ΠΡΟΤΑΣΕΙΣ ΤΗΣ ΓΕΝΙΚΗΣ ΕΙΣΑΓΓΕΛΕΑ
LΑILA MEDINA
της 15ης Ιουνίου 2023(1)
Υπόθεση C‑333/22
Ligue des droits humains ASBL,
BA
κατά
Organe de contrôle de l’information policière
[αίτηση του cour d’appel de Bruxelles (εφετείου Βρυξελλών, Βέλγιο)
για την έκδοση προδικαστικής αποφάσεως]
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα σε ποινικές υποθέσεις – Άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων μέσω της αρμόδιας εποπτικής αρχής – Επαλήθευση από την εν λόγω αρχή της νομιμότητας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα του υποκειμένου των δεδομένων – Δικαίωμα αποτελεσματικής δικαστικής προσφυγής κατά της εποπτικής αρχής»
1. Η οδηγία (ΕΕ) 2016/680 (2), ευρύτερα γνωστή ως «οδηγία για την επιβολή του νόμου», θεσπίζει ειδικούς κανόνες για την προστασία των δεδομένων προσωπικού χαρακτήρα και την ελεύθερη κυκλοφορία των δεδομένων αυτών στους τομείς της δικαστικής συνεργασίας σε ποινικές υποθέσεις και της αστυνομικής συνεργασίας, αντανακλώντας, κατ’ ουσίαν, την «ιδιαίτερη φύση των εν λόγω τομέων» (3). Η οδηγία 2016/680 επιδιώκει δύο σκοπούς πολιτικής. Αφενός, αποσκοπεί να συμβάλει στην υλοποίηση ενός χώρου ελευθερίας, ασφάλειας και δικαιοσύνης (ΧΕΑΔ) (4), επιτρέποντας την ελεύθερη κυκλοφορία δεδομένων προσωπικού χαρακτήρα μεταξύ των αρχών που είναι αρμόδιες για την επιβολή του νόμου (5). Αφετέρου, αποσκοπεί στη διασφάλιση υψηλού επιπέδου προστασίας των δεδομένων αυτών. Η νομική βάση της είναι το άρθρο 16, παράγραφος 2, ΣΛΕΕ, το οποίο αναθέτει στον νομοθέτη της Ένωσης τη θέσπιση κανόνων σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα.
2. Εντούτοις, ο «συμβιβασμός» των δύο αυτών σκοπών πολιτικής που επιδιώκει η οδηγία 2016/680 παραμένει δύσκολο έργο (6). Η υπό κρίση υπόθεση παρέχει στο Δικαστήριο τη δυνατότητα να εξετάσει ένα συγκεκριμένο παράδειγμα στάθμισης μεταξύ της επιβολής του νόμου και της προστασίας των δεδομένων στο πλαίσιο της άσκησης των δικαιωμάτων των υποκειμένων των δεδομένων. Η οδηγία αυτή ενισχύει τα δικαιώματα των υποκειμένων των δεδομένων σε σύγκριση με το προηγούμενο καθεστώς της απόφασης-πλαισίου 2008/977/ΔΕΥ του Συμβουλίου (7). Η ενίσχυση αυτή αφορά, ειδικότερα, την αναγνώριση δικαιώματος άμεσης πρόσβασης του υποκειμένου των δεδομένων, το οποίο αποτελεί ουσιώδες στοιχείο του θεμελιώδους δικαιώματος στην προστασία των δεδομένων. Όπως σημειώνεται στη νομική θεωρία, τα δικαιώματα των υποκειμένων των δεδομένων στον τομέα της επιβολής του νόμου αποτελούν «βασικό εργαλείο κατά των ασυμμετριών πληροφοριακής ισχύος και των παράνομων πράξεων επεξεργασίας» (8). Ως εκ τούτου, είναι σημαντικό να διασφαλιστεί ότι τα δικαιώματα αυτά μπορούν να ασκούνται αποτελεσματικά.
I. Το νομικό πλαίσιο
Το δίκαιο της Ευρωπαϊκής Ένωσης
Η οδηγία 2016/680
3. Το άρθρο 3 της οδηγίας 2016/680 περιλαμβάνει τους ακόλουθους ορισμούς:
«8) “υπεύθυνος επεξεργασίας”: η αρμόδια αρχή η οποία, μόνη ή από κοινού με άλλους, καθορίζει τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους·
[…]
15) “εποπτική αρχή”: ανεξάρτητη δημόσια αρχή που συγκροτείται από κράτος μέλος σύμφωνα με το άρθρο 41».
4. Το κεφάλαιο ΙΙΙ της οδηγίας 2016/680 φέρει τον τίτλο «Δικαιώματα του υποκειμένου των δεδομένων». Στο ίδιο κεφάλαιο, το άρθρο 13, υπό τον τίτλο «Ενημέρωση που διατίθεται ή δίδεται στο υποκείμενο των δεδομένων», προβλέπει στις παραγράφους 3 και 4 ότι:
«3. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα σχετικά με την καθυστέρηση, τον περιορισμό ή την παράλειψη της παροχής των πληροφοριών στο υποκείμενο των δεδομένων βάσει της παραγράφου 2, εφόσον και στον βαθμό που ένα τέτοιο μέτρο είναι αναγκαίο και αναλογικό σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με σκοπό:
α) την αποφυγή της παρακώλυσης επίσημων ή νομικών ερευνών, διερευνήσεων ή διαδικασιών·
β) την αποφυγή της παρεμπόδισης της πρόληψης, της ανίχνευσης, της διερεύνησης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων·
γ) την προστασία της δημόσιας ασφάλειας·
δ) την προστασία της εθνικής ασφάλειας·
ε) την προστασία των δικαιωμάτων και των ελευθεριών τρίτων.
4. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα ώστε να καθορίζουν κατηγορίες επεξεργασίας οι οποίες ενδέχεται να υπάγονται εν όλω ή εν μέρει στα μέτρα που αναφέρονται σε οποιοδήποτε από τα σημεία της παραγράφου 3.»
5. Το άρθρο 14 της οδηγίας 2016/680, το οποίο φέρει τον τίτλο «Δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα από το υποκείμενο των δεδομένων», προβλέπει τα εξής:
«Με την επιφύλαξη του άρθρου 15, τα κράτη μέλη προβλέπουν το δικαίωμα του υποκειμένου των δεδομένων να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση του κατά πόσον δεδομένα προσωπικού χαρακτήρα που το αφορούν υποβάλλονται ή όχι σε επεξεργασία και, εφόσον συμβαίνει αυτό, να αποκτά πρόσβαση στα δεδομένα προσωπικού χαρακτήρα και τις ακόλουθες πληροφορίες:
[…]».
6. Το άρθρο 15 της οδηγίας 2016/680, το οποίο φέρει τον τίτλο «Περιορισμοί του δικαιώματος πρόσβασης», ορίζει τα εξής:
«1. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα τα οποία περιορίζουν, εν όλω ή εν μέρει, το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων, στον βαθμό και για το χρονικό διάστημα που ένας τέτοιος μερικός ή πλήρης περιορισμός συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με σκοπό:
α) την αποφυγή της παρακώλυσης επίσημων ή νομικών ερευνών, διερευνήσεων ή διαδικασιών·
β) την αποφυγή της παρεμπόδισης της πρόληψης, της ανίχνευσης, της διερεύνησης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων·
γ) την προστασία της δημόσιας ασφάλειας·
δ) την προστασία της εθνικής ασφάλειας·
ε) την προστασία των δικαιωμάτων και των ελευθεριών τρίτων.
2. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα ώστε να καθορίζουν κατηγορίες επεξεργασίας οι οποίες ενδέχεται να υπάγονται εν όλω ή εν μέρει [στα προβλεπόμενα] στην παράγραφο 1 στοιχεία α) έως ε).
3. Στις περιπτώσεις των παραγράφων 1 και 2, τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει εγγράφως και αμελλητί το υποκείμενο των δεδομένων για κάθε άρνηση ή περιορισμό πρόσβασης και για τους λόγους της άρνησης ή του περιορισμού. Η ενημέρωση αυτή μπορεί να παραλείπεται εάν η παροχή των σχετικών πληροφοριών υπονομεύει έναν από τους σκοπούς της παραγράφου 1. Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα να προβεί σε καταγγελία προς εποπτική αρχή ή να ασκήσει δικαστική προσφυγή.
4. Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας τεκμηριώνει τους πραγματικούς ή νομικούς λόγους επί των οποίων βασίζεται η απόφαση. Οι πληροφορίες αυτές τίθενται στη διάθεση των εποπτικών αρχών.»
7. Το άρθρο 16 της οδηγίας 2016/680, το οποίο φέρει τον τίτλο «Δικαίωμα διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα και περιορισμού ως προς την επεξεργασία», ορίζει στην παράγραφο 4 τα εξής:
«Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει εγγράφως το υποκείμενο των δεδομένων για κάθε άρνηση διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα ή περιορισμού της επεξεργασίας και για τους λόγους της άρνησης. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα τα οποία περιορίζουν, εν όλω ή εν μέρει, την υποχρέωση παροχής της εν λόγω ενημέρωσης, στον βαθμό και για το χρονικό διάστημα που ο εν λόγω περιορισμός συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με στόχο:
α) την αποφυγή της παρακώλυσης επίσημων ή νομικών ερευνών, διερευνήσεων ή διαδικασιών·
β) την αποφυγή της παρεμπόδισης της πρόληψης, της ανίχνευσης, της διερεύνησης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων·
γ) την προστασία της δημόσιας ασφάλειας·
δ) την προστασία της εθνικής ασφάλειας·
ε) την προστασία των δικαιωμάτων και των ελευθεριών τρίτων.
Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα να προβεί σε καταγγελία προς εποπτική αρχή ή να ασκήσει δικαστική προσφυγή.»
8. Το άρθρο 17 της οδηγίας 2016/680, το οποίο φέρει τον τίτλο «Άσκηση δικαιωμάτων από το υποκείμενο των δεδομένων και επαλήθευση από την εποπτική αρχή», προβλέπει τα εξής:
«1. Στις περιπτώσεις που αναφέρονται στο άρθρο 13 παράγραφος 3, το άρθρο 15 παράγραφος 3 και το άρθρο 16 παράγραφος 4, τα κράτη μέλη θεσπίζουν μέτρα που προβλέπουν ότι τα δικαιώματα του υποκειμένου των δεδομένων είναι επίσης δυνατόν να ασκούνται μέσω της αρμόδιας εποπτικής αρχής.
2. Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα να ασκήσει τα δικαιώματά του μέσω της εποπτικής αρχής δυνάμει της παραγράφου 1.
3. Όταν ασκείται το δικαίωμα που αναφέρεται στην παράγραφο 1, η εποπτική αρχή γνωστοποιεί στο υποκείμενο των δεδομένων τουλάχιστον ότι έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις ή η επανεξέταση από την εποπτική αρχή. Η εποπτική αρχή ενημερώνει επίσης το υποκείμενο των δεδομένων για το δικαίωμά του να ασκήσει δικαστική προσφυγή.»
Το βελγικό δίκαιο
9. Ο loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (νόμος για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα) της 30ής Ιουλίου 2018 (Moniteur belge, 5 Σεπτεμβρίου 2018, σ. 68616) (LPD) μεταφέρει την οδηγία 2016/680 στο βελγικό δίκαιο. Το κεφάλαιο ΙΙΙ του τίτλου 2 ορίζει τα δικαιώματα του υποκειμένου των δεδομένων, τα οποία συνίστανται, κατ’ ουσίαν, στο δικαίωμα ενημέρωσης, στο δικαίωμα πρόσβασης στα δεδομένα και στο δικαίωμα διόρθωσης των δεδομένων.
10. Το άρθρο 42 του LPD ορίζει τα εξής:
«Κάθε αίτημα άσκησης των δικαιωμάτων που αναφέρονται στο παρόν κεφάλαιο όσον αφορά τις υπηρεσίες της αστυνομίας […] ή την Inspection générale de la police fédérale et de la police locale [(γενική επιθεώρηση της ομοσπονδιακής αστυνομίας και της τοπικής αστυνομίας, Βέλγιο)] απευθύνεται στην εποπτική αρχή που αναφέρεται στο άρθρο 71.
Στις περιπτώσεις των άρθρων 37, παράγραφος 2, 38, παράγραφος 2, 39, παράγραφος 4, και 62, παράγραφος 1, η εποπτική αρχή που αναφέρεται στο άρθρο 71 γνωστοποιεί στο υποκείμενο των δεδομένων μόνον ότι έχει διενεργήσει τις απαραίτητες επαληθεύσεις.
Υπό την επιφύλαξη της παραγράφου 2, η εποπτική αρχή που αναφέρεται στο άρθρο 71 δύναται να κοινοποιεί στον ενδιαφερόμενο ορισμένες πληροφορίες σχετικά με το ευρύτερο πλαίσιο.
Με βασιλικό διάταγμα, κατόπιν γνωμοδοτήσεως της εποπτικής αρχής που αναφέρεται στο άρθρο 71, καθορίζεται η κατηγορία πληροφοριών σχετικά με το ευρύτερο πλαίσιο που η εν λόγω αρχή μπορεί να κοινοποιεί στον ενδιαφερόμενο.»
11. Το αιτούν δικαστήριο αναφέρει ότι οι «πληροφορίες σχετικά με το ευρύτερο πλαίσιο» που το Organe de Contrôle de l’Information Policière (εποπτικό όργανο αστυνομικών πληροφοριών, Βέλγιο· στο εξής: εποπτικό όργανο αστυνομικών πληροφοριών) μπορεί να κοινοποιεί στο υποκείμενο των δεδομένων δεν έχουν ακόμη καθοριστεί με βασιλικό διάταγμα κατά τα οριζόμενα στο άρθρο 42, τέταρτη περίοδος, του LPD.
12. Το άρθρο 71 του LPD προβλέπει τα εξής:
«1. Συστήνεται στη Βουλή των Αντιπροσώπων ανεξάρτητη εποπτική αρχή αστυνομικών πληροφοριών με την ονομασία [εποπτικό όργανο αστυνομικών πληροφοριών].
[…]
[Το όργανο αυτό είναι] υπεύθυνο για: 1. την παρακολούθηση της εφαρμογής του παρόντος τίτλου […]».
