Η συλλογή σημαντικού όγκου δεδομένων από φορολογική αρχή υπόκειται στις απαιτήσεις του ΓΚΠΔ
Με μία σημαντική του απόφαση το Δικαστήριο της Ευρωπαϊκής Ένωσης έκρινε ότι οι διατάξεις του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ) έχουν την έννοια ότι, όταν η φορολογική αρχή κράτους μέλους συλλέγει από οικονομικό φορέα πληροφορίες που περιέχουν σημαντικό όγκο δεδομένων προσωπικού χαρακτήρα, η συλλογή αυτή υπόκειται στις απαιτήσεις του κανονισμού, ιδίως δε σε εκείνες του άρθρου 5, παράγραφος 1.
Η υπόθεση αφορούσε τη δυνατότητα φορολογικής αρχής κράτους μέλους να υποχρεώσει πάροχο υπηρεσιών δημοσίευσης αγγελιών στο διαδίκτυο να της κοινολογήσει πληροφορίες οι οποίες αφορούν τους φορολογουμένους που έχουν δημοσιεύσει αγγελίες σε μία από τις ενότητες της διαδικτυακής του πύλης.
Συγκεκριμένα, η SS είναι πάροχος υπηρεσιών δημοσίευσης αγγελιών στο διαδίκτυο, με έδρα τη Λεττονία.
Στις 28 Αυγούστου 2018, η λεττονική φορολογική αρχή απέστειλε στην SS αίτημα κοινολόγησης βάσει του άρθρου 15, παράγραφος 6, του νόμου περί φόρων και τελών, με το οποίο την κάλεσε να αποκαταστήσει την πρόσβαση της φορολογικής αρχής στους αριθμούς κυκλοφορίας των οχημάτων σε σχέση με τα οποία είχε δημοσιευθεί αγγελία στη διαδικτυακή πύλη της, καθώς και στους αριθμούς τηλεφώνου των πωλητών, και να της παράσχει, το αργότερο στις 3 Σεπτεμβρίου 2018, πληροφορίες σχετικές με τις αγγελίες οι οποίες είχαν δημοσιευθεί στην ενότητα με τίτλο «Επιβατικά Αυτοκίνητα» της διαδικτυακής πύλης της κατά το χρονικό διάστημα μεταξύ 14ης Ιουλίου και 31ης Αυγούστου 2018.
Στο αίτημα διευκρινιζόταν ότι οι πληροφορίες αυτές, οι οποίες περιλάμβαναν τον υπερσύνδεσμο της αγγελίας, το κείμενο της αγγελίας, το σήμα, το μοντέλο, τον αριθμό κυκλοφορίας και την τιμή του οχήματος, καθώς και τον αριθμό τηλεφώνου του πωλητή, έπρεπε να υποβληθούν ηλεκτρονικώς, σε μορφή που να επιτρέπει το φιλτράρισμα ή την επιλογή των δεδομένων.
Επιπλέον, σε περίπτωση που η πρόσβαση στις πληροφορίες οι οποίες περιέχονταν στις δημοσιευθείσες στην επίμαχη διαδικτυακή πύλη αγγελίες δεν ήταν δυνατόν να αποκατασταθεί, η SS καλούνταν να εξηγήσει για ποιον λόγο, καθώς και να παρέχει, το αργότερο την τρίτη ημέρα του κάθε μήνα, τις κρίσιμες πληροφορίες όσον αφορά τις αγγελίες που θα είχαν δημοσιευθεί τον προηγούμενο μήνα.
Εκτιμώντας ότι το αίτημα κοινολόγησης της λεττονικής φορολογικής αρχής δεν ήταν σύμφωνο προς τις αρχές της αναλογικότητας και της ελαχιστοποίησης των δεδομένων προσωπικού χαρακτήρα, οι οποίες κατοχυρώνονται στον κανονισμό 2016/679, η SS άσκησε διοικητική προσφυγή ενώπιον του αναπληρωτή γενικού διευθυντή της λεττονικής φορολογικής αρχής.
