ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (πρώτο τμήμα)
της 3ης Απριλίου 2025 (*)
« Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕE) 2016/679 – Άρθρο 4 – Ορισμοί – Άρθρο 6 – Νομιμότητα της επεξεργασίας – Άρθρο 86 – Πρόσβαση του κοινού σε επίσημα έγγραφα – Δεδομένα που αφορούν τον εκπρόσωπο νομικού προσώπου – Νομολογία εθνικού δικαστηρίου σύμφωνα με την οποία υφίσταται υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων και διαβούλευσης μαζί του πριν από τη γνωστοποίηση επίσημων εγγράφων που περιέχουν τέτοια δεδομένα »
Στην υπόθεση C‑710/23,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Nejvyšší správní soud (Ανώτατο Διοικητικό Δικαστήριο, Τσεχική Δημοκρατία) με απόφαση της 1ης Νοεμβρίου 2023, η οποία περιήλθε στο Δικαστήριο στις 22 Νοεμβρίου 2023,
L. H.
κατά
Ministerstvo zdravotnictví,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (πρώτο τμήμα),
συγκείμενο από τους F. Biltgen, πρόεδρο τμήματος, T. von Danwitz (εισηγητή), Αντιπρόεδρο του Δικαστηρίου, A. Kumin, I. Ziemele και S. Gervasoni, δικαστές,
γενικός εισαγγελέας: J. Richard de la Tour
γραμματέας: A. Calot Escobar
έχοντας υπόψη την έγγραφη διαδικασία,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η Τσεχική Κυβέρνηση, εκπροσωπούμενη από την L. Březinová, τον M. Smolek και τον J. Vláčil,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους Α. Μπουχάγιαρ και P. Ondrůšek,
κατόπιν της αποφάσεως που έλαβε, αφού άκουσε τον γενικό εισαγγελέα, να εκδικάσει την υπόθεση χωρίς ανάπτυξη προτάσεων,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 4, σημείο 1, καθώς και του άρθρου 6, παράγραφος 1, στοιχεία γʹ και εʹ, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικό ΕΕ 2021, L 74, σ. 35, στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ του L. H. και του Ministerstvo zdravotnictví (Υπουργείου Υγείας, Τσεχική Δημοκρατία), με αντικείμενο απόφαση του εν λόγω Υπουργείου να μη γνωστοποιήσει στον L. H. ορισμένες πληροφορίες σχετικές με εκπροσώπους νομικών προσώπων, οι οποίοι μνημονεύονται σε συμβάσεις αγοράς τεστ ανίχνευσης του Covid-19, καθώς και σε πιστοποιητικά σχετικά με τα εν λόγω τεστ.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Οι αιτιολογικές σκέψεις 1, 4, 10, 14 και 154 του ΓΚΠΔ διαλαμβάνουν τα εξής:
«(1) Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα. Το άρθρο 8 παράγραφος 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης [(στο εξής: Χάρτης)] και το άρθρο 16 παράγραφος 1 [ΣΛΕΕ] ορίζουν ότι κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.
[…]
(4) Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται να εξυπηρετεί τον άνθρωπο. Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα· πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας. Ο παρών κανονισμός σέβεται όλα τα θεμελιώδη δικαιώματα και τηρεί τις ελευθερίες και αρχές που αναγνωρίζονται στον Χάρτη όπως κατοχυρώνονται στις Συνθήκες, ιδίως τον σεβασμό της ιδιωτικής και οικογενειακής ζωής, της κατοικίας και των επικοινωνιών, την προστασία των δεδομένων προσωπικού χαρακτήρα, την ελευθερία σκέψης, συνείδησης και θρησκείας, την ελευθερία έκφρασης και πληροφόρησης, την επιχειρηματική ελευθερία, το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου και την πολιτιστική, θρησκευτική και γλωσσική πολυμορφία.
[…]
(10) Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. Όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα που γίνεται προς συμμόρφωση με νομική υποχρέωση, προς εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, τα κράτη μέλη θα πρέπει να έχουν τη δυνατότητα να διατηρούν ή να θεσπίζουν εθνικές διατάξεις για τον περαιτέρω προσδιορισμό της εφαρμογής των κανόνων του παρόντος κανονισμού. […] Σε αυτόν τον βαθμό, ο παρών κανονισμός δεν αποκλείει το δίκαιο των κρατών μελών να προσδιορίζει τις περιστάσεις ειδικών καταστάσεων επεξεργασίας, μεταξύ άλλων τον ακριβέστερο καθορισμό των προϋποθέσεων υπό τις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη.
[…]
(14) Η προστασία που παρέχει ο παρών κανονισμός θα πρέπει να ισχύει για τα φυσικά πρόσωπα, ανεξαρτήτως ιθαγένειας ή τόπου διαμονής, σε σχέση με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα τους. Ο παρών κανονισμός δεν καλύπτει την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν νομικά πρόσωπα και ιδίως επιχειρήσεις συσταθείσες ως νομικά πρόσωπα, περιλαμβανομένων της επωνυμίας, του τύπου και των στοιχείων επικοινωνίας του νομικού προσώπου.