13. Το κεφάλαιο I του τίτλου 5 του LPD φέρει τον τίτλο «Αγωγή παραλείψεως». Το άρθρο 209, το οποίο περιλαμβάνεται στο κεφάλαιο αυτό, έχει ως εξής:
«Με την επιφύλαξη κάθε άλλης δικαστικής, διοικητικής ή εξώδικης διαδικασίας, ο πρόεδρος του πρωτοδικείου, δικάζοντας κατά τη διαδικασία των ασφαλιστικών μέτρων, διαπιστώνει την ύπαρξη επεξεργασίας κατά παράβαση νομοθετικών ή κανονιστικών διατάξεων σχετικά με την προστασία φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα και διατάσσει την άρση της προσβολής και την παράλειψή της στο μέλλον.
Ο πρόεδρος του πρωτοδικείου, δικάζοντας κατά τη διαδικασία των ασφαλιστικών μέτρων, επιλαμβάνεται κάθε αιτήματος σχετικά με το δικαίωμα που απονέμεται από ή δυνάμει του νόμου περί πρόσβασης σε δεδομένα προσωπικού χαρακτήρα, καθώς και κάθε αιτήματος περί διόρθωσης, διαγραφής ή απαγόρευσης χρήσης οποιουδήποτε δεδομένου προσωπικού χαρακτήρα στην επεξεργασία του οποίου το υποκείμενο των δεδομένων αντιτίθεται ή το οποίο έχει διατηρηθεί πέραν της επιτρεπόμενης περιόδου και είναι ανακριβές ή, λαμβανομένου υπόψη του σκοπού της επεξεργασίας, ελλιπές ή μη σχετικό ή του οποίου η καταχώριση, κοινοποίηση ή διατήρηση απαγορεύεται.»
14. Το άρθρο 240 του LPD προβλέπει ότι το εποπτικό όργανο αστυνομικών πληροφοριών:
«4. επεξεργάζεται τις καταγγελίες, διερευνά, κατά το αναγκαίο μέτρο, το αντικείμενο της καταγγελίας και ενημερώνει τον καταγγέλλοντα για την πρόοδο και την έκβαση της έρευνας εντός ευλόγου χρονικού διαστήματος, ιδίως εάν απαιτείται περαιτέρω έρευνα ή συντονισμός με άλλη εποπτική αρχή […]».
II. Τα πραγματικά περιστατικά, η διαδικασία της κύριας δίκης και τα προδικαστικά ερωτήματα
15. Το 2016 ο BA εκδήλωσε τη βούλησή του να συμμετάσχει στο έργο συναρμολόγησης και αποσυναρμολόγησης των εγκαταστάσεων της δέκατης διοργάνωσης των «Ευρωπαϊκών Ημερών Ανάπτυξης» στις Βρυξέλλες (Βέλγιο). Προς τον σκοπό αυτό, έπρεπε να αποκτήσει «πιστοποιητικό ασφαλείας».
16. Με έγγραφο της 22ας Ιουνίου 2016, η Autorité nationale de sécurité (εθνική αρχή ασφαλείας, Βέλγιο) αρνήθηκε να εκδώσει το απαιτούμενο πιστοποιητικό ασφαλείας. Έκρινε ότι από τα στοιχεία που είχε στη διάθεσή της προέκυπτε ότι ο ενδιαφερόμενος ήταν γνωστός για τη συμμετοχή του σε 10 διαδηλώσεις μεταξύ του 2007 και του 2016, λόγος για τον οποίον δεν ήταν δυνατή η έκδοση πιστοποιητικού ασφαλείας. Ο BA δεν προσέφυγε κατά της απόφασης αυτής της εθνικής αρχής ασφαλείας.
17. Ο LPD, με τον οποίο συστάθηκε το εποπτικό όργανο αστυνομικών πληροφοριών, τέθηκε σε ισχύ στις 5 Σεπτεμβρίου 2018.
18. Στις 4 Φεβρουαρίου 2020 ο πληρεξούσιος δικηγόρος του ΒΑ ζήτησε από το εποπτικό όργανο αστυνομικών πληροφοριών να προσδιορίσει τους υπεύθυνους της επίμαχης επεξεργασίας και να τους διατάξει να παράσχουν στον ΒΑ πρόσβαση στο σύνολο των πληροφοριών που τον αφορούν.
19. Με μήνυμα ηλεκτρονικού ταχυδρομείου της 6ης Φεβρουαρίου 2020, το εποπτικό όργανο αστυνομικών πληροφοριών απάντησε ότι ο ΒΑ διέθετε μόνο δικαίωμα έμμεσης πρόσβασης, διαβεβαιώνοντας παράλληλα ότι επρόκειτο να επαληθεύσει τα δεδομένα προσωπικού χαρακτήρα του ΒΑ προκειμένου να εγγυηθεί τη νομιμότητα ενδεχόμενης επεξεργασίας στην Banque de données nationale générale (BNG – γενική εθνική βάση δεδομένων). Το εποπτικό όργανο αστυνομικών πληροφοριών διευκρίνισε ότι είχε αρμοδιότητα να διατάξει την αστυνομία, εφόσον ήταν αναγκαίο, να διαγράψει ή να τροποποιήσει τα δεδομένα και ότι μετά το πέρας του ελέγχου αυτού, ο BA θα ενημερωνόταν ότι «είχαν διενεργηθεί οι αναγκαίες επαληθεύσεις».
20. Στις 22 Ιουνίου 2020 το εποπτικό όργανο αστυνομικών πληροφοριών ανέφερε εγγράφως τα εξής:
«[…] σας ενημερώνουμε ότι, σύμφωνα με το άρθρο 42 [του LPD], το εποπτικό όργανο έχει διενεργήσει τις αναγκαίες επαληθεύσεις.
Τούτο σημαίνει ότι επαληθεύθηκαν τα δεδομένα προσωπικού χαρακτήρα του πελάτη σας στις βάσεις δεδομένων της αστυνομίας προκειμένου να διασφαλιστεί η νομιμότητα οποιασδήποτε επεξεργασίας.
Όπου κρίθηκε απαραίτητο, τα δεδομένα προσωπικού χαρακτήρα τροποποιήθηκαν ή διαγράφηκαν.
Όπως ενημερωθήκατε με το μήνυμα ηλεκτρονικού ταχυδρομείου της 2ας Ιουνίου του τρέχοντος έτους, το άρθρο 42 του LPD δεν επιτρέπει στο εποπτικό όργανο να παράσχει περισσότερες πληροφορίες.»
21. Στις 2 Σεπτεμβρίου 2020 ο BA και η Ligue des droits humains, εκκαλούντες της κύριας δίκης, προσέφυγαν κατά του εποπτικού οργάνου αστυνομικών πληροφοριών ενώπιον του προέδρου του tribunal de première instance francophone de Bruxelles (γαλλόφωνου πρωτοδικείου Βρυξελλών, Βέλγιο) δυνάμει του άρθρου 209, δεύτερη περίοδος, του LPD. Οι ανωτέρω ζήτησαν να κηρυχθεί παραδεκτό το ένδικο βοήθημά τους κατά της εποπτικής αρχής. Επικουρικώς, κάλεσαν το εθνικό δικαστήριο να απαντήσει στο ερώτημα εάν το άρθρο 42 του LPD αντίκειται στο άρθρο 47, παράγραφος 4, και στο άρθρο 17, παράγραφος 3, της οδηγίας 2016/680. Συναφώς, ο BA και η Ligue des droits humains υποστήριξαν ότι το άρθρο 42 του LPD δεν προβλέπει δυνατότητα άσκησης δικαστικής προσφυγής κατά των αποφάσεων που λαμβάνει η ανεξάρτητη εποπτική αρχή ούτε υποχρεώνει την εν λόγω αρχή να ενημερώνει το υποκείμενο των δεδομένων σχετικά με το δικαίωμά του να ασκήσει δικαστική προσφυγή.
22. Όσον αφορά την ουσία του ένδικου βοηθήματός τους, οι εκκαλούντες ζήτησαν πρόσβαση στο σύνολο των δεδομένων προσωπικού χαρακτήρα που αφορούσαν τον ΒΑ και ζήτησαν να διαταχθεί το εποπτικό όργανο αστυνομικών πληροφοριών να προσδιορίσει τους υπευθύνους επεξεργασίας και όσους τυχόν είχαν αποκτήσει πρόσβαση στα δεδομένα αυτά. Επικουρικώς, ζήτησαν να υποβληθεί στο Δικαστήριο το ερώτημα, κατ’ ουσίαν, εάν το άρθρο 42, παράγραφος 2, του LPD συνάδει με τα άρθρα 14, 15 και 17 της οδηγίας 2016/680, υπό το πρίσμα των άρθρων 8, 47 και 52, παράγραφος 1, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης). Συναφώς, διατύπωσαν την αιτίαση ότι το άρθρο 42, παράγραφος 2, του LPD προβλέπει γενική και συστηματική παρέκκλιση από το δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα.
23. Με διάταξη της 17ης Μαΐου 2021, το tribunal de première instance francophone de Bruxelles (γαλλόφωνο πρωτοδικείο Βρυξελλών) κήρυξε εαυτό αναρμόδιο να επιληφθεί του ενδίκου βοηθήματος των εκκαλούντων.
24. Με δικόγραφο που κατατέθηκε στις 15 Ιουνίου 2021, οι εκκαλούντες άσκησαν έφεση ενώπιον του cour d’appel de Bruxelles (εφετείου Βρυξελλών, Βέλγιο). Κατ’ ουσίαν, οι εκκαλούντες επανέλαβαν τόσο τις αιτιάσεις που είχαν διατυπώσει κατά του άρθρου 42, παράγραφος 2, του LPD όσο και τα αιτήματα που είχαν υποβάλει πρωτοδίκως.
25. Το εποπτικό όργανο αστυνομικών πληροφοριών υποστήριξε ότι η έφεση έπρεπε να απορριφθεί.
26. Το αιτούν δικαστήριο αναφέρει ότι, σύμφωνα με το βελγικό δίκαιο, τα δεδομένα που επεξεργάζονται οι αστυνομικές υπηρεσίες υπόκεινται σε συγκεκριμένο σύνολο κανόνων. Σύμφωνα με το άρθρο 42 του LPD, κάθε αίτημα που βασίζεται σε δικαιώματα σχετικά με τα εν λόγω δεδομένα προσωπικού χαρακτήρα πρέπει να απευθύνεται στο εποπτικό όργανο αστυνομικών πληροφοριών. Το όργανο αυτό ενημερώνει απλώς το υποκείμενο των δεδομένων ότι «έχουν διενεργηθεί οι αναγκαίες επαληθεύσεις».
27. Το αιτούν δικαστήριο επισημαίνει ότι το άρθρο 17, παράγραφος 3, της οδηγίας 2016/680 δεν έχει μεταφερθεί ορθά στο εσωτερικό δίκαιο. Πρώτον, το άρθρο 42 του LPD δεν προβλέπει ότι η εποπτική αρχή οφείλει να ενημερώνει το υποκείμενο των δεδομένων για το δικαίωμά του να ασκήσει δικαστική προσφυγή. Δεύτερον, το LPD δεν επιτρέπει την άσκηση δικαστικής προσφυγής κατά του εποπτικού οργάνου αστυνομικών πληροφοριών.
28. Συναφώς, το αιτούν δικαστήριο επισημαίνει, πρώτον, ότι το μέσο έννομης προστασίας που προβλέπεται στο άρθρο 240 του LPD, το οποίο επιτρέπει στο υποκείμενο των δεδομένων να υποβάλει καταγγελία στην εποπτική αρχή, πρέπει να ασκείται κατά του υπευθύνου επεξεργασίας.
29. Δεύτερον, η αγωγή παραλείψεως που προβλέπεται στο άρθρο 209 επ. του LPD δεν παρέχει στον BA αποτελεσματικό μέσο έννομης προστασίας κατά του εποπτικού οργάνου αστυνομικών πληροφοριών. Συναφώς, το αιτούν δικαστήριο αναφέρει ότι από τις διατάξεις αυτές προκύπτει, κατά πρώτον, ότι η αγωγή ασκείται κατά του υπευθύνου επεξεργασίας. Ως εκ τούτου, ο ΒΑ δεν μπορεί να ασκήσει αγωγή κατά του εποπτικού οργάνου αστυνομικών πληροφοριών. Κατά δεύτερον, το άρθρο 42 του LPD δεν επιτρέπει στον BA να ασκήσει τέτοια αγωγή κατά του υπευθύνου επεξεργασίας, διότι η άσκηση των δικαιωμάτων του ανατίθεται στο εποπτικό όργανο αστυνομικών πληροφοριών. Κατά τρίτον, οι ιδιαιτέρως συνοπτικές πληροφορίες που παρέχονται από το εποπτικό όργανο αστυνομικών πληροφοριών, σύμφωνα με το άρθρο 42 του LPD, δεν επιτρέπουν ούτε στον ΒΑ ούτε σε δικαστήριο, στο πλαίσιο εκ των υστέρων ελέγχου, να διαπιστώσουν εάν το εποπτικό όργανο αστυνομικών πληροφοριών άσκησε ορθά τα δικαιώματα του ΒΑ.
30. Τέλος, μολονότι ο LPD προβλέπει ότι η αγωγή παραλείψεως ασκείται «με την επιφύλαξη κάθε άλλης δικαστικής, διοικητικής ή εξώδικης διαδικασίας» και χωρίς να περιορίζεται «η αρμοδιότητα του πρωτοδικείου που δικάζει κατά τη διαδικασία ασφαλιστικών μέτρων» (άρθρα 209 και 219 του LPD), εντούτοις, κάθε άλλο μέσο έννομης προστασίας που θα μπορούσε να ασκήσει ο ΒΑ προσκρούει, κατά τη γνώμη του αιτούντος δικαστηρίου, στα ίδια εμπόδια.
