Οι αρχές προστασίας δεδομένων δεν εξαιρούνται από το δικαίωμα πρόσβασης του ΓΚΠΔ (ΔΕΕ C-205/25)

Μπορεί μια αρχή προστασίας δεδομένων να αρνηθεί σε καταγγέλλοντα την πρόσβαση στα προσωπικά δεδομένα του, επικαλούμενη την ιδιαίτερη αποστολή της και την ανάγκη διαφύλαξης της ανεξαρτησίας της; Και μπορεί ο εθνικός νομοθέτης να εξαιρέσει συνολικά τους φακέλους των εποπτικών αρχών από το δικαίωμα πρόσβασης του άρθρου 15 ΓΚΠΔ;

Μολονότι η απάντηση στα ερωτήματα αυτά μοιάζει μάλλον αυτονόητη, η υπόθεση έφτασε μέχρι το Δικαστήριο της Ευρωπαϊκής Ένωσης, το οποίο κλήθηκε να εξετάσει τόσο τις υποχρεώσεις των ίδιων των εποπτικών αρχών όσο και τα όρια της ευχέρειας του εθνικού νομοθέτη να περιορίζει τα δικαιώματα των υποκειμένων.

Με την απόφαση της 5ης Νοεμβρίου 2026 στην υπόθεση C-205/25, Bayerisches Landesamt für Datenschutzaufsicht, το ΔΕΕ έκρινε ότι οι εποπτικές αρχές υπόκεινται στις υποχρεώσεις του ΓΚΠΔ όταν επεξεργάζονται προσωπικά δεδομένα των καταγγελλόντων και ότι η προστασία της λειτουργίας τους δεν δικαιολογεί έναν γενικό και απόλυτο αποκλεισμό του δικαιώματος πρόσβασης.

Η καταγγελία και η άρνηση πρόσβασης

Η υπόθεση ξεκίνησε από καταγγελία που υπέβαλε τον Μάιο του 2022 Γερμανός δημοσιογράφος στη βαυαρική αρχή προστασίας δεδομένων (Landesamt).

Η Αρχή διερεύνησε την υπόθεση και ενημέρωσε τον καταγγέλλοντα ότι είχε διαπιστώσει παραβάσεις της νομοθεσίας προστασίας δεδομένων. Όταν εκείνος ζήτησε περισσότερες πληροφορίες σχετικά με τα μέτρα που είχαν ληφθεί, η Αρχή δεν ανταποκρίθηκε, με αποτέλεσμα να υποβάλει αίτημα πρόσβασης βάσει του άρθρου 15 ΓΚΠΔ.

Το αίτημα απορρίφθηκε με επίκληση του άρθρου 20 παρ. 2 του βαυαρικού νόμου περί προστασίας δεδομένων (BayDSG), το οποίο απέκλειε κάθε δικαίωμα πρόσβασης ή πληροφόρησης σχετικά με τους φακέλους και τα αρχεία των εποπτικών αρχών.

Ο καταγγέλλων προσέφυγε στη δικαιοσύνη. Μολονότι η Αρχή τού χορήγησε τελικά ηλεκτρονική πρόσβαση στον φάκελο τον Φεβρουάριο του 2024, χωρίς να αναγνωρίσει σχετική νομική υποχρέωση, εκείνος επέμεινε στη διαπίστωση της παρανομίας της αρχικής άρνησης.

Η διπλή ιδιότητα των εποπτικών αρχών

Ενώπιον του ΔΕΕ, η Landesamt υποστήριξε ότι μια εποπτική αρχή, όταν εξετάζει καταγγελία του άρθρου 77 ΓΚΠΔ, δεν μπορεί να θεωρηθεί ταυτόχρονα υπεύθυνος επεξεργασίας έναντι του καταγγέλλοντος.

Το Δικαστήριο απέρριψε τη θέση αυτή.

Όπως έκρινε, κατά την εξέταση μιας καταγγελίας, η εποπτική αρχή καταχωρίζει, αναζητά, αποθηκεύει και χρησιμοποιεί προσωπικά δεδομένα του καταγγέλλοντος. Οι σκοποί και τα μέσα της επεξεργασίας προκύπτουν από τις αρμοδιότητες που της αναθέτει το ενωσιακό δίκαιο. Συνεπώς, η Αρχή ενεργεί και ως υπεύθυνος επεξεργασίας.

Το ΔΕΕ παρατήρησε ότι η αντίθετη ερμηνεία θα στερούσε από τους καταγγέλλοντες το σύνολο των δικαιωμάτων του κεφαλαίου III ΓΚΠΔ, ενώ θα εξαιρούσε τις εποπτικές αρχές ακόμη και από τις θεμελιώδεις αρχές επεξεργασίας και τις απαιτήσεις ασφάλειας των δεδομένων.

