Προδικαστική παραπομπή – Προσέγγιση των νομοθεσιών – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ελεύθερη κυκλοφορία των δεδομένων αυτών – Κανονισμός (ΕΕ) 2016/679 – Δεδομένα που περιέχονται στον φάκελο εποπτικής αρχής η οποία επιλαμβάνεται διαδικασίας καταγγελίας – Άρθρο 4, σημεία 7 και 21 – Έννοιες του “υπευθύνου επεξεργασίας” και της “εποπτικής αρχής” – Άρθρο 15 – Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων – Άρθρο 23 – Περιορισμοί – Άρθρο 77 – Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή – Εθνική ρύθμιση που αποκλείει κάθε πρόσβαση στους φακέλους και στα αρχεία της εποπτικής αρχής
Στην υπόθεση C‑205/25,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Bayerisches Verwaltungsgericht Ansbach (βαυαρικό διοικητικό πρωτοδικείο Ansbach, Γερμανία) με απόφαση της 19ης Φεβρουαρίου 2025, η οποία περιήλθε στο Δικαστήριο στις 17 Μαρτίου 2025, στο πλαίσιο της δίκης
Joachim Lindenberg
κατά
Bayerisches Landesamt für Datenschutzaufsicht,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τρίτο τμήμα),
συγκείμενο από τους Κ. Λυκούργο, πρόεδρο τμήματος, N. Fenger (εισηγητή), S. Rodin, O. Spineanu-Matei και N. Piçarra, δικαστές,
γενικός εισαγγελέας: R. Norkus
γραμματέας: D. Dittert, προϊστάμενος μονάδας,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 22ας Ιανουαρίου 2026,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– ο J. Lindenberg, εκπροσωπούμενος από τον J. Breyer, Rechtsanwalt,
– η Bayerisches Landesamt für Datenschutzaufsicht, εκπροσωπούμενη από τον U. Baumgartner, Rechtsanwalt, και τον M. Will, Präsident des Bayerischen Landesamts für Datenschutzaufsicht,
– η Βουλγαρική Κυβέρνηση, εκπροσωπούμενη από τις T. Mitova, S. Ruseva και T. Tsingileva,
– η Λεττονική Κυβέρνηση, εκπροσωπούμενη από την K. Pommere και τον S. Zellis,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Μπουχάγιαρ, F. Erlbacher και H. Kranenborg,
αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 16ης Απριλίου 2026,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 4, σημεία 7 και 21, και των άρθρων 15, 23 και 77 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή εντάσσεται στο πλαίσιο ένδικης διαφοράς μεταξύ του Joachim Lindenberg και της Bayerisches Landesamt für Datenschutzaufsicht (βαυαρικής Αρχής προστασίας δεδομένων, Γερμανία) (στο εξής: Landesamt), σχετικά με την άρνηση της αρχής αυτής να παράσχει στον J. Lindenberg, βάσει του άρθρου 15 του ΓΚΠΔ, πρόσβαση στον φάκελο διαδικασίας κινηθείσας κατόπιν καταγγελίας την οποία αυτός είχε υποβάλει κατά τρίτου.
Το νομικό πλαίσιο
Η νομοθεσία της Ένωσης
3 Οι αιτιολογικές σκέψεις 1, 10 και 63 του ΓΚΠΔ έχουν ως εξής:
«(1) Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα. Το άρθρο 8 παράγραφος 1 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης [στο εξής: Χάρτης] και το άρθρο 16 παράγραφος 1 [ΣΛΕΕ] ορίζουν ότι κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν.
[…]
(10) Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της [Ευρωπαϊκής] Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. […]
[…]
(63) Ένα υποκείμενο των δεδομένων θα πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το εν λόγω δικαίωμα ευχερώς και σε εύλογα τακτά διαστήματα, προκειμένου να έχει επίγνωση και να επαληθεύει τη νομιμότητα της επεξεργασίας. […] Το δικαίωμα αυτό δεν θα πρέπει να επηρεάζει αρνητικά τα δικαιώματα ή τις ελευθερίες άλλων, όπως το επαγγελματικό απόρρητο ή το δικαίωμα διανοητικής ιδιοκτησίας και, ειδικότερα, το δικαίωμα δημιουργού που προστατεύει το λογισμικό. Ωστόσο, οι παράγοντες αυτοί δεν θα πρέπει να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων. Όταν ο υπεύθυνος επεξεργασίας επεξεργάζεται μεγάλες ποσότητες πληροφοριών σχετικά με το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας θα πρέπει να δύναται να ζητεί από το υποκείμενο, πριν δοθούν οι πληροφορίες, να προσδιορίζει τις πληροφορίες ή τις δραστηριότητες επεξεργασίας που σχετίζονται με το αίτημα.»
4 Το άρθρο 1 του κανονισμού ορίζει τα εξής:
«1. Ο παρών κανονισμός θεσπίζει κανόνες που αφορούν την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και κανόνες που αφορούν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα.
2. Ο παρών κανονισμός προστατεύει θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων και ειδικότερα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα.
3. Η ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης δεν περιορίζεται ούτε απαγορεύεται για λόγους που σχετίζονται με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.»
5 Το άρθρο 4 του κανονισμού, το οποίο επιγράφεται «Ορισμοί», προβλέπει στα σημεία 1, 2, 7 και 21 τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
1) “δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου,
2) “επεξεργασία”: κάθε πράξη ή σειρά πράξεων που πραγματοποιείται με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή,
[…]
7) “υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους,
[…]
21) “εποπτική αρχή”: ανεξάρτητη δημόσια αρχή που συγκροτείται από κράτος μέλος σύμφωνα με το άρθρο 51,
[…]».
6 Το άρθρο 5 του κανονισμού, το οποίο επιγράφεται «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», ορίζει τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”),
β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· η περαιτέρω επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον ή σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς δεν θεωρείται ασύμβατη με τους αρχικούς σκοπούς σύμφωνα με το άρθρο 89 παράγραφος 1 (“περιορισμός του σκοπού”),
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”),
δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας (“ακρίβεια”),
ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· τα δεδομένα προσωπικού χαρακτήρα μπορούν να αποθηκεύονται για μεγαλύτερα διαστήματα, εφόσον τα δεδομένα προσωπικού χαρακτήρα θα υποβάλλονται σε επεξεργασία μόνο για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς, σύμφωνα με το άρθρο 89 παράγραφος 1 και εφόσον εφαρμόζονται τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί ο παρών κανονισμός για τη διασφάλιση των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων (“περιορισμός της περιόδου αποθήκευσης”),
στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων (“ακεραιότητα και εμπιστευτικότητα”).
2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»
7 Το άρθρο 12 του ΓΚΠΔ, το οποίο επιγράφεται «Διαφανής ενημέρωση, ανακοίνωση και ρυθμίσεις για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων», ορίζει στην παράγραφο 5 τα εξής:
«Οι πληροφορίες που παρέχονται σύμφωνα με τα άρθρα 13 και 14 και κάθε ανακοίνωση καθώς και όλες οι ενέργειες που αναλαμβάνονται σύμφωνα με τα άρθρα 15 έως 22 και το άρθρο 34 παρέχονται δωρεάν. Εάν τα αιτήματα του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο υπεύθυνος επεξεργασίας μπορεί είτε:
α) να επιβάλει την καταβολή εύλογου τέλους, λαμβάνοντας υπόψη τα διοικητικά έξοδα για την παροχή της ενημέρωσης ή την ανακοίνωση ή την εκτέλεση της ζητούμενης ενέργειας, ή
β) να αρνηθεί να δώσει συνέχεια στο αίτημα.
Ο υπεύθυνος επεξεργασίας φέρει το βάρος της απόδειξης του προδήλως αβάσιμου ή του υπερβολικού χαρακτήρα του αιτήματος.»
