← Ελλάδα

Αυτεπάγγελτος έλεγχος της Αρχής σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της δήλωσης αποτελεσμάτων των αυτοδιαγνωστικών

Αθήνα, 08-08-2022 Αριθ. Πρωτ.: 1984 ΑΠΟΦΑΣΗ 41/2022 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση μέσω τηλεδιάσκεψης την Πέμπτη 23.06.2022 και ώρα 10:00, εξ αναβολής από την 07η.06.2022 και την 14η.06.2022, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής, Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Σπυρίδων Βλαχόπουλος, ως εισηγητής, Κωνσταντίνος Λαμπρινουδάκης, Χαράλαμπος Ανθόπουλος, Χρήστος Καλλονιάτης, ως εισηγητής και Αικατερίνη Ηλιάδου, καθώς και η Μαρία Ψάλλα, αναπληρωματικό μέλος σε αντικατάσταση του τακτικού μέλους Γρηγόριου Τσόλια, ο οποίος αν και εκλήθη νομίμως δεν παρέστη λόγω κωλύματος. Παρόντες, χωρίς δικαίωμα ψήφου, ήταν οι Αναστασία Κανικλίδου, Ελένη Καπράλου, Χαρίκλεια Λάτσιου, Ιωάννης Λυκοτραφίτης, Αναστασία Τριτάκη και Παναγιώτης Τσόπελας, ελεγκτές, ως βοηθοί εισηγητών και η Γεωργία Παλαιολόγου, υπάλληλος του τμήματος διοικητικών υποθέσεων, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η Αρχή, λαμβάνοντας υπόψη το γεγονός ότι στο πλαίσιο αντιμετώπισης της πανδημικής κρίσης λόγω του κορωνοϊού covid-19 και για την ανάσχεση της διασποράς του στην κοινότητα έλαβε χώρα συστηματική επεξεργασία δεδομένων προσωπικού χαρακτήρα φυσικών προσώπων ανηλίκων (μαθητών) και ενηλίκων κατά την εφαρμογή του υποχρεωτικού μέτρου του διαγνωστικού ελέγχου νόσησης από τον κορωνοϊό σε ευρύ φάσμα της επαγγελματικής, κοινωνικής και οικονομικής δραστηριότητας, επιπλέον δε ότι υποβλήθηκαν στην Αρχή ερωτήματα από υποκείμενα των δεδομένων αναφορικά με την εφαρμογή του υποχρεωτικού μέτρου του αυτοδιαγνωστικού ελέγχου (self test), εξέδωσε την υπ’ αρ. πρωτ. Γ/ΕΞΕ/1278/21.05.2021 ανακοίνωση

  1. Με την ανακοίνωση αυτή η Αρχή, μεταξύ άλλων, ενημέρωσε τα ενδιαφερόμενα υποκείμενα των δεδομένων (μαθητές, εκπαιδευτικούς, απασχολούμενους στον ιδιωτικό και δημόσιο τομέα, ναυτικούς, δικαστικούς και εισαγγελικούς λειτουργούς, φοιτητές, διδακτικό και λοιπό προσωπικό ΑΕΙ και θρησκευτικούς λειτουργούς) δυνάμει των σχετικών Κοινών Υπουργικών Αποφάσεων [υπ’ αρ. Δ1α/ΓΠ.οικ. 24525/18-04-2021 (ΦΕΚ Β’ 1588), Δ1α/ΓΠ.οικ. 26390/24-04-2021 (ΦΕΚ Β’ 1686), Δ1α/ΓΠ.οικ. 27707 /04-05-2021 (ΦΕΚ Β’ 1825), Δ1α/ΓΠ.οικ. 26389 /24-04-2021 (ΦΕΚ Β’ 1685), Δ1α/Γ.Π.οικ. 24527 /18-042021 (ΦΕΚ Β’ 1582), Δ1α/Γ.Π.Οικ. 28259 /07-05-2021 (ΦΕΚ Β’ 1866), Δ1α/Γ.Π.οικ 26394 /25-04-2021 (ΦΕΚ Β’ 1688) ΚΥΑ] ότι μπορούν κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της δήλωσης του αποτελέσματος των αυτοδιαγνωστικών ελέγχων που πραγματοποιείται μέσω της πλατφόρμας https://self-testing.gov.gr να απευθύνονται στους αναφερόμενους στις αντίστοιχες ΚΥΑ υπευθύνους επεξεργασίας 2, για την άσκηση των δικαιωμάτων τους, όπως αυτά απορρέουν από τον ΓΚΠΔ 2016/679 και το ν.4624/
  2. Επιπλέον, η Αρχή υπογράμμισε ότι απλώς η επίδειξη του αρνητικού αποτελέσματος των αυτοδιαγνωστικών ελέγχων από τους μαθητές και τους εκπαιδευτικούς, σύμφωνα με το άρθρο 2 παρ. 3 της ΚΥΑ υπ’ αρ. Δ1α/ΓΠ.οικ. 27707/04-05-2021 (ΦΕΚ Β΄ 1825), στο μέτρο που το αποτέλεσμα αυτό δεν περιλαμβάνεται σε σύστημα αρχειοθέτησης, ούτε υπόκειται σε αυτοματοποιημένη επεξεργασία, δεν συνιστά καταρχήν επεξεργασία προσωπικών δεδομένων εμπίπτουσα στο ρυθμιστικό πεδίο του ΓΚΠΔ και του ν. 4624/
  3. Ακολούθως, η Αρχή κάλεσε με τα υπ’ αρ. πρωτ. Γ/ΕΞ/1307/26-05-2021, Γ/ΕΞ/1308/26-05-2021, Γ/ΕΞ/1309/26-05-2021, Γ/ΕΞ/1310/26-05-2021 και Γ/ΕΞ/1320/27-05-2021 έγγραφα το Υπουργείο Εσωτερικών, το Υπουργείο Παιδείας Αναρτημένη στον σύνδεσμο https://www.dpa.gr/el/enimerwtiko/deltia/epexergasia-dedomenonprosopikoy-haraktira-sto-plaisio-tis-dienergeias 2 Ήτοι, η ΗΔΙΚΑ Α.Ε. και το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων αυτοτελώς για τους εργαζόμενους του ιδιωτικού τομέα (άρθρο 7), η ΗΔΙΚΑ Α.Ε. και το Υπουργείο Εσωτερικών αυτοτελώς για τους απασχολούμενους στο δημόσιο τομέα (άρθρο 6), η ΗΔΙΚΑ Α.Ε. για τους μαθητές και εκπαιδευτικούς (άρθρο 7), η ΗΔΙΚΑ Α.Ε. και το Ναυτικό Απομαχικό Ταμείο αυτοτελώς για τους ναυτικούς (άρθρο 7), η ΗΔΙΚΑ Α.Ε. για τους δικαστικούς και εισαγγελικούς λειτουργούς (άρθρο 6), η ΗΔΙΚΑ Α.Ε. για τους φοιτητές, διδακτικό και λοιπό προσωπικό ΑΕΙ (άρθρο 6), και η ΗΔΙΚΑ Α.Ε., το Υπουργείο Εσωτερικών και το Υπουργείο Παιδείας και Θρησκευμάτων αυτοτελώς για τους θρησκευτικούς λειτουργούς (άρθρο 6). 1 και Θρησκευμάτων (εφεξής ΥΠΑΙΘ), το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων, το Ναυτικό Απομαχικό Ταμείο (εφεξής ΝΑΤ) και την ΗΔΙΚΑ Α.Ε. αντίστοιχα, ως υπευθύνους επεξεργασίας βάσει των ανωτέρω αναφερόμενων ΚΥΑ, να παράσχουν συγκεκριμένες διευκρινίσεις αναφορικά με την επεξεργασία των δεδομένων που πραγματοποιείται δυνάμει των προαναφερόμενων ΚΥΑ κατά την δήλωση των αποτελεσμάτων των αυτοδιαγνωστικών ελέγχων στην πλατφόρμα https://self-testing.gov.gr και την περαιτέρω επεξεργασία δεδομένων τους μετά την δήλωση των αποτελεσμάτων. Σε απάντηση των ανωτέρω εγγράφων της Αρχής, το Υπουργείο Εσωτερικών απέστειλε στην Αρχή την υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4689/15-072021) απάντηση και η ΗΔΙΚΑ Α.Ε. υπέβαλε την υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4274/29-06-2021) απάντησή της. Λόγω μη λήψης εμπρόθεσμης απάντησης από το ΥΠΑΙΘ, η Αρχή απέστειλε το με αρ. πρωτ. Γ/ΕΞΕ/2564/11-11-2021 υπενθυμιστικό έγγραφο για παροχή εξηγήσεων, επί του οποίου το ΥΠΑΙΘ, με το με αρ. πρωτ. της Αρχής Γ/ΕΙΣ/7663/23-11-2021 μήνυμά του προς την Αρχή, αιτήθηκε παράταση για την υποβολή απάντησης μέχρι την 29.11.2021, και εν τέλει στις 10.12.2021 υποβλήθηκε στην Αρχή η με αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/8118/13.12.2021) απάντηση της Υπεύθυνης Προστασίας Δεδομένων του ΥΠΑΙΘ. Περαιτέρω, το ΝΑΤ υπέβαλε στην Αρχή το υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/3688/04-06-2021) έγγραφο, με το οποίο υπέβαλε αίτημα παράτασης της ως άνω προθεσμίας για δεκαπέντε

(15)ημέρες, το οποίο έγινε δεκτό (με το με αρ. πρωτ. ΑΠΔ Γ/ΕΞΕ/1414/17-06-2021 έγγραφο), και ακολούθως, απέστειλε την με αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4633/13-07-2021) απάντηση. Τέλος, το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων ζήτησε με το από 10.06.2021 μήνυμα ηλεκτρονικού ταχυδρομείου (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/3828/10-06-2021) παράταση της 15νθήμερης προθεσμίας έως την 18η.06.2021, και ακολούθως απέστειλε στην Αρχή την με αρ. πρωτ. … (και με αρ. πρωτ. Γ/ΕΙΣ/4327/01-07-2021) απάντησή του. Επιπλέον, το ανωτέρω Υπουργείο με το από 14.07.2021 (με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4688/15-07-2021) μήνυμα ηλεκτρονικού ταχυδρομείου έθεσε υπόψη της Αρχής σχέδιο νομοθετικής ρύθμισης για την τροποποίηση της περ. δ΄ της παρ. 6 του άρθρου 27 ν. 2792/2021, επί του οποίου η Αρχή απάντησε με το υπ’ αρ. πρωτ. Γ/ΕΞΕ/1785/27-07-2021 έγγραφο. Εν συνεχεία, η Αρχή κάλεσε, με τα υπ’ αρ. πρωτ. Γ/ΕΞ/40/07-01-2022, Γ/ΕΞ/41/07-01-2022, Γ/ΕΞ/42/07-01-2022, Γ/ΕΞ/43/07-01-2022 και Γ/ΕΞ/44/07-012022 έγγραφα, την ΗΔΙΚΑ Α.Ε, το Υπουργείο Εσωτερικών, το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων, το ΝΑΤ και το ΥΠΑΙΘ αντίστοιχα, όπως παραστούν σε συνεδρίαση της Ολομέλειας της Αρχής την Τρίτη 18-01-2022, προκειμένου να συζητηθεί η προαναφερόμενη υπόθεση. Στη συνεδρίαση αυτή συζητήθηκε παρουσία όλων των κληθέντων το υπ’ αρ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/326/17.01.2022) αίτημα του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων για αναβολή συζήτησης της υπόθεσης και ορίστηκε νέα ημερομηνία συνεδρίασης η 15η.02.
