή εάν μπορεί να περιοριστεί μόνο στην πρόσβαση σε πληροφορίες σχετικές με τις κατηγορίες αποδεκτών. Ειδικότερα, στη διάταξη αυτή, οι όροι «αποδέκτες» και «κατηγορίες αποδεκτών» χρησιμοποιούνται διαδοχικά, με ουδέτερο τρόπο, χωρίς να μπορεί να συναχθεί σειρά προτεραιότητας μεταξύ τους. Η διάταξη δεν διευκρινίζει ρητώς ούτε εάν είναι δυνατή η επιλογή μεταξύ των δύο προβλεπόμενων πιθανών κατηγοριών πληροφοριών (δηλαδή τους «αποδέκτες» ή τις «κατηγορίες αποδεκτών») ούτε σε ποιον (δηλαδή στο υποκείμενο των δεδομένων ή στον υπεύθυνο επεξεργασίας) εναπόκειται, ενδεχομένως, να επιλέξει το είδος πληροφοριών στο οποίο πρέπει να εξασφαλιστεί η πρόσβαση.
21. Εντούτοις, πάντοτε όπως επισημαίνει το αιτούν δικαστήριο, αυτή καθαυτήν η δομή του άρθρου 15, παράγραφος 1, του ΓΚΠΔ συνηγορεί, κατ’ εμέ, υπέρ μιας ερμηνείας της επίμαχης διάταξης υπό την έννοια ότι εναπόκειται στο υποκείμενο των δεδομένων (και όχι επομένως στον υπεύθυνο επεξεργασίας όπως έκριναν εν προκειμένω τα δύο εθνικά δικαστήρια της ουσίας) να επιλέξει μεταξύ των δύο εναλλακτικών λύσεων που προβλέπονται στην εν λόγω διάταξη. Σε αντίθεση με άλλες διατάξεις του ΓΚΠΔ, όπως τα άρθρα 13 και 14 (7), οι οποίες είναι διαρθρωμένες κατά τρόπο ώστε να επιβάλλουν στον υπεύθυνο επεξεργασίας την υποχρέωση παροχής πληροφοριών, η συγκεκριμένη διάταξη προβλέπει γνήσιο δικαίωμα πρόσβασης υπέρ του υποκειμένου των δεδομένων. Η άσκηση του εν λόγω δικαιώματος από το υποκείμενο των δεδομένων προϋποθέτει λογικά ότι παρέχεται στον κάτοχο του δικαιώματος η δυνατότητα να επιλέξει εάν θα αποκτήσει πρόσβαση, όταν αυτό είναι εφικτό, στις πληροφορίες που αφορούν τους συγκεκριμένους αποδέκτες στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα ή, εναλλακτικώς, εάν θα αρκεστεί να ζητήσει πληροφορίες σχετικά με τις κατηγορίες αποδεκτών.
22. Η ερμηνεία του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ υπό την έννοια ότι προβλέπει το δικαίωμα του υποκειμένου των δεδομένων να ζητεί, όταν αυτό είναι εφικτό, πρόσβαση στις πληροφορίες σχετικά με τους συγκεκριμένους αποδέκτες στους οποίους κοινολογούνται τα προσωπικά δεδομένα του επιβεβαιώνεται, εξάλλου, από την ανάλυση τόσο του πλαισίου στο οποίο εντάσσεται η ως άνω διάταξη όσο και των σκοπών της, υπό το πρίσμα των στόχων και της όλης οικονομίας του ΓΚΠΔ.
23. Συναφώς, επισημαίνω κατ’ αρχάς ότι η αιτιολογική σκέψη 63 του ΓΚΠΔ προβλέπει ρητώς ότι το υποκείμενο των δεδομένων πρέπει «να έχει το δικαίωμα να γνωρίζει και να του ανακοινώνεται […] ποιοι αποδέκτες λαμβάνουν τα δεδομένα προσωπικού χαρακτήρα». Η αιτιολογική αυτή σκέψη, υπό το πρίσμα της οποίας πρέπει να ερμηνευθεί η επίμαχη διάταξη, αναφέρεται στο δικαίωμα του υποκειμένου των δεδομένων να έχει πρόσβαση στους συγκεκριμένους αποδέκτες στους οποίους κοινολογούνται τα προσωπικά δεδομένα του και ουδόλως αναφέρει ότι το δικαίωμα αυτό θα μπορούσε να περιοριστεί, κατ’ επιλογήν του υπευθύνου της επεξεργασίας, μόνο στις κατηγορίες αποδεκτών.