8 Το άρθρο 15 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων», ορίζει τα εξής:
«1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες:
α) τους σκοπούς της επεξεργασίας,
β) τις σχετικές κατηγορίες δεδομένων προσωπικού χαρακτήρα,
γ) τους αποδέκτες ή τις κατηγορίες αποδεκτών στους οποίους κοινολογήθηκαν ή πρόκειται να κοινολογηθούν τα δεδομένα προσωπικού χαρακτήρα, ιδίως τους αποδέκτες σε τρίτες χώρες ή διεθνείς οργανισμούς,
δ) εάν είναι δυνατόν, το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα,
ε) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για διόρθωση ή διαγραφή δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που αφορά το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην εν λόγω επεξεργασία,
στ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή,
ζ) όταν τα δεδομένα προσωπικού χαρακτήρα δεν συλλέγονται από το υποκείμενο των δεδομένων, κάθε διαθέσιμη πληροφορία σχετικά με την προέλευσή τους,
η) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.
[…]
3. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.
4. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.»
9 Το άρθρο 23 του ΓΚΠΔ, το οποίο επιγράφεται «Περιορισμοί», προβλέπει τα εξής:
«1. Το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία των δεδομένων μπορεί να περιορίζει μέσω νομοθετικού μέτρου το πεδίο εφαρμογής των υποχρεώσεων και των δικαιωμάτων που προβλέπονται στα άρθρα 12 έως 22 και στο άρθρο 34, καθώς και στο άρθρο 5, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 12 έως 22, όταν ένας τέτοιος περιορισμός σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση:
α) της ασφάλειας του κράτους,
β) της εθνικής άμυνας,
γ) της δημόσιας ασφάλειας,
δ) της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της πρόληψης αυτών,
ε) άλλων σημαντικών στόχων γενικού δημόσιου συμφέροντος της Ένωσης ή κράτους μέλους, ιδίως σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος της Ένωσης ή κράτους μέλους, συμπεριλαμβανομένων των νομισματικών, δημοσιονομικών και φορολογικών θεμάτων, της δημόσιας υγείας και της κοινωνικής ασφάλισης,
στ) της προστασίας της ανεξαρτησίας της δικαιοσύνης και των δικαστικών διαδικασιών,
ζ) της πρόληψης, της διερεύνησης, της ανίχνευσης και της δίωξης παραβάσεων δεοντολογίας σε νομοθετικά κατοχυρωμένα επαγγέλματα,
η) της παρακολούθησης, της επιθεώρησης ή της κανονιστικής λειτουργίας που συνδέεται, έστω περιστασιακά, με την άσκηση δημόσιας εξουσίας στις περιπτώσεις που αναφέρονται στα στοιχεία α) έως ε) και ζ),
θ) της προστασίας του υποκειμένου των δεδομένων ή των δικαιωμάτων και των ελευθεριών τρίτων,
ι) της εκτέλεσης αστικών αξιώσεων.
2. Ειδικότερα, κάθε νομοθετικό μέτρο το οποίο αναφέρεται στην παράγραφο 1 περιέχει συγκεκριμένες διατάξεις τουλάχιστον, ανάλογα με την περίπτωση, όσον αφορά:
α) τους σκοπούς της επεξεργασίας ή τις κατηγορίες επεξεργασίας,
β) τις κατηγορίες δεδομένων προσωπικού χαρακτήρα,
γ) το πεδίο εφαρμογής των περιορισμών που επιβλήθηκαν,
δ) τις εγγυήσεις για την πρόληψη καταχρήσεων ή παράνομης πρόσβασης ή διαβίβασης,
ε) την ειδική περιγραφή του υπευθύνου επεξεργασίας ή των κατηγοριών των υπευθύνων επεξεργασίας,
στ) τις περιόδους αποθήκευσης και τις ισχύουσες εγγυήσεις, λαμβάνοντας υπόψη τη φύση, το πεδίο εφαρμογής και τους σκοπούς της επεξεργασίας ή τις κατηγορίες επεξεργασίας,
ζ) τους κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και
η) το δικαίωμα των υποκειμένων των δεδομένων να ενημερώνονται σχετικά με τον περιορισμό, εκτός εάν αυτό μπορεί να αποβεί επιζήμιο για τους σκοπούς του περιορισμού.»
10 Το άρθρο 51 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Εποπτική αρχή», έχει ως εξής:
«1. Κάθε κράτος μέλος διασφαλίζει ότι μία ή περισσότερες ανεξάρτητες δημόσιες αρχές επιφορτίζονται με την παρακολούθηση της εφαρμογής του παρόντος κανονισμού, με σκοπό την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της [επεξεργασίας] και τη διευκόλυνση της ελεύθερης κυκλοφορίας δεδομένων προσωπικού χαρακτήρα στην Ένωση (“εποπτική αρχή”).
2. Κάθε εποπτική αρχή συμβάλλει στη συνεκτική εφαρμογή του παρόντος κανονισμού σε ολόκληρη την Ένωση. […]
[…]»
11 Το άρθρο 52 του κανονισμού, το οποίο φέρει τον τίτλο «Ανεξαρτησία», ορίζει τα εξής:
«1. Κάθε εποπτική αρχή εκτελεί τα καθήκοντά της και ασκεί τις εξουσίες της σύμφωνα με τον παρόντα κανονισμό με πλήρη ανεξαρτησία.
2. Το μέλος ή τα μέλη κάθε εποπτικής αρχής εκτελούν τα καθήκοντά τους και ασκούν τις εξουσίες τους σύμφωνα με τον παρόντα κανονισμό χωρίς εξωτερικές επιρροές, είτε άμεσες είτε έμμεσες, και δεν ζητούν ούτε λαμβάνουν οδηγίες από κανέναν.
3. Το μέλος ή τα μέλη κάθε εποπτικής αρχής απέχουν από κάθε πράξη ασυμβίβαστη προς τα καθήκοντά τους και, κατά τη διάρκεια της θητείας τους, δεν ασκούν κανένα ασυμβίβαστο επάγγελμα, επικερδές ή μη.
4. Κάθε κράτος μέλος διασφαλίζει ότι κάθε εποπτική αρχή διαθέτει τους απαραίτητους ανθρώπινους, τεχνικούς και οικονομικούς πόρους και τις αναγκαίες εγκαταστάσεις και υποδομές για την αποτελεσματική εκτέλεση των καθηκόντων και άσκηση των εξουσιών της, συμπεριλαμβανομένων εκείνων που ασκούνται στο πλαίσιο της αμοιβαίας συνδρομής, της συνεργασίας και της συμμετοχής στο Συμβούλιο Προστασίας Δεδομένων.
5. Κάθε κράτος μέλος διασφαλίζει ότι κάθε εποπτική αρχή επιλέγει και διαθέτει δικούς της υπαλλήλους οι οποίοι διοικούνται αποκλειστικά από το μέλος ή τα μέλη της ενδιαφερόμενης εποπτικής αρχής.
6. Κάθε κράτος μέλος διασφαλίζει ότι κάθε εποπτική αρχή υπόκειται σε οικονομικό έλεγχο ο οποίος δεν επηρεάζει την ανεξαρτησία της και διαθέτει χωριστούς, δημόσιους ετήσιους προϋπολογισμούς, οι οποίοι μπορούν να αποτελούν τμήμα του συνολικού κρατικού ή εθνικού προϋπολογισμού.»
