Αφορά : Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 38, παράγραφος 3 – Υπεύθυνος προστασίας δεδομένων – Απαγόρευση απόλυσής του επειδή επιτέλεσε τα καθήκοντά του – Απαίτηση λειτουργικής ανεξαρτησίας – Εθνική ρύθμιση η οποία απαγορεύει την απόλυση υπευθύνου προστασίας δεδομένων ελλείψει σπουδαίου λόγου – Άρθρο 38, παράγραφος 6 – Σύγκρουση συμφερόντων – Κριτήρια
Υπόθεση C-453/21
Το άρθρο 38 του Κανονισμού για την Προστασία Δεδομένων δεν αντιτίθεται σε εθνική ρύθμιση η οποία προβλέπει ότι ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία μπορεί να απολύσει μόνο για σπουδαίο λόγο τον υπεύθυνο προστασίας δεδομένων που είναι μέλος του προσωπικού του, ακόμη και αν η απόλυση δεν συνδέεται με την άσκηση των καθηκόντων του υπευθύνου προστασίας δεδομένων, υπό την προϋπόθεση ότι η ρύθμιση αυτή δεν υπονομεύει την επίτευξη των σκοπών του κανονισμού.
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (έκτο τμήμα) της 9ης Φεβρουαρίου 2023 «Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 38, παράγραφος 3 – Υπεύθυνος προστασίας δεδομένων – Απαγόρευση απόλυσής του επειδή επιτέλεσε τα καθήκοντά του – Απαίτηση λειτουργικής ανεξαρτησίας – Εθνική ρύθμιση η οποία απαγορεύει την απόλυση υπευθύνου προστασίας δεδομένων ελλείψει σπουδαίου λόγου – Άρθρο 38, παράγραφος 6 – Σύγκρουση συμφερόντων – Κριτήρια»
Στην υπόθεση C‑453/21,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Bundesarbeitsgericht (Ομοσπονδιακό Δικαστήριο Εργατικών Διαφορών, Γερμανία) με απόφαση της 27ης Απριλίου 2021, η οποία περιήλθε στο Δικαστήριο στις 21 Ιουλίου 2021, στο πλαίσιο της δίκης
X‑FAB Dresden GmbH & Co. KG
κατά
FC,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (έκτο τμήμα),
συγκείμενο από τους P. G. Xuereb, πρόεδρο τμήματος, A. Kumin και I. Ziemele (εισηγήτρια), δικαστές,
γενικός εισαγγελέας: J. Richard de la Tour
γραμματέας: D. Dittert, προϊστάμενος μονάδας,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 26ης Σεπτεμβρίου 2022,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η X‑FAB Dresden GmbH & Co. KG, εκπροσωπούμενη από τον S. Leese, Rechtsanwalt,
– ο FC, εκπροσωπούμενος από τους R. Buschmann και T. Heller, Prozessbevollmächtigte,
– η Γερμανική Κυβέρνηση, εκπροσωπούμενη από τους J. Möller, D. Klebs και P.‑L. Krüger,
– το Ευρωπαϊκό Κοινοβούλιο, εκπροσωπούμενο από τις O. Hrstková Šolcová και B. Schäfer,
– το Συμβούλιο της Ευρωπαϊκής Ένωσης, εκπροσωπούμενο από την T. Haas και τον K. Pleśniak,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τον Α. Μπουχάγιαρ, την K. Herrmann και τον H. Kranenborg,
κατόπιν της αποφάσεως που έλαβε, αφού άκουσε τον γενικό εισαγγελέα, να εκδικάσει την υπόθεση χωρίς ανάπτυξη προτάσεων,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία και το κύρος του άρθρου 38, παράγραφος 3, δεύτερη περίοδος, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικά EE 2018, L 127, σ. 2, και ΕΕ 2021, L 74, σ. 35, στο εξής: ΓΚΠΔ), καθώς και την ερμηνεία του άρθρου 38, παράγραφος 6, του κανονισμού αυτού.
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της X‑FAB Dresden GmbH & Co. KG (στο εξής: X‑FAB) και του υπαλλήλου της, FC, με αντικείμενο την εκ μέρους της X‑FAB απόλυση του FC από τη θέση του υπευθύνου προστασίας δεδομένων (στο εξής: ΥΠΔ).
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Οι αιτιολογικές σκέψεις 10 και 97 του ΓΚΠΔ έχουν ως εξής:
«(10) Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της [Ευρωπαϊκής] Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. […]
[…]
(97) […] Οι εν λόγω [ΥΠΔ], ανεξάρτητα από το κατά πόσον είναι υπάλληλοι του υπευθύνου επεξεργασίας, θα πρέπει να είναι σε θέση να εκτελούν τις υποχρεώσεις και τα καθήκοντά τους με ανεξάρτητο τρόπο.»
4 Το άρθρο 37 του ΓΚΠΔ, το οποίο επιγράφεται «Ορισμός του [ΥΠΔ]», ορίζει στις παραγράφους 5 και 6 τα εξής:
«5. Ο [ΥΠΔ] διορίζεται βάσει επαγγελματικών προσόντων και ιδίως βάσει της εμπειρογνωσίας που διαθέτει στον τομέα του δικαίου και των πρακτικών περί προστασίας δεδομένων, καθώς και βάσει της ικανότητας εκπλήρωσης των καθηκόντων που αναφέρονται στο άρθρο 39.
