Εντολή συμμόρφωσης και επιβολή προστίμου για παραβίαση δικαιώματος πρόσβασης πρώην εργαζομένου

Αθήνα, 07-11-2025 Αριθ. Πρωτ.3792 Α Π Ο Φ Α Σ Η 41 /2025 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, κατόπιν της από 256-2025 παραίτησης του Προέδρου της Αρχής Κωνσταντίνου Μενουδάκου, συνήλθε μετά από πρόσκληση του Αναπληρωτή Προέδρου της, Γεωργίου Μπατζαλέξη, μέσω τηλεδιάσκεψης την Τετάρτη 22 Οκτωβρίου 2025, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν ο Αναπληρωτής Πρόεδρος της Αρχής, Γεώργιος Μπατζαλέξης, τα αναπληρωματικά µέλη της Αρχής, Μαρία Ψάλλα και Δημοσθένης Βουγιούκας, σε αντικατάσταση των τακτικών µελών Γρηγόριου Τσόλια και Κωνσταντίνου Λαμπρινουδάκη, οι οποίοι αν και εκλήθησαν νομίμως δεν παρέστησαν λόγω κωλύματος, καθώς και το αναπληρωματικό μέλος της Αρχής, Νικόλαος Λίβος, ως εισηγητής χωρίς δικαίωμα ψήφου. Παρούσες χωρίς δικαίωμα ψήφου ήταν η ελέγκτρια – δικηγόρος Αναστασία Τριτάκη, ως βοηθός εισηγητή, και η υπάλληλος του τμήματος διοικητικών υποθέσεων Ειρήνη Παπαγεωργοπούλου, ως γραμματέας. Η Αρχή έλαβε υπόψη της τα κατωτέρω: Με την υπ’ αρ. πρωτ. Αρχής Γ/ΕΙΣ/6223/27-07-2024 καταγγελία, ο Α (στο εξής καταγγέλλων) διαμαρτυρήθηκε ενώπιον της Αρχής κατά του Β (στο εξής καθ’ ου) για παραβίαση δικαιώματος πρόσβασης σε δεδομένα προσωπικού χαρακτήρα που τον αφορούν. Συγκεκριμένα, ο καταγγέλλων ισχυρίστηκε ότι την 30/4/2024 αιτήθηκε μέσω email προς τον καθ’ ου ως διατηρούντα ατομική επιχείρηση με την επωνυμία «…» και με διακριτικό τίτλο «Φ», στην οποία εργαζόταν ο καταγγέλλων με σύμβαση εξαρτημένης εργασίας αορίστου χρόνου, πρόσβαση στο φάκελο εργασίας του και 1 Λεωφ. Κηφισίας 1-3, 11523 Αθήνα Τ: 210 6475 600 • E: contact@dpa.gr • www.dpa.gr ειδικότερα χορήγηση του συνόλου των δεδομένων που αφορούν την είσοδο και την έξοδό του στην ιστοσελίδα της ως άνω επιχείρησης, όπως καταγράφονται κατά το χρονικό διάστημα από 1/1/2023 έως 14/9/2023, καθώς και κάθε άλλη καταγραφή που σχετίζεται με την εργασία του στην εν λόγω πλατφόρμα. Την 13/5/2024, ο καταγγέλλων έλαβε απάντηση εκ μέρους του καθ’ ου μέσω email, στην οποία του γνωστοποιήθηκαν τα εξής σημεία: α) τα προσωπικά δεδομένα στα οποία αιτείται πρόσβαση δεν συνιστούν δικά του προσωπικά δεδομένα, αλλά δεδομένα πελατών και αναγνωστών της εφημερίδας/επιχείρησης, και ως εκ τούτου δεν δύνανται να του κοινοποιηθούν, β) κάθε πληροφορία που αφορά την εφημερίδα αποτελεί ιδιοκτησία της επιχείρησης, ενώ κάθε εργασία που υλοποίησε στο πλαίσιο της εργασίας του αφορούσε την επεξεργασία των δεδομένων τρίτων προσώπων και της επιχείρησης και γ) τα προσωπικά δεδομένα που σχετίζονται με τη σύμβαση εργασίας και αφορούν αποκλειστικά τον ίδιο, τού έχουν ήδη γνωστοποιηθεί. Η Αρχή στο πλαίσιο εξέτασης της ανωτέρω καταγγελίας, με το υπ’ αρ. πρωτ. Γ/ΕΞ/2544/19-09-2024 έγγραφό της, κάλεσε τον καθ’ ου Β να εκθέσει τις απόψεις του επί αυτής. Με την με αρ. πρωτ. Αρχής Γ/ΕΙΣ/7551/02-10-2024 απάντηση, ο καθ’ ου ανέφερε ενώπιον της Αρχής ότι ισχύουν τα διαλαμβανόμενα στην απάντηση που απέστειλε προς τον καταγγέλλοντα, ο οποίος είχε εργαστεί στην επιχείρησή του από 14/7/2021 έως 