24. Επιπλέον, από τη νομολογία προκύπτει ρητώς ότι ο ΓΚΠΔ αποσκοπεί, μεταξύ άλλων, όπως προκύπτει από την αιτιολογική του σκέψη 10, στη διασφάλιση υψηλού επιπέδου προστασίας των φυσικών προσώπων εντός της Ένωσης και στη διασφάλιση, για τον σκοπό αυτόν, της συνεκτικής και ομοιόμορφης εφαρμογής των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των προσώπων αυτών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση (8).
25. Για τον σκοπό αυτό, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να σέβεται τις αρχές του άρθρου 5 του εν λόγω κανονισμού (9). Ειδικότερα, από το άρθρο 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ προκύπτει ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία με διαφανή τρόπο έναντι του υποκειμένου των δεδομένων (10). Στο πλαίσιο αυτό, το άρθρο 15 του ΓΚΠΔ, το οποίο ρυθμίζει το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων, συνιστά θεμελιώδη διάταξη προκειμένου να διασφαλίζεται ότι η επεξεργασία των δεδομένων πραγματοποιείται με διαφανή τρόπο έναντι των υποκειμένων των δεδομένων.
26. Όπως προκύπτει από την αιτιολογική σκέψη 63 του ΓΚΠΔ (11), σκοπός του εν λόγω δικαιώματος πρόσβασης είναι, πρώτον, να παράσχει στο υποκείμενο των δεδομένων τη δυνατότητα να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας των δεδομένων του (12). Η άσκηση του εν λόγω δικαιώματος πρόσβασης πρέπει, ειδικότερα, να παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να βεβαιώνεται όχι μόνο ότι τα προσωπικά δεδομένα που το αφορούν είναι ακριβή, αλλά και ότι κοινολογούνται σε αποδέκτες που έχουν δικαίωμα προς τούτο (13). Τούτο προϋποθέτει, κατ’ αρχήν, ότι παρέχονται όσο το δυνατόν ακριβέστερες πληροφορίες.
27. Στο πλαίσιο αυτό, συντάσσομαι με την άποψη της Επιτροπής ότι, εάν δεν γίνει δεκτό ότι το προβλεπόμενο στο άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ δικαίωμα πρόσβασης του υποκειμένου των δεδομένων περιλαμβάνει τους συγκεκριμένους αποδέκτες, αλλά το δικαίωμα αυτό περιοριστεί απλώς στις κατηγορίες αποδεκτών, το υποκείμενο των δεδομένων στερείται τη δυνατότητα να ελέγξει πλήρως τη νομιμότητα της επεξεργασίας που πραγματοποιείται από τον υπεύθυνο επεξεργασίας και, ιδίως, να ελέγξει τη νομιμότητα των κοινολογήσεων δεδομένων που έχουν ήδη χωρήσει. Μια τέτοια ερμηνεία της επίμαχης διάταξης δεν παρέχει στο υποκείμενο των δεδομένων τη δυνατότητα να επαληθεύσει ότι τα δεδομένα του έχουν αποσταλεί μόνο σε αποδέκτες που έχουν δικαίωμα προς τούτο, αντιθέτως προς τις αναφερόμενες στην προηγούμενη σκέψη απαιτήσεις.
