Το δικαίωμα σε δίκαιη δίκη μπορεί να δικαιολογεί τη χρήση παρανόμως συλλεγέντων προσωπικών δεδομένων ως αποδεικτικών στοιχείων (ΔΕΕ C-484/24 - NTH Haustechnik)

Μια σημαντική απόφαση σχετικά με την επεξεργασία δεδομένων από τα δικαστήρια εξέδωσε το Δικαστήριο της Ευρωπαϊκής Ένωσης, μετά από προδικαστική αίτηση δικαστηρίου εργατικών διαφορών της Κάτω Σαξονίας.

Η υπόθεση ανέκυψε στο πλαίσιο εργατικής διαφοράς μεταξύ γερμανικής εταιρείας και πρώην εργαζομένης της, με αντικείμενο αξίωση αποζημίωσης λόγω φερόμενης μη εξουσιοδοτημένης μεταπώλησης περιουσιακών στοιχείων της εταιρείας.

Το ιστορικό της υπόθεσης

Η εταιρεία NTH Haustechnik δραστηριοποιείται στον τομέα της θέρμανσης και του κλιματισμού. Η εργαζόμενη EM, η οποία ήταν σύζυγος του διαχειριστή της εταιρείας, αποχώρησε από την επιχείρηση τον Οκτώβριο του 2019, αλλά συνέχισε να έχει πρόσβαση στις εγκαταστάσεις και στους υπολογιστές της μέχρι τον χωρισμό του ζεύγους τον Ιούνιο του 2022.

Μετά τον χωρισμό, η εταιρεία υποστήριξε ότι διαπιστώθηκε πως η EM είχε πωλήσει μέσω της πλατφόρμας eBay αγαθά τα οποία ανήκαν στην επιχείρηση, προκαλώντας ζημία που, σύμφωνα με τους ισχυρισμούς της, ανερχόταν σε δεκάδες χιλιάδες ευρώ. Η EM αμφισβήτησε τους ισχυρισμούς αυτούς, υποστηρίζοντας ότι επρόκειτο κυρίως για επιστραφέντα, ελαττωματικά ή παρωχημένα προϊόντα που της είχαν παραχωρηθεί από την εταιρεία.

Το κρίσιμο ζήτημα ήταν ο τρόπος με τον οποίο η εταιρεία απέκτησε πρόσβαση στα στοιχεία αυτά. Σύμφωνα με το αιτούν δικαστήριο, η NTH πληροφορήθηκε τις πωλήσεις αποκτώντας πρόσβαση στον προσωπικό λογαριασμό της EM στο eBay, χρησιμοποιώντας το αναγνωριστικό και τον κωδικό πρόσβασής της. Η νομιμότητα της συλλογής των σχετικών δεδομένων αμφισβητήθηκε, ενώ το εθνικό δικαστήριο δεν απέκλεισε το ενδεχόμενο η αρχική συλλογή να ήταν παράνομη.

Τα προδικαστικά ερωτήματα

Το γερμανικό δικαστήριο ζήτησε από το ΔΕΕ να διευκρινίσει, μεταξύ άλλων, εάν οι εθνικοί δικονομικοί κανόνες που διέπουν τη λήψη και αξιολόγηση αποδεικτικών μέσων παρέχουν επαρκή νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα δικαστήρια. Ειδικότερα, διερωτήθηκε αν απαιτούνται ειδικότερες νομοθετικές ρυθμίσεις που να καθορίζουν τις προϋποθέσεις υπό τις οποίες μπορούν να χρησιμοποιηθούν αποδεικτικά μέσα τα οποία περιέχουν προσωπικά δεδομένα και έχουν ενδεχομένως αποκτηθεί κατά παράβαση του ΓΚΠΔ.

Το αιτούν δικαστήριο ζήτησε επίσης να αποσαφηνιστεί αν το άρθρο 17 παρ. 3 στοιχ. ε ́ ΓΚΠΔ, το οποίο προβλέπει εξαίρεση από το δικαίωμα διαγραφής όταν η επεξεργασία είναι αναγκαία για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων, μπορεί να αποτελέσει αυτοτελή νομική βάση επεξεργασίας δεδομένων από τα δικαστήρια.