15/9/2023, οπότε λύθηκε η σύμβαση εργασίας του, κατόπιν καταγγελίας εκ μέρους του εργοδότη. Επεσήμανε, ότι ο καταγγέλλων, ως τρίτο πρόσωπο, δεν δικαιούται να έχει πρόσβαση σε στοιχεία σχετικά με την απασχόλησή του, δεδομένου ότι δεν εργάζεται πλέον στην εν λόγω επιχείρηση. Ιδιαίτερα, δε, επεσήμανε ότι η αίτησή του για χορήγηση των συγκεκριμένων δεδομένων φαίνεται να αποσκοπεί στην υποστήριξη της μεταξύ τους δικαστικής διαφοράς ενώπιον των πολιτικών δικαστηρίων, προκειμένου να τεκμηριώσει την αγωγή του. Επιπλέον, ο καθ’ ου επεσήμανε ότι τα μοναδικά προσωπικά δεδομένα που σχετίζονται με τη σύμβαση εργασίας και τον αφορούν είναι ήδη γνωστά, καθώς η παροχή της προσωπικής του εργασίας τεκμηριώνεται επαρκώς από τη συναφθείσα μεταξύ τους σύμβαση εργασίας. 2 Κατόπιν της εξέτασης των στοιχείων του φακέλου, η Αρχή απέστειλε την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞ/2504/14-07-2025 κλήση προς ακρόαση στον καταγγελλόμενο και την υπ’ αριθ. πρωτ. Αρχής Γ/ΕΞ/2505/14-07-2025 στον καθ’ ου, προκειμένου να παραστούν, μέσω τηλεδιάσκεψης, σε ακρόαση ενώπιον του Τμήματος της Αρχής την Τετάρτη 23 Ιουλίου 2025 και ώρα 10.30 π.μ. με θέμα τη συζήτηση της ως άνω καταγγελίας. Κατά την ανωτέρω ακρόαση ο καταγγέλλων παρέστη μετά της πληρεξουσίας δικηγόρου του Μαγδαληνής Βουκελάτου (ΑΜ ΔΣ …), ενώ ο καθ’ ου παρέστη μετά των πληρεξουσίων δικηγόρων του, Βασιλείου Γιάπρου (ΑΜ ΔΣ …) και Ευπραξίας Χατζηθεοδώρου (ΑΜ ΔΣ …). Ο καταγγέλλων κατά την ανωτέρω ακρόαση και με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7444/04-08-2025 κατόπιν της ακροάσεως υπόμνημά του, επανέλαβε τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής και προσέθεσε, μεταξύ άλλων, ότι η είσοδός του στο διαχειριστικό τμήμα της ιστοσελίδας «Φ.gr» γινόταν με τη χρήση του προσωπικού email του (...@gmail.com) ως username και με password που είχε δημιουργήσει ο ίδιος και δεν το γνώριζε κανείς άλλος, όταν όμως, ενώ εργαζόταν ακόμα στην εφημερίδα, ζήτησε εξηγήσεις από τον καθ’ ου για την φερόμενη παραβίαση της κοινωνικοασφαλιστικής νομοθεσίας, εκείνος απέκλεισε τη δυνατότητα εισόδου του με το εν λόγω email, προκειμένου όπως ισχυρίζεται ο καταγγέλλων, να μην έχει δυνατότητα εξασφάλισης των απαραίτητων αποδεικτικών μέσων. Περαιτέρω ο καταγγέλλων διευκρίνισε ότι αιτήθηκε πρόσβαση σε κάθε καταγραφή των δεδομένων που αφορούσαν την εργασία του στην ιστοσελίδα (ενέργειες μεταφόρτωσης δεδομένων, οργάνωση - αλλαγές στο σχεδιαστικό κομμάτι, δημοσίευση άρθρων κλπ.) και απαρίθμησε ειδικότερα τις κατηγορίες των δεδομένων αυτών (βλ. αναλυτικά το ως άνω υπόμνημα). Τέλος, επεσήμανε ότι ο καθ’ ου συνεχίζει να αρνείται την παροχή των επίμαχων δεδομένων, συγχέοντας την έννοια των δεδομένων του καταγγέλλοντος, με την έννοια της πνευματικής ιδιοκτησίας της εφημερίδας, θεωρώντας αυτήν ως «προσωπικό δεδομένο». Ο καθ’ ου κατά την ανωτέρω ακρόαση και με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7520/06-082025 κατόπιν της ακροάσεως υπόμνημά του, επανέλαβε τους ισχυρισμούς που έθεσε και προηγουμένως ενώπιον της Αρχής και προσέθεσε, μεταξύ άλλων, τους εξής 3 ισχυρισμούς: α) ότι δεν έχει