Αυτεπάγγελτος έλεγχος κατόπιν αιτήματος του Λιμενικού Σώματος για γνωμοδότηση της Αρχής

Αθήνα, 28-11-2025 Αριθ. Πρωτ.: 4131 ΑΠΟΦΑΣΗ 29/2025 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση την Τρίτη 17-06-2025 και ώρα 11:30π.μ. προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος, τα τακτικά μέλη Σπυρίδων Βλαχόπουλος, Κωνσταντίνος Λαμπρινουδάκης, Αικατερίνη Ηλιάδου, και Γρηγόριος Τσόλιας και Χρήστος Καλλονιάτης, ως εισηγητές, καθώς και το αναπληρωματικό μέλος Νικόλαος Λίβος, σε αντικατάσταση του Χαράλαμπου Ανθόπουλου, ο οποίος αν και εκλήθη νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Παρόντες, χωρίς δικαίωμα ψήφου, ήταν ο Ιωάννης Λυκοτραφίτης, ειδικός επιστήμονας - πληροφορικός, η Στεφανία Πλώτα, ειδική επιστήμονας - δικηγόρος, ως βοηθοί εισηγητών και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κατωτέρω: Με την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/2322/15-02-2022 αίτηση και τα σχετικά σε αυτήν έγγραφα, την οποία «συνυπογράφουν οι οργανώσεις της κοινωνίας των πολιτών Ελληνική Ένωση για τα Δικαιώματα του Ανθρώπου, HIAS Ελλάδος, Homo Digitalis και Privacy International από κοινού με τον ερευνητή Α» (εφεξής «αιτούντες») υπέβαλαν αίτημα προς την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (εφεξής «Αρχή») «για την άσκηση των εξουσιών έρευνας και την έκδοση σχετικής Γνωμοδότησης επί της προμήθειας από το Λιμενικό Σώμα Λογισμικού Συλλογής δεδομένων από μέσα κοινωνικής δικτύωσης» (εφεξής 1 «λογισμικό») που αποτελούσε ένα από τα παραδοτέα της υπ’ αρ. 01/2022 Διακήρυξης 1 στο πλαίσιο του προγράμματος «Ταμείο Εσωτερικής Ασφάλειας» (Internal Security Fund – ISF) της Ευρωπαϊκής Επιτροπής. Οι αιτούντες αναφέρουν, μεταξύ άλλων, ότι «με το εν λόγω λογισμικό επιδιώκεται η παρακολούθηση ενός απροσδιόριστα μεγάλου αριθμού χρηστών των συγκεκριμένων κοινωνικών δικτύων, και η συλλογή, επεξεργασία και ανάλυση των πληροφοριών τους, χωρίς να αναφέρεται ο σκοπός των πράξεων επεξεργασίας, οι νομικές βάσεις που τις επιτρέπουν καθώς και οποιεσδήποτε άλλες διασφαλίσεις για την προστασία των προσωπικών δεδομένων, όπως ρητά έχει αναφέρει ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων σε υπόθεση παρόμοιου λογισμικού που διατηρούσε η Ευρωπαϊκή Υπηρεσία Υποστήριξης για το Άσυλο (EASO)

1. Άρα, η προμήθεια του συγκεκριμένου λογισμικού θα αποτελέσει ξεκάθαρη πρόκληση για τον σεβασμό της αρχής της νομιμότητας της επεξεργασίας, την αρχή του περιορισμού του σκοπού της επεξεργασίας και την αρχή της αναλογικότητας (ελαχιστοποίηση δεδομένων), όπως αυτές περιγράφονται στην ενωσιακή και εθνική νομοθεσία». Επίσης, οι αιτούντες αναφέρουν ότι «η δημιουργία ψευδούς λογαριασμού που προσομοιώνει ανθρώπινη δραστηριότητα είναι αντίθετη με τους όρους χρήσης των μέσων κοινωνικής δικτύωσης και ανταλλαγής μηνυμάτων που αναφέρονται στην διακήρυξη, ενώ το αρχείο αναζητήσεων τρίτων λογαριασμών αποτελεί άκρως παρεμβατική δραστηριότητα που δεν προκύπτει από τα δεδομένα που είναι διαθέσιμα σε ένα δημόσιο προφίλ (όπως πχ μία δημόσια φωτογραφία προφίλ ή μία ανάρτηση)» και ότι «ο Ευρωπαϊκός Οργανισμός Συνοριοφυλακής και Ακτοφυλακής (FRONTEX) είχε αποσύρει το 2019 σχετική προκήρυξη για την προμήθεια αντίστοιχου λογισμικού συλλογής δεδομένων από μέσα κοινωνικής δικτύωσης, έπειτα από επιτυχημένη δράση της Privacy International 3» και θεωρούν ότι η προμήθεια και η χρήση του εν θέματι λογισμικού ενδέχεται να προκαλέσει σοβαρή παραβίαση των δικαιωμάτων και των ελευθεριών ενός απροσδιόριστα μεγάλου Διακήρυξη αριθ. 01/2022 Ηλεκτρονικού, Ανοικτού, Διεθνούς Διαγωνισμού για την προμήθεια με τίτλο «Αναβάθμιση/συντήρηση computer room της Διεύθυνσης Ασφάλειας και Προστασίας Θαλασσίων Συνόρων (Δ.