Παράλληλα, τέθηκαν ερωτήματα σχετικά με την εφαρμογή της αρχής της ελαχιστοποίησης των δεδομένων, τη σημασία του χρόνου διατήρησης των δεδομένων, τις συνέπειες της παράνομης αρχικής συλλογής τους, την τήρηση των υποχρεώσεων ενημέρωσης του άρθρου 13 ΓΚΠΔ και τη δυνατότητα επίκλησης παραβιάσεων δικαιωμάτων τρίτων προσώπων.

Η κρίση του Δικαστηρίου

Το Δικαστήριο εισαγωγικώς έκρινε ότι η εξέταση αποδεικτικών στοιχείων από εθνικό δικαστήριο συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα, όταν τα στοιχεία αυτά περιέχουν τέτοια δεδομένα και εντάσσονται σε δικογραφία ή υποβάλλονται σε ηλεκτρονική επεξεργασία. Κατά συνέπεια, η δικαστική λειτουργία δεν εξαιρείται, κατ’ αρχήν, από το πεδίο εφαρμογής του ΓΚΠΔ.

Όπως επισημάνθηκε, η ανεξαρτησία των δικαστηρίων δεν συνεπάγεται εξαίρεση από τις ουσιαστικές απαιτήσεις του κανονισμού, αφού τα δικαστήρια οφείλουν να τηρούν τις αρχές του ΓΚΠΔ όταν επεξεργάζονται δεδομένα προσωπικού χαρακτήρα στο πλαίσιο της απονομής της δικαιοσύνης.

Η νομική βάση της επεξεργασίας από τα δικαστήρια

Το κεντρικό ερώτημα ήταν αν η εθνική δικονομική νομοθεσία παρέχει επαρκή νομική βάση για την επεξεργασία των δεδομένων ή αν απαιτείται ειδικότερη νομοθετική ρύθμιση.

Το ΔΕΕ έκρινε ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα δικαστήρια κατά την εξέταση αποδεικτικών στοιχείων εμπίπτει κατ’ αρχήν στο άρθρο 6 παρ. 1 στοιχ. γ ́ ΓΚΠΔ, καθώς συνδέεται με την υποχρέωση του δικαστηρίου να αποφανθεί επί του παραδεκτού των αποδεικτικών μέσων και να τα αξιολογήσει στο πλαίσιο της δικαιοδοτικής του λειτουργίας. Το Δικαστήριο ανέτρεψε τη βεβαιότητα που είχε εκφράσει το αιτούν δικαστήριο ως προς τη εφαρμογή της νομικής βάσης της εκπλήρωσης καθήκοντος που εκτελείται προς το δημόσιο συμφέρον (άρθρο 6 παρ.1ε’ ΓΚΠΔ), επισημαίνοντας πως η επίμαχη επεξεργασία πραγματοποιείται σε συμμόρφωση με εκ του νόμου υποχρέωση.

Κατά το Δικαστήριο, η υποχρέωση του εθνικού δικαστή να εξετάζει το παραδεκτό των αποδεικτικών μέσων, να εκτιμά την αποδεικτική τους αξία και να επιλύει τη διαφορά συνιστά τέτοια έννομη υποχρέωση. Επομένως, η επεξεργασία των δεδομένων που περιλαμβάνονται στα επίδικα αποδεικτικά στοιχεία μπορεί να είναι νόμιμη, εφόσον είναι αναγκαία για την εκπλήρωση των καθηκόντων αυτών.

Το ΔΕΕ διευκρίνισε επίσης ότι το δίκαιο της Ένωσης δεν απαιτεί πάντοτε ειδική νομοθετική διάταξη η οποία να ρυθμίζει λεπτομερώς κάθε περίπτωση χρήσης προσωπικών δεδομένων στη δίκη. Αρκεί η εθνική νομοθεσία, σε συνδυασμό με πάγια και προβλέψιμη νομολογία, να καθορίζει με επαρκή σαφήνεια τις περιστάσεις υπό τις οποίες τα δικαστήρια μπορούν να λαμβάνουν υπόψη τέτοια στοιχεία.