6. Ο [ΥΠΔ] μπορεί να είναι μέλος του προσωπικού του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία ή να ασκεί τα καθήκοντά του βάσει σύμβασης παροχής υπηρεσιών.»
5 Το άρθρο 38 του ΓΚΠΔ, το οποίο επιγράφεται «Θέση του [ΥΠΔ]», προβλέπει στις παραγράφους 3, 5 και 6 τα εξής:
«3. Ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία διασφαλίζ[ουν] ότι ο [ΥΠΔ] δεν λαμβάνει εντολές για την άσκηση των εν λόγω καθηκόντων. Δεν απολύεται ούτε υφίσταται κυρώσεις από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία επειδή επιτέλεσε τα καθήκοντά του. Ο [ΥΠΔ] λογοδοτεί απευθείας στο ανώτατο διοικητικό επίπεδο του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία.
[…]
5. Ο [ΥΠΔ] δεσμεύεται από την τήρηση του απορρήτου ή της εμπιστευτικότητας σχετικά με την εκτέλεση των καθηκόντων του, σύμφωνα με το δίκαιο της Ένωσης ή του κράτους μέλους.
6. Ο [ΥΠΔ] μπορεί να επιτελεί και άλλα καθήκοντα και υποχρεώσεις. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία διασφαλίζουν ότι τα εν λόγω καθήκοντα και υποχρεώσεις δεν συνεπάγονται σύγκρουση συμφερόντων.»
6 Το άρθρο 39 του ΓΚΠΔ, το οποίο επιγράφεται «Καθήκοντα του [ΥΠΔ]», έχει ως εξής:
«1. Ο [ΥΠΔ] έχει τουλάχιστον τα ακόλουθα καθήκοντα:
α) ενημερώνει και συμβουλεύει τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία και τους υπαλλήλους που επεξεργάζονται τις υποχρεώσεις τους που απορρέουν από τον παρόντα κανονισμό και από άλλες διατάξεις της Ένωσης ή του κράτους μέλους σχετικά με την προστασία δεδομένων,
β) παρακολουθεί τη συμμόρφωση με τον παρόντα κανονισμό, με άλλες διατάξεις της Ένωσης ή του κράτους μέλους σχετικά με την προστασία δεδομένων και με τις πολιτικές του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία σε σχέση με την προστασία των δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων της ανάθεσης αρμοδιοτήτων, της ευαισθητοποίησης και της κατάρτισης των υπαλλήλων που συμμετέχουν στις πράξεις επεξεργασίας, και των σχετικών ελέγχων,
γ) παρέχει συμβουλές, όταν ζητείται, όσον αφορά την εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων και παρακολουθεί την υλοποίησή της σύμφωνα με το άρθρο 35,
δ) συνεργάζεται με την εποπτική αρχή,
ε) ενεργεί ως σημείο επικοινωνίας για την εποπτική αρχή για ζητήματα που σχετίζονται με την επεξεργασία, περιλαμβανομένης της προηγούμενης διαβούλευσης που αναφέρεται στο άρθρο 36, και πραγματοποιεί διαβουλεύσεις, ανάλογα με την περίπτωση, για οποιοδήποτε άλλο θέμα.
2. Κατά την εκτέλεση των καθηκόντων του, ο [ΥΠΔ] λαμβάνει δεόντως υπόψη τον κίνδυνο που συνδέεται με τις πράξεις επεξεργασίας, συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας.»
Το γερμανικό δίκαιο
Ο BDSG
7 Το άρθρο 6 του Bundesdatenschutzgesetz (ομοσπονδιακού νόμου περί προστασίας δεδομένων), της 20ής Δεκεμβρίου 1990 (BGBl. 1990 I, σ. 2954), όπως ίσχυε από τις 25 Μαΐου 2018 έως τις 25 Νοεμβρίου 2019 (BGBl. 2017 I, σ. 2097) (στο εξής: BDSG), το οποίο επιγράφεται «Καθήκοντα», ορίζει στην παράγραφο 4 τα εξής:
«Η απόλυση της ή του [ΥΠΔ] επιτρέπεται μόνον κατ’ ανάλογη εφαρμογή του άρθρου 626 του Bürgerliches Gesetzbuch [(αστικού κώδικα), όπως ίσχυε στις 2 Ιανουαρίου 2002 (BGBl. 2002 I, σ. 42, καθώς και διορθωτικά BGBl. 2002 I, σ. 2909, και BGBl. 2003 Ι, σ. 738)]. Καταγγελία της σχέσεως εργασίας [ΥΠΔ] δεν επιτρέπεται, εκτός αν συντρέχουν περιστάσεις οι οποίες παρέχουν στον δημόσιο φορέα δικαίωμα καταγγελίας για σπουδαίο λόγο χωρίς τήρηση προθεσμίας προειδοποίησης. Μετά τη λήξη των καθηκόντων του [ΥΠΔ] απαγορεύεται για διάστημα ενός έτους η καταγγελία της σχέσεως εργασίας, εκτός αν ο δημόσιος φορέας έχει δικαίωμα καταγγελίας για σπουδαίο λόγο χωρίς τήρηση προθεσμίας προειδοποίησης.»
