← Ελλάδα

Επεξεργασία δεδομένων προσωπικού χαρακτήρα σε υπολογιστική υποδομή (υλικού και λογισμικού-διακομιστή) χωρίς την τήρηση των αρχών του άρθρου 5 παρ. 1 Γ

ΕΛΛΗΝΙΚΗ ΔΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αθήνα, 19-12-2019 Αριθ. Πρωτ.: Γ/ΕΞ/8907/19-12-2019 ΑΠΟΦΑΣΗ ΑΡ. 44 /2019 (Τμήμα) Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα συνεδρίασε σε σύνθεση Τμήματος στην έδρα της την Τετάρτη 24 Ιουλίου 2019 μετά από πρόσκληση του Προέδρου της, προκειμένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Γεώργιος Μπατζαλέξης, Αναπληρωτής Πρόεδρος, κωλυομένου του Προέδρου της Αρχής, Κωνσταντίνου Μενουδάκου, τα αναπληρωματικά μέλη Παναγιώτης Ροντογιάννης, Γρηγόριος Τσόλιας ως εισηγητής, και Ευάγγελος Παπακωνσταντίνου, σε αναπλήρωση των τακτικών μελών Αντώνιου Συμβώνη, Χαράλαμπου Ανθόπουλου και Κωνσταντίνου Λαμπρινουδάκη οι οποίοι αν και εκλήθησαν νομίμως εγγράφως, δεν παρέστησαν λόγω κωλύματος. Στη συνεδρίαση παρέστησαν, με εντολή του Προέδρου, ο Γεώργιος Ρουσόπουλος, ειδικός επιστήμονας – ελεγκτής ως βοηθός εισηγητή και η Ειρήνη Παπαγεωργοπούλου, υπάλληλος του Διοικητικού Τμήματος της Αρχής, ως γραμματέας, ενώ δεν παρέστη λόγω κωλύματος η έτερη βοηθός εισηγητή, Ευμορφία – Ιωσηφίνα Τσακιρίδου, ειδικός επιστήμονας ελέγκτρια. Η Αρχή έλαβε υπόψη της τα παρακάτω: Η εταιρεία AEGEAN BUNKERING SERVICES INC (εφεξής «ABS») υπέβαλε στην Αρχή την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5432/18-06-2018 γνωστοποίηση περιστατικού παραβίασης δεδομένων προσωπικού χαρακτήρα, κατ’ άρθρ. 33 του Κανονισμού (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων – εφεξής «ΓΚΠΔ») μαζί με συμπληρωματικό Λ. Κηφισίας 1-3, 11523 Αθήνα, Τηλ.: 210-6475600, Fax: 210-6475628, contact@dpa.gr, www.dpa.gr υπόμνημα. Παράλληλα, η ίδια εταιρεία υπέβαλε την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/5414/18-062018 αναφορά της (η ίδια τη χαρακτήρισε ως καταγγελία) σχετικά με παραβίαση προσωπικών δεδομένων κατά των εταιρειών Aegean Marine Petroleum Network Inc (εφεξής «AMPNI») και ERNST & YOUNG HELLAS CERTIFIED AUDITORS-ACCOUNTANTS (εφεξής «EY ΕΛΛΑΣ»), με την οποία ισχυρίζεται ότι πρόσωπα που σχετίζονται με τις ανωτέρω δύο εταιρείες εισήλθαν χωρίς δικαίωμα σε χώρο της ABS (data room) και παρανόμως αντέγραψαν σε φορητά μέσα αποθήκευσης το σύνολο του ψηφιακού περιεχομένου διακομιστή (server) το οποίο περιέχει ηλεκτρονικά αρχεία καθώς και μηνύματα ηλεκτρονικού ταχυδρομείου (e-mails) και άλλες επικοινωνίες τόσο εργαζομένων της ABS με τρίτους, όσο και εργαζομένων τρίτων εταιριών «κλωνοποιώντας» τον πρωτότυπο διακομιστή (server) και δημιουργώντας με τον τρόπο αυτό ένα νέο αρχείο (clone server) εξ’ αντιγραφής του πρωτοτύπου διακομιστή (server). Με την υπ’ αρ. 2/2018 Προσωρινή Διαταγή του Προέδρου της (με αριθμ. πρωτ. Γ/ΕΞ/5432-1/22-06-2018), η Αρχή απαγόρευσε, μέχρι την έκδοση οριστικής απόφασης, στις AMPNI και ΕΥ ΕΛΛΑΣ καθώς και σε κάθε άλλη εταιρεία ή φυσικό πρόσωπο στα οποία τυχόν διαβιβάσθηκε το σύνολο ή μέρος του αναφερόμενου στην υπόθεση αντιγραφέντος αρχείου (clone server), να επεξεργαστούν με οποιονδήποτε τρόπο τα δεδομένα προσωπικού χαρακτήρα και ιδίως τα e-mails που περιλαμβάνονται στο αντιγραφέν αρχείο (server) τα οποία και επισυνάφθηκαν ως κατάλογος στο τέλος της εν λόγω Προσωρινής Διαταγής αποτελώντας αναπόσπαστο μέρος αυτής. Σημειωτέον ότι με την ίδια απόφαση διευκρινίστηκε ότι η ανωτέρω διάταξη αναστολής επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται στο αντιγραμμένο διακομιστή (clone server) δεν παρακωλύει την συνέχιση της λειτουργίας του πρωτότυπου διακομιστή (server) της ίδιας εταιρίας, υπό την αυτονόητη βεβαίως προϋπόθεση ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα λαμβάνει χώρα νομίμως κατ’ αρ. 5 και 6 παρ. 1 ΓΚΠΔ. Η Αρχή με το με αρ. πρωτ. Γ/ΕΞ/5414-1/26-6-2018 έγγραφο της κάλεσε τις εταιρείες ΑΜΡΝΙ, ABS και ΕΥ ΕΛΛΑΣ να παράσχουν πληροφορίες καθώς και να προσκομίσουν συγκεκριμένα έγγραφα αλλά και κάθε αναγκαίο στοιχείο για την λήψη οριστικής απόφασης επί της εξεταζόμενης υπόθεσης. Επί του ανωτέρω εγγράφου: i. Η εταιρεία ΕΥ ΕΛΛΑΣ με το από 28-6-2018 Υπόμνημά της προς την Αρχή (αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/5824/29-6-2018) δήλωσε ότι ουδεμία σχέση έχει με την εξεταζόμενη υπόθεση, ούτε καν είχε γνώση της καταγγελλόμενης ως παράνομης επεξεργασίας προσωπικών δεδομένων. Επιπλέον δε, ζήτησε την ανάκληση της προσωρινής διαταγής στο μέτρο που την αφορά ως μη εμπλεκόμενο μέρος και ζήτησε όπως εξαιρεθεί από 2 οποιαδήποτε έρευνα ή έλεγχο διενεργήσει η Αρχή αναφορικά με την εν λόγω υπόθεση. Η Αρχή ζήτησε περαιτέρω διευκρινίσεις από την εν λόγω εταιρεία με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/5824-1/06-07-2018 έγγραφό της, ιδίως σε σχέση με δύο πρόσωπα που φέρονται να δήλωσαν εκπρόσωποι της εταιρείας «Ernst & Young» και εμπλέκονται στην αντιγραφή του server. Η ΕΥ ΕΛΛΑΣ απάντησε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/6424/24-07-2018 έγγραφό της αρνούμενη οποιαδήποτε σχέση με τα εν λόγω φυσικά πρόσωπα. Η εταιρεία ABS με την από 28-6-2018 Αναφορά της (αρ. πρωτ. ii. Γ/ΕΙΣ/5825/29/06/2018) και την από 03-7-2018 επιστολή της (αρ. πρωτ. Γ/ΕΙΣ/5935/04-072018) προς την Αρχή προσκόμισε έγγραφα, ανάμεσα στα οποία και Πολιτικές οργανισμού με την επωνυμία “AEGEAN”, οι οποίες δεν έφεραν ημερομηνία σύνταξης και εφαρμογής, δεν έφεραν υπογραφές αρμόδιων προσώπων για την σύνταξη και έγκριση, ενώ με το ίδιο έγγραφο η εταιρία παρείχε πληροφορίες σε απάντηση των ερωτημάτων της Αρχής. Η εταιρεία AMPNI με την από 13-7-2018 Αίτηση Θεραπείας (αρ. ΑΠΔΠΧ iii. πρωτ. Γ/ΕΙΣ/6211/13-7-2018) αιτήθηκε την ακύρωση και αναστολή ισχύος, εν όλω ή εν μέρει, της Προσωρινής Διαταγής υπ’ αρ. 2/2018 του Προέδρου της Αρχής για τους λόγους που εκεί αναφέρονται αναλυτικά. Με την αίτηση εκείνη η εταιρεία αρνήθηκε όλους τους εναντίον της, υποβληθέντες από την καταγγέλλουσα εταιρεία ABS, ισχυρισμούς, επεσήμανε ότι η ABS υπήρξε εξ’ ολοκλήρου θυγατρική της εταιρία και υποστήριξε μεταξύ άλλων ότι νομίμως απέκτησε πρόσβαση στους λογαριασμούς ηλεκτρονικού ταχυδρομείου συγκεκριμένων νυν ή πρώην υπαλλήλων του Ομίλου AMPNI καθώς και άλλα σχετικά στοιχεία στο πλαίσιο εσωτερικής έρευνας σε σχέση με σημαντικά οικονομικά θέματα της εταιρίας, συμπεριλαμβανομένης πιθανολογούμενης απάτης εις βάρος της εταιρίας, ότι η πρόσβαση σε αυτούς υπήρξε απαραίτητη προκειμένου η εταιρία να μπορέσει να συμμορφωθεί με τις υποχρεώσεις της αναφορικά με την υποβολή εκθέσεων και γνωστοποιήσεων προς την Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (SEC) υπό τους εφαρμοστέους νόμους και κανονισμούς, συμπεριλαμβανομένης της αμερικανικής νομοθεσίας κινητών αξιών και κανονισμών του Χρηματιστηρίου της Νέας Υόρκης, καθώς επίσης προκειμένου να προστατεύσει τον Όμιλο από περαιτέρω ζημία και απώλεια δεδομένων, ότι η εσωτερική έρευνα που διενεργείται έχει παρεμποδισθεί από πρόσωπα για τα οποία υπάρχουν υπόνοιες ότι κατέχουν σημαντικές πληροφορίες σε σχέση με τα θέματα του εσωτερικού ελέγχου, ότι τα e-mails που εξήχθησαν ήταν επαγγελματικά (εταιρικά) και επομένως δεν αποτελούν δεδομένα προσωπικού χαρακτήρα, ότι προέβη σε λήψη αντιγράφου ασφαλείας (back up) όλων των δεδομένων του συστήματος, δηλαδή και δεδομένων που αφορούσαν εργαζόμενους τρίτων εταιριών που χρησιμοποιούσαν τον ίδιο διακομιστή 3 (server) επειδή διαπιστώθηκε η εγκατάσταση και λειτουργία λογισμικού διαγραφής και άρα η εν λόγω επεξεργασία ήταν απολύτως αναγκαία για να προστατευθεί η ακεραιότητά των δεδομένων του Ομίλου ΑΜΡΝΙ από όσους επιχειρούσαν να τα καταστρέψουν χωρίς εξουσιοδότηση, ότι τα εν λόγω στοιχεία που προέρχονται από την αναζητούμενη ηλεκτρονική αλληλογραφία είναι αναγκαία για την από μέρους των εξωτερικών ελεγκτών PriwaterhouseCoopersS.A. (“PwC”) προκειμένου να υπογραφεί η ετήσια έκθεση της εταιρίας για το οικονομικό έτος 2017. Περαιτέρω, στην Αρχή υποβλήθηκαν 11 καταγγελίες φυσικών προσώπων κατά της AMPNI και της EY HELLAS και σε σχέση με το προαναφερθέν περιστατικό, και συγκεκριμένα οι υπ' αριθμ. πρωτ. Γ/ΕΙΣ/5648/26-06-2018, Γ/ΕΙΣ/5650/26-06-2018, Γ/ΕΙΣ/5651/26-06-2018, Γ/ΕΙΣ/5653/26-06-2018, Γ/ΕΙΣ/5679/26-06-2018, Γ/ΕΙΣ/5680/2606-2018, Γ/ΕΙΣ/5681/26-06-2018, Γ/ΕΙΣ/5682/26-06-2018, Γ/ΕΙΣ/5683/26-06-2018, Γ/ΕΙΣ/5684/26-06-2018 και Γ/ΕΙΣ/5685/26-06-2018, καταγγελίες των Α, Β, Γ, Δ, Ε, ΣΤ, Ζ, Η, Θ, Ι και Κ αντίστοιχα, οι οποίοι προσέφυγαν ενώπιον της Αρχής για παραβίαση των δεδομένων προσωπικού χαρακτήρα τους που τηρούνταν στον πρωτότυπο διακομιστή (server) και ο οποίος παρανόμως αντεγράφη στο σύνολο του από την ελεγχόμενη εταιρία AMPNI με δεδομένο ότι κάποιοι εκ των καταγγελλόντων υπήρξαν εργαζόμενοι τρίτων εταιριών, άσχετων με την AMPNI και τις εταιρίες του Ομίλου της, όπως οι Δ και Ι εργάζονταν στην «ΑΙΓΑΙΟΝ ΟΪΛ», ο Κ εργαζόταν στην “AEGEAN NET FUELS”, ο Ζ εργαζόταν στην “AEGEAN PETROLEUM INTERNATIONAL”, και η Β που εργαζόταν στην “AEGEAN SHIPPING MANAGEMENT” Η Αρχή αφού μελέτησε τις ανωτέρω απαντήσεις μετά των συνημμένων εγγράφων απέστειλε: i. στην εταιρεία AMPNI το με αρ. πρωτ. Γ/ΕΞ/6211-1/14-8-2018 έγγραφο με το οποίο την κάλεσε να παράσχει συμπληρωματικές διευκρινίσεις και την ενημέρωσε για τις υποβληθείσες σε βάρος της καταγγελίες, προκειμένου να εκθέσει τις απόψεις της επ’ αυτών. ii. στην εταιρεία ABS με αρ. πρωτ. Γ/ΕΞ/5935-1/16-8-2018 έγγραφο με το οποίο την κάλεσε να παράσχει συμπληρωματικές διευκρινίσεις και έγγραφα. Η εταιρεία ABS με το από 11-9-2018 Συμπληρωματικό Υπόμνημα της προς την Αρχή (αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/7522/20-9-2018) παρείχε συμπληρωματικές διευκρινίσεις και έγγραφα και ειδικότερα: ότι οι αρχικά προσκομισθείσες πολιτικές ασφαλείας συντάχθηκαν εκτός ΕΕ στις ΗΠΑ και εφαρμόζονται στην AMPNI και τις θυγατρικές της, ότι στον εσωτερικό κανονισμό εργασίας των θυγατρικών εν Ελλάδι εταιριών της AMPNI δεν υπάρχει οποιαδήποτε αναφορά στον έλεγχο των εταιρικών e-mail των εργαζομένων ή τον 4 τρόπο που δύναται η εταιρία να προβεί σε εσωτερικούς ελέγχους με αποκλειστική ευθύνη της AMPNI, ότι στον πρωτότυπο εξυπηρετητή (server), το περιεχόμενο του οποίου παρανόμως αντεγράφη από την AMPNI τηρούνταν δεδομένα προσωπικού χαρακτήρα τρίτων εταιριών προς τον Όμιλο AMPNI όπως ενδεικτικά των εταιριών “Aegean Net Fuels Ltd Fze”, “Αιγαίον ΟΙΛ Α.Ε.”, “Aegean Lubes” και “Aegean Gas”, ότι όλες οι ανωτέρω εταιρίες ,μαζί με την ABS, AMPNI και τις θυγατρικές της χρησιμοποιούν άτυπα και χωρίς καμία έγγραφη σύμβαση την υποδομή και τους servers της εταιρίας ABS και προσκόμισε σχετική έγγραφη τεκμηρίωση. Η εταιρεία AMPNI με τα από 10-09-2018 (…) και 17-9-2018 (…) έγγραφά της (αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/7306/10-09-2018 και Γ/ΕΙΣ/7434/17-9-2018 αντίστοιχα) παρείχε συμπληρωματικές διευκρινίσεις και ειδικότερα ότι: Ο διακομιστής (server) από τον οποίο εξήχθησαν δεδομένα (server) βρίσκεται στο δωμάτιο υπολογιστών (computer room) στο ισόγειο του κτιρίου επί της Ακτής Κονδύλη, στο οποίο οι εταιρίες του Ομίλου AMPNI μισθώνουν χώρο για τις εγκαταστάσεις τους. Στο δωμάτιο υπολογιστών, εξ όσων γνωρίζει η ελεγχόμενη εταιρία, εκτός από τον server, βρίσκονται επίσης servers άλλων εταιριών των οποίων τα γραφεία στεγάζονται στο ίδιο κτίριο, οι οποίες δεν σχετίζονται με τον Όμιλο AMPNI. Ο Όμιλος AMPNI δεν έχει πρόσβαση στους εν λόγω servers. Επίσης η ελεγχόμενη εταιρία υποστήριξε ότι ο server ανήκει πραγματικά στον όμιλο AMPNI, ανήκει ιδιοκτησιακά στην καταγγέλλουσα ABS, η οποία όμως δεν επεξεργάζεται προσωπικά δεδομένα για λογαριασμό της AMPNI, επανέλαβε τους ισχυρισμούς της περί νόμιμης και αναγκαίας επεξεργασίας δεδομένων για τους σκοπούς της εσωτερικής έρευνας της και εξ’ αφορμής του τυχαίου εντοπισμού με εγκεκριμένου λογισμικού διαγραφής προκειμένου να προστατευθούν τα δεδομένα του Ομίλου AMPNI, τα οποία δεν ήταν προσωπικά και, συνεπώς, δεν έχει λάβει χώρα παραβίαση, ότι η τυχόν οποιαδήποτε εξαγωγή προσωπικών δεδομένων από την ΕΥ LLP έλαβε χώρα με τη λήψη κατάλληλων μέτρων για τη διασφάλιση των δεδομένων, ότι η εξαγωγή e-mails αφορούσε περιορισμένο αριθμό προσώπων, ότι η ομάδα της EY LLP δεν απέκτησε φυσική πρόσβαση στο server, ότι από το τοπικό προσωπικό ΙΤ του Ομίλου AMPNI δημιουργήθηκαν πέντε

(5)λογαριασμοί για τα μέλη της ομάδας EY LLP προκειμένου αυτά να έχουν πρόσβαση στα συστήματα της AMPNI, ότι δεν ενημέρωσε προηγουμένως τα πρόσωπα των οποίων οι ηλεκτρονικοί λογαριασμοί ελέγχθηκαν και αποκτήθηκε πρόσβαση δια της αντιγραφής του server προκειμένου να αποφευχθεί ο κίνδυνος αποτροπής ή παρεμπόδισης της έρευνας κατ’ αρ. 14 παρ. 5 εδ. β’ ΓΚΠΔ, ότι νομίμως και κατ’ εφαρμογή του άρθρου 6 παρ. 1 εδ. γ’ και στ’ ΓΚΠΔ έλαβε χώρα η επεξεργασία των δεδομένων δια της 5 αντιγραφής του server, και ότι το αντιγραφέν αρχείο βρίσκεται στα γραφεία της ΕΥ στο Μάντσεστερ το Ηνωμένου Βασιλείου. Η εταιρεία ΑΜΡΝΙ με την από 10-10-2018 αίτησή της (ΑΠΔΠΧ αρ.πρωτ. Γ/ΕΙΣ/8044/11-10-2018) ζήτησε την κατ’ επείγουσα εξέταση του αιτήματος της περί άρσης της υπ’ αρ. 2/18 Προσωρινής Διαταγής επικαλούμενη την από μέρους του Υπουργείου Δικαιοσύνης των ΗΠΑ κλήτευση της ενώπιον του Σώματος Ενόρκων σε σχέση με επίσημη ποινική έρευνα για ενδεχόμενο ποινικό αδίκημα, στο πλαίσιο της οποίας (κλήτευσης) κλήθηκε να αποστείλει προς τις ΗΠΑ και να καταθέσει αρμοδίως, έως τις …, στοιχεία που αφορούν, μεταξύ άλλων, μηνύματα ηλεκτρονικού ταχυδρομείου (e-mails) που περιλαμβάνονται στο αναφερόμενο από την ίδια ως «αντίγραφο ασφαλείας (back up)», την επεξεργασία του οποίου έχει απαγορεύσει η Αρχή μέχρι την έκδοση οριστικής απόφασης της. Ειδικότερα, με την ανωτέρω αίτησή της η εταιρεία ΑΜΡΝΙ επαναλαμβάνει τους ισχυρισμούς που αναπτύσσει στην από 13-7-2018 Αίτηση Θεραπείας της υποστηρίζοντας ότι νομίμως εξήχθησαν οι επαγγελματικοί (εταιρικοί) λογαριασμοί email και επομένως πρέπει να ανακληθεί η υπ’ αρ. 2/18 Προσωρινή Διαταγή ώστε εν συνεχεία να διαβιβάσει τα στοιχεία (e-mail) στις Η.Π.Α. Η Αρχή προχώρησε σε κλήση προς ακρόαση των εταιρειών ABS, AMPNI και ΕΥ ΕΛΛΑΣ με τα υπ’ αριθμ. πρωτ. Γ/ΕΞ/8303/18-10-2018, Γ/ΕΞ/8302/18-10-2018 και Γ/ΕΞ/8301/18-10-2018 έγγραφά της, αντίστοιχα, ενώ με την υπ’ αριθμ. 3 Προσωρινή Διαταγή του Προέδρου της Αρχής (υπ’ αριθμ. πρωτ. Γ/ΕΞ/8345/19.10.2018), απέρριψε την αίτηση θεραπείας – ανάκλησης της υπ’ αρ. 2/2018 Προσωρινής Διαταγής λαμβάνοντας υπόψη ότι προϋπόθεση διασυνοριακής διαβίβασης των προσωπικών δεδομένων προς τις Η.Π.Α. συνιστά η τήρηση των γενικών αρχών επεξεργασίας, ήτοι των άρθρων 5 και 6 ΓΚΠΔ, ώστε σε περίπτωση κατά την οποία τα υπό διασυνοριακή διαβίβαση δεδομένα έχουν συλλεγεί παράνομα, να απαγορεύεται η διασυνοριακή διαβίβαση τους. Κατά τη συνεδρίαση του τμήματος της Αρχής την 07-11-2018 παρέστησαν εκ μέρους της AMPNI οι δικηγόροι Παναγιώτης Μπερνίτσας με ΑΜΔΣΑ …, Μαρίνα Ανδρουλακάκη με ΑΜΔΣΑ … και Αρετή – Τάνια Πατσαλιά με ΑΜΔΣΑ …. Επίσης, παρέστη ο Λ, νόμιμος εκπρόσωπος της ABS δηλώνοντας ότι εκπροσωπείται από το δικηγόρο Λεωνίδα Κοτσαλή με ΑΜΔΣΑ …. Εκ μέρους των καταγγελλόντων παρέστη η δικηγόρος Ελευθερία Ρίζου με ΑΜΔΣA …. Στη συνεδρίαση κατατέθηκαν από την AMPNI τα υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8790/07-11-2018 και Γ/ΕΙΣ/8791/07-11-2018 έγγραφα από τα οποία προκύπτει ότι το Διοικητικό Συμβούλιο της ABS, με απόφασή του την …, αποφάσισε ότι ο νόμιμος εκπρόσωπος της εταιρείας Λ δε νομιμοποιείται να διορίζει ή να απαλλάσσει από τα 6 καθήκοντά τους δικηγόρους, απάλλαξε τον έως τότε δικηγόρο Λ. Κοτσαλή και όρισε ως νέους δικηγόρους της εταιρείας τους Π. Μπερνίτσα και Η. Αναγνωστόπουλο. Κατατέθηκε επίσης από το δικηγόρο Π. Μπερνίτσα ένσταση κατά της εκπροσώπησης της εταιρίας ABS από τον Λ και τον δικηγόρο Λ. Κοτσαλή (υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/8816/08-11-2018). Η Αρχή ανέβαλε τη συζήτηση της υπόθεσης προκειμένου να εξετάσει το ζήτημα της εκπροσώπησης της ABS. Κατόπιν του υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/9207/21-11-2018 εγγράφου της ABS από το οποίο προκύπτει ότι το Δ.Σ. της εταιρείας αντικατέστησε την … τον εκπρόσωπό του με τον Μ η Αρχή προχώρησε σε νέες κλήσεις των εταιρειών ABS, AMPNI και ΕΥ ΕΛΛΑΣ με τα υπ’ αριθμ. πρωτ. Γ/ΕΞ/9445/27-11-2018, Γ/ΕΞ/9449/27-11-2018 και Γ/ΕΞ/9448/27-11-2018 έγγραφά της. Περαιτέρω, ο πρώην νόμιμος εκπρόσωπος της ABS Ν. Λ κατέθεσε την υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/9771/04-12-2018 καταγγελία, υποστηρίζοντας ότι και τα δικά του δεδομένα προσωπικού χαρακτήρα επλήγησαν από το περιστατικό. Κατά της συνεδρίαση του τμήματος της Αρχής την 05-12-2018 παρέστησαν εκ μέρους των εταιρειών AMPNI και ABS οι δικηγόροι Παναγιώτης Μπερνίτσας με ΑΜΔΣΑ …, Μαρίνα Ανδρουλακάκη με ΑΜΔΣΑ … και Αρετή – Τάνια Πατσαλιά με ΑΜΔΣΑ …, εκ μέρους της εταιρείας ΕΡΝΣΤ & ΓΙΑΝΓΚ (ΕΛΛΑΣ) ΟΡΚΩΤΟΙ ΛΟΓΙΣΤΕΣ Α.Ε. η Ιόλη Κατσιρούμπα με ΑΜΔΣΠ … και η Αλεξάνδρα Βράκα με ΑΜΔΣΑ …. Τους καταγγέλλοντες Λ και ΣΤ εκπροσώπησε ο Λεωνίδας Κοτσαλής με ΑΜΔΣΑ … ενώ εκ μέρους των λοιπών καταγγελλόντων προσήλθε η Ελευθερία Ρίζου με ΑΜΔΣΑ …. Σημειώνεται ότι μετά τη συνεδρίαση οι εταιρείες ABS και AMPNI κατέθεσαν το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/9981/11-122018 αίτημα εξαίρεσης του εισηγητή το οποίο απερρίφθη με την υπ’ αρ. 42/2019 απόφαση της Αρχής. Οι εκπρόσωποι των εταιρειών και των καταγγελλόντων έλαβαν προθεσμία και κατέθεσαν υπομνήματα. Ειδικότερα:
  1. i)H ΕΥ ΕΛΛΑΣ κατέθεσε το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/10252/19-12-2018 έγγραφο, με το οποίο επαναλαμβάνει τους ισχυρισμούς τους, ότι ουδεμία σχέση έχει με την υπόθεση.
