Διαβίβαση προσωπικών δεδομένων από εκτελούντα την επεξεργασία σε τρίτον

Αθήνα, 06-09-2022 Αριθ. Πρωτ.: Γ/ΕΞ/2194 ΑΠΟΦΑΣΗ 47/2022 Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνήλθε μετά από πρόσκληση του Προέδρου της σε συνεδρίαση την Τρίτη 31.5.2022 και ώρα 10.00 π.μ., προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Πρόεδρος της Αρχής Κωνσταντίνος Μενουδάκος και τα τακτικά μέλη της Αρχής Χαράλαμπος Ανθόπουλος, Αικατερίνη Ηλιάδου, Χρήστος Καλλονιάτης, Κωνσταντίνος Λαμπρινουδάκης, και Γρηγόριος Τσόλιας. Επίσης παρέστησαν τα αναπληρωματικά μέλη της Αρχής Γεώργιος Κόντης, ως εισηγητής, και Χρήστος Παπαθεοδώρου, σε αναπλήρωση του τακτικού μέλους Σπυρίδωνος Βλαχόπουλου, ο οποίος αν και εκλήθη νομίμως, δεν παρέστη λόγω κωλύματος. Παρούσες χωρίς δικαίωμα ψήφου ήταν οι Καλλιόπη Καρβέλη, ειδικός επιστήμονας, ως βοηθός εισηγητή, και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Τμήματος Διοικητικών Υποθέσεων της Αρχής, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα ακόλουθα: Στις 21 Ιανουαρίου 2022 ο Ενιαίος Δημοσιογραφικός Οργανισμός Επικουρικής Ασφάλισης και Περίθαλψης (εφεξής «ΕΔΟΕΑΠ») με την ιδιότητα του υπευθύνου επεξεργασίας υπέβαλε στην Αρχή τη με αριθ. πρωτ. Γ/ΕΙΣ/831/21.01.22 γνωστοποίηση περιστατικού παραβίασης από την εκτελούσα την επεξεργασία ΕΔΥΤΕ Α.Ε. Ειδικότερα, όπως ανέφερε, ο ΕΔΟΕΑΠ (υπεύθυνος επεξεργασίας) διενήργησε αρχαιρεσίες μέσω της πλατφόρμας ΖΕΥΣ της ΕΔΥΤΕ Α.Ε.(εκτελούσα). Τρεις υποψήφιοι ζήτησαν από την ΕΔΥΤΕ Α.Ε. προσωπικά δεδομένα των ψηφοφόρων (ποιος και με ποιο τρόπο ψήφισε) με βάση σχετική εισαγγελική παραγγελία. Η ΕΔΥΤΕ Α.Ε. (ως εκτελούσα) ενημέρωσε τον υπεύθυνο (ΕΔΟΕΑΠ) στις 10-12-

1. Ο υπεύθυνος τρεις 1 μέρες μετά, εξέφρασε αντίθεση στη διαβίβαση ενημερώνοντας την ΕΔΥΤΕ ότι είχε λάβει και αυτός εισαγγελική παραγγελία που είχε όμως «ανακληθεί». Παρόλα αυτά, ο εκτελών προχώρησε σε διαβίβαση (με επίκληση υποχρέωσή του κατά το νόμο) και ενημέρωσε τον υπεύθυνο στις 12-01-
2. Ο ΕΔΟΕΑΠ υπέβαλε την ανωτέρω γνωστοποίηση διότι θεώρησε ότι συνέτρεχε παραβίαση εμπιστευτικότητας και άρα περιστατικό του άρθ. 33 του ΓΚΠΔ. Στην προκειμένη υπόθεση δεν τίθεται θέμα έλλειψης/παράβασης ασφάλειας, ανακύπτει όμως το ζήτημα, αυτεπαγγέλτως εξεταζόμενο, αν νομίμως η ΕΔΥΤΕ Α.Ε., ως εκτελούσα την επεξεργασία, παρέσχε τα σχετικά στοιχεία. Στο πλαίσιο εξέτασης της υπόθεσης, η Αρχή απέστειλε στην ΕΔΥΤΕ Α.Ε. και στον ΕΔΟΕΑΠ την υπ’ αριθ. πρωτ. 499/22-02-2022 επιστολή με θέμα «Διαβίβαση προσωπικών δεδομένων σε τρίτους» με τις εξής ερωτήσεις: 1) Με ποια νομική βάση έγινε η συγκεκριμένη διαβίβαση και πιο συγκεκριμένα εάν η εν λόγω διαβίβαση έγινε βάσει του άρθρου 29 του ΓΚΠΔ ή βάσει έννομης υποχρέωσης από άλλη διάταξη νόμου, και 2) Εάν προηγήθηκε η ενημέρωση των υποκειμένων των δεδομένων για τη διαβίβαση αυτή. Α) Η ΕΔΥΤΕ Α.