8 Το άρθρο 38 του BDSG, το οποίο επιγράφεται «[ΥΠΔ] μη δημοσίων φορέων», προβλέπει τα εξής:
«(1) Συμπληρωματικά προς το άρθρο 37, παράγραφος 1, στοιχεία βʹ και γʹ, του [ΓΚΠΔ], ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία ορίζουν [ΥΠΔ], εφόσον απασχολούν κατά κανόνα, σε μόνιμη βάση, τουλάχιστον δέκα άτομα για την αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα. […]
(2) Το άρθρο 6, παράγραφος 4, παράγραφος 5, δεύτερη περίοδος, και παράγραφος 6, έχει εφαρμογή· εντούτοις, το άρθρο 6, παράγραφος 4, εφαρμόζεται μόνον εάν ο διορισμός [ΥΠΔ] είναι υποχρεωτικός.»
Ο αστικός κώδικας
9 Το άρθρο 626 του Bürgerliches Gesetzbuch (αστικού κώδικα), το οποίο επιγράφεται «Έκτακτη καταγγελία για σπουδαίο λόγο», ορίζει τα εξής:
«(1) Κάθε συμβαλλόμενος μπορεί να καταγγείλει τη σχέση εργασίας για σπουδαίο λόγο χωρίς τήρηση προθεσμίας προειδοποίησης, εφόσον από τα γεγονότα, λαμβανομένων υπόψη όλων των περιστάσεων κάθε περιπτώσεως και κατόπιν σταθμίσεως των συμφερόντων αμφοτέρων των συμβαλλομένων, προκύπτει ότι η εξακολούθηση της σχέσης εργασίας έως τη λήξη της προθεσμίας προειδοποίησης ή έως τον συνομολογηθέντα χρόνο λήξης της σχέσης εργασίας δεν μπορεί ευλόγως να απαιτείται από τον καταγγέλλοντα.
(2) Η καταγγελία είναι δυνατή μόνον εντός προθεσμίας δύο εβδομάδων. Η προθεσμία αρχίζει να τρέχει αφ’ ης στιγμής ο έχων δικαίωμα καταγγελίας έλαβε γνώση των περιστατικών που είναι κρίσιμα για την καταγγελία. […]»
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
10 Ο FC εργάζεται στην X‑FAB από την 1η Νοεμβρίου 1993.
11 Στην εταιρία αυτή ασκεί καθήκοντα προέδρου του συμβουλίου εργαζομένων και απαλλάσσεται εν μέρει, λόγω της ιδιότητάς του αυτής, από την υποχρέωση να εργάζεται. Επιπλέον, ασκεί καθήκοντα αντιπροέδρου του κεντρικού συμβουλίου εργαζομένων που συστάθηκε για τρεις επιχειρήσεις του ομίλου εταιριών στον οποίο ανήκει η X‑FAB, οι οποίες είναι εγκατεστημένες στη Γερμανία.
12 Από 1ης Ιουνίου 2015, ο FC ορίστηκε, από κάθε επιχείρηση χωριστά, ως ΥΠΔ της X‑FAB, της μητρικής της εταιρίας καθώς και άλλων θυγατρικών της εγκατεστημένων στη Γερμανία. Κατά το αιτούν δικαστήριο, σκοπός του παράλληλου αυτού διορισμού του FC ως ΥΠΔ όλων των ως άνω επιχειρήσεων ήταν η εξασφάλιση ενιαίου επιπέδου προστασίας των δεδομένων στις εν λόγω επιχειρήσεις.
13 Κατόπιν αιτήματος του υπευθύνου για την προστασία των δεδομένων και την ελευθερία πληροφόρησης της Θουριγγίας (Γερμανία), η X‑FAB και οι επιχειρήσεις που μνημονεύονται στη σκέψη 12 της παρούσας αποφάσεως ανακάλεσαν με άμεση ισχύ, με έγγραφα της 1ης Δεκεμβρίου 2017, τον διορισμό του FC ως ΥΠΔ. Με χωριστά έγγραφα της 25ης Μαΐου 2018, οι επιχειρήσεις αυτές επανέλαβαν, για κάθε ενδεχόμενο, την πράξη αυτή, βάσει του άρθρου 38, παράγραφος 3, δεύτερη περίοδος, του ΓΚΠΔ, το οποίο είχε εν τω μεταξύ τεθεί σε εφαρμογή, επικαλούμενες λόγους συνδεόμενους με τον όμιλο εταιριών στον οποίο ανήκει η X‑FAB.