την τεχνική δυνατότητα παροχής στοιχείων σύνδεσης, καθώς κατά τη διαμόρφωση του συστήματος δεν προβλέφθηκε η εγκατάσταση ειδικής βάσης δεδομένων ή λογισμικού για καταγραφή συνδέσεων/αποσυνδέσεων, β) ότι τα αιτούμενα δεδομένα αφορούν και τρίτα πρόσωπα (αναγνώστες/πελάτες), γ) ότι έχει τη δυνατότητα να ικανοποιήσει μερικώς το αίτημα του καταγγέλλοντος παρέχοντας λίστα με άρθρα και δημοσιεύσεις που έχει αναρτήσει ο καταγγέλλων με τις αντίστοιχες ημερομηνίες δημοσίευσης, δ) ότι η αποκάλυψη τεχνικών λεπτομερειών λειτουργίας του συστήματος θα έθετε σε κίνδυνο την ασφάλεια των πληροφοριακών υποδομών της εφημερίδας, ενώ η αλλαγή κωδικών μετά τη λήξη της εργασιακής σχέσης αποτελεί βασικό μέτρο ασφαλείας και δεν επηρέασε την πρόσβαση του καταγγέλλοντος στο προσωπικό ηλεκτρονικό ταχυδρομείο του, ε) ότι το δικαίωμα πρόσβασης ασκείται καταχρηστικά, καθώς ο καταγγέλλων επιδιώκει τη συλλογή αποδεικτικών στοιχείων για εκκρεμή αγωγή του ενώπιον του Μονομελούς Πρωτοδικείου Χ, με την οποία ισχυρίζεται ότι εργαζόταν με διαφορετικό ωράριο. Περαιτέρω ο καταγγελλόμενος διευκρίνισε ότι η φιλοξενία του δικτυακού τόπου «Φ.gr» γίνεται μέσω ενοικιαζόμενης υπηρεσίας από πάροχo διαδικτύου και η δημιουργία χρηστών για την ανάρτηση άρθρων στην πλατφόρμα ανοιχτού κώδικα που χρησιμοποιείται, γίνεται με τη χρήση ενός ονόματος χρήστη το οποίο μπορεί να είναι το email του εκάστοτε ατόμου που κάνει τις αναρτήσεις. Αναφορικά με τα τεχνικά χαρακτηριστικά του διαδικτυακού τόπου «Φ.gr», ο καθ’ ου προσκόμισε βεβαίωση τεχνικού (βλ. αναλυτικά το ως άνω υπόμνημα και ως συνημμένο αυτού). Προς υποστήριξη των ισχυρισμών του, ο καταγγελλόμενος επικαλέστηκε τις εξής διατάξεις: το άρθρο 12 παρ. 5 ΓΚΠΔ, το άρθρο 15 παρ. 4 ΓΚΠΔ, την αρχή της αναλογικότητας κατά την άσκηση των δικαιωμάτων και το άρθρο 17 ΓΚΠΔ (βλ. αναλυτικά το ως άνω υπόμνημα). Η Αρχή, μετά από εξέταση των στοιχείων του φακέλου και όσων προέκυψαν από την ενώπιόν της ακροαματική διαδικασία και τα υπομνήματα των μερών, αφού άκουσε τον εισηγητή και τις διευκρινίσεις από τη βοηθό εισηγητή, κατόπιν διεξοδικής συζητήσεως, 4 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ

1. Επειδή από τις διατάξεις των άρθρων 51 και 55 του Γενικού Κανονισμού Προστασίας Δεδομένων 2016/679 (ΓΚΠΔ) και του άρθρου 9 του νόμου 4624/2019 (ΦΕΚ Α΄ 137) προκύπτει ότι η Αρχή έχει αρμοδιότητα να εποπτεύει την εφαρμογή των διατάξεων του ΓΚΠΔ, του νόμου 4624/2019 και άλλων ρυθμίσεων που αφορούν την προστασία του ατόμου από την επεξεργασία προσωπικών δεδομένων. Ειδικότερα, από τις διατάξεις των άρθρων 57 παρ.1 στοιχ. στ΄ του ΓΚΠΔ και 13 παρ. 1 στοιχ. ζ΄ του νόμου 4624/2019 προκύπτει ότι η Αρχή έχει αρμοδιότητα να επιληφθεί της υπό κρίση καταγγελίας, καθόσον αφορά σε πρόσβαση του υποκειμένου σε δεδομένα προσωπικού χαρακτήρα, περιλαμβανομένων σε σύστημα αρχειοθέτησης κατά την έννοια του άρθρου 4 στοιχ. 1) και 6) ΓΚΠΔ. Επομένως πρόκειται για επεξεργασία υπαγόμενη στο ρυθμιστικό πεδίο των άρθρων 2 παρ. 1 του ΓΚΠΔ και 2 του ν.4624/2019,