31. Υπό τις συνθήκες αυτές, το cour d’appel de Bruxelles (εφετείο Βρυξελλών) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1. Επιβάλλουν τα άρθρα 47 και 8, παράγραφος 3, του [Χάρτη] την πρόβλεψη δικαστικής προσφυγής κατά της ανεξάρτητης εποπτικής αρχής, όπως το [εποπτικό όργανο αστυνομικών πληροφοριών], όταν η εν λόγω αρχή ασκεί τα δικαιώματα του υποκειμένου των δεδομένων έναντι του υπευθύνου επεξεργασίας;
2. Συνάδει το άρθρο 17 της οδηγίας 2016/680 με τα άρθρα 47 και 8, παράγραφος 3, του [Χάρτη] των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, όπως έχουν ερμηνευθεί από το Δικαστήριο, κατά το μέρος που επιβάλλει στην εποπτική αρχή –η οποία ασκεί τα δικαιώματα του υποκειμένου των δεδομένων έναντι του υπευθύνου της επεξεργασίας– την υποχρέωση να ενημερώσει το υποκείμενο των δεδομένων μόνον περί του ότι “έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις ή η επανεξέταση από την εποπτική αρχή” και περί “του δικαιώματός του να ασκήσει δικαστική προσφυγή”, μολονότι αυτές οι πληροφορίες δεν επιτρέπουν τον εκ των υστέρων έλεγχο επί της δράσεως και της εκτιμήσεως της εποπτικής αρχής όσον αφορά τα δεδομένα του υποκειμένου των δεδομένων και τις υποχρεώσεις που βαρύνουν τον υπεύθυνο επεξεργασίας;»
32. Γραπτές παρατηρήσεις υπέβαλαν οι εκκαλούντες της κύριας δίκης, η Βελγική Κυβέρνηση, η Τσεχική Δημοκρατία, η Ευρωπαϊκή Επιτροπή καθώς και το Ευρωπαϊκό Κοινοβούλιο. Το Δικαστήριο απηύθυνε στη Βελγική Κυβέρνηση σειρά γραπτών ερωτήσεων προς γραπτή απάντηση. Η εν λόγω κυβέρνηση απάντησε στις 13 Μαρτίου 2023. Οι εκκαλούντες και το εφεσίβλητο της κύριας δίκης, η Γαλλική Κυβέρνηση καθώς και η Ευρωπαϊκή Επιτροπή και το Ευρωπαϊκό Κοινοβούλιο παρέστησαν στην επ’ ακροατηρίου συζήτηση της 29ης Μαρτίου 2023.
III. Εκτίμηση
Προκαταρκτικές παρατηρήσεις
33. Τα προδικαστικά ερωτήματα αφορούν, κατ’ ουσίαν, τον δικαστικό έλεγχο απόφασης ή ενέργειας εποπτικής αρχής καθώς και την έκταση και την αποτελεσματικότητά του όταν η εν λόγω αρχή ασκεί τα δικαιώματα του υποκειμένου των δεδομένων εκ μέρους του τελευταίου, ήτοι όταν τα δικαιώματα ασκούνται έμμεσα. Το αιτούν δικαστήριο δεν αμφισβητεί αυτή καθεαυτήν τη δομή του βελγικού καθεστώτος έμμεσης πρόσβασης των υποκειμένων των δεδομένων. Ωστόσο, το δικαίωμα πραγματικής προσφυγής επηρεάζεται κατ’ ανάγκην από ένα σύστημα στο οποίο η πρόσβαση των υποκειμένων των δεδομένων είναι πρακτικά αδύνατη ή υπερβολικά δυσχερής. Ως εκ τούτου, είναι σημαντικό, ως προκαταρκτικό ζήτημα, να περιγραφεί εν συντομία η δομή των δικαιωμάτων των υποκειμένων των δεδομένων σύμφωνα με την οδηγία 2016/680, προτού εξεταστεί ο τρόπος με τον οποίον το βελγικό καθεστώς έμμεσης πρόσβασης εντάσσεται στη δομή αυτή.
α) Τα δικαιώματα των υποκειμένων των δεδομένων δυνάμει της οδηγίας 2016/680 και οι περιορισμοί των δικαιωμάτων αυτών
34. Το δικαίωμα πρόσβασης στα συλλεγόμενα δεδομένα και το δικαίωμα διόρθωσης των δεδομένων αυτών αποτελεί ουσιώδες στοιχείο του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα, όπως αυτό κατοχυρώνεται στο άρθρο 8, παράγραφος 2, του Χάρτη. Γενικώς, το δικαίωμα πρόσβασης εξυπηρετεί δύο βασικούς σκοπούς, ήτοι «την ενίσχυση της διαφάνειας και τη διευκόλυνση του ελέγχου» (9). Πράγματι, όπως επισημαίνεται στη νομική θεωρία, το δικαίωμα πρόσβασης ενισχύει τη διαφάνεια καθόσον παρέχει «ένα δεύτερο, βαθύτερο και λεπτομερέστερο επίπεδο πληροφοριών που μπορεί να λάβει το υποκείμενο των δεδομένων» (10). Το δικαίωμα πρόσβασης διευκολύνει τον έλεγχο, δεδομένου ότι αποτελεί προϋπόθεση για την άσκηση άλλων δικαιωμάτων, ιδίως του δικαιώματος διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα ή του δικαιώματος άσκησης δικαστικής προσφυγής (11).
35. Από την αιτιολογική σκέψη 7 της οδηγίας 2016/680 προκύπτει ότι σκοπός της οδηγίας αυτής είναι η ουσιαστική προστασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ευρωπαϊκή Ένωση, όπερ προϋποθέτει την ενίσχυση των δικαιωμάτων των υποκειμένων των δεδομένων και των υποχρεώσεων όσων επεξεργάζονται δεδομένα προσωπικού χαρακτήρα, καθώς και αντίστοιχες εξουσίες παρακολούθησης και διασφάλισης της τήρησης των κανόνων που διέπουν την προστασία δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη. Πρόκειται για σημαντική εξέλιξη σε σύγκριση με το προηγούμενο καθεστώς της απόφασης-πλαισίου 2008/977. Το πεδίο εφαρμογής της εν λόγω απόφασης-πλαισίου περιοριζόταν στη διασυνοριακή επεξεργασία δεδομένων. Επιπλέον, αντανακλούσε «τις ιδιαιτερότητες της προ Λισαβόνας δομής της ΕΕ με βάση τους “πυλώνες”» (12) και κατέλειπε «μεγάλο περιθώριο ελιγμών στα κράτη μέλη» (13). Σε σύγκριση με το προηγούμενο αυτό καθεστώς, το κεφάλαιο ΙΙΙ της οδηγίας 2016/680 προβλέπει μια «νέα αρχιτεκτονική των δικαιωμάτων των υποκειμένων των δεδομένων, η οποία στηρίζεται στην αρχή ότι τα υποκείμενα αυτά έχουν δικαίωμα ενημέρωσης, πρόσβασης, διόρθωσης, διαγραφής ή περιορισμού της επεξεργασίας, εκτός εάν ισχύουν περιορισμοί για τα δικαιώματα αυτά» (14).
36. Ειδικότερα, το άρθρο 13 της οδηγίας 2016/680 προβλέπει ότι οι υπεύθυνοι επεξεργασίας οφείλουν να παρέχουν ορισμένες πληροφορίες στα υποκείμενα των δεδομένων («δικαίωμα ενημέρωσης»). Το άρθρο 14 ορίζει ότι το υποκείμενο των δεδομένων έχει δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση του κατά πόσον δεδομένα προσωπικού χαρακτήρα που το αφορούν υποβάλλονται ή όχι σε επεξεργασία και, εφόσον συμβαίνει αυτό, να αποκτά πρόσβαση στα δεδομένα προσωπικού χαρακτήρα και σε συγκεκριμένες πληροφορίες («δικαίωμα πρόσβασης»). Το άρθρο 16 προβλέπει ότι το υποκείμενο των δεδομένων έχει δικαίωμα να εξασφαλίζει από τον υπεύθυνο επεξεργασίας τη διόρθωση ανακριβών δεδομένων προσωπικού χαρακτήρα που το αφορούν καθώς και τη διαγραφή δεδομένων προσωπικού χαρακτήρα ή, κατά περίπτωση, τον περιορισμό της επεξεργασίας («δικαίωμα διόρθωσης, διαγραφής ή περιορισμού της επεξεργασίας»). Το υποκείμενο των δεδομένων δύναται, κατ’ αρχήν, να ασκήσει τα δικαιώματά του απευθείας.
37. Η οδηγία 2016/680 επιτρέπει στα κράτη μέλη να θεσπίζουν νομοθετικά μέτρα που περιορίζουν, εν όλω ή εν μέρει, τα δικαιώματα των υποκειμένων των δεδομένων υπό τις προϋποθέσεις του άρθρου 13, παράγραφος 3, του άρθρου 15 και του άρθρου 16, παράγραφος 4, της οδηγίας 2016/680. Κατ’ ουσίαν, τα μέτρα αυτά επιτρέπονται «στον βαθμό και για το χρονικό διάστημα που» συνιστούν «αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου», προκειμένου να διαφυλαχθεί συγκεκριμένος σκοπός δημοσίου συμφέροντος, ήτοι η αποφυγή της παρακώλυσης επίσημων ή νομικών ερευνών, διερευνήσεων ή διαδικασιών, η αποφυγή της παρεμπόδισης της πρόληψης, της ανίχνευσης, της διερεύνησης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, η προστασία της δημόσιας ή εθνικής ασφάλειας ή η προστασία των δικαιωμάτων και των ελευθεριών τρίτων. Τα κράτη μέλη δύνανται, σύμφωνα με το άρθρο 13, παράγραφος 4, και το άρθρο 15, παράγραφος 2, της οδηγίας 2016/680, να θεσπίζουν νομοθετικά μέτρα για τον καθορισμό κατηγοριών επεξεργασίας που μπορούν να περιλαμβάνονται εν όλω ή εν μέρει σε κάποιον από τους σκοπούς αυτούς.
38. Σε περίπτωση περιορισμού του δικαιώματος πρόσβασης, ο υπεύθυνος επεξεργασίας οφείλει, σύμφωνα με το άρθρο 15, παράγραφος 3, της οδηγίας 2016/680, να ενημερώνει εγγράφως και αμελλητί το υποκείμενο των δεδομένων για κάθε άρνηση ή περιορισμό πρόσβασης και για τους λόγους της άρνησης ή του περιορισμού. Η ενημέρωση αυτή μπορεί να παραλείπεται εάν η παροχή των σχετικών πληροφοριών υπονομεύει έναν από τους σκοπούς του άρθρου 15, παράγραφος 1, της οδηγίας αυτής. Ο υπεύθυνος επεξεργασίας οφείλει να ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα να προβεί σε καταγγελία προς εποπτική αρχή ή να ασκήσει δικαστική προσφυγή. Επιπλέον, σύμφωνα με το άρθρο 15, παράγραφος 4, της οδηγίας 2016/680, σε περίπτωση περιορισμού ή άρνησης πρόσβασης, ο υπεύθυνος επεξεργασίας οφείλει να τεκμηριώνει τους πραγματικούς ή νομικούς λόγους επί των οποίων βασίζεται η απόφαση και να θέτει τις πληροφορίες αυτές στη διάθεση των εποπτικών αρχών.
39. Από τη δομή των δικαιωμάτων του υποκειμένου των δεδομένων που θεσπίζονται στο κεφάλαιο ΙΙΙ της οδηγίας 2016/680 προκύπτει ότι ο γενικός κανόνας στον τομέα της επιβολής του νόμου είναι ότι τα υποκείμενα των δεδομένων έχουν δικαιώματα σχετικά με την προστασία των δεδομένων τους και μπορούν να ασκήσουν τα δικαιώματα αυτά απευθείας. Τυχόν περιορισμός των δικαιωμάτων αυτών αποτελεί εξαίρεση. Κατά πάγια νομολογία, η εξαίρεση από γενικό κανόνα πρέπει να ερμηνεύεται στενά (15). Επιπλέον, υφίστανται όρια στους περιορισμούς τα οποία αφορούν την υποχρέωση αιτιολόγησης των επιβαλλόμενων περιορισμών και συναφούς ενημέρωσης του υποκειμένου των δεδομένων. Μόνον κατ’ εξαίρεση η ενημέρωση αυτή μπορεί να παραλείπεται.
40. Η ίδια αυτή σχέση μεταξύ κανόνα και εξαίρεσης ισχύει και όσον αφορά τη δυνατότητα που παρέχεται στα κράτη μέλη να καθορίζουν «κατηγορίες επεξεργασίας» οι οποίες μπορούν να χαρακτηριστούν εν όλω ή εν μέρει ως σκοποί δημοσίου συμφέροντος, επιτρέποντας κατ’ αυτόν τον τρόπο τον περιορισμό της άσκησης των δικαιωμάτων των υποκειμένων των δεδομένων δυνάμει του άρθρου 13, παράγραφος 3, ή του άρθρου 15, παράγραφος 1, της οδηγίας 2016/680. Όπως κατ’ ουσίαν επισήμανε η ομάδα εργασίας του άρθρου 29 (16) στη γνωμοδότηση της επί της οδηγίας 2016/680, η δυνατότητα που παρέχεται στα κράτη μέλη να καθορίζουν τέτοιου είδους κατηγορίες επεξεργασίας δεν επιτρέπει «γενικούς περιορισμούς» στα δικαιώματα ενημέρωσης και πρόσβασης των υποκειμένων των δεδομένων (17). Τέτοιοι γενικοί περιορισμοί θα είχαν ως συνέπεια η εξαίρεση να κατισχύει του κανόνα, καθιστώντας σε μεγάλο βαθμό άνευ νοήματος τις διατάξεις που κατοχυρώνουν τα δικαιώματα του υποκειμένου των δεδομένων (18).
β) Έμμεση άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων
41. Το δικαίωμα του υποκειμένου των δεδομένων να επικοινωνεί απευθείας με τον υπεύθυνο επεξεργασίας προκειμένου να ασκήσει τα δικαιώματά του αποτελεί σημαντικό χαρακτηριστικό της οδηγίας 2016/680. Η οδηγία αυτή εγγυάται, «κατ’ αρχήν» την άμεση άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων (19). Τα υποκείμενα των δεδομένων έχουν δικαίωμα άμεσης πρόσβασης, εκτός εάν ισχύει κάποιος περιορισμός. Όταν ισχύει περιορισμός και, ως εκ τούτου, δεν υφίσταται πλέον η δυνατότητα άσκησης του δικαιώματος άμεσης πρόσβασης, το υποκείμενο των δεδομένων δύναται να ασκήσει τα δικαιώματά του έμμεσα μέσω της αρμόδιας εποπτικής αρχής, σύμφωνα με το άρθρο 17, παράγραφος 1, της οδηγίας 2016/680.