14 Με την αγωγή που άσκησε ενώπιον των γερμανικών δικαστηρίων, ο FC ζητεί να αναγνωριστεί ότι εξακολουθεί να έχει την ιδιότητα του ΥΠΔ της X‑FAB. Η X‑FAB υποστηρίζει ότι υφίσταται κίνδυνος συγκρούσεως συμφερόντων αν ο FC ασκεί συγχρόνως τα καθήκοντα του ΥΠΔ και του προέδρου του συμβουλίου εργαζομένων, για τον λόγο ότι οι δύο αυτές θέσεις είναι ασυμβίβαστες μεταξύ τους. Συνεπώς υφίσταται, κατά την άποψή της, σπουδαίος λόγος που δικαιολογεί την παύση του FC από τα καθήκοντα του ΥΠΔ.
15 Το πρωτοβάθμιο και το δευτεροβάθμιο δικαστήριο δέχθηκαν την αγωγή του FC. Με την αναίρεση που άσκησε η X‑FAB ενώπιον του Bundesarbeitsgericht (Ομοσπονδιακού Δικαστηρίου Εργατικών Διαφορών, Γερμανία), το οποίο είναι το αιτούν δικαστήριο, ζητείται η απόρριψη της αγωγής.
16 Το αιτούν δικαστήριο επισημαίνει ότι η έκβαση της αναιρέσεως εξαρτάται από την ερμηνεία του δικαίου της Ένωσης. Ειδικότερα, τίθεται, αφενός, το ερώτημα μήπως το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του ΓΚΠΔ δεν επιτρέπει νομοθετική ρύθμιση κράτους μέλους βάσει της οποίας η απόλυση του ΥΠΔ τελεί υπό αυστηρότερες προϋποθέσεις από τις προβλεπόμενες στο δίκαιο της Ένωσης και, σε περίπτωση καταφατικής απαντήσεως, αν η διάταξη αυτή έχει επαρκή νομική θεμελίωση. Σε περίπτωση που το Δικαστήριο κρίνει ότι οι προϋποθέσεις υπό τις οποίες τελεί η απόλυση βάσει του BDSG είναι σύμφωνες με το δίκαιο της Ένωσης, πρέπει να εξεταστεί αν τα καθήκοντα του προέδρου του συμβουλίου εργαζομένων και του ΥΠΔ της ίδιας επιχείρησης μπορούν να ασκούνται από ένα και το αυτό πρόσωπο ή αν τούτο συνεπάγεται σύγκρουση συμφερόντων κατά την έννοια του άρθρου 38, παράγραφος 6, δεύτερη περίοδος, του ΓΚΠΔ.
17 Υπό τις συνθήκες αυτές, το Bundesarbeitsgericht (Ομοσπονδιακό Δικαστήριο Εργατικών Διαφορών) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Έχει το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του [ΓΚΠΔ] την έννοια ότι αντιτίθεται σε διάταξη του εθνικού δικαίου, όπως, εν προκειμένω, το άρθρο 38, παράγραφοι 1 και 2, σε συνδυασμό με το άρθρο 6, παράγραφος 4, πρώτη περίοδος, του [BDSG], η οποία εξαρτά την απόλυση του [ΥΠΔ], στην οποία προβαίνει ο υπεύθυνος επεξεργασίας που είναι εργοδότης του, από ορισμένες προϋποθέσεις, ανεξαρτήτως του αν ο [ΥΠΔ] απολύθηκε επειδή επιτέλεσε τα καθήκοντά του;
Σε περίπτωση καταφατικής απαντήσεως στο πρώτο ερώτημα:
2) Αποκλείει το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του [ΓΚΠΔ] τέτοιες διατάξεις του εθνικού δικαίου, ακόμη και αν ο ορισμός [ΥΠΔ] δεν επιβάλλεται δυνάμει του άρθρου 37, παράγραφος 1, του [ΓΚΠΔ], αλλά είναι υποχρεωτικός μόνο με βάση το δίκαιο του κράτους μέλους;
Σε περίπτωση καταφατικής απαντήσεως στο πρώτο ερώτημα:
3) Έχει το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του [ΓΚΠΔ] επαρκή νομική θεμελίωση, ιδίως στο μέτρο που αφορά [ΥΠΔ] οι οποίοι έχουν σχέση εργασίας με τον υπεύθυνο επεξεργασίας;
Σε περίπτωση αρνητικής απαντήσεως στο πρώτο ερώτημα:
4) Υφίσταται σύγκρουση συμφερόντων, κατά την έννοια του άρθρου 38, παράγραφος 6, δεύτερη περίοδος, του [ΓΚΠΔ], όταν ο [ΥΠΔ] ασκεί, συγχρόνως, καθήκοντα προέδρου του συμβουλίου εργαζομένων που έχει συγκροτηθεί στον υπεύθυνο επεξεργασίας φορέα; Είναι αναγκαίο, για τη διαπίστωση τέτοιας συγκρούσεως συμφερόντων, να έχει γίνει συγκεκριμένη κατανομή καθηκόντων στο πλαίσιο του συμβουλίου εργαζομένων;»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος
18 Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του ΓΚΠΔ έχει την έννοια ότι αντιτίθεται σε εθνική ρύθμιση η οποία προβλέπει ότι ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία μπορεί να απολύσει μόνο για σπουδαίο λόγο τον ΥΠΔ που είναι μέλος του προσωπικού του, ακόμη και αν η απόλυση δεν συνδέεται με την άσκηση των καθηκόντων του ΥΠΔ.