Α.Π.ΘΑ.Σ.) του Αρχηγείου Λ.Σ.-ΕΛ.ΑΚΤ. και ενίσχυση φυσικής και λογικής ασφάλειας». 2 European Data Protection Supervisor, Social media monitoring reports: Letter concerning a consultation on EASO's social media monitoring reports, 2019, Διαθέσιμο εδώ https://edps.europa.eu/data-protection/our-work/publications/consultations/social-mediamonitoring-reports_en 3 Privacy International, #PrivacyWins: EU Border Guards Cancel Plans to Spy on Social Media (for now), 2019, Διαθέσιμο εδώ https://privacyinternational.org/advocacy/3289/privacywins-eu-borderguards-cancel-plans-spy-social-media-now 1 2 αριθμού υποκειμένων δεδομένων, τα οποία χρησιμοποιούν τα κοινωνικά δίκτυα που θα υποστηρίζει το λογισμικό. Το ανωτέρω αίτημα, ερμηνευόμενο ως ερώτημα περί νομιμότητας επεξεργασίας, εκφεύγει των αρμοδιοτήτων της Αρχής
2. Ωστόσο, λόγω της σπουδαιότητας του θέματος και της κρισιμότητας των προσκομισθέντων στοιχείων, η Αρχή έκρινε ότι πρέπει να επιληφθεί αυτεπάγγελτα και, με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/585/08-03-2022 έγγραφό της κάλεσε το Αρχηγείο του Λιμενικού Σώματος – Ελληνική Ακτοφυλακή (εφεξής «Αρχηγείο Λ.Σ.-ΕΛ.ΑΚΤ.») να παράσχει τις απόψεις του επί του θέματος και ιδίως να προσδιορίσει, μεταξύ άλλων, τη συγκεκριμένη νομική βάση της σκοπούμενης επεξεργασίας, καθώς και τα λοιπά στοιχεία της επεξεργασίας αυτής. Το Αρχηγείο Λ.Σ.-ΕΛ.ΑΚΤ. με το […] απάντησε στην Αρχή ότι […] 5, 6 Τέλος, το Αρχηγείο Λ.Σ.-ΕΛ.ΑΚΤ. αναφέρει ότι εφαρμόζονται όλα τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την επεξεργασία, την ασφαλή αποθήκευση και τη διαγραφή των διαβαθμισμένων δεδομένων, όπως αυτά προβλέπονται από την κείμενη νομοθεσία και εξετάζονται και επικαιροποιούνται σύμφωνα και με το άρθρο 24 του ΓΚΠΔ. Στη συνέχεια η Αρχή απέστειλε το υπ’ αριθμ. πρωτ. Γ/ΕΞ/1623/29-06-2022 έγγραφο με την ένδειξη «Εμπιστευτικό» προς τον Αρχηγό του Λιμενικού Σώματος – Ελληνικής Ακτοφυλακής, επισημαίνοντας σε σχέση με το ζήτημα της εθνικής ασφάλειας ότι σύμφωνα με τη νομολογία της Αρχής7, η Αρχή δεν έχει αρμοδιότητα ελέγχου των πράξεων επεξεργασίας που διενεργούνται για δραστηριότητες που αφορούν την εθνική ασφάλεια, εφόσον συντρέχουν σωρευτικά οι ακόλουθες δυο προϋποθέσεις: α) πρόκειται για πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα, και ορθότερα, πληροφοριών καταχωρημένων σε συστήματα αρχειοθέτησης που έχουν αρμοδίως διαβαθμισθεί και οι οποίες συνιστούν δεδομένα προσωπικού χαρακτήρα και β) πρόκειται για πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διενεργούνται για δραστηριότητες που αφορούν την εθνική ασφάλεια. Προκειμένου η Αρχή να εξετάσει εάν εμπίπτει στην αρμοδιότητά της η εν θέματι σκοπούμενη επεξεργασία, αιτήθηκε να 4 5 Βλ. Απόφαση 52/2018 ΑΠΔ 6 7 […] […] Βλ. Γνωμοδότηση της Αρχής υπ’ αριθ. 5/2020, Απόφαση της Αρχής υπ’ αριθμ. 