Το άρθρο 17 παρ. 3 στοιχ. ε ́ ΓΚΠΔ δεν αποτελεί αυτοτελή βάση επεξεργασίας

Το αιτούν δικαστήριο είχε ζητήσει να διευκρινιστεί αν η εξαίρεση του άρθρου 17 παρ. 3 στοιχ. ε ́ ΓΚΠΔ, η οποία επιτρέπει τη διατήρηση δεδομένων όταν αυτό είναι αναγκαίο για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων, μπορεί να λειτουργήσει ως αυτοτελής βάση νομιμότητας.

Το ΔΕΕ απάντησε αρνητικά. Κατά την κρίση του, η διάταξη αυτή ρυθμίζει αποκλειστικά το ζήτημα της διαγραφής δεδομένων και προσδιορίζει τις περιπτώσεις στις οποίες το υποκείμενο δεν μπορεί να απαιτήσει τη διαγραφή τους, χωρίς όμως να δημιουργεί μια νέα νομική βάση επεξεργασίας, πέραν εκείνων που απαριθμούνται εξαντλητικά στο άρθρο 6 παρ. 1 ΓΚΠΔ.

Επομένως, ακόμη και όταν τα δεδομένα είναι αναγκαία για δικαστική αξίωση, η επεξεργασία τους πρέπει να στηρίζεται σε μία από τις προβλεπόμενες βάσεις νομιμότητας του άρθρου 6.

Η σημασία της παράνομης αρχικής συλλογής των δεδομένων

Κεντρικό ζήτημα της απόφασης αποτέλεσε το αν ένα εθνικό δικαστήριο μπορεί να λάβει υπόψη αποδεικτικά στοιχεία που περιέχουν δεδομένα προσωπικού χαρακτήρα, όταν τα δεδομένα αυτά έχουν προηγουμένως συλλεγεί ή χρησιμοποιηθεί παρανόμως από τον διάδικο που τα προσκομίζει. Το ΔΕΕ αντιμετώπισε το ζήτημα διακρίνοντας μεταξύ της αρχικής επεξεργασίας από τον διάδικο και της μεταγενέστερης επεξεργασίας από το δικαστήριο.

Κατά το Δικαστήριο, ο ΓΚΠΔ δεν θεσπίζει γενική και απόλυτη απαγόρευση χρήσης τέτοιων αποδεικτικών στοιχείων στη δικαστική διαδικασία. Το γεγονός ότι τα δεδομένα αποκτήθηκαν κατά προσβολή της ιδιωτικής ζωής ή του δικαιώματος προστασίας δεδομένων δεν συνεπάγεται αυτομάτως ότι το δικαστήριο υποχρεούται να τα αγνοήσει ή να τα αποκλείσει από τη δικογραφία.

Η κρίση αυτή στηρίζεται στην ιδιαιτερότητα της δικαστικής επεξεργασίας. Όταν τα δεδομένα υποβάλλονται στο δικαστήριο ως μέρος αποδεικτικού υλικού, το δικαστήριο δεν τα επεξεργάζεται για τον ίδιο σκοπό με εκείνον του διαδίκου που τα συνέλεξε, καθώς η επεξεργασία από το δικαστήριο συνδέεται με την άσκηση της δικαιοδοτικής του αρμοδιότητας: την εξέταση του παραδεκτού των αποδεικτικών μέσων, την εκτίμηση της λυσιτέλειάς τους και, εφόσον αυτά κριθούν παραδεκτά κατά το εθνικό δικονομικό δίκαιο, τη συνεκτίμησή τους για την έκδοση της απόφασης.

Το ΔΕΕ δέχθηκε ότι η επεξεργασία αυτή μπορεί, κατ’ αρχήν, να στηριχθεί στο άρθρο 6 παρ. 1 στοιχ. γ ́ ΓΚΠΔ, δηλαδή στην αναγκαιότητα συμμόρφωσης του δικαστηρίου με έννομη υποχρέωση. Η υποχρέωση αυτή απορρέει από τον ρόλο του δικαστή να εξετάζει τα αποδεικτικά μέσα που προτείνουν οι διάδικοι και να αποφαίνεται επί της διαφοράς. Κατά συνέπεια, η ενδεχόμενη παρανομία της προηγούμενης συλλογής δεν αποκλείει αφ’ εαυτής τη μεταγενέστερη δικαστική επεξεργασία.