19 Κατά πάγια νομολογία, για την ερμηνεία διατάξεως του δικαίου της Ένωσης πρέπει να λαμβάνεται υπόψη όχι μόνον το γράμμα της κατά τη συνήθη έννοιά του στην καθημερινή γλώσσα, αλλά και το πλαίσιο στο οποίο αυτή εντάσσεται καθώς και οι σκοποί που επιδιώκονται με τη ρύθμιση της οποίας αποτελεί μέρος (απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 18 και εκεί μνημονευόμενη νομολογία).
20 Κατά πρώτον, όσον αφορά το γράμμα της επίμαχης διάταξης, επισημαίνεται ότι το άρθρο 38, παράγραφος 3, του ΓΚΠΔ ορίζει, στη δεύτερη περίοδο, ότι «[ο ΥΠΔ] [δ]εν απολύεται ούτε υφίσταται κυρώσεις από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία επειδή επιτέλεσε τα καθήκοντά του».
21 Συναφώς, στην απόφαση της 22ας Ιουνίου 2022, Leistritz (C‑534/20, EU:C:2022:495, σκέψεις 20 και 21), το Δικαστήριο, αφού διαπίστωσε ότι ο ΓΚΠΔ δεν ορίζει τους περιεχόμενους στο ως άνω άρθρο 38, παράγραφος 3, δεύτερη περίοδος, όρους «απολύεται», «υφίσταται κυρώσεις» και «επειδή επιτέλεσε τα καθήκοντά του», υπογράμμισε, πρώτον, ότι, κατά την έννοια που έχουν οι όροι αυτοί στην καθημερινή γλώσσα, η απαγόρευση προς τον υπεύθυνο επεξεργασίας ή προς τον εκτελούντα την επεξεργασία να απολύσει τον ΥΠΔ ή να του επιβάλει κυρώσεις σημαίνει ότι ο ΥΠΔ πρέπει να προστατεύεται από κάθε απόφαση με την οποία παύεται από τα καθήκοντά του ή περιέρχεται σε μειονεκτική θέση ή η οποία στοιχειοθετεί κύρωση.
22 Είναι δε δυνατό να αποτελεί τέτοιου είδους απόφαση το μέτρο απόλυσης ΥΠΔ το οποίο λαμβάνει ο εργοδότης του και το οποίο έχει ως συνέπεια την παύση του ΥΠΔ από τα καθήκοντά του εντός του οργανωτικού πλαισίου του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία.
23 Δεύτερον, όπως επίσης επισήμανε το Δικαστήριο, το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του ΓΚΠΔ ισχύει αδιακρίτως τόσο για τον ΥΠΔ που είναι μέλος του προσωπικού του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία όσο και για τον ΥΠΔ που ασκεί τα καθήκοντά του βάσει σύμβασης παροχής υπηρεσιών την οποία έχει συνάψει με τα πρόσωπα αυτά, κατά τα οριζόμενα στο άρθρο 37, παράγραφος 6, του ΓΚΠΔ και, επομένως, το εν λόγω άρθρο 38, παράγραφος 3, δεύτερη περίοδος, έχει εφαρμογή στις σχέσεις μεταξύ ΥΠΔ και υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία, ανεξάρτητα από τη φύση της σχέσης εργασίας που συνδέει τον ΥΠΔ με τα πρόσωπα αυτά (απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψεις 23 και 24).
24 Τρίτον, η τελευταία αυτή διάταξη θέτει ένα όριο το οποίο συνίσταται στην απαγόρευση της απόλυσης ΥΠΔ για λόγο που σχετίζεται με την άσκηση των καθηκόντων του, τα οποία περιλαμβάνουν, ειδικότερα, κατά το άρθρο 39, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, την παρακολούθηση της συμμόρφωσης με τις διατάξεις του δικαίου της Ένωσης ή του δικαίου κράτους μέλους στον τομέα της προστασίας των δεδομένων και με τις πολιτικές του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία σε σχέση με την προστασία των δεδομένων προσωπικού χαρακτήρα (πρβλ. απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 25).
25 Κατά δεύτερον, όσον αφορά τον σκοπό που επιδιώκει το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του ΓΚΠΔ, πρώτον, κατά την αιτιολογική σκέψη 97 του ΓΚΠΔ, οι ΥΠΔ, ανεξάρτητα από το κατά πόσον είναι υπάλληλοι του υπευθύνου επεξεργασίας, θα πρέπει να είναι σε θέση να εκτελούν τις υποχρεώσεις και τα καθήκοντά τους με ανεξαρτησία. Συναφώς, η εν λόγω ανεξαρτησία πρέπει οπωσδήποτε να τους παρέχει τη δυνατότητα να ασκούν τα ως άνω καθήκοντα σύμφωνα με τον σκοπό του ΓΚΠΔ, ο οποίος αποβλέπει, μεταξύ άλλων, όπως προκύπτει από την αιτιολογική σκέψη του 10, στη διασφάλιση υψηλού επιπέδου προστασίας των φυσικών προσώπων εντός της Ένωσης και στη διασφάλιση, για τον σκοπό αυτόν, της συνεκτικής και ομοιόμορφης εφαρμογής των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των προσώπων αυτών έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση (απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 26 και εκεί μνημονευόμενη νομολογία).
