Απόφαση του Δικαστηρίου (τμήμα μείζονος συνθέσεως) της 15ης Ιουνίου 2021 [αίτηση του Hof van beroep te Brussel (Βέλγιο) για την έκδοση προδικαστικής αποφάσεως] – Facebook Ireland Limited, Facebook Inc., Facebook Belgium BVBA κατά Gegevensbeschermingsautoriteit
(Υπόθεση C-645/19) 1
[Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης – Άρθρα 7, 8 και 47 – Κανονισμός (ΕΕ) 2016/679 – Διασυνοριακή επεξεργασία δεδομένων προσωπικού χαρακτήρα – Μηχανισμός «μίας στάσεως» – Καλόπιστη και αποτελεσματική συνεργασία μεταξύ των εποπτικών αρχών – Αρμοδιότητες και εξουσίες – Εξουσία κινήσεως ένδικων διαδικασιών]
Γλώσσα διαδικασίας: η ολλανδική
Αιτούν δικαστήριο
Hof van beroep te Brussel
Διάδικοι στην υπόθεση της κύριας δίκης
Facebook Ireland Limited, Facebook Inc., Facebook Belgium BVBA
κατά
Gegevensbeschermingsautoriteit
Διατακτικό
Το άρθρο 55, παράγραφος 1, τα άρθρα 56 έως 58 και τα άρθρα 60 έως 66 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), σε συνδυασμό με τα άρθρα 7, 8 και 47 του Χάρτη, έχουν την έννοια ότι εποπτική αρχή κράτους μέλους η οποία, δυνάμει της εθνικής νομοθεσίας που θεσπίσθηκε εις εκτέλεση του άρθρου 58, παράγραφος 5, του ως άνω κανονισμού, έχει την εξουσία να γνωστοποιεί οποιαδήποτε προβαλλόμενη παράβαση του εν λόγω κανονισμού σε δικαστήριο του εν λόγω κράτους μέλους και να κινεί, κατά περίπτωση, ένδικες διαδικασίες μπορεί να κάνει χρήση της εξουσίας αυτής στο πλαίσιο διασυνοριακής επεξεργασίας δεδομένων, μολονότι δεν είναι η «επικεφαλής εποπτική αρχή», κατά την έννοια του άρθρου 56, παράγραφος 1, του ίδιου κανονισμού, όσον αφορά αυτή την επεξεργασία δεδομένων, εφόσον πρόκειται για περίπτωση κατά την οποία ο κανονισμός 2016/679 παρέχει στη συγκεκριμένη εποπτική αρχή αρμοδιότητα προς έκδοση αποφάσεως διαπιστώνουσας ότι η εν λόγω επεξεργασία αντιβαίνει στους προβλεπόμενους σε αυτόν κανόνες και εφόσον τηρούνται οι διαδικασίες συνεργασίας και εφαρμόζεται ο μηχανισμός συνεκτικότητας που προβλέπει ο εν λόγω κανονισμός.
Το άρθρο 58, παράγραφος 5, του κανονισμού 2016/679 έχει την έννοια ότι, σε περίπτωση διασυνοριακής επεξεργασίας δεδομένων, εποπτική αρχή κράτους μέλους διαφορετική από την επικεφαλής εποπτική αρχή μπορεί να κινεί ένδικες διαδικασίες, κατά την έννοια της διατάξεως αυτής, χωρίς να απαιτείται ο υπεύθυνος επεξεργασίας ή ο εκτελών τη διασυνοριακή επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά του οποίου στρέφεται η ένδικη διαδικασία να διαθέτει κύρια εγκατάσταση ή άλλη εγκατάσταση στο έδαφος του κράτους μέλους αυτού.
Το άρθρο 58, παράγραφος 5, του κανονισμού 2016/679 έχει την έννοια ότι εποπτική αρχή κράτους μέλους διαφορετική από την επικεφαλής εποπτική αρχή μπορεί να ασκεί την εξουσία να γνωστοποιεί οποιαδήποτε προβαλλόμενη παράβαση του εν λόγω κανονισμού σε δικαστήριο του εν λόγω κράτους μέλους και να κινεί, κατά περίπτωση, ένδικες διαδικασίες, κατά την έννοια της διατάξεως αυτής, στρεφόμενη τόσο κατά της κύριας εγκαταστάσεως του υπευθύνου επεξεργασίας η οποία ευρίσκεται στο κράτος μέλος στο οποίο υπάγεται η εν λόγω αρχή όσο και κατά άλλης εγκαταστάσεως του εν λόγω υπευθύνου, εφόσον η ένδικη διαδικασία αφορά επεξεργασία δεδομένων η οποία πραγματοποιείται στο πλαίσιο των δραστηριοτήτων της εγκαταστάσεως αυτής και εφόσον η εν λόγω αρχή έχει αρμοδιότητα ασκήσεως της εξουσίας αυτής, σύμφωνα με τα όσα εκτέθηκαν στην απάντηση επί του πρώτου ερωτήματος.
Το άρθρο 58, παράγραφος 5, του κανονισμού 2016/679 έχει την έννοια ότι, όταν μια εποπτική αρχή κράτους μέλους η οποία δεν είναι η «επικεφαλής εποπτική αρχή», κατά την έννοια του άρθρου 56, παράγραφος 1, του κανονισμού αυτού, έχει κινήσει ένδικη διαδικασία με αντικείμενο διασυνοριακή επεξεργασία δεδομένων προσωπικού χαρακτήρα πριν από τις 25 Μαΐου 2018, ήτοι πριν από την ημερομηνία κατά την οποία ο εν λόγω κανονισμός κατέστη εφαρμοστέος, η εκκρεμοδικία στο πλαίσιο της εν λόγω ένδικης διαδικασίας μπορεί, από απόψεως δικαίου της Ένωσης, να διατηρηθεί επί τη βάσει των διατάξεων της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, η οποία εξακολουθεί να εφαρμόζεται όσον αφορά τις παραβάσεις οι οποίες διαπράχθηκαν έως την ημερομηνία καταργήσεώς της. Εξάλλου, η εν λόγω αρχή μπορεί να κινήσει ένδικη διαδικασία για παραβάσεις που διαπράχθηκαν μετά την ημερομηνία αυτή, επί τη βάσει του άρθρου 58, παράγραφος 5, του κανονισμού 2016/679, εφόσον πρόκειται για περίπτωση κατά την οποία ο εν λόγω κανονισμός κατ’ εξαίρεση απονέμει σε εποπτική αρχή κράτους μέλους η οποία δεν είναι η «επικεφαλής εποπτική αρχή» αρμοδιότητα προς έκδοση αποφάσεως διαπιστώνουσας ότι η οικεία επεξεργασία δεδομένων αντιβαίνει στους προβλεπόμενους στον εν λόγω κανονισμό κανόνες όσον αφορά την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και εφόσον τηρούνται οι διαδικασίες συνεργασίας και εφαρμόζεται ο μηχανισμός συνεκτικότητας που προβλέπει ο ίδιος κανονισμός, όπερ εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει.
Το άρθρο 58, παράγραφος 5, του κανονισμού 2016/679 έχει την έννοια ότι η διάταξη αυτή έχει άμεσο αποτέλεσμα, οπότε εθνική εποπτική αρχή μπορεί να την επικαλεσθεί προκειμένου να κινήσει ή να συνεχίσει ένδικη διαδικασία κατά ιδιωτών, ακόμη και αν η εν λόγω διάταξη δεν έχει τεθεί ειδικώς σε εφαρμογή στη νομοθεσία του οικείου κράτους μέλους.
____________
1 ΕΕ C 406 της 2.12.2019.