Πρόσβαση σε προσωπικά δεδομένα που τηρούν οι Μονάδες Χρηματοοικονομικών Πληροφοριών: Εφαρμοστέα η Οδηγία για την επιβολή του νόμου (ΔΕΕ C-222/25)

Δημοσιεύθηκαν οι προτάσεις της Γενικής Εισαγγελέως Laila Medina στην υπόθεση Rahapesu Andmebüroo, σύμφωνα με τις οποίες η Οδηγία για την Επιβολή του Νόμου (Law Enforcement Directive) εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις Μονάδες Χρηματοοικονομικών Πληροφοριών (Financial Intelligence Units - FIUs) κατά την άσκηση της αποστολής τους για την πρόληψη, τον εντοπισμό και την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας (ΔΕΕ C-222/25).

Η πρόσβαση των υποκειμένων των δεδομένων στα δεδομένα που επεξεργάζονται οι ΜΧΠ μπορεί να περιοριστεί, υπό την προϋπόθεση ότι υπάρχουν οι αναγκαίες διασφαλίσεις για την πρόληψη καταχρήσεων.

Ιστορικό υπόθεσης

Τον Δεκέμβριο του 2019 και τον Ιανουάριο του 2020, η Εσθονική Μονάδα Χρηματοοικονομικών Πληροφοριών (RAB) απέρριψε δύο αιτήματα του X για πρόσβαση στις πληροφορίες που τηρούσε η εν λόγω μονάδα σχετικά με την ανταλλαγή πληροφοριών που τον αφορούσαν με χρηματοπιστωτικά ιδρύματα ή αλλοδαπές αρχές. Ο X προσέβαλε την απόφαση ενώπιον των εθνικών δικαστηρίων και το Ανώτατο Δικαστήριο της Εσθονίας τελικά έκρινε υπέρ του, κρίνοντας ότι ο ΓΚΠΔ εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις μονάδες χρηματοοικονομικών πληροφοριών.

Στο μεταξύ, ο X υπέβαλε νέο αίτημα πρόσβασης στην RAB σχετικά με τυχόν εν εξελίξει έρευνες που τον αφορούν. Η RAB αρνήθηκε εκ νέου την πρόσβαση. Έπειτα από καταγγελία του X, η Εσθονική Αρχή Προστασίας Δεδομένων (AKI) διέταξε την RAB να επανεξετάσει την απόφασή της και να παράσχει στον X πρόσβαση στις ζητούμενες πληροφορίες. Ωστόσο, η RAB εξακολούθησε να αρνείται τη γνωστοποίηση, διατηρώντας με σειρά αποφάσεων την υποχρέωσή της να τηρεί το απόρρητο των πληροφοριών που περιέχονται στη βάση δεδομένων της, προκειμένου να προστατεύσει το εσθονικό χρηματοπιστωτικό σύστημα.

Ο X προσέβαλε τις εν λόγω αρνήσεις ενώπιον των εθνικών δικαστηρίων. Τόσο σε πρώτο όσο και σε δεύτερο βαθμό, τα δικαστήρια διέταξαν την RAB να γνωστοποιήσει τις ζητούμενες πληροφορίες. Η RAB άσκησε έφεση κατά της απόφασης ενώπιον του Ανώτατου Δικαστηρίου της Εσθονίας, το οποίο υπέβαλε προδικαστικά ερωτήματα στο Δικαστήριο της Ευρωπαϊκής Ένωσης σχετικά με το νομικό πλαίσιο της ΕΕ που διέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις μονάδες χρηματοοικονομικών πληροφοριών.

Τα ερωτήματα αφορούν, κατ' ουσίαν, το ποιοι κανόνες της ΕΕ για την προστασία των δεδομένων εφαρμόζονται, το κατά πόσον η πρόσβαση στις πληροφορίες μπορεί να αναβληθεί έως την καταστροφή τους, το κατά πόσον μια μονάδα χρηματοοικονομικών πληροφοριών μπορεί να αρνηθεί την εν λόγω πρόσβαση και υπό ποιες συνθήκες ένας τέτοιος περιορισμός είναι σύννομος.

Οι προτάσεις της Γεν. Εισαγγελέως

Η Γενική Εισαγγελέας Laila Medina προσδιορίζει το νομικό πλαίσιο που εφαρμόζεται στις Μονάδες Χρηματοοικονομικών Πληροφοριών, όπως η RAB. Τονίζει ότι πρέπει να επιτευχθεί η δέουσα ισορροπία μεταξύ του περιορισμού της πρόσβασης στα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται η δημόσια αρχή κατά την επιδίωξη των νόμιμων σκοπών της και της προστασίας από κάθε κατάχρηση, παράνομη πρόσβαση ή κακή χρήση των δεδομένων αυτών.

Πρώτον, η Γεν. Εισαγγελέας υπενθυμίζει ότι ο ΓΚΠΔ αποκλείει την εφαρμογή του γενικού πλαισίου προστασίας δεδομένων όταν πληρούνται δύο συγκεκριμένες προϋποθέσεις: (α) η επεξεργασία διενεργείται από δημόσια αρχή αρμόδια για την πρόληψη, τη διερεύνηση, τον εντοπισμό ή τη δίωξη ποινικών αδικημάτων ή την εκτέλεση ποινικών κυρώσεων, καθώς και από κάθε άλλο όργανο ή οντότητα στην οποία το εθνικό δίκαιο έχει ανατεθεί δημόσια εξουσία ή αρμοδιότητα για τους ίδιους σκοπούς, και (β) η πράξη επεξεργασίας πραγματοποιείται για τους σκοπούς της πρόληψης, της διερεύνησης, του εντοπισμού ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων. Όταν πληρούνται και τα δύο κριτήρια, η επεξεργασία των δεδομένων υπάγεται στο ειδικό καθεστώς της ΕΕ, δηλαδή στην Οδηγία 2016/680.