42. Όπως επισήμαναν η Γαλλική Κυβέρνηση και η Επιτροπή και όπως επίσης έχει υπογραμμίσει η ομάδα εργασίας του άρθρου 29 στη γνωμοδότησή της επί της οδηγίας 2016/680, η έμμεση άσκηση των δικαιωμάτων μέσω της αρμόδιας αρχής αποτελεί πρόσθετη εγγύηση υπέρ των υποκειμένων των δεδομένων όταν υφίστανται περιορισμοί (20). Η έμμεση άσκηση των δικαιωμάτων αποτελεί, ως πρόσθετη εγγύηση, σημαντική εξέλιξη σε σύγκριση με το προηγούμενο καθεστώς της απόφασης-πλαισίου 2008/977 (21). Πράγματι, υπό το καθεστώς της εν λόγω απόφασης-πλαισίου, η έμμεση πρόσβαση εξομοιωνόταν με την άμεση πρόσβαση (22). Θα ήταν αντίθετο προς τον ίδιο τον σκοπό εναρμόνισης που επιδιώκει η οδηγία 2016/680 εάν τα κράτη μέλη, παρά τις βελτιώσεις που επέφερε η οδηγία αυτή σε σχέση με τη δομή των δικαιωμάτων των υποκειμένων των δεδομένων, προέβλεπαν την έμμεση πρόσβαση όχι ως πρόσθετη εγγύηση για τα υποκείμενα των δεδομένων αλλά ως τη μοναδική δυνατότητά τους.
γ) Το καθεστώς έμμεσης άσκησης δικαιωμάτων κατά το άρθρο 42 του LPD
43. Το άρθρο 17 της οδηγίας 2016/680 μεταφέρθηκε στο βελγικό δίκαιο με το άρθρο 42 του LPD. Η πρώτη περίοδος του άρθρου 42 του LPD προβλέπει ότι τα υποκείμενα των δεδομένων οφείλουν να απευθύνουν κάθε αίτημα άσκησης των δικαιωμάτων τους σε σχέση με τις υπηρεσίες της αστυνομίας στο εποπτικό όργανο αστυνομικών πληροφοριών. Η δεύτερη περίοδος του άρθρου 42 του LPD προβλέπει ότι όταν ο υπεύθυνος επεξεργασίας περιορίζει ή αρνείται την πρόσβαση, η εν λόγω εποπτική αρχή γνωστοποιεί στο υποκείμενο των δεδομένων μόνον ότι έχουν διενεργηθεί όλες οι αναγκαίες επαληθεύσεις.
44. Φρονώ ότι το άρθρο 42 του LPD θεσπίζει καθεστώς παρέκκλισης από την αρχή της άμεσης άσκησης των δικαιωμάτων των υποκειμένων των δεδομένων όσον αφορά το σύνολο των δεδομένων που επεξεργάζονται οι αστυνομικές υπηρεσίες. Πράγματι, υπό το πρίσμα της ευρύτητας των δεδομένων στα οποία εφαρμόζεται το καθεστώς παρέκκλισης, το εν λόγω καθεστώς θεσπίζει γενική εξαίρεση από το δικαίωμα άμεσης πρόσβασης. Όπως εκτέθηκε ανωτέρω στο πλαίσιο των προκαταρκτικών παρατηρήσεων, μια τόσο ευρεία και γενική εξαίρεση από το δικαίωμα άμεσης πρόσβασης δεν μπορεί να θεωρηθεί συμβατή με την οδηγία 2016/680 (23). Όπως κατ’ ουσίαν επισήμανε το Conseil d’État (Συμβούλιο της Επικρατείας, Βέλγιο) με τη γνωμοδότησή του επί του νομοσχεδίου του LPD, η μετάβαση από τη δυνατότητα έμμεσης άσκησης των δικαιωμάτων του ενδιαφερόμενου στη νομοθετική επιταγή περί έμμεσης άσκησης των δικαιωμάτων αυτών αντίκειται στο άρθρο 17 της οδηγίας 2016/680 (24).
45. Η αντικατάσταση της άμεσης πρόσβασης από την έμμεση πρόσβαση δυνάμει του άρθρου 42 του LPD είναι ακόμη πιο προβληματική εάν ληφθεί υπόψη η περιορισμένη αρμοδιότητα του εποπτικού οργάνου αστυνομικών πληροφοριών. Όταν ερωτήθηκε σχετικώς κατά την επ’ ακροατηρίου συζήτηση, ο εκπρόσωπος της εν λόγω αρχής επιβεβαίωσε ότι, στο πλαίσιο της έμμεσης άσκησης των δικαιωμάτων του υποκειμένου των δεδομένων, το εποπτικό όργανο αστυνομικών πληροφοριών δύναται να γνωστοποιήσει στο υποκείμενο των δεδομένων μόνον ότι έχουν διενεργηθεί όλες οι αναγκαίες επαληθεύσεις. Υπενθυμίζεται, ωστόσο, ότι το καθεστώς έμμεσης πρόσβασης αποτελεί την εξαίρεση, η οποία προϋποθέτει ότι υφίστανται περιορισμοί των δικαιωμάτων των υποκειμένων των δεδομένων σύμφωνα με τους όρους της οδηγίας 2016/680. Αντιθέτως, σύμφωνα με το βελγικό σύστημα, το υποκείμενο των δεδομένων υποχρεούται να ζητήσει από την εποπτική αρχή να ασκήσει η ίδια τα δικαιώματά του όσον αφορά τα δεδομένα που επεξεργάζονται οι αστυνομικές υπηρεσίες. Το υποκείμενο των δεδομένων δεν μπορεί να έχει πρόσβαση στα δεδομένα που το αφορούν και δεν μπορεί να λάβει παρά μόνον την επιβεβαίωση ότι έχουν διενεργηθεί όλες οι αναγκαίες επαληθεύσεις. Ο εθνικός νομοθέτης φαίνεται να έχει υιοθετήσει μια υποκείμενη παραδοχή, κατά παρέκκλιση από την οδηγία 2016/680, ότι –όσον αφορά το σύνολο των δεδομένων που επεξεργάζεται η αστυνομία– τα δικαιώματα των υποκειμένων των δεδομένων είναι πάντοτε περιορισμένα και δεν επιτρέπεται άμεση πρόσβαση.
46. Λαμβανομένων υπόψη των ανωτέρω παρατηρήσεων, φρονώ ότι το άρθρο 42 του LPD θεσπίζει ένα καθεστώς έμμεσης άσκησης δικαιωμάτων το οποίο είναι ασυμβίβαστο με τον προβλεπόμενο από την οδηγία 2016/680 τρόπο άσκησης των δικαιωμάτων των υποκειμένων των δεδομένων. Με βάση ακριβώς την παρατήρηση αυτή πρέπει να εξεταστούν τα προδικαστικά ερωτήματα.
Επί τού πρώτου προδικαστικού ερωτήματος
47. Υπενθυμίζεται κατ’ αρχάς ότι, κατά πάγια νομολογία, στο πλαίσιο της προβλεπόμενης από το άρθρο 267 ΣΛΕΕ διαδικασίας συνεργασίας μεταξύ των εθνικών δικαστηρίων και του Δικαστηρίου, στο τελευταίο απόκειται να δώσει στο εθνικό δικαστήριο χρήσιμη απάντηση η οποία θα του παρέχει τη δυνατότητα επίλυσης της διαφοράς της οποίας έχει επιληφθεί. Υπό το πρίσμα αυτό, το Δικαστήριο μπορεί να αναδιατυπώσει, εφόσον είναι αναγκαίο, το ερώτημα που του έχει υποβληθεί. Προς τούτο, το Δικαστήριο μπορεί να συναγάγει από το σύνολο των στοιχείων που του παρέχει το εθνικό δικαστήριο, ιδίως δε από το σκεπτικό της απόφασης περί παραπομπής, εκείνα τα στοιχεία του δικαίου της Ένωσης τα οποία χρήζουν ερμηνείας, λαμβανομένου υπόψη του αντικειμένου της διαφοράς της κύριας δίκης (25).
48. Εν προκειμένω, από την απόφαση περί παραπομπής προκύπτει ότι, με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί την ερμηνεία του άρθρου 17 της οδηγίας 2016/680. Διερωτάται, κατ’ ουσίαν, εάν η διάταξη αυτή, ερμηνευόμενη υπό το πρίσμα του άρθρου 47 και του άρθρου 8, παράγραφος 3, του Χάρτη, έχει την έννοια ότι το υποκείμενο των δεδομένων πρέπει, σε περίπτωση άσκησης των δικαιωμάτων του μέσω ανεξάρτητης εποπτικής αρχής, να μπορεί να ασκήσει δικαστική προσφυγή κατά της τελευταίας.
49. Προκαταρκτικώς, επισημαίνεται ότι το αιτούν δικαστήριο υποβάλλει το ερώτημα αυτό διότι φρονεί ότι το βελγικό δίκαιο δεν προβλέπει δικαίωμα δικαστικής προσφυγής κατά εποπτικής αρχής όταν η τελευταία ασκεί έμμεσα τα δικαιώματα του υποκειμένου των δεδομένων. Συναφώς, αναφέρει, πρώτον, ότι η διάταξη αυτή δεν έχει μεταφερθεί ορθά στο εθνικό δίκαιο, δεδομένου ότι το άρθρο 42 του LPD δεν προβλέπει υποχρέωση της εποπτικής αρχής να ενημερώνει το υποκείμενο των δεδομένων για το δικαίωμά του δικαστικής προσφυγής. Δεύτερον, το αιτούν δικαστήριο εκτιμά ότι καμία άλλη διάταξη του LPD, ιδίως τα άρθρα του 209 επ. και 240, δεν επιτρέπει στο υποκείμενο των δεδομένων να προσφύγει κατά της εποπτικής αρχής σε περίπτωση έμμεσης άσκησης των δικαιωμάτων του (26).
50. Με τις γραπτές παρατηρήσεις της, η Βελγική Κυβέρνηση υποστήριξε ότι, ανεξαρτήτως της ερμηνείας της δεύτερης περιόδου του άρθρου 209 του LPD, το βελγικό νομικό σύστημα προβλέπει, υπό τις περιστάσεις της κύριας δίκης, αποτελεσματικό δικαστικό έλεγχο. Συναφώς, ισχυρίζεται ότι τα ειδικά μέσα έννομης προστασίας που προβλέπονται στον LPD δεν θίγουν τη γενική δικαιοδοσία των πολιτικών δικαστηρίων. Τούτου λεχθέντος, η Βελγική Κυβέρνηση ορθώς επισημαίνει ότι, κατά πάγια νομολογία, το Δικαστήριο είναι αρμόδιο να αποφαίνεται αποκλειστικώς επί της ερμηνείας ή του κύρους νομοθετήματος της Ένωσης βάσει των πραγματικών περιστατικών που του εκθέτει το εθνικό δικαστήριο. Αντιθέτως, εναπόκειται αποκλειστικώς στο αιτούν δικαστήριο να ερμηνεύσει την εθνική νομοθεσία (27).
α) Τα μέσα έννομης προστασίας που έχει στη διάθεσή του το υποκείμενο των δεδομένων
51. Προκειμένου να διαπιστωθεί εάν το υποκείμενο των δεδομένων έχει δικαίωμα δικαστικής προσφυγής κατά της εποπτικής αρχής σε περίπτωση έμμεσης άσκησης των δικαιωμάτων του, υπενθυμίζεται ότι η οδηγία 2016/680 απαριθμεί, στο κεφάλαιο VIII, σειρά μέσων έννομης προστασίας υπέρ των υποκειμένων των δεδομένων. Τα υποκείμενα των δεδομένων έχουν δικαίωμα να υποβάλουν καταγγελία σε εποπτική αρχή σύμφωνα με το άρθρο 52 της οδηγίας 2016/680. Το άρθρο 53, παράγραφος 1, της οδηγίας 2016/680 προβλέπει ότι τα υποκείμενα των δεδομένων έχουν δικαίωμα αποτελεσματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που τα αφορά. Το άρθρο 53, παράγραφος 2, της ίδιας οδηγίας ορίζει ότι κάθε υποκείμενο δεδομένων έχει δικαίωμα αποτελεσματικής δικαστικής προσφυγής, εφόσον η εποπτική αρχή δεν εξετάσει την καταγγελία ή δεν ενημερώσει το υποκείμενο των δεδομένων εντός τριών μηνών για την πρόοδο ή την έκβαση της καταγγελίας. Επιπλέον, τα υποκείμενα των δεδομένων έχουν δικαίωμα αποτελεσματικής δικαστικής προσφυγής κατά του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία εάν εκτιμούν ότι υπέστησαν προσβολή των δικαιωμάτων τους λόγω της παράνομης επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα. Όλες οι ανωτέρω διατάξεις αναφέρουν ότι έκαστο εκ των μέσων αυτών έννομης προστασίας μπορεί να ασκηθεί «[μ]ε την επιφύλαξη οποιασδήποτε άλλης διοικητικής ή μη δικαστικής προσφυγής».
52. Όσον αφορά το δικαίωμα πραγματικής δικαστικής προσφυγής κατά της εποπτικής αρχής, η αιτιολογική σκέψη 86 της οδηγίας 2016/680 αναφέρει ότι το δικαίωμα αυτό μπορεί να ασκηθεί κατά «απόφασης εποπτικής αρχής η οποία παράγει έννομα αποτελέσματα [έναντι του υποκειμένου των δεδομένων]». Η ίδια αιτιολογική σκέψη διευκρινίζει ότι οι αποφάσεις αυτές αφορούν ιδίως την άσκηση των εξουσιών έρευνας και των διορθωτικών και αδειοδοτικών εξουσιών από την εποπτική αρχή ή τις περιπτώσεις στις οποίες οι καταγγελίες θεωρούνται απαράδεκτες ή απορρίπτονται, πλην όμως το δικαίωμα αυτό πραγματικής δικαστικής προσφυγής δεν καλύπτει «άλλα μέτρα των εποπτικών αρχών που δεν είναι νομικά δεσμευτικά, όπως οι γνωμοδοτήσεις ή οι συμβουλές που παρέχονται από την εποπτική αρχή».
53. Από το άρθρο 53, παράγραφος 1, της οδηγίας 2016/680, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης της 86, προκύπτει ότι το υποκείμενο των δεδομένων έχει δικαίωμα να προσβάλει απόφαση ή μέτρο εποπτικής αρχής που παράγει δεσμευτικά έννομα αποτελέσματα.
54. Συναφώς, υπενθυμίζεται ότι το δικαίωμα πραγματικής προσφυγής, το οποίο κατοχυρώνεται στο άρθρο 47 του Χάρτη, πρέπει να αναγνωρίζεται σε κάθε πρόσωπο που επικαλείται δικαιώματα ή ελευθερίες που διασφαλίζονται από το δίκαιο της Ένωσης κατά βλαπτικής γι’ αυτό απόφασης, ικανής να θίξει τα εν λόγω δικαιώματα ή ελευθερίες (28).