Ε. στο υπ’ αριθ. πρωτ. Γ/ΕΙΣ/3791/09.03.22 υπόμνημά της ανέφερε τα εξής: Την Δευτέρα 11 Οκτωβρίου 2021 ο ΕΔΟΕΑΠ έστειλε μήνυμα δια ηλεκτρονικής αλληλογραφίας προς το Γραφείο Αρωγής Χρηστών της «Ψηφιακής Κάλπης ΖΕΥΣ» που ζητούσε να χρησιμοποιήσει την υπηρεσία για διενέργεια του Αρχαιρεσιών του, οι οποίες θα διεξάγονταν το χρονικό διάστημα από 19 έως και 24 Νοεμβρίου. Στις 15 Οκτωβρίου 2021 πραγματοποιήθηκε η σύναψη Συμφωνητικού Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα μεταξύ του ΕΔΟΕΑΠ και τις ΕΔΥΤΕ Α.Ε. το οποίο ορίζει τις σχέσεις μεταξύ των δύο μερών. Μετά την πραγματοποίηση των εκλογών το Σάββατο 27 Νοεμβρίου 2021, η ΕΔΥΤΕ Α.Ε. έλαβε δια ηλεκτρονικής αλληλογραφίας «Επίσημο αίτημα για διερεύνηση και χορήγηση στοιχείων της ηλεκτρονικής ψηφοφορίας που διεξήχθη στον ΕΔΟΕΑΠ μέσω της ηλεκτρονικής κάλπης ΖΕΥΣ» από τον Α (ο οποίος υπογράφει ως πρώην … ΕΔΟΕΑΠ και …), ο οποίος αιτήθηκε τη χορήγηση των ακόλουθων στοιχείων: α) πλήρες αντίγραφο του σώματος των εκλεκτόρων, όπως αυτό διαμορφώθηκε στη λήξη της ψηφοφορίας, β) εκτύπωση του 2 εκλογικού αποτελέσματος, όπως αυτό διαμορφώθηκε με την εισαγωγή των «κλειδιών» που είχαν τα μέλη της Εφορευτικής Επιτροπής, καθώς και την ακριβή ώρα εισαγωγής των «κλειδιών» και εξαγωγής του αποτελέσματος, γ) διευθύνσεις IP, μέσω των οποίων πιθανώς υπεβλήθησαν περισσότερες της μιας ψήφου (σ.σ. μαζική ψηφοφορία από έναν υπολογιστή) και χρόνος κατά τον οποίο υπεβλήθησαν οι ψήφοι αυτοί, δ) τυχόν αλλαγές στον εκλογικό κατάλογο από τον Διαχειριστή ή αλλαγές σε emails που εξαρχής είχαν δηλωθεί από τους εκλέκτορες, προκειμένου να τους αποσταλούν τα links της ψηφοφορίας, ε) αριθμό των εκλεκτόρων – ψηφοφόρων που άλλαξαν την ψήφο τους (δηλαδή, ψήφισαν και ξαναψήφισαν) στη διάρκεια της ηλεκτρονικής ψηφοφορίας και στ) αντίγραφα όλων των e-mails που απεστάλησαν στους εκλέκτορες μετά την οριστική υποβολή της ψήφου τους. Δηλαδή, λίστα με τους εκλέκτορες και δίπλα το e-mail στο οποίο απεστάλη η βεβαίωση ότι ψήφισαν. Η ΕΔΥΤΕ Α.Ε. απάντησε στο ανωτέρω αίτημα, με την υπ. αριθ. πρωτ. … επιστολή της, ότι: «τόσο οι εκ του νόμου, όσο και οι συμβατικές υποχρεώσεις της ΕΔΥΤΕ Α.Ε. δεν της επιτρέπουν την κοινοποίηση των εν λόγω στοιχείων». Στη συνέχεια στις 9.12.21, η ΕΔΥΤΕ Α.Ε. έλαβε, μέσω ταχυδρομείου, την υπ’ αριθ. πρωτ. … εισαγγελική παραγγελία (κατόπιν σχετικής αίτησης των κ.κ. Α, Β και Γ) με την οποία παραγγέλθηκε στην ΕΔΥΤΕ Α.Ε. η χορήγηση των ακόλουθων στοιχείων («πλην στοιχείων ΑΦΜ και ΔΟΥ»): «Α) Πλήρες αντίγραφο του σώματος των εκλεκτόρων, όπως αυτό διαμορφώθηκε στη λήξη της ψηφοφορίας, Β) Τυχόν αλλαγές στον εκλογικό κατάλογο από το Διαχειριστή ή αλλαγές σε e-mails που εξαρχής είχαν δηλωθεί από τους εκλέκτορες, προκειμένου να τους αποσταλούν τα links της ψηφοφορίας, Γ) Ο αριθμός των εκλεκτόρων – ψηφοφόρων που άλλαξε την ψήφο του στη διάρκεια της ηλεκτρονικής ψηφοφορίας, Δ) Αντίγραφα όλων των e-mails που απεστάλησαν στους εκλέκτορες μετά την οριστική υποβολή της ψήφου τους. Ε) Ο αριθμός των ψηφισάντων μέσω της ηλεκτρονικής κάλπης πέραν του χρονικού διαστήματος από 9 π.μ. έως 7 π.