12 Το άρθρο 57 του κανονισμού, το οποίο φέρει τον τίτλο «Καθήκοντα», ορίζει τα εξής:
«1. Με την επιφύλαξη των άλλων καθηκόντων που ορίζονται στον παρόντα κανονισμό, κάθε εποπτική αρχή στο έδαφός της:
α) παρακολουθεί και επιβάλλει την εφαρμογή του παρόντος κανονισμού,
[…]
στ) χειρίζεται τις καταγγελίες που υποβάλλονται από το υποκείμενο των δεδομένων ή από φορέα ή οργάνωση ή ένωση σύμφωνα με το άρθρο 80 και ερευνά, στο μέτρο που ενδείκνυται, το αντικείμενο της καταγγελίας και ενημερώνει τον καταγγέλλοντα για την πρόοδο και για την έκβαση της έρευνας εντός εύλογου χρονικού διαστήματος, ιδίως εάν απαιτείται περαιτέρω έρευνα ή συντονισμός με άλλη εποπτική αρχή,
[…]
η) διενεργεί έρευνες σχετικά με την εφαρμογή του παρόντος κανονισμού, μεταξύ άλλων βάσει πληροφοριών που λαμβάνει από άλλη εποπτική αρχή ή άλλη δημόσια αρχή,
[…]
κα) τηρεί εσωτερικά αρχεία των παραβάσεων του παρόντος κανονισμού και των μέτρων που λαμβάνονται σύμφωνα με το άρθρο 58 παράγραφος 2, και
κβ) εκπληρώνει κάθε άλλο καθήκον σχετικό με την προστασία δεδομένων προσωπικού χαρακτήρα.
2. Κάθε εποπτική αρχή διευκολύνει την υποβολή των καταγγελιών που αναφέρονται στην παράγραφο 1 στοιχείο στ) με μέτρα όπως το έντυπο υποβολής καταγγελίας το οποίο μπορεί επίσης να συμπληρωθεί ηλεκτρονικά, χωρίς να αποκλείονται άλλοι τρόποι επικοινωνίας.
[…]»
13 Το άρθρο 58 του κανονισμού, το οποίο φέρει τον τίτλο «Εξουσίες», προβλέπει στις παραγράφους 1 και 2 τα εξής:
«1. Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες εξουσίες έρευνας:
α) να δίνει εντολή στον υπεύθυνο επεξεργασίας και στον εκτελούντα την επεξεργασία και, όπου συντρέχει περίπτωση, στον εκπρόσωπο του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία να παράσχουν κάθε πληροφορία την οποία απαιτεί για την εκτέλεση των καθηκόντων της,
β) να διεξάγει έρευνες με τη μορφή ελέγχων για την προστασία των δεδομένων,
γ) να προβαίνει σε επανεξέταση των πιστοποιήσεων που εκδίδονται σύμφωνα με το άρθρο 42 παράγραφος 7,
δ) να ειδοποιεί τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία για εικαζόμενη παράβαση του παρόντος κανονισμού,
ε) να αποκτά, από τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία, πρόσβαση σε όλα τα δεδομένα προσωπικού χαρακτήρα και όλες τις πληροφορίες που απαιτούνται για την εκτέλεση των καθηκόντων της,
στ) να έχει πρόσβαση στις εγκαταστάσεις του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία, περιλαμβανομένων κάθε εξοπλισμού και μέσου επεξεργασίας δεδομένων, σύμφωνα με το δικονομικό δίκαιο της Ένωσης ή κράτους μέλους.
2. Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες διορθωτικές εξουσίες:
α) να απευθύνει προειδοποιήσεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία ότι σκοπούμενες πράξεις επεξεργασίας είναι πιθανόν να παραβαίνουν διατάξεις του παρόντος κανονισμού,
β) να απευθύνει επιπλήξεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία όταν πράξεις επεξεργασίας έχουν παραβεί διατάξεις του παρόντος κανονισμού,
γ) να δίνει εντολή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία να συμμορφώνεται προς τα αιτήματα του υποκειμένου των δεδομένων για την άσκηση των δικαιωμάτων του σύμφωνα με τον παρόντα κανονισμό,
δ) να δίνει εντολή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία να καθιστούν τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του παρόντος κανονισμού, εάν χρειάζεται, με συγκεκριμένο τρόπο και εντός ορισμένης προθεσμίας,
ε) να δίνει εντολή στον υπεύθυνο επεξεργασίας να ανακοινώνει την παραβίαση δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων,
στ) να επιβάλλει προσωρινό ή οριστικό περιορισμό, περιλαμβανομένης της απαγόρευσης της επεξεργασίας,
ζ) να δίνει εντολή διόρθωσης ή διαγραφής δεδομένων προσωπικού χαρακτήρα ή περιορισμού της επεξεργασίας δυνάμει των άρθρων 16, 17 και 18 και εντολή κοινοποίησης των ενεργειών αυτών σε αποδέκτες στους οποίους τα δεδομένα προσωπικού χαρακτήρα γνωστοποιήθηκαν δυνάμει του άρθρου 17 παράγραφος 2 και του άρθρου 19,
η) να αποσύρει την πιστοποίηση ή να διατάξει τον οργανισμό πιστοποίησης να αποσύρει ένα πιστοποιητικό εκδοθέν σύμφωνα με τα άρθρα 42 και 43 ή να διατάξει τον οργανισμό πιστοποίησης να μην εκδώσει πιστοποίηση, εφόσον οι απαιτήσεις πιστοποίησης δεν πληρούνται ή δεν πληρούνται πλέον,
θ) να επιβάλλει διοικητικό πρόστιμο δυνάμει του άρθρου 83, επιπλέον ή αντί των μέτρων που αναφέρονται στην παρούσα παράγραφο, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης,
ι) να δίνει εντολή για αναστολή της κυκλοφορίας δεδομένων σε αποδέκτη σε τρίτη χώρα ή σε διεθνή οργανισμό.»
14 Το άρθρο 77 του ΓΚΠΔ, το οποίο επιγράφεται «Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή», προβλέπει τα ακόλουθα:
«1. Με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, ιδίως στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον παρόντα κανονισμό.
2. Η εποπτική αρχή στην οποία έχει υποβληθεί καταγγελία ενημερώνει τον καταγγέλλοντα για την πρόοδο και για την έκβαση της καταγγελίας, καθώς και για τη δυνατότητα άσκησης δικαστικής προσφυγής σύμφωνα με το άρθρο 78.»
15 Το άρθρο 78 του κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα πραγματικής δικαστικής προσφυγής κατά αρχής ελέγχου», ορίζει τα εξής:
«1. Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.
[…]
3. Οι διαδικασίες κατά εποπτικής αρχής κινούνται ενώπιον των δικαστηρίων του κράτους μέλους στο οποίο είναι εγκατεστημένη η εποπτική αρχή.
[…]»
Το γερμανικό δίκαιο
16 Δυνάμει του άρθρου 18 του Bayerisches Datenschutzgesetz (βαυαρικού νόμου για την προστασία δεδομένων, στο εξής: BayDSG), η Landesamt είναι εποπτική αρχή για τους μη δημόσιους φορείς.
17 Το άρθρο 20 του BayDSG ορίζει τα εξής:
«(1) Κάθε πρόσωπο μπορεί να απευθύνεται στις εποπτικές αρχές επικαλούμενο προσβολή των δικαιωμάτων του κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Η προσφυγή στις εποπτικές αρχές δεν έχει δυσμενείς συνέπειες για το υποκείμενο των δεδομένων.
(2) Σε σχέση με τους φακέλους και τα αρχεία των εποπτικών αρχών δεν υφίστανται δικαιώματα πρόσβασης ή πληροφόρησης.»
18 Στην αιτιολογική έκθεση του BayDSG, όσον αφορά το άρθρο 20, παράγραφος 2, αναφέρεται, μεταξύ άλλων, ότι η διάταξη αυτή εφαρμόζεται και αποκλείει κάθε δικαίωμα πρόσβασης δυνάμει του άρθρου 15 του ΓΚΠΔ εφόσον το δικαίωμα αυτό προβάλλεται έναντι της Landesamt όσον αφορά τους φακέλους και τα αρχεία της.