  1. Κατά την συνεδρίαση της 15ης.02.2022 παρέστησαν οι εξής: (α) εκ μέρους του Υπουργείου Εσωτερικών, η Παρασκευή Χαραλαμπογιάννη, Γενική Γραμματέας Ανθρωπίνου Δυναμικού του Υπουργείου Εσωτερικών, η Α, Προϊστάμενη Διεύθυνσης … του Υπουργείου Εσωτερικών, η Β, Προϊσταμένη του Τμήματος … του Υπουργείου Εσωτερικών, η Γ, Προϊσταμένη του Τμήματος … του Υπουργείου Εσωτερικών, κατόπιν δε πρόσκλησης (προσεπίκλησης) από το Υπουργείο Εσωτερικών παρέστη και ο Διοικητής της Εθνικής Αρχής Διαφάνειας, Άγγελος Μπίνης, (β) εκ μέρους του ΥΠΑΙΘ, ο Δ, Πάρεδρος του Νομικού Συμβουλίου του Κράτους και η Ε, Υπεύθυνη Προστασίας Δεδομένων του Υπουργείου Παιδείας και Θρησκευμάτων, (γ) εκ μέρους του ΝΑΤ, ο Γεώργιος Γιαννόπουλος, δικηγόρος (…) και η Αρετή Οικονόμου, δικηγόρος, (…), αμφότεροι πληρεξούσιοι δικηγόροι του ΝΑΤ, (δ) εκ μέρους του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων, ο Γρηγόρης Λαζαράκος, δικηγόρος (…), πληρεξούσιος δικηγόρος του εν λόγω Υπουργείου, η Άννα Στρατηνάκη, Γενική Γραμματέας Εργασιακών Σχέσεων, και ο ΣΤ, Υπεύθυνος Προστασίας Δεδομένων του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων, και (ε) εκ μέρους της ΗΔΙΚΑ Α.Ε., η Νίκη Τσούμα, Πρόεδρος Δ.Σ. και Διευθύνουσα Σύμβουλος της ΗΔΙΚΑ Α.Ε., η Ιουλία Κωνσταντίνου, δικηγόρος (…), και η Ήρα Χιώνη, δικηγόρος (…) εκ μέρους του Γραφείου Υπευθύνου Προστασίας Δεδομένων της ΗΔΙΚΑ Α.Ε., ο Γεώργιος Σταθάκος δικηγόρος (…), επικεφαλής της Νομικής Υπηρεσίας της ΗΔΙΚΑ Α.Ε., η Μελίνα Τσιούμα, δικηγόρος (…), και εκ μέρους της Διεύθυνσης και Υποστήριξης Ειδικών Εφαρμογών της ΗΔΙΚΑ Α.Ε. η Ζ, Προϊσταμένη … της ΗΔΙΚΑ Α.Ε και η Η. Τέλος, κατόπιν πρόσκλησης (προσεπίκλησης) από την ΗΔΙΚΑ Α.Ε. παρέστησαν ακόμα ο Θ, … της ΕΔΥΤΕ Α.Ε. και η Ι, εκ μέρους του Γραφείου Υπευθύνου Προστασίας Δεδομένων της ΕΔΥΤΕ Α.Ε. Κατά την συνεδρίαση αυτή, οι παριστάμενοι, αφού ανέπτυξαν τις απόψεις τους, έλαβαν προθεσμία έως τις 18.03.2022 για την υποβολή εγγράφων υπομνημάτων. Κατόπιν τούτου, το Υπουργείο Εσωτερικών υπέβαλε το υπ’ αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4658/18-03-2022) υπόμνημα, το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων το από 16-03-2022 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4421/1603-2022) υπόμνημα, η ΗΔΙΚΑ Α.Ε. το με αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/4805/21-03-2022) υπόμνημα και το ΝΑΤ το από 18.03.2022 (με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/5225/25-03-2022) υπόμνημα. Τέλος, το ΥΠΑΙΘ με το από 18.03.2022 (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/5226/25.03.2022) μήνυμα ηλεκτρονικού ταχυδρομείου ενημέρωσε την Αρχή ότι δεν θα υποβάλει σχετικό υπόμνημα και αρκείται στην με αρ. πρωτ. … (και με αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/8118/13.12.2021) απάντησή του και σε όσα προφορικώς κατά την ακρόαση εξέθεσε. Η Αρχή, μετά από εξέταση των ζητημάτων που ανακύπτουν σχετικά με την δήλωση των αποτελεσμάτων των αυτοδιαγνωστικών ελέγχων δυνάμει των ανωτέρω αναφερόμενων ΚΥΑ στην πλατφόρμα https://self-testing.gov.gr και την περαιτέρω επεξεργασία δεδομένων προσωπικού χαρακτήρα, αφού άκουσε τους εισηγητές και τις διευκρινίσεις από τους βοηθούς εισηγητές, οι οποίοι παρέστησαν χωρίς δικαίωμα ψήφου, κατόπιν διεξοδικής συζητήσεως, ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ
  2. Επειδή, από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων (Κανονισμού 2016/679) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου αυτού και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, η Αρχή έχει αρμοδιότητα να επιληφθεί της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που πραγματοποιήθηκε κατά την δήλωση των αποτελεσμάτων των αυτοδιαγνωστικών ελέγχων στην πλατφόρμα https://selftesting.gov.gr κατ΄ εφαρμογή των οριζομένων στις υπ’ αρ. Δ1α/ΓΠ.οικ. 24525 /18-042021 (ΦΕΚ Β’ 1588) για τους εργαζομένους του ιδιωτικού τομέα 3, Δ1α/ΓΠ.οικ. 26390/24-04-2021 (ΦΕΚ Β’ 1686) για τους απασχολούμενους του δημοσίου τομέα 4, Δ1α/ΓΠ.οικ. 27707 /04-05-2021 (ΦΕΚ Β’ 1825) για τους μαθητές και τους εκπαιδευτικούς 5, Δ1α/ΓΠ.οικ. 26389 /24-04-2021 (ΦΕΚ Β’ 1685) για τους ναυτικούς – μέλη πληρώματος πλοίων 6, Δ1α/Γ.Π.οικ. 24527 /18-04-2021 (ΦΕΚ Β’ 1582) για τους δικαστικούς και εισαγγελικούς λειτουργούς, Δ1α/Γ.Π.Οικ. 28259 /07-05-2021 (ΦΕΚ Β’ 1866) για τους φοιτητές, διδακτικό κλπ προσωπικό Α.Ε.Ι. 7 και Δ1α/Γ.Π.οικ 26394 /2504-2021 (ΦΕΚ Β’ 1688) για τους θρησκευτικούς λειτουργούς και το βοηθητικό προσωπικό χώρων λατρείας ΚΥΑ, στο πλαίσιο άσκησης της αυτεπάγγελτης αρμοδιότητας, δυνάμει των άρθρων 57 παρ. 1 στοιχ. α’ και η΄ ΓΚΠΔ και 13 παρ. 1 στοιχ. α΄ και β’ ν. 4624/2019, καθώς, εν προκειμένω, έλαβε χώρα αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα και, κατά περίπτωση επεξεργασία ‘Οπως τροποποιήθηκε με τις υπ’ αρ. Δ1α/Γ.Π.οικ.28501/7-5-2021 (ΦΕΚ Β’ 1871) και Δ1α/Γ.Π.οικ.30310/14-5-2021 (ΦΕΚ Β’ 2016) και όπως καταργήθηκε/αντικαταστάθηκε από την υπ’ αρ. Δ1α/Γ.Π.οικ.32209/24-5-2021 (ΦΕΚ Β’ 2192), όπως η τελευταία τροποποιήθηκε με τις υπ’ αρ. Δ1α/Γ.Π.οικ.35098/4-6-2021 (ΦΕΚ Β’ 2372), Δ1α/Γ.Π.οικ.41588/2-7-2021 (ΦΕΚ Β’ 2891), Δ1α/Γ.Π.οικ.48485/30-7-2021 (ΦΕΚ Β’ 3493) και Δ1α/Γ.Π.οικ. 54114/6-9-2021 (ΦΕΚ Β’ 4084). Η υπ’ αρ. Δ1α/Γ.Π.οικ.32209/24-5-2021 (ΦΕΚ Β’ 2192) καταργήθηκε από την υπ’αρ. Δ1α/Γ.Π.οικ. 64232/15-102021 (ΦΕΚ Β’ 4766), με την οποία καθιερώθηκε η υποχρεωτική διενέργεια διαγνωστικού ελέγχου έναντι αντιτίμου για την αυτοπρόσωπη παροχή εργασίας. 4 Όπως τροποποιήθηκε με τις υπ’ αρ. Δ1α/Γ.Π.οικ.28499 /07-05-2021 (ΦΕΚ Β’ 1870), Δ1α/ΓΠ.οικ. 32207/24.5.2021 (ΦΕΚ Β’ 2183), Δ1α/ΓΠ.οικ. 35097/4.6.2021 (ΦΕΚ Β’ 2373), Δ1α/Γ.Π.οικ. 41305/2.7.2021 (ΦΕΚ Β’ 2890), Δ1α/ΓΠ.οικ. 48483/30.7.2021 (ΦΕΚ Β’ 3491) και Δ1α/ΓΠ.οικ. 54108/6.9.2021 (ΦΕΚ Β’ 4081). Η υπ’ αρ. 26390/24-04-2021 (ΦΕΚ Β’ 1686) καταργήθηκε από την υπ’ αρ Δ1α/ΓΠ.οικ. 55570/12-9-2021 (ΦΕΚ Β’ 4207), με την οποία καθιερώθηκε η υποχρεωτική διενέργεια διαγνωστικού ελέγχου έναντι αντιτίμου για την αυτοπρόσωπη παροχή εργασίας. . 5 Όπως καταργήθηκε/αντικαταστάθηκε από την υπ’ αρ. Δ1α/ΓΠ.οικ.30518/17.5.2021 (ΦΕΚ Β’ 2020), όπως η τελευταία καταργήθηκε/αντικαταστάθηκε από την υπ’ αρ. Δ1α/Γ.Π.οικ. 55254/09-09-2021 (ΦΕΚ Β’ 4187), όπως αυτή τροποποιήθηκε με τις υπ’ αρ. Γ.Π.οικ./66036/21.10.2021 (ΦΕΚ Β’ 4960) και ΓΠ οικ. 360/6.1.2022 (ΦΕΚ Β’ 7). Σημειώνεται ότι για τους μαθητές και τους εκπαιδευτικούς έχει εφαρμογή παράλληλα και η υπ’ αρ. 124068/ΓΔ4/1-10-2021 (ΦΕΚ B’ 4558), η οποία αφορά στην επεξεργασία δεδομένων μέσω της πλατφόρμας edupass.gov.gr, η οποία ωστόσο δεν αποτελεί αντικείμενο εξέτασης με την παρούσα. 6 Όπως καταργήθηκε/αντικαταστάθηκε από την υπ’ αρ. Δ1α/Γ.Π.οικ.45222/ 18.07.2021 (ΦΕΚ Β' 3130), όπως τροποποιήθηκε με την υπ’ αρ. Δ1α/Γ.Π.οικ.48481/30.7.2021 (ΦΕΚ Β' 3488) και παράλληλα ίσχυε η υπ’ αρ. Δ1α/Γ.Π.οικ.47197/26.7.2021 (ΦΕΚ Β' 3355) Οι υπ’ αρ. 45222/18.07.2021 (ΦΕΚ Β' 3130) και 47197/26.7.2021 (ΦΕΚ Β' 3355 καταργήθηκαν με την υπ’ αρ. Δ1α/Γ.Π.οικ. 56087/14-9-2021 (ΦΕΚ Β’ 4247) ΚΥΑ. 7 Όπως τροποποιήθηκε με την υπ’ αρ. Δ1α/ΓΠ.οικ. 30097/14-5-2021 (ΦΕΚ Β’ 2014) Σημειώνεται ότι με την υπ’ αρ. 119847/ΓΔ6/23-9-2021 (ΦΕΚ Β’ 4406) καθιερώθηκε η υποχρέωση διαγνωστικού ελέγχου για τους φοιτητές και το προσωπικό των ΑΕΙ. 3 δεδομένων τα οποία περιλήφθηκαν σε σύστημα αρχειοθέτησης8, υπαγόμενη στο προστατευτικό πεδίο της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα (άρθρα 2 παρ. 1 ΓΚΠΔ και 2 ν. 4624/2019) και συντρέχει λόγος να επιληφθεί επί του θέματος, προκειμένου να προωθήσει την ευαισθητοποίηση, αφενός, των υπευθύνων επεξεργασίας σχετικά με τις υποχρεώσεις που απορρέουν από τον ΓΚΠΔ 2016/679 και τον ν. 4624/2019 και, αφετέρου, του κοινού και την κατανόηση των κινδύνων, των εγγυήσεων και των δικαιωμάτων που σχετίζονται με την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Και τούτο, ανεξαρτήτως του ότι οι εξεταζόμενες ρυθμίσεις με τις προαναφερόμενες ΚΥΑ καταργήθηκαν, διότι η ανωτέρω αρμοδιότητα της Αρχής δικαιολογεί την εξέταση της νομιμότητας επεξεργασιών δεδομένων προσωπικού χαρακτήρα που έλαβαν χώρα έστω και δυνάμει πράξεων βραχείας χρονικής ισχύος, οι οποίες επέβαλαν προσωρινά μέτρα κατά της διασποράς του κορωνοϊού τακτικώς αναθεωρούμενα 9, τα οποία επάγονταν περιορισμούς στο δικαίωμα της προστασίας των προσωπικών δεδομένων.