[…]
(154) Ο παρών κανονισμός επιτρέπει να λαμβάνεται υπόψη η αρχή της πρόσβασης του κοινού στα επίσημα έγγραφα κατά την εφαρμογή του παρόντος κανονισμ[ού]. Η πρόσβαση του κοινού σε επίσημα έγγραφα μπορεί να θεωρηθεί ως δημόσιο συμφέρον. Τα δεδομένα προσωπικού χαρακτήρα σε έγγραφα που τηρούνται από δημόσια αρχή ή δημόσιο φορέα θα πρέπει να μπορούν να κοινολογούνται δημοσίως από την εν λόγω αρχή ή τον φορέα εάν η κοινολόγηση προβλέπεται από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπάγεται η δημόσια αρχή ή ο δημόσιος φορέας. Τα δίκαια αυτά θα πρέπει να συμφιλιώνουν την πρόσβαση του κοινού σε επίσημα έγγραφα και την περαιτέρω χρήση πληροφοριών του δημόσιου τομέα με το δικαίωμα προστασίας δεδομένων προσωπικού χαρακτήρα και μπορούν, συνεπώς, να προβλέπουν την αναγκαία συμφιλίωση με το δικαίωμα προστασίας δεδομένων προσωπικού χαρακτήρα δυνάμει του παρόντος κανονισμού. Η αναφορά σε δημόσιες αρχές και φορείς θα πρέπει εν προκειμένω να περιλαμβάνει όλες τις αρχές ή άλλους φορείς που καλύπτονται από το δίκαιο κράτους μέλους σχετικά με την πρόσβαση του κοινού σε έγγραφα. […]»
4 Το άρθρο 1 του ΓΚΠΔ επιγράφεται «Αντικείμενο και στόχοι» και ορίζει στην παράγραφο 2 τα εξής:
«Ο παρών κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα.»
5 Κατά το άρθρο 4 του ΓΚΠΔ, υπό τον τίτλο «Ορισμοί»:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου,
2) “επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,
[…]».
6 Το άρθρο 5 του ΓΚΠΔ τιτλοφορείται «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα» και ορίζει τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”),
[…]».
7 Το άρθρο 6 του ΓΚΠΔ επιγράφεται «Νομιμότητα της επεξεργασίας» και προβλέπει τα εξής:
«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς,
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης,
γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας,
δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου,
ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας,
στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
[…]
2. Τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν πιο ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού όσον αφορά την επεξεργασία για τη συμμόρφωση με την παράγραφο 1 στοιχεία γ) και ε), καθορίζοντας ακριβέστερα ειδικές απαιτήσεις για την επεξεργασία και άλλα μέτρα προς εξασφάλιση σύννομης και θεμιτής επεξεργασίας, μεταξύ άλλων για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ.
3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με:
α) το δίκαιο της Ένωσης, ή
β) το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας.
Ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση ή, όσον αφορά την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχείο ε), είναι η αναγκαιότητα της επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. Η εν λόγω νομική βάση μπορεί να περιλαμβάνει ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του παρόντος κανονισμού, μεταξύ άλλων: τις γενικές προϋποθέσεις που διέπουν τη σύννομη επεξεργασία από τον υπεύθυνο επεξεργασίας· τα είδη των δεδομένων που υποβάλλονται σε επεξεργασία· τα οικεία υποκείμενα των δεδομένων· τις οντότητες στις οποίες μπορούν να κοινοποιούνται τα δεδομένα προσωπικού χαρακτήρα και τους σκοπούς αυτής της κοινοποίησης· τον περιορισμό του σκοπού· τις περιόδους αποθήκευσης· και τις πράξεις επεξεργασίας και τις διαδικασίες επεξεργασίας, συμπεριλαμβανομένων των μέτρων για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας, όπως εκείνα για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ. Το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και είναι ανάλογο προς τον επιδιωκόμενο νόμιμο σκοπό.
[…]».
8 Το άρθρο 86 του ΓΚΠΔ φέρει τον τίτλο «Επεξεργασία και πρόσβαση του κοινού σε επίσημα έγγραφα» και περιλαμβάνεται στο κεφάλαιο IX του κανονισμού αυτού, το οποίο περιέχει τις διατάξεις που αφορούν ειδικές περιπτώσεις επεξεργασίας. Το εν λόγω άρθρο έχει ως εξής:
«Τα δεδομένα προσωπικού χαρακτήρα σε επίσημα έγγραφα που κατέχει δημόσια αρχή ή δημόσιος ή ιδιωτικός φορέας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον μπορούν να κοινοποιούνται από την εν λόγω αρχή ή φορέα σύμφωνα με το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται η δημόσια αρχή ή ο φορέας, προκειμένου να συμβιβάζεται η πρόσβαση του κοινού σε επίσημα έγγραφα με το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δυνάμει του παρόντος κανονισμού.»
Το τσεχικό δίκαιο
9 Ο zákon č. 106/1999 Sb., o svobodném přístupu k informacím (νόμος 106/1999 περί ελεύθερης πρόσβασης στις πληροφορίες) προβλέπει την υποχρέωση των δημοσίων αρχών να γνωστοποιούν πληροφορίες στο φυσικό ή νομικό πρόσωπο που υποβάλλει σχετικό αίτημα.
10 Δυνάμει του άρθρου 8a, παράγραφος 1, του νόμου αυτού, ο υπέχων υποχρέωση παροχής πληροφοριών γνωστοποιεί πληροφορίες που αφορούν την προσωπικότητα, τα στοιχεία της προσωπικής σφαίρας, την ιδιωτική ζωή φυσικού προσώπου και δεδομένα προσωπικού χαρακτήρα μόνον σύμφωνα με τη νομοθεσία που διέπει την προστασία τους.
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
11 Ο L. H. υπέβαλε στο Υπουργείο Υγείας αίτηση παροχής πληροφοριών σχετικών με την ταυτοποίηση προσώπων τα οποία είχαν υπογράψει, αφενός, συμβάσεις αγοράς τεστ ανίχνευσης του Covid-19 συναφθείσες από το εν λόγω Υπουργείο και, αφετέρου, πιστοποιητικά τα οποία αφορούσαν τα τεστ αυτά και αποδείκνυαν τη δυνατότητα χρήσης τους στο έδαφος της Ένωσης.