Με απόφαση της 30ής Οκτωβρίου 2018, ο τελευταίος απέρριψε τη διοικητική προσφυγή με την αιτιολογία, μεταξύ άλλων, ότι, στο πλαίσιο της επίμαχης στην κύρια δίκη επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, η λεττονική φορολογική αρχή ασκούσε τις εξουσίες που της απονέμονται από τον νόμο.
Η SS προσέφυγε ενώπιον του πρωτοβάθμιου διοικητικού δικαστηρίου, ζητώντας την ακύρωση της ανωτέρω αποφάσεως.
Πέραν των επιχειρημάτων που είχε προβάλει με τη διοικητική προσφυγή, η SS υποστήριξε ότι η εν λόγω απόφαση, κατά παράβαση του άρθρου 5, παράγραφος 1, του κανονισμού 2016/679, δεν προσδιόριζε ούτε τον συγκεκριμένο σκοπό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα στην οποία θα προέβαινε η λεττονική φορολογική αρχή ούτε τον όγκο των αναγκαίων για την επεξεργασία δεδομένων.
Με απόφαση της 21ης Μαΐου 2019, το administratīvā rajona tiesa (πρωτοβάθμιο διοικητικό δικαστήριο) απέρριψε την προσφυγή με το σκεπτικό, κατ’ ουσίαν, ότι η λεττονική φορολογική αρχή είχε δικαίωμα να ζητήσει πρόσβαση σε απεριόριστο όγκο πληροφοριών για οποιοδήποτε πρόσωπο, εκτός εάν κρινόταν ότι οι επίμαχες πληροφορίες δεν συμβιβάζονταν με τον σκοπό της είσπραξης του φόρου. Το ανωτέρω δικαστήριο έκρινε, εξάλλου, ότι οι διατάξεις του κανονισμού 2016/679 δεν έχουν εφαρμογή έναντι της φορολογικής Διοίκησης.
Η SS άσκησε έφεση κατά της πρωτόδικης αποφάσεως ενώπιον του αιτούντος δικαστηρίου προβάλλοντας, αφενός, ότι η λεττονική φορολογική αρχή υπέκειτο στις διατάξεις του κανονισμού 2016/679 και, αφετέρου, ότι η αρχή αυτή παραβίασε την αρχή της αναλογικότητας, ζητώντας σε μηνιαία βάση και άνευ χρονικού περιορισμού σημαντικό όγκο δεδομένων προσωπικού χαρακτήρα σε σχέση με απεριόριστο αριθμό αγγελιών, δίχως δε να προσδιορίζει για ποιους φορολογουμένους διενεργείται φορολογικός έλεγχος.
Το αιτούν δικαστήριο επισημαίνει ότι, στο πλαίσιο της διαφοράς της κύριας δίκης, δεν αμφισβητείται ούτε ότι η εκτέλεση του επίμαχου αιτήματος κοινολόγησης συνδέεται άρρηκτα με επεξεργασία δεδομένων προσωπικού χαρακτήρα ούτε ότι η λεττονική φορολογική αρχή έχει το δικαίωμα να αποκτά πληροφορίες που έχει στη διάθεσή του πάροχος υπηρεσιών δημοσίευσης αγγελιών στο διαδίκτυο και είναι αναγκαίες για την εκτέλεση ειδικών μέτρων σχετικών με την είσπραξη του φόρου.
Η διαφορά της κύριας δίκης αφορά τον όγκο και το είδος των πληροφοριών τις οποίες μπορεί να ζητήσει η λεττονική φορολογική αρχή, το κατά πόσον αυτές μπορούν να είναι απεριόριστες ή πρέπει να είναι περιορισμένες, καθώς και το ζήτημα εάν η υποχρέωση κοινολόγησης στην οποία υπόκειται η SS πρέπει να είναι χρονικά οριοθετημένη.