2. Επειδή σύμφωνα με το άρθρο 4 στοιχ. 1) ΓΚΠΔ ως προσωπικά δεδομένα νοούνται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου», ενώ σύμφωνα με την αιτιολογική σκέψη 26 του ΓΚΠ∆: «Οι αρχές της προστασίας δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου […] Οι αρχές της προστασίας δεδομένων δεν θα πρέπει συνεπώς να εφαρμόζονται σε ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού χαρακτήρα που έχουν 5 καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του υποκειμένου των δεδομένων να µην μπορεί ή να µην μπορεί πλέον να εξακριβωθεί.», ενώ σύμφωνα με την αιτιολογική σκέψη 14 του ΓΚΠΔ: «(…) Ο παρών κανονισμός δεν καλύπτει την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν νομικά πρόσωπα και ιδίως επιχειρήσεις συσταθείσες ως νομικά πρόσωπα, περιλαμβανομένων της επωνυμίας, του τύπου και των στοιχείων επικοινωνίας του νομικού προσώπου.»,
3. Επειδή αναφορικά με τον προσδιορισμό του υπευθύνου επεξεργασίας, επισημαίνεται ότι σύμφωνα με τα οριζόμενα στη διάταξη του άρθρου 4 στοιχ. 7 ΓΚΠΔ, ως υπεύθυνος επεξεργασίας νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα∙ όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους»,
4. Επειδή με τον ΓΚΠΔ, υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό σημείο του οποίου συνιστά η αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας προσωπικών δεδομένων υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές, προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις, ενώ ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει ο ίδιος και ανά πάσα στιγμή τη συμμόρφωσή του με τις διατάξεις του Κανονισμού 1,
5. Επειδή σύμφωνα με το άρθρο 15 παρ. 1 ΓΚΠΔ: «
6. Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες: (…), ενώ σύμφωνα με το άρθρο 15 παρ. 3 -4 ΓΚΠΔ : «
7. Ο υπεύθυνος επεξεργασίας παρέχει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία. Για επιπλέον 1 Βλ. και άρθρο 5 παρ. 2 ΓΚΠΔ, και απόφαση Αρχής 26/2019, σκέψη 8, διαθέσιμη στην ιστοσελίδα της. 6 αντίγραφα που ενδέχεται να ζητηθούν από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας μπορεί να επιβάλει την καταβολή εύλογου τέλους για διοικητικά έξοδα. Εάν το υποκείμενο των δεδομένων υποβάλλει το αίτημα με ηλεκτρονικά μέσα και εκτός εάν το υποκείμενο των δεδομένων ζητήσει κάτι διαφορετικό, η ενημέρωση παρέχεται σε ηλεκτρονική μορφή που χρησιμοποιείται συνήθως.
8. Το δικαίωμα να λαμβάνεται αντίγραφο που αναφέρεται στην παράγραφο 3 δεν επηρεάζει δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.».
9. Επειδή σύμφωνα με το άρθρο 12 παρ. 5 ΓΚΠΔ : «Οι πληροφορίες που παρέχονται σύμφωνα με τα άρθρα 13 και 14 και κάθε ανακοίνωση καθώς και όλες οι ενέργειες που αναλαμβάνονται σύμφωνα με τα άρθρα 15 έως 22 και το άρθρο 34 παρέχονται δωρεάν. Εάν τα αιτήματα του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο υπεύθυνος επεξεργασίας μπορεί είτε: α) να επιβάλει την καταβολή εύλογου τέλους, λαμβάνοντας υπόψη τα διοικητικά έξοδα για την παροχή της ενημέρωσης ή την ανακοίνωση ή την εκτέλεση της ζητούμενης ενέργειας, ή β) να αρνηθεί να δώσει συνέχεια στο αίτημα. Ο υπεύθυνος επεξεργασίας φέρει το βάρος της απόδειξης του προδήλως αβάσιμου ή του υπερβολικού χαρακτήρα του αιτήματος.»
