ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (πέμπτο τμήμα)
της 16ης Νοεμβρίου 2023 (*)
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Οδηγία (ΕE) 2016/680 – Άρθρο 17 – Άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων μέσω της εποπτικής αρχής – Επαλήθευση της νομιμότητας της επεξεργασίας των δεδομένων – Άρθρο 17, παράγραφος 3 – Ελάχιστη υποχρέωση ενημερώσεως του υποκειμένου των δεδομένων – Περιεχόμενο – Κύρος – Άρθρο 53 – Δικαίωμα ασκήσεως αποτελεσματικής δικαστικής προσφυγής κατά της εποπτικής αρχής – Έννοια του όρου “νομικά δεσμευτική απόφαση” – Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης – Άρθρο 8, παράγραφος 3 – Έλεγχος από ανεξάρτητη αρχή – Άρθρο 47 – Δικαίωμα αποτελεσματικής δικαστικής προστασίας»
Στην υπόθεση C‑333/22,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το cour d’appel de Bruxelles (εφετείο Βρυξελλών, Βέλγιο) με απόφαση της 9ης Μαΐου 2022, η οποία περιήλθε στο Δικαστήριο στις 20 Μαΐου 2022, στο πλαίσιο της δίκης
Ligue des droits humains ASBL,
BA
κατά
Organe de contrôle de l’information policière,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (πέμπτο τμήμα),
συγκείμενο από τους E. Regan, πρόεδρο τμήματος, Z. Csehi, M. Ilešič, I. Jarukaitis και Δ. Γρατσία (εισηγητή), δικαστές,
γενική εισαγγελέας: L. Medina
γραμματέας: M. Siekierzyńska, διοικητική υπάλληλος,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 29ης Μαρτίου 2023,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η Ligue des droits humains ASBL και ο BA, εκπροσωπούμενοι από την C. Forget, avocate,
– το Organe de contrôle de l’information policière (OCIP), εκπροσωπούμενο από τους J. Bosquet και J.‑F. De Bock, advocaten,
– η Βελγική Κυβέρνηση, εκπροσωπούμενη από τους P. Cottin και J.‑C. Halleux, καθώς και από τις C. Pochet και A. Van Baelen, επικουρούμενους από τους N. Cariat, C. Fischer και B. Lombaert, καθώς και από τη J. Simba, avocats,
– η Τσεχική Κυβέρνηση, εκπροσωπούμενη από τους O. Serdula, M. Smolek και J. Vláčil,
– η Γαλλική Κυβέρνηση, εκπροσωπούμενη από τον J. Illouz,
– το Ευρωπαϊκό Κοινοβούλιο, εκπροσωπούμενο από τον S. Alonso de León, καθώς και από τις O. Hrstková Šolcová, P. López-Carceller και M. Thibault,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους Α. Μπουχάγιαρ και H. Kranenborg, την A.‑C. Simon και τον F. Wilman,
αφού άκουσε τη γενική εισαγγελέα, που ανέπτυξε τις προτάσεις της κατά τη συνεδρίαση της 15ης Ιουνίου 2023,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά, αφενός, την ερμηνεία του άρθρου 8, παράγραφος 3, και του άρθρου 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης) και, αφετέρου, το κύρος, εξεταζόμενο υπό το πρίσμα των προμνημονευθεισών διατάξεων του Χάρτη, του άρθρου 17 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ 2016, L 119, σ. 89).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Ligue des droits humains ASBL και του BA, αφενός, και του Organe de contrôle de l’information policière (OCIP) (Εποπτικού Οργάνου Αστυνομικών Πληροφοριών, Βέλγιο), αφετέρου, σχετικά με τη μέσω του εποπτικού οργάνου άσκηση των δικαιωμάτων του BA ως προς τα δεδομένα του προσωπικού χαρακτήρα τα οποία επεξεργάσθηκαν οι βελγικές αστυνομικές υπηρεσίες και βάσει των οποίων η Autorité nationale de sécurité (Εθνική Αρχή Ασφαλείας, Βέλγιο) απέρριψε την υποβληθείσα από τον ΒΑ αίτηση χορηγήσεως πιστοποιητικού ασφαλείας.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Οι αιτιολογικές σκέψεις 7, 10, 43, 46, 48, 75, 82, 85 και 86 της οδηγίας 2016/680 έχουν ως εξής:
«(7) Η διασφάλιση συνεκτικής και υψηλής προστασίας δεδομένων προσωπικού χαρακτήρα των φυσικών προσώπων και η διευκόλυνση της ανταλλαγής δεδομένων προσωπικού χαρακτήρα μεταξύ των αρμόδιων αρχών των κρατών μελών έχουν καθοριστική σημασία για την αποτελεσματική δικαστική συνεργασία σε ποινικές υποθέσεις και την αστυνομική συνεργασία. Για το σκοπό αυτόν, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένων της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της αποτροπής τους, θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Η ουσιαστική προστασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την [Ευρωπαϊκή] Ένωση απαιτεί την ενίσχυση των δικαιωμάτων των υποκειμένων των δεδομένων και των υποχρεώσεων εκείνων που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα καθώς και αντίστοιχες εξουσίες παρακολούθησης και διασφάλισης της συμμόρφωσης προς τους κανόνες που διέπουν την προστασία δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη.
[…]
(10) Στη δήλωση αριθ. 21 σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα στους τομείς της δικαστικής συνεργασίας σε ποινικές υποθέσεις και της αστυνομικής συνεργασίας, η οποία προσαρτάται στην Τελική Πράξη της διακυβερνητικής διάσκεψης η οποία υιοθέτησε τη Συνθήκη της Λισαβόνας, η διάσκεψη αναγνωρίζει ότι, λόγω της ιδιαίτερης φύσης των εν λόγω τομέων, ενδέχεται να απαιτηθούν ειδικοί κανόνες σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα και την ελεύθερη κυκλοφορία τους στους τομείς της δικαστικής συνεργασίας σε ποινικές υποθέσεις και της αστυνομικής συνεργασίας, βάσει του άρθρου 16 ΣΛΕΕ.
[…]
(43) Ένα φυσικό πρόσωπο θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα τα οποία συνελέγησαν και το αφορούν και να μπορεί να ασκεί το δικαίωμα αυτό ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση της επεξεργασίας και να ελέγχει τη νομιμότητά της. […]
[…]
(46) Κάθε περιορισμός των δικαιωμάτων του υποκειμένου των δεδομένων πρέπει να συμμορφώνεται με τον Χάρτη και με την [Ευρωπαϊκή Σύμβαση για την Προάσπιση των Δικαιωμάτων του Ανθρώπου και των Θεμελιωδών Ελευθεριών, η οποία υπεγράφη στη Ρώμη στις 4 Νοεμβρίου 1950], όπως ερμηνεύονται από τη νομολογία του Δικαστηρίου και του Ευρωπαϊκού Δικαστηρίου Ανθρωπίνων Δικαιωμάτων αντίστοιχα, ιδίως δε να σέβεται την ουσία των εν λόγω δικαιωμάτων και ελευθεριών.
[…]
(48) Σε περίπτωση που ο υπεύθυνος επεξεργασίας αρνηθεί σε υποκείμενο δεδομένων το δικαίωμά του για ενημέρωση, πρόσβαση ή διόρθωση, διαγραφή ή περιορισμό της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, το υποκείμενο των δεδομένων θα πρέπει να έχει το δικαίωμα να ζητήσει έλεγχο της νομιμότητας της επεξεργασίας από την εθνική εποπτική αρχή. […]
[…]
(75) Η ίδρυση εποπτικών αρχών στα κράτη μέλη, οι οποίες ασκούν τα καθήκοντά τους με πλήρη ανεξαρτησία, αποτελεί ουσιώδες στοιχείο της προστασίας των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που τα αφορούν. Οι εποπτικές αρχές θα πρέπει να παρακολουθούν την εφαρμογή των διατάξεων που θεσπίζονται δυνάμει της παρούσας οδηγίας και να συμβάλλουν στη συνεκτική εφαρμογή της σε ολόκληρη την Ένωση, με σκοπό την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που τα αφορούν. […]
[…]
(82) Για να διασφαλιστεί αποτελεσματική, αξιόπιστη και ομοιόμορφη παρακολούθηση και επιβολή της παρούσας οδηγίας σε ολόκληρη την Ένωση, σύμφωνα με τη [Συνθήκη ΛΕΕ] όπως αυτή ερμηνεύεται από το Δικαστήριο, οι εποπτικές αρχές θα πρέπει να έχουν σε κάθε κράτος μέλος τα ίδια καθήκοντα και τις ίδιες αποτελεσματικές εξουσίες, μεταξύ των οποίων ερευνητικές, διορθωτικές και συμβουλευτικές εξουσίες, οι οποίες αποτελούν τα απαραίτητα μέσα για την εκτέλεση των καθηκόντων τους. […]
[…]
(85) Κάθε υποκείμενο δεδομένων θα πρέπει να έχει το δικαίωμα να υποβάλει καταγγελία σε μία μόνη εποπτική αρχή και να ασκήσει πραγματική δικαστική προσφυγή σύμφωνα με το άρθρο 47 του Χάρτη, εφόσον θεωρεί ότι παραβιάζονται τα δικαιώματά του σύμφωνα με τις διατάξεις που θεσπίζονται δυνάμει της παρούσας οδηγίας ή όταν η εποπτική αρχή δεν δίνει συνέχεια σε καταγγελία, απορρίπτει ή θεωρεί απαράδεκτη εν όλω ή εν μέρει μια καταγγελία ή δεν ενεργεί, ενώ οφείλει να ενεργήσει, για να προστατεύσει τα δικαιώματα του υποκειμένου των δεδομένων. […]
(86) Κάθε φυσικό ή νομικό πρόσωπο θα πρέπει να έχει το δικαίωμα να ασκήσει πραγματική δικαστική προσφυγή ενώπιον του αρμοδίου εθνικού δικαστηρίου κατά απόφασης εποπτικής αρχής η οποία παράγει έννομα αποτελέσματα που το αφορούν. Οι αποφάσεις αυτές αφορούν ιδίως στην άσκηση των εξουσιών έρευνας και των διορθωτικών και αδειοδοτικών εξουσιών από την εποπτική αρχή ή στις περιπτώσεις στις οποίες οι καταγγελίες θεωρούνται απαράδεκτες ή απορρίπτονται. Ωστόσο, το εν λόγω δικαίωμα δεν καλύπτει άλλα μέτρα των εποπτικών αρχών που δεν είναι νομικά δεσμευτικά, όπως οι γνωμοδοτήσεις ή οι συμβουλές που παρέχονται από την εποπτική αρχή. Η διαδικασία κατά εποπτικής αρχής θα πρέπει να κινείται ενώπιον των δικαστηρίων του κράτους μέλους στο οποίο είναι εγκατεστημένη η εποπτική αρχή και να διενεργείται σύμφωνα με το δίκαιο του κράτους μέλους. Τα δικαστήρια αυτά θα πρέπει να ασκούν πλήρη […] δικαιοδοσία η οποία περιλαμβάνει τη δικαιοδοσία να εξετάζουν όλα τα ζητήματα πραγματικά και νομικά σχετικά με τη διαφορά που εκκρεμεί ενώπιόν του.»