20/2020 3 παρασχεθούν περαιτέρω πληροφορίες8 αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο και στο μέτρο που θα χρησιμοποιηθεί το Λογισμικό Συλλογής Δεδομένων από μέσα κοινωνικής δικτύωσης, θέτοντας εννέα ερωτήσεις και επισημαίνοντας ότι πέραν των διατάξεων του ΓΚΠΔ και του ν. 4624/2019, σύμφωνα με το άρθρο 10 της Σύμβασης 108 9, προβλέπεται η υποχρέωση των υπευθύνων επεξεργασίας να αποδεικνύουν τη συμμόρφωσή τους με την εν λόγω Σύμβαση στην αρμόδια Αρχή, η οποία σύμφωνα με το ελληνικό Σύνταγμα είναι η Αρχή Προστασίας Δεδομένων και ότι η Αρχή θα διαχειριστεί τις πληροφορίες που θα λάβει ως διαβαθμισμένες εμπιστευτικές. Το Αρχηγείο Λ.Σ.-ΕΛ.ΑΚΤ. απάντησε με […] εμπιστευτικό έγγραφο, ότι αποτελεί, σύμφωνα με το άρθρο 4 παρ. 2 του ν. 4150/2013, Σώμα ένοπλο, στρατιωτικώς οργανωμένο, του οποίου το προσωπικό έχει την ιδιότητα του στρατιωτικού, σύμφωνα με τον Στρατιωτικό Ποινικό Κώδικα, ενώ εφαρμόζονται οι διατάξεις που αφορούν στα άλλα ένοπλα Σώματα, καθώς και οι διατάξεις του άρθρου 129 του Κώδικα Προσωπικού Λιμενικού Σώματος. […]
3. Στο ίδιο έγγραφο αναφέρεται ότι μεταξύ των αρμοδιοτήτων του Αρχηγείου Λ.Σ.-ΕΛ.ΑΚΤ., όπως αυτές πηγάζουν από το π.δ.13/2018, είναι η συνεργασία και ανταλλαγή πληροφοριών με συναρμόδιους ημεδαπούς, αλλοδαπούς και διεθνείς Οργανισμούς και Υπηρεσίες επιβολής του νόμου, ιδίως μέσω των Εθνικών Γραφείων του Διεθνούς Οργανισμού Εγκληματολογικής Αστυνομίας (INTERPOL), της Ευρωπαϊκής Αστυνομικής Υπηρεσίας (EUROPOL) και του Πληροφοριακού Συστήματος Schengen (SIRENE) και ότι στο πλαίσιο αυτό ανταλλάσσονται στοιχεία και πληροφορίες, συμπεριλαμβανομένων και δεδομένων σύμφωνα με το Κεφάλαιο Δ’ του ν. 4624/2019και η από πλευράς του Αρχηγείου Λ.Σ.-ΕΛ.ΑΚΤ. συλλογή των εν λόγω πληροφοριών πραγματοποιείται κατόπιν σχετικών αιτημάτων που του αποστέλλονται από τις Εθνικές Μονάδες των Υπηρεσιών αυτών. Ενόψει των ανωτέρω, η Αρχή κάλεσε με το υπ’ αριθμ. πρωτ. Γ/ΕΞΕ/3535/11-12-2024 έγγραφο το Αρχηγείο του Λιμενικού Σώματος-Ελληνικής Ακτοφυλακής, όπως νομίμως εκπροσωπείται, να παραστεί στη συνεδρίαση της Ολομέλειας της Αρχής στις 17-12-2024, Βλ. Αντίστοιχα ερωτήματα που ετέθησαν από τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων σε υπόθεση παρόμοιου λογισμικού που διατηρούσε η Ευρωπαϊκή Υπηρεσία Υποστήριξης για το Άσυλο (EASO) «European Data Protection Supervisor, Social media monitoring reports: Letter concerning a consultation on EASO's social media monitoring reports, 2019», Διαθέσιμο εδώ https://edps.europa.eu/data-protection/our-work/publications/consultations/social-mediamonitoring-reports_en 9 «Σύμβαση του Συμβουλίου της Ευρώπης για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα» 8 10 […] 4 προκειμένου να λάβει χώρα ακρόαση επί του ενδεχομένου παραβίασης της κείμενης νομοθεσίας για την προστασία των δεδομένων προσωπικού χαρακτήρα, στην οποία παρέστησαν από την Διεύθυνση Ασφάλειας & Προστασίας Θαλασσίων Συνόρων (ΔΑΠΘΑΣ), […]. Οι εκπρόσωποι του Αρχηγείου ΛΣ.-ΕΛ.ΑΚΤ. αφού εξέφρασαν τις απόψεις τους, έλαβαν από τον Πρόεδρο της Ολομέλειας προθεσμία για να υποβάλουν υπόμνημα. Με το υπ’ αρ. πρωτ. […] εμπιστευτικό υπόμνημα, το Αρχηγείο ΛΣ-ΕΛ.ΑΚΤ., συμπληρωματικά σε όσα ανέφερε κατά τη συζήτηση και στα έγγραφα που είχε υποβάλει στην Αρχή, επεσήμανε ότι: i. από την αποστολή του Αρχηγείου ΛΣ.