  2. ii)Οι εταιρείες AMPNI και ABS κατέθεσαν τo υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/10259/19-122018 υπόμνημα, το οποίο συμπληρώθηκε με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/10398/28-12-2018 έγγραφο ενώ με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/10316/24-12-2018 εξέφρασαν αντιρρήσεις για την παράταση της προθεσμίας υποβολής υπομνημάτων έως την 15-01-2019, για την οποία αποφάσισε το τμήμα της Αρχής και συνολικά για την ακολουθούμενη διαδικασία. Ειδικότερα, η εταιρία ABS κατά την διαδικασία της ακρόασης, αλλά και με το ανωτέρω υπόμνημα της, ανακάλεσε την σε βάρος της AMPNI καταγγελία και εκπροσωπήθηκε από κοινού με την ABS. Εν συνεχεία, επικαλέσθηκε τους εξής ισχυρισμούς: με απόφαση 7 δικαστηρίου των ΗΠΑ αναστέλλεται αυτομάτως παγκοσμίως η λήψη οποιοδήποτε μέτρων κατά της πτωχευτικής περιουσίας της AMPNI και άρα θα πρέπει να ανασταλεί και η ενώπιον της Αρχής διαδικασία κατά της εταιρίας, ότι η καταγγελία της ABS είναι απαράδεκτη καθώς ασκήθηκε από νομικό και όχι φυσικό πρόσωπο κατά παράβαση του άρθρου 77 παρ. 1 ΓΚΠΔ, ότι είναι απαράδεκτες οι καταγγελίες των φυσικών προσώπων καθώς δεν προηγήθηκε άσκηση των σχετικών δικαιωμάτων προς τον υπεύθυνο επεξεργασίας, ότι ο ΓΚΠΔ δεν εφαρμόζεται στην περίπτωση της AMPNI καθώς δεν έχει εγκατάσταση στην Ελλάδα, ότι είχε δικαίωμα να διενεργήσει εσωτερικό έλεγχο σε επαγγελματικά e-mails που δεν τυγχάνουν της προστασίας της νομοθεσίας για τα προσωπικά δεδομένα, ότι η επεξεργασία των e-mails ήταν απαραίτητη για τους σκοπούς των εννόμων συμφερόντων της AMPNI κατ’ αρ. 6 παρ. 1 εδ. στ’ ΓΚΠΔ, ότι παραπέμπει στα έγγραφα και στα στοιχεία που είχε προσκομίσει η ABS ως καταγγέλλουσα σε βάρος της AMPNI, πριν ανακαλέσει την καταγγελία, ότι τα e-mails της εταιρίας αποτελούν ιδιοκτησία της AMPNI, ότι στο πλαίσιο της εσωτερικής έρευνας αποφασίσθηκε η αντιγραφή των e-mails συγκεκριμένων προσώπων αλλά κατά την διαδικασία αντιγραφής τους προέκυψε η λειτουργία λογισμικού διαγραφής του συνόλου του server και η εταιρία αναγκάστηκε να προβεί σε συνολική αντιγραφή του δημιουργώντας ένα αντίγραφο ασφαλείας (back
  3. up)ώστε δεν υπήρχε χρόνος προγενέστερης ενημέρωσης των υποκειμένων των δεδομένων, ότι αν και η διαπίστωση της λειτουργίας του λογισμικού διαγραφής συνιστά παραβίαση προσωπικών δεδομένων δεν υπήρχε από μέρους της εταιρίας καμία υποχρέωση γνωστοποίησης του στην Αρχή γιατί δεν αφορούσε προσωπικά δεδομένα αλλά εταιρικά (επαγγελματικά) e-mails και άρα δεν θα μπορούσε να δημιουργηθεί στους εργαζόμενους καμία εύλογη προσδοκία ιδιωτικότητας, άλλως ελήφθησαν τα αναγκαία μέτρα ασφαλείας, ότι ακόμη και εάν τα εταιρικά e-mails συνιστούν προσωπικά δεδομένα, δεν αποδείχθηκε ότι σε αυτά υπήρχαν προσωπικά δεδομένα, ότι δεν επιχειρήθηκε πρόσβαση σε προσωπικούς (ιδιωτικούς) λογαριασμούς ηλεκτρονικού ταχυδρομείου των εν λόγω εργαζομένων αλλά εξήχθησαν από τον server της εταιρίας, ότι και στην περίπτωση της υπόθεσης Novartis η Αρχή είχε κρίνει ότι υπήρχε έννομο συμφέρον συμμόρφωσης προς το αίτημα των δημοσίων αρχών των ΗΠΑ και χορηγήθηκε άδεια διαβίβασης των σχετικών δεδομένων στις ΗΠΑ, ότι θα πρέπει να λάβει γνώση κάθε νέου αποδεικτικού υλικού που θα προσκομίσουν οι καταγγέλλοντες, ότι δεν υπήρχε υποχρέωση ενημέρωσης των πρώην και νυν υπαλλήλων του Ομίλου AMPNI και τέλος ότι σε περίπτωση επιβολής διοικητικών κυρώσεων από την Αρχή να μην διαταχθεί η καταστροφή του υλικού που έχει αντιγραφεί καθώς περιλαμβάνει κρίσιμα έγγραφα και στοιχεία προκειμένου να παραδοθούν στις αρχές των ΗΠΑ. 8 iii) Οι ένδεκα αρχικοί καταγγέλλοντες κατέθεσαν από κοινού το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/268/15-01-2019 υπόμνημα, ενώ ο Λ κατέθεσε το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/272/15-012019 υπόμνημα, στα οποία υποστηρίζεται ότι: η AMPNI ουδέποτε υπέβαλε στην ABS αίτημα πρόσβασης στα προσωπικά δεδομένα με νόμιμο τρόπο, αλλά προτιμήθηκε η ευθεία επαφή με τον κ. Ν, … , με πρόταση συνέργειας σε παράνομες πράξεις, προσφέροντας του μάλιστα αμνηστία, ότι η διαπίστωση ύπαρξης λογισμικού διαγραφής δεν ανταποκρίνεται στην πραγματικότητα αλλά υπήρξε πρόσχημα για να δικαιολογηθεί η αντιγραφή του συνόλου του διακομιστή (server) με δεδομένο ότι από ηλεκτρονικές επιστολές μεταξύ Ν και Ξ υπαλλήλου της ΕΥ LLP προκύπτει ότι είχε ζητηθεί η αντιγραφή του συνόλου του διακομιστή (server) αρκετές ημέρες προ της διαπίστωσης λειτουργίας λογισμικού διαγραφής, ότι τα εταιρικά δεδομένα εμπεριέχουν πάντα προσωπικά δεδομένα, ότι τα επαγγελματικά emails περιλαμβάνουν προσωπικά δεδομένα σύμφωνα και με τη νομολογία του ΔΕΕ, ότι η ιδιοκτησία και η κατοχή ενός διακομιστή (server) δεν συνεπάγεται και την ιδιοκτησία των προσωπικών δεδομένων που περιέχονται στον διακομιστή (server), ότι δεν έχει γίνει διαχωρισμός δεδομένων και ότι ουδέποτε έχουν υπογραφεί συμβάσεις εκτέλεσης επεξεργασίας κατ’ αρ. 28 ΓΚΠΔ, ότι δεν έχει τηρηθεί καμία από τις αρχές του άρθρου 5 ΓΚΠΔ ώστε η επεξεργασία είναι αθέμιτη και ότι οι ισχυρισμοί της AMPNI για την μη ενημέρωση των υποκειμένων υπήρξε αντιφατική. Μετά την κατάθεση των υπομνημάτων, οι AMPNI και ABS ενημέρωσαν την Αρχή (Γ/ΕΙΣ/452/22-01-2019) ότι βρίσκονται σε διαδικασία μετεγκατάστασης και ότι η εταιρεία «Αποθήκες Αιγαίου ΑΕΒΕ», με την οποία διατηρούσαν κοινές εγκαταστάσεις, δεν τους παραδίδει τον πρωτότυπο σκληρό δίσκο του εν λειτουργία διακομιστή (server) της ABS, παρά το γεγονός ότι αυτός δεν αποτελούσε τμήμα της προσωρινής διαταγής της Αρχής, όπως επιβεβαίωσε η Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/452-1/29-01-2019 έγγραφό της. Σύμφωνα με τις εταιρίες AMPNI και ABS η επεξεργασία του αντιγράφου ασφαλείας (back
  4. up)που βρίσκεται στο Μάνστεστερ του Ηνωμένου Βασιλείου και περιέχει επαγγελματικά e-mails, αποτελεί το μοναδικό τρόπο προκειμένου να διασφαλιστεί ότι καίρια αποδεικτικά στοιχεία δεν θα καταστραφούν οριστικά και τυχόν απόφαση της Αρχής που θα διατάσσει για οποιονδήποτε λόγο την καταστροφή των επαγγελματικών e-mails που αντιγράφηκαν στο αντίγραφο ασφαλείας θα ήταν δυσανάλογη και θα παρέμβαινε ανεπανόρθωτα στα περιουσιακά δικαιώματα και τα δικαιώματα άμυνας του Ομίλου AMPNI. Όπως ενημέρωσαν οι AMPNI και ABS (Γ/ΕΙΣ/757/30-01-2019) σχετικό αίτημα συζητήθηκε στο Ειρηνοδικείο Πειραιά με διαδικασία ασφαλιστικών μέτρων, αρχικά με 9 έκδοση προσωρινής διαταγής (βλ. Γ/ΕΙΣ/757/30-01-2019). Τελικά, όπως ενημερώθηκε η Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/2883/16-04-2019 έγγραφο των AMNPI και ABS το προαναφερθέν δικαστήριο εξέδωσε την υπ’ αριθμ. 14/2019 απόφαση του, διατάζοντας την απόδοση του κινητού εξοπλισμού στην ABS. Επί του ζητήματος αυτού η εταιρεία ΑΠΟΘΗΚΕΣ ΑΙΓΑΙΟΥ κατέθεσε το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/2111/19-03-2019 αίτημα με το οποίο ζητούσε να διευκρινιστεί εάν η απόδοση των διακομιστών (servers) περιλαμβάνει και το περιεχόμενο αυτών, ήτοι τα δεδομένα προσωπικού χαρακτήρα - αποθηκευμένα e-mails, ενώ η Αρχή με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/2111-1/23-04-2019 έγγραφό της ενημέρωσε ότι τα ερωτήματα που υποβάλλονται με την αίτηση δεν σχετίζονται με τις υπ’ αριθμ. 2/2018 και 3/2018 Προσωρινές Διαταγές, αλλά αφορούν θέματα ερμηνείας και εκτέλεσης της … Απόφασης του Ειρηνοδικείου Πειραιώς τα οποία δεν εμπίπτουν στην αρμοδιότητα της Αρχής. Οι AMPNI και ABS κατέθεσαν επίσης σειρά εγγράφων τα οποία σχετίζονται με τις ενεργές διαδικασίες σε πτωχευτικό δικαστήριο των Η.Π.Α. και συγκεκριμένα τα α) υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/740/30-01-2019 με τίτλο «NOTICE OF DEADLINE REQUIRING SUBMISSION OF PROOFS OF CLAIM ON OR BEFORE 21-02-2019» β) υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/1467/25-02-2019 με τίτλο «NOTICE OF HEARING TO CONSIDER CONFIRMATION OF THE CHAPTER 11 PLAN FILED BY THE DEBTORS AND RELATED VOTING AND OBJECTION DEADLINES», γ) υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/2678/09-04-2019 με τίτλο «NOTICE OF (A) ENTRY OF ORDER CONFIRMING THE JOINT PLAN OF REORGANIZATION OF AEGEAN MARINE PETROLEUM NETWORC INC. AND ITS DEBTORS AFFILIATES PURSUANT TO CHAPTER 11 OF THE BANKRUPTCY CODE AND (B) OCCURRENCE OF EFFECTIVE DATE». Τέλος, οι AMPNI και ABS, αφού (με το υπ’ αριθμ. πρωτ. Γ/ΕΞ/2214/21-03-2019 έγγραφο της Αρχής) έλαβαν γνώση των ισχυρισμών των καταγγελλόντων μέσω των από 1501-2019 υπομνημάτων τους υπέβαλαν το υπ’ αριθμ. πρωτ. Γ/ΕΙΣ/2616/05-04-2019 συμπληρωματικό υπόμνημα με το οποίο κατ’ αρχήν αμφισβητείται η νομιμότητα της παράτασης της προθεσμίας που δόθηκε για την μετ’ ακρόαση υποβολή υπομνήματος. Εν συνεχεία, υποστηρίζουν, αντικρούοντας το υπόμνημα των καταγγελλόντων ότι δεν προέβησαν σε καμία ενέργεια παράνομης επεξεργασίας προσωπικών δεδομένων, ότι δεν υπήρχε εξ’ αρχής πρόθεση αντιγραφής του διακομιστή (server), ούτε ότι επινόησαν ως δικαιολογητικό λόγο την ύπαρξη του λογισμικού διαγραφής, ότι σκοπός της διαδικασίας που ακολουθήθηκε υπήρξε η εξαγωγή επαγγελματικών e-mails καθορισμένου αριθμού πρώην και 10 νυν υπαλλήλων του ομίλου AMPNI, ότι δεν επιχειρήθηκε πρόσβαση σε προσωπικούς (ιδιωτικούς) λογαριασμούς e mail, ότι κάποιοι εκ των καταγγελλόντων μόνο προσκομίζουν κάποια e-mails τα οποία περιέχουν προσωπικά δεδομένα τους, ότι μεταγενέστερα της καταγγελίας προσκομίζονται νέα στοιχεία που αφορούν ιδίως ηλεκτρονικής αλληλογραφία και ανταλλαγή e-mails από διεύθυνση της ΠΑΕ ΑΕΚ, η οποία δεν περιλαμβάνεται στον κατάλογο των διευθύνσεων που επισυνάπτεται στην προσωρινή διαταγή 2/2018 της Αρχής, ότι οι καταγγέλλοντες γνώριζαν πολύ καλά ότι οι εταιρικοί τους λογαριασμοί e mail προορίζονταν μόνο για επαγγελματική χρήση, ότι στο μέτρο που εν τέλει το αντίγραφο ασφαλείας περιέχει προσωπικά δεδομένα φυσικών προσώπων που δεν συνδέονται με τον όμιλο AMPNI τότε η εταιρία θα ήταν πρόθυμη να διαχωρίσει ή να διαγράψει τα δεδομένα που αφορούν τα εν λόγω φυσικά πρόσωπα, ότι τα επαγγελματικά e-mails δεν αποτελούν προσωπικά δεδομένα, ότι η αντιγραφή του πρωτότυπου διακομιστή (server) υπήρξε νόμιμη λόγω ανωτέρας βίας εξαιτίας του εντοπισμού της λειτουργίας λογισμικού διαγραφής καθώς και ότι προσωπική αλληλογραφία δεν έπρεπε εξ’ αρχής να έχει ανταλλαχθεί μέσω των εταιρικών λογαριασμών e-mail. Η Αρχή, από την ακροαματική διαδικασία, από τα στοιχεία του φακέλου της υπόθεσης, καθώς και από τα υπομνήματα που υποβλήθηκαν μετά των συνημμένων εγγράφων, αφού άκουσε τον εισηγητή και τις διευκρινίσεις του βοηθού εισηγητή Γ. Ρουσόπουλου, ο οποίος αποχώρησε μετά τη συζήτηση και πριν από τη διάσκεψη και τη λήψη αποφάσεως, και κατόπιν διεξοδικής συζήτησης, λαμβάνοντας υπόψη ιδίως: 1. Τις διατάξεις του Συντάγματος, και ιδίως εκείνες των άρθρων 2 παρ. 1, 5 παρ. 1, 5 Α, 9, 9Α, 19 παρ. 3, 17, 22, 25 και 28. 2. Τις διατάξεις της Ευρωπαϊκής Σύμβασης των Δικαιωμάτων του Ανθρώπου της 04.11.1950 που κυρώθηκε με το ν.δ. 53 της 19.9.1974, όπως ισχύει σήμερα και ιδίως εκείνες του άρθρου 8. 3. Τις διατάξεις Λειτουργίας της Συνθήκης της Ευρωπαϊκής Ένωσης και ιδίως εκείνες του άρθρου 16. 4. Τις διατάξεις του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκή Ένωσης (2012/C 326/02) και ιδίως εκείνες των άρθρων 7, 8 και 52. 5. Τις διατάξεις της Σύμβασης του Συμβουλίου της Ευρώπης για την προστασία των προσώπων έναντι της αυτοματοποιημένης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα της 28.1.1981 («Σύμβαση 108»), που κυρώθηκε με το ν. 2068/1992, όπως 11 ισχύει σήμερα και ιδίως εκείνες των άρθρων 5 και 6. 6. Τις διατάξεις του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ) υπ’ αρ. 679/2016. 7. Τις διατάξεις του ν. 2472/1997 στο μέτρο που δεν έρχονται σε αντίθεση με τον ΓΚΠΔ (βλ. ΑΠΔΠΧ 46/18 και 52/18) 8. Τις διατάξεις της Οδηγίας υπ’ αρ. 115/2001 της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα με θέμα τα αρχεία των εργαζομένων 9. Την υπ’ αρ. 3/2010 Γνώμη της Ομάδας Εργασίας του άρθρου 29 σχετικά με την αρχή της λογοδοσίας (WP 173/13-7-2010) 10. Την υπ’ αρ. 2/2017 Γνώμη της Ομάδα Εργασίας του άρθρου 29, για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στην εργασία (WP 249) 11. Το από 29-5-2002 Έγγραφο Εργασίας της Ομάδας Εργασίας του άρθρου 29 για την επιτήρηση των ηλεκτρονικών επικοινωνιών στον τόπο εργασίας (WP55) 12. Την υπ’ αρ. 8/2001 Γνώμη της Ομάδας Εργασίας του άρθρου 29 για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των εργασιακών σχέσεων (WP 48) 13. Την υπ’ αρ. 06/2014 Γνώμη της Ομάδας Εργασίας του άρθρου 29 σχετικά με την έννοια των εννόμων συμφερόντων του υπευθύνου επεξεργασίας (WP 217), στο μέτρο που είναι ερμηνευτικά χρήσιμη στο πλαίσιο της παρούσας. 14. Τις Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του άρθρου 29 «Guidelines on transparency under Regulation 2016/679», WP260 rev.01, στο μέτρο που είναι ερμηνευτικά χρήσιμες στο πλαίσιο της παρούσας. 15. Τις υπ’ αρ. 2/2018 Κατευθυντήριες Γραμμές του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων «αναφορικά με τις παρεκκλίσεις που προβλέπονται στο άρθρο 49 του Κανονισμού 2016/679». 16. Το έγγραφο της Ομάδας Εργασίας του άρθρου 29 υπ’ αρ. 18/ΕΝ/WP 262 της 06-022018 με τίτλο “Guidelines on Article 49 of Regulation 2016/679” 17. Τις Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του άρθρου 29 για την Γνωστοποίηση παραβίασης προσωπικών δεδομένων (“Guidelines on Personal data breach notification under Regulation 2016/679 WP 250 rev. 1) 18. Τις Κατευθυντήριες Γραμμές (υπό διαβούλευση) υπ’ αρ. 3/2018 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για το εδαφικό πεδίο εφαρμογής του ΓΚΠΔ 12 ΣΚΕΦΤΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟΝ ΝΟΜΟ 1. Με το άρθρο 94 του Γενικού Κανονισμού Προστασίας Δεδομένων (ΓΚΠΔ) υπ’ αρ. 679/2016 καταργήθηκε από τις 25.5.2018 η Οδηγία 95/46/ΕΚ, οπότε και τέθηκε σε εφαρμογή ο ΓΚΠΔ κατ’ άρθ. 99 παρ. 2 αυτού. Ο ν. 2472/1997 εξακολουθεί να ισχύει στο μέτρο που οι διατάξεις του δεν έρχονται σε αντίθεση με τον ΓΚΠΔ (βλ. ΑΠΔΠΧ 46/18 και 52/18). 2. Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα θα πρέπει να προορίζεται να εξυπηρετεί τον άνθρωπο. Το δικαίωμα στην προστασία δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο δικαίωμα, πρέπει να εκτιμάται σε σχέση με τη λειτουργία του στην κοινωνία και να σταθμίζεται με άλλα θεμελιώδη δικαιώματα, σύμφωνα με την αρχή της αναλογικότητας (Αιτ.Σκ. 4 ΓΚΠΔ). 3. Σύμφωνα με το άρθρο 3 παρ. 1 ΓΚΠΔ «ο παρών κανονισμός εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των δραστηριοτήτων μιας εγκατάστασης ενός υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία στην Ένωση, ανεξάρτητα από το κατά πόσο η επεξεργασία πραγματοποιείται εντός της Ένωσης». Στην υπ’ αριθμ. 22 Αιτιολογική Σκέψη του ΓΚΠΔ προσδιορίζεται για την έννοια της εγκατάστασης ότι αυτή « […] προϋποθέτει την ουσιαστική και πραγματική άσκηση δραστηριότητας μέσω σταθερών ρυθμίσεων. Από αυτή την άποψη, ο νομικός τύπος των ρυθμίσεων αυτών, είτε πρόκειται για παράρτημα είτε για θυγατρική με νομική προσωπικότητα, δεν είναι καθοριστικής σημασίας». 4. Σύμφωνα με το άρθρο 4 παρ. 1 ΓΚΠΔ ως «δεδομένα προσωπικού χαρακτήρα» ορίζεται «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο («υποκείμενο των δεδομένων»)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας…». Παρόμοιος ευρύς ορισμός για την έννοια των δεδομένων προσωπικού χαρακτήρα προϋπήρχε στο άρθρο 2 παρ. α’ του ν. 2472/1997, κατ’ εφαρμογή της Οδηγίας 95/46/ΕΚ. Στο πλαίσιο αυτό, η διεύθυνση ηλεκτρονικού ταχυδρομείου (e-mail) ενός φυσικού προσώπου συνιστά δεδομένο προσωπικού χαρακτήρα αφού μπορεί να λειτουργήσει ως στοιχείο έμμεσης ή άμεσης αναγνώρισης του κατόχου της, επιτρέποντας την επικοινωνία με 13 αυτόν. Όταν η διεύθυνση ηλεκτρονικού ταχυδρομείου (e-mail) φέρει το όνομα ή συναφές προσδιοριστικό της ταυτότητας του φυσικού προσώπου – χρήστη (π.χ. johnsmith@ikea.