μ. ΣΤ) Πλήρες αντίγραφο του αποτελέσματος της ηλεκτρονικής κάλπης και ακριβή ώρα εισαγωγής των «κλειδιών» και εξαγωγής του αποτελέσματος Ζ) Το υφιστάμενο στην ΕΔΥΤΕ αρχείο pdf που περιέχει εκτύπωση σε ανωνυμοποιημένη μορφή όλων των ηλεκτρονικών ψηφοδελτίων, όπως προήλθαν από την αυτόματη καταμέτρηση στο σύστημα ΖΕΥΣ, καθώς και τα συνοδευτικά αρχεία τύπου CSV και JSON που περιέχουν τα ψηφοδέλτια ανωνυμοποιημένα και Η) Οι διευθύνσεις IP, 3 μέσω των οποίων πιθανώς υπεβλήθησαν περισσότερες της μίας ψήφου και ο χρόνος κατά τον οποίο υπεβλήθησαν οι ψήφοι αυτοί, καθώς επίσης και ο αριθμός των ψήφων που διαβιβάστηκαν από κάθε IP εφόσον από αυτήν διαβιβάστηκαν περισσότερες της μία ψήφοι.» Η ΕΔΥΤΕ Α.Ε. ενημέρωσε για την εν λόγω διαβίβαση τον υπεύθυνο επεξεργασίας, ούτως ώστε εκείνος από την πλευρά του να ενημερώσει τα υποκείμενα των δεδομένων και παράλληλα την ίδια μέρα ενημερώθηκε από την Διευθύντρια … του ΕΔΟΕΑΠ, ότι είχε εκδοθεί εισαγγελική παραγγελία και προς τον ΕΔΟΕΑΠ, η οποία είχε ανακληθεί, διότι ο φορέας τους δεν δεσμεύεται από τις διατάξεις του Ν. 1756/1988 και ως Ν.Π.Ι.Δ. δεν εμπίπτει στο πεδίο εφαρμογής της διάταξης του άρθρου 25 παρ. 4 του Ν.1756/1988, με βάση την οποία χορηγήθηκε η εν λόγω εισαγγελική παραγγελία. Στη συνέχεια, στις 16 Δεκεμβρίου 2021, και σύμφωνα με τις διατάξεις του άρθρου 29 του ΓΚΠΔ, η ΕΔΥΤΕ Α.Ε. χορήγησε στους αιτούμενους τα σχετικά έγγραφα, έχουσα όπως αναφέρει στο υπόμνημά της, ως εταιρεία του Δημοσίου Τομέα, εκ του νόμου (άρθρο 25 παρ. 4β Ν. 1756/1988 και άρθρο 5 του Κώδικα Διοικητικής Διαδικασίας) υποχρέωση συμμόρφωσης με την εν λόγω εισαγγελική παραγγελία. Β) Ο ΕΔΟΕΑΠ στο από 8.3.22 υπόμνημά του ανέφερε τα εξής: Ο ΕΔΟΕΑΠ εξέφρασε τις αντιρρήσεις του για την εν λόγω διαβίβαση διότι α) τα αιτούμενα στοιχεία αφορούσαν προσωπικά δεδομένα μεγάλου αριθμού υποκείμενων (περί των 4500 φυσικών προσώπων), ιδιαίτερης σημασίας, β) δεν υπήρχε αιτιολόγηση της αναγκαιότητας και αναλογικότητας για τη χορήγηση των στοιχείων, γ) υπήρχε συμβατική δέσμευση μεταξύ ΕΔΟΕΑΠ-ΕΔΥΤΕ που καθιστούσε τη δεύτερη εκτελούσα την επεξεργασία, δ) η εισαγγελική παραγγελία αφορούσε σύνολο πληροφοριών που κατείχε η ΕΔΥΤΕ ως εκτελούσα την επεξεργασία και για των οποίων τη διαβίβαση ή μη όφειλε να αποφανθεί αποκλειστικά και μόνον ο ΥΕ, ε) το αντίστοιχο αίτημα των αιτούντων προς τον ΕΔΟΕΑΠ απαντήθηκε και χορηγήθηκαν μόνον συγκεντρωτικά στοιχεία, στ) η αντίστοιχη εισαγγελική παραγγελία προς τον ΕΔΟΕΑΠ ανακλήθηκε και θα έπρεπε με την ίδια νομική τεκμηρίωση και βάση να ανακληθεί και η αντίστοιχη προς την ΕΔΥΤΕ, ζ) το ότι τα επίμαχα στοιχεία βρίσκονται στη διάθεση της ΕΔΥΤΕ, ως εκτελούσας την επεξεργασία, δεν τα καθιστά άνευ ετέρου 4 δημόσια έγγραφα, η) η εισαγγελική παραγγελία είναι δεσμευτική για τη διοίκηση, μόνον στο πλαίσιο εκκρεμούς ποινικής διαδικασίας (προκαταρκτική εξέταση, προανάκριση, ανάκριση), θ) τα αιτηθέντα στοιχεία εντάσσονται στην κατηγορία των ιδιωτικών και όχι των αμιγώς δημοσίων εγγράφων, και τέλος ι) όσον αφορά την ενημέρωση των υποκειμένων, ο ΕΔΟΕΑΠ εξέφρασε ρητώς την αντίρρησή του για τη διαβίβαση των στοιχείων, οπότε την υποχρέωση ενημέρωσης είχε η ΕΔΥΤΕ, η οποία ενήργησε αυτοβούλως ως αυτοτελώς υπεύθυνος επεξεργασίας. Κατόπιν αυτών, η Αρχή με τις υπ’ αριθμ. πρωτ. Γ/ΕΞ/861/05.04.22 και Γ/ΕΞ/860/05.04.22 κλήσεις κάλεσε αντίστοιχα τον ΕΔΟΕΑΠ και την ΕΔΥΤΕ Α.