-ΕΛ.ΑΚΤ. σύμφωνα με το άρθρο 5 παρ. 2 περ. β’ του ν. 4150/2013, σε συνδυασμό με τα προβλεπόμενα στο άρθρο 1 παρ. 1 της Οδηγίας (ΕΕ) 2016/680 και στο άρθρο 43 παρ. 1 του 4624/2019, καθίσταται πασιφανές ότι για κάθε πράξη επεξεργασίας που εκτελείται από τον Φορέα για τους προαναφερόμενους σκοπούς τυγχάνει εφαρμογής η εν λόγω Οδηγία ως lex specialis και ο ανωτέρω νόμος 4624/2019 -και όχι ο ΓΚΠΔ- οι διατάξεις δε αυτές αποτελούν επαρκή νομική βάση για την εν λόγω επεξεργασία, καθότι πληρούνται οι προϋποθέσεις που θέτει το άρθρο 45Α του ν. 4624/2019 αφού η επεξεργασία αυτή αφενός βασίζεται σε νόμο και αφετέρου είναι απαραίτητη για την εκτέλεση καθήκοντος που ασκείται από τις αρμόδιες αρχές. ii. το Αρχηγείο Λ.Σ.-ΕΛ.ΑΚΤ. προμηθεύτηκε τα συμβατικά είδη της υπ’ αρ. 01/2022 Διακήρυξης τον Οκτώβριο του 2023 το λογισμικό δε συλλογής δεδομένων από μέσα κοινωνικής δικτύωσης που κατακυρώθηκε ήταν το […] της εταιρείας Freezingdata GmbH, η οποία έως τη σύνταξη του υπομνήματος είχε εξαγοραστεί από την Maltego Technologies GmbH και το εν λόγω λογισμικό έχει μετονομαστεί σε Maltego Evidence. Στο από 22-02-2023 φυλλάδιο της κατασκευάστριας εταιρείας σχετικά με την προστασία δεδομένων αναφέρεται ότι η εν λόγω λογισμική εφαρμογή κατά τη χρήση της δεν μεταφέρει δεδομένα στην ίδια την εταιρεία ή σε τρίτους, ενώ δύναται να έχει πρόσβαση σε αυτά ο χρήστης της εφαρμογής, καθώς και ότι τα δεδομένα που εντοπίζονται είναι δημόσια δημοσιευμένα στα μέσα κοινωνικής δικτύωσης. ενώ δεν έχει πρόσβαση σε ιδιωτικά δεδομένα των χρηστών και δεν μπορεί να παρακάμψει τις πολιτικές ασφαλείας που έχουν θέσει οι χρήστες στους λογαριασμούς τους στα μέσα κοινωνικής δικτύωσης. Προς επίρρωση αυτών προσκομίζεται στην Αρχή το εν λόγω φυλλάδιο και η από 16-12-2024 επιστολή της εταιρείας, ενώ για πληρέστερη ενημέρωση σχετικά με τις λειτουργίες του λογισμικού παρατίθεται ο ακόλουθος σύνδεσμος: https://docs.maltego.com/en/support/solutions/articles/15000058628-introduction-tomaltego-evidence. iii. σχετικά με τη σύγκριση που έκαναν κατά τη συνεδρίαση μέλη της 5 Ολομέλειας μεταξύ του εν θέματι λογισμικού και του «Predator», η χρήση του οποίου σχετίζεται με παραβίαση του απορρήτου των επικοινωνιών, αναφέρεται ότι αυτό είναι συνταγματικό δικαίωμα «απόλυτα απαραβίαστο» (άρθρο19 παρ. 1 εδ. α’ Σ), το οποίο μπορεί να αίρεται μόνο κατόπιν προηγούμενης εντολής αρμόδιου δικαστικού λειτουργού, υπό πολύ συγκεκριμένες προϋποθέσεις, ενώ αντίθετα η διάταξη του αρ. 9Α Σ έχει λιγότερο αυστηρή διατύπωση και δεν απαιτεί για τον περιορισμό του δικαιώματος τόσο επαχθείς προβλέψεις, παρά μόνο αυτές που αναφέρονται στο αρ. 25 παρ. 1 εδ. δ’ Σ. Επίσης, «όπως έχει κριθεί από τη νομολογία, κατ’ εξαίρεση, δεν απαιτείται η συγκατάθεση -άλλα παρέλκει και η προηγούμενη ενημέρωση- του υποκειμένου για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν, όταν, πλην άλλων περιπτώσεων, η επεξεργασία είναι αναγκαία για την εκτέλεση έργου που εμπίπτει στην άσκηση δημόσιας εξουσίας και εκτελείται από δημόσια αρχή. Η απαγόρευση της συλλογής και επεξεργασίας των δεδομένων αυτών αίρεται, πλην άλλων, και όταν η επεξεργασία αφορά σε δεδομένα που το ίδιο το πρόσωπο δημοσιοποιεί, οπότε, στην