  3. Επειδή, κατά την πάγια νομολογία του Συμβουλίου της Επικρατείας, οι περιορισμοί ατομικών δικαιωμάτων πρέπει να ορίζονται από το νόμο γενικώς και αντικειμενικώς
  4. Οι περιορισμοί ατομικού δικαιώματος πρέπει να δικαιολογούνται από αποχρώντες λόγους δημοσίου συμφέροντος, να τελούν σε πρόδηλη λογική συνάφεια με τον σκοπό αυτό, να είναι πρόσφοροι, κατάλληλοι και αναγκαίοι για την επίτευξη του επιδιωκόμενου σκοπού, να μην θίγουν τον πυρήνα του δικαιώματος και να μην απονέμουν στην Διοίκηση ευρεία διακριτική ευχέρεια
  5. Εξάλλου, όσο εντονότερος είναι ο περιορισμός του δικαιώματος, τόσο επιτακτικότερη είναι η ανάγκη ειδικότητας της νομοθετικής ρύθμισης
  6. Η Αρχή έχει ήδη επισημάνει ότι η αρχή της νομιμότητας που διέπει τη δράση της δημόσιας διοίκησης, απαιτεί η αρμοδιότητα των δημόσιων αρχών να προβλέπεται από νόμο και να ασκείται σύμφωνα με το νόμο. Με άλλα λόγια, η αρχή της νομιμότητας λειτουργεί και ως Βλ. κατωτέρω σκέψη 10 για την περίπτωση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα συνεπεία επιβολής επαχθούς μέτρου (περικοπής αποδοχών, απαλλαγής από την υποχρέωση καταβολής αποδοχών, επιβολής καταβολής χρηματικών προστίμων) λόγω της μη διενέργειας αυτοδιαγνωστικού ελέγχου. 9 Βλ. αποφάσεις ΣτΕ 1759/2021 σκ. 5 και ΣτΕ Ολ 665/2021 σκ.
  7. 10 Βλ. αποφάσεις ΣτΕ 366//2008 σκ. 11, 1019/2022 σκ.
  8. 11 Βλ. ιδίως απόφαση ΣτΕ Ολ 3665/
  9. 12 Γνωμοδότηση 02/2010 ΑΠΔΠΧ, σκ.
  10. 8 περιοριστικό όριο της διοικητικής δράσης ή με αντίστροφο συλλογισμό, η διοικητική ενέργεια πρέπει να τελεί σε αρμονία με τον κανόνα δικαίου που διέπει τη δράση της διοίκησης. Προκειμένου η επέμβαση στα ατομικά δικαιώματα να είναι ανεκτή στο πλαίσιο ενός σύννομου περιορισμού θα πρέπει να πληρούνται οι προϋποθέσεις των άρθρων 9Α και 25 Συντάγματος, 8 παρ. 2 ΕΣΔΑ ή και 52 παρ. 1 ΧΘΔΕΕ. Θα πρέπει να επισημανθεί ότι το άρθ. 8 ΧΘΔΕΕ σε συνδυασμό με το άρθ. 16 της ΣυνθΛΕΕ προστατεύουν αυτοτελώς, ειδικότερα το δικαίωμα στα δεδομένα προσωπικού χαρακτήρα. Από το άρθρο 8 παρ. 2 ΕΣΔΑ προκύπτει ότι επιτρεπτώς περιορίζεται το προστατευόμενο ατομικό δικαίωμα εφόσον το ληφθέν μέτρο πρώτον, προβλέπεται από την εθνική νομοθεσία (αρχή της νομιμότητας), δεύτερον, αποσκοπεί στην επίτευξη των εκεί αναφερόμενων λόγων περιορισμού του ατομικού δικαιώματος (π.χ. δημόσιο συμφέρον) και τρίτον, ελέγχεται η συμβατότητα του περιορισμού του ατομικού δικαιώματος σε σχέση με την αρχή της αναλογικότητας υπό ευρεία έννοια (αναγκαιότητα) σε μια δημοκρατική κοινωνία.
  11. Επειδή, ο περιορισμός στο δικαίωμα στην προστασία των προσωπικών δεδομένων, μέσω της δήλωσης των αποτελεσμάτων των αυτοδιαγνωστικών ελέγχων στην πλατφόρμα https://self-testing.gov.gr και την περαιτέρω επεξεργασία δεδομένων προσωπικού χαρακτήρα, λαμβάνοντας υπόψη και τους αναφερομένους στις αιτιολογικές εκθέσεις ν. 4790/2021 και ν. 4792/2021 σκοπούς, καθώς και τις αποφάσεις ΣτΕ 665/2021 (Ολ), 1386/2021, 1758/2021 και 1759/2021, αποσκοπεί σε εξαιρετικούς λόγους δημοσίου συμφέροντος που αφορούν στην προστασία της δημόσιας υγείας από τον κίνδυνο διασποράς του κορωνοϊού, δικαιολογείται δε από τους επιτακτικούς λόγους ανάσχεσης της πανδημίας του κορωνοϊού βάσει έγκυρων και τεκμηριωμένων επιστημονικών δεδομένων και εναρμονίζεται καταρχήν με τις διατάξεις των άρθρων 2 παρ. 1 (προστασία της αξίας του ανθρώπου), 5 παρ. 2 (ατομικό δικαίωμα στη ζωή), καθώς και 5 παρ. 5 και 21 παρ. 3 (ατομικό και κοινωνικό δικαίωμα στην υγεία) Συντάγματος.
  12. Επειδή, οι διατάξεις των άρθρων 2 παρ. 1 και 46 ν. 4790/2021 (ΦΕΚ Α΄48) και 27 ν. 4792/2021 (ΦΕΚ Α΄54) καθόρισαν βασικά στοιχεία της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, μεταξύ αυτών ρητά και το χρόνο τήρησης των δεδομένων. Ειδικότερα, στην διάταξη του άρθρου 27 παρ. 6 στοιχ. δ΄ ν. 4792/2021 προσδιορίστηκε το χρονικό διάστημα τήρησης των αποτελεσμάτων αυτοδιαγνωστικών ελέγχων που καταχωρίζονται στην πλατφόρμα. Ακολούθως, με τις υπ’ αρ. Δ1α/ΓΠ.οικ. 24525/18-04-2021 (ΦΕΚ Β’ 1588), Δ1α/ΓΠ.οικ. 26390/24-04-2021 (ΦΕΚ Β’ 1686), Δ1α/ΓΠ.οικ. 27707 /04-05-2021 (ΦΕΚ Β’ 1825), Δ1α/ΓΠ.οικ. 26389 /2404-2021 (ΦΕΚ Β’ 1685), Δ1α/Γ.Π.οικ. 24527 /18-04-2021 (ΦΕΚ Β’ 1582), Δ1α/Γ.Π.Οικ. 28259 /07-05-2021 (ΦΕΚ Β’ 1866), Δ1α/Γ.Π.οικ 26394 /25-04-2021 (ΦΕΚ Β’ 1688) ΚΥΑ, όπως τροποποιήθηκαν και ίσχυαν, εξειδικεύτηκαν οι κατηγορίες φυσικών προσώπων για τις οποίες η δοκιμασία κατέστη υποχρεωτική κατ’ εφαρμογή της διάταξης του άρθρου 27 παρ. 2 ν. 4792/
  13. Κατ΄ ακολουθία, εφόσον δηλαδή στην προαναφερόμενη διάταξη του άρθρου 27 του ν. 4792/2021 ορίζεται ο χρόνος τήρησης των δεδομένων, η παράλειψη αναφοράς του στοιχείου αυτού στις ΚΥΑ για τους μαθητές και εκπαιδευτικούς (άρθρο 7 παρ.4 Δ1α/ΓΠ.οικ. 27707 /04-05-2021 (ΦΕΚ Β’ 1825), τους φοιτητές, το διδακτικό και λοιπό προσωπικό των Α.Ε.Ι. ( άρθρο 6 παρ. 4 Δ1α/Γ.Π.Οικ. 28259 /07-05-2021 (ΦΕΚ Β’ 1866) δεν συνιστά καταρχήν, κατά τα ανωτέρω διαλαμβανόμενα, παραβίαση του δικαιώματος στην προστασία των προσωπικών δεδομένων.
  14. Επειδή, σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 5 παρ. 2 του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωσή του με τις αρχές της επεξεργασίας που καθιερώνονται στην παράγραφο 1 του άρθρου
  15. Όπως έχει κρίνει η Αρχή 13, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ.
  16. Επειδή, το άρθρο 5 του ΓΚΠΔ καθορίζει τις αρχές επεξεργασίας που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, ορίζεται στην 13 Βλ. απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. παράγραφο 1 ότι τα δεδομένα προσωπικού χαρακτήρα, μεταξύ άλλων: «α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων («νομιμότητα, αντικειμενικότητα, διαφάνεια»), β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς (…), γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία («ελαχιστοποίηση των δεδομένων»), δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα για την άμεση διαγραφή ή διόρθωση δεδομένων προσωπικού χαρακτήρα τα οποία είναι ανακριβή, σε σχέση με τους σκοπούς της επεξεργασίας («ακρίβεια»), ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (…), στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»)».
  17. Επειδή, το άρθρο 13 ΓΚΠΔ προβλέπει όσον αφορά το δικαίωμα ενημέρωσης του υποκειμένου των δεδομένων ότι: «
  18. Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες: α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας, β) τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων, κατά περίπτωση, γ) τους σκοπούς της επεξεργασίας για τους οποίους προορίζονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και τη νομική βάση για την επεξεργασία, δ) εάν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκονται από τον υπεύθυνο επεξεργασίας ή από τρίτο, ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν, στ) κατά περίπτωση, την πρόθεση του υπευθύνου επεξεργασίας να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή διεθνή οργανισμό και την ύπαρξη ή την απουσία απόφασης επάρκειας της Επιτροπής ή, όταν πρόκειται για τις διαβιβάσεις που αναφέρονται στο άρθρο 46 ή 47 ή στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, αναφορά στις ενδεδειγμένες ή κατάλληλες εγγυήσεις και τα μέσα για να αποκτηθεί αντίγραφό τους ή στο πού διατέθηκαν.
  19. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας: α) το χρονικό διάστημα για το οποίο θα αποθηκευτούν τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό είναι αδύνατο, τα κριτήρια που καθορίζουν το εν λόγω διάστημα, β) την ύπαρξη δικαιώματος υποβολής αιτήματος στον υπεύθυνο επεξεργασίας για πρόσβαση και διόρθωση ή διαγραφή των δεδομένων προσωπικού χαρακτήρα ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή δικαιώματος αντίταξης στην επεξεργασία, καθώς και δικαιώματος στη φορητότητα των δεδομένων, γ) όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο α) ή στο άρθρο 9 παράγραφος 2 στοιχείο α), την ύπαρξη του δικαιώματος να ανακαλέσει τη συγκατάθεσή του οποτεδήποτε, χωρίς να θιγεί η νομιμότητα της επεξεργασίας που βασίστηκε στη συγκατάθεση πριν από την ανάκλησή της, δ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή, ε) κατά πόσο η παροχή δεδομένων προσωπικού χαρακτήρα αποτελεί νομική ή συμβατική υποχρέωση ή απαίτηση για τη σύναψη σύμβασης, καθώς και κατά πόσο το υποκείμενο των δεδομένων υποχρεούται να παρέχει τα δεδομένα προσωπικού χαρακτήρα και ποιες ενδεχόμενες συνέπειες θα είχε η μη παροχή των δεδομένων αυτών, στ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.».