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
19 Ο J. Lindenberg είναι δημοσιογράφος και διατηρεί ιστολόγιο με αντικείμενο, μεταξύ άλλων, την προστασία των δεδομένων. Από το 2021, υπέβαλε ορισμένες καταγγελίες ενώπιον της Landesamt.
20 Κατόπιν καταγγελίας του J. Lindenberg της 13ης Μαΐου 2022 σχετικά με την προστασία δεδομένων, η Landesamt κίνησε διαδικασία ελέγχου κατά τρίτου. Με μήνυμα ηλεκτρονικού ταχυδρομείου της 11ης Οκτωβρίου 2022, η Landesamt ενημέρωσε τον J. Lindenberg ότι είχε διαπιστώσει παραβάσεις των κανόνων περί προστασίας των δεδομένων εκ μέρους του καθού η καταγγελία και ότι, μετά τη λήξη της προθεσμίας που είχε ταχθεί σ’ αυτόν για την άρση των εν λόγω παραβάσεων, θα του επέβαλλε διοικητική κύρωση αν διέπραττε νέες παραβάσεις. Με μήνυμα ηλεκτρονικού ταχυδρομείου της ίδιας ημερομηνίας, ο J. Lindenberg ζήτησε να του γνωστοποιηθούν περαιτέρω λεπτομέρειες σχετικά με τα μέτρα που έλαβε η Landesamt. Δεδομένου ότι η τελευταία δεν ανταποκρίθηκε στο αίτημα αυτό, ο J. Lindenberg ζήτησε, με μήνυμα ηλεκτρονικού ταχυδρομείου της 11ης Οκτωβρίου 2022, πλήρη πρόσβαση στις σχετικές πληροφορίες δυνάμει του άρθρου 15, παράγραφοι 1 και 3, του ΓΚΠΔ.
21 Με απόφαση της 20ής Οκτωβρίου 2022, η Landesamt απέρριψε το ως άνω αίτημα πρόσβασης, το οποίο υποβλήθηκε δυνάμει του άρθρου 15, παράγραφοι 1 και 3, του ΓΚΠΔ. Αιτιολόγησε την απόρριψη αυτή με το σκεπτικό ότι, σύμφωνα με τη ρητή διάταξη του άρθρου 20, παράγραφος 2, του BayDSG, δεν υφίσταται δικαίωμα πρόσβασης και πληροφόρησης όσον αφορά τους φακέλους και τα αρχεία των εποπτικών αρχών.
22 Στις 6 Δεκεμβρίου 2022, ο J. Lindenberg άσκησε προσφυγή κατά της ως άνω απόφασης ενώπιον του Bayerisches Verwaltungsgericht Ansbach (βαυαρικού διοικητικού πρωτοδικείου Ansbach, Γερμανία), ήτοι του αιτούντος δικαστηρίου, με αίτημα να υποχρεωθεί η Landesamt να του παράσχει αντίγραφο όλων των στοιχείων που περιλαμβάνονται στον φάκελο της διαδικασίας που κινήθηκε κατόπιν της καταγγελίας της 13ης Μαΐου 2022.
23 Στις 23 Φεβρουαρίου 2024, η Landesamt του χορήγησε ηλεκτρονική πρόσβαση στον φάκελο αυτόν, χωρίς ωστόσο να αναγνωρίσει ότι είχε νομική υποχρέωση προς τούτο.
24 Ο J. Lindenberg ζητεί, ωστόσο, να διαπιστωθεί ο παράνομος χαρακτήρας της απόφασης της Landesamt της 20ής Οκτωβρίου 2022 που μνημονεύεται στη σκέψη 21 της παρούσας απόφασης.
25 Το αιτούν δικαστήριο επισημαίνει ότι, όταν ένα πρόσωπο υποβάλλει καταγγελία ενώπιον της Landesamt δυνάμει του άρθρου 77 του ΓΚΠΔ, η Landesamt ενεργεί έναντι αυτού ως εποπτική αρχή, κατά την έννοια του άρθρου 4, σημείο 21, του ΓΚΠΔ. Η Landesamt υποστηρίζει ότι μια τέτοια εποπτική αρχή δεν μπορεί να θεωρηθεί ως «υπεύθυνος επεξεργασίας», κατά την έννοια του άρθρου 15, σε συνδυασμό με το άρθρο 4, σημείο 7, του εν λόγω κανονισμού, όσον αφορά το πρόσωπο αυτό, όπερ αποκλείει κατ’ ανάγκην το δικαίωμα του προσώπου αυτού να αποκτήσει από την εν λόγω αρχή πρόσβαση στα δεδομένα προσωπικού χαρακτήρα τα οποία το αφορούν και τα οποία έχουν υποβληθεί σε επεξεργασία στο πλαίσιο της διεκπεραίωσης της καταγγελίας.
26 Αντιθέτως, το αιτούν δικαστήριο κλίνει προς την άποψη ότι μια εποπτική αρχή προστασίας δεδομένων μπορεί να αποτελεί ταυτόχρονα εποπτική αρχή, κατά την έννοια του άρθρου 4, σημείο 21, του ΓΚΠΔ, και υπεύθυνο επεξεργασίας, κατά την έννοια του άρθρου 15, σε συνδυασμό με το άρθρο 4, σημείο 7, του κανονισμού αυτού.
27 Το αιτούν δικαστήριο εκτιμά ότι, σε περίπτωση που τούτο ισχύει, τίθεται το ζήτημα αν ένας πλήρης αποκλεισμός του δικαιώματος πρόσβασης στους φακέλους και στα αρχεία της εποπτικής αρχής, όπως αυτός που προβλέπεται στο άρθρο 20, παράγραφος 2, του BayDSG, πληροί τις προϋποθέσεις του άρθρου 23 του ΓΚΠΔ.
28 Υπό τις συνθήκες αυτές, το Bayerisches Verwaltungsgericht Ansbach (βαυαρικό διοικητικό πρωτοδικείο Ansbach) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Έχει το άρθρο 15, σε συνδυασμό με το άρθρο 4, σημείο 7, του [ΓΚΠΔ], την έννοια ότι μια εποπτική αρχή, όπως αυτή ορίζεται στο άρθρο 4, σημείο 21, του εν λόγω κανονισμού, η οποία ενεργεί στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας που υποβλήθηκε από υποκείμενο των δεδομένων δυνάμει του άρθρου 77 του [ΓΚΠΔ], αποτελεί ταυτόχρονα “υπεύθυνο επεξεργασίας” κατά την έννοια του άρθρου 15, σε συνδυασμό με το άρθρο 4, σημείο 7, του κανονισμού και επομένως υποχρεούται, βάσει του προμνησθέντος άρθρου 15 του [ΓΚΠΔ], να παρέχει στο υποκείμενο των δεδομένων πρόσβαση στα δεδομένα που το αφορούν και στις πληροφορίες;
2) Σε περίπτωση καταφατικής απαντήσεως στο πρώτο προδικαστικό ερώτημα: Έχει το δίκαιο της Ένωσης, και ειδικότερα το άρθρο 23 του [ΓΚΠΔ], την έννοια ότι αντιτίθεται σε εθνική ρύθμιση –όπως το επίμαχο στην υπόθεση της κύριας δίκης άρθρο 20, παράγραφος 2, του [BayDSG]– βάσει της οποίας δεν υφίστανται εν γένει δικαιώματα πρόσβασης ή πληροφόρησης σε σχέση με τους φακέλους και τα αρχεία των εποπτικών αρχών, όπως αυτές ορίζονται στο άρθρο 4, σημείο 21, του [εν λόγω κανονισμού];»
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος
29 Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 4, σημείο 7, του ΓΚΠΔ, σε συνδυασμό με το άρθρο 15 του κανονισμού, έχει την έννοια ότι, στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας υποβληθείσας από υποκείμενο των δεδομένων δυνάμει του άρθρου 77 του κανονισμού, μια εποπτική αρχή, όπως αυτή ορίζεται στο άρθρο 4, σημείο 21, του κανονισμού, πρέπει να χαρακτηρίζεται ως «υπεύθυνος επεξεργασίας» και, ως εκ τούτου, να υποχρεούται, κατ’ αρχήν, να παρέχει στο υποκείμενο των δεδομένων πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που το αφορούν και στις πληροφορίες που απαριθμούνται στο άρθρο 15 του κανονισμού.