4 Το άρθρο 1 της οδηγίας, το οποίο φέρει τον τίτλο «Αντικείμενο και στόχοι», ορίζει στις παραγράφους 1 και 2 τα εξής:
«1. Η παρούσα οδηγία θεσπίζει τους κανόνες που αφορούν στην προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένων της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της αποτροπής τους.
2. Σύμφωνα με την παρούσα οδηγία, τα κράτη μέλη:
α) προστατεύουν τα θεμελιώδη δικαιώματα και τις ελευθερίες των φυσικών προσώπων και, ειδικότερα, το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα· και
β) διασφαλίζουν ότι η ανταλλαγή δεδομένων προσωπικού χαρακτήρα μεταξύ αρμοδίων αρχών εντός της Ένωσης, εφόσον η ανταλλαγή αυτή απαιτείται από το ενωσιακό δίκαιο ή το δίκαιο των κρατών μελών, δεν μπορεί να περιοριστεί ούτε να απαγορευτεί για λόγους που σχετίζονται με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.»
5 Η οδηγία 2016/680 περιλαμβάνει κεφάλαιο III, το οποίο φέρει τον τίτλο «Δικαιώματα του υποκειμένου των δεδομένων» και το οποίο περιέχει, μεταξύ άλλων, τα άρθρα 13 έως 17. Το άρθρο 13, το οποίο φέρει τον τίτλο «Ενημέρωση που διατίθεται ή δίδεται στο υποκείμενο των δεδομένων», επιβάλλει στην παράγραφο 1 την υποχρέωση των κρατών μελών να προβλέπουν ότι ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τουλάχιστον ορισμένες πληροφορίες, όπως είναι, μεταξύ άλλων, η ταυτότητα και τα στοιχεία επικοινωνίας του υπεύθυνου επεξεργασίας. Επιπλέον, παραθέτει στην παράγραφο 2 τις συμπληρωματικές πληροφορίες για τις οποίες τα κράτη μέλη οφείλουν να επιβάλουν στον υπεύθυνο επεξεργασίας, με νομοθετική διάταξη, υποχρέωση παροχής στο υποκείμενο των δεδομένων, προκειμένου να καθίσταται δυνατή η άσκηση των δικαιωμάτων του. Οι παράγραφοι 3 και 4 του συγκεκριμένου άρθρου ορίζουν τα εξής:
«3. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα σχετικά με την καθυστέρηση, τον περιορισμό ή την παράλειψη της παροχής των πληροφοριών στο υποκείμενο των δεδομένων βάσει της παραγράφου 2, […] στον βαθμό [και για το χρονικό διάστημα] που ένα τέτοιο μέτρο είναι αναγκαίο και αναλογικό σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη [των θεμελιωδών δικαιωμάτων και] των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με σκοπό:
α) την αποφυγή της παρακώλυσης επίσημων ή [δικαστικών] ερευνών, διερευνήσεων ή διαδικασιών·
β) την αποφυγή της παρεμπόδισης της πρόληψης, της ανίχνευσης, της διερεύνησης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων·
γ) την προστασία της δημόσιας ασφάλειας·
δ) την προστασία της εθνικής ασφάλειας·
ε) την προστασία των δικαιωμάτων και των ελευθεριών τρίτων.
4. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα ώστε να καθορίζουν κατηγορίες επεξεργασίας οι οποίες ενδέχεται να υπάγονται εν όλω ή εν μέρει στα μέτρα που αναφέρονται σε οποιοδήποτε από τα σημεία της παραγράφου 3.»
6 Το άρθρο 14 της οδηγίας, το οποίο φέρει τον τίτλο «Δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα από το υποκείμενο των δεδομένων», έχει ως ακολούθως:
«Με την επιφύλαξη του άρθρου 15, τα κράτη μέλη προβλέπουν το δικαίωμα του υποκειμένου των δεδομένων να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση του κατά πόσον δεδομένα προσωπικού χαρακτήρα που το αφορούν υποβάλλονται ή όχι σε επεξεργασία και, εφόσον συμβαίνει αυτό, να αποκτά πρόσβαση στα δεδομένα προσωπικού χαρακτήρα […]».
7 Το άρθρο 15 της οδηγίας 2016/680, το οποίο φέρει τον τίτλο «Διατήρηση του δικαιώματος διαμονής», ορίζει τα εξής:
«1. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα τα οποία περιορίζουν, εν όλω ή εν μέρει, το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων, στον βαθμό και για το χρονικό διάστημα που ένας τέτοιος μερικός ή πλήρης περιορισμός συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με σκοπό:
α) την αποφυγή της παρακώλυσης επίσημων ή [δικαστικών] ερευνών, διερευνήσεων ή διαδικασιών·
β) την αποφυγή της παρεμπόδισης της πρόληψης, της ανίχνευσης, της διερεύνησης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων·
γ) την προστασία της δημόσιας ασφάλειας·
δ) την προστασία της εθνικής ασφάλειας·
ε) την προστασία των δικαιωμάτων και των ελευθεριών τρίτων.
2. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα ώστε να καθορίζουν κατηγορίες επεξεργασίας οι οποίες ενδέχεται να υπάγονται εν όλω ή εν μέρει [στα προβλεπόμενα] στην παράγραφο 1, στοιχεία α) έως ε).
3. Στις περιπτώσεις των παραγράφων 1 και 2, τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει εγγράφως και αμελλητί το υποκείμενο των δεδομένων για κάθε άρνηση ή περιορισμό πρόσβασης και για τους λόγους της άρνησης ή του περιορισμού. Η ενημέρωση αυτή μπορεί να παραλείπεται εάν η παροχή των σχετικών πληροφοριών υπονομεύει έναν από τους σκοπούς της παραγράφου 1. Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα να προβεί σε καταγγελία προς εποπτική αρχή ή να ασκήσει δικαστική προσφυγή.
4. Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας τεκμηριώνει τους πραγματικούς ή νομικούς λόγους επί των οποίων βασίζεται η απόφαση. Οι πληροφορίες αυτές τίθενται στη διάθεση των εποπτικών αρχών.»
8 Το άρθρο 16 της οδηγίας, το οποίο φέρει τον τίτλο «Δικαίωμα διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα και περιορισμού ως προς την επεξεργασία», ορίζει τα ακόλουθα:
«1. Τα κράτη μέλη προβλέπουν το δικαίωμα του υποκειμένου των δεδομένων να εξασφαλίζει από τον υπεύθυνο επεξεργασίας, χωρίς άσκοπη καθυστέρηση, τη διόρθωση ανακριβών δεδομένων προσωπικού χαρακτήρα που το αφορούν. Έχοντας υπόψη τον σκοπό της επεξεργασίας, τα κράτη μέλη προβλέπουν ότι το υποκείμενο των δεδομένων έχει το δικαίωμα να απαιτήσει τη συμπλήρωση ελλιπών δεδομένων προσωπικού χαρακτήρα, […]
2. Τα κράτη μέλη προβλέπουν την υποχρέωση του υπεύθυνου επεξεργασίας να διαγράφει δεδομένα προσωπικού χαρακτήρα χωρίς άσκοπη καθυστέρηση και προβλέπουν το δικαίωμα του υποκειμένου των δεδομένων να εξασφαλίζει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς άσκοπη καθυστέρηση, εάν η επεξεργασία παραβιάζει τις διατάξεις που θεσπίζονται δυνάμει των άρθρων 4, 8 ή 10 ή εάν τα δεδομένα προσωπικού χαρακτήρα πρέπει να διαγραφούν προκειμένου να τηρηθεί εκ του νόμου υποχρέωση του υπευθύνου επεξεργασίας.
3. Αντί της διαγραφής, ο υπεύθυνος επεξεργασίας περιορίζει την επεξεργασία, εάν:
α) η ακρίβεια των δεδομένων προσωπικού χαρακτήρα αμφισβητηθεί από το υποκείμενο των δεδομένων και δεν μπορεί να διαπιστωθεί το κατά πόσον αυτά είναι ακριβή ή ανακριβή·
β) επιβάλλεται να διατηρηθούν τα δεδομένα προσωπικού χαρακτήρα για σκοπούς απόδειξης.
[…]
4. Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει εγγράφως το υποκείμενο των δεδομένων για κάθε άρνηση διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα ή περιορισμού της επεξεργασίας και για τους λόγους της άρνησης. Τα κράτη μέλη μπορούν να θεσπίζουν νομοθετικά μέτρα τα οποία περιορίζουν, εν όλω ή εν μέρει, την υποχρέωση παροχής της εν λόγω ενημέρωσης, στον βαθμό και για το χρονικό διάστημα που ο εν λόγω περιορισμός συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου, με στόχο:
α) την αποφυγή της παρακώλυσης επίσημων ή [δικαστικών] ερευνών, διερευνήσεων ή διαδικασιών·
β) την αποφυγή της παρεμπόδισης της πρόληψης, της ανίχνευσης, της διερεύνησης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων·
γ) την προστασία της δημόσιας ασφάλειας·
δ) την προστασία της εθνικής ασφάλειας·
ε) την προστασία των δικαιωμάτων και των ελευθεριών τρίτων.
Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα να προβεί σε καταγγελία προς εποπτική αρχή ή να ασκήσει δικαστική προσφυγή.
[…]»
9 Το άρθρο 17 της οδηγίας, το οποίο φέρει τον τίτλο «Άσκηση δικαιωμάτων από το υποκείμενο των δεδομένων και επαλήθευση από την εποπτική αρχή», προβλέπει τα εξής:
«1. Στις περιπτώσεις που αναφέρονται στο άρθρο 13, παράγραφος 3, το άρθρο 15, παράγραφος 3, και το άρθρο 16, παράγραφος 4, τα κράτη μέλη θεσπίζουν μέτρα που προβλέπουν ότι τα δικαιώματα του υποκειμένου των δεδομένων είναι επίσης δυνατόν να ασκούνται μέσω της αρμόδιας εποπτικής αρχής.
2. Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος επεξεργασίας ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα να ασκήσει τα δικαιώματά του μέσω της εποπτικής αρχής δυνάμει της παραγράφου 1.
3. Όταν ασκείται το δικαίωμα που αναφέρεται στην παράγραφο 1, η εποπτική αρχή γνωστοποιεί στο υποκείμενο των δεδομένων τουλάχιστον ότι έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις ή η επανεξέταση από την εποπτική αρχή. Η εποπτική αρχή ενημερώνει επίσης το υποκείμενο των δεδομένων για το δικαίωμά του να ασκήσει δικαστική προσφυγή.»
10 Το άρθρο 42 της οδηγίας, το οποίο φέρει τον τίτλο «Ανεξαρτησία», ορίζει στην παράγραφο 1 τα ακόλουθα:
«Κάθε κράτος μέλος προβλέπει ότι κάθε εποπτική αρχή ενεργεί με πλήρη ανεξαρτησία κατά την εκτέλεση των καθηκόντων και την άσκηση των εξουσιών της σύμφωνα με την παρούσα οδηγία.»
11 Το άρθρο 46 της οδηγίας 2016/680, το οποίο φέρει τον τίτλο «Καθήκοντα», ορίζει στις παραγράφους 1 και 4 τα εξής:
«Κάθε κράτος μέλος προβλέπει ότι, εντός της επικρατείας του, κάθε εποπτική αρχή:
α) παρακολουθεί και επιβάλλει την εφαρμογή της παρούσας οδηγίας και των εκτελεστικών μέτρων της·
[…]
στ) χειρίζεται τις καταγγελίες που υποβάλλονται από υποκείμενο δεδομένων […], ερευνά, στο μέτρο του δυνατού, το αντικείμενο της καταγγελίας και ενημερώνει τον καταγγέλλοντα για την πρόοδο και την έκβαση της έρευνας εντός εύλογου χρονικού διαστήματος […]
ζ) ελέγχει τη νομιμότητα της επεξεργασίας δυνάμει του άρθρου 17 και ενημερώνει το υποκείμενο των δεδομένων εντός εύλογου χρονικού διαστήματος για την έκβαση του ελέγχου σύμφωνα με την παράγραφο 3 του εν λόγω άρθρου ή για τους λόγους για τους οποίους δεν διενεργήθηκε ο έλεγχος·
[…]».
12 Κατά το άρθρο 47 της οδηγίας, το οποίο φέρει τον τίτλο «Εξουσίες»:
«1. Κάθε κράτος μέλος προβλέπει διά νόμου ότι κάθε εποπτική αρχή του έχει αποτελεσματικές ερευνητικές εξουσίες. Οι εν λόγω εξουσίες περιλαμβάνουν τουλάχιστον την εξουσία να αποκτά, από τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία, πρόσβαση σε όλα τα δεδομένα προσωπικού χαρακτήρα που αποτελούν αντικείμενο επεξεργασίας και όλες τις πληροφορίες που απαιτούνται για την εκτέλεση των καθηκόντων της.
2. Κάθε κράτος μέλος προβλέπει διά νόμου ότι κάθε εποπτική αρχή του έχει αποτελεσματικές διορθωτικές εξουσίες όπως, για παράδειγμα:
α) να απευθύνει προειδοποιήσεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία ότι οι σκοπούμενες πράξεις επεξεργασίας είναι πιθανόν να παραβιάζουν τις διατάξεις που θεσπίζονται δυνάμει της παρούσας οδηγίας·
β) να δίνει εντολή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία να καταστήσει τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις που θεσπίζονται δυνάμει της παρούσας οδηγίας, όπου αρμόζει, με συγκεκριμένο τρόπο και εντός ορισμένης προθεσμίας, ιδίως μέσω εντολής διόρθωσης ή διαγραφής δεδομένων, ή περιορισμού της επεξεργασίας δυνάμει του άρθρου 16·
γ) να επιβάλλει προσωρινό ή οριστικό περιορισμό ή και απαγόρευση της επεξεργασίας.
[…]
4. Η άσκηση εκ μέρους εποπτικής αρχής των εξουσιών της δυνάμει του παρόντος άρθρου υπόκειται στις δέουσες εγγυήσεις, περιλαμβανομένης της άσκησης αποτελεσματικής δικαστικής προσφυγής και της τήρησης της προσήκουσας διαδικασίας, όπως προβλέπονται στο δίκαιο της Ένωσης και των κρατών μελών σύμφωνα με τον Χάρτη.
[…]»
13 Το άρθρο 52 της οδηγίας, το οποίο φέρει τον τίτλο «Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή», ορίζει στην παράγραφο 1 τα εξής:
«Με την επιφύλαξη οποιασδήποτε άλλης διοικητικής ή δικαστικής προσφυγής, τα κράτη μέλη προβλέπουν ότι κάθε υποκείμενο δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε μία μόνον εποπτική αρχή, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν παραβιάζει τις διατάξεις που θεσπίζονται δυνάμει της παρούσας οδηγίας.»
14 Το άρθρο 53 της οδηγίας, το οποίο φέρει τον τίτλο «Δικαίωμα αποτελεσματικής δικαστικής προσφυγής κατά εποπτικής αρχής», ορίζει στην παράγραφο 1 τα ακόλουθα:
«Με την επιφύλαξη οποιασδήποτε άλλης διοικητικής ή μη δικαστικής προσφυγής, τα κράτη μέλη προβλέπουν ότι κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα αποτελεσματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.»
15 Το άρθρο 54 της οδηγίας 2016/680, το οποίο φέρει τον τίτλο «Δικαίωμα αποτελεσματικής δικαστικής προσφυγής κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία», ορίζει τα εξής:
«Με την επιφύλαξη οποιασδήποτε διαθέσιμης διοικητικής ή μη δικαστικής προσφυγής, συμπεριλαμβανομένου του δικαιώματος υποβολής καταγγελίας σε εποπτική αρχή δυνάμει του άρθρου 52, τα κράτη μέλη προβλέπουν ότι τα υποκείμενα των δεδομένων έχουν δικαίωμα αποτελεσματικής δικαστικής προσφυγής εάν θεωρούν ότι τα δικαιώματά τους που απορρέουν από διατάξεις που θεσπίζονται δυνάμει της παρούσας οδηγίας παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που τα αφορούν κατά παράβαση των εν λόγω διατάξεων.»
Το βελγικό δίκαιο
16 Ο loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (νόμος για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα) της 30ής Ιουλίου 2018 (Moniteur belge της 5ης Σεπτεμβρίου 2018, σ. 68616, στο εξής: LPD) μεταφέρει, με τον τίτλο 2, την οδηγία 2016/680 στη βελγική έννομη τάξη. Τα δικαιώματα που διαλαμβάνονται στα άρθρα 13 έως 16 της οδηγίας προβλέπονται στο κεφάλαιο III του τίτλου, ειδικότερα δε στα άρθρα 37 έως 39 του συγκεκριμένου νόμου.
17 Το άρθρο 42 του LPD ορίζει τα εξής:
«Το αίτημα ασκήσεως των δικαιωμάτων που διαλαμβάνονται στο παρόν κεφάλαιο όσον αφορά τις υπηρεσίες της αστυνομίας […] ή τη Γενική Επιθεώρηση της ομοσπονδιακής αστυνομίας και της τοπικής αστυνομίας, απευθύνεται στην εποπτική αρχή η οποία μνημονεύεται στο άρθρο 71.
Στις περιπτώσεις των άρθρων 37 § 2, 38 § 2 [και] 39 § 4 […], η μνημονευόμενη στο άρθρο 71 εποπτική αρχή γνωστοποιεί στο υποκείμενο των δεδομένων μόνον ότι έχει διενεργήσει τις απαραίτητες επαληθεύσεις.
Υπό την επιφύλαξη του δευτέρου εδαφίου, η μνημονευόμενη στο άρθρο 71 εποπτική αρχή δύναται να κοινοποιεί στο υποκείμενο των δεδομένων ορισμένες πληροφορίες σχετικά με το ευρύτερο πλαίσιο της υποθέσεως.
Με βασιλικό διάταγμα, κατόπιν γνωμοδοτήσεως της μνημονευομένης στο άρθρο 71 εποπτικής αρχής, καθορίζεται η κατηγορία πληροφοριών σχετικά με το ευρύτερο πλαίσιο της υποθέσεως τις οποίες η εν λόγω αρχή μπορεί να κοινοποιεί στον ενδιαφερόμενο.»
18 Κατά το cour d’appel de Bruxelles (εφετείο Βρυξελλών, Βέλγιο), αιτούν δικαστήριο εν προκειμένω, δεν έχει εκδοθεί κανένα βασιλικό διάταγμα με σκοπό την εφαρμογή του άρθρου 42, τέταρτο εδάφιο, του LPD.
19 Κατά το άρθρο 71, παράγραφος 1, του LPD:
«Συστήνεται στη Βουλή των Αντιπροσώπων ανεξάρτητη εποπτική αρχή αστυνομικών πληροφοριών με την ονομασία Organe de contrôle de l’information policière [Εποπτικό Όργανο αστυνομικών πληροφοριών].
[…]
Η αρχή αυτή είναι […] αρμόδια:
1° να παρακολουθεί την εφαρμογή του παρόντος τίτλου […]
2° να ελέγχει την επεξεργασία των πληροφοριών και των δεδομένων προσωπικού χαρακτήρα που διαλαμβάνονται στα άρθρα 44/1 έως 44/11/13 του νόμου της 5ης Αυγούστου 1992 σχετικά με τη λειτουργία του Αστυνομικού Σώματος, περιλαμβανομένων εκείνων που έχουν καταχωρισθεί στις τράπεζες δεδομένων οι οποίες μνημονεύονται στο άρθρο 44/2 του ίδιου νόμου·
3° να ασκεί οποιαδήποτε άλλα καθήκοντα καθορίζονται με άλλους νόμους με ή δυνάμει άλλων νόμων.»
