Πότε το αίτημα πρόσβασης μπορεί να απορριφθεί ως υπερβολικό (ΔΕΕ C‐526/24 Brillen Rottler)

Ακόμη και το πρώτο αίτημα πρόσβασης σε δεδομένα προσωπικού χαρακτήρα μπορεί κατά περίπτωση να χαρακτηριστεί «υπερβολικό» και να απορριφθεί, όταν αποδεικνύεται ότι υποβλήθηκε όχι για την προστασία δικαιωμάτων του ΓΚΠΔ, αλλά με πρόθεση κατάχρησης. Αυτό έκρινε το Δικαστήριο της Ευρωπαϊκής Ένωσης στην απόφασή του επί της υπόθεσης C‐526/24 (Brillen Rottler), η οποία δημοσιεύτηκε χθες.

Το ιστορικό

Η υπόθεση ανέκυψε ενώπιον του Ειρηνοδικείου του Arnsberg στη Γερμανία, στο πλαίσιο διαφοράς μεταξύ της οικογενειακής επιχείρησης οπτικών ειδών Brillen Rottler GmbH & Co. KG και ενός ιδιώτη, ο οποίος είχε την ιδέα να βγάλει εύκολα χρήματα, εκμεταλλευόμενος τα δικαιώματα που του αναγνωρίζει ο ΓΚΠΔ.

Ο ιδιώτης είχε εγγραφεί σε ενημερωτικό δελτίο της εταιρίας, παρέχοντας τα προσωπικά του δεδομένα και συναινώντας στην επεξεργασία τους, ενώ δεκατρείς ημέρες αργότερα υπέβαλε αίτημα πρόσβασης στα δεδομένα του, ασκώντας το δικαίωμα του άρθρου 15 ΓΚΠΔ.

Η εταιρία απέρριψε το αίτημα εντός της νόμιμης προθεσμίας, θεωρώντας ότι ήταν καταχρηστικό, και κάλεσε τον ενδιαφερόμενο να παραιτηθεί από αυτό. Ο ίδιος όχι μόνο επέμεινε, αλλά ζήτησε και αποζημίωση ύψους 1.000 ευρώ για μη υλική ζημία λόγω της άρνησης ικανοποίησης του δικαιώματός του. Η Brillen Rottler προσέφυγε στο εθνικό δικαστήριο ζητώντας να αναγνωριστεί ότι δεν υφίσταται υποχρέωση αποζημίωσης, υποστηρίζοντας ότι ο συγκεκριμένος ιδιώτης ακολουθεί συστηματική πρακτική υποβολής αιτημάτων πρόσβασης με σκοπό τη διεκδίκηση αποζημιώσεων.

Σύμφωνα με τους ισχυρισμούς της εταιρίας, η πρακτική αυτή περιλαμβάνει την εκούσια παροχή δεδομένων, την άμεση υποβολή αιτήματος πρόσβασης και, στη συνέχεια, την προβολή αξιώσεων αποζημίωσης. Προς στήριξη των ισχυρισμών αυτών, η Brillen Rottler επικαλέστηκε δημοσιεύματα, άρθρα ιστολογίων και σημειώματα δικηγόρων, από τα οποία προέκυπτε ότι ο εν λόγω ιδιώτης ασκούσε συστηματικά και καταχρηστικώς αιτήματα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν με μοναδικό σκοπό να λάβει αποζημίωση λόγω φερόμενης προσβολής των δικαιωμάτων που αντλεί από τον ΓΚΠΔ, την οποία εσκεμμένα προκαλεί. Ο τρόπος ενέργειας του ιδιώτη συνίστατο, κατ’ αρχάς, στην εγγραφή σε ενημερωτικό δελτίο, στη συνέχεια στην υποβολή αιτήματος πρόσβασης και, τέλος, στην υποβολή αιτήματος αποζημιώσεως.

Υπό τα δεδομένα αυτά, το γερμανικό ειρηνοδικείου υπέβαλε προδικαστικά ερωτήματα στο ΔΕΕ, ζητώντας διευκρινίσεις ως προς το αν ένα πρώτο αίτημα πρόσβασης μπορεί να θεωρηθεί «υπερβολικό», αν ο σκοπός επιδίωξης αποζημίωσης επηρεάζει την αξιολόγηση αυτή και ποια είναι τα όρια του δικαιώματος αποζημίωσης για παραβίαση του δικαιώματος πρόσβασης.

Η κρίση του ΔΕΕ

Το Δικαστήριο υπενθύμισε ότι το δικαίωμα πρόσβασης αποτελεί βασικό μηχανισμό του ΓΚΠΔ, επιτρέποντας στο υποκείμενο των δεδομένων να γνωρίζει και να ελέγχει τη νομιμότητα της επεξεργασίας, υπενθυμίζοντας παράλληλα την εξαίρεση του άρθρου 12 παρ.5 ΓΚΠΔ σχετικά με τη δυνατότητα άρνησης ικανοποίησης αιτήματος.