  5. sk)τότε πρόκειται περί άμεσης ταυτοποίησης και άρα συνιστά δεδομένο προσωπικού χαρακτήρα σε αντίθεση με την διεύθυνση που αφορά νομικό πρόσωπο (π.χ. ikeacontact@ikea.com), η οποία κατ’ αρχήν δεν συνιστά δεδομένο προσωπικού χαρακτήρα1. 5. Σύμφωνα με τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ), το γεγονός ότι η επεξεργασία πληροφοριών άπτεται κατά περιεχόμενο επαγγελματικής δραστηριότητας, δεν ασκεί συναφώς επιρροή και δεν αναιρεί τον χαρακτηρισμό τους ως δεδομένων προσωπικού χαρακτήρα2, ούτε συνεπάγεται εξαίρεση από τη συναφή προστασία3, ακόμη και όταν ο υπεύθυνος επεξεργασίας ενεργεί στο πλαίσιο της ασκήσεως των δημόσιων καθηκόντων του4, η δε «διάκριση των επίμαχων δεδομένων αναλόγως του αν εμπίπτουν στην ιδιωτική σφαίρα ή στη δημόσια σφαίρα προκύπτει προδήλως από σύγχυση μεταξύ των όσων εμπίπτουν στα δεδομένα προσωπικού χαρακτήρα και των όσων εμπίπτουν στην ιδιωτική ζωή»5. Σύμφωνα με τη νομολογία του Ευρωπαϊκού Δικαστηρίου Δικαιωμάτων του Ανθρώπου (ΕΔΔΑ) η προστασία της «ιδιωτικής ζωής» που θεμελιώνεται στο άρθρο 8 της Ευρωπαϊκής Σύμβασης Δικαιωμάτων Ανθρώπου (ΕΣΔΑ), στην έννοια της οποίας υπάγεται η προστασία των δεδομένων προσωπικού χαρακτήρα, δεν εξαιρεί την επαγγελματική ζωή και δεν περιορίζεται στη ζωή εντός του τόπου κατοικίας (βλ. ΑΠΔΠΧ 34/2018 και ΟΕ29 Έγγραφο εργασίας για την επιτήρηση των ηλεκτρονικών επικοινωνιών στον τόπο εργασίας της 29-5-2002, WP55, σελ. 8). Επιπλέον δε, σύμφωνα με την ίδια νομολογία, στην προστασία του άρθρου 8 ΕΣΔΑ υπάγονται οι ηλεκτρονικές επιστολές (e-mails)6, Αναλυτικά βλ. το περιεχόμενο της από 21-02-2018 απάντησης που δόθηκε από την Ευρωπαϊκή Επιτροπή στο πλαίσιο της υπ’ αρ/ Ε-007147/17 ερώτησης http://www.europarl.europa.eu/doceo/document/E-8-2017-007174ASW_EN.html?redirect 2 Βλ. ΔΕΕ C-345/2017 απόφαση Sergejs Buivids της 14-02-2019 παρ. 46, ΔΕΕ C-398/2015 απόφαση Salvatore Manni της 09-3-2017 παρ. 34, ΔΕΕ C-615/13 Client Earth απόφαση της 16-7-2015, παρ. 30, 32, ΔΕΕ C-92/09 & C-93/09 απόφαση Volker und Markus Schecke GbR & Hartmut Eifert κατά Land Hessen της 09-11-2010 παρ. 59. 3 Βλ. Οργανισμό Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκή Ένωσης (FRA), Εγχειρίδιο σχετικά με την ευρωπαϊκή νομοθεσία για την προστασία των προσωπικών δεδομένων, έκδοση 2014 σελ. 50 και έκδοση 2018 (αγγλόφωνη) σελ. 86-87. 4 Γενικό Δικαστήριο ΕΕ Τ-496/13 απόφαση McCullough της 11-6-2015 για την συμπερίληψη των ονομάτων των υποκειμένων των δεδομένων στα πρακτικά συνεδρίασης ανεξαρτήτως του γεγονότος ότι ασκούν δημόσια εξουσία παρ. 66 ή ότι έχουν ήδη δημοσιοποιηθεί βλ. ΔΕΕ C-127/13 απόφαση Guido Strack της 02-10-2014 ιδίως παρ.111. 5 Βλ. και Τ-639/15 έως Τα-666/15 και Τ-94/16 Μαρία Ψάρρα κ.λπ. κατά Ευρωπαϊκού Κοινοβουλίου παρ. 52, βλ. και παρ. 50, 53. 6 George Garamukanwa v. UK απόφαση της 14-5-2019 επί του παραδεκτού, παρ. 25, Copland κατά Ηνωμένου Βασιλείου της 3-4-2007. 1 14 περιλαμβανομένης της ηλεκτρονικής αλληλογραφίας επιστολών (e-mails) εμπορικού περιεχομένου7. Ως εκ τούτου, το να μη γίνει δεκτό ότι οι ανωτέρω πληροφορίες (ιδίως e-mails) αποτελούν δεδομένα προσωπικού χαρακτήρα «θα είχε ως συνέπεια να μην απαιτείται καθόλου, όσον αφορά τις εν λόγω πληροφορίες, η τήρηση των αρχών και των εγγυήσεων που προβλέπονται στον τομέα της προστασίας των δεδομένων προσωπικού χαρακτήρα και, ιδίως, των αρχών που αφορούν την ποιότητα των δεδομένων και τη νομιμότητα της επεξεργασίας τους...καθώς και ο σεβασμός των δικαιωμάτων, προσβάσεως, διορθώσεως και εναντιώσεως του ενδιαφερομένου..., αλλά και ο έλεγχος που ασκείται από την αρχή ελέγχου...» (ΔΕΕ C434/16 απόφαση Peter Nowak v Ireland Data Protection Commissioner της 20-12-2017, παρ. 49). 6. Τα υποκείμενα των δεδομένων, είτε είναι εργαζόμενοι ή ανώτερα στελέχη της διοίκησης ή συνδέονται καθ’ οιονδήποτε τρόπο με τον υπεύθυνο επεξεργασίας έχουν μια εύλογη προσδοκία προστασίας της ιδιωτικής ζωής τους στον τόπο εργασίας, η οποία δεν αίρεται από το γεγονός ότι χρησιμοποιούν εξοπλισμό, συσκευές επικοινωνιών ή οποιεσδήποτε άλλες επαγγελματικές εγκαταστάσεις και υποδομές υλικού ή λογισμικού (π.χ. δίκτυο ηλεκτρονικών επικοινωνιών, Wi-Fi, εταιρικές ηλεκτρονικές διευθύνσεις αλληλογραφίας, διακομιστές κ.λπ.) που ανήκουν στην ιδιοκτησία του υπευθύνου επεξεργασίας (βλ. ΑΠΔΠΧ 34/2018, 61/2004, Ομάδα Εργασίας άρθρου 29 WΡ55, όπ.π. σελ. 9). Το γεγονός ότι μια ηλεκτρονική επιστολή (e-mail) έχει αποσταλεί από εταιρική διεύθυνση αλληλογραφίας δεν οδηγεί σε απεμπόληση του δικαιώματος στον ιδιωτικό βίο (βλ. ΕΔΔΑ, Α’ Τμήμα, George Garamukanwa v. UK απόφαση της 14-5-2019 επί του παραδεκτού, παρ. 25), του δικαιώματος στην προστασία των δεδομένων προσωπικού χαρακτήρα των υποκειμένων των δεδομένων, ιδιαίτερα των εργαζομένων (βλ. ΑΠΔΠΧ υπ’ αρ. 2072/2018 Άδεια8 διασυνοριακής διαβίβασης δεδομένων προσωπικού χαρακτήρα νυν και τέως εργαζομένων της αιτούσας εταιρίας), του δικαιώματος στην προστασία του απορρήτου των επικοινωνιών και των σχετικών δεδομένων θέσης (βλ. OE29 Γνώμη 2/17, σελ. 22 κ ΟΕ29, WP55, όπ.π., σελ. 22), ούτε βεβαίως μπορεί να γίνει δεκτό ότι τα δεδομένα προσωπικού χαρακτήρα των υποκειμένων των δεδομένων που παράγονται με τη χρήση των Copland v UK της 03-7-2007, Amman κατά Ελβετίας της 16-02-2000, Kopp κατά Ελβετίας της 25-3-1998, Halford κατά Ηνωμένου Βασιλείου της 25-6-1997, Aalmoes and 112 others v the Netherlands απόφαση επί του παραδεκτού της 25-11-2004. 8 Βλ. Δελτίο Τύπου Γ/ΕΞ/1728/01.3.2018 σχετικά με την χορήγηση της υπ’ αρ. 2072/2018 Άδειας Διαβίβασης ΑΠΔΠΧ. 7 15 εταιρικών μέσων επικοινωνιών συνιστούν «ιδιοκτησία» ή «περιουσία» του υπευθύνου επεξεργασίας επειδή είναι ο ιδιοκτήτης των ανωτέρω μέσων επικοινωνίας ή των ηλεκτρονικών εταιρικών διευθύνσεων αλληλογραφίας, προσέγγιση που υιοθετείται από τμήμα της νομολογίας των δικαστηρίων των Η.Π.Α., όχι όμως της Ευρωπαϊκής Ένωσης. 7. Σύμφωνα με την αιτιολογική σκέψη 39 ΓΚΠΔ «κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σύννομη και δίκαιη. Θα πρέπει να είναι σαφές για τα φυσικά πρόσωπα ότι δεδομένα προσωπικού χαρακτήρα που τα αφορούν συλλέγονται, χρησιμοποιούνται, λαμβάνονται υπόψη ή υποβάλλονται κατ’ άλλο τρόπο σε επεξεργασία, καθώς και σε ποιο βαθμό τα δεδομένα υποβάλλονται ή θα υποβληθούν σε επεξεργασία. Η αρχή αυτή απαιτεί κάθε πληροφορία και ανακοίνωση σχετικά με την επεξεργασία των εν λόγω δεδομένων προσωπικού χαρακτήρα να είναι εύκολα προσβάσιμη και κατανοητή και να χρησιμοποιεί σαφή και απλή γλώσσα. Αυτή η αρχή αφορά ιδίως την ενημέρωση των υποκειμένων των δεδομένων σχετικά με την ταυτότητα του υπευθύνου επεξεργασίας και τους σκοπούς της επεξεργασίας και την περαιτέρω ενημέρωση ώστε να διασφαλιστεί δίκαιη και διαφανής επεξεργασία σε σχέση με τα εν λόγω φυσικά πρόσωπα και το δικαίωμά τους να λαμβάνουν επιβεβαίωση και να επιτυγχάνουν ανακοίνωση των σχετικών με αυτά δεδομένων προσωπικού χαρακτήρα που υπόκεινται σε επεξεργασία. Θα πρέπει να γνωστοποιείται στα φυσικά πρόσωπα η ύπαρξη κινδύνων, κανόνων, εγγυήσεων και δικαιωμάτων σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα και πώς να ασκούν τα δικαιώματα τους σε σχέση με την επεξεργασία αυτή. Ιδίως, οι συγκεκριμένοι σκοποί της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα θα πρέπει να είναι σαφείς, νόμιμοι και προσδιορισμένοι κατά τον χρόνο συλλογής των δεδομένων προσωπικού χαρακτήρα. Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να είναι επαρκή και συναφή και να περιορίζονται στα αναγκαία για τους σκοπούς της επεξεργασίας τους. Αυτό απαιτεί ειδικότερα να διασφαλίζεται ότι το διάστημα αποθήκευσης των δεδομένων προσωπικού χαρακτήρα να περιορίζεται στο ελάχιστο δυνατό. Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υποβάλλονται σε επεξεργασία μόνο εάν ο σκοπός της επεξεργασίας δεν μπορεί να επιτευχθεί με άλλα μέσα. Για να διασφαλιστεί ότι τα δεδομένα προσωπικού χαρακτήρα δεν διατηρούνται περισσότερο από όσο είναι αναγκαίο, ο υπεύθυνος επεξεργασίας θα πρέπει να ορίζει προθεσμίες για τη διαγραφή τους ή για την περιοδική επανεξέτασή τους. Θα πρέπει να λαμβάνεται κάθε εύλογο μέτρο, ώστε να διασφαλίζεται ότι τα δεδομένα προσωπικού χαρακτήρα που δεν είναι ακριβή διορθώνονται ή διαγράφονται. 16 8. Σύμφωνα με την αιτιολογική σκέψη 60 ΓΚΠΔ «Οι αρχές της δίκαιης και διαφανούς επεξεργασίας απαιτούν να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της. Ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων κάθε περαιτέρω πληροφορία που είναι αναγκαία για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας λαμβάνοντας υπόψη τις ειδικές συνθήκες και το πλαίσιο εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα». 9. Σύμφωνα με το τελευταίο εδάφιο της αιτιολογικής σκέψης 39 ΓΚΠΔ «Τα δεδομένα προσωπικού χαρακτήρα θα πρέπει να υφίστανται επεξεργασία κατά τρόπο που να διασφαλίζει την ενδεδειγμένη προστασία και εμπιστευτικότητα των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων και για να αποτρέπεται κάθε ανεξουσιοδότητη πρόσβαση σε αυτά τα δεδομένα προσωπικού χαρακτήρα και στον εξοπλισμό που χρησιμοποιείται για την επεξεργασία τους ή η χρήση αυτών των δεδομένων προσωπικού χαρακτήρα και του εν λόγω εξοπλισμού.» 10. Σύμφωνα με το άρθρο 4 παρ. 12 ΓΚΠΔ ως παραβίαση δεδομένων προσωπικού χαρακτήρα νοείται «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που διαβιβάσθηκαν, αποθηκεύτηκαν ή υποβλήθηκαν κατ’ άλλο τρόπο σε επεξεργασία». Σύμφωνα με τις από 06-02-2018 Κατευθυντήριες Γραμμές της Ομάδας Εργασίας του άρθρου 29 της Οδηγίας 95/46/ΕΚ (νυν Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων – EDPB) για την Γνωστοποίηση παραβίασης προσωπικών δεδομένων (“Guidelines on Personal data breach notification under Regulation 2016/679 WP 250 rev. 1) ένας από τους τύπους παραβίασης προσωπικών δεδομένων είναι αυτός που κατηγοριοποιείται με βάση την αρχή ασφαλείας της «εμπιστευτικότητας», όταν διαπιστώνεται πρόσβαση άνευ δικαιώματος σε προσωπικά δεδομένα (“confidentiality breach”). Η παραβίαση δεδομένων προσωπικού χαρακτήρα λαμβάνει χώρα και με την παράνομη πρόσβαση σε διακομιστή (server), η δε λήψη τεχνικών και οργανωτικών μέτρων ασφαλείας σε διακομιστή (server) είναι εκ προοιμίου αναγκαία για την αποτροπή του συναφούς κινδύνου λόγω του μεγάλου όγκου προσωπικών δεδομένων που περιέχει 9, Σχετικά βλ. αναλυτικό Οδηγό της Γαλλικής Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (CNIL) «Security of Personal Data» στον οποία αναφέρεται τόσο η ανάγκη προηγούμενης λήψης μέτρων ασφαλείας για 9 17 σύμφωνα και με τον Ευρωπαϊκό Οργανισμό για την Ασφάλεια Δικτύων και πληροφοριών (ENISA)10. Η συλλογή και διατήρηση δεδομένων προσωπικού χαρακτήρα στο πλαίσιο λειτουργίας ενός διακομιστή (server) χωρίς την προηγούμενη λήψη τέτοιων αναγκαίων τεχνικών και οργανωτικών μέτρων ασφαλείας συνιστά παραβίαση των αρχών του άρθρου 5 παρ. 1 εδ. α’ και στ’ ΓΚΠΔ. 11. Σύμφωνα με το άρθρο 5 παρ. 1 στ’ ΓΚΠΔ («Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα») «τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά, με τη χρησιμοποίηση κατάλληλων τεχνικών ή οργανωτικών μέτρων («ακεραιότητα και εμπιστευτικότητα»), ενώ στο άρθρο 32 παρ. 2 ΓΚΠΔ προβλέπεται στο πλαίσιο εκτίμησης ενδεδειγμένου επιπέδου ασφαλείας η λήψη υπόψη του κινδύνου που απορρέει ιδίως από άνευ άδειας προσπέλαση δεδομένων, όπου και παρατίθεται ενδεικτικός κατάλογος μέτρων ασφαλείας11. Ο ΓΚΠΔ επιτάσσει την υποβολή των δεδομένων προσωπικού χαρακτήρα που έχουν ήδη τύχει επεξεργασίας σύμφωνα προς τις αρχές του άρθρου 5 παρ. 1 α’ έως και ε’ «κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια» (άρθρο 5 παρ. 1 εδ. στ’) ώστε σε περίπτωση κατά την οποία πληρούνται οι λοιπές αρχές πλην εκείνης της ασφάλειας, να καθίσταται εν τέλει παράνομη η επεξεργασία. Αντίστοιχα, εάν εξαρχής η σκοπούμενη επεξεργασία πρόκειται να λάβει χώρα κατά τρόπο που δεν εγγυάται την ενδεδειγμένη ασφάλεια, παρέλκει η εξέταση της πλήρωσης των αρχών που προβλέπονται από τα εδάφια α’ έως ε’ της παρ. 1 του άρθρου 5 ΓΚΠΔ, καθώς θα πρόκειται περί μη ασφαλούς και άρα παράνομης επεξεργασίας. Επιπλέον δε, η υποχρέωση του υπευθύνου επεξεργασίας «να εγγυάται» την ασφάλεια της επεξεργασίας με τη λήψη των κατάλληλων τεχνικών και οργανωτικών μέτρων εκπορεύεται από την υιοθετηθείσα από τον ΓΚΠΔ προσέγγιση με βάση τον κίνδυνο (“risk based approach”) ώστε «να καταστεί ο βαθμός κινδύνου κάθε επεξεργασίας το βασικό τους servers στο πλαίσιο συμμόρφωσης με τον ΓΚΠΔ όσο και ο κίνδυνος παράνομης πρόσβασης σε προσωπικά δεδομένα που διατηρούνται στους servers, 10 Σχετικά βλ. “Reinforcing trust and security in the area of electronic communications and online services”, Δεκέμβριος 2018, κεφάλαιο 7 “Server and DataBase Security” σελ. 38 επ. 11 Σχετικά βλ. Λ. Μήτρου σε Λ. Κοτσαλή -Κ. Μενουδάκο, ΓΚΠΔ-Νομική διάσταση και πρακτική εφαρμογή, κεφ. VI. Γνωστοποίηση παραβιάσεων δεδομένων, σελ. 218 επ. 18 κριτήριο προσδιορισμού της έκτασης των σχετικών υποχρεώσεων»12 (βλ. και ΑΠΔΠΧ 51/2015 αιτ. σκ. 4). Στην ίδια κατεύθυνση και το Ευρωπαϊκό Δικαστήριο Δικαιωμάτων του Ανθρώπου στην υπόθεση Ι. κατά Φινλανδίας13 εξετάζοντας προσφυγή στη βάση του κατά πόσον ο υπεύθυνος επεξεργασίας κατάφερε να «εγγυηθεί» την ασφάλεια των δεδομένων προσωπικού χαρακτήρα διαπίστωσε παραβίαση του άρθρου 8 ΕΣΔΑ από την μη εφαρμογή μέτρων ασφαλείας που οδήγησαν στην άνευ δικαιώματος πρόσβαση σε αυτά. Υπό το κράτος του ΓΚΠΔ η «ακεραιότητα και εμπιστευτικότητα» έχουν αναχθεί σε βασικές αρχές και προϋποθέσεις επεξεργασίας των δεδομένων προσωπικού χαρακτήρα κατ’ αρ. 5 παρ. 1 εδ. στ’ ΓΚΠΔ14 ώστε τα αναφερόμενα «κατάλληλα τεχνικά και οργανωτικά μέτρα», μεταξύ άλλων, να αποτρέπουν, εφόσον εφαρμοστούν, κάθε μη εξουσιοδοτημένη πρόσβαση ή χρήση των δεδομένων και του εξοπλισμού που χρησιμοποιείται για την επεξεργασία (βλ. Αιτ.Σκ. 39 ΓΚΠΔ και Ευρωπαϊκό Οργανισμό για την Ασφάλεια Δικτύων και Πληροφοριών-ENISA15). Συνεπώς δύο από τους τρεις βασικούς στόχους της ασφάλειας πληροφοριακών συστημάτων (δηλαδή εξαιρείται η διαθεσιμότητα) έχουν αναχθεί σε αρχές και προϋποθέσεις νόμιμης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Τα μέτρα πρέπει να εξειδικεύονται περισσότερο (βλ. άρθρο 32 ΓΚΠΔ) ενώ όπως επιτάσσει η αρχή της λογοδοσίας και προσδιορίζεται από τις διατάξεις του άρθρου 24 παρ. 2 ΓΚΠΔ, πρέπει να εφαρμόζονται κατάλληλες πολιτικές, ανάλογα με τις δραστηριότητες επεξεργασίας (βλ. ΑΠΔΠΧ 67/2018). Η ύπαρξη κατάλληλων εγγράφων πολιτικών, εγκεκριμένων από τη διοίκηση ενός φορέα (υπεύθυνου ή εκτελούντα την επεξεργασία) που εφαρμόζονται και υλοποιούνται στην πράξη (a contrario ΑΠΔΠΧ 98/2013 παρ. 5), συνιστά βασικό κριτήριο για την απόδειξη της συμμόρφωσης προς την αρχή της ακεραιότητας και εμπιστευτικότητας (βλ. ΑΠΔΠΧ 98/2013 αιτ. σκ. 3. ιδίως για τα πληροφοριακά συστήματα), στο βαθμό που απουσιάζουν άλλου είδους αποδείξεις όπως η τήρηση εγκεκριμένου κώδικα δεοντολογίας ή εγκεκριμένου μηχανισμού πιστοποίησης. Λ. Μήτρου, ο ΓΚΠΔ, όπ.