Ειδικότερα, το αιτούν δικαστήριο εκτιμά ότι σε αυτό εναπόκειται να κρίνει εάν, υπό τις περιστάσεις της υπόθεσης της κύριας δίκης, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα διενεργείται με διαφανή τρόπο σε σχέση με τα υποκείμενα των δεδομένων, εάν οι πληροφορίες που προσδιορίζονται στο επίμαχο αίτημα κοινολόγησης ζητούνται για καθορισμένους, ρητούς και νόμιμους σκοπούς και εάν τα δεδομένα προσωπικού χαρακτήρα υπόκεινται σε επεξεργασία μόνο στον βαθμό που αυτή είναι πράγματι αναγκαία για την άσκηση των καθηκόντων της λεττονικής φορολογικής αρχής, κατά την έννοια του άρθρου 5, παράγραφος 1, του κανονισμού 2016/679.
Για τον σκοπό αυτόν, είναι αναγκαίο να προσδιοριστούν τα κριτήρια βάσει των οποίων μπορεί να εκτιμηθεί εάν ένα αίτημα κοινολόγησης που υποβάλλεται από τη λεττονική φορολογική αρχή σέβεται την ουσία των θεμελιωδών ελευθεριών και δικαιωμάτων και εάν το επίμαχο στην κύρια δίκη αίτημα κοινολόγησης μπορεί να θεωρηθεί αναγκαίο και αναλογικό σε μια δημοκρατική κοινωνία, προς διασφάλιση, αφενός, σημαντικών στόχων της Ένωσης και, αφετέρου, των δημοσίων συμφερόντων της Λεττονίας στον δημοσιονομικό και φορολογικό τομέα.
Υπό τις συνθήκες αυτές, το δευτεροβάθμιο διοικητικό δικαστήριο αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
1) Πρέπει οι απαιτήσεις του κανονισμού [2016/679] να ερμηνευθούν υπό την έννοια ότι ένα αίτημα φορολογικής αρχής για την κοινολόγηση δεδομένων, όπως το επίμαχο στην κύρια δίκη, με το οποίο ζητείται η παροχή σημαντικού όγκου δεδομένων προσωπικού χαρακτήρα, πρέπει να πληροί τις απαιτήσεις του κανονισμού [2016/679] (ιδίως του άρθρου 5, παράγραφος 1);
2) Πρέπει οι απαιτήσεις του κανονισμού [2016/679] να ερμηνευθούν υπό την έννοια ότι η φορολογική αρχή μπορεί να αποκλίνει από τις διατάξεις του άρθρου 5, παράγραφος 1, του κανονισμού [2016/679], ακόμη και εάν η ισχύουσα στη Λεττονία νομοθεσία δεν παρέχει στην εν λόγω αρχή τέτοιο δικαίωμα;
3) Μπορεί να θεωρηθεί, υπό το πρίσμα των απαιτήσεων του κανονισμού [2016/679], ότι υπάρχει θεμιτός σκοπός που δικαιολογεί την υποχρέωση η οποία επιβάλλεται από αίτημα κοινολογήσεως όπως το επίμαχο στην υπό κρίση υπόθεση, περί παροχής όλων των ζητούμενων πληροφοριών χωρίς περιορισμό ως προς τον όγκο τους και για απροσδιόριστη χρονική περίοδο, δίχως δε να ορίζεται μέχρι πότε θα πρέπει να εκτελείται αίτημα κοινολογήσεως;
4) Μπορεί να θεωρηθεί, υπό το πρίσμα των απαιτήσεων του κανονισμού [2016/679], ότι υπάρχει θεμιτός σκοπός που δικαιολογεί την υποχρέωση, η οποία επιβάλλεται από αίτημα κοινολογήσεως, όπως το επίμαχο στην υπό κρίση υπόθεση, περί παροχής όλων των δεδομένων που ζητούνται, ακόμη και όταν στο αίτημα κοινολογήσεως δεν αναφέρεται (ή δεν αναφέρεται πλήρως) ο σκοπός της κοινολογήσεως των πληροφοριών;