12 Το Υπουργείο Υγείας έκανε εν μέρει δεκτή την αίτηση του L. H. και του γνωστοποίησε τα πιστοποιητικά που αφορούσαν τα τεστ ανίχνευσης, απαλείφοντας τις πληροφορίες σχετικά με τα φυσικά πρόσωπα που υπέγραψαν τα πιστοποιητικά εξ ονόματος των οικείων νομικών προσώπων, συμπεριλαμβανομένων του ονόματος, του επωνύμου, της υπογραφής και της θέσης που κατείχαν αυτά τα φυσικά πρόσωπα, καθώς και, σε ορισμένες περιπτώσεις, της διεύθυνσης ηλεκτρονικού ταχυδρομείου, του αριθμού τηλεφώνου και του ιστοτόπου των νομικών προσώπων. Η απάλειψη των εν λόγω πληροφοριών είχε ως δικαιολογητικό λόγο την προστασία των δεδομένων προσωπικού χαρακτήρα των φυσικών προσώπων που μνημονεύονταν στα ανωτέρω πιστοποιητικά, σύμφωνα με τις επιταγές του ΓΚΠΔ.
13 Ο L. H. άσκησε προσφυγή, ενώπιον του Městský soud v Praze (περιφερειακού δικαστηρίου Πράγας, Τσεχική Δημοκρατία), με αίτημα την ακύρωση της απόφασης του Υπουργείου Υγείας περί γνωστοποίησης, κατά το μέρος που απαλείφθηκαν οι ως άνω πληροφορίες. Το δικαστήριο αυτό έκανε δεκτή την προσφυγή κρίνοντας ότι το Υπουργείο δεν μπορούσε να αρνηθεί εκ προοιμίου τη γνωστοποίηση πληροφοριών που συνιστούν δεδομένα προσωπικού χαρακτήρα χωρίς προηγουμένως να έχει ενημερώσει τα υποκείμενα των δεδομένων και χωρίς να έχει λάβει τη γνώμη τους ως προς την αίτηση γνωστοποίησης των δεδομένων αυτών, όπως προβλέπει η σχετική εθνική νομολογία. Ειδικότερα, κατά το αιτούν δικαστήριο, το Υπουργείο Υγείας, ενεργώντας κατ’ αυτόν τον τρόπο, αφενός, παρέλειψε να αναγνωρίσει στα υποκείμενα των δεδομένων την ιδιότητα των «μετεχόντων στη διαδικασία», κατά την έννοια του εθνικού δικαίου, και, αφετέρου, δεν βεβαιώθηκε επαρκώς κατά νόμον ότι δεν πληρούνταν καμία από τις προϋποθέσεις νομιμότητας που προβλέπει το άρθρο 6, παράγραφος 1, του ΓΚΠΔ.
14 Το Υπουργείο Υγείας άσκησε αναίρεση κατά της αποφάσεως του Městský soud v Praze (περιφερειακού δικαστηρίου Πράγας) ενώπιον του Nejvyšší správní soud (Ανωτάτου Διοικητικού Δικαστηρίου, Τσεχική Δημοκρατία), ήτοι του αιτούντος δικαστηρίου. Κατά το Υπουργείο Υγείας, το γεγονός ότι τα φυσικά πρόσωπα που ήταν τα υποκείμενα των δεδομένων δεν ενημερώθηκαν για την επίμαχη αίτηση γνωστοποίησης των δεδομένων δεν μπορεί να συνιστά διαδικαστική πλημμέλεια. Το εν λόγω Υπουργείο ισχυρίζεται ότι τα πρόσωπα αυτά ασκούν τις δραστηριότητές τους από την Κίνα και το Ηνωμένο Βασίλειο, όπου είναι καταχωρισμένα τα νομικά πρόσωπα τα οποία εξέδωσαν τα πιστοποιητικά, και ότι του είναι άγνωστη η κατοικία των ως άνω φυσικών προσώπων. Επομένως, είναι αδύνατο να ενημερώσει τα πρόσωπα αυτά και να διαβουλευθεί μαζί τους επί του εν λόγω ζητήματος.
15 Στο πλαίσιο αυτό, το αιτούν δικαστήριο διερωτάται, πρώτον, αν τα επίμαχα στην υπόθεση της κύριας δίκης δεδομένα συνιστούν «δεδομένα προσωπικού χαρακτήρα», κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ. Υπό το πρίσμα της αιτιολογικής σκέψης 14 του ΓΚΠΔ, το αιτούν δικαστήριο κλίνει υπέρ της άποψης ότι οι εν λόγω πληροφορίες αποτελούν δεδομένα που αφορούν νομικό πρόσωπο, τα οποία δεν εμπίπτουν στο πεδίο εφαρμογής του ως άνω κανονισμού. Εντούτοις, παρατηρεί ότι η νομολογία του Δικαστηρίου προκρίνει ευρεία ερμηνεία της έννοιας των «δεδομένων προσωπικού χαρακτήρα», από την οποία προκύπτει ότι οι πληροφορίες οι οποίες αφορούν ταυτοποιήσιμα φυσικά πρόσωπα και προέρχονται, ειδικότερα, από εμπορικό μητρώο εμπίπτουν στην έννοια αυτή.