26 Δεύτερον, ο σκοπός διασφάλισης της λειτουργικής ανεξαρτησίας του ΥΠΔ, ο οποίος προκύπτει από το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του ΓΚΠΔ, συνάγεται επίσης από την πρώτη και την τρίτη περίοδο του άρθρου 38, παράγραφος 3, στις οποίες προβλέπεται ότι ο ΥΠΔ δεν πρέπει να λαμβάνει εντολές για την άσκηση των καθηκόντων του και ότι πρέπει να λογοδοτεί απευθείας στο ανώτατο διοικητικό επίπεδο του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, καθώς και από την παράγραφο 5 του ίδιου άρθρου 38, η οποία προβλέπει, όσον αφορά την άσκηση των εν λόγω καθηκόντων, ότι ο ΥΠΔ δεσμεύεται από την τήρηση του απορρήτου ή της εμπιστευτικότητας (απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 27).
27 Επομένως, το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του ΓΚΠΔ, στο μέτρο που προστατεύει τον ΥΠΔ από οποιαδήποτε απόφαση με την οποία παύεται από τα καθήκοντά του ή περιέρχεται σε μειονεκτική θέση ή η οποία στοιχειοθετεί κύρωση, σε περίπτωση που μια τέτοια απόφαση συνδέεται με την άσκηση των καθηκόντων του, πρέπει να θεωρείται ότι αποσκοπεί κυρίως στη διαφύλαξη της λειτουργικής ανεξαρτησίας του ΥΠΔ και, επομένως, στη διασφάλιση της αποτελεσματικότητας των διατάξεων του ΓΚΠΔ (απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 28).
28 Όπως έκρινε επίσης το Δικαστήριο, η ερμηνεία αυτή επιρρωννύεται, κατά τρίτον, από το πλαίσιο στο οποίο εντάσσεται η διάταξη αυτή και, ειδικότερα, από τη νομική βάση στην οποία στηρίχθηκε ο νομοθέτης της Ένωσης για να εκδώσει τον ΓΚΠΔ (απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 29).
29 Ειδικότερα, από το προοίμιο του ΓΚΠΔ προκύπτει ότι ο εν λόγω κανονισμός εκδόθηκε επί τη βάσει του άρθρου 16 ΣΛΕΕ, του οποίου η παράγραφος 2 προβλέπει, μεταξύ άλλων, ότι το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο της Ευρωπαϊκής Ένωσης, αποφασίζοντας σύμφωνα με τη συνήθη νομοθετική διαδικασία, θεσπίζουν τους κανόνες, αφενός, σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης, καθώς και από τα κράτη μέλη κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης, και, αφετέρου, σχετικά με την ελεύθερη κυκλοφορία των δεδομένων αυτών (απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 30).
30 Συναφώς, η θέσπιση κανόνων σχετικών με την προστασία από την απόλυση ενός ΥΠΔ που απασχολείται από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία δεν ανάγεται στην προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα παρά μόνο στο μέτρο που οι κανόνες αυτοί αποσκοπούν στη διαφύλαξη της λειτουργικής ανεξαρτησίας του ΥΠΔ, κατά τα οριζόμενα στο άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του ΓΚΠΔ (πρβλ. απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 31).
31 Επομένως, κάθε κράτος μέλος μπορεί να προβλέπει ελεύθερα, στο πλαίσιο της άσκησης της αρμοδιότητας που εξακολουθεί να έχει, ειδικές διατάξεις που να παρέχουν στον ΥΠΔ μεγαλύτερη προστασία από την απόλυση, υπό την προϋπόθεση ότι οι διατάξεις αυτές συμβιβάζονται με το δίκαιο της Ένωσης και ειδικότερα με τις διατάξεις του ΓΚΠΔ, ιδίως δε με το άρθρο 38, παράγραφος 3, δεύτερη περίοδος (πρβλ. απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 34).
32 Συγκεκριμένα, μια τέτοια αυξημένη προστασία δεν μπορεί να υπονομεύσει την επίτευξη των σκοπών του ΓΚΠΔ. Τούτο όμως θα συνέβαινε αν η εν λόγω προστασία εμπόδιζε πλήρως την απόλυση, εκ μέρους του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, ενός ΥΠΔ ο οποίος δεν διαθέτει πλέον τα επαγγελματικά προσόντα που απαιτούνται για την άσκηση των καθηκόντων του, σύμφωνα με το άρθρο 37, παράγραφος 5, του ΓΚΠΔ, ή ο οποίος δεν εκπληρώνει τα καθήκοντα αυτά σύμφωνα με τις διατάξεις του ΓΚΠΔ (πρβλ. απόφαση της 22ας Ιουνίου 2022, Leistritz, C‑534/20, EU:C:2022:495, σκέψη 35).