Παράλληλα όμως, το Δικαστήριο έθεσε και ένα σαφές όριο, προκειμένου να υπενθυμίσει πως το δικαίωμα πρόσβασης του ΓΚΠΔ δεν ταυτίζεται με την πρόσβαση στα έγγραφα. Όπως επεσήμανε, το άρθρο 15 ΓΚΠΔ δεν παρέχει γενικό δικαίωμα πρόσβασης στον διοικητικό φάκελο ή στο σύνολο των εγγράφων της εποπτικής αρχής, αλλά στα προσωπικά δεδομένα του αιτούντος και στις πληροφορίες που προβλέπει η συγκεκριμένη διάταξη.

Τα όρια της προστασίας της εμπιστευτικότητας και της ανεξαρτησίας

Ως προς τον αποκλεισμό της πρόσβασης, η βαυαρική αρχή επικαλέστηκε την προστασία των δεδομένων τρίτων, την εύρυθμη λειτουργία και ανεξαρτησία των εποπτικών αρχών, καθώς και τη δημόσια ασφάλεια.

Το ΔΕΕ αναγνώρισε ότι η προστασία των δικαιωμάτων τρίτων και η διασφάλιση της λειτουργίας των εποπτικών αρχών αποτελούν θεμιτούς σκοπούς περιορισμού του δικαιώματος πρόσβασης βάσει του άρθρου 23 ΓΚΠΔ. Δεν μπορούν, όμως, να δικαιολογήσουν την πλήρη κατάργησή του.

Για την προστασία των δεδομένων τρίτων απαιτείται στάθμιση, με αξιοποίηση μέτρων όπως η απόκρυψη ή η ανωνυμοποίηση των στοιχείων τους.

Αντίστοιχα, το Δικαστήριο απέρριψε την επίκληση του διοικητικού φόρτου ως δικαιολογίας για τον γενικό αποκλεισμό της πρόσβασης. Υπενθύμισε ότι τα κράτη μέλη οφείλουν να εξασφαλίζουν επαρκείς πόρους στις εποπτικές αρχές, ενώ το άρθρο 12 παρ. 5 ΓΚΠΔ επιτρέπει ήδη την επιβολή τέλους ή την απόρριψη προδήλως αβάσιμων ή υπερβολικών αιτημάτων.

Τέλος, ως προς τη δημόσια ασφάλεια, διευκρίνισε ότι περιορισμός μπορεί να δικαιολογηθεί μόνο από πραγματική και αρκούντως σοβαρή απειλή για θεμελιώδες συμφέρον της κοινωνίας, η οποία δεν προέκυπτε από την υπόθεση.

Μια ακόμη γερμανική ρύθμιση αντιμέτωπη με τα όρια του ΓΚΠΔ

Η απόφαση επαναφέρει το ζήτημα των ορίων που θέτει ο ΓΚΠΔ στην εθνική νομοθετική ευχέρεια, ένα ζήτημα για το οποίο η νομοθεσία των γερμανικών κρατιδίων έχει βρεθεί ξανά ενώπιον του ΔΕΕ.

Με την απόφαση της 30ής Μαρτίου 2023 στην υπόθεση C-34/21, (Hauptpersonalrat der Lehrerinnen und Lehrer) το Δικαστήριο είχε εξετάσει διατάξεις της νομοθεσίας του ομόσπονδου κράτους της Έσσης για την επεξεργασία προσωπικών δεδομένων εργαζομένων. Ερμηνεύοντας το άρθρο 88 ΓΚΠΔ, είχε κρίνει ότι οι ειδικότεροι εθνικοί κανόνες για τις εργασιακές σχέσεις πρέπει να πληρούν τις απαιτήσεις προστασίας της παραγράφου 2 του άρθρου αυτού, διαφορετικά δεν μπορούν να θεωρηθούν ειδικότεροι κανόνες κατά την έννοια του ΓΚΠΔ.

Στην υπόθεση C-205/25, το Δικαστήριο έθεσε αντίστοιχα όρια στην επίκληση του άρθρου 23 ΓΚΠΔ. Η δυνατότητα των κρατών μελών να θεσπίζουν περιορισμούς στα δικαιώματα των υποκειμένων δεν τους επιτρέπει να καταργούν τον πυρήνα των δικαιωμάτων αυτών, ακόμη και όταν επιδιώκουν θεμιτούς σκοπούς.

Με βάση τις παραδοχές αυτές, το ΔΕΕ έκρινε αντίθετη προς το άρθρο 23 ΓΚΠΔ την εθνική διάταξη που στερούσε πλήρως από τους καταγγέλλοντες το δικαίωμα πρόσβασης στα προσωπικά δεδομένα τους τα οποία κατείχε η εποπτική αρχή.