16 Δεύτερον, στην περίπτωση που το Δικαστήριο κρίνει ότι τα επίμαχα στην κύρια δίκη δεδομένα συνιστούν δεδομένα προσωπικού χαρακτήρα, το αιτούν δικαστήριο διερωτάται κατά πόσον είναι συμβατή με το δίκαιο της Ένωσης η σχετική εθνική νομολογία, σύμφωνα με την οποία ο υπεύθυνος επεξεργασίας, στον οποίο υποβάλλεται αίτηση γνωστοποίησης των δεδομένων αυτών, υποχρεούται να ενημερώνει το υποκείμενο των δεδομένων και να διαβουλεύεται με αυτό πριν από τη γνωστοποίηση των εν λόγω δεδομένων στον αιτούντα. Το αιτούν δικαστήριο διευκρινίζει επίσης ότι η υποχρέωση αυτή επιβάλλεται και σε περιπτώσεις στις οποίες ο ίδιος ο ΓΚΠΔ δεν απαιτεί τη συγκατάθεση του υποκειμένου των δεδομένων, ήτοι σε περιπτώσεις διαφορετικές από εκείνη του άρθρου 6, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ. Επομένως, η εν λόγω υποχρέωση βαίνει πέραν των απαιτήσεων του ΓΚΠΔ και καθιστά, ως εκ τούτου, την πρόσβαση στα επίμαχα δεδομένα δυνητικά δυσχερέστερη απ’ ό,τι σε άλλα κράτη μέλη. Επιπροσθέτως, λαμβανομένου υπόψη του πεδίου εφαρμογής του ΓΚΠΔ, θα ήταν δύσκολο, αν όχι αδύνατο, να εφαρμοστεί συστηματικά η υποχρέωση προηγούμενης ενημέρωσης και διαβούλευσης, ιδίως στην περίπτωση αρχείων που αφορούν μεγάλο αριθμό προσώπων εγκατεστημένων σε διάφορες χώρες.
17 Υπό τις συνθήκες αυτές, το Nejvyšší správní soud (Ανώτατο Διοικητικό Δικαστήριο) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Συνιστά η γνωστοποίηση του ονόματος, του επωνύμου, της υπογραφής και των στοιχείων επικοινωνίας φυσικού προσώπου, μέλους του διοικητικού συμβουλίου ή εκπροσώπου νομικού προσώπου, η οποία πραγματοποιείται με αποκλειστικό σκοπό την ταυτοποίηση (του προσώπου που είναι εξουσιοδοτημένο να ενεργεί εξ ονόματος) του νομικού προσώπου, επεξεργασία “δεδομένων προσωπικού χαρακτήρα” φυσικού προσώπου κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ και, κατά συνέπεια, εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ;
2) Μπορεί το εθνικό δίκαιο, συμπεριλαμβανομένης της πάγιας νομολογίας των δικαστηρίων, να εξαρτά την εφαρμογή από διοικητική αρχή ενός άμεσα εφαρμοστέου κανονισμού της Ένωσης, συγκεκριμένα του άρθρου 6, παράγραφος 1, στοιχείο γʹ, ή, κατά περίπτωση, στοιχείο εʹ, του ΓΚΠΔ, από πρόσθετες προϋποθέσεις οι οποίες δεν απορρέουν από το γράμμα του ίδιου του κανονισμού, αλλά στην πράξη διευρύνουν το επίπεδο προστασίας του υποκειμένου των δεδομένων, συγκεκριμένα από την υποχρέωση της δημόσιας αρχής να ενημερώνει εκ των προτέρων το υποκείμενο των δεδομένων σχετικά με αίτημα διαβιβάσεως δεδομένων προσωπικού χαρακτήρα σε τρίτους;»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος
18 Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 4, σημεία 1 και 2, του ΓΚΠΔ έχει την έννοια ότι η γνωστοποίηση του ονόματος, του επωνύμου, της υπογραφής και των στοιχείων επικοινωνίας φυσικού προσώπου το οποίο εκπροσωπεί νομικό πρόσωπο συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα, ακόμη και αν η γνωστοποίηση αυτή πραγματοποιείται με μοναδικό σκοπό να καταστεί δυνατή η ταυτοποίηση του φυσικού προσώπου που είναι εξουσιοδοτημένο να ενεργεί εξ ονόματος του νομικού προσώπου.
19 Προκαταρκτικώς, πρέπει να σημειωθεί ότι, σύμφωνα με τα στοιχεία που παρέσχε το αιτούν δικαστήριο, τα νομικά πρόσωπα που εξέδωσαν τα επίμαχα στη διαφορά της κύριας δίκης πιστοποιητικά είναι εγκατεστημένα σε τρίτες χώρες, ήτοι στην Κίνα και στο Ηνωμένο Βασίλειο. Μολονότι τα εν λόγω νομικά πρόσωπα μπορούν, υπό ορισμένες προϋποθέσεις, να υπόκεινται στους κανόνες δημοσιότητας της οδηγίας (ΕΕ) 2017/1132 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Ιουνίου 2017, σχετικά με ορισμένες πτυχές του εταιρικού δικαίου (ΕΕ 2017, L 169, σ. 46), ιδίως όσον αφορά την υποχρεωτική δημοσιότητα της ταυτότητας των προσώπων που έχουν την εξουσία να δεσμεύουν τα εν λόγω νομικά πρόσωπα έναντι τρίτων, από κανένα στοιχείο της δικογραφίας που έχει στη διάθεσή του το Δικαστήριο δεν προκύπτει ότι η ως άνω οδηγία είναι κρίσιμη εν προκειμένω.
20 Κατόπιν της προκαταρκτικής αυτής παρατήρησης, υπενθυμίζεται ότι, κατά το άρθρο 4, σημείο 1, του ΓΚΠΔ, συνιστά «δεδομένο προσωπικού χαρακτήρα» «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο». Ως «ταυτοποιήσιμο φυσικό πρόσωπο» νοείται, κατά την έννοια της εν λόγω διάταξης, το φυσικό πρόσωπο «του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου».