περίπτωση αυτή, επιτρέπεται η επεξεργασία τους κατόπιν αδείας της Αρχής […] Αντιστοίχως, στο άρθρο 8 παρ. 2 της Ευρωπαϊκής Σύμβασης Δικαιωμάτων του Ανθρώπου, ορίζεται ότι επέμβαση στο δικαίωμα στην ιδιωτική και οικογενειακή ζωή του ατόμου […] επιτρέπεται μόνο εφόσον προβλέπεται από τον νόμο και είναι αναγκαία για την εθνική ασφάλεια, την δημόσια ασφάλεια, την οικονομική ευημερία της χώρας, την προάσπιση της τάξης και την πρόληψη ποινικών παραβάσεων, την προστασία της υγείας ή της ηθικής ή την προστασία των δικαιωμάτων και ελευθεριών άλλων, νομική βάση στην οποία στηρίχθηκε το ΕΔΔΑ στην απόφαση Gardel.» iv. το υπό εξέταση λογισμικό δεν έχει τεθεί σε λειτουργία και χρήση παρά την παραλαβή του εν έτει 2023 εν αναμονή της ολοκλήρωσης της διαδικασίας διερεύνησης της καταγγελίας που έχει υποβληθεί στην Αρχή δεδομένου και ότι η Υπηρεσία λαμβάνει πολύ αυστηρά τεχνικά και οργανωτικά μέτρα για τη διασφάλιση των πληροφοριών που ήδη χειρίζεται, ως οφείλει βάσει του Εθνικού Κανονισμού Ασφαλείας, και άμα τη θέσει του λογισμικού σε λειτουργία, θα εφαρμόζει τα άρθρα 62, 68, 69, 70, 71, 73 και 74 του ν.4624/2019 και, εφόσον κριθεί απαραίτητο από την Αρχή, μπορεί να συνταχθεί σχετική μελέτη εκτίμησης αντίκτυπου. […] vii. αναφορικά με το ερώτημα που υποβλήθηκε κατά τη συνεδρίαση της Ολομέλειας για τυχόν χρήση του ίδιου ή παρεμφερούς λογισμικού από έτερες διωκτικές Αρχές, στην ενότητα 15.2 της Διακήρυξης που αφορά την προμήθεια του λογισμικού δεν υφίσταται ως απαίτηση η χρήση του λογισμικού από λοιπές Αρχές και το Αρχηγείο Λ.Σ.-ΕΛ.ΑΚΤ. δεν διαθέτει πληροφορίες για την 6 απάντηση στο εν λόγω ερώτημα, ούτε και υποχρέωση ελέγχου ή διασφάλισης τήρησης της ως άνω προϋπόθεσης. viii. αναφορικά με την προηγούμενη ενημέρωση των υποκειμένων, στον ιστότοπο του Φορέα (βλ.https://www.ynanp.gr/el/gia-ton-polith/xrhsimes- plhrofories/prostasia-dedomenwn-proswpikoy-xarakthra/) γίνεται ρητή μνεία για την επεξεργασία δεδομένων δυνάμει του Κεφαλαίου Δ’ του ν. 4624/
4. […] ix. το εν λόγω λογισμικό έχει πρόσβαση αποκλειστικά σε δεδομένα, τα οποία βάσει των επιλογών του χρήστη εκάστου μέσου κοινωνικής δικτύωσης είναι δημόσια και συνεπώς δεν εμπίπτουν στις προστατευτικές διατάξεις της νομοθεσίας, ενώ, αντιθέτως, δεν έχει πρόσβαση στις πληροφορίες, για τις οποίες ο χρήστης έχει επιλέξει να μην είναι ορατές. x. η καταγγελία δεν έχει υποβληθεί από υποκείμενο των δεδομένων ή φορέα ή οργανισμό που το εκπροσωπεί (άρθρα 3 περ. 1, 46 παρ. 1, 52 παρ.1, 54 και 55 της Οδηγίας 2016/680), ενώ δεν τίθεται ζήτημα παραβίασης των διατάξεων της Οδηγίας 2016/680, διότι ακριβώς το λογισμικό δεν έχει τεθεί σε λειτουργία, καθώς από τις διατάξεις της Οδηγίας είναι σαφές ότι η παραβίαση πρέπει ήδη να συντελείται ή να έχει συντελεστεί και όχι να είναι ενδεχόμενη, η δε προμήθεια και κατοχή του δεν ενεργοποιεί τις υποχρεώσεις που σχετίζονται με το Κεφάλαιο Δ’ του ν. 4624/
5. Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου, αφού άκουσε τους εισηγητές και τις διευκρινίσεις από τους βοηθούς εισηγητών, οι οποίοι παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
6. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΕΕ) 2016/679 (εφεξής «ΓΚΠΔ») και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων.