Υπενθυμίζεται ότι, σύμφωνα με το άρθρο 12 παρ.5 ΓΚΠΔ, ο υπεύθυνος επεξεργασίας δύναται «να αρνηθεί να δώσει συνέχεια στο αίτημα» ενός υποκειμένου των δεδομένων, εφόσον αποδείξει ότι το αίτημα αυτό είναι «προδήλως αβάσιμο ή υπερβολικό».

Το Δικαστήριο έκρινε ότι η έννοια του «υπερβολικού αιτήματος» δεν περιορίζεται σε επαναλαμβανόμενα αιτήματα και μπορεί να καταλάβει ακόμη και το πρώτο αίτημα, εφόσον προκύπτει καταχρηστική συμπεριφορά. Η αξιολόγηση αυτή πρέπει να γίνεται με βάση το σύνολο των περιστάσεων και υπόκειται σε αυστηρά κριτήρια, δεδομένου ότι πρόκειται για εξαίρεση από την αρχή της διευκόλυνσης των δικαιωμάτων του υποκειμένου.

Στο πλαίσιο αυτό, το ΔΕΕ ανέλυσε ειδικότερα τα στοιχεία που συνθέτουν μια καταχρηστική πρακτική. Από τη μία πλευρά, απαιτείται η συνδρομή αντικειμενικών περιστάσεων από τις οποίες να προκύπτει ότι, παρά την τυπική συμμόρφωση με τις προϋποθέσεις του ΓΚΠΔ, δεν επιτυγχάνεται ο σκοπός του δικαιώματος πρόσβασης, δηλαδή η ενημέρωση του υποκειμένου και ο έλεγχος της νομιμότητας της επεξεργασίας. Από την άλλη, απαιτείται το υποκειμενικό στοιχείο, ήτοι η πρόθεση του υποκειμένου να αποκομίσει όφελος μέσω της τεχνητής δημιουργίας των προϋποθέσεων εφαρμογής του κανονισμού, όπως η διεκδίκηση αποζημίωσης, ενώ η διαπίστωση κατάχρησης προϋποθέτει συνεκτίμηση όλων των πραγματικών περιστάσεων κάθε συγκεκριμένης υπόθεσης.

Καθοριστικής σημασίας υπήρξε, συνεπώς, η ύπαρξη πρόθεσης κατάχρησης. Το ΔΕΕ διευκρίνισε ότι ο υπεύθυνος επεξεργασίας οφείλει να αποδείξει ότι το αίτημα δεν υποβλήθηκε για να επιτρέψει στο υποκείμενο να ενημερωθεί και να ελέγξει τη νομιμότητα της επεξεργασίας, αλλά για διαφορετικό σκοπό, όπως η τεχνητή δημιουργία των προϋποθέσεων για τη διεκδίκηση αποζημίωσης.

Για την εκτίμηση αυτή μπορούν να συνεκτιμηθούν όλα τα πραγματικά περιστατικά, όπως ο χρόνος που μεσολάβησε από την παροχή των δεδομένων, ο σκοπός της παροχής τους και η συνολική συμπεριφορά του υποκειμένου. Το Δικαστήριο δέχθηκε επίσης ότι δημόσιες πληροφορίες σχετικά με επαναλαμβανόμενη υποβολή παρόμοιων αιτημάτων μπορούν να ληφθούν υπόψη ως ένδειξη καταχρηστικής πρόθεσης, εφόσον επιβεβαιώνονται από άλλα στοιχεία.

Ως προς το δικαίωμα αποζημίωσης

Ως προς τα ζητήματα που τέθηκαν από το γερμανικό δικαστήριο σχετικά με το δικαίωμα αποζημίωσης, το ΔΕΕ έκρινε ότι το δικαίωμα αποζημίωσης του άρθρου 82 του ΓΚΠΔ δεν περιορίζεται σε ζημίες που απορρέουν από πράξεις επεξεργασίας, αλλά καλύπτει και ζημίες που προκύπτουν από παραβίαση δικαιωμάτων, όπως το δικαίωμα πρόσβασης. Συνεπώς, η άρνηση ικανοποίησης αιτήματος πρόσβασης μπορεί να θεμελιώσει αξίωση αποζημίωσης, υπό την προϋπόθεση ότι αποδεικνύεται ζημία και αιτιώδης συνάφεια.

Ως προς τη μη υλική ζημία, το Δικαστήριο αναγνώρισε ότι μπορεί να συνίσταται, μεταξύ άλλων, στην απώλεια ελέγχου επί των δεδομένων ή στην αβεβαιότητα ως προς την επεξεργασία τους, υπό την προϋπόθεση ότι αποδεικνύεται πραγματική ζημία και δεν πρόκειται για απλή συνέπεια της παράβασης.

Το πλήρες κείμενο της απόφασης είναι διαθέσιμο στον ιστότοπο του Δικαστηρίου της Ευρωπαϊκής Ένωσης.