21 Κατά πάγια νομολογία, η χρήση της φράσης «κάθε πληροφορία» στον ορισμό της έννοιας των «δεδομένων προσωπικού χαρακτήρα», ο οποίος περιλαμβάνεται στην ως άνω διάταξη, αντικατοπτρίζει τον σκοπό του ενωσιακού νομοθέτη να προσδώσει ευρύ νόημα στην έννοια αυτή, η οποία καλύπτει δυνητικά κάθε είδος πληροφοριών, τόσο αντικειμενικών όσο και υποκειμενικών, με τη μορφή γνώμης ή εκτίμησης, υπό την προϋπόθεση ότι οι πληροφορίες «αφορούν» το συγκεκριμένο πρόσωπο. Η πληροφορία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο όταν, λόγω του περιεχομένου της, του σκοπού της ή του αποτελέσματός της, συνδέεται με ταυτοποιήσιμο πρόσωπο (αποφάσεις της 7ης Μαρτίου 2024, IAB Europe, C‑604/22, EU:C:2024:214, σκέψεις 36 και 37, και της 4ης Οκτωβρίου 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, σκέψεις 130 και 131 και εκεί μνημονευόμενη νομολογία).
22 Συνεπώς, οι πληροφορίες σχετικά με την ταυτότητα των ταυτοποιημένων ή ταυτοποιήσιμων φυσικών προσώπων τα οποία, ως προβλεπόμενο από τον νόμο όργανο ή ως μέλη τέτοιου οργάνου, έχουν την εξουσία να δεσμεύουν εταιρία έναντι τρίτων συνιστούν «δεδομένα προσωπικού χαρακτήρα», κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ. Το γεγονός ότι οι πληροφορίες αυτές άπτονται επαγγελματικής δραστηριότητας δεν είναι ικανό να άρει τον χαρακτηρισμό τους ως δεδομένων προσωπικού χαρακτήρα (βλ., κατ’ αναλογίαν, απόφαση της 9ης Μαρτίου 2017, Manni, C‑398/15, EU:C:2017:197, σκέψεις 32 και 34 και εκεί μνημονευόμενη νομολογία).
23 Όπως παρατήρησε η Επιτροπή, μια τέτοια ερμηνεία δεν αναιρείται από την αιτιολογική σκέψη 14 του ΓΚΠΔ. Συγκεκριμένα, η δεύτερη περίοδος της εν λόγω αιτιολογικής σκέψης παραπέμπει, μεταξύ άλλων, στην «επωνυμία» και στα «στοιχεία επικοινωνίας» του νομικού προσώπου και όχι στα αντίστοιχα στοιχεία των φυσικών προσώπων που ενεργούν εξ ονόματος ή για λογαριασμό νομικού προσώπου.
24 Εν προκειμένω, διαπιστώνεται ότι το όνομα και το επώνυμο ταυτοποιημένου ή ταυτοποιήσιμου φυσικού προσώπου συνιστούν δεδομένα προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 4, σημείο 1, του ΓΚΠΔ. Το ίδιο ισχύει και για την υπογραφή ενός τέτοιου φυσικού προσώπου (πρβλ. απόφαση της 4ης Οκτωβρίου 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, σκέψη 136).
25 Όσον αφορά τα λοιπά επίμαχα στην κύρια δίκη στοιχεία επικοινωνίας, στο αιτούν δικαστήριο εναπόκειται να εξακριβώσει, λαμβανομένης υπόψη της νομολογίας που υπομνήσθηκε στη σκέψη 21 της παρούσας αποφάσεως, αν τα στοιχεία αυτά συνδέονται με ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο.
26 Όσον αφορά την έννοια της «επεξεργασίας», κατά το άρθρο 4, σημείο 2, του ΓΚΠΔ, η εν λόγω διάταξη την ορίζει ως «κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή».
27 Συνεπώς, από την έκφραση «κάθε πράξη» προκύπτει ότι ο νομοθέτης θέλησε να προσδώσει στην έννοια της «επεξεργασίας» ευρύ περιεχόμενο, όπερ επιβεβαιώνεται από τον μη εξαντλητικό χαρακτήρα, ο οποίος εκφράζεται με τη λέξη «όπως», των απαριθμούμενων στην εν λόγω διάταξη πράξεων, οι οποίες περιλαμβάνουν την κοινολόγηση με διαβίβαση, τη διάδοση και κάθε άλλη μορφή διάθεσης, μπορούν δε να είναι αυτοματοποιημένες ή μη αυτοματοποιημένες (πρβλ. απόφαση της 7ης Μαρτίου 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, σκέψεις 29 και 30 και εκεί μνημονευόμενη νομολογία).
28 Εν πάση περιπτώσει, ουδόλως προκύπτει από το γράμμα του άρθρου 4, σημείο 2, του ΓΚΠΔ ότι ο νομοθέτης της Ένωσης θέλησε να εξαρτήσει τον χαρακτηρισμό των ως άνω πράξεων ως «επεξεργασίας» από τον σκοπό τους.
29 Μια τέτοια ερμηνεία είναι σύμφωνη με τον σκοπό τον οποίο επιδιώκει ο ΓΚΠΔ, όπως αυτός απορρέει από το άρθρο του 1 καθώς και από τις αιτιολογικές του σκέψεις 1 και 10, και συνίσταται, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, και ειδικότερα του δικαιώματός τους στην ιδιωτική ζωή έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο άρθρο 8, παράγραφος 1, του Χάρτη και στο άρθρο 16, παράγραφος 1, ΣΛΕΕ (πρβλ. απόφαση της 9ης Ιανουαρίου 2025, Mousse, C‑394/23, EU:C:2025:2, σκέψη 21 και εκεί μνημονευόμενη νομολογία).
30 Εν προκειμένω, η γνωστοποίηση δεδομένων όπως το όνομα, το επώνυμο, η υπογραφή και τα στοιχεία επικοινωνίας φυσικού προσώπου που εκπροσωπεί νομικό πρόσωπο εμπίπτει στην έννοια της «επεξεργασίας», κατά το άρθρο 4, σημείο 2, του ΓΚΠΔ. Όπως προκύπτει από τις σκέψεις 27 έως 29 της παρούσας αποφάσεως, το γεγονός ότι η γνωστοποίηση τέτοιων δεδομένων έχει ως μοναδικό σκοπό να καταστήσει δυνατή την ταυτοποίηση φυσικού προσώπου που είναι εξουσιοδοτημένο να ενεργεί εξ ονόματος νομικού προσώπου δεν ασκεί επιρροή προκειμένου να αποδοθεί ο χαρακτηρισμός της «επεξεργασίας», κατά την έννοια της εν λόγω διατάξεως.