  20. Κατ’ ακολουθία των ανωτέρω, λαμβάνοντας υπόψη αφενός τα οριζόμενα στην υπ’ αρ. Δ1α/Γ.Π.οικ 26394 /25-04-2021 (ΦΕΚ Β’ 1688) ΚΥΑ για την εφαρμογή του υποχρεωτικού μέτρου του διαγνωστικού ελέγχου σε θρησκευτικούς λειτουργούς και το βοηθητικό προσωπικό χώρων λατρείας, και ιδίως την διάταξη του άρθρου 6, σύμφωνα με την οποία για τους σκοπούς της προμήθειας και της διενέργειας του αυτοδιαγνωστικού ελέγχου (άρθρο 4) ορίζονται αυτοτελώς υπεύθυνοι επεξεργασίας, η ΗΔΙΚΑ Α.Ε., το Υπουργείο Εσωτερικών και το ΥΠΑΙΘ και αφετέρου την υπ’ αρ. ΥΠΔ … (ΑΠΔ Γ/ΕΙΣ/8118/13.12.2021) απάντηση του ΥΠΑΙΘ, δια του ΥΠΔ, σύμφωνα με την οποία το ΥΠΑΙΘ είναι αυτοτελώς υπεύθυνος επεξεργασίας στο μέρος μόνο που αφορά την περίπτωση β) του άρθρου 1 της προαναφερόμενης ΚΥΑ δηλ. για το μητρώο νομικών προσώπων και θρησκευτικών λειτουργών του άρθρου 14 ν. 4301/2014 και ότι στο πλαίσιο αυτό διαβίβασε τα δεδομένα των προσώπων αυτών στη ΓΓΠΣΔΔ ώστε να γίνει η ταυτοποίηση των προσώπων και η διανομή των αυτοδιαγνωστικών ελέγχων σε αυτά (κατ΄ άρθρο 3 παρ. 2 ΚΥΑ), η Αρχή διαπιστώνει, ότι για το Υπουργείο Παιδείας δεν συντρέχουν τα προβλεπόμενα στο άρθρο 4 στοιχ. 7 ΓΚΠΔ στοιχεία του υπευθύνου επεξεργασίας, η αναφορά δε στην προαναφερόμενη υπ΄ αρ. ΥΠΔ … (ΑΠΔ Γ/ΕΙΣ/8118/13.12.2021) απάντηση του Υπουργείου ότι είναι υπεύθυνος επεξεργασίας για την κατηγορία υποκειμένων των δεδομένων της περ. β) του άρθρου 1 της προαναφερόμενης ΚΥΑ δεν αρκεί για να του προσδώσει το ρόλο αυτό, σύμφωνα και με τη Γνώμη 1/2010 της Ομάδας Εργασίας του Άρθρου 29 14 και τις Κατευθυντήριες Γραμμές 7/2020 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων 15 σχετικά με την έννοια του υπευθύνου επεξεργασίας. Ειδικότερα, από το σύνολο των στοιχείων του φακέλου της υπόθεσης, προκύπτει ότι το ΥΠΑΙΘ, ως υπεύθυνος επεξεργασίας του μητρώου που τηρεί δυνάμει του άρθρου 14 ν. 4301/2014, άντλησε τα στοιχεία των προσώπων αυτών από το σχετικό μητρώο και τα διαβίβασε στην ΓΓΠΣΔΔ, προκειμένου εν συνεχεία να διανεμηθούν μέσω της ΗΔΙΚΑ Α.Ε. στα πρόσωπα αυτά οι αυτοδιαγνωστικές WP 169 από 16.02.2010, διαθέσιμη στην ιστοσελίδα http://ec.europa.eu/justice_home/fsj/privacy/index_en.htm 15 Κατευθυντήριες Γραμμές Κατευθυντήριες γραμμές 07/2020 σχετικά με τις έννοιες του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία στον ΓΚΠΔ, όπως εγκρίθηκαν στις 07.07.2021, https://edpb.europa.eu/our-work-tools/ourδιαθέσιμες στην ιστοσελίδα documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_el 14 δοκιμασίες για να προβούν στην δήλωση των αποτελεσμάτων στην πλατφόρμα https://self-testing.gov.gr. Δεδομένου προσέτι ότι: α) η ΗΔΙΚΑ Α.Ε. ορίζεται υπεύθυνος επεξεργασίας για τον σκοπό των υποχρεωτικά υποβαλλόμενων σε διαγνωστική δοκιμασία ελέγχου προσώπων και την διανομή του ελέγχου στα πρόσωπα αυτά (άρθρο 3 παρ. 3 προαναφερόμενης ΚΥΑ), β) η δήλωση των αποτελεσμάτων των σχετικών ελέγχων για την συγκεκριμένη κατηγορία προσώπων πραγματοποιείται μέσω της πλατφόρμας https://self-testing.gov.gr χωρίς την εμπλοκή του ΥΠΑΙΘ μέσω κάποιου αρχείου/μητρώου του (άρθρο 4 παρ. 4 προαναφερόμενης ΚΥΑ) και ότι γ) δεν προβλέπεται κάποια συνέπεια για τα πρόσωπα που δεν συμμορφώνονται με την υποχρέωση διενέργειας (άρθρο 5), ούτε εξάλλου λαμβάνει χώρα άλλη επεξεργασία δεδομένων προσωπικού χαρακτήρα στο ανωτέρω μητρώο του άρθρου 14 ν. 4301/2014, το οποίο το ΥΠΑΙΘ τηρεί με την ιδιότητα του υπευθύνου επεξεργασίας, το ΥΠΑΙΘ εσφαλμένα προσδιορίζεται ως υπεύθυνος επεξεργασίας στην προαναφερόμενη ΚΥΑ. Εξάλλου, για την επεξεργασία δεδομένων που έλαβε χώρα δυνάμει της προαναφερόμενης ΚΥΑ για τους θρησκευτικούς λειτουργούς που είναι εγγεγραμμένοι στο Μητρώο Ανθρώπινου Δυναμικού Ελληνικού Δημοσίου (άρθρο 1 στοιχ. α΄ ΚΥΑ), και για τους οποίους χρησιμοποιήθηκε η πλατφόρμα https://self-testing.gov.gr της ΗΔΙΚΑ Α.Ε. και παρείχετο ανακατεύθυνση στο Μητρώο Ανθρώπινου Δυναμικού Ελληνικού Δημοσίου του Υπουργείο Εσωτερικών (άρθρο 4 στοιχ. 3 ΚΥΑ), ορθώς προσδιορίζεται το Υπουργείο Εσωτερικών υπεύθυνος επεξεργασίας (άρθρο 6 παρ. 1 ΚΥΑ).
  21. Επειδή, ειδικά η διαφάνεια κατ’ άρθρο 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ, αποτελεί θεμελιώδη απαίτηση του ΓΚΠΔ συνδεόμενη εγγενώς με την νομιμότητα, η οποία εκκινεί από την υποχρέωση των υπευθύνων επεξεργασίας να ενσωματώνουν ζητήματα προστασίας δεδομένων στις πράξεις και στα συστήματα επεξεργασίας τους από τον σχεδιασμό τους, κατ’ άρθρο 25 και την αιτιολογική σκέψη 78 ΓΚΠΔ, και εκτείνεται έως την υποχρέωση συμμόρφωσης της επεξεργασίας με την προστασία δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, λαμβάνοντας υπόψη και την αιτιολογική σκέψη 39 ΓΚΠΔ, η διαφάνεια περιλαμβάνει κατ’ ελάχιστον την ενημέρωση για τις πληροφορίες των άρθρων 13 και 14 ΓΚΠΔ, ιδίως δε αναφορικά με την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας, τα στοιχεία επικοινωνίας του ΥΠΔ, τους σκοπούς επεξεργασίας και την νομική τους βάση, τους αποδέκτες των δεδομένων και το χρονικό διάστημα για το οποίο θα αποθηκευθούν τα δεδομένα προσωπικού χαρακτήρα.
  22. Επειδή, αναφορικά με την συμμόρφωση προς την υποχρέωση διαφανούς ενημέρωσης κατ’ εφαρμογή των οριζομένων στα άρθρα 13 και 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ και την αιτιολογική σκέψη 58 ΓΚΠΔ, από το σύνολο των στοιχείων του φακέλου της υπόθεσης προκύπτουν τα εξής: Πρώτον, η ΗΔΙΚΑ Α.Ε. ως (αποκλειστικός) υπεύθυνος επεξεργασίας, κατ’ εφαρμογή των υπ’ αρ. Δ1α/ ΓΠ.οικ. 27707/04-05-2021 (ΦΕΚ Β΄ 1825) και υπ’ αρ. Δ1α/Γ.Π.οικ.28259/07.05.2021 (ΦΕΚ Β΄ 1866) ΚΥΑ, μέσα από την πλατφόρμα https://self-testing.gov.gr ενημέρωνε καταρχήν τα ενδιαφερόμενα υποκείμενα των δεδομένων για τις απαιτούμενες ως άνω πληροφορίες του άρθρου 13 ΓΚΠΔ. Ωστόσο η Αρχή, λαμβάνοντας υπόψη και την υπ’ αρ. πρωτ. … (ΑΠΔ Γ/ΕΙΣ/4274/29.06.2021) απάντηση της ΗΔΙΚΑ Α.Ε., διαπιστώνει ότι στην ανωτέρω ενημέρωση αναφορικά με τους αποδέκτες των δεδομένων (σημ. 4 της ενημέρωσης), η ΗΔΙΚΑ Α.Ε., ως υπεύθυνος επεξεργασίας, κατά παράβαση των οριζομένων στη διάταξη του άρθρου 13 παρ. 1 στοιχ. ε’ ΓΚΠΔ, παρέλειψε να ενημερώσει για τον φορέα (το ΥΠΑΙΘ ή, και κατά περίπτωση, το Υπουργείο Εσωτερικών), ο οποίος κατ’ εφαρμογή των προαναφερόμενων ΚΥΑ είναι αρμόδιος για την επιβολή του μέτρου των άρθρων 4 και 5 παρ. 4 των ανωτέρω ΚΥΑ, αντίστοιχα, σε περίπτωση μη διενέργειας του αυτοδιαγνωστικού ελέγχου από τους εκπαιδευτικούς, μέλη ειδικού εκπαιδευτικού προσωπικού, ειδικού βοηθητικού προσωπικού, διοικητικό και λοιπό προσωπικό όλων των σχολικών μονάδων της Πρωτοβάθμιας και Δευτεροβάθμιας Εκπαίδευσης, και από τα μέλη του διδακτικού ερευνητικού προσωπικού (Δ.Ε.Π.) των ανωτάτων εκπαιδευτικών ιδρυμάτων, καθώς και μέλη του εργαστηριακού διδακτικού προσωπικού (Ε.ΔΙ.Π.), του ειδικού τεχνικού εργαστηριακού προσωπικού (Ε.Τ.Ε.Π.) και του ειδικού εκπαιδευτικού προσωπικού (Ε.Ε.Π.), αντίστοιχα, και ο οποίος καθίσταται εκ του λόγου τούτου αποδέκτης των δεδομένων που τυγχάνουν επεξεργασίας κατ΄ εφαρμογή της προαναφερόμενης ΚΥΑ. Και τούτο, ανεξαρτήτως του γεγονότος ότι η συμμόρφωση προς την υποχρέωση διενέργειας αυτοδιαγνωστικού ελέγχου εκ μέρους των ανωτέρω προσώπων προς τον αρμόδιο φορέα (το ΥΠΑΙΘ, ή κατά περίπτωση, το Υπουργείο Εσωτερικών) αποδεικνύεται μέσω της επίδειξης του αποτελέσματος (άρθρα 2 παρ. 3 και 3 παρ. 10 προαναφερόμενων ΚΥΑ, αντίστοιχα), η οποία καταρχήν συνεπάγεται μη αυτοματοποιημένη επεξεργασία, καθώς πάντως η επιβολή του διοικητικού μέτρου (της περικοπής αποδοχών) των άρθρων 4 και 5 παρ. 4 των προαναφερόμενων ΚΥΑ, αντίστοιχα, προϋποθέτει την επεξεργασία δεδομένων για τα πρόσωπα αυτά σε σύστημα αρχειοθέτησης του αρμοδίου φορέα, και συνακόλουθα ιδρύεται αρμοδιότητα της Αρχής κατ’ άρθρο 2 παρ. 1 ΓΚΠΔ, επιπλέον δε τυγχάνουν εφαρμογής οι υποχρεώσεις που απορρέουν από τον ΓΚΠΔ. Δεύτερον, όσον αφορά την συμμόρφωση του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων με την υποχρέωση διαφανούς ενημέρωσης, κατ’ εφαρμογή των οριζομένων στα άρθρα 13 και 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ και την αιτιολογική σκέψη 58 ΓΚΠΔ, για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που έλαβε χώρα κατ’ εφαρμογή της υπ’ αρ. Δ1α/ΓΠ.οικ.24525/18-04-2021 (ΦΕΚ Β΄1588), όπως τροποποιήθηκε και ίσχυε, όπως και το ίδιο το Υπουργείο συνομολογεί με τα από 18.06.2021 (υπ’ αριθ. πρωτ. Γ/ΕΙΣ/4327/01-07-2021) και από 15.02.2022 (υπ’ αρ. πρωτ. Γ/ΕΙΣ/4421/16.03.2022) υπομνήματά του16, η ενημέρωση που παρέχονταν στους εργαζόμενους του ιδιωτικού τομέα, η οποία συνόδευε την «Υπεύθυνη Δήλωση των Εργαζομένων Καταγραφής Αποτελέσματος Covid-19 Test (Self/Rapid/PCR)» και ήταν αναρτημένη στην πλατφόρμα https://self-testing.gov.gr, αφορούσε άλλη επεξεργασία 17, η οποία εν τέλει αντικαταστάθηκε τον Αύγουστο έτους 2021, έγινε, λαμβάνοντας υπόψη και τις ΚΓ της ΟΕ του άρθρου 29 σχετικά με την διαφάνεια 18, έστω και για συγκεκριμένο χρονικό διάστημα κατά παράβαση της διάταξης του άρθρου 13 παρ. 1 στοιχ. γ΄ ΓΚΠΔ, κλονίζοντας την εμπιστοσύνη των ενδιαφερόμενων στην ανωτέρω ΚΥΑ προσώπων (εργαζομένων του ιδιωτικού τομέα). Και τούτο, διότι όπως έχει επισημάνει η Αρχή με την απόφαση 05/2020 19 η επείγουσα και απρόβλεπτη ανάγκη για την αντιμετώπιση των αρνητικών συνεπειών του κορωνοϊού Σημ. 4 σελ.