33 Συναφώς, υπενθυμίζεται ότι, όπως επισημάνθηκε στη σκέψη 25 της παρούσας αποφάσεως, ο ΓΚΠΔ αποσκοπεί στη διασφάλιση υψηλού επιπέδου προστασίας των φυσικών προσώπων εντός της Ένωσης όσον αφορά την επεξεργασία των προσωπικού χαρακτήρα δεδομένων τους και ότι, προς επίτευξη του σκοπού αυτού, ο ΥΠΔ πρέπει να είναι σε θέση να εκτελεί τα καθήκοντα και τις υποχρεώσεις του με πλήρη ανεξαρτησία.
34 Επομένως, η αυξημένη προστασία του ΥΠΔ η οποία θα εμπόδιζε την απόλυσή του, στην περίπτωση που αυτός δεν είναι ή δεν είναι πλέον σε θέση να ασκήσει τα καθήκοντά του με πλήρη ανεξαρτησία λόγω συγκρούσεως συμφερόντων, θα έθετε σε κίνδυνο την επίτευξη του σκοπού αυτού.
35 Στο εθνικό δικαστήριο εναπόκειται να εξακριβώσει ότι ειδικές διατάξεις όπως οι μνημονευόμενες στη σκέψη 31 της παρούσας αποφάσεως είναι συμβατές με το δίκαιο της Ένωσης και, ειδικότερα, με τις διατάξεις του ΓΚΠΔ.
36 Κατόπιν των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του ΓΚΠΔ έχει την έννοια ότι δεν αντιτίθεται σε εθνική ρύθμιση η οποία προβλέπει ότι ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία μπορεί να απολύσει μόνο για σπουδαίο λόγο τον ΥΠΔ που είναι μέλος του προσωπικού του, ακόμη και αν η απόλυση δεν συνδέεται με την άσκηση των καθηκόντων του ΥΠΔ, υπό την προϋπόθεση ότι η ρύθμιση αυτή δεν υπονομεύει την επίτευξη των σκοπών του ΓΚΠΔ.
Επί του δευτέρου και του τρίτου προδικαστικού ερωτήματος
37 Λαμβανομένης υπόψη της απάντησης που δόθηκε στο πρώτο προδικαστικό ερώτημα, παρέλκει η απάντηση στο δεύτερο και στο τρίτο προδικαστικό ερώτημα.
Επί του τετάρτου προδικαστικού ερωτήματος
38 Με το τέταρτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί υπό ποιες προϋποθέσεις μπορεί να διαπιστωθεί «σύγκρουση συμφερόντων», κατά την έννοια του άρθρου 38, παράγραφος 6, του ΓΚΠΔ.
39 Όσον αφορά, κατά πρώτον, το γράμμα της επίμαχης διάταξης, επισημαίνεται ότι, κατά το άρθρο 38, παράγραφος 6, δεύτερη περίοδος, του ΓΚΠΔ, «[ο] [ΥΠΔ] μπορεί να επιτελεί και άλλα καθήκοντα και υποχρεώσεις. Ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία διασφαλίζουν ότι τα εν λόγω καθήκοντα και υποχρεώσεις δεν συνεπάγονται σύγκρουση συμφερόντων».
40 Επομένως, από το γράμμα της διάταξης αυτής προκύπτει, πρώτον, ότι ο ΓΚΠΔ δεν καθιερώνει καταρχήν ασυμβίβαστο μεταξύ, αφενός, της άσκησης των καθηκόντων του ΥΠΔ και, αφετέρου, της άσκησης άλλων καθηκόντων εντός του οργανωτικού πλαισίου του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία. Πράγματι, το άρθρο 38, παράγραφος 6, του κανονισμού αυτού προβλέπει ρητώς ότι στον ΥΠΔ μπορεί να ανατεθεί η εκτέλεση άλλων καθηκόντων και υποχρεώσεων πέραν αυτών που υπέχει δυνάμει του άρθρου 39 του ΓΚΠΔ.
41 Δεύτερον, γεγονός παραμένει ότι ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία οφείλει να μεριμνά ώστε αυτά τα άλλα καθήκοντα και υποχρεώσεις να μη συνεπάγονται «σύγκρουση συμφερόντων». Λαμβανομένης υπόψη της σημασίας των όρων αυτών στην καθημερινή γλώσσα, πρέπει να γίνει δεκτό ότι, σύμφωνα με τον σκοπό που επιδιώκει το άρθρο 38, παράγραφος 6, του ΓΚΠΔ, δεν μπορεί να ανατεθεί στον ΥΠΔ η εκτέλεση καθηκόντων ή υποχρεώσεων η οποία θα μπορούσε να παραβλάψει την άσκηση των καθηκόντων που ασκεί ως ΥΠΔ.
42 Όσον αφορά τον επιδιωκόμενο σκοπό, πρέπει, κατά δεύτερον, να επισημανθεί ότι η διάταξη αυτή αποσκοπεί κατ’ ουσίαν, όπως και οι άλλες διατάξεις που μνημονεύονται στη σκέψη 25 της παρούσας αποφάσεως, στη διαφύλαξη της λειτουργικής ανεξαρτησίας του ΥΠΔ και, επομένως, στη διασφάλιση της αποτελεσματικότητας των διατάξεων του ΓΚΠΔ.