31 Λαμβανομένων υπόψη των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 4, σημεία 1 και 2, του ΓΚΠΔ έχει την έννοια ότι η γνωστοποίηση του ονόματος, του επωνύμου, της υπογραφής και των στοιχείων επικοινωνίας φυσικού προσώπου το οποίο εκπροσωπεί νομικό πρόσωπο συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα. Το γεγονός ότι η γνωστοποίηση αυτή πραγματοποιείται με μοναδικό σκοπό να καταστεί δυνατή η ταυτοποίηση του φυσικού προσώπου που είναι εξουσιοδοτημένο να ενεργεί εξ ονόματος του νομικού προσώπου δεν ασκεί συναφώς επιρροή.
Επί του δευτέρου προδικαστικού ερωτήματος
32 Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 6, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ έχει την έννοια ότι αντιτίθεται σε εθνική νομολογία σύμφωνα με την οποία υπεύθυνος επεξεργασίας που είναι δημόσια αρχή επιφορτισμένη με τον συμβιβασμό του δικαιώματος πρόσβασης του κοινού σε επίσημα έγγραφα με το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα υποχρεούται να ενημερώνει το φυσικό πρόσωπο το οποίο είναι το υποκείμενο των δεδομένων και να διαβουλεύεται με αυτό πριν από τη γνωστοποίηση επίσημων εγγράφων που περιέχουν τέτοια δεδομένα.
33 Σύμφωνα με τον σκοπό που επιδιώκει ο ΓΚΠΔ, όπως αυτός υπομνήσθηκε στη σκέψη 29 της παρούσας αποφάσεως, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, μεταξύ άλλων, να είναι σύμφωνη με τις αρχές που διέπουν την επεξεργασία τέτοιων δεδομένων, οι οποίες διατυπώνονται στο άρθρο 5 του ΓΚΠΔ, και να πληροί τις προϋποθέσεις νομιμότητας που απαριθμούνται στο άρθρο 6 του ΓΚΠΔ (απόφαση της 9ης Ιανουαρίου 2025, Mousse, C‑394/23, EU:C:2025:2, σκέψη 22 και εκεί μνημονευόμενη νομολογία).
34 Συναφώς, το άρθρο 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ ορίζει ότι τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων.
35 Το άρθρο 6, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ προβλέπει ότι η επεξεργασία μπορεί να είναι σύννομη εάν και εφόσον είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας. Κατά το άρθρο 6, παράγραφος 1, στοιχείο εʹ, του εν λόγω κανονισμού, μια τέτοια επεξεργασία μπορεί επίσης να είναι σύννομη εάν και εφόσον είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας.
36 Κατά το άρθρο 6, παράγραφος 2, του ΓΚΠΔ, τα κράτη μέλη μπορούν να διατηρούν ή να θεσπίζουν πιο ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του εν λόγω κανονισμού όσον αφορά την επεξεργασία για τη συμμόρφωση με την παράγραφο 1, στοιχεία γʹ και εʹ, του ως άνω άρθρου, καθορίζοντας ακριβέστερα ειδικές απαιτήσεις για την επεξεργασία και άλλα μέτρα προς εξασφάλιση σύννομης και θεμιτής επεξεργασίας, μεταξύ άλλων για άλλες ειδικές περιπτώσεις επεξεργασίας όπως προβλέπονται στο κεφάλαιο ΙΧ του ΓΚΠΔ.
37 Το άρθρο 6, παράγραφος 3, του ΓΚΠΔ προβλέπει ότι η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1, στοιχεία γʹ και εʹ, του άρθρου 6 ορίζεται, κατά περίπτωση, σύμφωνα με το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας. Η σχετική νομική βάση πρέπει να ανταποκρίνεται σε σκοπό δημόσιου συμφέροντος και να είναι ανάλογη προς τον επιδιωκόμενο νόμιμο σκοπό. Η ίδια νομική βάση μπορεί επίσης να περιλαμβάνει ειδικές διατάξεις για την προσαρμογή της εφαρμογής των κανόνων του ΓΚΠΔ, όπως, μεταξύ άλλων, γενικές προϋποθέσεις που διέπουν τη νομιμότητα της επεξεργασίας από τον υπεύθυνο επεξεργασίας ή πράξεις και διαδικασίες επεξεργασίας, συμπεριλαμβανομένων μέτρων για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας, όπως τα μέτρα για άλλες ειδικές περιπτώσεις επεξεργασίας που προβλέπονται στο κεφάλαιο ΙΧ του ΓΚΠΔ.
38 Επισημαίνεται επίσης ότι, όσον αφορά την πρόσβαση του κοινού σε επίσημα έγγραφα, το άρθρο 86 του ΓΚΠΔ, το οποίο περιλαμβάνεται στο κεφάλαιο IX του κανονισμού, προβλέπει ότι τα δεδομένα προσωπικού χαρακτήρα που περιέχονται σε επίσημα έγγραφα τα οποία κατέχει δημόσια αρχή ή δημόσιος ή ιδιωτικός φορέας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον μπορούν να κοινοποιούνται από την εν λόγω αρχή ή φορέα, σύμφωνα με το δίκαιο της Ένωσης ή το δίκαιο του οικείου κράτους μέλους, προκειμένου να συμβιβάζεται το δικαίωμα πρόσβασης του κοινού σε επίσημα έγγραφα με το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα.