  23. Και συγκεκριμένα, όπως αναφέρεται στο από 15.02.2022 (υπ’ αρ. πρωτ. Γ/ΕΙΣ/4421/16.03.2022) υπόμνημα, την επεξεργασία για τον σκοπό της «χορήγησης εφάπαξ οικονομικής ενίσχυσης λόγω των μέτρων αντιμετώπισης της πανδημίας του κορωνοϊού covid- 19». 18 .Βλ. ΚΓ της ΟΕ29 σχετικά με την διαφάνεια βάσει του κανονισμού 2016/679 wp260rev01, σκ. 5 και 26 επ. 19 Σκ. 3 και 8 απόφασης 05/2020, διαθέσιμης στην ιστοσελίδα της Αρχής. 16 17 δεν δικαιολογεί την άρση των εγγυήσεων για την διασφάλιση του δικαιώματος στην προστασία των προσωπικών δεδομένων μέσω των υποχρεώσεων που καθιερώνει ο ΓΚΠΔ και ο ν. 4624/2019 και οι οποίες βαρύνουν τον υπεύθυνο επεξεργασίας. Εξάλλου, το γεγονός και μόνο ότι η συλλογή των δεδομένων προσωπικού χαρακτήρα πραγματοποιήθηκε μέσω της πλατφόρμας https://self-testing.gov.gr και παρέχονταν για την συγκεκριμένη κατηγορία υποκειμένων των δεδομένων (εργαζόμενοι του ιδιωτικού τομέα) ανακατεύθυνση στο πληροφοριακό σύστημα ΕΡΓΑΝΗ του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων αποτελεί πρόσθετο λόγο για την αυτοτελή συμμόρφωση του εν λόγω Υπουργείου, ως υπευθύνου επεξεργασίας βάσει της προαναφερόμενης ΚΥΑ, προς διασφάλιση της απαίτησης για διαφανή ενημέρωση των υποκειμένων, κατά τα ανωτέρω διαλαμβανόμενα, αποκρουομένου ως αβασίμου του ισχυρισμού του Υπουργείου στο από 15.03.2022 (υπ’ αρ. πρωτ. Γ/ΕΙΣ/4421/16.03.2022) υπόμνημά του 20 ότι η εκ παραδρομής λαθεμένη ενημέρωση για άλλο σκοπό επεξεργασίας ήταν ήσσονος σημασίας, για το λόγο ότι δήθεν ο σκοπός επεξεργασίας («σελφ-τεστ») είχε ήδη καταστεί πασίγνωστος σε όλα τα έντυπα, τηλεοπτικά και ηλεκτρονικά μέσα ενημέρωσης και απασχολούσε άμεσα ή έμμεσα ιδιαίτερα μεγάλο τμήμα του πληθυσμού. Τρίτον, όσον αφορά την συμμόρφωση του Υπουργείου Εσωτερικών με την υποχρέωση διαφανούς ενημέρωσης κατ’ εφαρμογή των οριζομένων στα άρθρα 13 και 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ και την αιτιολογική σκέψη 58 ΓΚΠΔ για την επεξεργασία που έλαβε χώρα κατ’ εφαρμογή της υπ’ αρ. Δ1α/ΓΠ.οικ. 26390/24-04-2021 (ΦΕΚ Β΄1686) όπως τροποποιήθηκε και ίσχυε, η Αρχή διαπιστώνει ότι η ενημέρωση που παρέσχε αναφορικά με την περίοδο διατήρησης των δεδομένων (σημ. 6 της ενημέρωσης) ήταν ελλιπής/αδιαφανής κατά παράβαση των οριζομένων στην διάταξη του άρθρου 13 παρ. 2 στοιχ. α’ ΓΚΠΔ, δοθέντος μάλιστα ότι η εξεταζόμενη νομοθετική πράξη που επέβαλε προσωρινά μέτρα ήταν βραχείας χρονικής ισχύος ρητά προσδιοριζομένης της περιόδου διατήρησης των δεδομένων (άρθρο 27 παρ. 6 στοιχ. δ’ ν. 4792/2021, όπως τροποποιήθηκε και ίσχυε) και δεν αρκούσε η αφηρημένη/αόριστη παραπομπή σ’ αυτήν στο προβλεπόμενο από τις ισχύουσες διατάξεις χρονικό διάστημα. Εξάλλου, το γεγονός και μόνο ότι ο χρόνος τήρησης των 20 Σημ. 4-5 σελ. 11-12 σχετικού υπομνήματος. δεδομένων κατ΄ εφαρμογή της προαναφερθείσας διάταξης του ν. 4792/2021 επεκτάθηκε από επτά
(7)σε τριάντα
(30)ημέρες, αποτελεί πρόσθετο λόγο προς διασφάλιση της κατά τα ανωτέρω αρχής της διαφάνειας (άρθρο 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ), αλλά και προς διασφάλιση της αρχής της ακρίβειας (άρθρο 5 παρ. 1 στοιχ. δ΄ ΓΚΠΔ) για τον ρητό προσδιορισμό του χρόνου τήρησης στην σχετική ενημέρωση προς τα ενδιαφερόμενα υποκείμενα των δεδομένων. Τέταρτον, όσον αφορά την συμμόρφωση του ΝΑΤ με την υποχρέωση διαφανούς ενημέρωσης κατ’ εφαρμογή των οριζομένων στα άρθρα 13 και 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ και την αιτιολογική σκέψη 58 ΓΚΠΔ για την επεξεργασία που έλαβε χώρα κατ’ εφαρμογή της υπ’ αρ. Δ1/ΓΠ.οικ.26389/24-04-2021 (ΦΕΚ Β΄1685) ΚΥΑ, η Αρχή διαπιστώνει ότι η ενημέρωση που παρείχετο μέσω σχετικής ανάρτησης στο περιβάλλον της εφαρμογής που αναπτύχθηκε στο πληροφοριακό σύστημα ΑΝΑΛΥΤΙΚΗ ΠΕΡΙΟΔΙΚΗ ΔΗΛΩΣΗ ΝΑΥΤΙΚΩΝ του ΝΑΤ κατά την δήλωση του αποτελέσματος ήταν ελλιπής. Συγκεκριμένα, η ενημέρωση ότι: «τα ανωτέρα δεδομένα διατηρούνται για το χρονικό διάστημα που είναι αναγκαίο για την εκπλήρωση του ανωτέρω σκοπού επεξεργασίας (…)» δεν είναι σύμφωνη με την απαίτηση διαφανούς ενημέρωσης κατ’ άρθρο 13 παρ. 2 στοιχ. α΄ ΓΚΠΔ, δοθέντος ότι ο χρόνος τήρησης των δεδομένων προσδιορίστηκε ρητά με την διάταξη του άρθρου 27 παρ. 6 στοιχ. δ’ ν. 4792/
  1. Επιπλέον, η ανωτέρω ενημέρωση ήταν ελλιπής, διότι το ΝΑΤ δεν παρείχε πληροφορίες σχετικά με την νομική βάση της επεξεργασίας κατ’ άρθρο 13 παρ. 1 στοιχ. γ΄ ΓΚΠΔ.
  2. Η Αρχή, σε σχέση με την διαπιστωθείσα παραβίαση της υποχρέωσης διαφανούς ενημέρωσης κατ’ εφαρμογή των οριζομένων στα άρθρα 13 και 5 παρ. 1 στοιχ. α΄ ΓΚΠΔ και την αιτιολογική σκέψη 58 ΓΚΠΔ για την επεξεργασία δεδομένων προσωπικού χαρακτήρα δυνάμει των εξεταζομένων ΚΥΑ που αφορούσαν στην διενέργεια των αυτοδιαγνωστικών ελέγχων αποφάσισε ότι συντρέχει περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικές εξουσίες της. Ειδικότερα, η Αρχή, λαμβάνοντας υπόψη κατά την αιτιολογική σκέψη 148 ΓΚΠΔ την περιορισμένη διάρκεια της παραβίασης ως απόρροια του προσωρινού χαρακτήρα του εν λόγω μέτρου, κρίνει ότι πρέπει να απευθύνει επίπληξη, κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ, στους ΗΔΙΚΑ Α.Ε., Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων, Υπουργείο Εσωτερικών και ΝΑΤ, ως υπευθύνους επεξεργασίας, για την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά παράβαση των οριζομένων στις διατάξεις του άρθρου 13 ΓΚΠΔ.
  3. Επειδή, περαιτέρω, κατ’ εφαρμογή της διάταξης του άρθρου 5 παρ.1 στοιχ. ε΄ ΓΚΠΔ, καθιερώνεται επιπλέον και ισοδυνάμως με τις υπόλοιπες αρχές, η αρχή του περιορισμού της περιόδου αποθήκευσης των δεδομένων για το χρονικό διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας. Εν προκειμένω, ο σκοπός για τον οποίο έτυχαν επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα ήταν η (δωρεάν) διάθεση των αυτοδιαγνωστικών δοκιμασιών στα υπόχρεα από το νόμο πρόσωπα προς διενέργεια των σχετικών δοκιμασιών ως προϋπόθεση για την αυτοπρόσωπη προσέλευση στο χώρο εργασίας ή άσκηση λειτουργήματος και η προηγούμενη διαπίστωση μέσω της ειδικής ηλεκτρονικής εφαρμογής που αναπτύχθηκε, μετά την διενέργεια της δοκιμασίας, ότι τα πρόσωπα αυτά δεν έχουν βρεθεί θετικά στη δοκιμασία (άρθρα 46 παρ. 1 ν. 4790/2021 και 27 ν. 4792/2021 ). Οι ως άνω επεξεργασίες έλαβαν χώρα για την συμμόρφωση, εκ μέρους των υπευθύνων προστασίας, με έννομη υποχρέωση και την εκπλήρωση καθήκοντος, το οποίο εκτελείται προς το δημόσιο συμφέρον, (άρθρο 6 παρ. 1 στοιχ. γ΄ και ε’ ΓΚΠΔ), καθώς και, όσον αφορά τα δεδομένα ειδικής κατηγορίας, για λόγους εξυπηρέτησης ουσιαστικού δημόσιου συμφέροντος και δημοσίου συμφέροντος στον τομέα της δημόσιας υγείας (άρθρο 9 παρ. 2 στοιχ. ζ΄και θ΄ ΓΚΠΔ), χάριν προστασίας της δημόσιας υγείας και της αποτροπής της διασποράς του κορωνοϊού κατά την επαγγελματική, κοινωνική και οικονομική δραστηριότητα των ατόμων. Εξάλλου, όπως προαναφέρθηκε, το χρονικό διάστημα τήρησης των δεδομένων για την εκπλήρωση των ανωτέρω σκοπών επεξεργασίας προσδιορίστηκε ρητά στο άρθρο 27 παρ. 6 στοιχ. δ΄ ν. 4792/2021, ήτοι αρχικώς για επτά
(7)και ακολούθως επεκτάθηκε στις τριάντα
(30)ημέρες. Μετά το πέρας το χρονικού αυτού διαστήματος τα δεδομένα προσωπικού χαρακτήρα που έτυχαν επεξεργασίας έπρεπε να διαγραφούν, δεδομένου ιδίως ότι η επεξεργασία τους ερείδεται σε πράξεις βραχείας χρονικής ισχύος, οι οποίες επέβαλαν προσωρινά μέτρα, τακτικώς αναθεωρούμενα, κατά της διασποράς του κορωνοϊού χάριν προστασίας της δημοσίας υγείας, και ότι δεν συντρέχει λόγος τήρησης τους για άλλο συμβατό σκοπό επεξεργασίας, κατ΄ άρθρα 5 παρ. 1 στοιχ. β΄ και 6 παρ. 4 ΓΚΠΔ. Κατ΄ ακολουθία των ανωτέρω η τήρηση των δεδομένων που έτυχαν επεξεργασίας στο πλαίσιο των ανωτέρω καθορισμένων και ρητών σκοπών επεξεργασίας πέραν του προβλεπόμενου χρονικού διαστήματος τήρησής τους είναι αντίθετη με την αρχή του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ.