10. Επειδή σύμφωνα με το άρθρο 17 ΓΚΠΔ: «
11. Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους: (…)»
12. Επειδή, στην υπό κρίση περίπτωση, από την εξέταση των στοιχείων του φακέλου και την ακροαματική διαδικασία, καθώς και τα υπομνήματα των μερών, προκύπτει ότι ο καταγγέλλων αιτήθηκε με το από 30-4-2024 μήνυμά του προς τον καθ’ ου τη χορήγηση αρχείων καταγραφής σύνδεσης (εισόδου/εξόδου) του στην πλατφόρμα της εφημερίδας «Φ.gr», στην οποία συνδεόταν με τον λογαριασμό χρήστη που είχε δημιουργήσει με το προσωπικό email του ( ...@gmail.com), προκειμένου, στο πλαίσιο της μεταξύ των σύμβασης εργασίας, να προβεί σε ενέργειες μεταφόρτωσης δεδομένων, σε οργάνωση - αλλαγές στο σχεδιαστικό κομμάτι, σε δημοσίευση 7 άρθρων κ.ά. Σύμφωνα με τις Κατευθυντήριες γραμμές 01/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων αναφορικά με το δικαίωμα πρόσβασης «(..) Η εμβέλεια του δικαιώματος πρόσβασης καθορίζεται από την εμβέλεια της έννοιας των δεδομένων προσωπικού χαρακτήρα, όπως ορίζεται στο άρθρο 4 σημείο 1 του ΓΚΠΔ. Εκτός από τα βασικά δεδομένα προσωπικού χαρακτήρα, όπως το ονοματεπώνυμο, η διεύθυνση, ο αριθμός τηλεφώνου κ.λπ., στον ορισμό αυτόν μπορεί να εμπίπτει ευρύ φάσμα δεδομένων, όπως τα ιατρικά ευρήματα, το ιστορικό αγορών, οι δείκτες πιστοληπτικής ικανότητας, τα αρχεία καταγραφής δραστηριοτήτων, οι δραστηριότητες αναζήτησης κ.λπ (…)» 2, ενώ «(…) με την επιφύλαξη των ειδικών περιστάσεων της περίπτωσης, κατά την αξιολόγηση συγκεκριμένου αιτήματος πρόσβασης, οι υπεύθυνοι επεξεργασίας πρέπει να παρέχουν, μεταξύ άλλων, τα ακόλουθα είδη δεδομένων, με την επιφύλαξη του άρθρου 15 παράγραφος 4 του ΓΚΠΔ: (…) δεδομένα παρατήρησης ή ανεπεξέργαστα δεδομένα που παρέχονται από το υποκείμενο των δεδομένων λόγω της χρήσης της υπηρεσίας ή της συσκευής (π.χ. δεδομένα που υποβάλλονται σε επεξεργασία από συνδεδεμένα αντικείμενα, ιστορικό συναλλαγών, αρχεία καταγραφής δραστηριοτήτων, όπως αρχεία καταγραφής πρόσβασης, ιστορικό χρήσης ιστοτόπου, δραστηριότητες αναζήτησης, δεδομένα θέσης, δραστηριότητα κλικ, (…)) Ευρωπαϊκής Ένωσης έχει κρίνει ότι:
13. Περαιτέρω, το Δικαστήριο της «(…) Όσον αφορά ειδικότερα τα αρχεία καταγραφής ενεργειών του υπευθύνου επεξεργασίας, η κοινοποίηση αντιγράφου των πληροφοριών που περιλαμβάνονται στα αρχεία αυτά μπορεί να αποδειχθεί αναγκαία για την εκπλήρωση της υποχρεώσεως παροχής στο υποκείμενο των δεδομένων προσβάσεως στο σύνολο των πληροφοριών που αναφέρονται στο άρθρο 15, παράγραφος 1, του ΓΚΠΔ και για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας, παρέχοντας τοιουτοτρόπως στο υποκείμενο των δεδομένων τη δυνατότητα να ασκήσει πλήρως τα δικαιώματα που αντλεί από τον ανωτέρω κανονισμό. (..) Συγκεκριμένα, πρώτον, τα αρχεία καταγραφής ενεργειών αποκαλύπτουν την ύπαρξη επεξεργασίας των δεδομένων, πληροφορία στην οποία Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, Κατευθυντήριες γραμμές 01/2022 σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων — Δικαίωμα πρόσβασης, Έκδοση 2.1, 28 Μαρτίου 2023, σελ.
14. 3 Ως άνω, παρ. 97, σελ
15. 2 8 πρέπει να έχει πρόσβαση το υποκείμενο των δεδομένων δυνάμει του άρθρου 15, παράγραφος 1, του ΓΚΠΔ. (…)»
16. Επομένως στην υπό κρίση περίπτωση, πρόκειται χωρίς αμφιβολία για αίτημα πρόσβασης και λήψης αντιγράφου δεδομένων τα οποία αφορούν τον καταγγέλλοντα και το εν λόγω αίτημα εμπίπτει κατ’ αρχήν στο περιεχόμενο του δικαιώματος του άρθρου 15 παρ. 1 και 3 ΓΚΠΔ.