Ε. να παραστούν στη συνεδρίαση της Αρχής την 12η.04.22, προκειμένου να συζητηθεί η ως άνω υπόθεση. Κατά την ακρόαση της 12ης.04.2022 παρέστησαν α) εκ μέρους του ΕΔΟΕΑΠ, οι Σταύρος Καπάκος, Πρόεδρος του Δ.Σ του Οργανισμού, Δ, … Διευθυντής ΕΔΟΕΑΠ, Ε, Διευθύντρια …, Αντώνης Καινούργιος και Αγγελική Σκουτέρη, δικηγόροι, ΣΤ, Προϊστάμενος … και Ζ, DPO του Οργανισμού, β) εκ μέρους της ΕΔΥΤΕ Α.Ε. οι Η, Διευθυντής …, Θ, …, Ι, …, Ζωή Παναγιωτάρα, Επικεφαλής της Νομικής Υπηρεσίας, Ευγενία Δουβή, Κατερίνα Χανιωτάκη, Νίκος Αρβανίτης, Θοδωρής Κωνσταντακόπουλος, Δικηγόροι, Κ, …, και Λ, Αναπληρώτρια DPO της ΕΔΥΤΕ Α.Ε. Η ΕΔΥΤΕ Α.Ε. δια των εκπροσώπων της κατά την ανωτέρω ακρόαση της 12ης.04.22, αλλά και με το από 13.05.22 συμπληρωματικό υπόμνημά του διευθύνοντος συμβούλου της Αριστείδη Σωτηρόπουλου ανέφερε τα εξής: α) τα υπό κρίση δεδομένα χορηγήθηκαν αποκλειστικά και μόνον σε μέλη του ΕΔΟΕΑΠ στο πλαίσιο της συμφωνημένης διαδικασίας, β) η ΕΔΥΤΕ Α.Ε. δεσμεύεται από τις συνταγματικές επιταγές και τις υποχρεώσεις δημοσίου δικαίου που διέπουν τη Διοίκηση, συμπεριλαμβανομένου και του δικαιώματος πρόσβασης στα δημόσια έγγραφα, κατά συνέπεια, η μη χορήγηση των αναγκαίων δεδομένων στους αιτούντες μέλη του ΕΔΟΕΑΠ για την επαλήθευση της ορθότητας της διαδικασίας των εκλογικών αποτελεσμάτων και αρχαιρεσιών θα συνιστούσε παράβαση των συνταγματικών αρχών, η δε μερική ικανοποίηση του δικαιώματος πρόσβασης στα διοικητικά 5 έγγραφα θα ήταν ατελής, γ) η αναφορά του ΕΔΟΕΑΠ στη διάκριση διοικητικών και ιδιωτικών εγγράφων είναι αλυσιτελής, δεδομένου ότι τα έγγραφα που χορηγήθηκαν είναι διοικητικά, σύμφωνα με τις διατάξεις του άρθρου 5 ΚΔΔ/σίας, δ) η εισαγγελική παραγγελία επιβεβαιώνει την αναγκαιότητα και ορθότητα της χορήγησης των δεδομένων, χωρίς να μπορεί να θέσει νόμιμο περιορισμό στη λειτουργική ικανοποίηση του δικαιώματος πρόσβασης στα διοικητικά έγγραφα, και ε) ο ΑΦΜ των συμμετεχόντων στις αρχαιρεσίες ήταν αναγκαίος για την πλήρη ικανοποίηση του δικαιώματος πρόσβασης των διοικουμένων στα διοικητικά έγγραφα, δεν εμπίπτει σε οποιαδήποτε εξαίρεση γνωστοποίησής του και η ΕΔΥΤΕ προέβη στη χορήγησή του αποκλειστικά και μόνον σε όσους το αιτήθηκαν και είχαν ειδικό έννομο συμφέρον. Ο ΕΔΟΕΑΠ δια των εκπροσώπων του κατά την ανωτέρω ακρόαση της 12ης.04.22, αλλά και με το από 13.05.22 και με αριθ. πρωτ. Γ/ΕΙΣ/6970 κατατεθέν στην Αρχή συμπληρωματικό υπόμνημα του πληρεξουσίου δικηγόρου του Αντωνίου Καινούργιου ανέφερε τα εξής: α) η ΕΔΥΤΕ Α.Ε. διαβίβασε μεγάλο όγκο δεδομένων (περί τα 4.515 φυσικά πρόσωπα) σε τρίτα μη εξουσιοδοτημένα πρόσωπα, χωρίς σχετική αιτιολόγηση, στάθμιση συμφερόντων, αξιολόγηση αναγκαιότητας και αναλογικότητάς, λήψη μέτρων προς ελαχιστοποίηση δεδομένων και σε κάθε περίπτωση χωρίς τη σύμφωνη γνώμη του ΕΔΟΕΑΠ ως υπευθύνου επεξεργασίας, β) τα αιτηθέντα και διαβιβασθέντα στοιχεία περιλάμβαναν και προσωπικά δεδομένα: ονομαστικά στοιχεία, ηλεκτρονικές διευθύνσεις (email, αριθμό ψηφοφόρων ανά IP), λεπτομέρειες που αφορούν την ψηφοφορία, όπως ώρα κατάθεσης ψήφου, πόσες φορές ψήφισε ο χρήστης, πότε ήταν η τελευταία του σύνδεση, εάν έλαβε επιβεβαίωση ψήφου, αλλά και το μοναδικό voter id του κάθε ψηφοφόρου (το οποίο ήταν το ΑΦΜ του, που ζητήθηκε από την ΕΔΥΤΕ Α.