Οι ΜΧΠ, κατά την άσκηση της αποστολής τους για την πρόληψη, τον εντοπισμό και την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας, πληρούν και τα δύο αυτά κριτήρια και, ως εκ τούτου, χαρακτηρίζονται ως αρμόδιες αρχές. Ο χαρακτηρισμός αυτός δεν εξαρτάται από την οργανωτική δομή της ΜΧΠ. Πράγματι, η νομοθεσία της ΕΕ για την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες και της χρηματοδότησης της τρομοκρατίας απαιτεί οι ΜΧΠ να λειτουργούν ως ανεξάρτητοι και αυτόνομοι φορείς, με εκτεταμένες εξουσίες για τη συλλογή πληροφοριών από τις αρχές επιβολής του νόμου και για την ταχεία και αποφασιστική δράση κατά συναλλαγών που διευκολύνουν τη νομιμοποίηση εσόδων από παράνομες δραστηριότητες ή τη χρηματοδότηση της τρομοκρατίας. Οι αποστολές, οι λειτουργίες και οι εξουσίες των ΜΧΠ καταδεικνύουν τη σημασία του ρόλου τους στον εντοπισμό και την πρόληψη του εγκλήματος στον συγκεκριμένο τομέα.

Δεύτερον, σύμφωνα με το δίκαιο της Ένωσης, η πλήρης απαγόρευση της πρόσβασης στα δεδομένα προσωπικού χαρακτήρα που τηρούν οι ΜΧΠ μπορεί να συμβιβάζεται με την αποστολή τους να διασφαλίζουν αυστηρή εμπιστευτικότητα. Ωστόσο, κάθε τέτοιος περιορισμός πρέπει να τηρεί την αρχή της αναλογικότητας, η οποία απαιτεί να περιορίζεται, ως προς το εύρος και τη διάρκεια, σε ό,τι είναι αναγκαίο για την επίτευξη του νόμιμου σκοπού. Πρέπει επίσης να θεμελιώνεται σε νομοθεσία που προβλέπει σαφείς και ακριβείς κανόνες για το πεδίο και την εφαρμογή του. Η νομοθεσία αυτή πρέπει να προβλέπει τις ελάχιστες αναγκαίες διασφαλίσεις για την πρόληψη της κατάχρησης δεδομένων ή της παράνομης πρόσβασης και να επιτρέπει στην εποπτική αρχή και στα δικαστήρια να ασκούν αποτελεσματικό έλεγχο επί των αποφάσεων περιορισμού.

Οι προϋποθέσεις για τον περιορισμό των δικαιωμάτων πρόσβασης, με σκοπό την προστασία από την κακή χρήση ή την παράνομη πρόσβαση, μπορούν να καθορίζονται όχι μόνο σε μία ενιαία νομοθετική πράξη, αλλά και σε ένα συνεκτικό σύνολο νομοθετικών και δευτερογενών πράξεων που από κοινού προσδιορίζουν τους περιορισμούς, υπό την προϋπόθεση ότι το σύνολο αυτό επιτρέπει σαφή και ακριβή κατανόηση του εύρους του περιορισμού και ότι αυτός είναι προβλέψιμος για τα πρόσωπα στα οποία απευθύνεται. Ωστόσο, στην προκειμένη περίπτωση, δεν φαίνεται ότι το εφαρμοστέο νομικό πλαίσιο καθορίζει σαφείς προϋποθέσεις για τον περιορισμό του δικαιώματος πρόσβασης. Εναπόκειται στο εθνικό δικαστήριο να εκτιμήσει εάν οι εν λόγω περιορισμοί συνάδουν με τα πρότυπα που θέτει το δίκαιο της ΕΕ.

Τρίτον, προκειμένου να αντισταθμιστεί η απουσία άμεσου δικαιώματος πρόσβασης, τα δικαιώματα των υποκειμένων των δεδομένων πρέπει να προστατεύονται εμμέσως μέσω της εποπτικής αρχής. Η αρχή αυτή πρέπει να έχει την εξουσία να διεξάγει εμπιστευτικές συζητήσεις με τις ΜΧΠ, ώστε να προσδιορίζει επακριβώς ποια δεδομένα είναι απαραίτητα για να μπορέσει το υποκείμενο των δεδομένων να ασκήσει αποτελεσματική δικαστική προσφυγή.

Τέλος, το δίκαιο της ΕΕ επιτρέπει στις ΜΧΠ να απορρίπτουν αίτημα πρόσβασης υποκειμένου των δεδομένων χωρίς να αιτιολογούν την άρνησή τους, όταν η γνωστοποίηση θα έθετε σε κίνδυνο το δημόσιο συμφέρον. Σε τέτοιες περιπτώσεις, ωστόσο, η ΜΧΠ οφείλει να ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητα έμμεσης άσκησης των δικαιωμάτων του μέσω της εποπτικής αρχής.

Οι προτάσεις είναι διαθέσιμες στο curia.europa.eu.