π., σελ. 96 και υποσημειώσεις 270 και 271 με παραπομπές σε σύμφωνες θέσεις του CIPL και του ENISA. 13 Απόφαση της 17-7-2009, αρ. προσφ. 20511/2003 παρ. 37 έως και 46. 14 Βλ. Λ. Μήτρου, όπ.π. σελ. 219, η οποία αναφέρει ότι «Η ασφάλεια είναι συνθήκη εκ των ων ουκ άνευ για την αποτελεσματική προστασία προσωπικών δεδομένων. Ωστόσο πρέπει, ήδη προκαταρκτικά, να επισημανθεί ότι πρόκειται για μια αναγκαία πλην όμως μη επαρκή συνθήκη για την προστασία των δεδομένων, καθώς η προστασία τους από μη εξουσιοδοτημένη πρόσβαση, αποκάλυψη και εν γένει χρήση δεν σημαίνει αυτονόητα ότι αποτελούν αντικείμενο νόμιμης επεξεργασίας» αλλά και της ιδίας, ο ΓΚΠΔ, νέο δίκαιο-νέες υποχρεώσεις-νέα δικαιώματα, Σάκκουλας 2017, σελ. 108 επ. 15 “Handbook on Security of Personal Data Processing”, Δεκέμβριος 2017, ιδίως σελ. 8 καθώς και “Guidelines for SMEson the security of personal data processing”, Δεκέμβριος 2016, ιδίως σελ. 12 12 19 12. Σύμφωνα με την Αιτιολογική Σκέψη 78 ΓΚΠΔ «Η προστασία των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα απαιτεί τη λήψη κατάλληλων τεχνικών και οργανωτικών μέτρων ώστε να διασφαλίζεται ότι τηρούνται οι απαιτήσεις του παρόντος κανονισμού. Προκειμένου να μπορεί να αποδείξει συμμόρφωση προς τον παρόντα κανονισμό, ο υπεύθυνος επεξεργασίας θα πρέπει να θεσπίζει εσωτερικές πολιτικές και να εφαρμόζει μέτρα τα οποία ανταποκρίνονται ειδικότερα στις αρχές της προστασίας των δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού». 13. Σύμφωνα με την Αιτιολογική Σκέψη 82 ΓΚΠΔ «Προκειμένου να αποδείξουν συμμόρφωση προς τον παρόντα κανονισμό, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία θα πρέπει να τηρούν αρχεία των δραστηριοτήτων επεξεργασίας που τελούν υπό την ευθύνη τους». 14. Σύμφωνα με την Αιτιολογική Σκέψη 83 ΓΚΠΔ «Για τη διατήρηση της ασφάλειας και την αποφυγή της επεξεργασίας κατά παράβαση του παρόντος κανονισμού, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία θα πρέπει να αξιολογεί τους κινδύνους που ενέχει η επεξεργασία και να εφαρμόζει μέτρα για το μετριασμό των εν λόγω κινδύνων, όπως για παράδειγμα μέσω κρυπτογράφησης. Τα εν λόγω μέτρα θα πρέπει να διασφαλίζουν κατάλληλο επίπεδο ασφάλειας, πράγμα που περιλαμβάνει και την εμπιστευτικότητα...Κατά την εκτίμηση του κινδύνου για την ασφάλεια των δεδομένων θα πρέπει να δίνεται προσοχή στους κινδύνους που προκύπτουν από την επεξεργασία δεδομένων προσωπικού χαρακτήρα...». 15. Σύμφωνα με την Αιτιολογική Σκέψη 87 ΓΚΠΔ «Θα πρέπει να εξακριβώνεται κατά πόσον έχουν τεθεί σε εφαρμογή όλα τα κατάλληλα μέτρα τεχνολογικής προστασίας και οργανωτικά μέτρα για τον άμεσο εντοπισμό κάθε παραβίασης δεδομένων προσωπικού χαρακτήρα και την άμεση ενημέρωση της εποπτικής αρχής και του υποκειμένου των δεδομένων», όπως αναλυτικά αναφέρονται στις από 06-02-2018 Κατευθυντήριες Γραμμές της ΟΕ 29 για την γνωστοποίηση παραβίασης δεδομένων (WP 250 rev. 1). 16. Κατάλληλα μέτρα λογοδοσίας για την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ μπορούν να περιλαμβάνουν (όπως συνέστησε η Ομάδα Εργασίας του άρθρου 2916 προ της εφαρμογής του ΓΚΠΔ) τον ακόλουθο μη εξαντλητικό κατάλογο μέτρων: θέσπιση Γνώμη υπ’ αρ. 3/2010 σχετικά με την αρχή της λογοδοσίας της 13-7-2010 (WP 173) σελ. 13 επ. και σελ. 14 υποσημ. 7 για τα διεθνή πρότυπα που εγκρίθηκαν στη Μαδρίτη από τις αρμόδιες αρχές προστασίας των δεδομένων προσωπικού χαρακτήρα. 16 20 εσωτερικών διαδικασιών πριν την δημιουργία νέων εργασιών επεξεργασίας, θέσπιση γραπτών και δεσμευτικών πολιτικών προστασίας δεδομένων διαθέσιμες στα πρόσωπα στα οποία αναφέρονται τα δεδομένα, χαρτογράφηση των διαδικασιών, διατήρηση καταλόγου όλων των εργασιών επεξεργασίας δεδομένων, διορισμός υπευθύνου για την προστασία των δεδομένων και άλλων προσώπων με ευθύνη για την προστασία των δεδομένων, παροχή κατάλληλης εκπαίδευσης και κατάρτισης στους υπαλλήλους στην προστασία των δεδομένων, θέσπιση διαδικασιών για την διαχείριση των αιτημάτων πρόσβαση, διόρθωσης και διαγραφής, η οποία πρέπει να είναι διαφανής για τα άτομα στα οποία αναφέρονται τα δεδομένα, εγκαθίδρυση εσωτερικού μηχανισμού χειρισμού καταγγελιών, θέσπιση εσωτερικών διαδικασιών για την αποτελεσματική διαχείριση και αναφορά παραβιάσεων ασφαλείας, διενέργεια αξιολόγησης του αντικτύπου στην ιδιωτική ζωή σε ειδικές περιπτώσεις, εφαρμογή και επίβλεψη διαδικασιών επαλήθευσης, ώστε να διασφαλίζεται ότι όλα τα μέτρα όχι μόνον υπάρχουν στα χαρτιά, αλλά εφαρμόζονται και λειτουργούν στην πράξη (εσωτερικοί ή εξωτερικοί έλεγχοι κ.λπ.). Η Αρχή, στο πλαίσιο εφαρμογής του ΓΚΠΔ, έχει ήδη αναφερθεί στις υποχρεώσεις του υπευθύνου επεξεργασίας σχετικά με την ασφάλεια και την γενικότερη ευθύνη του για τον προσδιορισμό των κατάλληλων τεχνικών και οργανωτικών μέτρων, προτείνοντας «ενδεδειγμένα» μέτρα τα οποία μπορεί να τεκμηριώνονται σε επιμέρους διαδικασίες ή σε γενικότερες πολιτικές ασφαλείας17, διευκρινίζοντας ότι «σε κάθε περίπτωση, πριν τον καθορισμό των μέτρων ασφάλειας που θα υιοθετηθούν, προέχει η σωστή αξιολόγηση των κινδύνων και των πιθανών συνεπειών τους18 για τα υποκείμενα των δεδομένων...τα υλοποιημένα μέτρα πρέπει να υποβάλλονται σε περιοδική, τουλάχιστον, αναθεώρηση, αλλά και να είναι αποδεδειγμένα επικυρωμένα από την διοίκηση του υπευθύνου ή του εκτελούντος την επεξεργασία19». Ομοίως, ενδεδειγμένα τεχνικά και οργανωτικά μέτρα για την ασφάλεια της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο του ΓΚΠΔ προτείνονται και από τον Ευρωπαϊκό Οργανισμό για την Ασφάλεια Δικτύων και Πληροφοριών (ENISA).20 www.dpa.gr Ενότητα Ασφάλεια και ειδικότερα «Πολιτική Ασφαλείας, Σχέδιο Ασφαλείας και Σχέδιο Ανάκαμψης από Καταστροφές» με αναφορά στο ελάχιστο περιεχόμενο της πολιτικής ασφαλείας που αφορά την περιγραφή των βασικών αρχών προστασίας και ασφαλείας που εφαρμόζονται (οργανωτικά μέτρα ασφαλείας, τεχνικά μέτρα ασφαλείας, φυσικά μέτρα ασφαλείας, προσδιορισμός ρόλων, αρμοδιοτήτων, ευθυνών, καθηκόντων κ.λπ.) 18 Βλ. και Γ. Ρουσσόπουλου, ειδικού επιστήμονα ΑΠΔΠΧ, «Ασφάλεια επεξεργασίας και γνωστοποίηση περιστατικών παραβίασης» σε Έκθεση ΕΚΔΔΑ «ΓΚΠΔ: το νέο τοπίο και οι υποχρεώσεις της δημόσιας διοίκησης», Αθήνα, Ιανουάριος 2018, σελ. 20 επ. διαθέσιμο σε www.ekdd.gr/images/seminaria/GDPR.pdf 19 www.dpa.gr ενότητα «Ασφάλεια». 20 Βλ. υποσημείωση 11, Παράρτημα Α σελ. 55 επ. 17 21 17. Προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, ήτοι επεξεργασίας σύμφωνα προς τις απαιτήσεις του ΓΚΠΔ, θα πρέπει να πληρούνται σωρευτικά οι προϋποθέσεις εφαρμογής και τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ, όπως προκύπτει και από την πρόσφατη απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) της 16-01-2019 στην υπόθεση C-496/2017 Deutsche Post AG κατά Hauptzollamt Köln21. Η ύπαρξη ενός νόμιμου θεμελίου (άρθ. 6 παρ. 1 ΓΚΠΔ) δεν απαλλάσσει τον υπεύθυνο επεξεργασίας από την υποχρέωση τήρησης των αρχών (άρθ. 5 παρ. 1 ΓΚΠΔ) αναφορικά με τον θεμιτό χαρακτήρα, την αναγκαιότητα και την αναλογικότητα, την αρχή της ελαχιστοποίησης22. Σε περίπτωση κατά την οποία παραβιάζεται κάποια εκ των προβλεπομένων στο άρθρο 5 παρ. 1 ΓΚΠΔ αρχών, η εν λόγω επεξεργασία παρίσταται ως μη νόμιμη (αντικείμενη στις διατάξεις του ΓΚΠΔ) και παρέλκει η εξέταση των προϋποθέσεων εφαρμογής των νομικών βάσεων του άρθρου 6 ΓΚΠΔ23. Έτσι, η κατά παράβαση των αρχών του άρθρου 5 ΓΚΠΔ μη νόμιμη συλλογή και επεξεργασία των δεδομένων προσωπικού χαρακτήρα δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης (πρβλ. ΑΠΔΠΧ 38/2004). Επιπλέον δε, το ΔΕΕ με την από 01-10-2015 απόφασή του στο πλαίσιο της υπόθεσης C-201/14 (Smaranda Bara) έκρινε ως προϋπόθεση της θεμιτής και νόμιμης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την ενημέρωση του υποκειμένου των δεδομένων προ της επεξεργασίας αυτών24. «57. Ωστόσο, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο 6 της οδηγίας 95/46 ή το άρθρο 5 του κανονισμού 2016/679 και, αφετέρου, προς τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της οδηγίας αυτής ή το άρθρο 6 του κανονισμού αυτού (πρβλ. αποφάσεις ...C-465/00, C-138/01, C-139/01, C-131/12».. 22 Σχετικά βλ. Λ. Μήτρου, ο γενικός κανονισμός προστασίας προσωπικών δεδομένων (νέο δίκαιο-νέες υποχρεώσεις-νέα δικαιώματα), εκδ. Σάκκουλα, 2017 σελ. 58 και 69-70. 23 Πρβλ. ΣτΕ 517/2018 παρ. 12: «[...] προκειμένου τα δεδομένα προσωπικού χαρακτήρα να τύχουν νόμιμης επεξεργασίας, απαιτείται σε κάθε περίπτωση να συντρέχουν σωρευτικά οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997, που μεταξύ άλλων, ορίζει ότι τα δεδομένα πρέπει να συλλέγονται και να υφίστανται επεξεργασία κατά τρόπο θεμιτό και νόμιμο, για σαφείς και νόμιμους σκοπούς...Εφόσον συντρέχουν οι προϋποθέσεις του άρθρου 4 παρ. 1 του ν. 2472/1997 (νόμιμη συλλογή και επεξεργασία δεδομένων για σαφείς και νόμιμους σκοπούς), εξετάζεται περαιτέρω αν συντρέχουν και οι προϋποθέσεις της διατάξεως του άρθρου 5 παρ. 2 του ν. 2472/1997 [νομικές βάσεις]». Επίσης, πρβλ. ΣτΕ σε Ολομέλεια 2285/2001 παρ. 10: «[...] Μόνο δε εάν συντρέχουν οι παραπάνω βασικές προϋποθέσεις, έχουν εφαρμογή οι διατάξεις των άρθρων 5 και 7 του Ν. 2472/1997, οι οποίες επιβάλλουν ως περαιτέρω πρόσθετη, κατ’ αρχήν, προϋπόθεση νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα συγκεκριμένου προσώπου, τη συγκατάθεση αυτού». 24 «31. ο υπεύθυνος της επεξεργασίας των δεδομένων ή ο εκπρόσωπος του υπέχουν υποχρέωση ενημερώσεως, το περιεχόμενο της οποίας ορίζεται στα άρθρα 10 και 11 της οδηγίας 95/46 και διαφέρει αναλόγως του αν τα δεδομένα συγκεντρώνονται από το πρόσωπο το οποίο αφορούν τα δεδομένα ή όχι, και τούτο υπό την επιφύλαξη των εξαιρέσεων που προβλέπει το άρθρο 13 της εν λόγω οδηγίας [...] 34. Συνεπώς, η απαίτηση περί θεμιτής επεξεργασίας δεδομένων την οποία προβλέπει το άρθρο 6 της οδηγίας 95/46 υποχρεώνει τη διοικητική αρχή να ενημερώνει τα πρόσωπα τα οποία αφορούν τα δεδομένα σχετικά με τη διαβίβαση των εν λόγω δεδομένων σε άλλη διοικητική αρχή προς τον σκοπό επεξεργασίας τους από τη δεύτερη ως αποδέκτρια των εν λόγω δεδομένων». 21 22 18. Περαιτέρω, ο υπεύθυνος επεξεργασίας, στο πλαίσιο της από μέρους του τήρησης της αρχής της θεμιτής ή δίκαιης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, οφείλει να ενημερώνει το υποκείμενο των δεδομένων ότι πρόκειται να επεξεργαστεί τα δεδομένα του με νόμιμο και διαφανή τρόπο (σχετικά βλ. ΔΕΕ C-496/17 οπ.π. παρ. 59 και ΔΕΕ C-201/14 της 01-10-2015 παρ. 31-35 και ιδίως 34) και να βρίσκεται σε θέση ανά πάσα στιγμή να αποδείξει τη συμμόρφωσή του με τις αρχές αυτές (αρχή της λογοδοσίας κατ’ άρθ. 5 παρ. 2 σε συνδυασμό με άρθρα 24 παρ. 1 και 32 ΓΚΠΔ). Η επεξεργασία δεδομένων προσωπικού χαρακτήρα με διαφανή τρόπο συνιστά έκφανση της αρχής της θεμιτής επεξεργασίας και συνδέεται με την αρχή της λογοδοσίας, παρέχοντας το δικαίωμα στα υποκείμενα να ασκούν έλεγχο επί των δεδομένων τους καθιστώντας υπόλογους τους υπεύθυνους επεξεργασίας, σύμφωνα με την Ομάδα Εργασίας του άρθρου 2925. Κατ’ εξαίρεση και κατ’ εφαρμογή του άρθρου 14 παρ. 5 εδ. β’ ΓΚΠΔ («Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων»), δεν εφαρμόζονται οι παράγραφοι 1-4 του ίδιου άρθρου και δεν παρέχονται από τον υπεύθυνο επεξεργασίας οι σχετικές πληροφορίες εφόσον είναι πιθανό να βλάψει σε μεγάλο βαθμό την επίτευξη των σκοπών της εν λόγω επεξεργασίας. Προϋπόθεση εφαρμογής της εν λόγω διάταξης σύμφωνα με την Ομάδα Εργασίας του άρθρου 2926 συνιστά η επεξεργασία (συλλογή) των εν λόγω δεδομένων προσωπικού χαρακτήρα να έχει διεξαχθεί νόμιμα, ήτοι σύμφωνα προς τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. 19. Εξάλλου, με τον ΓΚΠΔ υιοθετήθηκε ένα νέο μοντέλο συμμόρφωσης, κεντρικό μέγεθος του οποίου συνιστά η αρχή της λογοδοσίας, στο πλαίσιο της οποίας ο υπεύθυνος επεξεργασίας υποχρεούται να σχεδιάζει, εφαρμόζει και εν γένει λαμβάνει τα αναγκαία μέτρα και πολιτικές προκειμένου η επεξεργασία των δεδομένων να είναι σύμφωνη με τις σχετικές νομοθετικές προβλέψεις. Επιπλέον δε, ο υπεύθυνος επεξεργασίας βαρύνεται με το περαιτέρω καθήκον να αποδεικνύει από μόνος του και ανά πάσα στιγμή τη συμμόρφωσή του με τις αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ. Δεν είναι τυχαίο ότι ο ΓΚΠΔ εντάσσει τη λογοδοσία (άρθρο 5 παρ. 2 ΓΚΠΔ) στη ρύθμιση των αρχών (άρθρο 5 παρ. 1 ΓΚΠΔ) που διέπουν την επεξεργασία, προσδίδοντας σε αυτήν, τη λειτουργία ενός μηχανισμού τήρησής τους, αντιστρέφοντας κατ’ ουσίαν το «βάρος της απόδειξης» ως προς τη νομιμότητα της Κατευθυντήριες Γραμμές για την διαφάνεια υπό τον ΓΚΠΔ (Guidelines on transparency under Regulation 2016/679) της 11-4-2018 (WP 260 rev.1), σελ. 4 και 5. 26 Κατευθυντήριες Γραμμές για την διαφάνεια υπό τον ΓΚΠΔ (Guidelines on transparency under Regulation 2016/679) της 11-4-2018 (WP 260 rev.1), σελ. 31 παρ. 65. 25 23 επεξεργασίας (και εν γένει την τήρηση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ), μεταθέτοντάς τη στον υπεύθυνο επεξεργασίας,27 ώστε να υποστηρίζεται βάσιμα ότι εκείνος φέρει το βάρος της επίκλησης και απόδειξης της νομιμότητας της επεξεργασίας28. Έτσι, συνιστά υποχρέωση του υπευθύνου επεξεργασίας αφενός να λαμβάνει από μόνος του τα αναγκαία μέτρα προκειμένου να συμμορφώνεται προς τις απαιτήσεις του ΓΚΠΔ, αφετέρου, να αποδεικνύει ανά πάσα στιγμή την ανωτέρω συμμόρφωσή του, χωρίς μάλιστα να απαιτείται η Αρχή, στο πλαίσιο άσκησης των ερευνητικών - ελεγκτικών εξουσιών της, να υποβάλλει επιμέρους – εξειδικευμένα ερωτήματα και αιτήματα προς διαπίστωση της συμμόρφωσης. Επισημαίνεται ότι η Αρχή εξαιτίας του ότι διανύεται το πρώτο χρονικό διάστημα εφαρμογής του ΓΚΠΔ υποβάλλει ερωτήματα και αιτήματα στο πλαίσιο άσκησης των συναφών ερευνητικών – ελεγκτικών εξουσιών της, ώστε να διευκολύνει την από μέρους των υπευθύνων επεξεργασίας τεκμηρίωση της λογοδοσίας. Ο υπεύθυνος επεξεργασίας οφείλει στο πλαίσιο των ελέγχων – ερευνών της Αρχής να παρουσιάζει από μόνος του και χωρίς σχετικά ερωτήματα και αιτήσεις της Αρχής τα μέτρα και πολιτικές που υιοθέτησε στο πλαίσιο της εσωτερικής οργάνωσης της συμμόρφωσής του, καθώς αυτός τελεί σε γνώση τους αφού σχεδίασε και υλοποίησε τη σχετική εσωτερική οργάνωση. 20. Η πρόσβαση από τον υπεύθυνο επεξεργασίας, στο πλαίσιο εσωτερικού εταιρικού ελέγχου, σε αποθηκευμένα προσωπικά δεδομένα σε υπολογιστικό σύστημα υλικού και λογισμικού (διακομιστή – server) συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα, όπως στην περίπτωση πρόσβασης και ελέγχου σε ηλεκτρονική υπολογιστή που χρησιμοποιεί το υποκείμενο (ΑΠΔΠΧ 34/2018). Ο εργοδότης ασκώντας το διευθυντικό του δικαίωμα, υπό την αυτονόητη προϋπόθεση της τήρησης των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ και επί τη βάσει προβλεπόμενων προ της επεξεργασίας συγκεκριμένων διαδικασιών και εγγυήσεων στο πλαίσιο της οργάνωσης της εσωτερικής συμμόρφωσης σύμφωνα με την αρχή της λογοδοσίας, δικαιούται να ασκεί έλεγχο επί των ηλεκτρονικών μέσων επικοινωνίας που παρέχει στους εργαζόμενους για την εργασία τους, εφόσον η συναφής επεξεργασία, τηρουμένης της αρχής της αναλογικότητας, είναι απολύτως αναγκαία για την ικανοποίηση του έννομου συμφέροντος που επιδιώκει και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωμάτων και συμφερόντων του 27 Σχετικά βλ. Λ. Μήτρου, Η αρχή της Λογοδοσίας σε Υποχρεώσεις του υπεύθυνου επεξεργασίας [Γ. Γιαννόπουλος, Λ. Μήτρου, Γ. Τσόλιας], Συλλογικός Τόμος Λ. Κοτσαλή – Κ. Μενουδάκου «Ο ΓΚΠΔ, Νομική διάσταση και πρακτική εφαρμογή», εκδ. Νομική Βιβλιοθήκη, 2018, σελ. 172 επ. 28 P. de Hert, V. Papakonstantinou, D. Wright and S. Gutwirth, The proposed Regulation and the construction of a principles-driven system for individual data protection, σελ. 141. 