20 Το κεφάλαιο I του τίτλου 5 του LPD φέρει τον τίτλο «Αγωγή παραλείψεως». Το άρθρο 209, το οποίο περιλαμβάνεται στο κεφάλαιο Ι, έχει ως εξής:
«Με την επιφύλαξη κάθε άλλης δικαστικής, διοικητικής ή εξώδικης διαδικασίας, ο πρόεδρος του πρωτοδικείου, δικάζοντας κατά τη διαδικασία των ασφαλιστικών μέτρων, διαπιστώνει την ύπαρξη επεξεργασίας κατά παράβαση νομοθετικών ή κανονιστικών διατάξεων σχετικά με την προστασία φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων τους προσωπικού χαρακτήρα και διατάσσει την άρση της προσβολής και την παράλειψή της στο μέλλον.
Ο πρόεδρος του πρωτοδικείου, δικάζοντας κατά τη διαδικασία των ασφαλιστικών μέτρων, επιλαμβάνεται κάθε αιτήματος σχετικά με δικαίωμα που απονέμεται από ή δυνάμει του νόμου, περί πρόσβασης σε δεδομένα προσωπικού χαρακτήρα, καθώς και κάθε αιτήματος περί διόρθωσης, διαγραφής ή απαγόρευσης χρήσης οποιουδήποτε δεδομένου προσωπικού χαρακτήρα στην επεξεργασία του οποίου το υποκείμενο των δεδομένων αντιτίθεται ή το οποίο έχει διατηρηθεί πέραν της επιτρεπόμενης περιόδου και είναι ανακριβές ή, λαμβανομένου υπόψη του σκοπού της επεξεργασίας, ελλιπές ή μη σχετικό ή του οποίου η καταχώριση, κοινοποίηση ή διατήρηση απαγορεύεται.»
21 Το άρθρο 240, παράγραφος 4, του LPD ορίζει τα ακόλουθα:
«Το [OCIP]
[…]
4° επεξεργάζεται τις καταγγελίες, διερευνά, κατά το αναγκαίο μέτρο, το αντικείμενο της καταγγελίας και ενημερώνει τον καταγγέλλοντα για την πρόοδο και την έκβαση της έρευνας εντός ευλόγου χρονικού διαστήματος, ιδίως εάν απαιτείται περαιτέρω έρευνα ή συντονισμός με άλλη εποπτική αρχή. […]»
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
22 Το 2016 ο BA, ο οποίος ήταν τότε μισθωτός εργαζόμενος με σύμβαση μερικής απασχολήσεως σε ένωση μη κερδοσκοπικού χαρακτήρα, ζήτησε από την Autorité nationale de sécurité (Εθνική Αρχή Ασφαλείας) τη χορήγηση πιστοποιητικού ασφαλείας προκειμένου να συμμετάσχει στο έργο συναρμολογήσεως και αποσυναρμολογήσεως της δέκατης διοργανώσεως των «Ευρωπαϊκών Ημερών Αναπτύξεως» στις Βρυξέλλες (Βέλγιο).
23 Με έγγραφο της 22ας Ιουνίου 2016, η ως άνω αρχή αρνήθηκε να χορηγήσει στον BA πιστοποιητικό ασφαλείας, επειδή από τα δεδομένα προσωπικού χαρακτήρα που είχε στη διάθεσή της προέκυπτε ότι το συγκεκριμένο πρόσωπο είχε συμμετάσχει σε δέκα διαδηλώσεις από το 2007 έως και το 2016 και επειδή τα στοιχεία αυτά δεν επέτρεπαν τη χορήγηση τέτοιου πιστοποιητικού βάσει της ισχύουσας νομοθεσίας, ιδίως για λόγους κρατικής ασφάλειας και σταθερότητας της συνταγματικής δημοκρατικής τάξεως. Κατά της ως άνω αποφάσεως δεν ασκήθηκε προσφυγή.
24 Στις 4 Φεβρουαρίου 2020 ο πληρεξούσιος δικηγόρος του BA ζήτησε από το OCIP να προσδιορίσει τους υπεύθυνους της επίμαχης επεξεργασίας δεδομένων προσωπικού χαρακτήρα και να τους υποχρεώσει να παράσχουν στον εντολέα του πρόσβαση στο σύνολο των πληροφοριών που τον αφορούσαν προκειμένου να καταστεί δυνατή η άσκηση των δικαιωμάτων του εντός ευλόγου χρονικού διαστήματος.
25 Με επιστολή ηλεκτρονικού ταχυδρομείου της 6ης Φεβρουαρίου 2020, το OCIP βεβαίωσε ότι παρέλαβε την ως άνω αίτηση. Το συγκεκριμένο εποπτικό όργανο επισήμανε ότι ο ΒΑ είχε μόνον δικαίωμα έμμεσης προσβάσεως στα δεδομένα αυτά, διαβεβαιώνοντας παράλληλα ότι θα ήλεγχε το ίδιο τη νομιμότητα ενδεχόμενης επεξεργασίας δεδομένων τηρουμένων στην Banque de données nationale générale (Γενική Εθνική Τράπεζα Δεδομένων), ήτοι στη βάση δεδομένων που χρησιμοποιείται από το σύνολο των εθνικών αστυνομικών υπηρεσιών. Επιπλέον, διευκρίνισε ότι είχε την εξουσία να διατάξει την αστυνομία να διαγράψει ή να τροποποιήσει τα δεδομένα, εφόσον παρίστατο ανάγκη, και ότι, κατά το πέρας του συγκεκριμένου ελέγχου, θα ενημέρωνε τον ΒΑ ότι διενεργήθηκαν οι αναγκαίες επαληθεύσεις.
26 Με επιστολή ηλεκτρονικού ταχυδρομείου της 22ας Ιουνίου 2020, το OCIP επισήμανε στον πληρεξούσιο δικηγόρο του BA τα εξής:
«[…]
Σας ενημερώνουμε ότι, σύμφωνα με το άρθρο 42 [του LPD], το εποπτικό όργανο έχει διενεργήσει τις αναγκαίες επαληθεύσεις.
Τούτο σημαίνει ότι ελέγχθηκαν τα δεδομένα προσωπικού χαρακτήρα του εντολέα σας στις βάσεις δεδομένων της αστυνομίας προκειμένου να διασφαλισθεί η νομιμότητα οποιασδήποτε επεξεργασίας.
Όπου κρίθηκε απαραίτητο, τα δεδομένα προσωπικού χαρακτήρα τροποποιήθηκαν ή διαγράφηκαν.
Όπως ενημερωθήκατε με την επιστολή ηλεκτρονικού ταχυδρομείου της 2ας Ιουνίου του τρέχοντος έτους, το άρθρο 42 του LPD δεν επιτρέπει στο [OCIP] να παράσχει περισσότερες πληροφορίες.»
27 Στις 2 Σεπτεμβρίου 2020 η Ligue des droits homme και ο BA υπέβαλαν, βάσει του άρθρου 209, δεύτερο εδάφιο, του LPD, αίτηση ασφαλιστικών μέτρων ενώπιον του tribunal de première instance francophone de Bruxelles (γαλλόφωνου πρωτοδικείου Βρυξελλών, Βέλγιο).
28 Κατά πρώτον, οι εκκαλούντες της κύριας δίκης ζήτησαν από το ως άνω δικαστήριο να κρίνει την αίτησή τους ασφαλιστικών μέτρων παραδεκτή και, επικουρικώς, να υποβάλει στο Δικαστήριο αίτηση προδικαστικής αποφάσεως σχετικά με το ζήτημα, κατ’ ουσίαν, αν το άρθρο 47, παράγραφος 4, της οδηγίας 2016/680, ερμηνευόμενο υπό το πρίσμα των αιτιολογικών σκέψεων 85 και 86 της οδηγίας και σε συνδυασμό με το άρθρο 8, παράγραφος 3, και με το άρθρο 47 του Χάρτη, αντιτίθεται στα άρθρα 42 και 71 του LPD, καθόσον οι συγκεκριμένες εθνικές διατάξεις ουδόλως προβλέπουν δικαστική προσφυγή κατά των αποφάσεων που λαμβάνει το OCIP.
29 Κατά δεύτερον, επί της ουσίας, ζήτησαν την παροχή προσβάσεως στο σύνολο των δεδομένων προσωπικού χαρακτήρα που αφορούν τον BA, μέσω του OCIP, και τον εκ μέρους του εν λόγω εποπτικού οργάνου προσδιορισμό των υπευθύνων της επεξεργασίας και των ενδεχόμενων αποδεκτών των δεδομένων αυτών.
30 Σε περίπτωση κατά την οποία το επιληφθέν της υποθέσεως δικαστήριο έκρινε ότι το άρθρο 42, παράγραφος 2, του LPD επιτρέπει τον κατά σύστημα περιορισμό της προσβάσεως στα δεδομένα προσωπικού χαρακτήρα που αποτελούν αντικείμενο επεξεργασίας από τις αστυνομικές υπηρεσίες, οι εκκαλούντες της κύριας δίκης ζήτησαν, επικουρικώς, την υποβολή αιτήσεως προδικαστικής αποφάσεως στο Δικαστήριο όσον αφορά, κατ’ ουσίαν, το ζήτημα αν τα άρθρα 14, 15 και 17 της οδηγίας 2016/680, ερμηνευόμενα σε συνδυασμό με τα άρθρα 8 και 47, καθώς και με το άρθρο 52, παράγραφος 1, του Χάρτη, έχουν την έννοια ότι αντιτίθενται σε εθνική νομοθεσία η οποία δέχεται γενική και συστηματική παρέκκλιση από το δικαίωμα προσβάσεως στα δεδομένα προσωπικού χαρακτήρα, καθόσον, αφενός, το συγκεκριμένο δικαίωμα ασκείται μέσω της εποπτικής αρχής και, αφετέρου, δύναται να περιορίζεται απλώς στην επισήμανση προς το υποκείμενο των δεδομένων ότι διενεργήθηκαν όλες οι αναγκαίες επαληθεύσεις, χωρίς να γνωστοποιούνται στο εν λόγω υποκείμενο τα δεδομένα προσωπικού χαρακτήρα που αποτέλεσαν αντικείμενο επεξεργασίας και οι αποδέκτες, τούτο δε ανεξαρτήτως του επιδιωκομένου σκοπού.
31 Με διάταξη της 17ης Μαΐου 2021, το tribunal de première instance francophone de Bruxelles (γαλλόφωνο πρωτοδικείο Βρυξελλών) έκρινε εαυτό αναρμόδιο να επιληφθεί της αιτήσεως ασφαλιστικών μέτρων.