28. Δεύτερον, και σε σχέση με τον πρώτο σκοπό, το δικαίωμα πρόσβασης είναι αναγκαίο, όπως άλλωστε έχει κρίνει το Δικαστήριο, για να μπορεί το υποκείμενο των δεδομένων να ασκήσει το δικαίωμα διόρθωσης, το δικαίωμα διαγραφής («δικαίωμα στη λήθη») και το δικαίωμα περιορισμού της επεξεργασίας, τα οποία του παρέχονται, αντιστοίχως, από τα άρθρα 16, 17 και 18 του ΓΚΠΔ (14). Το Δικαστήριο έχει περαιτέρω διευκρινίσει ότι το δικαίωμα πρόσβασης είναι επίσης αναγκαίο προκειμένου το υποκείμενο των δεδομένων να μπορέσει να αντιταχθεί στην επεξεργασία των προσωπικών δεδομένων του, σύμφωνα με το άρθρο 21 του ΓΚΠΔ, ή να ασκήσει το δικαίωμά του δικαστικής προσφυγής σε περίπτωση ζημίας και να λάβει αποζημίωση, σύμφωνα με τα άρθρα 79 και 82 του ΓΚΠΔ (15).
29. Ερμηνεία της διάταξης αυτής η οποία θα στερούσε από το υποκείμενο των δεδομένων τη δυνατότητα να λάβει πληροφορίες σχετικά με τους συγκεκριμένους αποδέκτες στους οποίους κοινολογούνται τα προσωπικά δεδομένα του θα είχε ως συνέπεια ότι, ελλείψει γνώσεως της ταυτότητας των εν λόγω αποδεκτών, το υποκείμενο των δεδομένων δεν θα ήταν σε θέση να ασκήσει κατ' αυτών τα δικαιώματα που του παρέχουν οι προμνησθείσες διατάξεις του ΓΚΠΔ ή θα μπορούσε να ασκήσει τα δικαιώματα αυτά μόνο με δυσανάλογες προσπάθειες (16). Επομένως, η ερμηνεία αυτή θα καθιστούσε άνευ πρακτικής αποτελεσματικότητας, σε τέτοιες περιπτώσεις, τις εν λόγω διατάξεις και τα δικαιώματα που αυτές απονέμουν.
30. Από συστηματικής απόψεως, η προαναφερθείσα ερμηνεία του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ επιβεβαιώνεται εξάλλου από τη διάταξη του άρθρου 19 του ΓΚΠΔ. Η διάταξη αυτή ορίζει ότι «ο υπεύθυνος επεξεργασίας ανακοινώνει κάθε διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων που διενεργείται σύμφωνα με το άρθρο 16, το άρθρο 17 παράγραφος 1 και το άρθρο 18 σε κάθε αποδέκτη στον οποίο γνωστοποιήθηκαν τα δεδομένα προσωπικού χαρακτήρα, εκτός εάν αυτό αποδεικνύεται ανέφικτο ή εάν συνεπάγεται δυσανάλογη προσπάθεια».
31. Tο άρθρο 19 του ΓΚΠΔ επιβάλλει δηλαδή στον υπεύθυνο επεξεργασίας την υποχρέωση να ενημερώνει όλους τους αποδέκτες στους οποίους γνωστοποίησε τα δεδομένα προσωπικού χαρακτήρα σχετικά με κάθε αίτημα διόρθωσης, διαγραφής ή περιορισμού της επεξεργασίας των δεδομένων αυτών το οποίο αυτός οφείλει να ικανοποιήσει. Ως εκ τούτου, οι αποδέκτες που ενημερώνονται κατ’ αυτόν τον τρόπο υποχρεούνται να προβούν αμέσως σε διόρθωση, διαγραφή ή περιορισμό της επεξεργασίας, στον βαθμό που εξακολουθούν να επεξεργάζονται τα εν λόγω δεδομένα. Στο πλαίσιο της επιδίωξης του σκοπού διασφάλισης υψηλού επιπέδου προστασίας, για τον οποίο γίνεται λόγος στο σημείο 24 των παρουσών προτάσεων, το άρθρο 19 του ΓΚΠΔ αποσκοπεί, συναφώς, στην απαλλαγή του υποκειμένου των δεδομένων από το βάρος της υποβολής –κατόπιν αιτήματος παροχής πληροφοριών δυνάμει του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ– αντίστοιχων περαιτέρω αιτημάτων διόρθωσης, διαγραφής ή περιορισμού της επεξεργασίας στους οικείους αποδέκτες. Το υποκείμενο των δεδομένων πρέπει, εντούτοις, να είναι σε θέση να επαληθεύσει κατά πόσον η διόρθωση, η διαγραφή ή ο περιορισμός έχουν όντως πραγματοποιηθεί μετά την ειδοποίηση από τον υπεύθυνο επεξεργασίας. Προς τούτο, το άρθρο 19 του ΓΚΠΔ προβλέπει, επομένως, ότι ο υπεύθυνος επεξεργασίας πρέπει να ενημερώνει το υποκείμενο των δεδομένων σχετικά με τους εν λόγω αποδέκτες, τούτο αυτό ζητηθεί από το υποκείμενο των δεδομένων.