17. Επειδή, αναφορικά με τους λόγους άρνησης ικανοποίησης του καθ’ ου υπεύθυνου επεξεργασίας του ως άνω αιτήματος του καταγγέλλοντος, όπως αυτοί αποτυπώθηκαν με την από 13-5-2024 απάντησή του προς τον καταγγέλλοντα, καθώς και ενώπιον της Αρχής με τα κατατεθέντα υπομνήματα, δέον να επισημανθούν τα ακόλουθα: α) Ο καθ’ ου αρνήθηκε αρχικά τη χορήγηση των επίμαχων στοιχείων, ισχυριζόμενος ότι κάθε πληροφορία αναφορικά με την εφημερίδα είναι προσωπικό δεδομένο αυτής, εντούτοις, όπως προκύπτει από τις διατάξεις του άρθρο 4 στοιχ. 1) ΓΚΠΔ και την αιτιολογική σκέψη 14 ΓΚΠΔ, οι πληροφορίες που αφορούν σε επιχειρήσεις συσταθείσες ως νομικά πρόσωπα δεν δύνανται να θεωρηθούν ως «προσωπικά δεδομένα» αυτών, β) Ο καθ’ ου ισχυρίστηκε επίσης ότι τα επίμαχα δεδομένα αποτελούν ταυτοχρόνως και προσωπικά δεδομένα τρίτων προσώπων, εντούτοις, ο εν λόγω ισχυρισμός αβασίμως προβάλλεται, δεδομένου ότι ο καταγγέλλων δεν αιτήθηκε τη χορήγηση πληροφοριών περιεχομένου που μεταφόρτωνε στην πλατφόρμα της εφημερίδας «Φ.gr», η οποία πιθανώς περιέχει και δεδομένα τρίτων, αλλά αποκλειστικά τη χορήγηση των καταγεγραμμένων στοιχείων σύνδεσης του λογαριασμού του με το προσωπικό email του (...@gmail.com)∙ κατά τούτο, ο καθ’ ου υπεύθυνος επεξεργασίας δεν δύναται να αρνηθεί τη χορήγηση αυτών με επίκληση της διάταξης του άρθρου 15 παρ. 4 ΓΚΠΔ. Εξάλλου, ο καθ’ ου ισχυρίστηκε ότι έχει τη δυνατότητα να ικανοποιήσει μερικώς το αίτημα του καταγγέλλοντος, παρέχοντας λίστα με άρθρα και δημοσιεύσεις που έχει αναρτήσει ο καταγγέλλων με τις αντίστοιχες ημερομηνίες 4 ΔΕΕ, C-579/21, 22 Ιουνίου 2023, σκ. 69-
18. 9 δημοσίευσης, ωστόσο, όπως αναλύεται ως άνω, οι εν λόγω πληροφορίες δεν αντιστοιχούν στο περιεχόμενο του αιτήματος του καταγγέλλοντος, γ) Με το υπ’ αρ. πρωτ. Γ/ΕΙΣ/7444/04-08-2025 κατόπιν της ακροάσεως υπόμνημά του, ο καθ΄ ου επικαλέστηκε τεχνική αδυναμία παροχής των εν λόγω στοιχείων, καθώς συμφώνως με όσα παρέθεσε, «κατά τη διαμόρφωση του συστήματος, δεν προβλέφθηκε η εγκατάσταση ειδικής βάσης δεδομένων ή λογισμικού για καταγραφή συνδέσεων/αποσυνδέσεων». Ο ισχυρισμός αυτός, καίτοι αληθοφανής, λαμβανομένου υπόψη του μεγέθους της επιχείρησης, αφενός φαίνεται να έρχεται σε αντίφαση με έτερο ισχυρισμό του καθ’ ου, ότι η ικανοποίηση του αιτήματος θα συνιστούσε δυσανάλογη επιβάρυνσή του και άρα δύναται να τύχει εφαρμογής το άρθρο 12 παρ. 5 ΓΚΠΔ, βάσει του οποίου: «Εάν τα αιτήματα του υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο υπεύθυνος επεξεργασίας μπορεί (…) να αρνηθεί να δώσει συνέχεια στο αίτημα.», καθόσον καταλείπεται τελικώς αμφιβολία αναφορικά με την ύπαρξη ή μη της τεχνικής δυνατότητας χορήγησης των επίμαχων στοιχείων, έστω με επιβάρυνση του καθ’ ου. Αφετέρου, λαμβανομένου υπόψη του ίδιου ως άνω άρθρου 12 παρ. 5 ΓΚΠΔ, το οποίο αποτυπώνοντας σαφώς το πνεύμα της αρχής της λογοδοσίας, ορίζει ότι: «(..) Ο υπεύθυνος επεξεργασίας φέρει το βάρος της απόδειξης του προδήλως αβάσιμου ή του υπερβολικού χαρακτήρα του αιτήματος.», η Αρχή κρίνει ότι ο ισχυρισμός αυτός προεβλήθη οψίμως, χωρίς να έχει αντιταχθεί κατά του καταγγέλλοντος και χωρίς να έχει προβληθεί σε πρότερο στάδιο κατά τη διαδικασία υποβολής υπομνημάτων προ της ακρόασης, ενώ δεν τεκμηριώθηκε