39 Το ως άνω άρθρο πρέπει να ερμηνευθεί υπό το πρίσμα, πρώτον, της αιτιολογικής σκέψης 4 του ΓΚΠΔ, η οποία αναφέρει, μεταξύ άλλων, ότι το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα, δεύτερον, της αιτιολογικής σκέψης 154 του ΓΚΠΔ, από την οποία προκύπτει, μεταξύ άλλων, ότι η πρόσβαση του κοινού σε επίσημα έγγραφα μπορεί να θεωρηθεί ως δημόσιο συμφέρον, καθώς και, τρίτον, της νομολογίας κατά την οποία η αρχή της διαφάνειας, όπως απορρέει από τα άρθρα 1 και 10 ΣΕΕ καθώς και από το άρθρο 15 ΣΛΕΕ, εξασφαλίζει μεγαλύτερη συμμετοχή των πολιτών στη διαδικασία λήψης αποφάσεων και, παράλληλα, εγγυάται μεγαλύτερη νομιμότητα, αποτελεσματικότητα και υπευθυνότητα της διοίκησης έναντι του πολίτη σε ένα δημοκρατικό σύστημα (απόφαση της 22ας Νοεμβρίου 2022, Luxembourg Business Registers, C‑37/20 και C‑601/20, EU:C:2022:912, σκέψη 60 και εκεί μνημονευόμενη νομολογία).
40 Μολονότι, όπως προκύπτει από την αιτιολογική σκέψη 10 του ΓΚΠΔ, τα κράτη μέλη έχουν την εξουσία να διατηρούν ή να θεσπίζουν εθνικές διατάξεις για τον περαιτέρω προσδιορισμό της εφαρμογής των κανόνων του εν λόγω κανονισμού, εντούτοις, πρέπει να κάνουν χρήση του περιθωρίου εκτιμήσεως που διαθέτουν υπό τις προϋποθέσεις και εντός των ορίων του εν λόγω κανονισμού και, ως εκ τούτου, πρέπει να νομοθετούν κατά τρόπο που να μη θίγει το περιεχόμενο και τους σκοπούς του ΓΚΠΔ (πρβλ. απόφαση της 30ής Μαρτίου 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, σκέψη 59 και εκεί μνημονευόμενη νομολογία).
41 Επιπλέον, σύμφωνα με την αρχή της αναλογικότητας, τα κράτη μέλη πρέπει να διασφαλίζουν ότι οι πρακτικές συνέπειες, ιδίως οργανωτικής φύσεως, τις οποίες συνεπάγονται οι πρόσθετες απαιτήσεις που έχουν καθορίσει, δεν είναι υπερβολικές (πρβλ. απόφαση της 21ης Δεκεμβρίου 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, σκέψη 67).
42 Εν προκειμένω, η επίμαχη στην κύρια δίκη επεξεργασία μπορεί να εμπίπτει τόσο στο στοιχείο γʹ όσο και στο στοιχείο εʹ του άρθρου 6, παράγραφος 1, του ΓΚΠΔ, δεδομένου ότι επιβάλλεται στον υπεύθυνο επεξεργασίας από τον νόμο 106/1999, στο πλαίσιο άσκησης καθήκοντος εκτελούμενου προς το δημόσιο συμφέρον το οποίο συνίσταται στη διασφάλιση της πρόσβασης του κοινού σε επίσημα έγγραφα. Συναφώς, δεν αμφισβητείται ότι ο νόμος αυτός υποχρεώνει τις δημόσιες αρχές να γνωστοποιούν πληροφορίες, συμπεριλαμβανομένων επίσημων εγγράφων, στα πρόσωπα που υποβάλλουν σχετικό αίτημα.
43 Τούτου λεχθέντος, όταν οι ζητούμενες πληροφορίες περιλαμβάνουν δεδομένα προσωπικού χαρακτήρα, ο ως άνω νόμος προβλέπει ότι τα δεδομένα αυτά μπορούν να γνωστοποιηθούν μόνον εφόσον τηρείται η νομοθεσία για την προστασία τους, η οποία, όπως παρατηρεί το αιτούν δικαστήριο, περιλαμβάνει τον ΓΚΠΔ. Από την απόφαση περί παραπομπής προκύπτει ότι η νομολογία του αιτούντος δικαστηρίου καθορίζει συμπληρωματικές υποχρεώσεις, οι οποίες προστίθενται σε εκείνες που ρητώς προβλέπει ο ΓΚΠΔ. Ειδικότερα, σύμφωνα με την εν λόγω νομολογία, οι δημόσιες αρχές υποχρεούνται να ενημερώνουν το υποκείμενο των δεδομένων και να διαβουλεύονται με αυτό πριν προβούν σε οποιαδήποτε γνωστοποίηση των εν λόγω δεδομένων.
44 Όσον αφορά τη συμβατότητα εθνικής νομολογίας, όπως η επίμαχη στην κύρια δίκη, με τον ΓΚΠΔ, διαπιστώνεται ότι, δυνάμει των διατάξεων που μνημονεύονται στις σκέψεις 36 και 37 της παρούσας αποφάσεως, τα κράτη μέλη μπορούν να θεσπίζουν ειδικές διατάξεις για τη διασφάλιση σύννομης και θεμιτής επεξεργασίας σε ειδικές περιπτώσεις επεξεργασίας, όπως εκείνη του άρθρου 86 του ΓΚΠΔ. Συναφώς, μια τέτοια νομολογία μπορεί να αποτελέσει μέρος της νομικής βάσης της επεξεργασίας, κατά την έννοια του άρθρου 6, παράγραφος 3, του ΓΚΠΔ.