Ε. για την ταυτοποίηση του κάθε χρήστη, τα οποία αποτελούν δεδομένα ιδιαίτερης σημασίας, καθότι περιλαμβάνουν δεδομένα που αφορούν ψηφοφορία και άπτονται της μυστικότητας της διαδικασίας και των σχετικών δικαιωμάτων των ψηφοφόρων, αλλά και δεδομένα ηλεκτρονικής επικοινωνίας που σχετίζονται με το απόρρητο αυτής και χρήζουν ιδιαίτερης αξιολόγησης σε σχέση με τυχόν αιτήματα πρόσβασης σε αυτά, γ) οι αιτούντες επικαλέστηκαν για το αίτημά τους μόνο το συμφέρον τους ως υποψηφίων να έχουν πρόσβαση στα εν λόγω δεδομένα χωρίς περαιτέρω εξειδίκευση, ούτε αιτιολόγηση αναγκαιότητας και αναλογικότητας προκειμένου να λάβουν χώρα οι αναγκαίες 6 σταθμίσεις και ελαχιστοποίηση των δεδομένων που θα δοθούν, ούτε και επίκληση τυχόν νομικών ενεργειών που έχουν λάβει χώρα και στο πλαίσιο των οποίων θα ήταν αναγκαία η σχετική χορήγηση, δ) η εισαγγελική παραγγελία αφορούσε σύνολο πληροφοριών, τις οποίες κατείχε η ΕΔΥΤΕ Α.Ε στο πλαίσιο της συνεργασίας και σχέσης της ως εκτελούσας την επεξεργασία και για τις οποίες ο υπεύθυνος επεξεργασίας όφειλε και δικαιούτο να αποφασίσει διαβίβαση ή μη, ε) η συγκεκριμένη εισαγγελική παραγγελία δεν είναι δεσμευτική για τη Διοίκηση, αλλά ακόμα και στην περίπτωση που η ΕΔΥΤΕ Α.Ε. θεωρούσε ότι όφειλε να παραδώσει τα αιτούμενα στην εισαγγελική παραγγελία στοιχεία, όφειλε σε συμμόρφωση προς τις επιταγές του ΓΚΠΔ να προβεί σε ανωνυμοποίηση ή ελαχιστοποίηση των χορηγούμενων δεδομένων, ήτοι την αφαίρεση κάθε στοιχείου που θα μπορούσε να οδηγήσει στην ταυτοποίηση των χρηστών της πλατφόρμας και ιδίως του ΑΦΜ αυτών, δεδομένου ότι αποτελούσαν τρόπο σύνδεσης των χρηστών στην εν θέματί πλατφόρμα, στ) εκ της φύσης και του περιεχομένου τους τα χορηγηθέντα στοιχεία αποτελούν αρχεία του ΕΔΟΕΑΠ και το γεγονός ότι βρίσκονταν στη διάθεση της ΕΔΥΤΕ Α.Ε., ως εκτελούσας την επεξεργασία για λογαριασμό του ΕΔΟΕΑΠ, δεν τα καθιστά δημόσια έγγραφα και ζ) η ΕΔΥΤΕ Α.Ε. ενήργησε παρά την αντίθετη γνώμη του υπευθύνου επεξεργασίας, ήτοι αυτοτελώς ως υπεύθυνη επεξεργασίας για τη συγκεκριμένη επεξεργασία, και βαρύνει την ίδια τυχόν υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων για τη διαβίβαση αυτή. Η Αρχή, μετά από την εξέταση των στοιχείων του φακέλου και την ακροαματική διαδικασία και αφού άκουσε τον εισηγητή και τη βοηθό εισηγητή, της μετά από διεξοδική συζήτηση ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ
3. Σύμφωνα με τις διατάξεις του άρθρου 4 περ. 7 και 8 του ΓΚΠΔ, «υπεύθυνος επεξεργασίας» ορίζεται το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ενώ «εκτελών την επεξεργασία» το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος 7 φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας. Σε περίπτωση που δύο ή περισσότεροι υπεύθυνοι επεξεργασίας καθορίζουν από κοινού τους σκοπούς και τα μέσα της επεξεργασίας, αποτελούν από κοινού υπευθύνους επεξεργασίας. Αυτοί καθορίζουν τις αντίστοιχες ευθύνες τους για συμμόρφωση προς τις υποχρεώσεις