32 Με δικόγραφο που κατατέθηκε στις 15 Ιουνίου 2021 ενώπιον του cour d’appel de Bruxelles (εφετείου Βρυξελλών), οι εκκαλούντες της κύριας δίκης άσκησαν έφεση κατά της ως άνω διατάξεως. Κατ’ ουσίαν, προέβαλαν εκ νέου τα αιτήματα που είχαν υποβάλει πρωτοδίκως.
33 Στο πλαίσιο αυτό, το αιτούν δικαστήριο επισημαίνει, μεταξύ άλλων, εν συνόψει, ότι, σε περίπτωση κατά την οποία ένα πρόσωπο δεν έχει το δικαίωμα να ασκήσει προσωπικώς τα δικαιώματα που προβλέπει η οδηγία 2016/680, η αγωγή παραλείψεως η οποία προβλέπεται στα άρθρα 209 επ. του LPD δεν μπορεί να ασκηθεί. Συγκεκριμένα, κατ’ αρχάς, μια τέτοια αγωγή μπορεί να ασκηθεί κατά του υπευθύνου της επεξεργασίας, αλλά όχι κατά της ίδιας της εποπτικής αρχής. Εν συνεχεία, η συγκεκριμένη αγωγή δεν μπορεί να ασκηθεί ούτε από το πρόσωπο αυτό, εν προκειμένω τον BA, κατά του υπευθύνου επεξεργασίας, δεδομένου ότι η άσκηση των δικαιωμάτων του έχει ανατεθεί στην εν λόγω αρχή. Τέλος, η όλως συνοπτική ενημέρωση που παρέσχε το OCIP στον BA δεν καθιστά δυνατό ούτε στο συγκεκριμένο πρόσωπο ούτε σε δικαστήριο να εκτιμήσουν αν η εν λόγω εποπτική αρχή άσκησε προσηκόντως τα δικαιώματα του προσώπου αυτού. Το αιτούν δικαστήριο επισημαίνει επίσης ότι, μολονότι ο LPD προβλέπει ότι η αγωγή παραλείψεως δεν θίγει το δικαίωμα ασκήσεως οποιασδήποτε άλλης ένδικης, διοικητικής ή εξώδικης προσφυγής, η εκ μέρους του BA άσκηση κάποιας από τις άλλες προσφυγές θα προσέκρουε στις ίδιες δυσχέρειες.
34 Υπό τις συνθήκες αυτές, το cour d’appel de Bruxelles (εφετείο Βρυξελλών) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Επιβάλλουν τα άρθρα 47 και 8, παράγραφος 3, του [Χάρτη] την πρόβλεψη δικαστικής προσφυγής κατά της ανεξάρτητης αρχής ελέγχου, όπως το [OCIP], όταν η εν λόγω αρχή ασκεί τα δικαιώματα του υποκειμένου των δεδομένων έναντι του υπευθύνου επεξεργασίας;
2) Συνάδει το άρθρο 17 της οδηγίας 2016/680 με τα άρθρα 47 και 8, παράγραφος 3, του [Χάρτη], όπως έχουν ερμηνευθεί από το Δικαστήριο, κατά το μέρος που επιβάλλει στην εποπτική αρχή –η οποία ασκεί τα δικαιώματα του υποκειμένου των δεδομένων έναντι του υπευθύνου της επεξεργασίας– την υποχρέωση να ενημερώσει το υποκείμενο των δεδομένων μόνον περί του ότι “έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις ή η επανεξέταση από την εποπτική αρχή” και περί “του δικαιώματός του να ασκήσει δικαστική προσφυγή”, μολονότι αυτές οι πληροφορίες δεν επιτρέπουν τον εκ των υστέρων έλεγχο επί της δράσεως και της εκτιμήσεως της εποπτικής αρχής όσον αφορά τα δεδομένα του υποκειμένου των δεδομένων και τις υποχρεώσεις που βαρύνουν τον υπεύθυνο επεξεργασίας;»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος
35 Κατ’ αρχάς, από την αίτηση προδικαστικής αποφάσεως προκύπτει ότι τα ζητήματα τα οποία θέτει το αιτούν δικαστήριο αφορούν την, βάσει του άρθρου 53, παράγραφος 1, της οδηγίας 2016/680, ερμηνευόμενου σε συνδυασμό με το άρθρο 47 του Χάρτη, ύπαρξη υποχρεώσεως των κρατών μελών να προβλέπουν δικαίωμα αποτελεσματικής δικαστικής προσφυγής κατά της αρμόδιας εθνικής εποπτικής αρχής, οσάκις εφαρμόζεται διάταξη του εθνικού δικαίου που μεταφέρει στην εσωτερική έννομη τάξη το άρθρο 17 της οδηγίας 2016/680, κατά το οποίο, στις περιπτώσεις του άρθρου 13, παράγραφος 3, του άρθρου 15, παράγραφος 3, και του άρθρου 16, παράγραφος 4, της οδηγίας, τα δικαιώματα του υποκειμένου των δεδομένων μπορούν να ασκηθούν μέσω τέτοιας εποπτικής αρχής.
36 Επιπλέον, επισημαίνεται ότι η απάντηση στο ως άνω ερώτημα εξαρτάται από τη φύση και το περιεχόμενο των καθηκόντων και των εξουσιών της εποπτικής αρχής στο πλαίσιο της ασκήσεως των δικαιωμάτων του υποκειμένου των δεδομένων, κατά το άρθρο 17 της οδηγίας 2016/680. Τα καθήκοντα και οι εξουσίες της εποπτικής αρχής διευκρινίζονται στο άρθρο 46, παράγραφος 1, στοιχείο ζʹ, και στο άρθρο 47, παράγραφοι 1 και 2, της οδηγίας και πρέπει να εξετασθούν υπό το πρίσμα του άρθρου 8, παράγραφος 3, του Χάρτη, κατά το οποίο η τήρηση των κανόνων περί προστασίας των δεδομένων προσωπικού χαρακτήρα, οι οποίοι θεσπίζονται με τις παραγράφους 1 και 2 του άρθρου 8, πρέπει να υπόκειται στον έλεγχο ανεξάρτητης αρχής.
37 Ως εκ τούτου, πρέπει να γίνει δεκτό ότι το αιτούν δικαστήριο, με το πρώτο προδικαστικό ερώτημα, ζητεί, κατ’ ουσίαν, να διευκρινισθεί αν το άρθρο 17 της οδηγίας 2016/680, ερμηνευόμενο σε συνδυασμό με το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, το άρθρο 47, παράγραφοι 1 και 2, και το άρθρο 53, παράγραφος 1, της εν λόγω οδηγίας, καθώς και με το άρθρο 8, παράγραφος 3, και με το άρθρο 47 του Χάρτη, έχει την έννοια ότι, οσάκις τα δικαιώματα προσώπου ασκούνται, κατ’ εφαρμογήν του εν λόγω άρθρου 17, μέσω της αρμόδιας εποπτικής αρχής, το συγκεκριμένο πρόσωπο πρέπει να έχει τη δυνατότητα ασκήσεως αποτελεσματικής δικαστικής προσφυγής κατά της αρχής.
38 Υπενθυμίζεται ευθύς εξαρχής ότι, βάσει του άρθρου 53, παράγραφος 1, της οδηγίας 2016/680, τα κράτη μέλη πρέπει να προβλέπουν ότι κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα ασκήσεως αποτελεσματικής δικαστικής προσφυγής κατά νομικώς δεσμευτικής αποφάσεως εποπτικής αρχής που το αφορά.
39 Πρέπει, επομένως, να εξετασθεί αν εποπτική αρχή εκδίδει τέτοια απόφαση σε περίπτωση κατά την οποία, κατ’ εφαρμογήν του άρθρου 17 της ως άνω οδηγίας, τα δικαιώματα των υποκειμένων των δεδομένων ασκούνται μέσω της συγκεκριμένης εποπτικής αρχής.
40 Επισημαίνεται συναφώς ότι, κατά το άρθρο 17, παράγραφος 1, της οδηγίας 2016/680, «στις περιπτώσεις που αναφέρονται στο άρθρο 13, παράγραφος 3, το άρθρο 15, παράγραφος 3, και το άρθρο 16, παράγραφος 4», της οδηγίας, τα κράτη μέλη υποχρεούνται να θεσπίζουν μέτρα «που προβλέπουν ότι τα δικαιώματα του υποκειμένου των δεδομένων είναι επίσης δυνατόν να ασκούνται μέσω της αρμόδιας εποπτικής αρχής».
41 Όπως υποδηλώνει η χρήση του επιρρήματος «επίσης» και όπως επισήμανε, κατ’ ουσίαν, η γενική εισαγγελέας στα σημεία 41 και 42 των προτάσεών της, η έμμεση άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων μέσω της αρμόδιας εποπτικής αρχής, η οποία προβλέπεται στη διάταξη αυτή, αποτελεί πρόσθετη εγγύηση υπέρ του υποκειμένου των δεδομένων σχετικά με το ότι τα προσωπικά δεδομένα του αποτελούν αντικείμενο νόμιμης επεξεργασίας, σε περίπτωση κατά την οποία οι εθνικές νομοθετικές διατάξεις περιορίζουν την απευθείας άσκηση έναντι του υπευθύνου επεξεργασίας του δικαιώματος λήψεως συμπληρωματικών πληροφοριών, κατά το άρθρο 13, παράγραφος 2, της οδηγίας 2016/680, του δικαιώματος προσβάσεως στα δεδομένα αυτά, κατά το άρθρο 14 της οδηγίας, ή του δικαιώματος διορθώσεως ή διαγραφής τους και περιορισμού ως προς την επεξεργασία υπό τις προϋποθέσεις του άρθρου 16, παράγραφοι 1 έως 3, της οδηγίας.