55. Στη συνέχεια, επισημαίνεται ότι βλαπτικές πράξεις συνιστούν «οι πράξεις ή τα μέτρα που παράγουν δεσμευτικά έννομα αποτελέσματα ικανά να επηρεάσουν ευθέως και αμέσως τα συμφέροντα του προσφεύγοντος μεταβάλλοντας ουσιωδώς τη νομική του κατάσταση» (29). Συναφώς, πρέπει να εξετάζεται η ουσία της εν λόγω πράξης και να εκτιμώνται τα αποτελέσματά της με γνώμονα αντικειμενικά κριτήρια, όπως το περιεχόμενο της ίδιας της πράξης, λαμβανομένων ενδεχομένως υπόψη του πλαισίου εντός του οποίου εκδόθηκε και των εξουσιών του θεσμικού οργάνου που την εξέδωσε (30).
β) Οι εξουσίες της εποπτικής αρχής στο πλαίσιο της έμμεσης άσκησης δικαιωμάτων
56. Υπό το πρίσμα των στοιχείων που προσδιορίζουν μια βλαπτική πράξη, προκειμένου να καθοριστεί εάν μια εποπτική αρχή εκδίδει νομικά δεσμευτική απόφαση, όταν ασκεί έμμεσα τα δικαιώματα του υποκειμένου των δεδομένων, σύμφωνα με το άρθρο 17 της οδηγίας 2016/680, είναι αναγκαίο να εξεταστεί το περιεχόμενο ή η ουσία της πράξης της εποπτικής αρχής, λαμβανομένων υπόψη του πλαισίου εντός του οποίου εκδόθηκε η πράξη αυτή και των εξουσιών της εν λόγω αρχής.
57. Όσον αφορά, πρώτον, την ουσία της πράξης της εποπτικής αρχής, διευκρινίζεται εξαρχής ότι η ικανότητα μιας πράξης να παράγει άμεσα αποτελέσματα επί της νομικής κατάστασης φυσικού ή νομικού προσώπου δεν μπορεί να εκτιμάται με μόνο γνώμονα το γεγονός ότι η πράξη αυτή περιβάλλεται τη μορφή μηνύματος ηλεκτρονικού ταχυδρομείου (όπως στην περίπτωση της διαφοράς της κύριας δίκης), καθόσον τούτο θα είχε ως συνέπεια να υπερισχύει η μορφή της πράξης που αποτελεί το αντικείμενο της προσφυγής έναντι της ίδιας της ουσίας της πράξης (31).
58. Το άρθρο 17, παράγραφος 1, της οδηγίας 2016/680 προβλέπει ότι τα δικαιώματα του υποκειμένου των δεδομένων είναι δυνατόν να ασκούνται «μέσω» της αρμόδιας εποπτικής αρχής. Η αιτιολογική σκέψη 48 της οδηγίας αυτής αναφέρει ότι η εποπτική αρχή δρα «εκ μέρους» του υποκειμένου των δεδομένων. Σύμφωνα με το άρθρο 17, παράγραφος 1, της ίδιας οδηγίας, η εποπτική αρχή «γνωστοποιεί» στο υποκείμενο των δεδομένων τουλάχιστον ότι έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις ή η επανεξέταση από την εποπτική αρχή.
59. Το εποπτικό όργανο αστυνομικών πληροφοριών υποστηρίζει ότι από τη διατύπωση των εν λόγω διατάξεων προκύπτει ότι η εποπτική αρχή ενεργεί απλώς βάσει της εντολής που έλαβε εκ μέρους του υποκειμένου των δεδομένων ως αγγελιαφόρος που απλώς παρέχει πληροφορίες στο τελευταίο. Ως εκ τούτου, η πράξη που εκδίδει η εν λόγω αρχή δεν μπορεί να θεωρηθεί ότι παράγει δεσμευτικά έννομα αποτελέσματα έναντι του υποκειμένου των δεδομένων. Η Τσεχική Κυβέρνηση προβάλλει παρόμοιο επιχείρημα.
60. Δεν θα διαφωνήσω ότι αυτή καθεαυτήν η διατύπωση που χρησιμοποιείται όσον αφορά την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων «μέσω» της εποπτικής αρχής ή τη δράση της εποπτικής αρχής «εκ μέρους» του υποκειμένου των δεδομένων θα μπορούσε να εκληφθεί υπό την έννοια ότι η εποπτική αρχή έχει απλώς καθήκον ενημέρωσης.
61. Φρονώ, ωστόσο, ότι από την εξέταση του πλαισίου της πράξης και των εξουσιών της εποπτικής αρχής δεν επιβεβαιώνεται η άποψη περί απλής εντολής. Στο πλαίσιο της έμμεσης άσκησης των δικαιωμάτων του υποκειμένου των δεδομένων, ο ρόλος της εποπτικής αρχής βαίνει πολύ πέραν της λειτουργίας κατά τρόπο παρόμοιο με εκείνον του «αντιπροσώπου» του υποκειμένου των δεδομένων ως «αγγελιαφόρου» ή ενδιάμεσου. Τουναντίον, όπως πρόκειται να καταδείξω, ο νομοθέτης της Ένωσης έχει αναθέσει στην εποπτική αρχή πρωταγωνιστικό και ενεργό ρόλο στην επαλήθευση της νομιμότητας της επεξεργασίας δεδομένων, τον οποίο μόνο μια δημόσια αρχή μπορεί να επιτελέσει.
62. Ειδικότερα, όπως υποστήριξαν η Επιτροπή και η Βελγική Κυβέρνηση, το άρθρο 17 της οδηγίας 2016/680 πρέπει να ερμηνεύεται σε συνδυασμό με τις διατάξεις του τμήματος 2 του κεφαλαίου VI της εν λόγω οδηγίας, το οποίο θεσπίζει τους κανόνες σχετικά με την αρμοδιότητα, τα καθήκοντα και τις εξουσίες των ανεξάρτητων εποπτικών αρχών. Το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, της οδηγίας προβλέπει ότι η εποπτική αρχή «ελέγχει τη νομιμότητα της επεξεργασίας δυνάμει του άρθρου 17 και ενημερώνει το υποκείμενο των δεδομένων εντός εύλογου χρονικού διαστήματος για την έκβαση του ελέγχου σύμφωνα με την παράγραφο 3 του εν λόγω άρθρου ή για τους λόγους για τους οποίους δεν διενεργήθηκε ο έλεγχος».
63. Η Βελγική Κυβέρνηση ορθώς επισήμανε κατά την απάντησή της σε γραπτή ερώτηση του Δικαστηρίου ότι το συγκεκριμένο καθήκον ελέγχου της νομιμότητας της επεξεργασίας καταδεικνύει ότι ο ρόλος της εποπτικής αρχής δεν περιορίζεται στο να ενεργεί ως απλός «αγγελιαφόρος» μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας. Αντιθέτως, η αρχή αυτή προβαίνει σε δική της νομική αξιολόγηση της νομιμότητας της επεξεργασίας.
64. Επιπλέον, προκειμένου να επιτελέσει τον ρόλο της ως οργάνου που διενεργεί ανεξάρτητο έλεγχο επί της νομιμότητας της επεξεργασίας, κάθε εποπτική αρχή διαθέτει ορισμένες εξουσίες επιβολής σύμφωνα με το άρθρο 47 της οδηγίας 2016/680. Πρόκειται για «αποτελεσματικές ερευνητικές εξουσίες», οι οποίες περιλαμβάνουν τουλάχιστον την «εξουσία [της εποπτικής αρχής] να αποκτά, από τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία, πρόσβαση σε όλα τα δεδομένα προσωπικού χαρακτήρα που αποτελούν αντικείμενο επεξεργασίας» καθώς και για «διορθωτικές» εξουσίες, συμπεριλαμβανομένης της εξουσίας της αρχής αυτής να διατάξει τη διόρθωση ή τη διαγραφή δεδομένων προσωπικού χαρακτήρα ή τον περιορισμό της επεξεργασίας. Επιπλέον, σύμφωνα με το άρθρο 47, παράγραφος 5, οι εποπτικές αρχές έχουν την εξουσία να μετέχουν σε νομικές διαδικασίες με σκοπό την επιβολή των κανόνων προστασίας δεδομένων που θεσπίζονται δυνάμει της οδηγίας 2016/680. Συμφωνώ με την Επιτροπή, η οποία επισήμανε, συναφώς, ότι η εποπτική αρχή μπορεί να ασκήσει τις εξουσίες αυτές μόνο για δικό της λογαριασμό ως δημόσια αρχή και όχι ως απλός αντιπρόσωπος του υποκειμένου των δεδομένων ή επ’ ονόματί του.
65. Όταν η εποπτική αρχή ενημερώνει το υποκείμενο των δεδομένων για το αποτέλεσμα του ελέγχου που έχει διενεργηθεί σύμφωνα με το άρθρο 17, παράγραφος 3, και το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, της οδηγίας 2016/680, έχει κατ’ ανάγκην ολοκληρώσει τη διαδικασία λήψης αποφάσεων όσον αφορά τη νομιμότητα της επεξεργασίας. Επομένως, η νομική θέση του υποκειμένου των δεδομένων επηρεάζεται, αφενός, από το κατά πόσον η εποπτική αρχή έχει επιτελέσει ορθά το ανατιθέμενο σε αυτήν καθήκον να «ελέγ[ξ]ει τη νομιμότητα της επεξεργασίας δυνάμει του άρθρου 17» και, αφετέρου, από το συμπέρασμα στο οποίο καταλήγει η αρχή αυτή κατά το πέρας της εν λόγω διαδικασίας.
66. Η αναγνώριση αυτόνομου ρόλου στην εποπτική αρχή δυνάμει του άρθρου 17 της οδηγίας 2016/680, σε αντίθεση με τον ρόλο ενός απλού ενδιάμεσου, επιβεβαιώνεται από την ερμηνεία της οδηγίας υπό το πρίσμα του Χάρτη. Το άρθρο 8, παράγραφος 3, του Χάρτη αναθέτει σε ανεξάρτητη αρχή τον έλεγχο του κατά πόσον τηρούνται οι κανόνες για την προστασία των δεδομένων και ειδικότερα το δικαίωμα πρόσβασης στα δεδομένα. Ο ρόλος των αρχών προστασίας δεδομένων περιβάλλεται με συνταγματική ισχύ λόγω της σχετικής αναφοράς που περιέχει ο Χάρτης. Ο ρόλος της παρακολούθησης της εφαρμογής της οδηγίας 2016/680 καθώς και της επιβολής της ανήκει στην εποπτική αρχή. Μια ερμηνεία σύμφωνα με την οποία η εν λόγω αρχή ενεργεί ανεξάρτητα από το υποκείμενο των δεδομένων όταν ασκεί έμμεσα τα δικαιώματά του προάγει τον συνταγματικό ρόλο της εποπτικής αρχής.
67. Επιπλέον, εάν γινόταν δεκτό ότι η εποπτική αρχή ενεργεί κατά τρόπο παρόμοιο με εκείνον του «αντιπροσώπου» του υποκειμένου των δεδομένων, τότε η αρχή αυτή θα έπρεπε να ενημερώνει το υποκείμενο των δεδομένων ως εντολέα της. Ωστόσο, το εποπτικό όργανο αστυνομικών πληροφοριών υποστηρίζει ότι δεν έχει την εξουσία να παρέχει περισσότερες πληροφορίες στο υποκείμενο των δεδομένων. Η προσέγγιση αυτή οδηγεί σε μια ιδιαίτερη κατάσταση στην οποία ο αντιπρόσωπος θα ήταν πιο ενημερωμένος από τον εντολέα.
68. Κατά την επ’ ακροατηρίου συζήτηση, η Γαλλική Κυβέρνηση υποστήριξε, κατ’ ουσίαν, ότι, σε αντίθεση με την περίπτωση κατά την οποία η εποπτική αρχή επιλαμβάνεται, σύμφωνα με το άρθρο 46, παράγραφος 1, στοιχείο στʹ, της οδηγίας 2016/680, καταγγελιών, η εν λόγω αρχή δεν έχει κανενός είδους εξουσία έναντι του υπευθύνου επεξεργασίας δυνάμει του άρθρου 46, παράγραφος 1, στοιχείο ζʹ, της ίδιας οδηγίας. Κατά την άποψη της Γαλλικής Κυβέρνησης, αφ’ ης στιγμής το υποκείμενο των δεδομένων δεν έχει εξουσίες έναντι του υπευθύνου επεξεργασίας όταν ασκεί απευθείας τα δικαιώματά του, δεν μπορεί να έχει τέτοιες εξουσίες όταν ασκεί έμμεσα τα εν λόγω δικαιώματα μέσω της εποπτικής αρχής. Η Γαλλική Κυβέρνηση υποστήριξε ότι το άρθρο 47 της οδηγίας 2016/680 αφορά μόνον τις εξουσίες που ασκεί η εποπτική αρχή για δικό της λογαριασμό και όχι τις αρμοδιότητες που ασκεί εκ μέρους του υποκειμένου των δεδομένων.
69. Η άποψη της Γαλλικής Κυβέρνησης στηρίζεται, κατ’ ουσίαν, στη θέση ότι η εποπτική αρχή ενεργεί απλώς ως ενδιάμεσος του υποκειμένου των δεδομένων. Για τους λόγους που προανέφερα, διαφωνώ με μια τέτοια περιοριστική ερμηνεία του ρόλου της εποπτικής αρχής. Η έμμεση άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων πρέπει να έχει προστιθέμενη αξία, ήτοι να αποτελεί πρόσθετη εγγύηση και προστασία για το υποκείμενο των δεδομένων. Εάν η εποπτική αρχή καλούνταν απλώς να επιβεβαιώσει, σε κάθε περίπτωση, ότι έχουν διενεργηθεί οι αναγκαίες επαληθεύσεις χωρίς να είναι σε θέση να ασκήσει τις εξουσίες της, ο ρόλος της ως προς την επαλήθευση της νομιμότητας της επεξεργασίας θα είχε περιορισμένη προστιθέμενη αξία.
70. Συναφώς, το άρθρο 17 της οδηγίας 2016/680 προβλέπει ότι η εποπτική αρχή γνωστοποιεί στο υποκείμενο των δεδομένων «τουλάχιστον» ότι έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις. Τούτο σημαίνει ότι ενδέχεται να υπάρξουν περιπτώσεις στις οποίες η εποπτική αρχή δύναται ή οφείλει να μην περιοριστεί στην ελάχιστη ενημέρωση. Η ερμηνεία αυτή ενισχύεται από το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, της οδηγίας 2016/680, το οποίο αναθέτει στην εποπτική αρχή καθήκοντα ελέγχου της νομιμότητας της επεξεργασίας δυνάμει του άρθρου 17 της οδηγίας 2016/680 και ενημέρωσης του υποκειμένου των δεδομένων για την έκβαση του ελέγχου σύμφωνα με την παράγραφο 3 του εν λόγω άρθρου. Η «έκβαση του ελέγχου» περιλαμβάνει την παροχή των ελάχιστων πληροφοριών, πλην όμως δεν περιορίζεται πάντοτε σε αυτήν.