που απορρέουν από τον ΓΚΠΔ, ιδίως όσον αφορά την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων και τα αντίστοιχα καθήκοντά τους μέσω συμφωνίας μεταξύ τους, εκτός εάν και στον βαθμό που οι αντίστοιχες αρμοδιότητες των υπευθύνων επεξεργασίας καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκεινται οι υπεύθυνοι επεξεργασίας. Η συμφωνία αυτή θα πρέπει να αντανακλά δεόντως τους αντίστοιχους ρόλους και σχέσεις των από κοινού υπευθύνων επεξεργασίας έναντι των υποκειμένων των δεδομένων, η ουσία δε της συμφωνίας τίθεται στη διάθεση του υποκειμένου των δεδομένων (άρθρο 26 του ΓΚΠΔ). Η επεξεργασία από τον εκτελούντα την επεξεργασία πρέπει σύμφωνα με τις διατάξεις του άρθρου 28 παρ. 3 του ΓΚΠΔ, να διέπεται από σύμβαση ή άλλη νομική πράξη υπαγόμενη στο δίκαιο της Ένωσης ή του κράτους μέλους, που δεσμεύει τον εκτελούντα την επεξεργασία σε σχέση με τον υπεύθυνο επεξεργασίας και καθορίζει το αντικείμενο και τη διάρκεια της επεξεργασίας, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες των υποκειμένων των δεδομένων καθώς και τις υποχρεώσεις και τα δικαιώματα του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία, ενώ στην περίπτωση που ο εκτελών την επεξεργασία καθορίσει κατά παράβαση του ΓΚΠΔ τους σκοπούς και τα μέσα της επεξεργασίας, τότε θεωρείται υπεύθυνος επεξεργασίας για τη συγκεκριμένη επεξεργασία και βαρύνεται με όλες τις απορρέουσες από τον Κανονισμό υποχρεώσεις ως αυτοτελώς υπεύθυνος επεξεργασίας (άρθρο 28 παρ. 10 ΓΚΠΔ). Ακόμη, σύμφωνα με τις διατάξεις του άρθρου 29 ΓΚΠΔ, ο εκτελών την επεξεργασία θα πρέπει να επεξεργάζεται τα δεδομένα μόνον κατ’ εντολή του υπευθύνου επεξεργασίας, εκτός εάν υποχρεούται προς τούτο από το δίκαιο της Ένωσης ή του κράτους μέλους. 8
4. Η πρόσβαση στα δημόσια έγγραφα προβλέπεται στο άρθρο 5 του ΚΔΔιαδ. Ειδικότερα, σύμφωνα με τις διατάξεις της παραγράφου 1 του άρθρου αυτού, κάθε ενδιαφερόμενος έχει το δικαίωμα, ύστερα από γραπτή αίτησή του, να λαμβάνει γνώση των διοικητικών εγγράφων, ως διοικητικά δε έγγραφα νοούνται όσα συντάσσονται από τις δημόσιες υπηρεσίες, όπως εκθέσεις, μελέτες, πρακτικά, στατιστικά στοιχεία, εγκύκλιες οδηγίες, απαντήσεις της Διοίκησης, γνωμοδοτήσεις και αποφάσεις. Σύμφωνα δε με την πάγια νομολογία του ΣτΕ και του ΝΣΚ, δημόσια έγγραφα θεωρούνται και τα ιδιωτικά έγγραφα, τα οποία χρησιμοποιήθηκαν ή ελήφθησαν υπόψη για τον καθορισμό της διοικητικής δράσης ή τη διαμόρφωση γνώμης ή κρίσης του διοικητικού οργάνου και αποτελούν στοιχείο της αιτιολογίας της εκδοθείσας διοικητικής πράξης. Περαιτέρω, κατά την παράγραφο 2 του ως άνω άρθρου, όποιος έχει ειδικό έννομο συμφέρον δικαιούται, ύστερα από γραπτή αίτησή του, να λαμβάνει γνώση των ιδιωτικών εγγράφων που φυλάσσονται στις δημόσιες υπηρεσίες και είναι σχετικά με υπόθεσή του η οποία εκκρεμεί σε αυτές ή έχει διεκπεραιωθεί από αυτές. Τέλος, σύμφωνα με την παράγραφο 3 του ίδιου άρθρου, το δικαίωμα πρόσβασης στα δημόσια έγγραφα δεν υφίσταται στις περιπτώσεις που το έγγραφο αφορά την ιδιωτική ή οικογενειακή ζωή τρίτου, ή αν παραβλάπτεται απόρρητο το οποίο προβλέπεται από ειδικές διατάξεις.