42 Πράγματι, λαμβανομένου υπόψη του ειδικού χαρακτήρα των σκοπών για τους οποίους πραγματοποιείται η επεξεργασία δεδομένων που εμπίπτει στο πεδίο εφαρμογής της συγκεκριμένης οδηγίας και οι οποίοι επισημαίνονται, μεταξύ άλλων, στην αιτιολογική σκέψη 10, το άρθρο 13, παράγραφος 3, και το άρθρο 15, παράγραφος 1, της οδηγίας 2016/680 επιτρέπουν στο εθνικό νομοθέτη να περιορίζει την απευθείας άσκηση, αφενός, του δικαιώματος ενημερώσεως και, αφετέρου, του δικαιώματος προσβάσεως, «στον βαθμό [και για το χρονικό διάστημα] που ένα τέτοιο μέτρο είναι αναγκαίο και αναλογικό σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη [των θεμελιωδών δικαιωμάτων και] των έννομων συμφερόντων του […] φυσικού προσώπου», με σκοπό «την αποφυγή της παρακώλυσης επίσημων ή [δικαστικών] ερευνών, διερευνήσεων ή διαδικασιών», «την αποφυγή της παρεμπόδισης της πρόληψης, της ανίχνευσης, της διερεύνησης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων», «την προστασία της δημόσιας ασφάλειας», «την προστασία της εθνικής ασφάλειας» ή «την προστασία των δικαιωμάτων και των ελευθεριών τρίτων». Επιπλέον, το άρθρο 15, παράγραφος 3, της οδηγίας προβλέπει ότι ο υπεύθυνος της επεξεργασίας μπορεί να μην ενημερώσει το υποκείμενο των δεδομένων για κάθε άρνηση ή περιορισμό προσβάσεως, καθώς και για τους λόγους της αρνήσεως ή του περιορισμού, σε περίπτωση κατά την οποία η κοινοποίηση των πληροφοριών αυτών ενδέχεται να υπονομεύσει κάποιον από τους ως άνω σκοπούς δημοσίου συμφέροντος.
43 Επίσης, το άρθρο 16, παράγραφος 4, της οδηγίας 2016/680 επιτρέπει στον εθνικό νομοθέτη να περιορίζει την υποχρέωση του υπευθύνου επεξεργασίας να «ενημερώνει εγγράφως το υποκείμενο των δεδομένων για κάθε άρνηση διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα ή περιορισμού της επεξεργασίας και για τους λόγους της άρνησης» για τους ίδιους λόγους δημοσίου συμφέροντος, «στον βαθμό και για το χρονικό διάστημα που ο εν λόγω περιορισμός συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία, λαμβανομένων δεόντως υπόψη των θεμελιωδών δικαιωμάτων και των έννομων συμφερόντων του ενδιαφερόμενου φυσικού προσώπου».
44 Ως εκ τούτου, στο πλαίσιο αυτό, όπως προκύπτει από την αιτιολογική σκέψη 48 της οδηγίας, η έμμεση άσκηση των δικαιωμάτων που μνημονεύονται στη σκέψη 41 της παρούσας αποφάσεως πρέπει να θεωρηθεί αναγκαία για την προστασία των συγκεκριμένων δικαιωμάτων, δεδομένου ότι η απευθείας άσκησή τους έναντι του υπευθύνου επεξεργασίας αποδεικνύεται δυσχερής ή ακόμη και αδύνατη.
45 Προς τούτο, το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, της οδηγίας 2016/680 επιτάσσει την ανάθεση σε κάθε αρμόδια εθνική αρχή της αποστολής να ελέγχει τη νομιμότητα της επεξεργασίας βάσει του άρθρου 17 της οδηγίας, δηλαδή κατόπιν αιτήσεως στηριζόμενης στη δεύτερη αυτή διάταξη.
46 Εξάλλου, από το άρθρο 47, παράγραφοι 1 και 2, της οδηγίας 2016/680 προκύπτει, μεταξύ άλλων, ότι κάθε εποπτική αρχή πρέπει να διαθέτει, δυνάμει της εθνικής νομοθεσίας, όχι μόνον «αποτελεσματικές ερευνητικές εξουσίες» αλλά και «αποτελεσματικές διορθωτικές εξουσίες».
47 Οι ως άνω διατάξεις πρέπει να ερμηνεύονται με γνώμονα την κατά το άρθρο 8, παράγραφος 3, του Χάρτη απαίτηση κατά την οποία η τήρηση των κανόνων περί του δικαιώματος κάθε προσώπου στην προστασία των δεδομένων προσωπικού χαρακτήρα, κατά τις παραγράφους 1 και 2 του συγκεκριμένου άρθρου, πρέπει να «υπόκειται στον έλεγχο ανεξάρτητης αρχής», ιδίως δε του κανόνα που θεσπίζεται με τη δεύτερη περίοδο της παραγράφου 2, κατά την οποία «[κ]άθε πρόσωπο δικαιούται να έχει πρόσβαση στα συλλεγέντα δεδομένα που το αφορούν και να επιτυγχάνει τη διόρθωσή τους». Πράγματι, όπως επιβεβαιώνεται από πάγια νομολογία, η σύσταση ανεξάρτητης εποπτικής αρχής αποσκοπεί στη διασφάλιση της αποτελεσματικότητας και της αξιοπιστίας του ελέγχου της τηρήσεως των διατάξεων περί προστασίας των φυσικών προσώπων από την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και πρέπει να ερμηνεύεται υπό το πρίσμα του σκοπού αυτού [πρβλ. γνωμοδότηση 1/15 (Συμφωνία PNR ΕΕ-Καναδά), της 26ης Ιουλίου 2017, EU:C:2017:592, σκέψη 229 και εκεί μνημονευόμενη νομολογία].
48 Επομένως, οσάκις τέτοια εποπτική αρχή ενεργεί προκειμένου να ασκήσει τα δικαιώματα του υποκειμένου των δεδομένων βάσει του άρθρου 17 της οδηγίας 2016/680, η αρμοδιότητά της εμπίπτει πλήρως στον βάσει του πρωτογενούς δικαίου της Ένωσης ορισμό της αποστολής της, δεδομένου ότι ο ορισμός αυτός συνεπάγεται, μεταξύ άλλων, τον έλεγχο του σεβασμού των δικαιωμάτων του εν λόγω υποκειμένου περί προσβάσεως και διορθώσεως. Ως εκ τούτου, κατά την εκτέλεση της ειδικής αυτής αρμοδιότητας, όπως και στο πλαίσιο οποιασδήποτε άλλης αρμοδιότητας, η εποπτική αρχή πρέπει να είναι σε θέση να ασκεί τις εξουσίες οι οποίες της ανατίθενται βάσει του άρθρου 47 της ίδιας οδηγίας, ενεργώντας με πλήρη ανεξαρτησία, σύμφωνα με τον Χάρτη και όπως εκτίθεται στην αιτιολογική σκέψη 75 της οδηγίας.
49 Επιπλέον, κατά το πέρας του ελέγχου της νομιμότητας της επεξεργασίας, η αρμόδια εποπτική αρχή οφείλει, κατά το άρθρο 17, παράγραφος 3, πρώτη περίοδος, της οδηγίας 2016/680, «τουλάχιστον» να γνωστοποιεί στο υποκείμενο των δεδομένων «ότι έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις ή η επανεξέταση».
50 Όπως επισημαίνει, κατ’ ουσίαν, η γενική εισαγγελέας στο σημείο 65 των προτάσεών της, από το σύνολο των ως άνω διατάξεων πρέπει να συναχθεί ότι, οσάκις η αρμόδια εποπτική αρχή ενημερώνει το υποκείμενο των δεδομένων για το αποτέλεσμα των ελέγχων που διενήργησε, του γνωστοποιεί την απόφαση την οποία έλαβε σχετικώς να περατώσει τη διαδικασία επαληθεύσεως και η οποία επηρεάζει κατ’ ανάγκην τη νομική κατάσταση του υποκειμένου των δεδομένων. Η συγκεκριμένη απόφαση αποτελεί, επομένως, έναντι του υποκείμενου των δεδομένων, «νομικά δεσμευτική απόφαση», κατά την έννοια του άρθρου 53, παράγραφος 1, της οδηγίας 2016/680, ανεξαρτήτως αν και σε ποιον βαθμό η αρχή διαπίστωσε τη νομιμότητα της επεξεργασίας των δεδομένων που αφορούν το εν λόγω πρόσωπο και αν έλαβε διορθωτικά μέτρα.
51 Εξάλλου, κατά την αιτιολογική σκέψη 86 της οδηγίας 2016/680, ως «νομικά δεσμευτική απόφαση», κατά την οδηγία, πρέπει να νοείται η απόφαση που παράγει έννομα αποτελέσματα έναντι του υποκειμένου των δεδομένων, ιδίως δε απόφαση που αφορά την άσκηση, από την εποπτική αρχή, εξουσιών έρευνας, λήψεως διορθωτικών μέτρων και χορηγήσεως αδείας ή σχετικών με την άρνηση ή απόρριψη καταγγελιών.
52 Ως εκ τούτου, το υποκείμενο των δεδομένων πρέπει να έχει τη δυνατότητα δικαστικού ελέγχου του βασίμου τέτοιας αποφάσεως δυνάμει του άρθρου 53, παράγραφος 1 της οδηγίας 2016/680 και, ειδικότερα, του τρόπου με τον οποίο η εποπτική αρχή εκπλήρωσε την υποχρέωση που υπέχει από το άρθρο 17 της οδηγίας, στο οποίο παραπέμπει το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, αυτής, να διενεργήσει «όλες [τις] αναγκαίες επαληθεύσεις» και, εφόσον παρίσταται ανάγκη, της ασκήσεως των εξουσιών της όσον αφορά τη λήψη διορθωτικών μέτρων.
53 Το συμπέρασμα αυτό επιρρωννύεται, άλλωστε, από την αιτιολογική σκέψη 85 της οδηγίας 2016/680, από την οποία προκύπτει ότι κάθε υποκείμενο δεδομένων πρέπει να έχει δικαίωμα ασκήσεως πραγματικής προσφυγής κατά εποπτικής αρχής εφόσον η αρχή «δεν ενεργεί, ενώ οφείλει να ενεργήσει, για να προστατεύσει τα δικαιώματα του υποκειμένου των δεδομένων».
54 Τέλος, η συγκεκριμένη ερμηνεία είναι σύμφωνη με το άρθρο 47 του Χάρτη, δεδομένου ότι, όπως προκύπτει από πάγια νομολογία, το δικαίωμα αυτό πρέπει να αναγνωρίζεται σε κάθε πρόσωπο το οποίο επικαλείται δικαιώματα ή ελευθερίες που διασφαλίζονται από το δίκαιο της Ένωσης κατά βλαπτικής γι’ αυτό απόφασης, ικανής να θίξει τα εν λόγω δικαιώματα ή ελευθερίες [πρβλ. απόφαση της 26ης Ιανουαρίου 2023, Ministerstvo na vatreshnite raboti (Καταγραφή βιομετρικών και γενετικών δεδομένων από την αστυνομία), C‑205/21, EU:C:2023:49, σκέψη 87 και εκεί μνημονευόμενη νομολογία].