24 εργαζομένου, χωρίς να θίγονται οι θεμελιώδεις ελευθερίες αυτού κατ’ αρ. 6 παρ. 1 εδ. στ’ ΓΚΠΔ και αφού έχει ενημερωθεί έστω και για την δυνατότητα συναφούς ελέγχου (βλ. ΑΠΔΠΧ 34/2018). 21. Ουσιώδες στοιχείο της νόμιμης λειτουργίας πληροφοριακών συστημάτων και άλλων υποδομών και συστημάτων επικοινωνιών κατά την επεξεργασία δεδομένων προσωπικού χαρακτήρα συνιστά η λήψη των κατάλληλων μέτρων ασφαλείας, ιδίως μέτρων φυσικού και λογικού διαχωρισμού του υλικού, του λογισμικού και των δεδομένων29. 22. Προκειμένου να εξετασθεί η νομιμότητα της πρόσβασης του υπευθύνου επεξεργασίας κατ’ αρ. 5 και 6 παρ. 1 ΓΚΠΔ στα δεδομένα προσωπικού χαρακτήρα των υποκειμένων που τηρούνται στα εταιρικά συστήματα του στο πλαίσιο εσωτερικού ελέγχου, εξετάζεται προηγουμένως η κατ’ αρ. 5 και 6 παρ. 1 ΓΚΠΔ νομιμότητα της αρχικής συλλογής, επεξεργασίας και διατήρησης των δεδομένων προσωπικών προσωπικού χαρακτήρα στα συστήματα. Η μη νόμιμη αρχική συλλογή, επεξεργασία και διατήρηση των δεδομένων προσωπικού χαρακτήρα π.χ. στον υπολογιστή ή τον διακομιστή (server) της εταιρίας, καθιστά ομοίως παράνομη την οποιαδήποτε μεταγενέστερη ή και περαιτέρω (με διαφορετικό δηλαδή σκοπό προς τον αρχικό κατ’ αρ. 6 παρ. 4 ΓΚΠΔ) διακριτή και αυτοτελή επεξεργασία των ίδιων δεδομένων προσωπικού χαρακτήρα όπως στην περίπτωση της αντιγραφής και αποθήκευση τους σε έτερο ψηφιακό αποθηκευτικό μέσο (π.χ. usb stick, server, pc κ.λπ), αλλά και έτι περαιτέρω σε εκείνη της διαβίβασης και χρήση τους, ακόμη και στην περίπτωση κατά την οποία θα πληρούνταν οι προϋποθέσεις εφαρμογής μιας νόμιμης βάσης του άρθρου 6 παρ. 1 ΓΚΠΔ, όπως π.χ. εκείνης του εδαφίου στ’, αφού η μη τήρηση των αρχών επεξεργασίας του άρθρου 5 παρ. 1 ΓΚΠΔ δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης (βλ. αιτιολογική σκέψη υπ’ αρ. 17 της παρούσας και πρβλ. ΑΠΔΠΧ 38/2004). 23. Προϋπόθεση διαβίβασης των δεδομένων προσωπικού χαρακτήρα εκτός Ευρωπαϊκής Ένωσης, εφόσον πληρούνται οι γενικές αρχές, διαδικασίες, προϋποθέσεις και εγγυήσεις του κεφαλαίου V του ΓΚΠΔ (άρθρα 44-50), συνιστά η αρχική νόμιμη συλλογή, επεξεργασία και διατήρηση των ίδιων δεδομένων προσωπικού χαρακτήρα κατ’ αρ. 5 και 6 παρ. 1 ΓΚΠΔ 30 Βλ. ΑΠΔΠΧ 186/2014 αιτ. σκ. 2, «Δ. Μέτρα ασφάλειας – Τεχνικά μέτρου διαχωρισμού εφαρμογών», ΑΠΔΠΧ 51/2015 σελ. 11 και για τις σχετικές έννοιες πρβλ. Κοινή Πράξη ΑΠΔΠΧ-ΑΔΑΕ 1/2013 ΦΕΚ Β’3433/31-122013. 30 Βλ. υπ’ αρ. 2/2018 Κατευθυντήριες Γραμμές του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων «αναφορικά με τις παρεκκλίσεις που προβλέπονται στο άρθρο 49 του Κανονισμού 2016/679», σελ. 3, Ομάδα Εργασίας του άρθρου 29 της Οδηγίας 95/46/ΕΚ με το έγγραφο υπ’ αρ. 18/ΕΝ/WP 262 της 06-02-2018 με τίτλο “Guidelines on Article 49 of Regulation 2016/679”, σελ. 3. 29 25 (βλ. σχετικά την υπ’ αρ. 3/2018 Προσωρινή Διαταγή του Προέδρου της ΑΠΔΠΧ), ώστε εάν η αρχική συλλογή υπήρξε παράνομη, να καθίσταται παράνομη και η μεταγενέστερη διασυνοριακή διαβίβαση τους31. Όπως δε έκρινε η Αρχή, υπό το κράτος εφαρμογής του αρ. 9 ν. 2472/1997 στο πλαίσιο αδειοδότησης εταιρίας για την διασυνοριακή διαβίβαση δεδομένων προσωπικού χαρακτήρα πρώην και νυν εργαζομένων της, πέραν της προηγούμενης νόμιμης συλλογής και επεξεργασίας των δεδομένων προσωπικού χαρακτήρα αυτών, προσαπαιτείται προ της διαβίβασης η ενημέρωση των υποκειμένων των δεδομένων προκειμένου να ασκήσουν τα δικαιώματα πρόσβασης και αντίρρησης τους εφόσον συντρέχουν νόμιμοι λόγοι32 και αυτονόητα πληρούνται οι προϋποθέσεις του κεφαλαίου V του ΓΚΠΔ (άρθρα 44-50). 24. Η εταιρία ABS, θυγατρική της AMPNI (μητρικής εταιρίας του Ομίλου ΑΜΡΝΙ), γνωστοποίησε στην Αρχή περιστατικό παραβίασης δεδομένων κατ’ αρ. 33 ΓΚΠΔ το οποίο συνίστατο στην χωρίς δικαίωμα πρόσβαση και αντιγραφή από τον διακομιστή (server) της ABS του πλήρους περιεχομένου αυτού. Ως υπαίτιους της παράνομης αντιγραφής του διακομιστή (server) της η εταιρία ABS υπέδειξε την μητρική εταιρία του ίδιου Ομίλου, AMPNI και την εταιρία EY Ελλάς. Επιπλέον δε, η εταιρία ABS υπέβαλλε καταγγελία για παραβίαση της νομοθεσίας περί δεδομένων προσωπικού χαρακτήρα σε βάρος των εταιριών AMPNI και ΕΥ Ελλάς, ενώ αιτήθηκε την έκδοση πράξης αναστολής και απαγόρευσης της επεξεργασίας του αντιγραφέντος περιεχομένου του διακομιστή (server) της. Η ελεγχόμενη εταιρία AMPNI συνοπτικά υποστήριξε ότι νομίμως απέκτησε πρόσβαση στον διακομιστή (server) της εταιρίας ABS επειδή η τελευταία υπήρξε θυγατρική της και κατείχε το 100% του μετοχικού της κεφαλαίου, ότι τα περιεχόμενα e-mails υπήρξαν εταιρικά και άρα αφενός ανήκουν στην ιδιοκτησία – περιουσία της, αφετέρου, δεν υπάγονται στην προστασία της νομοθεσίας περί προσωπικών δεδομένων, ότι η πρόσβαση έλαβε χώρα στο πλαίσιο εσωτερικού εταιρικού ελέγχου και επομένως εφαρμοζόταν η προβλεπόμενη από το άρθρο 6 παρ. 1 εδ. στ’ ΓΚΠΔ νομική βάση του υπέρτερου έννομου συμφέροντος που της παρείχε το δικαίωμα πρόσβασης και ελέγχου καθώς και ότι η εν τέλει αντιγραφή του όλου περιεχομένου του διακομιστή (server) της εταιρία ABS κατέστη αναγκαία, παρά το ότι ο αρχικός σχεδιασμός του ελέγχου αφορούσε την στοχευμένη πρόσβαση σε e-mails μικρού Βλ. την θέση του Ευρωπαϊου Επόπτη Προστασίας Δεδομένων (EDPS) σύμφωνα με την οποία σε περίπτωση κατά την οποία τα υπό διασυνοριακή διαβίβαση δεδομένα έχουν συλλεγεί παράνομα, απαγορεύεται η διασυνοριακή τους διαβίβαση (βλ. https://edps.europa.eu/data-protection/data-protection/referencelibrary/international-transfers_en) 32 Βλ. Δελτίο Τύπου Γ/ΕΞ/1728/01.3.2018 σχετικά με την χορήγηση της υπ’ αρ. 2072/2018 Άδειας Διαβίβασης ΑΠΔΠΧ. 31 26 αριθμού συγκεκριμένων εργαζομένων και στελεχών του Ομίλου AMPNI, επειδή τυχαία διαπιστώθηκε κατά την ημέρα ελέγχου, η λειτουργία παράνομου λογισμικού διαγραφής ήδη διαγεγραμμένων αρχείων στο διακομιστή (server) και έτσι ελήφθη συνολικό αντίγραφο ασφαλείας (back up). Η εταιρία ABS, προ της από μέρους της ανάκλησης της καταγγελίας σε βάρος της AMPNI, συνοπτικά αντέτεινε ότι εξ’ αρχής η στόχευση της ελεγχόμενης AMPNI υπήρξε η αντιγραφή του συνόλου του διακομιστή (server) που περιελάμβανε και προσωπικά δεδομένα εργαζομένων και στελεχών τρίτων εταιριών όπως προέκυπτε από σχετικές επιστολές που της είχαν σταλεί από την AMPNI και όχι η στοχευμένη αντιγραφή e-mails συγκεκριμένων φυσικών προσώπων, ότι η ελεγχόμενη εταιρία AMPNI προέβη σε παράνομη αντιγραφή του συνολικού περιεχομένου του διακομιστή (server) εξαιτίας της άρνησης του … (…) Ν να κάνει δεκτό το αίτημα αντιγραφής επειδή επικαλείτο σχετική νομική γνωμοδότηση από την οποία προέκυπτε το παράνομο μιας τέτοιας επεξεργασίας και ότι το παράνομο του αιτήματος αντιγραφής του διακομιστή (server) προκύπτει από την από μέρους της ελεγχόμενης εταιρίας AMPNI αποστολή επιστολής με την οποία δηλωνόταν προκαταβολικά η απαλλαγή («αμνήστευση») του Ν από κάθε είδους ευθύνης σε περίπτωση έναρξης δικαστικών διαδικασιών σε βάρος του εξαιτίας της αντιγραφής. 25. Στην προκειμένη περίπτωση προέκυψε κατά τη κρίση της Αρχής ότι η εταιρία ABS, θυγατρική εταιρία της μητρικής εταιρίας ΑΜΡΝΙ του ίδιου Ομίλου, υπήρξε η ιδιοκτήτρια διακομιστών (servers) οι οποίοι ήταν εγκατεστημένοι στους γραφειακούς χώρους κτιρίου όπου στεγάζονταν εταιρίες του Ομίλου επί της Ακτής Κονδύλη 10 στον Πειραιά κατόπιν μίσθωσης από την εταιρία «ΑΠΟΘΗΚΕΣ ΑΙΓΑΙΟΥ ΑΕΒΕ». Στους προαναφερόμενους διακομιστές (servers) ιδιοκτησίας της εταιρίας ABS είχε εγκατασταθεί και λειτουργούσε το λογισμικό DANAOS στο πλαίσιο σύμβασης χρήσης και επί τη βάσει αδείας που είχε λάβει η εταιρία “AEGEAN SHIPPING MANAGEMENT” (“ASM”), η οποία όμως δεν ανήκε στον Όμιλο AMPNI. Θα πρέπει να επισημανθεί ότι στις 30-10-2018 και αφού είχε ήδη ξεκινήσει η διαδικασία ελέγχου από την Αρχή στο πλαίσιο της παρούσας υπόθεσης, η εταιρία ABS σύναψε ξεχωριστές συμβάσεις υπηρεσιών και συντήρησης λογισμικού με την εταιρία που παρείχε το λογισμικό DANAOS ως προς τις εταιρίες του Ομίλου ΑΜΡΝΙ. Στην ίδια υπολογιστική υποδομή (υλικού και λογισμικού) πέραν του DANAOS (όπου αποθηκεύονταν e-mails), περιλαμβάνονταν οι εικονικοί διακομιστές αρχείων (virtual file servers) AMPFS1 (όπου αποθηκεύονταν αρχεία fileshare και usershare) και AMPFS2 (όπου 27 αποθηκεύονταν συνημμένα των e-mails που αποθηκεύονταν στο DANAOS), όπως προκύπτει ιδίως από τις από 12-7-2018 και 17-12-2018 δηλώσεις του … της EY LLP Ξ καθώς από την από 18-12-2018 δήλωση του … της ABS Ο, τις οποίες προσκόμισε και επικαλέσθηκε η AMPNI. Η ανωτέρω υπολογιστική υποδομή υλικού και λογισμικού (DANAOS, AMPFS1 και AMPFS2) χρησιμοποιήθηκε για την πραγματοποίηση επικοινωνιών μέσω ηλεκτρονικού ταχυδρομείου (e-mails) τόσο από εργαζόμενους και στελέχη στις εταιρίες του Ομίλου AMPNI, όσο και από εργαζόμενους και στελέχη σε τρίτες εταιρίες, εκτός Ομίλου AMPNI όπως ενδεικτικά στις “Aegean Shipping Enterprises”, “Aegean Agency” και “Aegean Oil” (σύμφωνα με την δήλωση του Ο, όπ.π.), αλλά και στις “Aegean Net Fuels Ltd Fze”, “Aegean Lubes” και “Aegean Gas”33. Είναι σημαντικό ότι η εταιρία ABS, προ της από μέρους της ανάκληση της καταγγελίας, είχε απαντήσει σε σχετικές έγγραφες ερωτήσεις της Αρχής ότι εταιρίες εκτός του Ομίλου AMPNI χρησιμοποιούσαν άτυπα και χωρίς καμία έγγραφη σύμβαση την υποδομή και τους servers της εταιρίας ABS (αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/7522/20-09-2018), παραπέμποντας μάλιστα στην από 03/7/2018 επιστολή του … του Ομίλου AMPNI Ν, ο οποίος ανέφερε ότι η εταιρία ABS δεν έχει συνάψει συμβάσεις φιλοξενίας και παροχής υπηρεσιών με άλλες εταιρίες. Σημειωτέον ότι ο Ν, εργαζόμενος για λογαριασμό του Ομίλου AMPNI ως … (…), είχε προσληφθεί από την εταιρία AEGEAN MANAGEMENT SERVICES” -“AMS”, δηλαδή από άλλη εταιρία του Ομίλου AMPNI (βλ. Συμπληρωματικό Υπόμνημα AMPNI-ABS της 19-12-2018 σελ. 9 και 10, ΑΠΔΠΧ Γ/ΕΙΣ/10259/19-12-2018). Τέλος και από τα υπομνήματα της AMPNI προκύπτει ότι τόσο εταιρίες που ανήκουν στον Όμιλο της, όσο και τρίτες εταιρίες, εκτός Ομίλου, χρησιμοποιούσαν την ίδια υπολογιστική υποδομή (υλικού και λογισμικού) για την διεκπεραίωση της ηλεκτρονικής αλληλογραφίας των εργαζομένων και στελεχών, αποδεχόμενη μάλιστα ότι προέβη στην αντιγραφή πληροφοριών34 τρίτων φυσικών προσώπων που είχαν σχέση με εταιρίες εκτός Ομίλου και χρησιμοποιούσαν την ίδια υπολογιστική υποδομή: «Δεν υπήρξε ποτέ οιαδήποτε 33 Σύμφωνα με τις καταγγελίες των εργαζομένων αλλά και τις εκτυπώσεις των ηλεκτρονικών διευθύνσεων emails που προσκομίσθηκαν μέσω υπομνημάτων της ABS προ της ακρόασης ενώπιον της Αρχής, ιδίως του υπ’ αρ. ΑΠΔΠΧ Γ/ΕΙΣ/5432/18-6-2018 συμπληρωματικού υπομνήματος. Όπως έχει επισημανθεί ανωτέρω και θα αναπτυχθεί κατωτέρω η AMPNI ισχυρίζεται ότι πρόκειται περί εταιρικών- επαγγελματικών e-mails ιδιοκτησίας της τα οποία δεν συνιστούν δεδομένα προσωπικού χαρακτήρα. Η από μέρους της ΑΜΡΝΙ αναφορά σε δεδομένα προσωπικού χαρακτήρα στα υπομνήματα της συνιστά επικουρικό, κατά την ίδια, ισχυρισμό, μη αποδεχόμενη ότι συνιστούν δεδομένα προσωπικού χαρακτήρα. 34 28 πρόθεση αντιγραφής άλλων πληροφοριών πέραν της συλλογής συγκεκριμένων στοιχείων που αφορούσαν τους 18 χρήστες και σχετικά αρχεία συναφή με την εσωτερική έρευνα που περιγράφεται ανωτέρω. Οιαδήποτε περαιτέρω αντιγραφή πληροφοριών που έλαβε χώρα χωριστά από τη συγκεκριμένη συλλογή στοιχείων σχετικών με την έρευνα πραγματοποιήθηκε με μοναδικό σκοπό την προστασία από κακόβουλη μόνιμη καταστροφή κρίσιμων αποδεικτικών στοιχείων σχετικών με την εσωτερική έρευνα και σημαντικών επιχειρηματικών αρχείων του Ομίλου AMPNI» (βλ. Αίτηση Θεραπείας AMPNI αρ. πρωτ. ΑΠΔΠΧ/Γ/ΕΙΣ/6211/13-7-2018 σελ. 16-17). Ομοίως δε η AMPΝΙ δήλωσε ότι «[...] προσωπικά δεδομένα φυσικών προσώπων που δεν συνδέονται καθ’ οιονδήποτε τρόπο, τώρα ή στο παρελθόν, με τον Όμιλο AMPNI υπό οποιαδήποτε σχέση απασχόλησης, παροχής υπηρεσιών ή άλλως ή που είναι άλλως σχετικά με τις εκκρεμείς ποινικές ή/και αστικές έρευνες, τότε η AMPNI θα ήταν πρόθυμη να διαγράψει τα δεδομένα που αφορούν τα εν λόγω φυσικά πρόσωπα και να προσκομίσει αποδεικτικά στοιχεία περί αυτού» (βλ. Συμπληρωματικό Υπόμνημα AMPNI-ABS της 19-122018 σελ. 23, ΑΠΔΠΧ Γ/ΕΙΣ/10259/19-12-2018 καθώς και Συμπληρωματικό Υπόμνημα AMPNI-ABS της 05-4-2019 σελ. 8 και 12 ΑΠΔΠΧ Γ/ΕΙΣ/2616/05-4-2019). Με την ανωτέρω αντιγραφή του συνόλου του περιεχομένου της υπολογιστικής υποδομής η ελεγχόμενη εταιρία AMPNI δημιούργησε ένα νέο σύστημα αρχειοθέτησης, αντίγραφο του πρωτοτύπου, το οποίο και διαβίβασε στο Μάντσεστερ του Ηνωμένου Βασιλείου. Τέλος, η ΑΜΡΝΙ δήλωσε ότι στον ίδιο κοινό χώρο («δωμάτιο υπολογιστών-computer room») ήταν εγκατεστημένοι και λειτουργούσαν περισσότεροι διακομιστές (servers) και άλλων εταιριών των οποίων τα γραφεία στεγάζονται στο ίδιο κτίριο και οι οποίες δεν σχετίζονται με τον Όμιλο ΑΜΡΝΙ (ΑΠΔΠΧ Γ/ΕΙΣ/7306/10-9-2018 σελ. 2 παράγραφος 3). Από το σύνολο των ανωτέρω προκύπτει ότι τόσο η μητρική εταιρία ΑΜΡΝΙ και θυγατρικές εταιρίες του Ομίλου της, όσο και τρίτες εταιρίες, εκτός Ομίλου ΑΜΡΝΙ, έκαναν χρήση και είχαν φυσική πρόσβαση στον ίδιο χώρο όπου ήταν εγκατεστημένοι και λειτουργούσαν περισσότεροι διακομιστές (servers) εταιριών τόσο του Ομίλου AMPNI, όσο και τρίτων εταιριών και άλλων νομικών προσώπων εκτός Ομίλου AMPNI αλλά και επίσης φυσική και λογική πρόσβαση στην ίδια υπολογιστική υποδομή (υλικού και λογισμικού DANAOS, AMPFS1, AMPFS2) για την διεκπεραίωση της ηλεκτρονικής αλληλογραφίας εργαζομένων και στελεχών τους προβαίνοντας σε επεξεργασία των συστημάτων αρχειοθέτησης ηλεκτρονικών επικοινωνιών. Οι ανωτέρω προσβάσεις και επεξεργασίες δεδομένων προσωπικού χαρακτήρα λάμβαναν χώρα χωρίς την λήψη κανενός μέτρου φυσικού και λογικού διαχωρισμού, ο δε ορισθείς ως Υπεύθυνος … (…) του Ομίλου ΑΜΡΝΙ είχε προσληφθεί από εταιρία του Ομίλου προκειμένου να παρέχει υπηρεσίες τόσο για 29 εταιρίες του Ομίλου ΑΜΡΝΙ, όσο και για τρίτες εταιρίες εκτός Ομίλου ΑΜΡΝΙ, ενώ η σύμβαση αδειοδότησης και παροχής υπηρεσιών με την εταιρία του λογισμικού DANAOS είχε συναφθεί από τρίτη εταιρία εκτός Ομίλου AMPNI ώστε εν τέλει να διαπιστώνεται ότι κάθε είδους επεξεργασία δεδομένων προσωπικού χαρακτήρα λάμβανε χώρα άτυπα, χωρίς την ύπαρξη καμίας συμφωνίας μεταξύ των εταιριών εντός και εκτός Ομίλου ΑΜΡΝΙ που μοιράζονταν την ίδια υποδομή υλικού και λογισμικού, χωρίς την λήψη κανενός ουσιαστικού τεχνικού ή οργανωτικού μέτρου εσωτερικής συμμόρφωσης προς τις διατάξεις του ΓΚΠΔ, χωρίς σχετικές οριοθετήσεις, με αποτέλεσμα, όπως προκύπτει από τα έγγραφα, να τεθεί τελικά ζήτημα νομής συγκεκριμένου διακομιστή (server) και να αχθεί ενώπιον των πολιτικών δικαστηρίων προς επίλυση μέσω της διαδικασίας των ασφαλιστικών μέτρων (ΑΠΔΠΧ/Γ/ΕΙΣ/733/30-01-2019). 