5. Σχετικά με τη δεσμευτικότητα της εισαγγελικής παραγγελίας, σύμφωνα με τη Γνωμοδότηση της Αρχής 3/2009, η εισαγγελική παραγγελία είναι δεσμευτική για τη Διοίκηση, μόνο στο πλαίσιο προκαταρκτικής έρευνας, προανάκρισης και κυρίας ανάκρισης. Στις λοιπές περιπτώσεις, υφίσταται υποχρέωση της Διοίκησης, με την έννοια της επιτακτικής εντολής προς διερεύνηση του αιτήματος χορήγησης ή μη χορήγησης εγγράφου.
6. Στην κρινόμενη περίπτωση, τόσο από τα στοιχεία του φακέλου της υπόθεσης όσο και από την ακροαματική διαδικασία προέκυψαν τα εξής: Στο πλαίσιο ανάδειξης ΔΣ και Εξελεγκτικής Επιτροπής του ΕΔΟΕΑΠ, η ΕΔΥΤΕ Α.Ε. ορίσθηκε εκτελούσα την επεξεργασία για λογαριασμό του ΕΔΟΕΑΠ με συναφθείσα μεταξύ τους σύμβαση για την διεξαχθείσα ηλεκτρονική ψηφοφορία. 9 Ειδικότερα, δια της της σύμβασης αυτής ορίστηκε τόσο η υπηρεσία που θα παρασχεθεί και τα μέσα δια των οποίων θα παρασχεθεί (ηλεκτρονική πλατφόρμα ΖΕΥΣ), όσο και ο ρόλος της ΕΔΥΤΕ Α.Ε. ως εκτελούσας την επεξεργασία για λογαριασμό του ΕΔΟΕΑΠ. Μετά την ολοκλήρωση της εκλογικής διαδικασίας και την ανακοίνωση των αποτελεσμάτων, η ΕΔΥΤΕ ενημέρωσε τον ΕΔΟΕΑΠ με την από 13.1.2021 επιστολή της ότι έλαβε την από … εισαγγελική παραγγελία από τρεις αιτούντες υποψηφίους στις εκλογές (πρώην μέλη του ΔΣ μη εκλεγμένους με βάση τα εκλογικά αποτελέσματα) για να τους διαβιβάσει ένα σύνολο δεδομένων που τηρεί σχετικά με τις αρχαιρεσίες αυτές, περιλαμβανομένων και προσωπικών δεδομένων των ψηφοφόρων, και ότι προτίθεται να προχωρήσει στη διαβίβαση αυτή. Ο ΕΔΟΕΑΠ με το από 13.12.21 έγγραφό του ενημέρωσε την ΕΔΥΤΕ ότι έχει λάβει εισαγγελική παραγγελία με όμοια αιτήματα από τους αιτούντες, η οποία ανακλήθηκε λόγω του μη δημοσίου χαρακτήρα του, ως ΝΠΙΔ μη υπαγομένου στη διάταξη του άρθρου 25 παρ. 4 του Ν. 1756/88, και ακολούθως με την από 14.12.21 επιστολή του εξέφρασε ρητά την αντίθεσή του στη διαβίβαση αυτή, λόγω της φύσης των εγγράφων ως ιδιωτικών, μη υπαγομένων στα δημόσια έγγραφα και του ρόλου της ΕΔΥΤΕ ως εκτελούσας την επεξεργασία για λογαριασμό του. Πλην όμως, η ΕΔΥΤΕ προχώρησε στη διαβίβαση την 17.12.21 των αιτηθέντων στοιχείων των ψηφοφόρων στους τρεις αιτούντες, με τον ισχυρισμό ότι είχε υποχρέωση να εκτελέσει την εισαγγελική παραγγελία και να χορηγήσει τα αιτηθέντα στοιχεία επί τη βάσει του δικαιώματος πρόσβασης στα δημόσια έγγραφα. Τα στοιχεία που διαβιβάσθηκαν από την ΕΔΥΤΕ στους αιτούντες ήταν ονομαστικά στοιχεία των ψηφισάντων (περίπου 4.500 φυσικών προσώπων), ηλεκτρονικές διευθύνσεις (email, IP address ), καθώς και το μοναδικό voter id του κάθε ψηφοφόρου, το οποίο ήταν το ΑΦΜ του, επειδή ζητήθηκε από την ΕΔΥΤΕ, για την ταυτοποίηση του κάθε χρήστη, δεδομένου ότι είχε επιλεχθεί και η σύνδεση με κωδικούς taxisnet.