71. Όπως επισήμανε η Επιτροπή, το άρθρο 17 της οδηγίας 2016/680 παρέχει διακριτική ευχέρεια στην εποπτική αρχή. Δεν παρέχει διακριτική ευχέρεια στα κράτη μέλη να περιορίσουν τον ρόλο της αρχής σε ρόλο αγγελιαφόρου ή να εξαλείψουν εντελώς το περιθώριο διακριτικής ευχέρειας της εν λόγω αρχής προβλέποντας ότι η τελευταία πρέπει να παρέχει μόνον τις ελάχιστες πληροφορίες. Πράγματι, εάν ένα κράτος μέλος μπορούσε να παρεκκλίνει από την οδηγία 2016/680 και να αναθέτει λιγότερες εξουσίες στις εποπτικές αρχές, τούτο θα υπονόμευε σοβαρά τον σκοπό της ενίσχυσης των δικαιωμάτων των υποκειμένων των δεδομένων και της εναρμόνισης των εξουσιών παρακολούθησης και διασφάλισης της τήρησης των κανόνων προστασίας δεδομένων στα κράτη μέλη. Κάτι τέτοιο θα υπονόμευε και τον σκοπό της ενίσχυσης της διαφάνειας και του ελέγχου που επιδιώκει η εν λόγω οδηγία.
72. Κατά την επ’ ακροατηρίου συζήτηση, το εποπτικό όργανο αστυνομικών πληροφοριών εξέφρασε την ανησυχία του για την αναγνώριση ενός ρόλου που βαίνει πέραν αυτού του απλού εντολέα του υποκειμένου των δεδομένων. Υποστήριξε ότι, στο πλαίσιο του άρθρου 17 της οδηγίας 2016/680, η εποπτική αρχή δεν μπορεί να αποφανθεί επί της σκοπιμότητας ορισμένης πράξης του υπευθύνου επεξεργασίας ούτε να σταθμίσει τα συμφέροντα που συνδέονται με την κοινοποίηση των σχετικών πληροφοριών. Η αρχή αυτή υποστήριξε ότι, σε αντίθετη περίπτωση, θα ήταν υποχρεωμένη να υποκαταστήσει τον υπεύθυνο επεξεργασίας, πράγμα που θα έθιγε την ανεξαρτησία της.
73. Συναφώς, η διακριτική ευχέρεια που διαθέτει η εποπτική αρχή δυνάμει του άρθρου 17 της οδηγίας 2016/680 δεν πρέπει να εκληφθεί ως εξουσία να υποκαθιστά τον υπεύθυνο επεξεργασίας και να παρέχει αυτόματη πρόσβαση σε πληροφορίες που ο υπεύθυνος επεξεργασίας αρνήθηκε να κοινοποιήσει. Χάρη στην ανεξαρτησία της, η εποπτική αρχή διεξάγει εμπιστευτικό διάλογο με τον υπεύθυνο επεξεργασίας προκειμένου να επαληθεύσει τη νομιμότητα της επεξεργασίας. Όπως κατ’ ουσίαν υποστήριξε η Επιτροπή, ο διάλογος αυτός απορρέει από την υποχρέωση του υπευθύνου επεξεργασίας, σύμφωνα με το άρθρο 15, παράγραφος 4, της οδηγίας 2016/680, να θέτει στη διάθεση της εποπτικής αρχής τους πραγματικούς ή νομικούς λόγους επί των οποίων βασίζεται η απόφαση για τον περιορισμό του δικαιώματος πρόσβασης.
74. Εάν, στο πλαίσιο του διαλόγου αυτού, η εποπτική αρχή κρίνει ότι οι περιορισμοί των δικαιωμάτων του υποκειμένου των δεδομένων δεν είναι δικαιολογημένοι, πρέπει να παράσχει στον υπεύθυνο επεξεργασίας τη δυνατότητα να διορθώσει την κατάσταση αυτή. Μετά την ολοκλήρωση του διαλόγου αυτού, το άρθρο 17, παράγραφος 3, της οδηγίας 2016/680 παρέχει στην εποπτική αρχή περιθώριο διακριτικής ευχέρειας όσον αφορά την έκταση των πληροφοριών που μπορεί να γνωστοποιήσει στο υποκείμενο των δεδομένων σχετικά με το αποτέλεσμα της επαλήθευσής της. Ο καθορισμός της έκτασης των πληροφοριών που μπορεί να γνωστοποιήσει η εποπτική αρχή πρέπει να αξιολογείται κατά περίπτωση σύμφωνα με την αρχή της αναλογικότητας. Επιπλέον, η εποπτική αρχή πρέπει να είναι σε θέση να διασφαλίζει την τήρηση των κανόνων της οδηγίας 2016/680 και να ασκεί τις εξουσίες που προβλέπονται στο άρθρο 47 της οδηγίας αυτής. Η διάταξη αυτή δεν προβλέπει κανέναν περιορισμό όσον αφορά την άσκηση των εξουσιών αυτών στο πλαίσιο του άρθρου 17 της εν λόγω οδηγίας. Αντιθέτως, οι αποτελεσματικές εξουσίες της εποπτικής αρχής αποτελούν αναγκαίο και ισχυρό αντίβαρο στον περιορισμό του δικαιώματος πρόσβασης του υποκειμένου των δεδομένων.
γ) Ιεράρχηση των δικαστικών προσφυγών
75. Τέλος, το εποπτικό όργανο αστυνομικών πληροφοριών και η Τσεχική Κυβέρνηση προέβαλαν ένα επιχείρημα σχετικά με την ιεράρχηση των δικαστικών προσφυγών. Υποστηρίζουν, κατ’ ουσίαν, ότι, στο πλαίσιο της έμμεσης άσκησης δικαιωμάτων μέσω της εποπτικής αρχής, το δικαίωμα δικαστικής προσφυγής πρέπει, σύμφωνα με το άρθρο 54 της οδηγίας 2016/680, να ασκείται κατά του υπευθύνου επεξεργασίας, και όχι κατά της εποπτικής αρχής, εκτός εάν η τελευταία παραλείπει να ενεργήσει.
76. Συναφώς, επισημαίνεται ότι από καμία από τις διατάξεις της οδηγίας 2016/680 δεν προκύπτει ότι τα μέσα έννομης προστασίας που προβλέπονται στην εν λόγω οδηγία είναι αμοιβαίως αποκλειόμενα. Αντιθέτως, από το γράμμα των προαναφερθέντων άρθρων 52, 53 και 54 της οδηγίας 2016/680 (32) προκύπτει ότι οι διατάξεις αυτές παρέχουν διάφορα μέσα έννομης προστασίας στα πρόσωπα που προβάλλουν παράβαση της εν λόγω οδηγίας, το καθένα δε από τα εν λόγω μέσα πρέπει να μπορεί να ασκηθεί «με την επιφύλαξη» των λοιπών (33). Υπενθυμίζεται ότι, όσον αφορά τη σχέση μεταξύ των μέσων έννομης προστασίας που προβλέπονται στον κανονισμό (ΕΕ) 2016/679 (34), το Δικαστήριο έχει κρίνει με την απόφαση Nemzeti ότι ο εν λόγω κανονισμός «δεν προβλέπει κατά προτεραιότητα ή αποκλειστική αρμοδιότητα ούτε οποιονδήποτε κανόνα σύμφωνα με τον οποίο υπερισχύει η κρίση την οποία διατύπωσε η αρχή ή τα δικαστήρια που μνημονεύονται σε αυτόν ως προς την ύπαρξη προσβολής των δικαιωμάτων που παρέχει ο κανονισμός» (35).
77. Σε αντίθεση με τη θέση της Γαλλικής Κυβέρνησης και του εποπτικού οργάνου αστυνομικών πληροφοριών, φρονώ ότι το σκεπτικό της απόφασης Nemzeti έχει κατ’ αναλογίαν εφαρμογή στην υπό κρίση υπόθεση όσον αφορά τα μέσα έννομης προστασίας που προβλέπονται στην οδηγία 2016/680. Πρώτον, τα μέσα έννομης προστασίας που έχει στη διάθεσή του το υποκείμενο των δεδομένων κατά της εποπτικής αρχής και του υπευθύνου επεξεργασίας δυνάμει του κανονισμού 2016/679 και της οδηγίας 2016/680 είναι παρόμοια. Δεύτερον, η αιτιολογική σκέψη 7 της οδηγίας 2016/680 αναφέρει ότι η ουσιαστική προστασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση απαιτεί την ενίσχυση των δικαιωμάτων των υποκειμένων των δεδομένων (36). Η παροχή σειράς μέσων έννομης προστασίας ενισχύει και τον σκοπό της αιτιολογικής σκέψης 85 της οδηγίας 2016/680 να διασφαλίζεται το δικαίωμα πραγματικής δικαστικής προσφυγής σύμφωνα με το άρθρο 47 του Χάρτη για κάθε υποκείμενο των δεδομένων που θεωρεί ότι τα δικαιώματά του έχουν υποστεί προσβολή συνεπεία των διατάξεων που θεσπίστηκαν κατ’ εφαρμογήν της εν λόγω οδηγίας.
78. Επισημαίνεται επίσης ότι το μέσο έννομης προστασίας κατά της εποπτικής αρχής και το μέσο έννομης προστασίας κατά του υπευθύνου επεξεργασίας επιτελούν διαφορετικούς σκοπούς. Αφενός, όπως ορθώς σημείωσε η Επιτροπή, ο σκοπός της προσφυγής κατά της απόφασης του υπευθύνου επεξεργασίας με την οποία περιορίζει τα δικαιώματα του υποκειμένου των δεδομένων έγκειται στον δικαστικό έλεγχο της ορθής εφαρμογής του άρθρου 13, παράγραφος 3, του άρθρου 15, παράγραφος 3, και του άρθρου 16, παράγραφος 4, της οδηγίας 2016/680. Αφετέρου, η προσφυγή κατά της εποπτικής αρχής αποσκοπεί στον δικαστικό έλεγχο της ορθής εφαρμογής του άρθρου 17 και του άρθρου 46, παράγραφος 1, στοιχείο ζʹ, της οδηγίας 2016/680, όπερ συνεπάγεται την εξέταση του κατά πόσον η εν λόγω εποπτική αρχή επιτέλεσε ορθά το καθήκον της να επαληθεύσει τη νομιμότητα της επεξεργασίας.
79. Σημειώνεται επίσης ότι το σύστημα δικαστικής προστασίας δεν θα ήταν συνεπές και πλήρες εάν το υποκείμενο των δεδομένων μπορούσε να προσβάλει μόνον την αδράνεια της εποπτικής αρχής, χωρίς να μπορεί να αμφισβητήσει δικαστικά τις ενέργειές της και τον τρόπο με τον οποίο η αρχή αυτή εκπλήρωσε τις υποχρεώσεις της.
80. Σε κάθε περίπτωση, στο πλαίσιο της διαφοράς της κύριας δίκης, φαίνεται ότι είναι αδύνατη η άσκηση προσφυγής κατά του υπευθύνου επεξεργασίας. Από τη διάταξη περί παραπομπής προκύπτει ότι τα υποκείμενα των δεδομένων δεν μπορούν να στραφούν κατά του υπευθύνου επεξεργασίας, δεδομένου ότι η άσκηση του συνόλου των δικαιωμάτων τους έχει ανατεθεί στο εποπτικό όργανο αστυνομικών πληροφοριών. Η Ligue des droits humains υποστήριξε, επιπλέον, ότι στο πλαίσιο του βελγικού συστήματος αστυνομικών βάσεων δεδομένων είναι πολύ δύσκολο για το υποκείμενο των δεδομένων ακόμη και να εντοπίσει τον υπεύθυνο επεξεργασίας. Υπό τις συνθήκες αυτές, το υποκείμενο των δεδομένων κινδυνεύει να στερηθεί πλήρως του δικαιώματός του αποτελεσματικής δικαστικής προστασίας, καθόσον δεν γνωρίζει ποιος είναι ο υπεύθυνος επεξεργασίας, ενώ ακόμη και αν τον γνώριζε, δεν θα είχε δικαίωμα να στραφεί ευθέως κατ’ αυτού. Επιπλέον, δεν μπορεί να αμφισβητήσει τη δράση του εποπτικού οργάνου αστυνομικών πληροφοριών. Εξ όσων αντιλαμβάνομαι, το υποκείμενο των δεδομένων βρίσκεται αντιμέτωπο με ένα σύστημα όπου «όλες οι πόρτες είναι κλειστές», πράγμα που αντιβαίνει στην οδηγία 2016/680.
81. Λαμβανομένων υπόψη των ανωτέρω, εκτιμώ ότι το άρθρο 17 της οδηγίας 2016/680, σε συνδυασμό με το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, της εν λόγω οδηγίας και υπό το πρίσμα του άρθρου 47 και του άρθρου 8, παράγραφος 3, του Χάρτη, έχει την έννοια ότι το υποκείμενο των δεδομένων πρέπει να μπορεί να ασκήσει δικαστική προσφυγή κατά ανεξάρτητης εποπτικής αρχής όταν ασκεί τα δικαιώματά του μέσω της εν λόγω αρχής, στον βαθμό που το μέσο αυτό έννομης προστασίας αφορά το καθήκον της εποπτικής αρχής να ελέγχει τη νομιμότητα της επεξεργασίας.
Επί του δευτέρου προδικαστικού ερωτήματος
82. Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο διερωτάται, κατ’ ουσίαν, εάν το άρθρο 17 της οδηγίας 2016/680 συνάδει με το άρθρο 8, παράγραφος 3, και το άρθρο 47 του Χάρτη κατά το μέρος που υποχρεώνει την εποπτική αρχή να ενημερώσει το υποκείμενο των δεδομένων μόνον i) ότι «έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις ή η επανεξέταση από την εποπτική αρχή» και ii) για «το δικαίωμά του να ασκήσει δικαστική προσφυγή», μολονότι η ενημέρωση αυτή δεν επιτρέπει τον εκ των υστέρων έλεγχο επί της δράσης και της εκτίμησης της εποπτικής αρχής όσον αφορά το υποκείμενο αυτό υπό το πρίσμα των υποχρεώσεων που βαρύνουν τον υπεύθυνο επεξεργασίας.