30 Προκαταρκτικώς, υπογραμμίζεται, πρώτον, ότι, κατά το άρθρο 4, σημείο 1, του ΓΚΠΔ, ως «δεδομένα προσωπικού χαρακτήρα» νοούνται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο […], ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας, ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου», το οποίο χαρακτηρίζεται ως «υποκείμενο των δεδομένων».
31 Δεύτερον, κατά το άρθρο 4, σημείο 2, του κανονισμού, ως «επεξεργασία» νοείται κάθε πράξη ή σειρά πράξεων που πραγματοποιείται, με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώριση, η οργάνωση, η διάρθρωση, η αποθήκευση, η προσαρμογή ή η μεταβολή, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η κοινολόγηση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η συσχέτιση ή ο συνδυασμός, ο περιορισμός, η διαγραφή ή η καταστροφή.
32 Τρίτον, κατά το άρθρο 4, σημείο 7, του ΓΚΠΔ, η έννοια του «υπευθύνου επεξεργασίας» καταλαμβάνει τα φυσικά ή νομικά πρόσωπα, τις δημόσιες αρχές, τις υπηρεσίες ή άλλους φορείς τα οποία, μόνα τους ή από κοινού με άλλους, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας. Η ίδια διάταξη ορίζει επίσης ότι, όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους.
33 Λαμβανομένου υπόψη του ευρέος ορισμού της έννοιας του «υπευθύνου επεξεργασίας» που περιέχεται στην εν λόγω διάταξη, ο καθορισμός των σκοπών και του τρόπου της επεξεργασίας και ο τυχόν ορισμός του υπευθύνου επεξεργασίας από το δίκαιο της Ένωσης μπορούν να γίνονται όχι μόνον ρητώς, αλλά και εμμέσως. Στην τελευταία αυτή περίπτωση, απαιτείται, εντούτοις, ο ορισμός του υπευθύνου της επεξεργασίας να συνάγεται με επαρκή βεβαιότητα από τον ρόλο, την αποστολή και τις εξουσίες που ανατίθενται στο συγκεκριμένο πρόσωπο ή στη συγκεκριμένη οντότητα. Τούτο συμβαίνει όταν οι σκοποί και ο τρόπος της επεξεργασίας προκύπτουν, κατ’ ουσίαν, από τις διατάξεις του δικαίου της Ένωσης που διέπουν τη δραστηριότητα του εν λόγω προσώπου ή της εν λόγω οντότητας (βλ., κατ’ αναλογίαν, απόφαση της 27ης Φεβρουαρίου 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, σκέψεις 28 και 37).
34 Εξάλλου, προκειμένου να διαπιστωθεί η ιδιότητα μιας οντότητας ως υπευθύνου επεξεργασίας κατά την έννοια του άρθρου 4, σημείο 7, δεύτερη περίοδος, του ΓΚΠΔ, δεν είναι αναγκαίο να ασκεί η οντότητα αυτή επιρροή στον καθορισμό των σκοπών και του τρόπου της επεξεργασίας. Επομένως, μια τέτοια οντότητα, η οποία ορίζεται από το δίκαιο της Ένωσης ή το εθνικό δίκαιο ως υπεύθυνος επεξεργασίας, δεν απαιτείται να αποφασίζει η ίδια για τους σκοπούς και τον τρόπο επεξεργασίας των δεδομένων προσωπικού χαρακτήρα προκειμένου να υποχρεούται να απαντά, ως υπεύθυνος επεξεργασίας, στα αιτήματα που της απευθύνουν τα υποκείμενα των δεδομένων βάσει των δικαιωμάτων που αντλούν από τον ΓΚΠΔ (πρβλ. απόφαση της 27ης Φεβρουαρίου 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, σκέψεις 44 και 45).
35 Λαμβανομένων υπόψη των ανωτέρω προκαταρκτικών παρατηρήσεων, υπενθυμίζεται, πρώτον, ότι σύμφωνα με το άρθρο 8, παράγραφος 3, του Χάρτη, καθώς και με το άρθρο 4, σημείο 21, το άρθρο 51, παράγραφος 1, και το άρθρο 57, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, οι εποπτικές αρχές έχουν επιφορτισθεί με τον έλεγχο της τήρησης των κανόνων της Ένωσης σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που τα αφορούν [πρβλ. απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding κ.λπ. (Πτωχευτική απαλλαγή), C‑26/22 και C‑64/22, EU:C:2023:958, σκέψη 55 και εκεί μνημονευόμενη νομολογία].
36 Ειδικότερα, βάσει του άρθρου 57, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, κάθε εποπτική αρχή υποχρεούται, στην εδαφική περιοχή για την οποία είναι αρμόδια, αφενός, να εξετάζει τις καταγγελίες τις οποίες κάθε υποκείμενο δεδομένων δικαιούται, σύμφωνα με το άρθρο 77, παράγραφος 1, του κανονισμού, να υποβάλλει όταν θεωρεί ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν συνιστά παράβαση του κανονισμού αυτού και, αφετέρου, να ερευνά το αντικείμενό τους στο μέτρο του αναγκαίου. Η εποπτική αρχή, η οποία, δυνάμει του άρθρου 58, παράγραφοι 1 και 2, του ίδιου κανονισμού, διαθέτει εξουσίες έρευνας και διορθωτικές εξουσίες, οφείλει να εξετάζει μια τέτοια καταγγελία με τη δέουσα επιμέλεια [πρβλ. απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding κ.λπ. (Πτωχευτική απαλλαγή), C‑26/22 και C‑64/22, EU:C:2023:958, σκέψεις 56 και 57 και εκεί μνημονευόμενη νομολογία].
37 Από τις αρμοδιότητες που της αναγνωρίζει το δίκαιο της Ένωσης, προκύπτει ότι η εποπτική αρχή που επιλαμβάνεται καταγγελίας καλείται η ίδια να επεξεργαστεί, κατά την έννοια του άρθρου 4, σημείο 2, του ΓΚΠΔ, δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος ως υποκειμένου των δεδομένων. Ειδικότερα, στο πλαίσιο αυτό, τέτοια δεδομένα καταχωρίζονται, αναζητούνται, αποθηκεύονται και χρησιμοποιούνται από την εν λόγω αρχή.
38 Επιπλέον, οι σκοποί και ο τρόπος της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που μπορεί να πραγματοποιηθεί από την εποπτική αρχή που επιλαμβάνεται μιας τέτοιας καταγγελίας προκύπτουν, κατ’ ουσίαν, από τις διατάξεις του δικαίου της Ένωσης που διέπουν τη δραστηριότητα της εν λόγω αρχής.
39 Επομένως, μια εποπτική αρχή πρέπει να θεωρείται «υπεύθυνος επεξεργασίας» των δεδομένων προσωπικού χαρακτήρα του καταγγέλλοντος κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ.
40 Η ερμηνεία αυτή επιβεβαιώνεται από τον ίδιο τον σκοπό της διάταξης αυτής, ο οποίος συνίσταται στη διασφάλιση, μέσω ενός ευρέος ορισμού της έννοιας του «υπευθύνου επεξεργασίας», αποτελεσματικής και πλήρους προστασίας των υποκειμένων των δεδομένων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν [πρβλ. απόφαση της 11ης Ιανουαρίου 2024, État belge (Επεξεργασία δεδομένων από επίσημη εφημερίδα), C‑231/22, EU:C:2024:7, σκέψη 28 και εκεί μνημονευόμενη νομολογία].