7. Επειδή τα στοιχεία που διαβιβάσθηκαν αποτελούν ιδιωτικά έγγραφα και δεν εμπίπτουν στην κατηγορία των δημοσίων εγγράφων, εφόσον ο ΕΔΟΕΑΠ αποτελεί ΝΠΙΔ, μη υπαγόμενο στη διάταξη του άρθρου 25 παρ. 4 του Ν. 1756/88, κατά συνέπεια δεν τυγχάνουν εφαρμογής στην προκειμένη περίπτωση οι διατάξεις του άρθρου 5 του ΚΔΔιαδ., όπως έχει γνωμοδοτήσει και η Αρχή με τη Γνμδ. 3/2009, η 10 εισαγγελική παραγγελία είναι δεσμευτική για τη διοίκηση μόνον στις περιπτώσεις που δίδεται στο πλαίσιο ποινικής διαδικασίας. Στις υπόλοιπες περιπτώσεις έχει την έννοια επιτακτικής εντολής προς τη διοίκηση για τη διερεύνηση του αιτήματος χορήγησης του δημοσίου εγγράφου. Επειδή, η ΕΔΥΤΕ Α.Ε. κατά παράβαση του άρθρου 29 του ΓΚΠΔ, ως εκτελούσα την επεξεργασία διαβίβασε, παρά τις αντιρρήσεις του υπευθύνου επεξεργασίας ΕΔΟΕΑΠ, προσωπικά δεδομένα των ψηφοφόρων στους τρίτους που είχαν υποβάλει σχετική αίτηση, χωρίς να υφίσταται ρητή υποχρέωσή της από διάταξη νόμου σύμφωνα με όσα εκτίθενται ανωτέρω. Με τα δεδομένα αυτά, η ΕΔΥΤΕ κατέστη αυτοτελώς υπεύθυνη επεξεργασίας. Επειδή περαιτέρω, η ΕΔΥΤΕ, εφόσον, σύμφωνα με τα προαναφερόμενα, ενήργησε ως αυτοτελώς υπεύθυνη επεξεργασίας, όφειλε κατά τις διατάξεις του άρθρου 28 παρ. 10 του ΓΚΠΔ, πριν τη διαβίβαση των δεδομένων σε τρίτους, να ενημερώσει τα υποκείμενα των δεδομένων για τη διαβίβαση αυτή, αλλά η ενημέρωση αυτή ουδέποτε έλαβε χώρα. Επειδή η Αρχή, λαμβάνοντας υπόψη ότι η ΕΔΥΤΕ χορήγησε τα επίμαχα στοιχεία κατόπιν σχετικής εισαγγελικής παραγγελίας υπολαμβάνοντας ότι είχε σχετική υποχρέωση με βάση την εισαγγελική αυτή πράξη, κρίνει ότι στη συγκεκριμένη περίπτωση, με βάση τις περιστάσεις που διαπιστώθηκαν, θα πρέπει κατ’ εφαρμογή της διάταξης του άρθρου 58 παρ. 2 εδ. θ’ ΓΚΠ∆ να επιβληθεί κατά το άρθρο 83 ΓΚΠ∆ το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αναφέρεται στο διατακτικό για την κατά τα ανωτέρω παραβίαση του άρθρου 28 παρ. 10 του ΓΚΠΔ. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η ΑΡΧΗ Επιβάλλει στην ΕΔΥΤΕ Α.Ε. το αποτελεσματικό, αναλογικό και αποτρεπτικό διοικητικό χρηματικό πρόστιμο που αρμόζει στη συγκεκριμένη περίπτωση σύμφωνα με τις ειδικότερες περιστάσεις αυτής, ύψους πέντε χιλιάδων (5.000,00) ευρώ. 11 Ο Πρόεδρος Κων/νος Μενουδάκος Η Γραμματέας Ειρήνη Παπαγεωργοπούλου 12