26. Η Αρχή στο πλαίσιο της άσκησης των ελεγκτικών της αρμοδιοτήτων, τόσο προ της ακρόασης (βλ. ΑΠΔΠΧ αρ. πρωτ. Γ/ΕΞ/5414-1/26-6-2018 και ΑΠΔΠΧ αρ. πρωτ. Γ/ΕΞ/6211-1/14-8-2018), όσο και κατά την ακρόαση ζήτησε από την ελεγχόμενη εταιρία AMPNI, ανάμεσα σε άλλα, να τεκμηριώσει τη συμμόρφωση της, όπως εκείνη είχε υποχρέωση από την κατ’ αρ. 5 παρ. 2 ΓΚΠΔ αρχή της λογοδοσίας προς τις διατάξεις του ΓΚΠΔ και ιδίως σε σχέση με την λήψη των απαιτούμενων «τεχνικών και οργανωτικών μέτρων που τηρεί για την ασφάλεια των δεδομένων προσωπικού χαρακτήρα και της χρησιμοποιούμενης υποδομής που υποστηρίζει την επεξεργασία κοινοποιώντας μας κάθε σχετικό έγγραφο πολιτικής ή εσωτερικού κανονισμού, είτε αυτό αφορά την ίδια την εταιρία είτε εφαρμόζεται σε επίπεδο Ομίλου. Για παράδειγμα, να αναφέρει τα μέτρα που τηρεί όσον αφορά στη φυσική πρόσβαση στο χώρο του επίμαχου MAIL SERVER, στη λογική πρόσβαση στην εφαρμογή του MAIL SERVER, την πολιτική ορθής χρήσης των εταιρικών emails από το προσωπικό της, την πολιτική ελέγχου αυτών (π.χ. δικαιώματα πρόσβασης και διαχείρισης της εν λόγω θυγατρικής εταιρείας ή/και της καταγγελλόμενης μητρικής εταιρείας, εάν τα ανωτέρω έχουν περιληφθεί σε κείμενο που διέπει τις σχέσεις του προσωπικού (π.χ. Κανονισμός Εργασίας), καθώς και εάν και με ποιο τρόπο είναι ενήμερο εκ των προτέρων το προσωπικό για τα παραπάνω και ιδίως για τυχόν έλεγχο των εταιρικών emails, τις σχετικές προϋποθέσεις, τις διαδικαστικές εγγυήσεις διενέργειας ελέγχου κ.λπ» (βλ. ΑΠΔΠΧ αρ. πρωτ. Γ/ΕΞ/5414-1/26-62018 σελ. 2). Ως προς τη νομιμότητα της αντιγραφής του περιεχομένου του διακομιστή (server), σύμφωνα με την γνωστοποίηση παραβίασης δεδομένων και τις καταγγελίες, ζητήθηκε ειδικότερα από την Αρχή ανάμεσα σε άλλα, τόσο κατά την ακρόαση, όσο και προ αυτής (βλ. ΑΠΔΠΧ αρ. πρωτ. Γ/ΕΞ/6211-1/14-8-2018 σελ. 2) να διευκρινιστεί «εάν και με 30 ποιο τρόπο ήταν ενήμερο εκ των προτέρων το προσωπικό του ομίλου και εν γένει οι χρήστες των λογαριασμών ηλεκτρονικού ταχυδρομείου, για το δικαίωμα της εταιρείας σας να προβεί σε έλεγχο των e-mails, τις σχετικές προϋποθέσεις, τις διαδικαστικές εγγυήσεις διενέργειας ελέγχου κ.λπ.. καθώς και εάν, πότε και με ποιο τρόπο το προσωπικό ενημερώθηκε για το συγκεκριμένο έλεγχο...». 27. Η ελεγχόμενη εταιρία ΑΜΡΝΙ προ της ακρόασης και αντί απάντησης στο με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΞ/5414-1/26-6-2018 έγγραφο της Αρχής υπέβαλε την από 13-8-2018 Αίτηση Θεραπείας για την ανάκληση της υπ’ αρ. 2/2018 Προσωρινής Διαταγής του Προέδρου της Αρχής χωρίς εν τέλει να ανταποκριθεί σε κανένα από τα αναλυτικά εκτιθέμενα αιτήματα της Αρχής, χωρίς να τεκμηριώσει κατ’ αρ. 5 παρ. 2 ΓΚΠΔ την νόμιμη λειτουργία της χρησιμοποιούμενης υποδομής (υλικού και λογισμικού - διακομιστών) που υποστηρίζει την επεξεργασία των δεδομένων προσωπικού χαρακτήρα (ιδίως των e-mails), χωρίς να προσκομίσει κανενός είδους έγγραφη τεκμηρίωση της εσωτερικής συμμόρφωσης της προς τον ΓΚΠΔ, ιδίως προς τις απαιτήσεις ασφαλούς επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, χωρίς να παραθέσει τα απαραίτητα τεχνικά και οργανωτικά μέτρα που έλαβε και χωρίς να προσκομίσει καμία πολιτική διαχείρισης δεδομένων προσωπικού χαρακτήρα, καμία πολιτική ασφαλείας, κανέναν κανονισμό εργαζομένων καθώς και κανενός είδους απόδειξη ενημέρωσης των υποκειμένων για την επεξεργασία των δεδομένων τους και την άσκηση των συναφών δικαιωμάτων τους αλλά και για το ενδεχόμενο διενέργειας ελέγχου στα e-mails τους. Η τότε καταγγέλλουσα ABS, σε απάντηση του ίδιου εγγράφου της Αρχής προσκόμισε με το υπ’ αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/5935/04-07-2018 υπόμνημά της έγγραφα πολιτικής ασφάλειας, τα οποία όμως στερούνταν χρονολογίας, υπογραφής, έγκρισης καθώς και απόδειξης εφαρμογής τους, επιπλέον δε φέρονταν να αφορούσαν ένα μη σαφώς προσδιορισμένο νομικό πρόσωπο υπό την επωνυμία “AEGΕAN”. Εν συνεχεία, η ελεγχόμενη εταιρία AMPNI παρείχε διευκρινίσεις επί των ερωτημάτων που είχε θέσει η Αρχή με το αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΞ/6211-1/14-8-2018 έγγραφο της, χωρίς όμως και πάλι να τεκμηριώσει κατ’ αρ. 5 παρ. 2 ΓΚΠΔ την νόμιμη λειτουργία της χρησιμοποιούμενης υποδομής (υλικού και λογισμικού - διακομιστών) και χωρίς να προσκομίσει κανενός είδους έγγραφη τεκμηρίωση της εσωτερικής συμμόρφωσης της προς τον ΓΚΠΔ. Η τότε καταγγέλλουσα ABS, σε απάντηση του ίδιου εγγράφου της Αρχής με το υπ’ αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/7522/20-9-2018 έγγραφο της δήλωσε ότι οι προσκομισθείσες από 31 την ίδια Πολιτικές συντάσσονται εκτός Ευρωπαϊκής Ένωσης και συγκεκριμένα στις ΗΠΑ καθώς και ότι εφαρμόζονται από την μητρική εταιρία AMPNI, χωρίς να προσκομίσει σχετικές αποδείξεις. Επιπλέον δε, ισχυρίσθηκε ότι ο προσκομιζόμενος με το υπόμνημα της «Εσωτερικός Κανονισμός της AEGEAN» έχει συνταχθεί αποκλειστικά για τις θυγατρικές εταιρείες της ΑΜΡΝΙ και ότι δεν περιέχεται οποιαδήποτε αναφορά στον έλεγχο των εταιρικών e-mails των εργαζόμενων ή τον τρόπο που δύναται η εταιρία να προβεί στην ανωτέρω πράξη γεγονός για το οποίο ευθύνεται αποκλειστικά η μητρική εταιρία και όχι η ίδια. Τέλος, με το ίδιο υπόμνημα η ABS δήλωσε ότι τόσο εταιρίες του Ομίλου AMPNI, όσο και τρίτες εταιρείες εκτός Ομίλου ΑΜΡΝΙ χρησιμοποιούν άπασες άτυπα και χωρίς καμία έγγραφη σύμβαση την υποδομή και τους servers της εταιρίας ABS. 28. Κατά την συνεδρίαση της 05-12-2019 ενώπιον της Αρχής, η εταιρία ABS, κατόπιν αντικατάστασης του νομίμου εκπροσώπου της και του πληρεξουσίου δικηγόρου της, ανακάλεσε την καταγγελία της, γεγονός το οποίο δεν έχει έννομες συνέπειες ως προς την συνέχιση της εξέτασης της υπόθεσης ενώπιον της Αρχής καθώς δεν πρόκειται περί μιας ιδιωτικής διαφοράς αστικού δικαίου το αντικείμενο της οποίας διατίθεται σύμφωνα με την βούληση των μερών. Επιπλέον δε, η Αρχή αυτεπαγγέλτως διενεργεί ελέγχους με βάση τις πληροφορίες που λαμβάνει σχετικά με την παραβίαση δεδομένων προσωπικού χαρακτήρα των υποκειμένων. Η εταιρία AMPNI τόσο κατά την διάρκεια της ακρόασης ενώπιον της Αρχής κατά την συνεδρίαση της 05-12-2019, όσο και μεταγενέστερα με το υπ’ αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/10259/19-12-2019 συμπληρωματικό υπόμνημα της (από κοινού με την ABS) υπέβαλε διευκρινίσεις καθώς και σειρά ισχυρισμών και ενστάσεων, χωρίς όμως και πάλι να τεκμηριώσει κατ’ αρ. 5 παρ. 2 ΓΚΠΔ την νόμιμη λειτουργία της χρησιμοποιούμενης υποδομής (υλικού και λογισμικού - διακομιστών) και χωρίς να προσκομίσει κανενός είδους έγγραφη τεκμηρίωση της εσωτερικής συμμόρφωσης της προς τον ΓΚΠΔ. Στην σελίδα 14 του ανωτέρω υπομνήματος η AMPNI διαλαμβάνει ότι «Ο Όμιλος AMPNI διαθέτει πολιτικές ασφαλείας ΙΤ (δείτε συνημμένα ως Παράρτημα Δ)». Το εν λόγω έγγραφο τιτλοφορείται πολιτική ασφαλείας πληροφοριακών συστημάτων (Information Systems Security Policy) της Aegean Marine Petroleum Network Inc., φέρει ημερομηνία υπογραφής έγκρισης της τελευταίας έκδοσης την … από τον … Διευθυντή (…) Π και καταρτίστηκε από τον … (…) Ν σε συμμόρφωση όχι προς τις διατάξεις του υπ’ αρ. 679/2016 Γενικού Κανονισμού Προστασίας Δεδομένων ή της Οδηγίας 95/46/ΕΚ αλλά σε συμμόρφωση προς τις διατάξεις 32 της νομοθεσίας των ΗΠΑ “Sarbanes Oxley Act 2002” (“SOX”) και δη του τμήματος (εφεξής «άρθρου») 404, όπως αναγράφεται σε κάθε σελίδα της εν λόγω πολιτικής. Ειδικότερα, ο συγκεκριμένος νόμος των ΗΠΑ ψηφίσθηκε προς αντιμετώπιση εταιρικών οικονομικών σκανδάλων και αφορά την εταιρική διακυβέρνηση και την αποκάλυψη οικονομικών συναλλαγών στο πλαίσιο των οποίων οι υπαγόμενες στις διατάξεις του νόμου εταιρίες (των οποίων οι τίτλοι διαπραγματεύονται στα χρηματιστήρια των ΗΠΑ) υποχρεούνται να ενσωματώσουν και εφαρμόσουν διαδικασίες εσωτερικού ελέγχου καθώς και να καταρτίζουν ετήσιες οικονομικές αναφορές (“financial reports”) προς την Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (Security Exchanges Commission – “SEC”)35, που περιλαμβάνουν αναφορά εσωτερικών ελέγχων (“Internal Controls Report”) για τις οικονομικές συναλλαγές και την αξιοπιστία των οικονομικών καταστάσεων (“financial statements”). Η εν λόγω αναφορά διενεργείται με βάση τις προβλέψεις του άρθρου 404 SOX Act. Συγκεκριμένα, με το άρθρο 404 SOX Act36 εισάγεται η υποχρέωση και ευθύνη της διοίκησης της εταιρίας να δημιουργήσει, εγκαταστήσει και λειτουργήσει ένα σύστημα εσωτερικού ελέγχου των διαδικασιών που σχετίζονται με την κατάρτιση των οικονομικών καταστάσεων της εταιρίας που υποβάλλονται στην Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (“SEC”) και περιλαμβάνει μια έκθεση εσωτερικού ελέγχου με την οποία αξιολογείται η αποτελεσματικότητα και η αξιοπιστία του συστήματος εσωτερικού ελέγχου κατά την προηγούμενη ετήσια διαχειριστική χρήση37. Από τα ανωτέρω σε συνδυασμό με το περιεχόμενο της εν λόγω πολιτικής ασφαλείας πληροφοριακών συστημάτων του άρθρου 404 SOX Act ΗΠΑ προκύπτει ότι αυτή δεν έχει λάβει υπόψη της τους κινδύνους που προκύπτουν για την προστασία των δεδομένων προσωπικού χαρακτήρα των υποκείμενων μέσω της χρήσης της υπολογιστικής υποδομής (υλικού και λογισμικού DANAOS, AMPFS1, AMPFS2) αλλά αποσκοπεί στην διασφάλιση των αναγκαίων εταιρικών πληροφοριών για την επίτευξη των σκοπών που περιγράφηκαν ανωτέρω σε σχέση με την Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (SEC). Βλ. την ιστοσελίδα της Επιτροπής Κεφαλαιαγοράς των ΗΠΑ σε σχέση με το άρθρο 404 SOX σε www.sec.gov/info/smallbus/404/guide/intro.shtml και Sarbanes-oxley-101.com 36 Αναλυτικά βλ. “Sarbanes-Oxley Section 404: A Guide for Management by Internal Controls Practitioners”, The Institute of Internal Auditors. 37 Οι υπαγόμενες στον SOX Act εταιρίες υποχρεούνται να υποβάλλουν προς την Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (SEC) το έντυπο 10-Κ που περιλαμβάνει μια έκθεση εσωτερικού ελέγχου όπου δηλώνεται η ευθύνη της διοίκησης για τη δομή και τις διαδικασίες εσωτερικού ελέγχου όσον αφορά τα οικονομικά μεγέθη και περιλαμβάνεται η επάρκεια των εσωτερικών ελέγχων. Επίσης υποβάλλεται δήλωση σχετικά με την από μέρους εξωτερικών ελεγκτών διορθώσεων επί των απολογισμών, καταγραφή των συναλλαγών εκτός ισολογισμού, μεταβολές στην ιδιοκτησία μετοχών από μέλη της διοίκησης καθώς και πληροφορίες σχετικά με την ύπαρξη κώδικα ηθικής. 35 33 Από την ανάγνωση της πολιτικής του άρθρου 404 SOX Act ΗΠΑ που επικαλείται η AMPNI, ως εκ περισσού διαπιστώνεται η απουσία πρόβλεψης οιασδήποτε αναφοράς σε προστασία δεδομένων προσωπικού χαρακτήρα κατ’ εφαρμογή του ΓΚΠΔ ή της Οδηγίας 95/46/ΕΚ καθώς και οιασδήποτε αναφοράς και μέτρου εσωτερικής οργάνωσης της συμμόρφωσης προς τις αρχές του άρθρου 5 ΓΚΠΔ και τις νομικές βάσεις του άρθρου 6 ΓΚΠΔ, ενδεικτικά δε απουσιάζει οποιαδήποτε πρόβλεψη σε σχέση : α) με τα δικαιώματα των υποκειμένων (άρθρα 12-22 ΓΚΠΔ), β) την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων προκειμένου να διασφαλίζεται και να μπορεί να αποδεικνύεται ότι η επεξεργασία διενεργείται σύμφωνα με τον ΓΚΠΔ (άρθρο 24 παρ. 1 σε συνδυασμό με τα άρθρα 25 και 30 ΓΚΠΔ) και γ) την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων για την ασφάλεια της επεξεργασίας (άρθρο 32 ΓΚΠΔ). Επιπλέον, απουσιάζει οποιαδήποτε πρόβλεψη σε σχέση με το επιτρεπτό ή μη της χρήσης των εταιρικών υποδομών ηλεκτρονικής επικοινωνίας από τους εργαζομένους και στελέχη της AMPNI σε σχέση με το ενδεχόμενο επιτήρησης, πρόσβασης και ελέγχου των ηλεκτρονικών επικοινωνιών εργαζομένων και στελεχών της AMPNI και σε θετική περίπτωση τους όρους, διαδικασίες και εγγυήσεις διενέργειας σχετικών ελέγχων και ερευνών σε δεδομένα προσωπικού χαρακτήρα τους. Καταληκτικά, η πολιτική του άρθρου 404 SOX Act ΗΠΑ που προσκομίζει και επικαλείται η ΑΜΡΝΙ δεν αντιμετωπίζει τους κινδύνους που προκύπτουν κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα (βλ. αιτ. σκ. 75 ΓΚΠΔ). Τέλος, η ελεγχόμενη εταιρία AMPNI υπέβαλε μαζί με την ABS το με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/2616/05-4-2019 συμπληρωματικό υπόμνημα προς αντίκρουση των υπομνημάτων των καταγγελλόντων και του Λ, πρώην νομίμου εκπροσώπου της ABS, χωρίς όμως και πάλι να τεκμηριώσει κατ’ αρ. 5 παρ. 2 ΓΚΠΔ την νόμιμη λειτουργία της χρησιμοποιούμενης υποδομής (υλικού και λογισμικού - διακομιστών) και χωρίς να προσκομίσει κανενός είδους έγγραφη τεκμηρίωση της εσωτερικής συμμόρφωσης της προς τον ΓΚΠΔ. 29. Εξάλλου, η ελεγχόμενη εταιρία AMPNI, παρά τα αιτήματα και τα ερωτήματα της Αρχής, τόσο προ της ακρόασης, όσο και κατά την διάρκεια της ακρόασης δεν απάντησε και δεν τεκμηρίωσε ως όφειλε κατ’ αρ. 5 παρ. 1 ΓΚΠΔ την νομιμότητά της επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας της χρησιμοποιούμενης υποδομής (υλικού και λογισμικού – «πρωτότυπων διακομιστών»). 