55 Λαμβανομένου υπόψη του συνόλου των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 17 της οδηγίας 2016/680, ερμηνευόμενο σε συνδυασμό με το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, το άρθρο 47, παράγραφοι 1 και 2, και το άρθρο 53, παράγραφος 1, της εν λόγω οδηγίας, καθώς και με το άρθρο 8, παράγραφος 3, και το άρθρο 47 του Χάρτη, έχει την έννοια ότι, οσάκις τα δικαιώματα προσώπου ασκούνται, κατ’ εφαρμογήν του εν λόγω άρθρου 17, μέσω της αρμόδιας εποπτικής αρχής, η δε αρχή ενημερώνει το πρόσωπο αυτό για το αποτέλεσμα των επαληθεύσεων που διενεργήθηκαν, το συγκεκριμένο πρόσωπο πρέπει να έχει τη δυνατότητα ασκήσεως αποτελεσματικής δικαστικής προσφυγής κατά της αποφάσεως της εν λόγω αρχής περί περατώσεως της διαδικασίας επαληθεύσεως.
Επί του δευτέρου προδικαστικού ερωτήματος
56 Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινισθεί αν το άρθρο 17, παράγραφος 3, της οδηγίας 2016/680 είναι έγκυρο υπό το πρίσμα του άρθρου 8, παράγραφος 3, και του άρθρου 47 του Χάρτη, καθόσον απλώς υποχρεώνει την εποπτική αρχή να ενημερώνει το υποκείμενο των δεδομένων, αφενός, ότι έχει προβεί σε όλες τις αναγκαίες επαληθεύσεις ή σε επανεξέταση και, αφετέρου, ότι το υποκείμενο των δεδομένων έχει δικαίωμα να ασκήσει ένδικη προσφυγή, εφόσον η ενημέρωση αυτή δεν παρέχει τη δυνατότητα δικαστικού ελέγχου των ενεργειών της εποπτικής αρχής και των εκτιμήσεών της, λαμβανομένων υπόψη των δεδομένων που αποτέλεσαν το αντικείμενο επεξεργασίας και των υποχρεώσεων του υπευθύνου επεξεργασίας.
57 Συναφώς, υπενθυμίζεται, αφενός, ότι, κατά γενική ερμηνευτική αρχή, μια πράξη της Ένωσης πρέπει να ερμηνεύεται, στο μέτρο του δυνατού, κατά τρόπο που να μη θίγει το κύρος της και να συνάδει με το σύνολο του πρωτογενούς δικαίου, ιδίως δε με τις διατάξεις του Χάρτη. Ως εκ τούτου, όταν πράξη του παράγωγου δικαίου της Ένωσης επιδέχεται περισσότερες από μία ερμηνείες, πρέπει να προτιμάται η ερμηνεία που καθιστά τη διάταξη σύμφωνη με το πρωτογενές δίκαιο, και όχι εκείνη η οποία θα συνεπαγόταν το ασυμβίβαστό της με το πρωτογενές δίκαιο (απόφαση της 21ης Ιουνίου 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, σκέψη 86 και εκεί μνημονευόμενη νομολογία).
58 Αφετέρου, το δικαίωμα αποτελεσματικής δικαστικής προσφυγής, το οποίο κατοχυρώνεται στο άρθρο 47 του Χάρτη, επιτάσσει, κατ’ αρχήν, να είναι ο ενδιαφερόμενος σε θέση να λάβει γνώση των λόγων βάσει των οποίων ελήφθη η απόφαση που τον αφορά, προκειμένου να του παρασχεθεί η δυνατότητα να προασπίσει τα δικαιώματά του υπό τις καλύτερες δυνατές συνθήκες και να αποφασίσει, μετά λόγου γνώσεως, αν είναι πρόσφορο να προσφύγει στο αρμόδιο δικαστήριο, καθώς και να παρασχεθεί στο συγκεκριμένο δικαστήριο πλήρως η δυνατότητα ασκήσεως του εκ μέρους του ελέγχου νομιμότητας της οικείας αποφάσεως (πρβλ. απόφαση της 4ης Ιουνίου 2013, ZZ, C‑300/11, EU:C:2013:363, σκέψη 53 και εκεί μνημονευόμενη νομολογία).
59 Μολονότι το ως άνω δικαίωμα δεν αποτελεί απόλυτο προνόμιο και, σύμφωνα με το άρθρο 52, παράγραφος 1, του Χάρτη, επιτρέπεται η επιβολή περιορισμών στην άσκησή του, τούτο είναι δυνατό υπό την προϋπόθεση, πρώτον, ότι οι περιορισμοί αυτοί προβλέπονται από τον νόμο, δεύτερον, ότι σέβονται το βασικό περιεχόμενο των οικείων δικαιωμάτων και ελευθεριών και, τρίτον, ότι, τηρουμένης της αρχής της αναλογικότητας, είναι αναγκαίοι και ανταποκρίνονται πραγματικά σε σκοπούς γενικού συμφέροντος που αναγνωρίζει η Ένωση ή στην ανάγκη προστασίας των δικαιωμάτων και ελευθεριών των τρίτων [απόφαση της 26ης Ιανουαρίου 2023, Ministerstvo na vatreshnite raboti (Καταγραφή βιομετρικών και γενετικών δεδομένων από την αστυνομία), C‑205/21, EU:C:2023:49, σκέψη 89 και εκεί μνημονευόμενη νομολογία].
60 Εν προκειμένω, επισημαίνεται ότι, όσον αφορά την απόφαση της αρμόδιας εποπτικής αρχής περί της οποίας έγινε λόγος στη σκέψη 50 της παρούσας αποφάσεως, το άρθρο 17, παράγραφος 3, της οδηγίας 2016/680 επιβάλλει στη συγκεκριμένη εποπτική αρχή ελάχιστη υποχρέωση ενημερώσεως, καθόσον προβλέπει ότι η αρχή ενημερώνει το υποκείμενο των δεδομένων «τουλάχιστον» περί του «ότι έλαβαν χώρα όλες οι αναγκαίες επαληθεύσεις ή η επανεξέταση» και για «το δικαίωμά του να ασκήσει δικαστική προσφυγή».
61 Ως εκ τούτου, η διάταξη αυτή, καθόσον δεν αντιτίθεται, σε ορισμένες περιπτώσεις και σύμφωνα με τους κανόνες που έχει θεσπίσει ο εθνικός νομοθέτης για την εφαρμογή της, στη δυνατότητα, ενδεχομένως δε και στην υποχρέωση της εποπτικής αρχής να παράσχει μόνον τις ελάχιστες πληροφορίες που μνημονεύονται στην προηγούμενη σκέψη, άνευ ετέρας διευκρινίσεως, ιδίως οσάκις οι κανόνες αυτοί αποσκοπούν στην αποφυγή υπονομεύσεως των σκοπών δημοσίων συμφέροντος οι οποίοι μνημονεύονται στο άρθρο 13, παράγραφος 3, στο άρθρο 15, παράγραφος 1, και στο άρθρο 16, παράγραφος 4, της οδηγίας 2016/680, όπως εκτέθηκε στις σκέψεις 42 και 43 της παρούσας αποφάσεως, δύναται να επιφέρει περιορισμό του δικαιώματος αποτελεσματικής δικαστικής προσφυγής, το οποίο κατοχυρώνεται στο άρθρο 47 του Χάρτη.
62 Τούτου δοθέντος, κατά πρώτον, διαπιστώνεται ότι ο ως άνω περιορισμός προβλέπεται ρητώς από την οδηγία 2016/680 και ότι, ως εκ τούτου, πληροί την προϋπόθεση του άρθρου 52, παράγραφος 1, του Χάρτη, κατά την οποία κάθε περιορισμός στην άσκηση θεμελιώδους δικαιώματος πρέπει να «προβλέπεται από τον νόμο».
63 Κατά δεύτερον, το γεγονός ότι το άρθρο 17, παράγραφος 3, της οδηγίας 2016/680 επιτρέπει στα κράτη μέλη να περιορίζουν, σε ορισμένες περιπτώσεις, την αιτιολογία της ως άνω αποφάσεως στα ελάχιστα στοιχεία που παρατίθενται στη συγκεκριμένη διάταξη δεν συνεπάγεται, όπως επισημαίνει η γενική εισαγγελέας, στο σημείο 89 των προτάσεών της, ότι είναι δυνατόν, σε όλες τις περιπτώσεις, να περιορίζεται η ενημέρωση του υποκειμένου των δεδομένων αποκλειστικώς στα στοιχεία αυτά.
64 Πράγματι, η συγκεκριμένη διάταξη πρέπει να ερμηνεύεται υπό το πρίσμα του άρθρου 52, παράγραφος 1, του Χάρτη, ούτως ώστε να πληρούνται όλα τα άλλα κριτήρια που προβλέπονται στο άρθρο αυτό. Τούτο προϋποθέτει ότι πρέπει να γίνει δεκτό ότι η διάταξη απαιτεί από τα κράτη μέλη να μεριμνούν ώστε οι διατάξεις εθνικού δικαίου που τη θέτουν σε εφαρμογή, αφενός, σέβονται το βασικό περιεχόμενο του δικαιώματος του υποκειμένου των δεδομένων σε αποτελεσματική δικαστική προστασία και, αφετέρου, ότι βασίζονται σε στάθμιση των σκοπών δημοσίου συμφέροντος που δικαιολογούν περιορισμό της ενημερώσεως αυτής, καθώς και των θεμελιωδών δικαιωμάτων και των εννόμων συμφερόντων του υποκειμένου των δεδομένων, τηρουμένων των αρχών της αναγκαιότητας και της αναλογικότητας, όπως συμβαίνει και στην περίπτωση της σταθμίσεως στην οποία πρέπει να προβεί ο εθνικός νομοθέτης οσάκις θέτει σε εφαρμογή τους περιορισμούς που προβλέπονται στο άρθρο 13, παράγραφος 3, στο άρθρο 15, παράγραφος 3, και στο άρθρο 16, παράγραφος 4, της οδηγίας 2016/680.