41 Αν μια εποπτική αρχή, αποφαινόμενη επί καταγγελίας, δεν χαρακτηριζόταν ως «υπεύθυνος επεξεργασίας», ο καταγγέλλων θα στερούνταν, όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τον αφορούν από την εν λόγω αρχή, του συνόλου των δικαιωμάτων που απαριθμούνται στο κεφάλαιο III του ΓΚΠΔ, όπως είναι, μεταξύ άλλων, το δικαίωμα του υποκειμένου των δεδομένων σε διαφανή ενημέρωση και ανακοίνωση, το δικαίωμα ενημέρωσης όταν δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων ή όταν δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα που το αφορούν, το δικαίωμα διόρθωσης των δεδομένων αυτών, το δικαίωμα διαγραφής τους ή ακόμη το δικαίωμα περιορισμού της επεξεργασίας, τα οποία προβλέπονται, αντιστοίχως, στα άρθρα 12 έως 18 του κανονισμού. Επιπλέον, οι εποπτικές αρχές δεν θα υπέκειντο ούτε στις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, οι οποίες κατοχυρώνονται στο άρθρο 5 του κανονισμού, όπως, μεταξύ άλλων, στις αρχές της νομιμότητας, της αντικειμενικότητας, της διαφάνειας, του περιορισμού του σκοπού, της ελαχιστοποίησης των δεδομένων ή, ακόμη, της ακρίβειας, ούτε στους κανόνες που αφορούν, ειδικότερα, την ασφάλεια των δεδομένων προσωπικού χαρακτήρα, οι οποίοι προβλέπονται στο τμήμα 2 του κεφαλαίου IV του κανονισμού.
42 Στο πλαίσιο αυτό, δεν μπορεί να ευδοκιμήσει το επιχείρημα της Landesamt ότι ορισμένες διατάξεις του ΓΚΠΔ προϋποθέτουν κατ’ ανάγκην αυστηρή διάκριση μεταξύ, αφενός, της εποπτικής αρχής και, αφετέρου, του «υπευθύνου επεξεργασίας». Όπως επισημαίνει ο γενικός εισαγγελέας στο σημείο 52 των προτάσεών του, οι διατάξεις αυτές αφορούν αποκλειστικά την κατ’ αρχήν κατάσταση που έλαβε υπόψη ο νομοθέτης της Ένωσης, στην οποία οι δύο αυτοί ρόλοι δεν συγχέονται. Εντούτοις, δεν αποκλείουν το ενδεχόμενο μια εποπτική αρχή, υπό ορισμένες περιστάσεις, να πληροί ταυτόχρονα τις προϋποθέσεις που απαιτούνται για να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας».
43 Συναφώς, πρέπει να προστεθεί ότι δεν αποκλείεται η εποπτική αρχή να προσαρμόσει την εσωτερική της οργάνωση ώστε οι ενέργειες στις οποίες προβαίνει ως υπεύθυνος επεξεργασίας των δεδομένων προσωπικού χαρακτήρα ενός καταγγέλλοντος να μπορούν, με τη σειρά τους, να αποτελέσουν αντικείμενο ανεξάρτητου ελέγχου από άλλη οντότητα εντός της ίδιας, σύμφωνα με τις σχετικές διατάξεις του ΓΚΠΔ.
44 Δεύτερον, εφόσον η εποπτική αρχή που επιλαμβάνεται καταγγελίας πρέπει να θεωρηθεί ως «υπεύθυνος επεξεργασίας» σε σχέση με τα δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος, πρέπει, δυνάμει του άρθρου 15, παράγραφος 1, του ΓΚΠΔ, να αναγνωριστεί σε αυτόν, μεταξύ άλλων, δικαίωμα πρόσβασης στα εν λόγω δεδομένα.
45 Συναφώς, σημειωτέον ότι το άρθρο 15, παράγραφος 1, αποτελεί μία από τις διατάξεις που αποσκοπούν στη διασφάλιση της διαφάνειας του τρόπου επεξεργασίας των δεδομένων προσωπικού χαρακτήρα έναντι του υποκειμένου των δεδομένων, διαφάνειας χωρίς την οποία το υποκείμενο των δεδομένων δεν θα ήταν σε θέση να βεβαιωθεί ότι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν είναι ακριβή και ότι η επεξεργασία τους γίνεται κατά σύννομο τρόπο, ούτε να ασκήσει τις προνομίες που προβλέπονται, μεταξύ άλλων, στα άρθρα 16 έως 18, 21, 79 και 82 του εν λόγω κανονισμού (αποφάσεις της 22ας Ιουνίου 2023, Pankki S, C‑579/21, EU:C:2023:501, σκέψη 59, και της 27ης Φεβρουαρίου 2025, Dun & Bradstreet Austria κ.λπ., C‑203/22, EU:C:2025:117, σκέψη 53).
46 Εντούτοις, επισημαίνεται ότι το άρθρο 15, παράγραφος 1, του ΓΚΠΔ θεσπίζει δικαίωμα πρόσβασης του υποκειμένου των δεδομένων αποκλειστικά στα δεδομένα προσωπικού χαρακτήρα που το αφορούν και δικαίωμα ενημέρωσης σχετικά με την επεξεργασία των δεδομένων αυτών. Αντιθέτως, το εν λόγω άρθρο δεν κατοχυρώνει ούτε γενικό δικαίωμα πρόσβασης στον διοικητικό φάκελο ούτε δικαίωμα πρόσβασης στο σύνολο των εγγράφων που βρίσκονται στην κατοχή της δημόσιας αρχής υπό την ιδιότητά της ως υπευθύνου επεξεργασίας.
47 Λαμβανομένου υπόψη του συνόλου των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 4, σημείο 7, του ΓΚΠΔ, σε συνδυασμό με το άρθρο 15 του κανονισμού, έχει την έννοια ότι, στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας υποβληθείσας από υποκείμενο των δεδομένων δυνάμει του άρθρου 77 του κανονισμού, μια εποπτική αρχή, όπως αυτή ορίζεται στο άρθρο 4, σημείο 21, του κανονισμού, πρέπει να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» και, ως εκ τούτου, να υποχρεούται, κατ’ αρχήν, να παρέχει στο υποκείμενο των δεδομένων πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που το αφορούν και στις πληροφορίες που απαριθμούνται στο άρθρο 15 του κανονισμού.
Επί του δεύτερου προδικαστικού ερωτήματος
48 Με το δεύτερο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 23 του ΓΚΠΔ έχει την έννοια ότι αντιτίθεται σε εθνική διάταξη δυνάμει της οποίας ο καταγγέλλων στερείται πλήρως του δικαιώματος πρόσβασης στα δεδομένα προσωπικού χαρακτήρα τα οποία τον αφορούν, όπως αυτό προβλέπεται στο άρθρο 15 του κανονισμού, και τα οποία βρίσκονται στην κατοχή εποπτικής αρχής, κατά την έννοια του άρθρου 4, σημείο 21, του εν λόγω κανονισμού, όπως είναι η Landesamt.
49 Συναφώς, υπενθυμίζεται ότι ο ΓΚΠΔ στηρίζεται στην ύπαρξη ενός αναγνωριζόμενου σε κάθε φυσικό πρόσωπο δικαιώματος προστασίας έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Η προστασία αυτή συνιστά θεμελιώδες δικαίωμα, το οποίο κατοχυρώνεται στο άρθρο 8, παράγραφος 1, του Χάρτη, στο οποίο παραπέμπει η αιτιολογική σκέψη 1 του ΓΚΠΔ. Ο σκοπός της διασφάλισης της αποτελεσματικότητας του εν λόγω θεμελιώδους δικαιώματος, μέσω της επίτευξης υψηλού και ισοδύναμου επιπέδου προστασίας σε όλα τα κράτη μέλη, λειτουργεί ως σημείο αναφοράς για την εφαρμογή του εν λόγω κανονισμού, όπως προκύπτει από το άρθρο 1 και από την αιτιολογική σκέψη 10 αυτού (απόφαση της 4ης Σεπτεμβρίου 2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, σκέψη 38 και εκεί μνημονευόμενη νομολογία).