επαρκώς, με προσκόμιση σχετικών στοιχείων, που να πιστοποιούν την έλλειψη δυνατότητας παροχής των στοιχείων ή τη δυσανάλογη προσπάθεια που θα έπρεπε να λάβει χώρα για την εξασφάλιση αυτών. Κατά συνέπεια, ο εν λόγω ισχυρισμός αλυσιτελώς προβάλλεται και θα πρέπει να απορριφθεί ως αβάσιμος. δ) Περαιτέρω, ο καθ’ ου ισχυρίστηκε ότι η αποκάλυψη τεχνικών λεπτομερειών λειτουργίας του συστήματος θα έθετε σε κίνδυνο την ασφάλεια των πληροφοριακών υποδομών της εφημερίδας, ενώ η αλλαγή κωδικών μετά τη λήξη της εργασιακής σχέσης αποτελεί βασικό μέτρο ασφαλείας και δεν επηρέασε την πρόσβαση του 10 καταγγέλλοντος στο προσωπικό ηλεκτρονικό ταχυδρομείο του. Εντούτοις, από κανένα στοιχείο του φακέλου δεν προκύπτει, ούτε τεκμηριώνεται ότι ο καταγγέλλων αιτήθηκε την παροχή τέτοιων πληροφοριών ή ότι η παροχή των επίμαχων πληροφοριών θα αποκαλύψει ταυτόχρονα τεχνικές λεπτομέρειες λειτουργίας της πλατφόρμας της εφημερίδας, επομένως ο εν λόγω ισχυρισμός τυγχάνει απορριπτέος ως αόριστος, ε) Ο καθ’ ου αρνήθηκε επίσης να ικανοποιήσει το αίτημα του καταγγέλλοντος, με την αιτιολογία ότι το δικαίωμα πρόσβασης ασκείται καταχρηστικά, καθώς, όπως ισχυρίστηκε, ο καταγγέλλων επιδιώκει τη συλλογή αποδεικτικών στοιχείων για εκκρεμή αγωγή του ενώπιον του Μονομελούς Πρωτοδικείου Χ, με την οποία ισχυρίζεται ότι εργαζόταν με διαφορετικό ωράριο. Σχετικώς επισημαίνεται ότι σύμφωνα με τις Κατευθυντήριες γραμμές 01/2022 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων αναφορικά με το δικαίωμα πρόσβασης «(..) οι υπεύθυνοι επεξεργασίας δεν θα πρέπει να ελέγχουν «γιατί» το υποκείμενο των δεδομένων ζητεί πρόσβαση, αλλά μόνο «τι» ζητεί το υποκείμενο των δεδομένων ((…). Ως εκ τούτου, για παράδειγμα, ο υπεύθυνος επεξεργασίας δεν θα πρέπει να αρνείται την πρόσβαση για τον λόγο ή με την υποψία ότι τα ζητούμενα δεδομένα θα μπορούσαν να χρησιμοποιηθούν από το υποκείμενο των δεδομένων για να υπερασπιστεί τον εαυτό του στο δικαστήριο σε περίπτωση απόλυσης ή εμπορικής διαφοράς με τον υπεύθυνο επεξεργασίας (..)»
19. Περαιτέρω, όπως έχει κρίνει το Δικαστήριο της Ευρωπαϊκής Ένωσης (…), το υποκείμενο των δεδομένων δεν υποχρεούται να αιτιολογήσει το αίτημα πρόσβασης στα δεδομένα, η πρώτη περίοδος της αιτιολογικής σκέψης 63 δεν μπορεί να ερμηνευθεί υπό την έννοια ότι το αίτημα αυτό πρέπει να απορρίπτεται αν ο σκοπός του είναι διαφορετικός από εκείνον της γνώσης της επεξεργασίας των δεδομένων και της επαλήθευσης της νομιμότητάς της. Συγκεκριμένα, η ως άνω αιτιολογική σκέψη δεν μπορεί να περιορίσει το πεδίο εφαρμογής του άρθρου 15, παράγραφος 3, του ΓΚΠΔ, (…)»
20. Τα ως άνω συμφωνούν εξάλλου και με τη νομολογία της Αρχής, σύμφωνα με την οποία «(…) δεν έχει σημασία για ποιο σκοπό το υποκείμενο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, Κατευθυντήριες γραμμές 01/2022 σχετικά με τα δικαιώματα των υποκειμένων των δεδομένων — Δικαίωμα πρόσβασης, Έκδοση 2.1, 28 Μαρτίου 2023, παρ. 13, σελ.
21. 6 ΔΕΕ, C-307/22, 26 Οκτωβρίου2023, σκ.
22. 5 11 ασκεί το δικαίωμα πρόσβασης. Ο ΓΚΠΔ δεν θέτει προϋποθέσεις για την άσκησή του, η οποία συνδέεται με τη δυνατότητα του υποκειμένου να έχει επίγνωση της επεξεργασίας και να επαληθεύει τη νομιμότητα της επεξεργασίας (..)