83. Προκαταρκτικώς, υπενθυμίζεται ότι, κατά γενική ερμηνευτική αρχή, μια πράξη της Ένωσης πρέπει να ερμηνεύεται, στο μέτρο του δυνατού, κατά τρόπο που να μη θίγει το κύρος της και να συνάδει με το σύνολο του πρωτογενούς δικαίου και, ιδίως, με τις διατάξεις του Χάρτη. Ως εκ τούτου, όταν πράξη του παράγωγου δικαίου της Ένωσης επιδέχεται περισσότερες από μία ερμηνείες, πρέπει να προτιμάται η ερμηνεία που καθιστά τη διάταξη σύμφωνη με το πρωτογενές δίκαιο, και όχι εκείνη η οποία θα συνεπαγόταν το ασυμβίβαστό της με το πρωτογενές δίκαιο (37).
84. Όπως εκτέθηκε στο πλαίσιο των προκαταρκτικών παρατηρήσεων καθώς και κατά την εξέταση του πρώτου προδικαστικού ερωτήματος, το άρθρο 17 της οδηγίας 2016/680 προβλέπει δυνατότητα έμμεσης άσκησης των δικαιωμάτων του υποκειμένου των δεδομένων μέσω της αρμόδιας εποπτικής αρχής όταν τα δικαιώματα του υποκειμένου των δεδομένων περιορίζονται σύμφωνα με το άρθρο 13 παράγραφος 3, το άρθρο 15, παράγραφος 3, και το άρθρο 16, παράγραφος 4, της οδηγίας 2016/680. Οι περιορισμοί των δικαιωμάτων του υποκειμένου των δεδομένων επιτρέπονται μόνον εάν συνιστούν αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, προκειμένου να διασφαλιστεί συγκεκριμένος σκοπός δημοσίου συμφέροντος όπως ορίζεται στις εν λόγω διατάξεις.
85. Το ερώτημα που τίθεται είναι σε ποιον βαθμό το περιεχόμενο των πληροφοριών που παρέχει η εποπτική αρχή όταν ασκεί εμμέσως τα δικαιώματα του υποκειμένου των δεδομένων επιτρέπει στο τελευταίο να ασκήσει το δικαίωμά του πραγματικής προσφυγής που αντλεί από το άρθρο 47, παράγραφος 1, του Χάρτη.
86. Συναφώς, έχει ήδη υπομνησθεί κατά την εξέταση του πρώτου προδικαστικού ερωτήματος ότι το δικαίωμα πραγματικής προσφυγής, όπως κατοχυρώνεται στο άρθρο 47 του Χάρτη, πρέπει να παρέχεται σε κάθε πρόσωπο που επικαλείται δικαιώματα ή ελευθερίες που εγγυάται το δίκαιο της Ένωσης κατά απόφασης που το θίγει και είναι ικανή να υπονομεύσει τα εν λόγω δικαιώματα ή ελευθερίες (38).
87. Ωστόσο, πρέπει να ληφθεί υπόψη ότι το δικαίωμα αποτελεσματικής δικαστικής προστασίας δεν αποτελεί απόλυτο προνόμιο και ότι, σύμφωνα με το άρθρο 52, παράγραφος 1, του Χάρτη, επιτρέπεται η επιβολή περιορισμών στην άσκησή του, υπό την προϋπόθεση, πρώτον, ότι οι περιορισμοί αυτοί προβλέπονται από τον νόμο, δεύτερον, ότι σέβονται το βασικό περιεχόμενο των οικείων δικαιωμάτων και ελευθεριών και, τρίτον, ότι, τηρουμένης της αρχής της αναλογικότητας, είναι αναγκαίοι και ανταποκρίνονται πραγματικά σε σκοπούς γενικού συμφέροντος που αναγνωρίζει η Ένωση ή στην ανάγκη προστασίας των δικαιωμάτων και ελευθεριών των τρίτων (39).
88. Επισημαίνεται ότι, στο πλαίσιο της έμμεσης άσκησης δικαιωμάτων μέσω της εποπτικής αρχής, η δυνατότητα έμμεσης άσκησης ενεργοποιείται από τον περιορισμό των δικαιωμάτων του υποκειμένου των δεδομένων. Η εποπτική αρχή έχει καθήκον να ενεργεί σε περιπτώσεις στις οποίες ένα δικαίωμα περιορίζεται κατ’ εξαίρεση, ιδίως όταν, αναλόγως των περιστάσεων, ο υπεύθυνος επεξεργασίας παραλείπει πληροφορίες σχετικά με τους λόγους του οικείου περιορισμού (40). Όπως κατεδείχθη εκτενώς στο πλαίσιο της εξέτασης του πρώτου προδικαστικού ερωτήματος, ο ρόλος της εποπτικής αρχής κατά την επιτέλεση του καθήκοντος αυτού δεν είναι να ενεργεί ως απλός «αγγελιαφόρος», αλλά να διασφαλίζει τη νομιμότητα της επεξεργασίας.
89. Το επίπεδο πληροφοριών που μπορεί να γνωστοποιήσει η εποπτική αρχή στο υποκείμενο των δεδομένων εξαρτάται κατ’ ανάγκην από τους λόγους που υπαγόρευσαν τον περιορισμό του δικαιώματος πρόσβασης. Όσο σοβαρότεροι είναι οι λόγοι για τον περιορισμό και, ενδεχομένως, για την παράλειψη πληροφοριών, τόσο λιγότερες πληροφορίες θα είναι σε θέση να παράσχει η εποπτική αρχή. Σε αντίθεση με αυτό που υπονοεί η διατύπωση του προδικαστικού ερωτήματος, από το άρθρο 17, παράγραφος 3, της οδηγίας 2016/680 δεν προκύπτει ότι η εποπτική αρχή μπορεί «μόνο» να επιβεβαιώσει, σε κάθε περίπτωση, ότι έχουν διενεργηθεί όλες οι αναγκαίες επαληθεύσεις. Τουναντίον, σύμφωνα με την εν λόγω διάταξη, η εποπτική αρχή γνωστοποιεί «τουλάχιστον» ότι έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις ή η επανεξέταση από την εποπτική αρχή.
90. Εξ αυτού συνάγεται ότι οι πληροφορίες που πρέπει να παρέχει η εποπτική αρχή δεν είναι εκ των προτέρων καθορισμένες. Με άλλα λόγια, το ελάχιστο περιεχόμενο πληροφοριών κατά το άρθρο 17, παράγραφος 3, δεν είναι το μόνο δυνατό περιεχόμενο. Όπως επισήμανε η Επιτροπή, το επίπεδο πληροφοριών πρέπει να καθορίζεται κατά περίπτωση και μπορεί να ποικίλλει αναλόγως των περιστάσεων και της στάθμισης των διακυβευόμενων συμφερόντων υπό το πρίσμα της αρχής της αναλογικότητας. Ενδεικτικά, όπως ορθά σημειώνεται στη νομική θεωρία (41), ουδέν πρόβλημα θα υπήρχε εάν η εποπτική αρχή υποδείκνυε στο υποκείμενο των δεδομένων ότι το όνομά του εμφανίζεται σε αστυνομική βάση δεδομένων λόγω ορθογραφικού λάθους.
91. Επισημαίνεται ότι η πρόταση της Επιτροπής σχετικά με την οδηγία για την επιβολή του νόμου προέβλεπε ότι οι εποπτικές αρχές οφείλουν, πέραν των ελάχιστων πληροφοριών, να ενημερώνουν το υποκείμενο των δεδομένων για το «αποτέλεσμα του ελέγχου της νομιμότητας της σχετικής επεξεργασίας» (42). Η τελευταία αυτή πληροφορία (ήτοι το αποτέλεσμα ως προς τη νομιμότητα της σχετικής επεξεργασίας) δεν περιλαμβάνεται στο άρθρο 17 της οδηγίας 2016/680. Τούτο, ωστόσο, δεν σημαίνει ότι μπορούν να γίνουν ανεκτές ενδεχόμενες παραβάσεις των κανόνων προστασίας δεδομένων. Κατά την εξέταση του πρώτου προδικαστικού ερωτήματος, επισήμανα ότι η εποπτική αρχή διεξάγει εμπιστευτικό διάλογο με τον υπεύθυνο επεξεργασίας. Εάν η εποπτική αρχή κρίνει ότι η επεξεργασία είναι παράνομη, παρέχει στον υπεύθυνο επεξεργασίας τη δυνατότητα να διορθώσει την κατάσταση. Ωστόσο, εάν η κατάσταση δεν διορθωθεί, η εποπτική αρχή διαθέτει, δυνάμει του άρθρου 47 της οδηγίας 2016/680, εξουσίες επιβολής κυρώσεων τις οποίες οφείλει να ασκήσει. Σε μια τέτοια περίπτωση, δεν αρκεί, κατά τη γνώμη μου, η υποβολή αναφοράς από την εποπτική αρχή στο εθνικό κοινοβούλιο, όπως πρότεινε το εποπτικό όργανο αστυνομικών πληροφοριών κατά την επ’ ακροατηρίου συζήτηση. Η εποπτική αρχή οφείλει να ασκήσει την εξουσία της να θέσει σε γνώση των δικαστικών αρχών παραβάσεις των κανόνων προστασίας δεδομένων και, κατά περίπτωση, να κινήσει ή να μετάσχει κατ’ άλλον τρόπο σε νομικές διαδικασίες σύμφωνα με το άρθρο 47, παράγραφος 5, της οδηγίας 2016/680.
92. Η ερμηνεία σύμφωνα με την οποία η εποπτική αρχή διαθέτει περιθώριο διακριτικής ευχέρειας όταν ασκεί έμμεσα τα δικαιώματα του υποκειμένου των δεδομένων επιβεβαιώνεται και από τη συνταγματική σημασία του ρόλου των ανεξάρτητων εποπτικών αρχών, όπως κατοχυρώνεται στο άρθρο 8, παράγραφος 3, του Χάρτη.
93. Τούτου λεχθέντος, ενδέχεται να υπάρξουν περιπτώσεις στις οποίες η εποπτική αρχή εκτιμά ότι δεν είναι δυνατή η γνωστοποίηση πρόσθετων πληροφοριών πέραν των ελαχίστων, ήτοι ότι έχουν διενεργηθεί όλες οι αναγκαίες επαληθεύσεις. Υπό τις συνθήκες αυτές, η άσκηση δικαστικού ελέγχου θα ήταν αδύνατη, εκτός εάν το δικαστήριο που είναι αρμόδιο για τον έλεγχο της απόφασης της εποπτικής αρχής μπορούσε να εξετάσει, αφενός, το σύνολο των λόγων στους οποίους στηρίζεται η εν λόγω απόφαση, και, αφετέρου, την απόφαση του υπευθύνου επεξεργασίας περί περιορισμού της πρόσβασης.
94. Συναφώς, επισημαίνεται, πρώτον, ότι το άρθρο 15, παράγραφος 4, της οδηγίας 2016/680 προβλέπει ότι ο υπεύθυνος επεξεργασίας οφείλει να τεκμηριώνει τους πραγματικούς ή νομικούς λόγους επί των οποίων βασίζεται η απόφαση σχετικά με τον περιορισμό του δικαιώματος πρόσβασης και να θέτει τις πληροφορίες αυτές στη διάθεση των εποπτικών αρχών. Όπως επισήμανε το Ευρωπαϊκό Κοινοβούλιο, πρέπει να γίνει δεκτό ότι εάν οι πληροφορίες αυτές βρίσκονται στη διάθεση της εποπτικής αρχής, τότε θα πρέπει να παρέχονται και στη δικαστική αρχή όταν το υποκείμενο των δεδομένων ασκεί το δικαίωμά του να ζητήσει τον έλεγχο της απόφασης του υπευθύνου επεξεργασίας και/ή της απόφασης της εποπτικής αρχής.
95. Δεύτερον, σε εξαιρετικές περιπτώσεις στις οποίες ο υπεύθυνος επεξεργασίας δεν παρέχει πληροφορίες σχετικά με τους λόγους άρνησης ή περιορισμού των δικαιωμάτων του υποκειμένου των δεδομένων, η δε εποπτική αρχή παρέχει μόνον τις ελάχιστες πληροφορίες, ήτοι ότι έχουν διενεργηθεί όλες οι αναγκαίες επαληθεύσεις, το αρμόδιο δικαστήριο του οικείου κράτους μέλους οφείλει να έχει στη διάθεσή του και να εφαρμόσει μεθόδους και δικονομικούς κανόνες που να συμβιβάζουν, αφενός, την ικανοποίηση θεμιτών λόγων δημοσίας ασφάλειας ή δημοσίου συμφέροντος σε σχέση με τις πηγές πληροφόρησης που ελήφθησαν υπόψη κατά την έκδοση τέτοιου είδους απόφασης και, αφετέρου, την ανάγκη να διασφαλίζεται η επαρκής προστασία των διαδικαστικών δικαιωμάτων του διαδίκου, όπως το δικαίωμα ακρόασης και η αρχή της εκατέρωθεν ακρόασης (43).
96. Προς τον σκοπό αυτό, σύμφωνα με τη νομολογία της απόφασης της 4ης Ιουνίου 2013, ZZ (C‑300/11, EU:C:2013:363), τα κράτη μέλη υποχρεούνται να προβλέπουν, αφενός, αποτελεσματικό δικαστικό έλεγχο τόσο της ύπαρξης όσο και του βάσιμου των λόγων που επικαλείται η εθνική αρχή και, αφετέρου, σχετικούς με τον εν λόγω έλεγχο μεθόδους και δικονομικούς κανόνες, όπως οι μνημονευόμενοι στο προηγούμενο σημείο των παρουσών προτάσεων (44).