50 Για την επίτευξη ακριβώς αυτού του σκοπού, το άρθρο 15, παράγραφος 1, του ΓΚΠΔ εγγυάται στο υποκείμενο των δεδομένων δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα που το αφορούν [απόφαση της 26ης Οκτωβρίου 2023, FT (Αντίγραφα του ιατρικού φακέλου), C‑307/22, EU:C:2023:811, σκέψη 48].
51 Εντούτοις, το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο. Πράγματι, το δικαίωμα αυτό πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας [πρβλ. απόφαση της 12ης Ιανουαρίου 2023, Österreichische Post (Πληροφορίες σχετικά με τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα), C‑154/21, EU:C:2023:3, σκέψη 47].
52 Συγκεκριμένα, δυνάμει του άρθρου 23, παράγραφος 1, του ΓΚΠΔ, μπορούν να επιβάλλονται, με νομοθετικά μέτρα, περιορισμοί στις υποχρεώσεις και στα δικαιώματα που προβλέπονται, μεταξύ άλλων, στο άρθρο 15 του κανονισμού, προκειμένου να διασφαλίζονται ορισμένοι σκοποί γενικού συμφέροντος που απαριθμούνται στη διάταξη αυτή, υπό τον όρο ότι οι περιορισμοί αυτοί σέβονται την ουσία των θεμελιωδών ελευθεριών και δικαιωμάτων και ότι είναι αναγκαίοι και αναλογικοί σε μια δημοκρατική κοινωνία για τη διασφάλιση των σκοπών αυτών.
53 Από την απόφαση περί παραπομπής προκύπτει ότι, μολονότι η αιτιολογική έκθεση του BayDSG μνημονεύει ρητώς το άρθρο 23 του ΓΚΠΔ ως νομική βάση του άρθρου 20, παράγραφος 2, του BayDSG, εντούτοις δεν αναφέρεται σε κανέναν από τους σκοπούς που απαριθμούνται στο άρθρο 23. Το αιτούν δικαστήριο επισημαίνει, ωστόσο, ότι, σύμφωνα με τις παρατηρήσεις της Landesamt στο πλαίσιο της κύριας δίκης, η διάταξη αυτή του BayDSG επιδιώκει στην πραγματικότητα δύο βασικούς σκοπούς: αφενός, τη διαφύλαξη της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα τρίτων και, αφετέρου, τη διασφάλιση της εύρυθμης λειτουργίας και της ανεξαρτησίας των εποπτικών αρχών. Επιπλέον, κατά την Landesamt, επιδιώκει και τον σκοπό της διασφάλισης της προστασίας της δημόσιας ασφάλειας. Οι δε ως άνω σκοποί εμπίπτουν στους προβλεπόμενους στο άρθρο 23, παράγραφος 1, στοιχεία γʹ, εʹ, ηʹ και θʹ, του ΓΚΠΔ σκοπούς.
54 Όσον αφορά, πρώτον, τον σκοπό της διαφύλαξης της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα που αφορούν τρίτους, επισημαίνεται ότι, σύμφωνα με το άρθρο 23, παράγραφος 1, στοιχείο θʹ, του ΓΚΠΔ, μπορούν να επιβάλλονται περιορισμοί στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στο άρθρο 15 του κανονισμού αυτού προκειμένου να προστατεύονται τα δικαιώματα και οι ελευθερίες τρίτων.
55 Επιπλέον, κατά την αιτιολογική σκέψη 63 του ΓΚΠΔ, το δικαίωμα κάθε υποκειμένου των δεδομένων να αποκτά πρόσβαση στα δεδομένα προσωπικού χαρακτήρα τα οποία συλλέχθηκαν και το αφορούν δεν θα πρέπει να επηρεάζει αρνητικά τα δικαιώματα ή τις ελευθερίες άλλων (απόφαση της 27ης Φεβρουαρίου 2025, Dun & Bradstreet Austria κ.λπ., C‑203/22, EU:C:2025:117, σκέψη 69).
56 Ωστόσο, οι ανωτέρω εκτιμήσεις δεν θα πρέπει να έχουν ως αποτέλεσμα την πλήρη άρνηση γνωστοποίησης πληροφορίων στο υποκείμενο των δεδομένων, όπως προβλέπει το άρθρο 20 του BayDSG.
57 Πράγματι, όπως υπομνήσθηκε στη σκέψη 52 της παρούσας απόφασης, από το άρθρο 23, παράγραφος 1, του ΓΚΠΔ προκύπτει ότι ο περιορισμός του περιεχομένου των υποχρεώσεων και των δικαιωμάτων που προβλέπονται, μεταξύ άλλων, στο άρθρο 15 του ΓΚΠΔ επιτρέπεται μόνον εφόσον σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών και συνιστά αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση της προστασίας των δικαιωμάτων και ελευθεριών των τρίτων (απόφαση της 27ης Φεβρουαρίου 2025, Dun & Bradstreet Austria κ.λπ., C‑203/22, EU:C:2025:117, σκέψη 70). Η διάταξη αυτή πρέπει να ερμηνεύεται υπό το πρίσμα του άρθρου 8, παράγραφος 2, δεύτερη περίοδος, του Χάρτη που θεσπίζει την αρχή ότι «[κ]άθε πρόσωπο δικαιούται να έχει πρόσβαση στα συλλεγέντα δεδομένα που το αφορούν και να επιτυγχάνει τη διόρθωσή τους».
58 Όπως έχει επισημάνει το Δικαστήριο, σε περίπτωση σύγκρουσης μεταξύ, αφενός, της άσκησης του δικαιώματος πλήρους πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και, αφετέρου, των δικαιωμάτων ή των ελευθεριών τρίτων, θα πρέπει να γίνεται στάθμιση των συγκρουόμενων δικαιωμάτων και ελευθεριών. Στο μέτρο του δυνατού, θα πρέπει να επιλέγονται τρόποι κοινοποίησης των δεδομένων προσωπικού χαρακτήρα οι οποίοι δεν προσβάλλουν τα δικαιώματα ή τις ελευθερίες τρίτων, λαμβανομένου, εντούτοις, υπόψη ότι, όπως προκύπτει από την αιτιολογική σκέψη 63 του ΓΚΠΔ, οι παράγοντες αυτοί δεν πρέπει να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε πληροφορίας στο υποκείμενο των δεδομένων (πρβλ. απόφαση της 27ης Φεβρουαρίου 2025, Dun & Bradstreet Austria κ.λπ., C‑203/22, EU:C:2025:117, σκέψη 72 και εκεί μνημονευόμενη νομολογία).
59 Συγκεκριμένα, κατάλληλες διαδικασίες, όπως, λόγου χάρη, η απόκρυψη ή η ανωνυμοποίηση των δεδομένων προσωπικού χαρακτήρα τρίτων, καθιστούν δυνατή την εξισορρόπηση των διακυβευόμενων συμφερόντων χωρίς να καταργούν πλήρως το δικαίωμα πρόσβασης του υποκειμένου των δεδομένων στα δεδομένα προσωπικού χαρακτήρα που το αφορούν.
60 Επομένως, το άρθρο 23, παράγραφος 1, στοιχείο θʹ, του ΓΚΠΔ αντιτίθεται σε εθνική νομοθετική διάταξη δυνάμει της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να αρνηθεί πλήρως στο υποκείμενο των δεδομένων την πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που το αφορούν, χωρίς να έχει τη δυνατότητα να προβεί σε στάθμιση των εμπλεκομένων συμφερόντων.