7. Επειδή, σύμφωνα με τα δεύτερο και τρίτο εδάφια της παρ. 2 του άρθρου 4 της Συνθήκης για την Ευρωπαϊκή Ένωση, η Ένωση «σέβεται τις ουσιώδεις λειτουργίες του κράτους, ιδίως δε τις λειτουργίες που αποβλέπουν στη διασφάλιση της εδαφικής ακεραιότητας, τη διατήρηση της δημόσιας τάξης και την προστασία της εθνικής ασφάλειας. Ειδικότερα, η εθνική ασφάλεια παραμένει στην ευθύνη κάθε κράτους μέλους». Περαιτέρω, σύμφωνα με την 7 παράγραφο 2 του άρθρου 5 της ως άνω Συνθήκης, «η Ένωση ενεργεί μόνον εντός των ορίων των αρμοδιοτήτων που της απονέμουν τα κράτη μέλη με τις Συνθήκες για την επίτευξη των στόχων που οι Συνθήκες αυτές ορίζουν. Κάθε αρμοδιότητα η οποία δεν απονέμεται στην Ένωση με τις Συνθήκες ανήκει στα κράτη μέλη». Με τις διατάξεις του άρθρου 2 του ΓΚΠΔ, που αφορούν το ουσιαστικό πεδίο εφαρμογής του, προβλέπεται ότι ο ΓΚΠΔ δεν εφαρμόζεται «στο πλαίσιο δραστηριότητας, η οποία δεν εμπίπτει στο πεδίο εφαρμογής του δικαίου της Ένωσης» (παρ. 2 στοιχ. α΄) και «από αρμόδιες αρχές για τους σκοπούς της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, συμπεριλαμβανομένης της προστασίας και πρόληψης έναντι κινδύνων που απειλούν τη δημόσια ασφάλεια» (παρ. 2 στοιχ. δ΄). Στο ίδιο πνεύμα άλλωστε κινείται και η αιτιολογική σκέψη 16 του ΓΚΠΔ, σύμφωνα με την οποία ο Κανονισμός δεν εφαρμόζεται σε ζητήματα προστασίας θεμελιωδών δικαιωμάτων και ελευθεριών ή στην ελεύθερη κυκλοφορία δεδομένων προσωπικού χαρακτήρα που σχετίζονται με δραστηριότητες μη υπαγόμενες στο πεδίο εφαρμογής του ενωσιακού δικαίου, όπως δραστηριότητες που αφορούν την εθνική ασφάλεια. Για την περίπτωση δε του άρθρου 2 παρ. 2 στοιχ. δ΄ του ΓΚΠΔ, έχει εφαρμογή η Οδηγία (ΕΕ) 2016/680, η οποία έχει ενσωματωθεί στην εθνική έννομη τάξη με το Κεφάλαιο Δ’ (άρθρα 43-82) του νόμου 4624/
8. Ωστόσο, όπως αναφέρεται στην αιτιολογική σκέψη 14 της ως εν λόγω Οδηγίας «καθώς η (…) οδηγία δεν θα πρέπει να εφαρμόζεται για την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τη διάρκεια δραστηριότητας που δεν εμπίπτει στο πεδίο εφαρμογής του ενωσιακού δικαίου, δραστηριότητες που αφορούν την εθνική ασφάλεια, δραστηριότητες υπηρεσιών ή μονάδων που ασχολούνται με θέματα εθνικής ασφάλειας και η επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα κράτη μέλη κατά την εκτέλεση δραστηριοτήτων που εμπίπτουν στο πεδίο του τίτλου V κεφάλαιο 2 της Συνθήκης για την Ευρωπαϊκή Ένωση (ΣΕΕ) δεν θα πρέπει να θεωρούνται δραστηριότητες που εμπίπτουν στο πεδίο εφαρμογής της (…) οδηγίας».
9. Επειδή, σύμφωνα με το άρθρο 10 παρ. 5 του ν. 4624/2019, «η Αρχή δεν είναι αρμόδια να ελέγχει (…) πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα που διενεργούνται για τις δραστηριότητες που αφορούν την εθνική ασφάλεια». Ωστόσο, σύμφωνα με την παράγραφο 4 του άρθρου 10 του ν. 4624/2019, «στις περιπτώσεις που σε διεθνείς ή διακρατικές συμβάσεις ή στο δίκαιο της Ευρωπαϊκής Ένωσης ή στην εθνική νομοθεσία προβλέπεται ανεξάρτητος έλεγχος ή εποπτεία, η Αρχή ασκεί τις αντίστοιχες αρμοδιότητες και εξουσίες». Ως τέτοιες αρμοδιότητες νοούνται, βάσει της αιτιολογικής 8 έκθεσης του ν. 4624/2019, μεταξύ άλλων, οι προβλεπόμενες από τις διατάξεις που ρυθμίζουν το Σύστημα Πληροφοριών Σένγκεν, το Σύστημα Πληροφοριών Ευρωπόλ, το Σύστημα Πληροφοριών Eurodac και η Σύμβαση για τη χρήση της πληροφορικής στον τελωνειακό τομέα. Από τη συστηματική ερμηνεία των διατάξεων των παραγράφων 4 και 5 του ανωτέρω άρθρου προκύπτει ότι ο νομοθέτης δεν εξαιρεί εν γένει τα ζητήματα εθνικής ασφάλειας από την αρμοδιότητα της Αρχής, καθώς, όπου από διεθνείς και διακρατικές συμβάσεις προβλέπεται ρητά αρμοδιότητα της Αρχής, η τελευταία διατηρεί τη σχετική αρμοδιότητα. Περαιτέρω δε, από το άρθρο τρίτο του ν. 5169/2025 11, συνδυαστικά προς το άρθρο 15 παρ. 1 του Τροποποιητικού Πρωτοκόλλου, που κυρώθηκε με το άρθρο