Το Δικαστήριο συνέδεσε την προσέγγιση αυτή με το δικαίωμα σε δίκαιη δίκη. Οι διάδικοι πρέπει, κατ’ αρχήν, να έχουν τη δυνατότητα να προτείνουν τα αποδεικτικά μέσα που θεωρούν λυσιτελή για την υποστήριξη των ισχυρισμών τους. Αν τα δικαστήρια ήταν υποχρεωμένα να αποκλείουν αυτομάτως κάθε αποδεικτικό στοιχείο που περιέχει παρανόμως αποκτηθέντα δεδομένα, θα μπορούσε να θιγεί η δυνατότητα αποτελεσματικής δικαστικής προστασίας.

Η εφαρμογή της αρχής της ελαχιστοποίησης των δεδομένων στη δικαστική διαδικασία

Ιδιαίτερη έμφαση έδωσε το ΔΕΕ στην αρχή της ελαχιστοποίησης των δεδομένων του άρθρου 5 παρ. 1 στοιχ. γ ́ ΓΚΠΔ, η οποία εξακολουθεί να δεσμεύει τα δικαστήρια ακόμη και όταν αυτά επεξεργάζονται δεδομένα προσωπικού χαρακτήρα στο πλαίσιο της απονομής της δικαιοσύνης.

Κατά το Δικαστήριο, η διαπίστωση ότι ένα αποδεικτικό στοιχείο μπορεί να ληφθεί υπόψη στη δικαστική διαδικασία δεν σημαίνει ότι όλα τα δεδομένα προσωπικού χαρακτήρα που περιέχει μπορούν να χρησιμοποιηθούν χωρίς περιορισμούς. Το εθνικό δικαστήριο οφείλει να εξετάζει κατά πόσον τα δεδομένα είναι κατάλληλα, συναφή και περιορίζονται σε όσα είναι αναγκαία για την εξέταση της συγκεκριμένης διαφοράς και την έκδοση της απόφασής του.

Η υποχρέωση αυτή δεν αφορά μόνο την αξιολόγηση των αποδεικτικών στοιχείων, αλλά και τον τρόπο με τον οποίο αυτά εντάσσονται στη δικογραφία και καθίστανται προσβάσιμα στους διαδίκους ή σε τρίτα πρόσωπα. Το ΔΕΕ επισημαίνει ότι η επεξεργασία πρέπει να περιορίζεται στο μέτρο που είναι απολύτως αναγκαίο για την άσκηση της δικαιοδοτικής λειτουργίας και ότι τα δικαστήρια οφείλουν να εξετάζουν αν ο επιδιωκόμενος σκοπός μπορεί να επιτευχθεί με λιγότερο παρεμβατικά μέσα.

Στο πλαίσιο αυτό, το Δικαστήριο αναφέρεται σε μέτρα όπως η ανωνυμοποίηση ή η ψευδωνυμοποίηση των δεδομένων, καθώς και σε κάθε άλλο μέτρο που μπορεί να μειώσει την επέμβαση στα δικαιώματα των υποκειμένων των δεδομένων χωρίς να υπονομεύει την αποτελεσματική απονομή της δικαιοσύνης και την τήρηση της αρχής της εκατέρωθεν ακρόασης.

Η αρχή της ελαχιστοποίησης αποκτά ιδιαίτερη σημασία κατά τη γνωστοποίηση των δεδομένων στους διαδίκους, κατά την πρόσβαση τρίτων στη δικογραφία, καθώς και κατά τη σύνταξη, δημοσίευση ή κοινοποίηση των δικαστικών αποφάσεων. Κατά τα στάδια αυτά, τα εθνικά δικαστήρια οφείλουν να σταθμίζουν την ανάγκη διασφάλισης της διαφάνειας και των δικαιωμάτων άμυνας με την προστασία των δεδομένων προσωπικού χαρακτήρα των εμπλεκομένων προσώπων.