32. Η διάταξη του άρθρου 19 του ΓΚΠΔ επιβεβαιώνει ότι, προκειμένου να διασφαλιστεί η πρακτική αποτελεσματικότητα των δικαιωμάτων του υποκειμένου των δεδομένων σε διαγραφή, διόρθωση ή περιορισμό της επεξεργασίας, τα οποία προβλέπονται στα άρθρα 16, 17 και 18 του ΓΚΠΔ, το υποκείμενο των δεδομένων πρέπει, κατ’ αρχήν, να έχει δικαίωμα να του γνωστοποιηθεί η ταυτότητα των συγκεκριμένων αποδεκτών, εφόσον τα προσωπικά του δεδομένα έχουν ήδη κοινολογηθεί. Πράγματι, μόνον κατ’ αυτόν τον τρόπο μπορεί το υποκείμενο των δεδομένων να προβάλει τα δικαιώματά του έναντι των εν λόγω αποδεκτών.
33. Από τα ανωτέρω εκτιθέμενα προκύπτει ότι το κατά το άρθρο 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ δικαίωμα πρόσβασης διαδραματίζει λειτουργικό και οργανικό ρόλο όσον αφορά την άσκηση άλλων προνομίων του υποκειμένου των δεδομένων τα οποία προβλέπονται στον ΓΚΠΔ. Εξ αυτού έπεται ότι, προκειμένου να διασφαλιστεί η πρακτική αποτελεσματικότητα όλων των προαναφερθεισών διατάξεων του ΓΚΠΔ, το άρθρο 15, παράγραφος 1, στοιχείο γʹ, πρέπει να ερμηνευθεί υπό την έννοια ότι το προβλεπόμενο σε αυτό δικαίωμα πρόσβασης πρέπει, κατ’ αρχήν, να αφορά οπωσδήποτε τη δυνατότητα να ληφθούν από τον υπεύθυνο επεξεργασίας πληροφορίες σχετικά με τους συγκεκριμένους αποδέκτες στους οποίους κοινολογούνται τα προσωπικά δεδομένα του υποκειμένου των δεδομένων.
34. Η επέκταση του δικαιώματος πρόσβασης του άρθρου 15, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ στους συγκεκριμένους αποδέκτες των εν λόγω κοινολογήσεων περιορίζεται, ωστόσο, κατά τη γνώμη μου, τουλάχιστον σε δύο περιπτώσεις.
35. Πρώτον, στην περίπτωση κατά την οποία είναι πρακτικώς ανέφικτο να παρασχεθούν πληροφορίες σχετικά με τους συγκεκριμένους αποδέκτες, παραδείγματος χάριν διότι αυτοί δεν έχουν ακόμη πράγματι προσδιοριστεί, δεν μπορεί προφανώς να απαιτηθεί από τον υπεύθυνο επεξεργασίας να παράσχει πληροφορίες που δεν υπάρχουν ακόμη. Επομένως, σε μια τέτοια περίπτωση, η οποία προβλέπεται ρητώς στο προδικαστικό ερώτημα, το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων μπορεί να αφορά μόνον τις κατηγορίες αποδεκτών.
