C 683/21 Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos κατά Valstybinė duomenų apsaugos inspekcija

Στην απόφαση αυτή το Δικαστήριο εξ  αφορμής προδικαστικών ερωτημάτων σχετικά με δικαστική προσβολή απόφασης επιβολής προστίμου της Λιθουανικής Αρχής  Προστασίας Δεδομένων στο Εθνικό Κέντρο Δημόσιας Υγείας της Λιθουανίας και σε ιδιωτική εταιρεία που δημιούργησε κατά παραγγελία του Εθνικού Κέντρου Δημόσιας Υγείας εφαρμογή για κινητά τηλέφωνα με σκοπό τη συλλογή  και την παρακολούθηση των δεδομένων προσωπικού χαρακτήρα ατόμων, που είχαν εκτεθεί στον COVID–19, για σκοπούς επιδημιολογικής παρακολούθησης, ως από κοινού υπεύθυνους επεξεργασίας, διευκρίνισε, ότι, προκειμένου να θεωρηθεί ένα φυσικό ή νομικό πρόσωπο ως από κοινού υπεύθυνος επεξεργασίας, πρέπει να εμπίπτει αυτοτελώς στον ορισμό του «υπεύθυνου επεξεργασίας» κατά το άρθρο 4, σημείο 7, του ΓΚΠΔ. Συγκεκριμένα, έκρινε ότι είναι δυνατόν μια οντότητα να χαρακτηρισθεί υπεύθυνος επεξεργασίας, εφόσον έχει  πραγματική συμμετοχή στον καθορισμό των στόχων και του τρόπου της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για δικούς του σκοπούς δίχως απαραίτητα την τήρηση κάποιου ειδικού τύπου. Επεσήμανε περαιτέρω,  ότι το άρθρο 4, σημείο 7, και το άρθρο 26, παράγραφος 1, του ΓΚΠΔ έχουν την έννοια ότι ο χαρακτηρισμός δύο οντοτήτων ως από κοινού υπευθύνων επεξεργασίας δεν προϋποθέτει την ύπαρξη ρητής, έγγραφης συμφωνίας μεταξύ τους για τον καθορισμό των σκοπών και των μέσων της επίμαχης επεξεργασίας δεδομένων προσωπικού χαρακτήρα ούτε την ύπαρξη συμφωνίας η οποία να καθορίζει τους όρους που διέπουν την από κοινού ευθύνη για την επεξεργασία. Τούτο, ενώ αποτελεί υποχρέωση τήρησης του νόμου, δεν συνιστά προαπαιτούμενο για τον χαρακτηρισμό τους. Ωστόσο, το Δικαστήριο σημείωσε, ότι η ύπαρξη από κοινού ευθύνης δεν συνεπάγεται κατ’ ανάγκη ότι η ευθύνη την οποία υπέχουν οι διάφοροι φορείς που εμπλέκονται σε μια επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι ισοδύναμη.