45 Κατά συνέπεια, το άρθρο 6, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ δεν αντιτίθεται, καταρχήν, σε εθνική νομολογία η οποία προβλέπει υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων και διαβούλευσης μαζί του πριν από κάθε γνωστοποίηση δεδομένων προσωπικού χαρακτήρα που το αφορούν. Πράγματι, μια τέτοια υποχρέωση είναι ικανή να διασφαλίσει σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων, κατά την έννοια του άρθρου 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, παρέχοντας στο πρόσωπο αυτό τη δυνατότητα να εκφράσει την άποψή του σχετικά με τη σχεδιαζόμενη γνωστοποίηση. Συνεπώς, η υποχρέωση αυτή συμβάλλει στην επίτευξη του σκοπού που υπομνήσθηκε στη σκέψη 29 της παρούσας αποφάσεως, παρέχοντας παράλληλα στη δημόσια αρχή τη δυνατότητα να προβεί, έχοντας πλήρη γνώση της κατάστασης, στον απαιτούμενο από το άρθρο 86 του ΓΚΠΔ συμβιβασμό.
46 Εντούτοις, λαμβανομένης υπόψη της νομολογίας που υπομνήσθηκε στις σκέψεις 40 και 41 της παρούσας αποφάσεως, η απόλυτη εφαρμογή της ως άνω υποχρέωσης θα μπορούσε να οδηγήσει σε δυσανάλογο περιορισμό του δικαιώματος πρόσβασης του κοινού σε επίσημα έγγραφα. Πράγματι, είναι πιθανό, για διάφορους λόγους, η ενημέρωση του υποκειμένου των δεδομένων και/ή η διαβούλευση μαζί του να αποδειχθούν ανέφικτες ή να απαιτούν δυσανάλογη προσπάθεια. Σε ένα τέτοιο πλαίσιο, η επίκληση πρακτικής αδυναμίας ενημέρωσης του υποκειμένου των δεδομένων και διαβούλευσης μαζί του προκειμένου να δικαιολογηθεί η συστηματική άρνηση κάθε γνωστοποίησης πληροφοριών σχετικών με το εν λόγω πρόσωπο θα οδηγούσε σε αποκλεισμό κάθε προσπάθειας συμβιβασμού των εμπλεκόμενων συμφερόντων, ενώ ο συμβιβασμός αυτός προβλέπεται ρητώς στο άρθρο 86 του ΓΚΠΔ.
47 Εν προκειμένω, υπό την επιφύλαξη εξακριβώσεως από το αιτούν δικαστήριο, το Υπουργείο Υγείας φαίνεται να στήριξε την απόφασή του να μη γνωστοποιήσει το σύνολο των ζητούμενων πληροφοριών σε αυτή την πρακτική αδυναμία και μόνον, χωρίς ουδόλως να επιχειρήσει να προβεί σε συμβιβασμό των συμφερόντων.
48 Λαμβανομένου υπόψη του συνόλου των προεκτεθέντων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 6, παράγραφος 1, στοιχεία γʹ και εʹ, του ΓΚΠΔ, ερμηνευόμενο σε συνδυασμό με το άρθρο 86 του κανονισμού αυτού, έχει την έννοια ότι δεν αντιτίθεται σε εθνική νομολογία σύμφωνα με την οποία υπεύθυνος επεξεργασίας που είναι δημόσια αρχή επιφορτισμένη με τον συμβιβασμό του δικαιώματος πρόσβασης του κοινού σε επίσημα έγγραφα με το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα υποχρεούται να ενημερώνει το φυσικό πρόσωπο το οποίο είναι το υποκείμενο των δεδομένων και να διαβουλεύεται με αυτό πριν από τη γνωστοποίηση επίσημων εγγράφων που περιέχουν τέτοια δεδομένα, υπό την προϋπόθεση ότι μια τέτοια υποχρέωση δεν είναι αδύνατο να εφαρμοστεί ούτε απαιτεί δυσανάλογη προσπάθεια και, ως εκ τούτου, δεν συνεπάγεται δυσανάλογο περιορισμό του δικαιώματος πρόσβασης του κοινού στα εν λόγω έγγραφα.
Επί των δικαστικών εξόδων
49 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (πρώτο τμήμα) αποφαίνεται:
1) Το άρθρο 4, σημεία 1 και 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
η γνωστοποίηση του ονόματος, του επωνύμου, της υπογραφής και των στοιχείων επικοινωνίας φυσικού προσώπου το οποίο εκπροσωπεί νομικό πρόσωπο συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα. Το γεγονός ότι η γνωστοποίηση αυτή πραγματοποιείται με μοναδικό σκοπό να καταστεί δυνατή η ταυτοποίηση του φυσικού προσώπου που είναι εξουσιοδοτημένο να ενεργεί εξ ονόματος του νομικού προσώπου δεν ασκεί συναφώς επιρροή.
2) Το άρθρο 6, παράγραφος 1, στοιχεία γʹ και εʹ, του κανονισμού 2016/679, ερμηνευόμενο σε συνδυασμό με το άρθρο 86 του κανονισμού αυτού,
έχει την έννοια ότι:
δεν αντιτίθεται σε εθνική νομολογία σύμφωνα με την οποία υπεύθυνος επεξεργασίας που είναι δημόσια αρχή επιφορτισμένη με τον συμβιβασμό του δικαιώματος πρόσβασης του κοινού σε επίσημα έγγραφα με το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα υποχρεούται να ενημερώνει το φυσικό πρόσωπο το οποίο είναι το υποκείμενο των δεδομένων και να διαβουλεύεται με αυτό πριν από τη γνωστοποίηση επίσημων εγγράφων που περιέχουν τέτοια δεδομένα, υπό την προϋπόθεση ότι μια τέτοια υποχρέωση δεν είναι αδύνατο να εφαρμοστεί ούτε απαιτεί δυσανάλογη προσπάθεια και, ως εκ τούτου, δεν συνεπάγεται δυσανάλογο περιορισμό του δικαιώματος πρόσβασης του κοινού στα εν λόγω έγγραφα.
(υπογραφές)