34 Ειδικότερα, από το σύνολο των ανωτέρω προκύπτει ότι η ελεγχόμενη εταιρία AMPNI ως υπεύθυνος επεξεργασίας δεν έλαβε κανένα εσωτερικό μέτρο συμμόρφωσης κατ’ αρ. 5 παρ. 1 και 6 παρ. 1 ΓΚΠΔ σε σχέση με την νόμιμη λειτουργία της χρησιμοποιούμενης υποδομής (υλικού και λογισμικού – «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2) που υποστηρίζει την επεξεργασία των δεδομένων προσωπικού χαρακτήρα (ιδίως των e-mails) που περιλαμβάνονται σε σύστημα αρχειοθέτησης, ούτε προσκόμισε κανενός είδους έγγραφη τεκμηρίωση τέτοιας απαιτούμενης από τον ΓΚΠΔ εσωτερικής συμμόρφωσης κατ’ αρ. 5 παρ. 2 ΓΚΠΔ, ιδίως προς τις απαιτήσεις ασφαλούς επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, ούτε έλαβε τα απαραίτητα τεχνικά και οργανωτικά μέτρα κατ’ αρ. 5 παρ. 1 εδ. στ’ σε συνδυασμό με αρ. 24 παρ. 1, 2 και 31 παρ. 1, 2 ΓΚΠΔ ώστε να εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και τυχαία απώλεια, καταστροφή ή φθορά («ακεραιότητα και εμπιστευτικότητα»), ούτε προέκυψε ότι σχεδίασε, κατάρτισε και εφάρμοσε σε συμμόρφωση προς τις διατάξεις του άρθρου 5 παρ. 1 ΓΚΠΔ το οποιοδήποτε μέτρο λογοδοσίας από τα αναφερόμενα στις αιτιολογικές σκέψεις υπ’ αρ. 11 και 16 της παρούσας, περιλαμβανομένων πολιτικών διαχείρισης δεδομένων προσωπικού χαρακτήρα και πολιτικών ασφαλείας σύμφωνες προς τις απαιτήσεις του ΓΚΠΔ, ούτε έλαβε μέτρα φυσικού ή και λογικού διαχωρισμού, ούτε προσκόμισε κανονισμό εργαζομένων ή άλλο εσωτερικό έγγραφο που να περιλαμβάνει προβλέψεις για την προστασία δεδομένων προσωπικού χαρακτήρα, ούτε προσκόμισε κανενός είδους απόδειξη ενημέρωσης των υποκειμένων για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα τους κατά τη λειτουργία της χρησιμοποιούμενης υπολογιστικής υποδομής (υλικού και λογισμικού«πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2), την άσκηση των συναφών δικαιωμάτων τους αλλά και για το ενδεχόμενο διενέργειας ελέγχου στα e-mails τους. Αντιθέτως, η ελεγχόμενη εταιρία ΑΜΡΝΙ επικέντρωσε την επιχειρηματολογία της ρηματικά στα μεταγενέστερα ή περαιτέρω στάδια της επεξεργασίας των ίδιων δεδομένων, ήτοι στο στάδιο της πρόσβασης στους διακομιστές-ελέγχου των e-mails (β’ στάδιο), εν συνεχεία αντιγραφής (γ’ στάδιο) και διαβίβασης στο Μάντσεστερ Ηνωμένου Βασιλείου (δ’ στάδιο) του περιεχομένου των πρωτότυπων διακομιστών («αντίγραφο server»), επικαλούμενη ότι συντρέχουν οι προϋποθέσεις του άρθρου 6 παρ. 1 εδ. στ’ ΓΚΠΔ για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, χωρίς και πάλι να τεκμηριώσει κατ’ αρ. 5 παρ. 2 ΓΚΠΔ την κατ’ αρ. 5 παρ. 1 ΓΚΠΔ νομιμότητά της επεξεργασίας δεδομένων προσωπικού χαρακτήρα αρκούμενη στην ρηματική επίκληση του άρθρου 6 παρ .1 εδ. στ’ ΓΚΠΔ περί υπέρτερου έννομου συμφέροντος. Όπως δε, προεκτέθηκε όμως και στην 35 αιτιολογική σκέψη υπ’ αρ. 17 της παρούσας, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα κατά παράβαση των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ δεν θεραπεύεται από την ύπαρξη νόμιμου σκοπού και νομικής βάσης κατ’ αρ. 6 παρ. 1 ΓΚΠΔ. Στην προκειμένη περίπτωση, η ελεγχόμενη εταιρία AMPNI είχε την υποχρέωση, αφού αποδείξει ως όφειλε κατ’ αρ. 5 παρ. 2 ΓΚΠΔ τη λήψη και εφαρμογή μέτρων συμμόρφωσης προς τις διατάξεις των άρθρων 5 παρ. 1 και 6 παρ. 1 ΓΚΠΔ σχετικά με τη νομιμότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που λάμβανε χώρα στη χρησιμοποιούμενη υπολογιστική υποδομή (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2), να αποδείξει εν συνεχεία κατ’ αρ. 5 παρ. 2 ΓΚΠΔ, επίσης την νομιμότητα κατ’ αρ. 5 παρ. 1 και 6 παρ. 1 ΓΚΠΔ, των μεταγενέστερων (για τους αρχικούς σκοπούς) ή περαιτέρω (για διαφορετικούς σκοπούς κατ’ αρ. 6 παρ. 4 ΓΚΠΔ) αυτοτελών και διακριτών πράξεων επεξεργασίας, ήτοι: β) της πρόσβασης και διενέργειας ελέγχου στα e-mails που τηρούνταν στους διακομιστές, γ) της δημιουργίας ενός νέου συστήματος αρχειοθέτησης κατόπιν της αντιγραφής του πρωτοτύπου συστήματος αρχειοθέτησης και δ) της διαβίβασης του αντίγραφου συστήματος αρχειοθέτησης (διακομιστή – back up κατά την AMPNI) στο Μάνστεστερ του Ηνωμένου Βασιλείου (βλ. τα με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/7306/10-9-2018 σελ. 6 και ΑΠΔΠΧ Γ/ΕΙΣ/7434/17-9-2018 σελ. 6 έγγραφα της AMPNI). Εν όψει των ανωτέρω, με δεδομένο ότι η αρχική συλλογή, διατήρηση και εν γένει επεξεργασία των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονταν στα συστήματα αρχειοθέτησης της υπολογιστικής υποδομής (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2) κρίθηκε ήδη ως μη νόμιμη και παραβιάζουσα τις διατάξεις του άρθρου 5 παρ. 1 ΓΚΠΔ και ιδίως εκείνες των άρθρων 5 παρ. 1 εδ. α’ και στ’ και παρ. 2 σε συνδυασμό με τα άρθρα 24 παρ. 1 και 2 και 32 παρ. 1 και 2 ΓΚΠΔ παρέπεται ότι οι μεταγενέστερες ή περαιτέρω επεξεργασίες των ίδιων δεδομένων προσωπικού χαρακτήρα και δη η πρόσβαση και ο έλεγχος των e-mails, η αντιγραφή του περιεχομένου των «πρωτότυπων διακομιστών» και η δια αυτής δημιουργία ενός νέου συστήματος αρχειοθέτησης, η αποστολή του νέου συστήματος αρχειοθέτησης - αντιγράφου στο Μάντσεστερ του Ηνωμένου Βασιλείου είναι επίσης μη νόμιμες και παραβιάζουν το σύνολο των αρχών του άρθρου 5 παρ. 1 και 2 αλλά και το άρθρο 6 παρ. 1 ΓΚΠΔ, ως αναπόσπαστα συνδεδεμένες και προερχόμενες από την αρχική παράνομη επεξεργασία των δεδομένων προσωπικού χαρακτήρα του συστήματος αρχειοθέτησης του «πρωτότυπου διακομιστή». 30. Συνεπεία των ανωτέρω ελλείψεων, η Αρχή διαπιστώνει περαιτέρω, σύμφωνα με τα πραγματικά περιστατικά που έγιναν δεκτά στην υπ’ αρ. 25 αιτιολογική σκέψη, ότι η ίδια 36 υπολογιστική υποδομή (υλικού και λογισμικού διακομιστών DANAOS, AMPFS1, AMPFS2) χρησιμοποιήθηκε για την μεταγενέστερη ή περαιτέρω επεξεργασία δεδομένων προσωπικού χαρακτήρα (e-mails) υποκειμένων που εργάζονταν και συνδέονταν τόσο με εταιρίες του Ομίλου AMPNI, όσο και με τρίτες εταιρίες, εκτός Ομίλου AMPNI, χωρίς να έχουν ληφθεί τα αναγκαία μέτρα φυσικού και λογικού διαχωρισμού με αποτέλεσμα ο διαχειριστής του συστήματος- υπολογιστικής υποδομής να έχει πρόσβαση και να επεξεργάζεται για λογαριασμό της εταιρίας AMPNI δεδομένα προσωπικού χαρακτήρα (e-mails) υποκειμένων των δεδομένων που δεν συνδέονται με την ίδια38. Ως εκ τούτου, από την έλλειψη των κατάλληλων τεχνικών και οργανωτικών μέτρων, ιδίως εκείνων που επιτάσσουν τον φυσικό και λογικό διαχωρισμό, επήλθε ο απειλούμενος κίνδυνος για την εμπιστευτικότητα και ακεραιότητα των δεδομένων προσωπικού χαρακτήρα δια της πρόσβασης, αντιγραφής και διαβίβασης τους στο Μάντσεστερ του Ηνωμένου Βασιλείου. Από τα παραπάνω προκύπτει ότι η μεταγενέστερη ή περαιτέρω επεξεργασία, δια της πρόσβασης, αντιγραφής και διαβίβασης στο Μάντσεστερ του Ηνωμένου Βασιλείου, των δεδομένων προσωπικού χαρακτήρα φυσικών προσώπων που σχετίζονται με τον Όμιλο AMPNI υπήρξε παράνομη λόγω του ότι αφορούσε δεδομένα προσωπικού χαρακτήρα που εξαρχής δεν είχαν τύχει νόμιμης επεξεργασίας, ενώ ως προς τα δεδομένα προσωπικού χαρακτήρα φυσικών προσώπων που σχετίζονται με τρίτες εταιρίες εκτός Ομίλου ΑΜΡΝΙ, επιπλέον και λόγω της έλλειψης μέτρων φυσικού και λογικού διαχωρισμού. 31. Εν όψει των ανωτέρω η Αρχή κρίνει ότι η ελεγχόμενη εταιρία ΑΜΡΝΙ ως υπεύθυνος επεξεργασίας: αφενός, δεν εφάρμοσε το σύνολο των αρχών του άρθρου 5 παρ. 1 ΓΚΠΔ και 6 παρ. 1 ΓΚΠΔ σχετικά με τη νομιμότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα (ιδίως e-mails) που λάμβανε χώρα στη χρησιμοποιούμενη υπολογιστική υποδομή (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2), αλλά και στο πλαίσιο κάθε μεταγενέστερης ή περαιτέρω επεξεργασίας των ίδιων δεδομένων προσωπικού χαρακτήρα, ούτε απέδειξε κατ’ αρ. 5 παρ. 2 ΓΚΠΔ την τήρηση αυτών. αφετέρου, παραβίασε τις διατάξεις των άρθρων 5 παρ. 1 εδ. α’ και στ’ και παρ. 2 σε συνδυασμό με τα άρθρα 24 παρ. 1 και 2 και 32 παρ. 1 και 2 ΓΚΠΔ σχετικά με την αρχή της ασφαλούς επεξεργασίας (ιδίως της «εμπιστευτικότητας») των δεδομένων προσωπικού Βλ. τις εκτυπώσεις των ηλεκτρονικών διευθύνσεων e-mails που προσκομίσθηκαν μέσω υπομνημάτων της ABS προ της ακρόασης ενώπιον της Αρχής, ιδίως του υπ’ αρ. ΑΠΔΠΧ Γ/ΕΙΣ/5432/18-6-2018 συμπληρωματικού υπομνήματος με κατάλογο ηλεκτρονικών διευθύνσεων. 38 37 χαρακτήρα που λάμβανε χώρα στη χρησιμοποιούμενη υπολογιστική υποδομή (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2) από την μη λήψη κατάλληλων τεχνικών και οργανωτικών μέτρων, αλλά και στο πλαίσιο κάθε μεταγενέστερης ή περαιτέρω επεξεργασίας των ίδιων δεδομένων προσωπικού χαρακτήρα, ώστε να παρέλκει η εξέταση της τήρησης των αρχών επεξεργασίας των εδαφίων β’, γ’, δ’ και ε’ της παρ. 1 του άρθρου 5 καθώς και του άρθρου 6 παρ. 1 ΓΚΠΔ, σύμφωνα με όσα έγιναν δεκτά στην υπ’ αρ. 11 αιτιολογική σκέψη της παρούσας. 32. Επί των ενστάσεων και ισχυρισμών της ελεγχόμενης εταιρίας AMPNI: i. Ως προς την ένσταση ότι δεν εφαρμόζεται ο ΓΚΠΔ σύμφωνα με το άρθρο 3 παρ. 1 αυτού καθώς «[...] η ΑΜΡΝΙ είναι εταιρεία που εδρεύει στη Δημοκρατία των Νήσων Μάρσαλ (Marshall Islands), είναι εισηγμένη στο Χρηματιστήριο της ΝΥ και είναι επικεφαλής του Ομίλου ΑΜΡΝΙ. Η ΑΜΡΝΙ δε έχει εγκατάσταση στην Ελλάδα αλλά διατηρεί μόνο μια διεύθυνση αλληλογραφίας στον Πειραιά. Η ABS είναι 100% θυγατρική της AMPNI. Επομένως, η AMPNI δεν έχει η ίδια εγκατάσταση στην Ελλάδα [...] ο σκοπός της εξαγωγής/αντιγραφής δεδομένων....δεν είχε καμία σχέση με τις δραστηριότητες των εταιρειών του Ομίλου AMPNI στην Ελλάδα. Δηλαδή, δεν υπάρχει σχέση μεταξύ του σκοπού για τον οποίο εξήχθησαν τα δεδομένα και των δραστηριοτήτων των Ελληνικών εταιριών..» (βλ. Συμπληρωματικό Υπόμνημα ΑΜΡΝΙ και ABS ΑΠΔΠΧ αρ. πρωτ. Γ/ΕΙΣ/10259/19-12-2018 σελ. 5-8). Από το άρθρο 3 παρ. 1 ΓΚΠΔ, την αιτιολογική σκέψη 22 ΓΚΠΔ και τις υπό διαβούλευση Κατευθυντήριες Γραμμές 3/2018 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για το εδαφικό πεδίο εφαρμογής του ΓΚΠΔ προκύπτει ότι ο ΓΚΠΔ εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των δραστηριοτήτων της εγκατάστασης του υπευθύνου επεξεργασίας, η οποία προϋποθέτει την ουσιαστική και πραγματική άσκηση δραστηριότητας, η οποία δεν πρέπει να ερμηνεύεται στενά και τυπολατρικά όπως με κριτήριο π.χ. τον τόπο εγγραφής της εταιρίας στα οικεία μητρώα καταχώρισης (βλ. ΔΕΕ C-210/2016 Facebook (fan page) απόφαση της 05-6-2018 Αιτ. Σκ. ιδίως 56 και 53-55, 57, C-230/14 Weltimmo v NAIH απόφαση της 01/10/2015 Αιτ. Σκ. ιδίως 29 καθώς και 31). Στην προκειμένη περίπτωση, η ελεγχόμενη εταιρία AMPNI επιχειρηματολογεί μόνο επί της μεταγενέστερης ή περαιτέρω επεξεργασίας της πρόσβασης-ελέγχου των e-mails και της αντιγραφής του περιεχομένου των διακομιστών (servers), χωρίς να διαλαμβάνει ισχυρισμούς επί της νομιμότητας της αρχικής συλλογής, διατήρησης και επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονταν στα συστήματα αρχειοθέτησης της 38 υπολογιστικής υποδομής (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2). Η εν λόγω υπολογιστική υποδομή (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2) κατά το κρίσιμο χρονικό στάδιο υπήρξε εγκατεστημένη στην Ελλάδα και συγκεκριμένα στον Πειραιά επί της Ακτής Κονδύλη αρ. 10, ανήκει στην ιδιοκτησία της ABS, θυγατρικής εταιρίας της AMPNI και σύμφωνα με δήλωση της ίδιας της AMPNI (βλ. υπ’ αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/7306/10-9-2018 έγγραφο της σελ. 2): «Ο Server ανήκει στον Όμιλο AMPNI και ειδικότερα, αγοράσθηκε μαζί με τον απαιτούμενο εξοπλισμό, νωρίτερα το 2018, από την ABS, μέλος του Ομίλου ΑΜΡΝΙ και 100% θυγατρική της Εταιρίας». Επιπλέον δε, προέκυψε ότι η χρήση των διακομιστών που ήταν εγκατεστημένοι στην Ελλάδα και η μέσω αυτών επεξεργασία των δεδομένων προσωπικού χαρακτήρα λάμβανε χώρα κατόπιν αποφάσεων της AMPNI, η οποία και καθόριζε τον σκοπό και τον τρόπο επεξεργασίας κατ’ αρ. 4 παρ. 7 ΓΚΠΔ τόσο για την ίδια, όσο και για τις θυγατρικές της εταιρίες στο πλαίσιο άσκησης των δραστηριοτήτων της. Περαιτέρω δε, σύμφωνα με δήλωση της ίδιας της AMPNI (βλ. υπ’ αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/7306/10-9-2018 έγγραφο της σελ. 2): «Ο Server ανήκει στην ABS, μέλος του Ομίλου AMPNI. Δηλαδή, από άποψη ιδιοκτησίας, έχει αγοραστεί από την ABS. Η ABS όμως, δεν επεξεργάζεται προσωπικά δεδομένα για λογαριασμό της Εταιρίας». Πέραν των ανωτέρω και όλως επικουρικά, θα πρέπει να απορριφθεί ο ισχυρισμόςένσταση της AMPNI ότι δεν έχει πραγματική αλλά ταχυδρομική μόνο εγκατάσταση στην Ελλάδα και ότι εδρεύει στη Δημοκρατία των Νήσων Μάρσαλ (Marshall Islands) δοθέντος ότι η ίδια δηλώνει την διεύθυνση της Ακτής Κονδύλη 10, στον Πειραιά ως διεύθυνση εγκατάστασης και πραγματικής λειτουργίας της πρώτον, ενώπιον της Αρχής με την υποβληθείσα Αίτηση Θεραπείας (βλ. αρ. πρωτ. ΑΠΔΠΧ/Γ/ΕΙΣ/6211/13-7-2018 σελ. 1) και δεύτερον, ενώπιον της Επιτροπής Κεφαλαιαγοράς των ΗΠΑ (SEC), όπως προκύπτει τόσο από τα Παραρτήματα Α και Β που προσκομίζει συνημμένως στην προαναφερόμενη Αίτηση Θεραπείας, όσο και από την ετήσια έκθεση της 16/5/201739 την οποία επικαλείται στο Γ/ΕΙΣ/7306/10-9-2018 έγγραφο της προς την Αρχή και από τα οποία προκύπτει η δήλωση των κάτωθι στοιχείων: AEGEAN MARINE PETROLEUM NETWORK INC., 10, Akti 39 Βλ. αυτήν σε www.aegeanmarine.gcs-web.com/static-files/ebca7627-4368-4e6c-9a75-45862ad60cac 39 Kondili (Address of Principal Executive Office), Piraeus 185 45, Greece (οι υπογραμμίσεις και η έντονη γραφή εκ των Παραρτημάτων), Για τους λόγους αυτούς, η Αρχή απορρίπτει την ένσταση – ισχυρισμό της ελεγχόμενης εταιρίας AMPNI. ii. Ως προς την ένσταση σύμφωνα με την οποία το Πτωχευτικό Δικαστήριο των ΗΠΑ της Νότιας Περιφέρειας της Νέας Υόρκης εξέδωσε διαταγή με παγκόσμια ισχύ κατ’ αρ. 362 (α) Πτωχευτικού Κώδικα ΗΠΑ στο πλαίσιο αίτησης πτώχευσης της AMPNI, με την οποία, κατά τους ισχυρισμούς της απαγορεύεται αφενός, η συνέχιση της ενώπιον της Αρχής διαδικασίας, αφετέρου, η άσκηση ελέγχου επί περιουσιακού στοιχείου της πτωχευτικής περιουσίας, η οποία κατά την ελεγχόμενη εταιρία ΑΜΡΝΙ περιλαμβάνει «[...] ορισμένα, εάν όχι όλα, εκ των υπό συζήτηση δεδομένων αποτελούν περιουσιακά στοιχεία της πτωχευτικής περιουσίας» Στην προκειμένη περίπτωση, από καμία διάταξη της εθνικής ή ευρωπαϊκής νομοθεσίας, αλλά ούτε από οποιαδήποτε διεθνή ή άλλη διμερή - διακρατική σύμβαση προκύπτει ότι η επικαλούμενη διαταγή του Πτωχευτικού Δικαστηρίου των ΗΠΑ παράγει έννομα αποτελέσματα στην Ελλάδα, ούτε επικαλείται η ελεγχόμενη εταιρία AMPNI τέτοια νομοθεσία, ούτε προσκομίζει ελληνική δικαστική απόφαση με την οποία αναγνωρίζεται η εκτελεστότητα τέτοιας αλλοδαπής δικαστικής διαταγής. Επιπλέον δε, η ελεγχόμενη εταιρία ΑΜΡΝΙ κατ’ εσφαλμένη ερμηνεία της εθνικής και ευρωπαϊκής νομοθεσίας για την προστασία των δεδομένων προσωπικού χαρακτήρα λαμβάνει ως δεδομένο προκειμένου να υποβάλλει την συναφή ένσταση – ισχυρισμό ότι τα δεδομένα προσωπικού χαρακτήρα που επεξεργάζεται ο υπεύθυνος επεξεργασίας συνιστούν «ιδιοκτησία» του και άρα μέρος της «περιουσίας» του, όπως θα καταδειχθεί κατωτέρω. Για τους λόγους αυτούς, η Αρχή απορρίπτει την ένσταση – ισχυρισμό της ελεγχόμενης εταιρίας AMPNI. iii. Ως προς τον ισχυρισμό-ένσταση ότι η καταγγελία σε βάρος της ελεγχόμενης εταιρίας ABS υποβλήθηκε χωρίς δικαίωμα και επομένως απαραδέκτως από νομικό και όχι φυσικό πρόσωπο κατ’ αρ. 77 παρ. 1 ΓΚΠΔ, ήτοι την θυγατρική εταιρία ABS με αποτέλεσμα η εκδοθείσα υπ’ αρ. 2/2018 Προσωρινή Διαταγή του Προέδρου της Αρχής να πάσχει ακυρότητας καθώς και ότι η ABS ανακάλεσε την καταγγελία της σε βάρος της ελεγχόμενης εταιρίας AMPNI, επισημαίνεται συμπληρωματικά προς την υπ’ άρ. 28 αιτιολογική σκέψη της παρούσας ότι ο έλεγχος διενεργήθηκε αυτεπαγγέλτως κατ’ αρ. 57 παρ. 1 εδ. α’ και η’ 40 ΓΚΠΔ με βάση την ενημέρωση που έλαβε η Αρχή πρωτίστως με την από 18-6-2018 Γνωστοποίηση Περιστατικού Παραβίασης Δεδομένων που υπέβαλε η ABS (ΑΠΔΠΧ/Γ/ΕΙΣ/5432/18-6-2018). Σε κάθε περίπτωση, ακόμη και εάν απαραδέκτως υποβλήθηκε η καταγγελία από την εταιρία ABS, η Αρχή δικαιούται κατ’ αρ. 57 παρ. 1 εδ. α’ και η’ ΓΚΠΔ σε συνδυασμό με αρ. 19 παρ. 1 περ. η’ ν. 2472/1997 να διενεργήσει αυτεπαγγέλτως ελέγχους και έρευνες με μόνη την ενημέρωση που έλαβε για πραγματικά περιστατικά παραβίασης της κείμενης νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα. Επιπλέον δε, η Αρχή δικαιούται κατ’ αρ. 19 παρ. 1 περ. ιγ’ ν. 2472/1997, αλλά δεν υποχρεούται να θέτει στο αρχείο αιτήσεις ή παράπονα που κρίνονται προδήλως, αόριστα, αβάσιμα ή υποβάλλονται καταχρηστικώς ή ανωνύμως. Επομένως, από τις ανωτέρω διατάξεις, οι οποίες τυγχάνουν εφαρμογής καθώς δεν έρχονται σε αντίθεση με τον ΓΚΠΔ (βλ. ΑΠΔΠΧ 46/18 και 52/18) προκύπτει ότι η Αρχή είχε δικαίωμα να διενεργήσει έλεγχο με μόνη την πληροφόρηση των πραγματικών περιστατικών ανεξαρτήτως