  1. Επειδή, περαιτέρω, το άρθρο 25 ΓΚΠΔ καθιερώνει την γενική υποχρέωση του υπευθύνου επεξεργασίας για την προστασία των δεδομένων ήδη από τον σχεδιασμό και εξ’ ορισμού. Συγκεκριμένα, η διάταξη του άρθρου αυτού προβλέπει: «
  2. Λαμβάνοντας υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους διαφορετικής πιθανότητας επέλευσης και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων από την επεξεργασία, ο υπεύθυνος επεξεργασίας εφαρμόζει αποτελεσματικά, τόσο κατά τη στιγμή του καθορισμού των μέσων επεξεργασίας όσο και κατά τη στιγμή της επεξεργασίας, κατάλληλα τεχνικά και οργανωτικά μέτρα, όπως η ψευδωνυμοποίηση, σχεδιασμένα για την εφαρμογή αρχών προστασίας των δεδομένων, όπως η ελαχιστοποίηση των δεδομένων, και την ενσωμάτωση των απαραίτητων εγγυήσεων στην επεξεργασία κατά τρόπο ώστε να πληρούνται οι απαιτήσεις του παρόντος κανονισμού και να προστατεύονται τα δικαιώματα των υποκειμένων των δεδομένων.
  3. Ο υπεύθυνος επεξεργασίας εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίζει ότι, εξ ορισμού, υφίστανται επεξεργασία μόνο τα δεδομένα προσωπικού χαρακτήρα που είναι απαραίτητα για τον εκάστοτε σκοπό της επεξεργασίας. Αυτή η υποχρέωση ισχύει για το εύρος των δεδομένων προσωπικού χαρακτήρα που συλλέγονται, τον βαθμό της επεξεργασίας τους, την περίοδο αποθήκευσης και την προσβασιμότητά τους. Ειδικότερα, τα εν λόγω μέτρα διασφαλίζουν ότι, εξ ορισμού, τα δεδομένα προσωπικού χαρακτήρα δεν καθίστανται προσβάσιμα χωρίς την παρέμβαση του φυσικού προσώπου σε αόριστο αριθμό φυσικών προσώπων (…)».
  4. Επειδή, από το σύνολο των στοιχείων του φακέλου της υπόθεσης προκύπτει ότι: Πρώτον, όσον αφορά την συμμόρφωση της ΗΔΙΚΑ Α.Ε. με την αρχή του περιορισμού της περιόδου αποθήκευσης του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ, ότι η ΗΔΙΚΑ Α.Ε. κατ’ εφαρμογή των υπ’ αρ. Δ1α/ ΓΠ.οικ. 27707/04-05-2021 (ΦΕΚ Β΄ 1825) και υπ’ αρ. Δ1α/Γ.Π.οικ.28259/07-05-2021 (ΦΕΚ Β΄ 1866) ΚΥΑ, όπως και η ίδια συνομολογεί τόσο στην υπ’ αρ. πρωτ. … (ΑΠΔ Γ/ΕΙΣ/4274/29.06.2021) απάντηση 21, όσο και κατά την ακροαματική ενώπιον της Αρχής διαδικασία, τηρούσε τα δεδομένα που υποβάλλονταν σε επεξεργασία στην πλατφόρμα https://self-testing.gov.gr για ένα απροσδιόριστο τμήμα της περιόδου, κατά την οποία προβλέπονταν επταήμερη τήρηση (με την διάταξη του άρθρου 27 παρ. 6 στοιχ. δ΄ ν. 4792/2021 έως την τροποποίηση με το άρθρο 69 ν. 4821/2021, ήτοι από τον Απρίλιο 2021 έως 31.07.2021) για μεγαλύτερη χρονική περίοδο κατά παράβαση της ανωτέρω διάταξης του ν. 4792/2021 και εν συνεχεία μετά την 31η.07.2021 η ΗΔΙΚΑ Α.Ε., σύμφωνα με το υπ’ αρ. πρωτ. … (υπ’ αρ. πρωτ. Γ/ΕΙΣ/4803/21.03.2022) υπόμνημά της22, διέγραφε αυτόματα τα δεδομένα μέσω της αξιοποίησης συγκεκριμένων εντολών προς το σύστημα διαχείρισης της βάσης δεδομένων. Επιπλέον, η ΗΔΙΚΑ Α.Ε. με την προαναφερθείσα υπ’ αρ. πρωτ. … (ΑΠΔ Γ/ΕΙΣ/4274/29.06.2021) απάντησή της στην Αρχή απέδωσε την ανωτέρω παραβίαση σε τεχνικό σφάλμα που διαπιστώθηκε κατά την έναρξη λειτουργίας της πλατφόρμας με την τήρηση των αποτελεσμάτων των selftests στις ψηφιακές θυρίδες κάθε πολίτη https://www.gov.gr, το σφάλμα δε αυτό, κατά τους ισχυρισμούς της αντιμετωπίστηκε άμεσα, χωρίς να παράσχει περαιτέρω τεκμηρίωση στην Αρχή για το διαπιστωθέν σφάλμα και τα τεχνικά μέτρα που ελήφθησαν για την αντιμετώπισή του, καίτοι τούτο είχε ζητηθεί με το υπ’ αρ. πρωτ. Γ/ΕΞΕ/1320/27.05.2021 (σημ. α) έγγραφο της Αρχής. Περαιτέρω, από την μελέτη εκτίμησης αντικτύπου (εφεξής ΕΑΠΔ) σχετικά με την «πλατφόρμα καταχώρισης και ηλεκτρονικής διαχείρισης των αποτελεσμάτων της αυτοδιαγνωστικής δοκιμασίας ελέγχου νόσησης από κορωνοϊού covid-19 (self-test)» που προσκόμισε η ΗΔΙΚΑ Α.Ε. στην Αρχή, με την προαναφερόμενη υπ’ αρ. πρωτ. … (ΑΠΔ Γ/ΕΙΣ/4274/29.06.2021) απάντησή της, και πέραν του ότι διενεργήθηκε τον Ιούνιο έτους 2021, ήτοι μετά την έναρξη της επεξεργασίας – βλ. κατωτέρω υπό σκέψη 16επ. παρούσης – και ότι αφορά σε επεξεργασίες δεδομένων που έλαβαν χώρα δυνάμει μέρους μόνο των ΚΥΑ 23 (για την έκδοση αντίστοιχης βεβαίωσης από μαθητές και εκπαιδευτικούς, για τη συμμετοχή στις πανελλαδικές εξετάσεις και από φοιτητές) και δεν καταλαμβάνει Σελ. 3 σχετικής απάντησης Σελ. 4 σχετικού υπομνήματος. 23 Βλ. ιδίως σημεία 1.1., 2.1 σχετικής μελέτης ΕΑΠΔ. 21 22 το σύνολο των επεξεργασιών για τις οποίες η ΗΔΙΚΑ Α.Ε. έχει οριστεί δυνάμει των εξεταζόμενων ΚΥΑ (αποκλειστικός) υπεύθυνος επεξεργασίας 24, προκύπτει ότι η ΗΔΙΚΑ Α.Ε., ιδίως στην περιγραφή και αξιολόγηση των μέτρων για την γενική ασφάλεια, την περιγραφή και αξιολόγηση των οργανωτικών μέτρων (διακυβέρνηση), ανάλυση και αξιολόγηση των κινδύνων, αξιολόγηση των κινδύνων και εντοπισμός διορθωτικών μέτρων για την μείωση ή εξάλειψη των ανωτέρω κινδύνων και της πιθανότητας επέλευσης αυτών (σημ. 2.
  5. και 3.
  6. της σχετικής μελέτης ΕΑΠΔ) δεν περιλαμβάνει αξιολόγηση του κινδύνου της μη ορθής τήρησης της αρχής του περιορισμού της περιόδου αποθήκευσης, και κατά συνέπεια ούτε κάποιο διορθωτικό μέτρο για τη μελλοντική αποτροπή του, εκτός από μία αόριστη αξιολόγηση των επιλεγμένων μέτρων για τη διασφάλιση της περιορισμένης διάρκειας αποθήκευσης, χωρίς όμως κάποια περαιτέρω ανάλυση ή προσδιορισμό των μέτρων αυτών (σημ. 4.1 της σχετικής μελέτης ΕΑΠΔ), σύμφωνα με τις επιταγές της παρ. 1 του άρθρου 25 ΓΚΠΔ. Κατ’ ακολουθία των ανωτέρω, η Αρχή διαπιστώνει ότι η ΗΔΙΚΑ Α.Ε. με την ιδιότητα του (αποκλειστικού) υπευθύνου επεξεργασίας, έστω και για περιορισμένο χρονικό διάστημα (χωρίς να παρέχεται τεκμηρίωση για τον σαφή προσδιορισμό του) τηρούσε τα αποτελέσματα των διαγνωστικών ελέγχων στην πλατφόρμα https://selftesting.gov.gr για μεγαλύτερο χρονικό διάστημα του οριζομένου στην διάταξη του άρθρου 27 παρ. 6 στοιχ. δ΄ ν. 4792/2021 κατά παράβαση της αρχής του περιορισμού της περιόδου αποθήκευσης (άρθρο 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ). Εξάλλου και δεδομένου ότι στη σχετική μελέτη ΕΑΠΔ της ΗΔΙΚΑ Α.Ε. γίνεται αναφορά σε ανάγκη διασφάλισης με κατάλληλα τεχνικά και οργανωτικά μέτρα ότι τα δεδομένα διαγράφονται άμεσα ύστερα από την πάροδο του διαστήματος των επτά
(7)ημερών, η Αρχή συνάγει ότι η μη τήρηση της αρχής του περιορισμού της περιόδου αποθήκευσης οφείλεται στο γεγονός ότι η ΗΔΙΚΑ Α.Ε. δεν εφάρμοσε κατάλληλα τεχνικά και οργανωτικά μέτρα για τη συμμόρφωση ως προς τη θεμελιώδη αυτή αρχή με την λήψη κατάλληλων τεχνικών μέτρων ασφαλείας όπως ειδικότερα προβλέπει η διάταξη του άρθρου 25 παρ. 1 ΓΚΠΔ. Δηλ. και την υπ’ αρ. Δ1α/Γ.π.οικ. 24527/19.04.2021 (ΦΕΚ Β’ 1582) ΚΥΑ για τους δικαστικούς και εισαγγελικούς λειτουργούς. 24 Δεύτερον, όσον αφορά την συμμόρφωση του Υπουργείου Εργασίας και Κοινωνικών Υποθέσεων με την αρχή του περιορισμού της περιόδου αποθήκευσης του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που έλαβε χώρα κατ’ εφαρμογή της υπ’ αρ. Δ1α/ΓΠ.οικ.24525/18-042021 (ΦΕΚ Β΄1588) όπως τροποποιήθηκε και ίσχυε, η Αρχή, λαμβάνοντας υπόψη ιδίως την υπ΄ αρ. πρωτ. … (ΑΠΔ Γ/ΕΙΣ/326/17.01.2022) απάντησή της, δέχεται τον ισχυρισμό που προβάλλει το εν λόγω Υπουργείο ότι μετά το προβλεπόμενο στην διάταξη του άρθρου 27 παρ. 6 στοιχ. δ΄ ν. 4792/2021, όπως τροποποιήθηκε και ίσχυε, χρονικό διάστημα τα δεδομένα βρίσκονταν απλώς αποθηκευμένα σε πλήρη περιορισμό οποιασδήποτε περαιτέρω επεξεργασίας, ελλείψει άλλης νομοθετικής πρόβλεψης, και ότι, βάσει και της τεκμηρίωσης που παρέσχε στην Αρχή, όλα τα δεδομένα των εργαζομένων του ιδιωτικού τομέα που είχαν καταχωρισθεί στην πλατφόρμα https://self-testing.gov.gr διαγράφηκαν οριστικά την 12η. 01.