5) Μπορεί να θεωρηθεί, υπό το πρίσμα των απαιτήσεων του κανονισμού [2016/679], ότι υπάρχει θεμιτός σκοπός που δικαιολογεί την υποχρέωση, η οποία επιβάλλεται από αίτημα κοινολογήσεως, όπως το επίμαχο στην υπό κρίση υπόθεση, περί παροχής όλων των δεδομένων που ζητούνται, ακόμη και όταν, στην πράξη, αυτό αφορά ανεξαιρέτως όλα τα πρόσωπα που έχουν δημοσιεύσει αγγελίες στην ενότητα “Επιβατικά Αυτοκίνητα” μιας ηλεκτρονικής πύλης;
6) Ποια κριτήρια πρέπει να εφαρμόζονται προκειμένου να εξακριβωθεί εάν η φορολογική αρχή, ενεργώντας ως υπεύθυνη επεξεργασίας, εγγυάται επαρκώς ότι η επεξεργασία (συμπεριλαμβανομένης και της συλλογής πληροφοριών) πραγματοποιείται σύμφωνα με τις απαιτήσεις του κανονισμού [2016/679];
7) Ποια κριτήρια πρέπει να εφαρμόζονται προκειμένου να εξακριβωθεί εάν ένα αίτημα κοινολογήσεως, όπως το επίμαχο στην υπό κρίση υπόθεση, είναι δεόντως αιτιολογημένο και έχει περιστασιακό χαρακτήρα;
8) Ποια κριτήρια πρέπει να εφαρμόζονται προκειμένου να εξακριβωθεί εάν τα δεδομένα προσωπικού χαρακτήρα υπόκεινται σε επεξεργασία μόνο στον αναγκαίο βαθμό και με τρόπο συμβατό προς τις απαιτήσεις του κανονισμού [2016/679];
9) Ποια κριτήρια πρέπει να εφαρμόζονται προκειμένου να εξακριβωθεί εάν η φορολογική αρχή, ενεργώντας ως υπεύθυνη επεξεργασίας, εγγυάται ότι η επεξεργασία δεδομένων πραγματοποιείται σύμφωνα με τις απαιτήσεις του άρθρου 5, παράγραφος 1, του κανονισμού [2016/679] (λογοδοσία);»
Με την απόφασή το Δικαστήριο της ΕΕ έκρινε ότι:
1) Οι διατάξεις του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), έχουν την έννοια ότι, όταν η φορολογική αρχή κράτους μέλους συλλέγει από οικονομικό φορέα πληροφορίες που περιέχουν σημαντικό όγκο δεδομένων προσωπικού χαρακτήρα, η συλλογή αυτή υπόκειται στις απαιτήσεις του κανονισμού, ιδίως δε σε εκείνες του άρθρου 5, παράγραφος 1.
2) Οι διατάξεις του κανονισμού 2016/679 έχουν την έννοια ότι η φορολογική αρχή κράτους μέλους δεν μπορεί να αποκλίνει από τις διατάξεις του άρθρου 5, παράγραφος 1, του κανονισμού όταν δεν της έχει παρασχεθεί τέτοιο δικαίωμα από νομοθετικό μέτρο κατά την έννοια του άρθρου 23, παράγραφος 1, του κανονισμού.
3) Οι διατάξεις του κανονισμού 2016/679 έχουν την έννοια ότι δεν αποκλείουν τη δυνατότητα φορολογικής αρχής κράτους μέλους να υποχρεώσει πάροχο υπηρεσιών δημοσίευσης αγγελιών στο διαδίκτυο να της κοινολογήσει πληροφορίες οι οποίες αφορούν τους φορολογουμένους που έχουν δημοσιεύσει αγγελίες σε μία από τις ενότητες της διαδικτυακής του πύλης, εφόσον, μεταξύ άλλων, τα δεδομένα αυτά είναι αναγκαία σε σχέση με τους συγκεκριμένους σκοπούς για τους οποίους συλλέγονται και το χρονικό διάστημα που αφορά η συλλογή των δεδομένων δεν υπερβαίνει ό,τι είναι απολύτως αναγκαίο για την επίτευξη του επιδιωκόμενου σκοπού δημοσίου συμφέροντος.
Δείτε αναλυτικά την απόφαση στο Curia.