43 Κατά τρίτον, όσον αφορά το πλαίσιο στο οποίο εντάσσεται το άρθρο 38, παράγραφος 6, του ΓΚΠΔ, επισημαίνεται ότι, κατά το άρθρο 39, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, ο ΥΠΔ έχει ως καθήκον, μεταξύ άλλων, να παρακολουθεί τη συμμόρφωση με τον ΓΚΠΔ, με άλλες διατάξεις του δικαίου της Ένωσης ή του δικαίου κράτους μέλους σχετικά με την προστασία δεδομένων, και με τις πολιτικές του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία σε σχέση με την προστασία των δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων εκείνων που αφορούν την κατανομή αρμοδιοτήτων, την ευαισθητοποίηση και την κατάρτιση των υπαλλήλων που συμμετέχουν στις πράξεις επεξεργασίας, και των σχετικών ελέγχων.
44 Από τα ανωτέρω προκύπτει, ειδικότερα, ότι δεν επιτρέπεται η ανάθεση στον ΥΠΔ καθηκόντων ή υποχρεώσεων που θα συνεπάγονταν τον εκ μέρους του καθορισμό των σκοπών και του τρόπου της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εντός του οργανωτικού πλαισίου του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία. Πράγματι, σύμφωνα με το δίκαιο της Ένωσης ή το δίκαιο των κρατών μελών στον τομέα της προστασίας των δεδομένων, ο έλεγχος των σκοπών και του τρόπου επεξεργασίας των δεδομένων αυτών πρέπει να διενεργείται από τον ΥΠΔ με ανεξαρτησία.
45 Το ζήτημα της ενδεχόμενης συγκρούσεως συμφερόντων, κατά την έννοια του άρθρου 38, παράγραφος 6, του ΓΚΠΔ, πρέπει να εξετάζεται κατά περίπτωση, βάσει εκτιμήσεως όλων των κρίσιμων περιστάσεων όπως, μεταξύ άλλων, της οργανωτικής δομής του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία και υπό το πρίσμα του συνόλου των εφαρμοστέων διατάξεων, συμπεριλαμβανομένων τυχόν εσωτερικών κανόνων του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία.
46 Κατόπιν του συνόλου των προεκτεθέντων, στο τέταρτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 38, παράγραφος 6, του ΓΚΠΔ έχει την έννοια ότι «σύγκρουση συμφερόντων», κατά τη διάταξη αυτή, μπορεί να υπάρξει όταν ανατίθενται στον ΥΠΔ άλλα καθήκοντα ή υποχρεώσεις που θα συνεπάγονταν τον εκ μέρους του καθορισμό των σκοπών και του τρόπου της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εντός του οργανωτικού πλαισίου του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, όπερ εναπόκειται στο εθνικό δικαστήριο να εξακριβώσει κατά περίπτωση, βάσει εκτιμήσεως όλων των κρίσιμων περιστάσεων όπως, μεταξύ άλλων, της οργανωτικής δομής του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία και υπό το πρίσμα του συνόλου των εφαρμοστέων διατάξεων, συμπεριλαμβανομένων τυχόν εσωτερικών κανόνων του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία.
Επί των δικαστικών εξόδων
47 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (έκτο τμήμα) αποφαίνεται:
1) Το άρθρο 38, παράγραφος 3, δεύτερη περίοδος, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), έχει την έννοια ότι δεν αντιτίθεται σε εθνική ρύθμιση η οποία προβλέπει ότι ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία μπορεί να απολύσει μόνο για σπουδαίο λόγο τον υπεύθυνο προστασίας δεδομένων που είναι μέλος του προσωπικού του, ακόμη και αν η απόλυση δεν συνδέεται με την άσκηση των καθηκόντων του υπευθύνου προστασίας δεδομένων, υπό την προϋπόθεση ότι η ρύθμιση αυτή δεν υπονομεύει την επίτευξη των σκοπών του κανονισμού.
2) Το άρθρο 38, παράγραφος 6, του κανονισμού 2016/679 έχει την έννοια ότι «σύγκρουση συμφερόντων», κατά τη διάταξη αυτή, μπορεί να υπάρξει όταν ανατίθενται στον υπεύθυνο προστασίας δεδομένων άλλα καθήκοντα ή υποχρεώσεις που θα συνεπάγονταν τον εκ μέρους του καθορισμό των σκοπών και του τρόπου της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εντός του οργανωτικού πλαισίου του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, όπερ εναπόκειται στο εθνικό δικαστήριο να εξακριβώσει κατά περίπτωση, βάσει εκτιμήσεως όλων των κρίσιμων περιστάσεων όπως, μεταξύ άλλων, της οργανωτικής δομής του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία και υπό το πρίσμα του συνόλου των εφαρμοστέων διατάξεων, συμπεριλαμβανομένων τυχόν εσωτερικών κανόνων του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία.