65 Ειδικότερα, οσάκις, αφενός, το απαιτεί η προστασία του δικαιώματος αποτελεσματικής δικαστικής προσφυγής του υποκειμένου των δεδομένων έναντι της αποφάσεως περί περατώσεως της διαδικασίας επαληθεύσεως και, αφετέρου, δεν αντιτίθενται σε αυτό οι σκοποί δημοσίου συμφέροντος που διαλαμβάνονται στο άρθρο 13, παράγραφος 3, στο άρθρο 15, παράγραφος 3, και στο άρθρο 16, παράγραφος 4, της οδηγίας 2016/680, τα κράτη μέλη πρέπει να προβλέπουν ότι η ενημέρωση του υποκειμένου των δεδομένων δύναται να βαίνει πέραν των ελάχιστων πληροφοριών που προβλέπει το άρθρο 17, παράγραφος 3, της οδηγίας, προκειμένου να του παρασχεθεί η δυνατότητα να προασπίσει τα δικαιώματά του και να αποφασίσει, μετά λόγου γνώσεως, αν είναι πρόσφορο να προσφύγει στο αρμόδιο δικαστήριο.
66 Ομοίως, τα εθνικά μέτρα που θέτουν σε εφαρμογή την τελευταία αυτή διάταξη πρέπει, στο μέτρο του δυνατού, να καταλείπουν στην αρμόδια εποπτική αρχή, σύμφωνα με την ανεξαρτησία η οποία τη χαρακτηρίζει βάσει του άρθρου 8, παράγραφος 3, του Χάρτη, ορισμένο περιθώριο εκτιμήσεως προκειμένου να εξετάζει αν το πλαίσιο το οποίο ορίζεται από την εθνική νομοθεσία σύμφωνα με τις απαιτήσεις που επισημάνθηκαν στη σκέψη 65 της παρούσας αποφάσεως δεν αντιτίθεται στην εκ μέρους της γνωστοποίηση στο υποκείμενο των δεδομένων, έστω και κατά τρόπο συνοπτικό, του αποτελέσματος των επαληθεύσεών της, καθώς και, ενδεχομένως, των διορθωτικών μέτρων που έλαβε. Συναφώς, όπως επισήμανε, κατ’ ουσίαν, η γενική εισαγγελέας στα σημεία 73 και 74 των προτάσεών της, στην εν λόγω αρχή απόκειται, τηρουμένου του εθνικού νομοθετικού πλαισίου, να κινήσει διαδικασία εμπιστευτικού διαλόγου με τον υπεύθυνο επεξεργασίας και, μετά την ολοκλήρωση του διαλόγου αυτού, να αποφασίσει ποιες είναι οι αναγκαίες πληροφορίες για την εκ μέρους του υποκειμένου των δεδομένων άσκηση του δικαιώματός του αποτελεσματικής δικαστικής προστασίας τις οποίες δύναται να του κοινοποιήσει χωρίς να υπονομεύσει τους σκοπούς δημοσίου συμφέροντος που μνημονεύονται στη σκέψη 65 της παρούσας αποφάσεως.
67 Εξάλλου, στις περιπτώσεις κατά τις οποίες το ως άνω πλαίσιο επιτάσσει να περιορίζεται η εκ μέρους της εποπτικής αρχής ενημέρωση στα προβλεπόμενα από το άρθρο 17, παράγραφος 3, της οδηγίας 2016/680, απόκειται, πάντως, στα κράτη μέλη, στο πλαίσιο της δικονομικής αυτονομίας τους, να θέτουν σε εφαρμογή τα μέτρα που είναι αναγκαία για να διασφαλίζεται, σύμφωνα με το άρθρο 53, παράγραφος 1, της οδηγίας, αποτελεσματικός δικαστικός έλεγχος τόσο της υπάρξεως και του βασίμου των λόγων για τους οποίους περιορίσθηκε η συγκεκριμένη ενημέρωση όσο και της εκ μέρους της εποπτικής αρχής προσήκουσας εκτελέσεως των καθηκόντων της ελέγχου της νομιμότητας της επεξεργασίας. Συναφώς, η έννοια της «αποτελεσματικής δικαστικής προσφυγής», κατά την τελευταία αυτή διάταξη, πρέπει να ερμηνεύεται υπό το πρίσμα της αιτιολογικής σκέψεως 86 της οδηγίας 2016/680, κατά την οποία τα δικαστήρια ενώπιον των οποίων κινούνται οι διαδικασίες κατά εποπτικής αρχής «θα πρέπει να ασκούν πλήρη […] δικαιοδοσία η οποία περιλαμβάνει τη δικαιοδοσία να εξετάζουν όλα τα ζητήματα πραγματικά και νομικά σχετικά με τη διαφορά που εκκρεμεί ενώπιόν τους».
68 Ειδικότερα, τα κράτη μέλη οφείλουν να μεριμνούν ώστε το αρμόδιο δικαστήριο να έχει στη διάθεσή του και να εφαρμόζει μεθόδους και δικονομικούς κανόνες που να συμβιβάζουν, αφενός, τη θεμιτή μέριμνα για την επίτευξη των σκοπών δημοσίου συμφέροντος που μνημονεύονται στο άρθρο 13, παράγραφος 3, στο άρθρο 15, παράγραφος 3, και στο άρθρο 16, παράγραφος 4, της οδηγίας 2016/680, καθόσον οι συγκεκριμένοι σκοποί ελήφθησαν υπόψη από την εθνική νομοθεσία προκειμένου να περιορισθούν οι παρεχόμενες στο υποκείμενο των δεδομένων πληροφορίες, και, αφετέρου, την ανάγκη διασφαλίσεως επαρκούς προστασίας των διαδικαστικών δικαιωμάτων του εν λόγω υποκειμένου, όπως είναι το δικαίωμα ακροάσεως και η αρχή της εκατέρωθεν ακροάσεως (πρβλ. απόφαση της 4ης Ιουνίου 2013, ZZ, C‑300/11, EU:C:2013:363, σκέψη 57 και εκεί μνημονευόμενη νομολογία).
69 Στο πλαίσιο του δικαστικού ελέγχου της εκ μέρους της εποπτικής αρχής προσήκουσας εφαρμογής του άρθρου 17 της οδηγίας, τα κράτη μέλη υποχρεούνται να θεσπίζουν κανόνες οι οποίοι παρέχουν στο αρμόδιο δικαστήριο τη δυνατότητα να λαμβάνει γνώση τόσο του συνόλου των λόγων και των σχετικών αποδεικτικών στοιχείων βάσει των οποίων ήλεγξε, στο πλαίσιο αυτό, τη νομιμότητα της επεξεργασίας των επίμαχων δεδομένων όσο και των συμπερασμάτων που συνήγαγε εκ των στοιχείων αυτών (πρβλ. απόφαση της 4ης Ιουνίου 2013, ZZ, C‑300/11, EU:C:2013:363, σκέψη 59 και εκεί μνημονευόμενη νομολογία).
70 Συναφώς, όπως επισήμανε το Ευρωπαϊκό Κοινοβούλιο με τις παρατηρήσεις του, το άρθρο 15, παράγραφος 4, της οδηγίας 2016/680 προβλέπει ότι ο υπεύθυνος επεξεργασίας τεκμηριώνει τους πραγματικούς ή νομικούς λόγους στους οποίους στηρίζει την απόφαση με την οποία περιόρισε, εν μέρει ή εν όλω, τα δικαιώματα προσβάσεως του υποκειμένου των δεδομένων και ότι οι πληροφορίες αυτές τίθενται στη διάθεση των εποπτικών αρχών. Όπως υπονόησε το ως άνω θεσμικό όργανο, η διάταξη αυτή, σε συνδυασμό με τα άρθρα 17 και 53 της οδηγίας 2016/680, καθώς και υπό το πρίσμα του άρθρου 47 του Χάρτη, όπως έχει ερμηνευθεί από τη νομολογία που υπομνήσθηκε στις σκέψεις 68 και 69 της παρούσας αποφάσεως, συνεπάγεται ότι οι πληροφορίες αυτές πρέπει να τίθενται επίσης στη διάθεση του δικαστηρίου που επιλαμβάνεται προσφυγής ασκηθείσας κατά της εποπτικής αρχής με σκοπό τον έλεγχο της προσήκουσας εφαρμογής του εν λόγω άρθρου 17.
71 Ως εκ τούτου, από τις σκέψεις 63 έως 70 της παρούσας αποφάσεως προκύπτει ότι ο περιορισμός τον οποίον προβλέπει το άρθρο 17 της οδηγίας 2016/680 συνάδει με το περιεχόμενο του δικαιώματος του υποκειμένου των δεδομένων σε αποτελεσματική δικαστική προσφυγή κατά της αποφάσεως της εποπτικής αρχής περί περατώσεως της προβλεπομένης στην εν λόγω διάταξη διαδικασίας, καθώς και με τις αρχές της αναγκαιότητας και της αναλογικότητας, σύμφωνα με το άρθρο 52, παράγραφος 1, του Χάρτη.
72 Λαμβανομένου υπόψη του συνόλου των προεκτεθέντων, διαπιστώνεται ότι από την εξέταση του δευτέρου προδικαστικού ερωτήματος δεν προέκυψε κανένα στοιχείο δυνάμενο να θίξει το κύρος του άρθρου 17, παράγραφος 3, της οδηγίας 2016/680.
Επί των δικαστικών εξόδων
73 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (πέμπτο τμήμα) αποφαίνεται:
1) Το άρθρο 17 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου, ερμηνευόμενο σε συνδυασμό με το άρθρο 46, παράγραφος 1, στοιχείο ζʹ, το άρθρο 47, παράγραφοι 1 και 2, και το άρθρο 53, παράγραφος 1, της εν λόγω οδηγίας, καθώς και με το άρθρο 8, παράγραφος 3, και το άρθρο 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης,
έχει την έννοια ότι:
οσάκις τα δικαιώματα προσώπου ασκούνται, κατ’ εφαρμογήν του εν λόγω άρθρου 17, μέσω της αρμόδιας εποπτικής αρχής, η δε αρχή ενημερώνει το πρόσωπο αυτό για το αποτέλεσμα των επαληθεύσεων που διενεργήθηκαν, το συγκεκριμένο πρόσωπο πρέπει να έχει τη δυνατότητα ασκήσεως αποτελεσματικής δικαστικής προσφυγής κατά της αποφάσεως της εν λόγω αρχής περί περατώσεως της διαδικασίας επαληθεύσεως.
2) Από την εξέταση του δευτέρου προδικαστικού ερωτήματος δεν προέκυψε κανένα στοιχείο δυνάμενο να θίξει το κύρος του άρθρου 17, παράγραφος 3, της οδηγίας 2016/680.
(υπογραφές)