  1. Τρίτον, όσον αφορά την συμμόρφωση του Υπουργείου Εσωτερικών με την αρχή του περιορισμού της περιόδου αποθήκευσης του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΔΠ για την επεξεργασία που έλαβε χώρα κατ’ εφαρμογή της υπ’ αρ. Δ1α/ΓΠ.οικ. 26390/2404-2021 (ΦΕΚ Β΄1686) όπως τροποποιήθηκε και ίσχυε, η Αρχή, λαμβάνοντας ιδίως υπόψη το υπ’ αρ. πρωτ. … (ΑΠΔ Γ/ΕΙΣ/4658/18.03.2022) υπόμνημα, δέχεται τον ισχυρισμό που προβάλλεται με το ανωτέρω υπόμνημα ότι η σχετική μικροεφαρμογή που είχε δημιουργηθεί στο πλαίσιο του πληροφοριακού συστήματος Μητρώο Ανθρώπινου Δυναμικού Ελληνικού Δημοσίου, στο οποίο παρείχετο ανακατεύθυνση κατά την δήλωση των αποτελεσμάτων των διαγνωστικών δοκιμασιών των δημοσίων υπαλλήλων μέσω της πλατφόρμας https://self-testing.gov.gr, έχει αφαιρεθεί από το ανωτέρω πληροφοριακό σύστημα μετά την κατάργηση της εξεταζόμενης ΚΥΑ. Τέταρτον, όσον αφορά την συμμόρφωση του ΝΑΤ με την αρχή του περιορισμού της περιόδου αποθήκευσης του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ για την επεξεργασία που έλαβε χώρα κατ’ εφαρμογή της υπ’ αρ. Δ1/ΓΠ.οικ.26389/24-04-2021 (ΦΕΚ Β΄1685), λαμβάνοντας ιδίως υπόψη το από 18.03.2022 (υπ’ αρ. πρωτ. ΑΠΔ Γ/ΕΙΣ/5225/25.03.2022) υπόμνημα, η Αρχή διαπιστώνει ότι δεν παρέχεται τεκμηρίωση σχετικά με την λειτουργία της ειδικής εφαρμογής που αναπτύχθηκε στο πληροφοριακό σύστημα Αναλυτική Περιοδική Δήλωση Ναυτικών του ΝΑΤ για την δήλωση του αποτελέσματος της αυτοδιαγνωστικής δοκιμασίας των ναυτικών – μελών πληρωμάτων πλοίων και την έκδοση σχετικών δηλώσεων
  3. Η Αρχή, α) λαμβάνοντας υπόψη τα ανωτέρω κρίνει κατά πλειοψηφία ότι για την διαπιστωθείσα παραβίαση του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ πρέπει, με βάση τις περιστάσεις που διαπιστώθηκαν, να επιβάλει κατά πλειοψηφία, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο, κατ’ άρθρο 83 ΓΚΠΔ σύμφωνα και με τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679» της ομάδας εργασίας του άρθρου 29 26, στην ΗΔΙΚΑ Α.Ε., ως υπεύθυνο επεξεργασίας, λόγω της παράλειψης λήψης τεχνικών μέτρων ασφαλείας κατ’ άρθρο 25 παρ. 1 ΓΚΠΔ για την συμμόρφωση με την αρχή του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ. Κατά την αξιολόγηση των δεδομένων, προκειμένου να επιλεγεί το πρόσφορο και διορθωτικό μέτρο, η Αρχή συνεκτιμά, ότι η συγκεκριμένη παραβίαση ήταν περιορισμένης χρονικής διάρκειας (άρθρο 83 παρ. 2 στοιχ. α΄), ότι πάντως μετά το υπ’ αρ. πρωτ. Γ/ΕΞΕ/1320/27.05.2021 έγγραφο της Αρχής η ΗΔΙΚΑ Α.Ε. αποκατέστησε το τεχνικό σφάλμα (άρθρο 83 παρ.2 στοιχ. γ΄), ότι αφορούσε σε επεξεργασία ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα (δεδομένα υγείας, άρθρο 83 παρ. 2 στοιχ. ζ΄), καθώς και ο βαθμός ευθύνης, λαμβάνοντας υπόψη τα τεχνικά και οργανωτικά μέτρα που εφάρμοσε (άρθρο 83 παρ. 2 στοιχ. δ’) και κρίνει ότι πρόσφορο μέτρο με τα δεδομένα της υπόθεσης είναι το χρηματικό πρόστιμο ύψους πέντε χιλιάδων (5.000) ευρώ. Κατά την γνώμη όμως των μειοψηφούντων μελών Χαράλαμπου Ανθόπουλου και Αικατερίνης Ηλιάδου για την ανωτέρω διαπιστωθείσα παραβίαση, λαμβάνοντας υπόψη κατά την αιτιολογική σκέψη 148 ΓΚΠΔ την περιορισμένη διάρκεια της παράβασης, την δυσμενή υγειονομική συγκυρία και την ανάγκη εφαρμογής μέτρων για την άμεση Σημειώνεται ότι η υπ’ αρ. Δ1/ΓΠ.οικ.26389/24.04.2021 (ΦΕΚ Β΄1685) καταργήθηκε με το άρθρο 5 της ΚΥΑ Δ1α/ΓΠ.οικ. 24416 (ΦΕΚ B` 2194/04.05.2022), με ισχύ από 4.5.2022, σύμφωνα με το άρθρο 6 της νεότερης ΚΥΑ. 26 Λαμβάνοντας επιπλέον υπόψη τις Κατευθυντήριες Γραμμές 04/2022 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων από 12.05.2022 υπό δημόσια διαβούλευση, διαθέσιμες στον σύνδεσμο https://edpb.europa.eu/system/files/202205/edpb_guidelines_042022_calculationofadministrativefines_en.pdf 25 αντιμετώπισή της, το περιορισμένο μέγεθος των κινδύνων, και το γεγονός ότι η ΗΔΙΚΑ Α.Ε. σε κάθε περίπτωση ανέλαβε δράσεις για την άρση της παράβασης, προσήκει, εν προκειμένω, ως πρόσφορο το διορθωτικό μέτρο της επίπληξης κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ. β) λαμβάνοντας υπόψη κατά την αιτιολογική σκέψη 148 ΓΚΠΔ την περιορισμένη διάρκεια της παραβίασης ως απόρροια του προσωρινού χαρακτήρα του εν λόγω μέτρου, κρίνει ομόφωνα ότι πρέπει να δώσει εντολή στο ΝΑΤ, κατ’ άρθρο 58 παρ. 2 στοιχ. δ΄ ΓΚΠΔ, να αφαιρέσει την εφαρμογή που ανέπτυξε στο πληροφοριακό σύστημά του κατ’ εφαρμογή της υπ’ αρ. Δ1/ΓΠ.οικ.26389/24-04-2021 (ΦΕΚ Β΄1685) ΚΥΑ και να διαγράψει τυχόν δεδομένα των ναυτικών – μελών πληρωμάτων πλοίων που τυχόν υπάρχουν σ’ αυτήν σε συμμόρφωση προς την αρχή του περιορισμού της περιόδου αποθήκευσης.
  4. Επειδή, τέλος, βασικό εργαλείο λογοδοσίας του υπευθύνου επεξεργασίας για την συμμόρφωσή του με τις υποχρεώσεις που καθιερώνει ο ΓΚΠΔ μέσω της υιοθέτησης κατάλληλων μέτρων για την αντιμετώπιση κινδύνων για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων κατ’ άρθρο 24 ΓΚΠΔ, συνιστά η μελέτη εκτίμησης επιπτώσεων προστασίας δεδομένων, σύμφωνα με τα οριζόμενα στην διάταξη του άρθρου 35 ΓΚΠΔ. Ειδικότερα, το άρθρο 35 προβλέπει ότι: «
  5. Όταν ένα είδος επεξεργασίας, ιδίως με χρήση νέων τεχνολογιών και συνεκτιμώντας τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, ενδέχεται να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας διενεργεί, πριν από την επεξεργασία, εκτίμηση των επιπτώσεων των σχεδιαζόμενων πράξεων επεξεργασίας στην προστασία δεδομένων προσωπικού χαρακτήρα. Σε μία εκτίμηση μπορεί να εξετάζεται ένα σύνολο παρόμοιων πράξεων επεξεργασίας οι οποίες ενέχουν παρόμοιους υψηλούς κινδύνους.
  6. Ο υπεύθυνος επεξεργασίας ζητεί τη γνώμη του υπευθύνου προστασίας δεδομένων, εφόσον έχει οριστεί, κατά τη διενέργεια εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων.
  7. Η αναφερόμενη στην παράγραφο 1 εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων απαιτείται ιδίως στην περίπτωση: α) συστηματικής και εκτενούς αξιολόγησης προσωπικών πτυχών σχετικά με φυσικά πρόσωπα, η οποία βασίζεται σε αυτοματοποιημένη επεξεργασία, περιλαμβανομένης της κατάρτισης προφίλ, και στην οποία βασίζονται αποφάσεις που παράγουν έννομα αποτελέσματα σχετικά με το φυσικό πρόσωπο ή ομοίως επηρεάζουν σημαντικά το φυσικό πρόσωπο, β) μεγάλης κλίμακας επεξεργασίας των ειδικών κατηγοριών δεδομένων που αναφέρονται στο άρθρο 9 παράγραφος 1 ή δεδομένων προσωπικού χαρακτήρα που αφορούν ποινικές καταδίκες και αδικήματα που αναφέρονται στο άρθρο 10 ή γ) συστηματικής παρακολούθησης δημοσίως προσβάσιμου χώρου σε μεγάλη κλίμακα». Συνακόλουθα, λαμβάνοντας υπόψη τις αιτιολογικές σκέψεις 71, 75, 84 και 91 ΓΚΠΔ, την απόφαση 65/2018 της Αρχής27 και τις σχετικές κατευθυντήριες γραμμές της Ο.Ε. του άρθρου 29 που έχει υιοθετήσει το ΕΣΠΔ 28, η Αρχή διαπιστώνει ότι για την επεξεργασία που έλαβε χώρα κατ’ εφαρμογή των εξεταζόμενων ΚΥΑ, υπήρξε διακινδύνευση υψηλού κινδύνου για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ιδίως διότι έλαβε χώρα συστηματική και εκτενής αξιολόγηση προσωπικών πτυχών φυσικών προσώπων, η οποία βασίστηκε σε αυτοματοποιημένη επεξεργασία και η οποία επάγονταν έννομα αποτελέσματα για τα πρόσωπα, και υπήρξε μεγάλης κλίμακας επεξεργασία ειδικής κατηγορίας δεδομένων (δεδομένων υγείας), κατ’ εφαρμογή των οριζομένων στις διατάξεις του άρθρου 35 παρ. 3 στοιχ. α΄ και β΄ ΓΚΠΔ.