23. Επομένως ο εν λόγω ισχυρισμός περί άρνησης ικανοποίησης του δικαιώματος πρόσβασης εξαιτίας της επιδίωξης έτερων σκοπών εκ μέρους του καταγγέλλοντος δεν δύναται να γίνει δεκτός και τυγχάνει απορριπτέος ως αβάσιμος. στ) Τέλος, αναφορικά με την επίκληση εκ μέρους του καθ’ ου του κατ’ άρθρον 17 ΓΚΠΔ δικαιώματος διαγραφής, τούτο αλυσιτελώς προβάλλεται από τον καθ’ ου υπεύθυνο επεξεργασίας, καθόσον, όπως προκύπτει ευθέως από το γράμμα και το σκοπό της διάταξης, η ως άνω διάταξη αφορά σε δικαίωμα του υποκειμένου των δεδομένων και δεν δύναται να γίνει επίκλησή της από τον υπεύθυνο επεξεργασίας, προκειμένου να αρνηθεί την ικανοποίηση έτερου κατοχυρούμενου από τον ΓΚΠΔ δικαιώματος του υποκειμένου.
24. Επειδή, λαμβανομένων υπόψη όλων των ανωτέρω, διαπιστώνεται εκ μέρους του καθ’ ου υπευθύνου επεξεργασίας η παραβίαση των διατάξεων του άρθρου 15 παρ. 1 και 3 ΓΚΠΔ, σε συνδυασμό με το άρθρο 12 παρ. 5 ΓΚΠΔ. H Αρχή κρίνει ότι σε σχέση με τις ως άνω παραβιάσεις συντρέχει περίπτωση άσκησης των διορθωτικών εξουσιών της σύμφωνα με το άρθρο 58 παρ. 2 του ΓΚΠΔ, καθώς και την αιτιολογική σκέψη 148 του ΓΚΠΔ. Κατά την αξιολόγηση των δεδομένων από την Αρχή, προκειμένου να επιλεγεί το πρόσφορο διορθωτικό μέτρο, λαμβάνονται υπόψη για την υπό κρίση περίπτωση οι όροι του άρθρου 83 παρ. 2,4 και 5 ΓΚΠΔ, οι «Κατευθυντήριες Γραμμές 04/2022 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων» 8, καθώς και οι «Κατευθυντήριες Γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679» της Ομάδας Εργασίας του Άρθρου 29 9, ως εξής: • το γεγονός ότι η παραβίαση των διατάξεων σχετικά με τα δικαιώματα των Απόφαση 1/2022, διαθέσιμη στην ιστοσελίδα της Αρχής. Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, Κατευθυντήριες Γραμμές 04/2022 για τον υπολογισμό των διοικητικών προστίμων υπό τον ΓΚΠΔ, Εκδ. 2.1, 24 Μαΐου
25. 9 Ομάδα Εργασίας του Άρθρου 29, Κατευθυντήριες Γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του κανονισμού 2016/679, 3 Οκτωβρίου
26. 7 8 12 υποκειμένων υπάγεται, σύμφωνα με τις διατάξεις του άρθρου 83 παρ. 5 στοιχ. β) ΓΚΠΔ, στην ανώτερη προβλεπόμενη κατηγορία του συστήματος διαβάθμισης διοικητικών προστίμων, • ως επιβαρυντικό στοιχείο, ότι ο καθ’ ου δεν προέβη σε ενέργειες για να μετριάσει τη ζημία που υπέστη ο καταγγέλλων, (άρθρο 83 παρ. 2 στοιχ. γ) ΓΚΠΔ), • ως ελαφρυντικό στοιχείο, ότι η Αρχή δεν έχει διαπιστώσει στο παρελθόν παράβαση εκ μέρους του υπευθύνου επεξεργασίας (άρθρο 83 παρ. 2 στοιχ. ε) ΓΚΠΔ). Βάσει των ανωτέρω, η Αρχή αποφασίζει ομόφωνα ότι πρέπει να επιβληθούν στον καθ’ ου υπεύθυνο επεξεργασίας οι αναφερόμενες στο διατακτικό διοικητικές κυρώσεις που αρμόζουν στην συγκεκριμένη περίπτωση, σύμφωνα με τις ειδικότερες περιστάσεις αυτής. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή Α) δίνει εντολή, συμφώνως προς το άρθρο 58 παρ. 2 στοιχ. γ’ ΓΚΠΔ, στον καθ’ ου Β, ως υπεύθυνο επεξεργασίας, ικανοποίησης του ασκηθέντος την 30/4/2024 δικαιώματος πρόσβασης, χορηγώντας στον Α τα δεδομένα που τον αφορούν, σύμφωνα με τα αναφερόμενα στο ιστορικό της παρούσης απόφασης, ενημερώνοντας σχετικώς την Αρχή, εντός προθεσμίας