πρώτο του νόμου αυτού, προκύπτει ότι αρμόδια εποπτική αρχή για τη διασφάλιση συμμόρφωσης με τις διατάξεις της Σύμβασης του Συμβουλίου της Ευρώπης για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, ορίζεται η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Σύμφωνα δε με το άρθρο 14 παρ. 3 του Τροποποιητικού Πρωτοκόλλου, δεν προβλέπονται εξαιρέσεις από τον ανεξάρτητο και αποτελεσματικό έλεγχο και εποπτεία της επεξεργασίας των προσωπικών δεδομένων για σκοπούς εθνικής ασφάλειας και άμυνας. Οι προβλεπόμενες από το άρθρο 14 παρ. 3 του Τροποιητικού Πρωτοκόλλου εξαιρέσεις αφορούν επιμέρους προβλέψεις που αφορούν τις αρχές, τα δικαιώματα και τις υποχρεώσεις κατά την επεξεργασία προσωπικών δεδομένων, όπως τις αρχές επεξεργασίας, τη γνωστοποίηση παραβιάσεων δεδομένων, την υποχρέωση ενημέρωσης και τα δικαιώματα των υποκειμένων
11. Επειδή, η Αρχή με την υπ’ αρ. 01/2020 Γνωμοδότηση έκρινε αναφορικά με την προαναφερθείσα διάταξη του άρθρου 10 παρ. 5 ν. 4624/2019 ότι «λόγω της γενικότητας της διάταξης, κατά την οποία εξαιρούνται του ελέγχου της Αρχής οι πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα που διενεργούνται για τις δραστηριότητες που αφορούν την εθνική ασφάλεια, ανακύπτουν δυσχέρειες στον χαρακτηρισμό των πράξεων αυτών». Περαιτέρω, και λαμβάνοντας υπόψη και την προαναφερθείσα αιτιολογική σκέψη 16 ΓΚΠΔ, η Αρχή έχει κρίνει 13ότι ένας σχετικός περιορισμός της άσκησης των αρμοδιοτήτων της μέσω του εφαρμοστικού νόμου για λόγους ν. 5169/202511 (ΦΕΚ Α’ 4/17.01.2025) για την «Κύρωση του από 10 Οκτωβρίου 2018 Τροποποιητικού Πρωτοκόλλου της Σύμβασης του Συμβουλίου της Ευρώπης για την προστασία του ατόμου από την αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα» («Σύμβαση 108+») 12 Βλ. ν. 5169/2025, άρθρο 9, στο οποίο παραπέμπει το άρθρο 14 13 Βλ. Απόφαση ΑΠΔ 20/2020 11 9 εθνικής ασφάλειας δεν έρχεται, καταρχήν, σε αντίθεση με τον ΓΚΠΔ και ότι δεν έχει αρμοδιότητα ελέγχου των πράξεων επεξεργασίας που διενεργούνται για δραστηριότητες που αφορούν την εθνική ασφάλεια, εφόσον συντρέχουν σωρευτικά οι ακόλουθες δυο προϋποθέσεις: α) πρόκειται για πράξεις επεξεργασίας διαβαθμισμένων δεδομένων προσωπικού χαρακτήρα, και ορθότερα, πληροφοριών καταχωρημένων σε συστήματα αρχειοθέτησης που έχουν αρμοδίως διαβαθμισθεί και οι οποίες συνιστούν δεδομένα προσωπικού χαρακτήρα και β) πρόκειται για πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διενεργούνται για δραστηριότητες που αφορούν την εθνική ασφάλεια.
12. Επειδή η «εθνική ασφάλεια» συνιστά αόριστη νομική έννοια πρέπει, με βάση τα δεδομένα που συντρέχουν σε κάθε περίπτωση, να ερμηνεύεται, προσδιορίζεται και τεκμηριώνεται ad hoc από τον υπεύθυνο επεξεργασίας. Συνεπώς, όπως έχει κρίνει η Αρχή 14 δεν αρκεί η αόριστη και γενική επίκληση της συνδρομής της εθνικής ασφάλειας για τον αποκλεισμό της Αρχής από την άσκηση των αρμοδιοτήτων της, αλλά απαιτείται στη συγκεκριμένη περίπτωση τεκμηρίωση ότι η επεξεργασία διενεργείται για δραστηριότητα που αφορά την εθνική ασφάλεια της Ελλάδας, εκτός αν είναι πρόδηλη η συνδρομή της εννοίας αυτής, όπως για παράδειγμα για αμιγώς στρατιωτικές εγκαταστάσεις με πολεμικό υλικό, μη προσβάσιμες στο κοινό
14. Επειδή, με βάση όσα αναφέρθηκαν στις ως άνω σκέψεις 3 και 4 δεν προκύπτει ότι στην υπό εξέταση υπόθεση συντρέχουν σωρευτικά οι δύο απαιτούμενες προϋποθέσεις, ώστε η Αρχή να στερείται της αρμοδιότητας ελέγχου των πράξεων επεξεργασίας που πραγματοποιούνται με την εφαρμογή του εν θέματι λογισμικού, καθώς δεν αποδεικνύεται ότι, αφενός οι πράξεις επεξεργασίας αφορούν διαβαθμισμένα δεδομένα προσωπικού χαρακτήρα, αφετέρου δεν προβλέπεται η εν λόγω επεξεργασία για την προστασία της εθνικής ασφάλειας σε τυπικό νόμο. […] Επομένως, η Αρχή κρίνει ότι έχει αρμοδιότητα να εξετάσει στην ουσία την εν θέματι υπόθεση.