  8. Περαιτέρω, από τα στοιχεία του φακέλου της υπόθεσης η Αρχή διαπιστώνει, πρώτον, ότι η ΗΔΙΚΑ Α.Ε. και το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων, ως υπεύθυνοι επεξεργασίας, εκπόνησαν την μελέτη εκτίμησης αντικτύπου μετά την έναρξη της επεξεργασίας, κατά παράβαση της διάταξης του άρθρου 35 παρ. 1 ΓΚΠΔ, σύμφωνα με την οποία η μελέτη ΕΑΠΔ πρέπει να διενεργείται πριν από την έναρξη της επεξεργασίας δεδομένων προσωπικού χαρακτήρα προς διασφάλιση της αποτελεσματικής προστασίας του δικαιώματος στην προστασία των προσωπικών δεδομένων. Η Αρχή διαπιστώνει, δεύτερον, ότι οι εκπρόθεσμες πάντως, κατά τα ανωτέρω, διενεργηθείσες μελέτες ΕΑΠΔ έγιναν αφενός, κατά παράβαση της διάταξης του άρθρου 35 παρ. 7 παρ. δ΄ ΓΚΠΔ, καθώς η Διαθέσιμη στην ιστοσελίδα της. Κατευθυντήριες γραμμές για την εκτίμηση του αντικτύπου σχετικά με την προστασία δεδομένων (ΕΑΠΔ) και καθορισμός του κατά πόσον η επεξεργασία «ενδέχεται να επιφέρει υψηλό κίνδυνο» για τους σκοπούς του κανονισμού 2016/
  9. (WP 248 αναθ. 01) 27 28 ΗΔΙΚΑ Α.Ε. και το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων παρέλειψαν να περιλάβουν σ’ αυτές μέτρα αντιμετώπισης των κινδύνων για τη μη συμμόρφωση με την αρχή της περιορισμένης διάρκειας αποθήκευσης, κατά τα διαλαμβανόμενα στην προαναφερόμενη σκέψη 14 της παρούσης. Αφετέρου, οι μελέτες ΕΑΠΔ που υπέβαλαν στην Αρχή η ΗΔΙΚΑ Α.Ε. και το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων πραγματοποιήθηκαν κατά παράβαση της διάταξης του άρθρου 35 παρ. 7 στοιχ. γ΄ ΓΚΠΔ, δοθέντος ότι σ’ αυτές δεν περιλαμβάνεται ούτε αξιολογείται ο κίνδυνος για τη μη ορθή ικανοποίηση των δικαιωμάτων των υποκειμένων των δεδομένων. Τέλος, από τα στοιχεία του φακέλου της υπόθεσης προκύπτει ότι το Υπουργείο Εσωτερικών και το ΝΑΤ, ως υπεύθυνοι επεξεργασίας, δεν εκπόνησαν μελέτη ΕΑΠΔ πριν την έναρξη της επεξεργασίας, κατά παράβαση των οριζομένων στην διάταξη του άρθρου 35 παρ. 1 ΓΚΠΔ, ούτε πρoσέτι παρείχαν τεκμηρίωση στην Αρχή αν έστω και καθυστερημένα ολοκλήρωσαν την εκπόνησή τους σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 35 ΓΚΠΔ. Ειδικότερα, αφενός το Υπουργείο Εσωτερικών, παρόλο που ενημέρωσε την Αρχή με το υπ’ αρ. πρωτ. ΕΞ. ΕΠΕΙΓΟΝ … (ΑΠΔ Γ/ΕΙΣ/4689/15.07.2021) έγγραφο ότι θα συμπεριλάβει την μελέτη εκτίμησης αντικτύπου της ηλεκτρονικής διαχείρισης των αποτελεσμάτων της διαγνωστικής δοκιμασίας ελέγχου της νόσησης από κορωνοϊό COVID-19 στην γενικότερη μελέτη που θα διενεργήσει για το σύνολο των δεδομένων προσωπικού χαρακτήρα που τηρούνται στο Μητρώο Ανθρώπινου Δυναμικού Ελληνικού Δημοσίου, η οποία ήταν στο στάδιο του σχεδιασμού της υλοποίησης, ουδεμία ενημέρωση παρέσχε στη συνέχεια στην Αρχή για την διενέργειά της. Εξάλλου, λαμβάνοντας υπόψη τις προαναφερόμενες ΚΓ του άρθρου 29 (WP 248 αναθ 01)29 και την αιτιολογική σκέψη 92 ΓΚΠΔ, ακόμα και αν ήθελε θεωρηθεί ότι η εξεταζόμενη επεξεργασία είναι αντικείμενο μιας κοινής εφαρμογής του Μητρώου Ανθρώπινου Δυναμικού Ελληνικού Δημοσίου, στο πλαίσιο της οποίας θα μπορούσε να χρησιμοποιηθεί μια επιμέρους μελέτη εκτίμησης αντικτύπου για την αξιολόγηση περισσότερων πράξεων επεξεργασίας, ο προβαλλόμενος από το Υπουργείο λόγος δεν μπορεί να οδηγήσει στην άρση της υποχρέωσης συμμόρφωσης κατ΄ άρθρο 35 παρ. 1 ΓΚΠΔ. Αφετέρου, το 29 ιδίως σελ.
  10. ΝΑΤ παρόλο που ενημέρωσε την Αρχή με το υπ’ αρ. πρωτ. … (ΑΠΔ Γ/ΕΙΣ/4633/13.07.2021) έγγραφο ότι η μελέτη εκτίμησης αντικτύπου που διενήργησε τελούσε – κατά το χρόνο αποστολής του προαναφερόμενου εγγράφου – υπό οριστικοποίηση, ουδεμία ενημέρωση παρέσχε στη συνέχεια στην Αρχή για την διενέργειά της.
  11. Η Αρχή, σε σχέση με την διαπιστωθείσα παραβίαση συμμόρφωσης με την υποχρέωση διενέργειας μελέτης ΕΑΠΔ, κατ’ άρθρο 35 παρ. 1 και παρ. 7 στοιχ. γ΄ και δ΄ ΓΚΠΔ, για την επεξεργασία δεδομένων προσωπικού χαρακτήρα δυνάμει των εξεταζομένων ΚΥΑ που αφορούσαν στην διενέργεια των αυτοδιαγνωστικών ελέγχων αποφάσισε ότι συντρέχει περίπτωση να ασκήσει τις εκ του άρθρου 58 παρ. 2 ΓΚΠΔ διορθωτικές εξουσίες της. Ειδικότερα, η Αρχή, λαμβάνοντας υπόψη κατά την αιτιολογική σκέψη 148 ΓΚΠΔ τη φύση, την σοβαρότητα και την διάρκεια της παραβίασης, ομόφωνα απευθύνει επίπληξη, κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ, στην ΗΔΙΚΑ Α.Ε. και το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων, ως υπευθύνους επεξεργασίας, για την εκπρόθεσμη και κατά παράλειψη αφενός της εκτίμησης των κινδύνων για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και αφετέρου της πρόβλεψης μέτρων αντιμετώπισης του κινδύνου παραβίασης της συμμόρφωσης με την αρχή της περιορισμένης διάρκειας αποθήκευσης, διενέργεια μελέτης ΕΑΠΔ για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που έλαβε χώρα κατά την δήλωση των αποτελεσμάτων των αυτοδιαγνωστικών ελέγχων, όπως ειδικότερα αναλύονται στην σκέψη 17 της παρούσης. Επιπλέον, η Αρχή κρίνει, κατά πλειοψηφία, ότι πρέπει με βάση τις περιστάσεις που διαπιστώθηκαν να επιβάλει, κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠΔ, αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο, κατ’ άρθρο 83 ΓΚΠΔ σύμφωνα και με τις Κατευθυντήριες Γραμμές «για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679» της ομάδας εργασίας του άρθρου 29 30, στο Υπουργείο Λαμβάνοντας επιπλέον υπόψη τις Κατευθυντήριες Γραμμές 04/2022 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων από 12.05.2022 υπό δημόσια διαβούλευση, διαθέσιμες στον σύνδεσμο 30 Εσωτερικών και το ΝΑΤ, ως υπευθύνους επεξεργασίας, λόγω της μη συμμόρφωσής τους με την υποχρέωση του άρθρου 35 ΓΚΠΔ. Κατά την αξιολόγηση των δεδομένων, προκειμένου να επιλεγεί το πρόσφορο και διορθωτικό μέτρο, η Αρχή συνεκτιμά, ότι η συγκεκριμένη παραβίαση ήταν περιορισμένης χρονικής διάρκειας, η οποία πάντως αφορούσε σε σημαντικό αριθμό ενδιαφερομένων υποκειμένων (άρθρο 83 παρ. 2 στοιχ. α΄) και ότι αφορούσε σε επεξεργασία ειδικής κατηγορίας δεδομένων προσωπικού χαρακτήρα (δεδομένα υγείας, άρθρο 83 παρ. 2 στοιχ. ζ΄) και κρίνει ότι πρόσφορο μέτρο με τα δεδομένα της υπόθεσης είναι το χρηματικό πρόστιμο ύψους πέντε χιλιάδων (5.000) ευρώ. Κατά την γνώμη όμως των μειοψηφούντων μελών Χαράλαμπου Ανθόπουλου και Αικατερίνης Ηλιάδου για την ανωτέρω διαπιστωθείσα παραβίαση, λαμβάνοντας υπόψη κατά την αιτιολογική σκέψη 148 ΓΚΠΔ την περιορισμένη διάρκεια της παράβασης, την δυσμενή υγειονομική συγκυρία και την ανάγκη εφαρμογής μέτρων για την άμεση αντιμετώπισή της και το περιορισμένο μέγεθος των κινδύνων, προσήκει, εν προκειμένω, ως πρόσφορο το διορθωτικό μέτρο της επίπληξης κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή α) διαπιστώνει ότι ο προσδιορισμός στο άρθρο 6 παρ. 1 της υπ’ αρ. Δ1α/Γ.Π. ΟΙΚ. 26394/25-04-2021 (ΦΕΚ Β΄1688) ΚΥΑ του Υπουργείου Παιδείας και Θρησκευμάτων αυτοτελώς ως υπευθύνου επεξεργασίας για την κατηγορία των θρησκευτικών λειτουργών και του βοηθητικού προσωπικού χώρων λατρείας του άρθρου 1 στοιχ. α΄ και β΄ της ανωτέρω ΚΥΑ ήταν εσφαλμένος, για τους λόγους που αναλύονται στην σκέψη 8 της παρούσης, β) διαπιστώνει ότι η ενημέρωση που παρείχετο από τους ΗΔΙΚΑ Α.Ε., Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων, Υπουργείο Εσωτερικών και Ναυτικό Απομαχικό Ταμείο, ως υπευθύνων επεξεργασίας, αναφορικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα δυνάμει των υπ’ αρ. υπ’ αρ. Δ1α/ ΓΠ.οικ. 27707/04-.05-2021 https://edpb.europa.eu/system/files/202205/edpb_guidelines_042022_calculationofadministrativefines_en.pdf (ΦΕΚ Β΄1825) και υπ’ αρ. Δ1α/Γ.Π.οικ.28259/07-05-2021 (ΦΕΚ Β΄ 1866) ΚΥΑ, Δ1α/ΓΠ.οικ.24525/18-04-2021 (ΦΕΚ Β΄1588), Δ1α/ΓΠ.οικ. 26390/24-04-2021 (ΦΕΚ Β΄1686) και υπ’ αρ. Δ1/ΓΠ.οικ.26389/24-04-2021 (ΦΕΚ Β΄1685), αντίστοιχα, όπως τροποποιήθηκαν και ίσχυαν, ήταν ελλιπής κατά παράβαση των οριζομένων στις διατάξεις του άρθρου 13 ΓΚΠΔ για τους λόγους που διεξοδικά αναλύονται στην σκέψη 10 της παρούσας, και απευθύνει επίπληξη, κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ, στην ΗΔΙΚΑ ΑΕ, το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων, το Υπουργείο Εσωτερικών και το Ναυτικό Απομαχικό Ταμείο, ως υπευθύνους επεξεργασίας, για την ανωτέρω παραβίαση, γ) διαπιστώνει ότι η ΗΔΙΚΑ Α.Ε., ως υπεύθυνος επεξεργασίας, κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα μέσω της πλατφόρμας https://self-testing.gov.gr τηρούσε δεδομένα προσωπικού χαρακτήρα για χρονικό διάστημα μεγαλύτερο του προβλεπομένου στην διάταξη του άρθρου 27 παρ. 6 στοιχ. δ΄ ν. 4792/2021 κατά παράβαση της αρχής του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ, λόγω μη λήψης κατάλληλων και οργανωτικών μέτρων ασφαλείας κατά τα οριζόμενα στο άρθρο 25 ΓΚΠΔ, και επιβάλλει στην ΗΔΙΚΑ, χρηματικό πρόστιμο ύψους πέντε χιλιάδων (5.000) ευρώ, για τους λόγους που εκτενώς αναλύονται στις σκέψεις 12-15 της παρούσης, δ) δίνει εντολή, κατ’ άρθρο 58 παρ. 2 στοιχ. δ΄ ΓΚΠΔ, στο Ναυτικό Απομαχικό Ταμείο, ως υπεύθυνο επεξεργασίας να αφαιρέσει την εφαρμογή που ανέπτυξε στο πληροφοριακό σύστημά του κατ’ εφαρμογή της υπ’ αρ. Δ1/ΓΠ.οικ.26389/24-04-2021 (ΦΕΚ Β΄1685) και να διαγράψει τυχόν δεδομένα των ναυτικών – μελών πληρωμάτων πλοίων που τυχόν υπάρχουν σ’ αυτήν σε συμμόρφωση προς την αρχή του άρθρου 5 παρ. 1 στοιχ. ε΄ ΓΚΠΔ, ε) απευθύνει επίπληξη, κατ’ άρθρο 58 παρ. 2 στοιχ. β΄ ΓΚΠΔ, στην ΗΔΙΚΑ Α.Ε. και το Υπουργείο Εργασίας και Κοινωνικών Υποθέσεων, ως υπευθύνους επεξεργασίας, για τις επιμέρους παραβιάσεις του άρθρου 35 παρ. 1 και παρ. 7 ΓΚΠΔ, όπως διεξοδικά αναλύονται στις σκέψεις 16-17 της παρούσης και στ) επιβάλλει στο Υπουργείο Εσωτερικών και το Ναυτικό Απομαχικό Ταμείο, ως υπευθύνους επεξεργασίας, για την παραβίαση του άρθρου 35 παρ. 1 ΓΚΠΔ χρηματικό πρόστιμο ύψους πέντε χιλιάδων (5.000) ευρώ έκαστο για τους λόγους που εκτενώς αναλύονται στις σκέψεις 16-18 της παρούσης. Ο Πρόεδρος Η Γραμματέας Κωνσταντίνος Μενουδάκος Γεωργία Παλαιολόγου

🔗 Στην επίσημη πηγή

Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.