Οι υποχρεώσεις ενημέρωσης και η προστασία των δεδομένων τρίτων προσώπων

Το ΔΕΕ εξέτασε επίσης τις συνέπειες που μπορεί να έχει για τη δικαστική αξιοποίηση αποδεικτικών στοιχείων η μη τήρηση των υποχρεώσεων διαφάνειας που προβλέπει ο ΓΚΠΔ. Ειδικότερα, το αιτούν δικαστήριο ζήτησε να διευκρινιστεί αν η παράβαση των υποχρεώσεων ενημέρωσης του άρθρου 13 ΓΚΠΔ από το πρόσωπο που συνέλεξε τα δεδομένα προσωπικού χαρακτήρα επηρεάζει τη δυνατότητα χρήσης των δεδομένων αυτών στο πλαίσιο της δικαστικής διαδικασίας.

Το Δικαστήριο έκρινε ότι η παράλειψη ενημέρωσης του υποκειμένου των δεδομένων, ακόμη και αν συνιστά παράβαση του ΓΚΠΔ, δεν συνεπάγεται αυτομάτως ότι τα σχετικά αποδεικτικά στοιχεία καθίστανται απαράδεκτα ή ότι το δικαστήριο υποχρεούται να αρνηθεί να τα λάβει υπόψη. Η ύπαρξη παράβασης των υποχρεώσεων ενημέρωσης αποτελεί ζήτημα διακριτό από τη νομιμότητα της επεξεργασίας που πραγματοποιεί το ίδιο το δικαστήριο κατά την άσκηση της δικαιοδοτικής του λειτουργίας. Κατά συνέπεια, η μη συμμόρφωση του αρχικού συλλέκτη των δεδομένων προς τις απαιτήσεις του άρθρου 13 ΓΚΠΔ δεν αρκεί, από μόνη της, για να αποκλείσει τη δικαστική αξιοποίηση των στοιχείων αυτών.

Περαιτέρω, το ΔΕΕ ασχολήθηκε με το ενδεχόμενο τα προσκομιζόμενα αποδεικτικά στοιχεία να περιέχουν δεδομένα προσωπικού χαρακτήρα προσώπων που δεν είναι διάδικοι στη συγκεκριμένη δίκη. Το Δικαστήριο υπογράμμισε ότι οι εγγυήσεις του ΓΚΠΔ δεν περιορίζονται στα πρόσωπα που συμμετέχουν στη διαδικασία, αλλά εκτείνονται και σε κάθε τρίτο πρόσωπο του οποίου τα δεδομένα περιλαμβάνονται στα επίδικα στοιχεία. Ως εκ τούτου, τα εθνικά δικαστήρια οφείλουν να λαμβάνουν υπόψη και τα δικαιώματα των προσώπων αυτών κατά την επεξεργασία, γνωστοποίηση ή ενσωμάτωση των δεδομένων στη δικογραφία.

Ωστόσο, το Δικαστήριο προχώρησε σε μια σημαντική διάκριση μεταξύ της ουσιαστικής προστασίας των δικαιωμάτων των τρίτων και της δικονομικής δυνατότητας επίκλησής τους. Ειδικότερα, έκρινε ότι το δίκαιο της Ένωσης δεν επιβάλλει στα κράτη μέλη να αναγνωρίζουν σε έναν διάδικο το δικαίωμα να επικαλείται, προς όφελός του, παραβιάσεις των δικαιωμάτων προστασίας δεδομένων που αφορούν άλλα πρόσωπα. Το γεγονός ότι ένα αποδεικτικό στοιχείο ενδέχεται να περιέχει δεδομένα τρίτων ή να θίγει τα δικαιώματά τους δεν σημαίνει κατ’ ανάγκην ότι ένας διάδικος μπορεί να ζητήσει τον αποκλεισμό του επικαλούμενος τις παραβιάσεις αυτές.

Το πλήρες κείμενο της απόφασης είναι διαθέσιμο στον ιστότοπο του ΔΕΕ