97. Κατά την επ’ ακροατηρίου συζήτηση, η Γαλλική Κυβέρνηση υποστήριξε ότι το ιστορικό της υπόθεσης ZZ ήταν διαφορετικό από το αυτό της κύριας δίκης, δεδομένου ότι η υπόθεση ZZ αφορούσε τον δικαστικό έλεγχο απόφασης περί απαγόρευσης εισόδου πολίτη της Ευρωπαϊκής Ένωσης σε κράτος μέλος για λόγους δημόσιας ασφάλειας. Συναφώς, επισημαίνεται ότι το σκεπτικό του Δικαστηρίου στην απόφαση ZZ, το οποίο στηρίζεται στην απόφαση Kadi (45), βασίζεται στην απαίτηση να επιτυγχάνεται η κατάλληλη ισορροπία μεταξύ των απαιτήσεων που απορρέουν από την κρατική ασφάλεια και των απαιτήσεων του δικαιώματος αποτελεσματικής δικαστικής προστασίας. Ερωτηθείς κατά την επ’ ακροατηρίου συζήτηση, ο εκπρόσωπος της Γαλλικής Κυβέρνησης αναγνώρισε ότι από τη νομολογία αυτή προκύπτει κατ’ ουσίαν ότι δεν υφίσταται απόρρητο ενώπιον του δικαστή. Φρονώ, συνεπώς, ότι η νομολογία αυτή θα πρέπει να έχει κατ’ αναλογίαν εφαρμογή και στο πλαίσιο της οδηγίας 2016/680 όταν οι αρμόδιες αρχές εκτιμούν ότι υφίστανται λόγοι εθνικής ασφάλειας ή οποιοσδήποτε άλλος λόγος δημοσίου συμφέροντος ικανός να δικαιολογήσει περιορισμό των δικαιωμάτων του υποκειμένου των δεδομένων οι οποίοι εμποδίζουν τη γνωστοποίηση, επακριβώς και πλήρως, των λόγων μιας τέτοιας απόφασης επιβολής περιορισμών.
98. Από τα ανωτέρω προκύπτει ότι το άρθρο 17 της οδηγίας 2016/680 συνάδει με το άρθρο 8, παράγραφος 3, και το άρθρο 47 του Χάρτη, στον βαθμό που i) η εποπτική αρχή δύναται, αναλόγως των περιστάσεων, να παράσχει πρόσθετες πληροφορίες πέραν του ότι έχουν διενεργηθεί όλες οι αναγκαίες επαληθεύσεις και ii) το υποκείμενο των δεδομένων μπορεί να ζητήσει τον δικαστικό έλεγχο της δράσης και της αξιολόγησης της εποπτικής αρχής σχετικά με το πρόσωπό του υπό το πρίσμα των υποχρεώσεων που βαρύνουν τον υπεύθυνο επεξεργασίας.
99. Λαμβανομένων υπόψη των ανωτέρω, το κύρος του άρθρου 17 της οδηγίας 2016/680 δεν αμφισβητείται.
III. Πρόταση
100. Βάσει των προεκτεθέντων, προτείνω στο Δικαστήριο να απαντήσει στο cour d’appel de Bruxelles (εφετείο Βρυξελλών, Βέλγιο) ως εξής:
«1) Το άρθρο 17 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου, σε συνδυασμό με το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, της εν λόγω οδηγίας, υπό το πρίσμα δε του άρθρου 47 και του άρθρου 8, παράγραφος 3, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης,
έχει την έννοια ότι το υποκείμενο των δεδομένων πρέπει να μπορεί να ασκήσει δικαστική προσφυγή κατά ανεξάρτητης εποπτικής αρχής όταν ασκεί τα δικαιώματά του μέσω της εν λόγω αρχής, στον βαθμό που το μέσο αυτό έννομης προστασίας αφορά το καθήκον της αρχής να ελέγχει τη νομιμότητα της επεξεργασίας.
2) Το κύρος του άρθρου 17 της οδηγίας 2016/680 δεν αμφισβητείται.»
1 Γλώσσα του πρωτοτύπου: η αγγλική.
2 Οδηγία του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ 2016, L 119, σ. 89, και διορθωτικά ΕΕ 2018, L 127, σ. 7, και ΕΕ 2019, L 216, σ. 40).
3 Αιτιολογική σκέψη 10 της οδηγίας 2016/680.
4 Αιτιολογική σκέψη 2 της οδηγίας 2016/680.
5 Αιτιολογική σκέψη 4 της οδηγίας 2016/680.
6 Brewczyńska, M., «A critical reflection on the material scope of the application of the Law Enforcement Directive and its boundaries with the General Data Protection Law» σε Kosta, E., Leenes, R. και Kamara, I. (επιμ.) Research Handbook on EU data protection law, Edward Elgar, 2022, σ. 105.
7 Απόφαση-πλαίσιο της 27ης Νοεμβρίου 2008 για την προστασία των δεδομένων προσωπικού χαρακτήρα που τυγχάνουν επεξεργασίας στο πλαίσιο της αστυνομικής και δικαστικής συνεργασίας σε ποινικές υποθέσεις (ΕΕ 2008, L 350, σ. 60).
8 Vogiatzoglou, P. και Marquenie, T., Assessment of the Implementation of the Law Enforcement Directive, μελέτη εκπονηθείσα κατ’ ανάθεση της επιτροπής LIBE, Ευρωπαϊκό Κοινοβούλιο, Τμήμα Δικαιωμάτων των Πολιτών και Συνταγματικών Υποθέσεων, Νοέμβριος 2022 («Αξιολόγηση της εφαρμογής της οδηγίας για την επιβολή του νόμου»), σ. 54.
9 Zanfir-Fortuna, G., «Article 15. Right of access by the data subject», σε Kuner, C, Bygrave, L. και Docksey, C. (επιμ.), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Οξφόρδη, 2020, σ. 452.
10 Όπ.π.
11 Kranenborg, H., «Article 8 – Protection of personal data» σε Peers, S. κ.λπ. (επιμ.), The EU Charter of Fundamental Rights, A Commentary, Hart Publishing, 2021, σ. 272, σημείο 08.171. Βλ. αποφάσεις της 7ης Μαΐου 2009, Rijkeboer (C‑553/07, EU:C:2009:293, σκέψεις 51 και 52), και της 20ής Δεκεμβρίου 2017, Nowak (C‑434/16, EU:C:2017:994, σκέψη 57).
12 Έγγραφο εργασίας των υπηρεσιών της Επιτροπής, Σύνοψη της εκτίμησης αντικτύπου, 25.1.2012, [SEC(2012) 73 τελικό], σ. 3.
13 Ευρωπαϊκή Επιτροπή, πρόταση οδηγίας του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, και για την ελεύθερη κυκλοφορία των δεδομένων αυτών [COM(2012) 10 τελικό, 25.1.2012] («Πρόταση της Επιτροπής σχετικά με την οδηγία για την επιβολή του νόμου»), σ. 2.
14 Γνωμοδότηση της ομάδας εργασίας του άρθρου 29 επί ορισμένων βασικών ζητημάτων της οδηγίας για την επιβολή του νόμου (ΕΕ 2016/680), 29 Νοεμβρίου 2017, 17/EN WP 258 («Γνωμοδότηση της ομάδας εργασίας του άρθρου 29 επί της οδηγίας 2016/680»), σ. 24 (η υπογράμμιση δική μου).
15 Απόφαση της 2ας Μαρτίου 2023, Eurocostruzioni (C‑31/21, EU:C:2023:136, σκέψη 53 και εκεί μνημονευόμενη νομολογία).
16 Η ομάδα εργασίας του άρθρου 29 συστάθηκε βάσει του άρθρου 29 της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31) ως ανεξάρτητο ευρωπαϊκό συμβουλευτικό όργανο για θέματα προστασίας των δεδομένων και της ιδιωτικής ζωής. Από τις 25 Μαΐου 2018 έπαψε να υφίσταται και αντικαταστάθηκε από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ).
17 Γνωμοδότηση της ομάδας εργασίας του άρθρου 29 επί της οδηγίας 2016/680, όπ.π., υποσημείωση 14, σ. 18 και 24.
18 Πρβλ. απόφαση της 20ής Σεπτεμβρίου 2022, SpaceNet and Telekom Deutschland (C‑793/19 και C‑794/19, EU:C:2022:702, σκέψη 57 και εκεί μνημονευόμενη νομολογία).
19 Ευρωπαίος Επόπτης Προστασίας Δεδομένων (ΕΕΠΔ), γνωμοδότηση 6/2015, A further step towards comprehensive EU data protection, EDPS recommendations on the Directive for data protection in the police and justice sectors, 28 Οκτωβρίου 2015, σ. 7.
20 Βλ. γνωμοδότηση της ομάδας εργασίας του άρθρου 29 επί της οδηγίας 2016/680, σ. 23.
21 Assessment of the implementation of the Law Enforcement Directive, όπ.π., υποσημείωση 8, σ. 57. Από το άρθρο 17, παράγραφος 1, στοιχείο αʹ, της απόφασης-πλαισίου 2008/977 προκύπτει ότι τα υποκείμενα των δεδομένων μπορούσαν να ασκήσουν το δικαίωμα πρόσβασης έναντι του υπευθύνου επεξεργασίας ή της εθνικής εποπτικής αρχής καθώς και ότι μπορούσαν να λάβουν επιβεβαίωση σχετικά με τη διαβίβαση των δεδομένων τους και την κοινοποίηση των εν λόγω δεδομένων ή τουλάχιστον επιβεβαίωση από την εθνική εποπτική αρχή ότι έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις.
22 Βλ. άρθρο 17 της απόφασης-πλαισίου 2008/977.
23 Σημειώνω ότι στην Assessment of the implementation of the Law Enforcement Directive (αξιολόγηση της εφαρμογής της οδηγίας για την επιβολή του νόμου), υποσημείωση 8, σ. 62, αναφέρεται ότι η μεταφορά του κεφαλαίου ΙΙΙ της οδηγίας 2016/680 από τον Βέλγο νομοθέτη ήταν αυτή «που προκάλεσε τη μεγαλύτερη εντύπωση» για τον λόγο ότι τα υποκείμενα των δεδομένων έχουν τη «δυνατότητα έμμεσης μόνον άσκησης των δικαιωμάτων τους, μέσω της εθνικής εποπτικής αρχής, προδήλως κατά παράβαση του γράμματος [της εν λόγω οδηγίας]» (η υπογράμμιση δική μου).
24 Conseil d’État (Συμβούλιο της Επικρατείας), νομοθετικό τμήμα, γνωμοδότηση 63.192/2 της 19ης Απριλίου 2018, σ. 32 (η υπογράμμιση δική μου).
25 Απόφαση της 16ης Φεβρουαρίου 2023, Staatssecretaris van Justitie en Veiligheid (Αγέννητο τέκνο κατά τον χρόνο υποβολής της αίτησης ασύλου) (C‑745/21, EU:C:2023:113, σκέψη 43).
26 Βλ. σημεία 27 έως 30 ανωτέρω.
27 Πρβλ. απόφαση της 10ης Ιουνίου 2021, Ultimo Portfolio Investment (Luxembourg) (C‑303/20, EU:C:2021:479, σκέψη 25).
28 Απόφαση της 26ης Ιανουαρίου 2023, Ministerstvo na vatreshnite raboti (Καταγραφή βιομετρικών και γενετικών δεδομένων από την αστυνομία) (C‑205/21, EU:C:2023:49, σκέψη 87 και εκεί μνημονευόμενη νομολογία).
29 Πρβλ., όσον αφορά τις βλαπτικές πράξεις κατά την έννοια του άρθρου 90, παράγραφος 2, του Κανονισμού Υπηρεσιακής Καταστάσεως, απόφαση της 15ης Δεκεμβρίου 2022, Picard κατά Επιτροπής (C‑366/21 P, EU:C:2022:984, σκέψη 95).
30 Απόφαση της 15ης Δεκεμβρίου 2022, Picard κατά Επιτροπής (C‑366/21 P, EU:C:2022:984, σκέψη 96). Τα στοιχεία αυτά είναι επίσης καθοριστικά προκειμένου να διαπιστωθεί εάν μια πράξη της Ευρωπαϊκής Ένωσης παράγει δεσμευτικά έννομα αποτελέσματα και μπορεί συνεπώς να προσβληθεί βάσει του άρθρου 263 ΣΛΕΕ. Βλ. απόφαση της 15ης Ιουλίου 2021, FBF (C‑911/19, EU:C:2021:599, σκέψη 38).
31 Απόφαση της 15ης Δεκεμβρίου 2022, Picard κατά Επιτροπής (C‑366/21 P, EU:C:2022:984, σκέψη 97).
32 Σημείο 51 των παρουσών προτάσεων.
33 Βλ., κατ’ αναλογίαν, απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, σκέψη 34).
34 Άρθρο 77, παράγραφος 1, άρθρο 78, παράγραφος 1, και άρθρο 79, παράγραφος 1, του κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικά ΕΕ 2018, L 127, σ. 2, και ΕΕ 2021, L 74, σ. 35).
35 Απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, σκέψη 35).
36 Βλ. κατ’ αναλογίαν, όσον αφορά την αιτιολογική σκέψη 11 του κανονισμού 2016/679, απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, σκέψη 42).
37 Απόφαση της 21ης Ιουνίου 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, σκέψη 86 και εκεί μνημονευόμενη νομολογία).
38 Βλ. σημείο 54 των παρουσών προτάσεων και εκεί μνημονευόμενη νομολογία.
39 Απόφαση της 26ης Ιανουαρίου 2023, Ministerstvo na vatreshnite raboti (Καταγραφή βιομετρικών και γενετικών δεδομένων από την αστυνομία) (C‑205/21, EU:C:2023:49, σκέψη 89 και εκεί μνημονευόμενη νομολογία).
40 Βλ. σημεία 37 και 38 των παρουσών προτάσεων.
41 Dimitrova, D., de Hert, P., «The right of access under the Police Directive: Small steps forward», σε Medina, M. κ.λπ. (επιμ.), Privacy technologies and policy: 6th Annual Privacy Forum, APF 2018, Springer International Publishing, 2018, σ. 123.
42 Βλ. άρθρο 14 της πρότασης της Επιτροπής σχετικά με την οδηγία για την επιβολή του νόμου. Το άρθρο 45, παράγραφος 1, στοιχείο γʹ, της πρότασης αυτής οδηγίας προέβλεπε «καθήκον» της εποπτικής αρχής να ελέγχει τη νομιμότητα της επεξεργασίας δεδομένων δυνάμει του άρθρου 14 και να ενημερώνει το υποκείμενο των δεδομένων εντός εύλογου χρονικού διαστήματος «για την έκβαση του ελέγχου ή για τους λόγους για τους οποίους ο έλεγχος δεν διενεργήθηκε».
43 Πρβλ. απόφαση της 4ης Ιουνίου 2013, ZZ (C‑300/11, EU:C:2013:363, σκέψη 57).
44 Όπ.π. (σκέψη 58).
45 Απόφαση της 3ης Σεπτεμβρίου 2008, Kadi και Al Barakaat International Foundation κατά Συμβουλίου και Επιτροπής (C‑402/05 P και C‑415/05 P, EU:C:2008:461).