15. Επειδή, κατόπιν των ανωτέρω, ο εν θέματι σκοπός επεξεργασίας των δεδομένων προσωπικού χαρακτήρα είναι εντός του πεδίου της Οδηγίας 2016/680 (εφεξής «Οδηγία») και του ν. 4624/2019 με τον οποίο ενσωματώθηκε στην εθνική νομοθεσία η Οδηγία και, συνεπώς, είναι εφαρμοστέο το άρθρο 8 της Οδηγίας που προβλέπει ότι «
16. Τα κράτη μέλη προβλέπουν ότι η επεξεργασία είναι σύννομη μόνον εάν και στον βαθμό που είναι 14 15 Βλ. Απόφαση ΑΠΔ 20/2020 Βλ. Γνωμοδότηση ΑΠΔ 5/2020 10 απαραίτητη για την εκτέλεση καθήκοντος που ασκείται από αρχή αρμόδια για τους σκοπούς που προβλέπονται στο άρθρο 1 παράγραφος 1 και βασίζεται στο δίκαιο της Ένωσης ή των κρατών μελών.
17. Το δίκαιο κράτους μέλους που ρυθμίζει την επεξεργασία στο πλαίσιο της παρούσας οδηγίας καθορίζει τουλάχιστον τους στόχους της επεξεργασίας, τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία και τους σκοπούς της επεξεργασίας» και έχει ενσωματωθεί στην ελληνική έννομη τάξη με το άρθρο 45Α του ν. 4624/2019 16 που προβλέπει ότι «
18. Η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη μόνον εάν βασίζεται στον νόμο ή στο δίκαιο της Ένωσης και είναι απαραίτητη για την εκτέλεση καθήκοντος που ασκείται από τις αρμόδιες αρχές για τους σκοπούς που προβλέπονται στο άρθρο
20. Οι κατά την παρ. 1 ειδικές ρυθμίσεις που περιλαμβάνουν τη νομική βάση για την επεξεργασία από τις αρμόδιες αρχές για τους σκοπούς που ορίζονται στο άρθρο 43, καθορίζουν τουλάχιστον τους σκοπούς της επεξεργασίας, τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία και τους σκοπούς της επεξεργασίας, τις διαδικασίες για τη διατήρηση της ακεραιότητας και της εμπιστευτικότητας των δεδομένων προσωπικού χαρακτήρα, καθώς και την αρχή ή τις αρχές που είναι αρμόδιες, δυνάμει των καθηκόντων που τους έχουν κατά νόμο ανατεθεί, να προβούν σε αυτήν την επεξεργασία». Επισημαίνεται ότι το άρθρο αυτό προστέθηκε με το άρθρο 38 του ν. 5002/22 μετά την κίνηση από την Ευρωπαϊκή Επιτροπή διαδικασίας παραπομπής κατά της Ελλάδας τον Απρίλιο του 2022 με την από 06.4.2022 προειδοποιητική επιστολή 17 για παραβίαση του ενωσιακού δικαίου εξαιτίας της μη ενσωμάτωσης σειράς άρθρων της Οδηγίας (ΕΕ) 2016/680, ανάμεσα σε άλλα και του άρθρου 8
21. Ως εκ τούτου, το άρθρο 45Α παρ. 1του ν. 4624/2019 παρέχει την γενική νομοθετική βάση θέσπισης ειδικών ρυθμίσεων για την επεξεργασία προσωπικών δεδομένων 19 προς διακρίβωση εγκλημάτων στο πλαίσιο ποινικής διαδικασίας. Επομένως, η διάταξη του άρθρου αυτού δεν συνιστά αυτοτελώς ειδική εθνική ρύθμιση αλλά τη γενική νομική βάση θέσπισης μιας ειδικής εθνικής ρύθμισης, όπως π.χ. εκείνης που προβλέπεται στην ειδική περίπτωση του άρθρου 201 ΚΠΔ για την επιτρεπτή Όπως προστέθηκε με τον ν. 5002/2022 INFR