36. Δεύτερον, όπως επισήμανε η Ιταλική Κυβέρνηση, η άσκηση του δικαιώματος πρόσβασης του υποκειμένου των δεδομένων και η εκπλήρωση της αντίστοιχης υποχρέωσης του υπεύθυνου επεξεργασίας πρέπει να εξετάζεται με κριτήριο τις αρχές της εντιμότητας και της αναλογικότητας.
37. Συναφώς, πρέπει να υπομνησθεί ότι, όπως προκύπτει από τη νομολογία του Δικαστηρίου, τα δικαιώματα που κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη δεν αποτελούν απόλυτα προνόμια, αλλά πρέπει να λαμβάνονται υπόψη σε σχέση με τη λειτουργία την οποία επιτελούν στο κοινωνικό σύνολο (17).
38. Στο πλαίσιο αυτό, αφενός, από το άρθρο 12, παράγραφος 5, το οποίο εφαρμόζεται ρητώς και στη διάταξη που αποτελεί το αντικείμενο του προδικαστικού ερωτήματος, προκύπτει σαφώς ότι τα αιτήματα του υποκειμένου των δεδομένων δεν πρέπει να είναι προδήλως αβάσιμα ή υπερβολικά και ότι, στην περίπτωση αυτή, ο υπεύθυνος επεξεργασίας μπορεί ακόμη και να αρνηθεί να ικανοποιήσει το αίτημα. Εξάλλου, από την ίδια διάταξη προκύπτει ότι o υπεύθυνος επεξεργασίας φέρει «το βάρος της απόδειξης του προδήλως αβάσιμου ή του υπερβολικού χαρακτήρα του αιτήματος».
39. Αφετέρου, το Δικαστήριο έχει διευκρινίσει ότι πρέπει να σταθμίζονται δίκαια, αφενός, το συμφέρον του ενδιαφερομένου στην προστασία της ιδιωτικής του ζωής, ιδίως μέσω των δικαιωμάτων που κατοχυρώνονται στο κεφάλαιο ΙΙΙ του ΓΚΠΔ και των δυνατοτήτων άσκησης ένδικης προσφυγής, και, αφετέρου, το βάρος που φέρει ο υπεύθυνος επεξεργασίας (18). Η δίκαιη αυτή στάθμιση τείνει υπέρ της μεγαλύτερης έμφασης στην προστασία των δεδομένων και της ιδιωτικής ζωής του υποκειμένου των δεδομένων, όπως καταδεικνύει το γεγονός ότι, προκειμένου να μην ικανοποιηθεί το αίτημα πρόσβασης του υποκειμένου των δεδομένων, πρέπει να αποδειχθεί ο προδήλως αβάσιμος ή υπερβολικός χαρακτήρας του αιτήματος.
IV. Πρόταση
40. Κατόπιν του συνόλου των ανωτέρω εκτιμήσεων, προτείνω στο Δικαστήριο να απαντήσει στο προδικαστικό ερώτημα που υπέβαλε το Oberster Gerichtshof (Ανώτατο Δικαστήριο, Αυστρία) ως εξής:
«Το άρθρο 15, παράγραφος 1, στοιχείο γʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), έχει την έννοια ότι το προβλεπόμενο στην εν λόγω διάταξη δικαίωμα πρόσβασης του υποκειμένου των δεδομένων πρέπει οπωσδήποτε να εκτείνεται, εφόσον το ζητεί το εν λόγω υποκείμενο των δεδομένων, στον προσδιορισμό των συγκεκριμένων αποδεκτών στους οποίους κοινολογούνται τα προσωπικά δεδομένα του. Το εν λόγω δικαίωμα πρόσβασης μπορεί να περιορίζεται μόνο στον προσδιορισμό των κατηγοριών αποδεκτών όταν είναι πρακτικώς ανέφικτο να προσδιοριστούν οι συγκεκριμένοι αποδέκτες στους οποίους κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα του υποκειμένου των δεδομένων ή όταν ο υπεύθυνος επεξεργασίας αποδεικνύει ότι τα αιτήματα του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά κατά την έννοια του άρθρου 12, παράγραφος 5, του κανονισμού (ΕΕ) 2016/679».