61 Δεύτερον, όσον αφορά τον σκοπό της διαφύλαξης της εύρυθμης λειτουργίας και της ανεξαρτησίας των εποπτικών αρχών, επισημαίνεται ότι το άρθρο 52 του ΓΚΠΔ εγγυάται την πλήρη ανεξαρτησία μιας τέτοιας αρχής και επιβάλλει σε κάθε κράτος μέλος την υποχρέωση να διασφαλίζει ότι κάθε εποπτική αρχή διαθέτει τους ανθρώπινους, τεχνικούς και οικονομικούς πόρους που είναι αναγκαίοι για την αποτελεσματική άσκηση των καθηκόντων και των εξουσιών της. Εξάλλου, το Δικαστήριο έχει υπογραμμίσει ότι ο σκοπός της διασφάλισης συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων εντός της Ένωσης απαιτεί να διασφαλίζεται η εύρυθμη λειτουργία των εποπτικών αρχών [απόφαση της 9ης Ιανουαρίου 2025, Österreichische Datenschutzbehörde (Υπερβολικά αιτήματα), C‑416/23, EU:C:2025:3, σκέψη 40].
62 Επομένως, ο σκοπός της διαφύλαξης της εύρυθμης λειτουργίας και της ανεξαρτησίας των αρχών ελέγχου συνιστά θεμιτό σκοπό υπό το πρίσμα του άρθρου 23, παράγραφος 1, στοιχείο ηʹ, του κανονισμού, το οποίο επιτρέπει, κατ’ αρχήν, τη θέσπιση περιορισμών, μεταξύ άλλων, επί του δικαιώματος πρόσβασης που κατοχυρώνεται στο άρθρο 15 του κανονισμού.
63 Εντούτοις, όπως επισημαίνει, κατ’ ουσίαν, ο γενικός εισαγγελέας στο σημείο 86 των προτάσεών του, η άσκηση του εν λόγω δικαιώματος πρόσβασης δεν είναι ικανή να θέσει σε κίνδυνο τη διασφάλιση της ανεξάρτητης άσκησης των καθηκόντων των εποπτικών αρχών.
64 Τούτο ισχύει και για τη διασφάλιση της αποτελεσματικής άσκησης των καθηκόντων αυτών. Συγκεκριμένα, νομοθετική διάταξη η οποία απαγορεύει πλήρως, κατά τρόπο γενικό και αφηρημένο, την πρόσβαση του υποκειμένου των δεδομένων στα δεδομένα προσωπικού χαρακτήρα που το αφορούν και τα οποία έχει στην κατοχή της η εποπτική αρχή δεν επιδιώκει έναν τέτοιο σκοπό κατά τρόπο αναλογικό,.
65 Συναφώς, υπογραμμίζεται εξάλλου ότι, ακόμη και αν υποτεθεί ότι ο διοικητικός φόρτος που συνδέεται με την εξέταση των αιτημάτων πρόσβασης που υποβάλλονται δυνάμει του άρθρου 15 του ΓΚΠΔ μπορεί, ανάλογα με την περίπτωση, να μην είναι αμελητέος, υπογραμμίζεται ότι, όπως υπομνήσθηκε στη σκέψη 61 της παρούσας απόφασης, κάθε κράτος μέλος μεριμνά ώστε κάθε εποπτική αρχή να διαθέτει τους ανθρώπινους, τεχνικούς και οικονομικούς πόρους που είναι αναγκαίοι για την αποτελεσματική άσκηση των καθηκόντων και των εξουσιών της.
66 Επιπλέον, το άρθρο 12, παράγραφος 5, του ΓΚΠΔ επιτρέπει στον υπεύθυνο επεξεργασίας που αντιμετωπίζει προδήλως αβάσιμο ή υπερβολικό αίτημα πρόσβασης είτε να επιβάλει εύλογο τέλος, λαμβάνοντας υπόψη τα διοικητικά έξοδα για την παροχή των πληροφοριών, είτε να αρνηθεί να δώσει συνέχεια σε τέτοιο αίτημα.
67 Επομένως, το δικαίωμα κάθε υποκειμένου των δεδομένων να αποκτά πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που το αφορούν δεν μπορεί να αποκλειστεί κατά τρόπο γενικό προκειμένου να διαφυλαχθεί η εύρυθμη λειτουργία και η ανεξαρτησία των εποπτικών αρχών δυνάμει του άρθρου 23, παράγραφος 1, στοιχείο ηʹ, του κανονισμού.
68 Όσον αφορά, τρίτον, τον σκοπό της προστασίας της δημόσιας ασφάλειας, επισημαίνεται ότι, σύμφωνα με το άρθρο 23, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, ο σκοπός αυτός μπορεί να δικαιολογήσει περιορισμό του δικαιώματος πρόσβασης του υποκειμένου των δεδομένων στα δεδομένα προσωπικού χαρακτήρα που το αφορούν, το οποίο προβλέπεται στο άρθρο 15, παράγραφος 1, του κανονισμού. Εντούτοις, ένα κράτος μέλος δεν μπορεί να επικαλεστεί τον σκοπό αυτό προκειμένου να επιβάλει έναν τέτοιο περιορισμό παρά μόνο σε περίπτωση πραγματικής και αρκούντως σοβαρής απειλής, η οποία θίγει θεμελιώδες συμφέρον της κοινωνίας [βλ., κατ’ αναλογίαν, απόφαση της 13ης Νοεμβρίου 2025, Επιτροπή κατά Ουγγαρίας (Υλικά δομικών κατασκευών για υποδομές ζωτικής σημασίας), C‑499/23, EU:C:2025:875, σκέψη 41]. Ωστόσο, από τη δικογραφία που έχει στη διάθεσή του το Δικαστήριο δεν προκύπτει κάτι τέτοιο.
69 Λαμβανομένου υπόψη του συνόλου των προεκτεθέντων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 23, παράγραφος 1, στοιχεία γʹ, ηʹ και θʹ, του ΓΚΠΔ έχει την έννοια ότι αντιτίθεται σε εθνική διάταξη δυνάμει της οποίας ο καταγγέλλων στερείται πλήρως του δικαιώματος πρόσβασης στα δεδομένα προσωπικού χαρακτήρα τα οποία τον αφορούν, όπως αυτό προβλέπεται στο άρθρο 15 του κανονισμού, και τα οποία βρίσκονται στην κατοχή εποπτικής αρχής, όπως αυτή ορίζεται στο άρθρο 4, σημείο 21, του κανονισμού.
Επί των δικαστικών εξόδων
70 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (τρίτο τμήμα) αποφαίνεται:
1) Το άρθρο 4, σημείο 7, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), σε συνδυασμό με το άρθρο 15 του κανονισμού,
έχει την έννοια ότι:
στο πλαίσιο διαδικασίας διεκπεραίωσης καταγγελίας υποβληθείσας από υποκείμενο των δεδομένων δυνάμει του άρθρου 77 του κανονισμού, μια εποπτική αρχή, όπως αυτή ορίζεται στο άρθρο 4, σημείο 21, του κανονισμού, πρέπει να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» και, ως εκ τούτου, να υποχρεούται, κατ’ αρχήν, να παρέχει στο υποκείμενο των δεδομένων πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που το αφορούν και στις πληροφορίες που απαριθμούνται στο άρθρο 15 του κανονισμού.
2) Το άρθρο 23, παράγραφος 1, στοιχεία γʹ, ηʹ και θʹ, του κανονισμού 2016/679
έχει την έννοια ότι:
αντιτίθεται σε εθνική διάταξη δυνάμει της οποίας ο καταγγέλλων στερείται πλήρως του δικαιώματος πρόσβασης στα δεδομένα προσωπικού χαρακτήρα τα οποία τον αφορούν, όπως αυτό προβλέπεται στο άρθρο 15 του κανονισμού, και τα οποία βρίσκονται στην κατοχή εποπτικής αρχής, όπως αυτή ορίζεται στο άρθρο 4, σημείο 21, του κανονισμού.
(υπογραφές)