της εγκυρότητάς ή μη της καταγγελίας. Επιπλέον, ο Πρόεδρος της Αρχής παρά την από μέρους της εταιρίας ABS υποβολής αίτησης έκδοσης προσωρινής διαταγής, εξέδωσε αυτεπαγγέλτως την υπ’ αρ. 2/2018 Προσωρινή Διαταγή, λαμβάνοντας γνώση των επικαλούμενων πραγματικών περιστατικών όπως προκύπτει από το ίδιο το σώμα της Προσωρινής Διαταγής στο οποίο δεν αναφέρεται ότι κάνει δεκτή την εν λόγω αίτηση. Ως εκ τούτου η υπ’ άρ. 2/2018 Προσωρινή Διαταγή του Προέδρου της Αρχής δεν πάσχει ακυρότητας. Τέλος, η από μέρους της εταιρίας ABS ανάκληση της καταγγελίας της σε βάρος της ελεγχόμενης εταιρίας ABS, αλλά και η αιτίαση περί απαράδεκτης καταγγελίας από νομικό πρόσωπο δεν βρίσκουν έρεισμα σε καμία διάταξη νόμου δοθέντος ότι δεν πρόκειται περί μιας ιδιωτικής διαφοράς αστικού δικαίου το αντικείμενο της οποίας διατίθεται σύμφωνα με την βούληση των μερών, επιπλέον δε, όπως προεκτέθηκε, η Αρχή διερευνά αυτεπαγγέλτως κάθε πληροφορία για παραβίαση της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα (ad hoc ΑΠΔΠΧ 136/2015 αιτ. σκ. 6 παρ. α’). Για τους λόγους αυτούς, η Αρχή απορρίπτει τις ενστάσεις – ισχυρισμούς της ελεγχόμενης εταιρίας AMPNI. iv. Ως προς την ένσταση-ισχυρισμό περί απαραδέκτου των ατομικών καταγγελιών φυσικών προσώπων επειδή δεν απευθύνθηκαν προηγουμένως στον υπεύθυνο επεξεργασίας προκειμένου να ασκήσουν τα εκ των άρθρων 15-22 ΓΚΠΔ δικαιώματα τους, πριν προσφύγουν στην Αρχή πρέπει να επισημανθεί ότι αφενός, από τις διατάξεις του άρθρου 77 41 παρ. 1 ΓΚΠΔ προκύπτει ότι κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλλει απευθείας καταγγελία στην Αρχή, εάν θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον ΓΚΠΔ. Στην προκειμένη περίπτωση, τα φυσικά πρόσωπα κατήγγειλαν την σε βάρος τους παραβίαση του ΓΚΠΔ και όχι την μη ικανοποιητική ανταπόκριση της ελεγχόμενης εταιρίας AMPNI στην άσκηση των δικαιωμάτων τους εκ των άρθρων 15-22 ΓΚΠΔ. Επιπλέον δε, όπως προεκτέθηκε, η Αρχή επιλαμβάνεται αυτεπαγγέλτως και διερευνά κάθε πραγματικό περιστατικό παραβίασης της κείμενης νομοθεσίας για την προστασία των δεδομένων προσωπικού χαρακτήρα, ανεξαρτήτως του αν οι καταγγέλλοντες φέρουν ή μη το βάρος της απόδειξης των ισχυρισμών τους καθώς και εάν αποδεικνύουν ή μη την βασιμότητα των ισχυρισμών τους. Στην προκειμένη περίπτωση, οι καταγγέλλοντες προέβησαν σε καταγγελία για πιθανολογούμενη παράνομη αντιγραφή των δεδομένων προσωπικού χαρακτήρα τους που περιλαμβάνονταν στα συστήματα αρχειοθέτησης της υπολογιστικής υποδομής (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2). Η Αρχή προκειμένου να ελέγξει την νομιμότητα της εν λόγω αντιγραφής, αυτεπαγγέλτως προέβη σε διερεύνηση της νομιμότητας της αρχικής συλλογής, διατήρησης και επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονταν στους «πρωτότυπους servers». Όπως έχει ήδη προεκτεθεί, η υποχρέωση απόδειξης κατ’ αρ. 5 παρ. 2 ΓΚΠΔ της νομιμότητας της κάθε επεξεργασίας κατ’ αρ. 5 παρ. 1 και 6 παρ. 1 ΓΚΠΔ βαρύνει τον εκάστοτε υπεύθυνο επεξεργασίας και όχι το υποκείμενο των δεδομένων. Για τους λόγους αυτούς, η Αρχή απορρίπτει την ένσταση – ισχυρισμό της ελεγχόμενης εταιρίας AMPNI. v. Ως προς την ένσταση-ισχυρισμό ότι τα εταιρικά e-mails που ανταλλάσσονται από εταιρικούς ηλεκτρονικούς λογαριασμούς αλληλογραφίας δεν συνιστούν δεδομένα προσωπικού χαρακτήρα και ότι συνιστούν «περιουσιακό στοιχείο» που ανήκει στην «ιδιοκτησία» της εταιρίας, η Αρχή απέρριψε ήδη τον σχετικό ισχυρισμό με βάση τις αιτιολογικές σκέψεις 4, 5 και 6 της παρούσας προκειμένου να καταλήξει στο συμπέρασμα ότι η ελεγχόμενη εταιρία επεξεργάστηκε δεδομένα προσωπικού χαρακτήρα που περιλήφθηκαν σε σύστημα αρχειοθέτησης της υπολογιστικής υποδομής (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2) χωρίς να τηρήσει τις αρχές του άρθρου 5 παρ. 1 και 6 παρ. 1 ΓΚΠΔ καθώς και κατά παράβαση της αρχής της ασφαλούς επεξεργασίας κατ’ αρ. 5 παρ. 1 εδ. α’ και στ’ ΓΚΠΔ. 42 Επιπλέον δε, στην προκειμένη περίπτωση, το γεγονός ότι οι ηλεκτρονικές διευθύνσεις (e-mails) είχαν ως πρώτο συνθετικό, προσδιοριστικά στοιχεία του ονόματος του χρήστη, ήτοι της μορφής ονομα/επωνυμο@εταιρία.gr αρκεί για τον χαρακτηρισμό τους ως δεδομένων προσωπικού χαρακτήρα χωρίς να χρειαστεί ο έλεγχος του περιεχομένου των e-mails προκειμένου να διαπιστωθεί εάν πρόκειται περί επαγγελματικής ή ιδιωτικής αλληλογραφίας ή εάν προέρχονται από εταιρικό ή ιδιωτικό λογαριασμό ηλεκτρονικής αλληλογραφίας, σύμφωνα με όσα έγιναν δεκτά με τις αιτιολογικές σκέψεις 4, 5 και 6 της παρούσας. Επομένως, ο ισχυρισμός της ελεγχόμενης εταιρίας AMPNI σύμφωνα με την οποία οι καταγγέλλοντες οφείλουν να προσκομίσουν e-mails «προσωπικής φύσεως» που απεστάλησαν από μη εταιρικούς (ιδιωτικούς) λογαριασμούς ηλεκτρονικής αλληλογραφίας και περιλαμβάνουν κατά περιεχόμενο δεδομένα προσωπικού χαρακτήρα που αντιγράφηκαν από την AMPNI προκειμένου να αποδειχθεί η βασιμότητα της καταγγελίας τους, αφενός δεν βρίσκει έρεισμα στον ΓΚΠΔ κατά τα ανωτέρω, αφετέρου, η Αρχή έκρινε ότι δεν τηρήθηκαν οι αρχές του άρθρου 5 παρ. 1 ΓΚΠΔ και 6 παρ. 1 ΓΚΠΔ σχετικά με τη νομιμότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, δηλαδή του συνόλου των e-mails που λάμβανε χώρα στη χρησιμοποιούμενη υπολογιστική υποδομή (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2), αλλά και κάθε μεταγενέστερης ή περαιτέρω επεξεργασίας των ίδιων δεδομένων προσωπικού χαρακτήρα, ώστε να παρέλκει η απάντησε στις κατ’ ιδίαν καταγγελίες των φυσικών προσώπων, όπως θα αναλυθεί κατωτέρω. Τέλος, όπως ήδη έγινε δεκτό με την υπ’ αρ. 6 αιτιολογική σκέψη της παρούσας ο ισχυρισμός της ελεγχόμενης εταιρίας ΑΜΡΝΙ σύμφωνα με τον οποίο τα δεδομένα προσωπικού χαρακτήρα ανήκουν στην «ιδιοκτησία» ή «περιουσία» της έρχεται σε πλήρη αντίθεση με την εθνική και ευρωπαϊκή νομοθεσία και ότι ο υπεύθυνος επεξεργασίας δεν είναι «ιδιοκτήτης» των δεδομένων προσωπικού χαρακτήρα που επεξεργάζεται. Εάν ο υπεύθυνος επεξεργασίας ήταν «ιδιοκτήτης» των δεδομένων προσωπικού χαρακτήρα που επεξεργάζεται δεν θα εισαγόταν ως κανόνας από το άρθρο 6 παρ. 1 ΓΚΠΔ η απαγόρευση επεξεργασίας των δεδομένων προσωπικού χαρακτήρα ώστε να απαιτείται να συντρέχει μια από τις εκεί προβλεπόμενες νομικές βάσεις προκειμένου να νομιμοποιηθεί η επεξεργασία, ούτε θα παρέχονταν στο υποκείμενο των δεδομένων σειρά δικαιωμάτων επί του ελέγχου των δεδομένων προσωπικού του χαρακτήρα (άρ. 12-22 ΓΚΠΔ), ιδίως δε τα δικαιώματα εναντίωσης, περιορισμού, διαγραφής ή φορητότητας. Για τους λόγους αυτούς, η Αρχή απορρίπτει την ένσταση – ισχυρισμό της ελεγχόμενης εταιρίας AMPNI. 43 vi. Ως προς την ένσταση – ισχυρισμό της ελεγχόμενης εταιρίας ΑΜΡΝΙ ότι τυχόν λήψη υπόψη από την Αρχή νέου αποδεικτικού υλικού που προσκομίζεται από τους καταγγέλλοντες μετά το πέρας της ακρόασης παραβιάζει το δικαίωμα ακρόασης της, πρέπει κατ’ αρχήν να επισημανθεί ότι η ελεγχόμενη εταιρία, αφενός έλαβε γνώση και αντίγραφα των εγγράφων που προσκομίσθηκαν από τους καταγγέλλοντες μετά το πέρας της ακρόασης καθώς και προθεσμία 15 ημερών προκειμένου να υποβάλει τις απόψεις της επ’ αυτών (ΑΠΔΠΧ αρ. πρωτ. Γ/ΕΞ/2214/21-3-2019), αφετέρου και η ίδια προσκόμισε νέο αποδεικτικό υλικό μετά το πέρας της ακρόασης, αλλά και τοποθετήθηκε επί των ισχυρισμών και του αποδεικτικού υλικού που προσκόμισαν μετά την ακρόαση οι καταγγέλλοντες (βλ. Συμπληρωματικό Υπόμνημα AMPNI & ABS με αρ. πρωτ. ΑΠΔΠΧ Γ/ΕΙΣ/2616/05-4-2019). Επιπλέον, από καμία διάταξη του ΚΔΔ ή άλλης νομοθεσίας δεν προβλέπεται απαγόρευση προσκόμισης νέου αποδεικτικού υλικού μετά το πέρας της ακρόασης του ελεγχόμενου ή ότι το σύνολο του αποδεικτικού υλικού επί του οποίου θα κρίνει η Αρχή πρέπει να έχει συγκεντρωθεί έως την κλήση σε ακρόαση δοθέντος ότι η διενέργεια της ακρόασης αποσκοπεί στην παροχή εξηγήσεων και πληροφοριών προς διευκρίνιση ζητημάτων που ενδέχεται ακόμη και να προέκυψαν για πρώτη φορά κατά την διάρκεια της ακρόασης, όπως συμβαίνει και κατά τις ακροάσεις που διεξάγουν άλλες συνταγματικά κατοχυρωμένες ανεξάρτητες διοικητικές αρχές όπως π.χ. η Αρχή Διασφάλισης του Απορρήτου των Επικοινωνιών (ΑΔΑΕ). vii. Ως προς τον ισχυρισμό – ένσταση της ελεγχόμενης εταιρίας περί παράνομης παράτασης της χορηγηθείσας προθεσμίας υποβολής υπομνήματος μετά την ακρόαση θα πρέπει να επισημανθεί ότι η παράταση υπήρξε νόμιμη εφόσον η ελεγχόμενη εταιρία AMPNI από κοινού με την ABS υπέβαλαν αίτηση εξαίρεσης του εισηγητή της υπόθεσης μετά την έναρξη και κατά την διάρκεια της προθεσμίας υποβολής υπομνήματος με αποτέλεσμα να ανασταλεί αυτόματα η προθεσμία μέχρι της έκδοσης απόφασης επί του αιτήματος εξαίρεσης και μέχρι της παροχής νέας προθεσμίας. Σε καμία περίπτωση δεν θα μπορούσε να ισχύσει η αρχική προθεσμία υποβολής υπομνήματος μετά την ακρόαση, εάν προηγουμένως δεν είχε αποφανθεί το Τμήμα της Αρχής επί της αίτησης εξαίρεσης. Αντιθέτως, η από μέρους της ελεγχόμενης εταιρίας AMPNI από κοινού με την ABS, υποβολή υπομνήματος μετ’ ακρόαση ενώ εκκρεμούσε η αίτηση εξαίρεσης του εισηγητή που οι ίδιες είχαν υποβάλλει και χωρίς να αναμένουν την έκδοση της απόφασης επί του αιτήματος εξαίρεσης έρχεται σε πλήρη αντίθεση με το ίδιο το αίτημα εξαίρεσης καθώς από τη μια οι εταιρίες αιτήθηκαν την 44 εξαίρεση του εισηγητή, ενώ από την άλλη υπέβαλαν υπόμνημα προς το Τμήμα της Αρχής στο οποίο συμμετείχε ο εισηγητής. Για τους λόγους αυτούς, η Αρχή απορρίπτει την ένσταση – ισχυρισμό της ελεγχόμενης εταιρίας AMPNI. viii. Η ελεγχόμενη εταιρία ΑΜΡΝΙ προβάλλει τους εξής ισχυρισμούς: ότι νομίμως εισήλθε στη χρησιμοποιούμενη υπολογιστική υποδομή (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2) προκειμένου να διενεργήσει έλεγχο στην ηλεκτρονική αλληλογραφία συγκεκριμένων φυσικών προσώπων, τέως και νυν εργαζομένων και στελεχών του Ομίλου AMPNI, ότι οι εν λόγω έλεγχοι ήταν νόμιμοι, ότι τυχαία ανακαλύφθηκε λογισμικό διαγραφής ήδη διαγραφέντων αρχείων με αποτέλεσμα να καταστεί αναγκαία η αντιγραφή του συνόλου της χρησιμοποιούμενης υπολογιστικής υποδομής, περιλαμβανομένων και δεδομένων προσωπικού χαρακτήρα (e-mails) φυσικών προσώπων που συνδέονται με τρίτες εταιρίες εκτός Ομίλους ΑΜΡΝΙ, ότι δεν υπήρχε υποχρέωση γνωστοποίησης περιστατικού παραβίασης προσωπικών δεδομένων προς την Αρχή από τον εντοπισμό του «κακόβουλου λογισμικού» διαγραφής, ότι ως εργοδότης είχε κατ’ άρθρο 6 παρ. 1 εδ. στ’ ΓΚΠΔ υπέρτερο έννομο συμφέρον να ελέγξει και να αντιγράψει τα e-mails στο πλαίσιο του διενεργούμενου ελέγχου, ότι δεν είχε υποχρέωση να ενημερώσει τα υποκείμενα των δεδομένων, είτε προ της αντιγραφής, είτε μετά την αντιγραφή των e-mails τους. Προϋπόθεση απάντησης στους ανωτέρω ισχυρισμούς συνιστά, όπως προεκτέθηκε σύμφωνα με τις αιτιολογικές σκέψεις υπ’ αρ. 17, 18, 22, 29 και 30 της παρούσας αλλά και από την υπ’ αρ. 3/2018 Προσωρινή Διαταγή του Προέδρου της Αρχής, η απόδειξη της νομιμότητας της αρχικής επεξεργασίας (συλλογής και διατήρησης) των δεδομένων προσωπικού χαρακτήρα που λάμβανε χώρα στη χρησιμοποιούμενη υπολογιστική υποδομή (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2). Με δεδομένο ότι η Αρχή έκρινε ως μη νόμιμη αλλά και ιδίως παραβιάζουσα την αρχή της ασφαλούς επεξεργασίας την αρχική συλλογή, διατήρηση και εν γένει επεξεργασία των δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονταν στα συστήματα αρχειοθέτησης της υπολογιστικής υποδομής (υλικού και λογισμικού «πρωτότυπων διακομιστών» DANAOS, AMPFS1, AMPFS2), παρέπεται ότι οι μεταγενέστερες ή περαιτέρω επεξεργασίες των ίδιων δεδομένων προσωπικού χαρακτήρα και δη η πρόσβαση και ο έλεγχος των e-mails, η αντιγραφή του περιεχομένου των «πρωτότυπων διακομιστών» σε «αντίγραφο διακομιστή» με το οποίο δημιουργήθηκε ένα νέο σύστημα αρχειοθέτησης (back up κατά την ΑΜΡΝΙ) και 45 η αποστολή του νέου συστήματος αρχειοθέτησης - αντιγράφου στο Μάντσεστερ του Ηνωμένου Βασιλείου είναι επίσης μη νόμιμες και παραβιάζουν το σύνολο των αρχών του άρθρου 5 παρ. 1 και 2 αλλά και το άρθρο 6 παρ. 1 ΓΚΠΔ, ως αναπόσπαστα συνδεδεμένες και προερχόμενες από την αρχική παράνομη επεξεργασία των δεδομένων προσωπικού χαρακτήρα του συστήματος αρχειοθέτησης του «πρωτότυπου διακομιστή» ώστε να παρέλκει η εξέταση τόσο των καταγγελιών των φυσικών προσώπων, όσο και η προς αντίκρουση τους εξέταση των ισχυρισμών της ελεγχόμενης εταιρίας ΑΜΡΝΙ που επικεντρώνονται αποκλειστικά στην μεταγενέστερη ή περαιτέρω επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Ακόμη δηλαδή και εάν δεν είχαν υποβληθεί οι εν λόγω καταγγελίες των φυσικών προσώπων (που αφορά την μεταγενέστερη ή περαιτέρω επεξεργασία), θα ήταν παράνομη η αντιγραφή του «πρωτότυπου διακομιστή» λόγω της μη εξ’ αρχής πλήρωσης των προϋποθέσεων νόμιμης επεξεργασίας των περιεχομένων δεδομένων προσωπικού χαρακτήρα. Έτσι, η από μέρους της ελεγχόμενης εταιρίας ΑΜΡΝΙ επίκληση της νομικής βάσης του άρθρου 6 παρ. 1 εδ. στ’ ΓΚΠΔ για τον έλεγχο, την πρόσβαση, την αντιγραφή και την αποστολή του περιεχομένου των «πρωτότυπων διακομιστών» (servers), αλλά και η επίκληση της ανάγκης αντιγραφής λόγω διαπίστωσης «κακόβουλου λογισμικού» δεν δύναται να νομιμοποιήσει αναδρομικά την σε προηγούμενο στάδιο παράνομη επεξεργασία των δεδομένων προσωπικού χαρακτήρα κατά παράβαση των άρθρων 5 παρ. 1 και 6 παρ. 1 ΓΚΠΔ σύμφωνα με όσα έγιναν δεκτά στις αιτιολογικές σκέψεις υπ’ αρ. 17 και 22 της παρούσας. Για τους λόγους αυτούς, η Αρχή απορρίπτει την ένσταση – ισχυρισμό της ελεγχόμενης εταιρίας AMPNI. 33. Αντιθέτως, από τα στοιχεία του φακέλου και την ακρόαση δεν προέκυψε ότι η εταιρία «ΕΡΝΣΤ & ΓΙΑΝΓΚ (ΕΛΛΑΣ) ΟΡΚΩΤΟΙ ΕΛΕΓΚΤΕΣ ΛΟΓΙΣΤΕΣ Α.Ε.» συμμετείχε ή παρείχε συνδρομή στην από μέρους του υπεύθυνου επεξεργασίας παραβίαση των διατάξεων των άρθρων 5 παρ. 1 και 6 παρ. 1 ΓΚΠΔ ιδίως κατά το στάδιο της πρόσβασης, ελέγχου, αντιγραφής και διαβίβασης στο Μάντσεστερ του Ηνωμένου Βασιλείου των δεδομένων προσωπικού χαρακτήρα. 34. Σύμφωνα με τον ΓΚΠΔ (Αιτ. Σκ. 148) προκειμένου να ενισχυθεί η επιβολή των κανόνων του παρόντος Κανονισμού, κυρώσεις, συμπεριλαμβανομένων των διοικητικών προστίμων, θα πρέπει να επιβάλλονται για κάθε παράβαση του παρόντος κανονισμού, επιπρόσθετα ή αντί των κατάλληλων μέτρων που επιβάλλονται από την εποπτική αρχή σύμφωνα με τον παρόντα Κανονισμό. Σε περιπτώσεις παράβασης ελάσσονος σημασίας ή αν 46 το πρόστιμο που ενδέχεται να επιβληθεί θα αποτελούσε δυσανάλογη επιβάρυνση σε φυσικό πρόσωπο, θα μπορούσε να επιβληθεί επίπληξη αντί προστίμου. Η Αρχή μετά την διαπίστωση της παραβίασης των διατάξεων του ΓΚΠΔ κατά τα προεκτεθέντα, λαμβάνοντας υπόψη επιπλέον, πέραν των ανωτέρω, ιδίως τις Κατευθυντήριες γραμμές για την εφαρμογή και τον καθορισμό διοικητικών προστίμων για τους σκοπούς του Κανονισμού 2016/679 που εκδόθηκαν στις 03-10-2017 από την Ομάδα Εργασίας του άρθρου 29 (WP 253) και αφού έλαβε δεόντως υπόψη τις διατάξεις του άρθρου 83 ΓΚΠΔ στο μέτρο που εφαρμόζονται στη συγκεκριμένη περίπτωση και ειδικότε

🔗 Στην επίσημη πηγή

Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.